XrayHub übergibt Röntgen- und andere Bilddaten von der Praxis an den Patienten. Die Bilder werden bereits in der Praxis verschlüsselt und erst wieder im Browser des Patienten entschlüsselt. Für uns als Betreiber sind sie zu keinem Zeitpunkt lesbar. Was das für Ihre Daten bedeutet, steht hier.
Verantwortlicher im Sinne der DSGVO für den Betrieb dieser Website und des Patientenportals:
Mann-IT GmbH
Fasanenstr. 12, 96114 Hirschaid
Telefon: 09543 211980
E-Mail: info@mann-it.de
Geschäftsführer: Mario Mann. Weitere Angaben finden Sie im Impressum.
Für die Bilddaten selbst ist die Praxis oder Klinik verantwortlich, die Ihnen den Zugang ausgehändigt hat. Sie entscheidet, welche Aufnahmen hochgeladen werden und wie lange sie abrufbar bleiben. Die Mann-IT GmbH stellt dieser Einrichtung lediglich die technische Plattform bereit und handelt dabei als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrages.
Fragen zu Ihren Aufnahmen – etwa zur Herausgabe, Berichtigung oder Löschung – richten Sie deshalb bitte an Ihre Praxis. Wir können und dürfen die Inhalte nicht einsehen.
Der Schlüssel zu Ihren Aufnahmen wird aus Ihrem Zugangscode und Ihrem Geburtsdatum abgeleitet, und zwar in Ihrem Browser. Beides erreicht unseren Server nie. Auf dem Server liegen ausschließlich:
Nicht gespeichert werden: Ihr Name, Ihr Geburtsdatum, Ihr Zugangscode, Befunde oder sonstige Klartextdaten aus den Aufnahmen. Auch der Betreiber kann die Bilder nicht öffnen; es gibt dafür keine Hintertür und keinen Generalschlüssel.
Bei jedem Aufruf fällt technisch Ihre IP-Adresse an. Wir speichern sie nicht im Klartext: für das Protokoll wird ausschließlich ein Prüfwert (HMAC-SHA-256 mit einem serverseitigen Geheimnis) abgelegt. Damit lassen sich wiederholte Fehlversuche derselben Herkunft erkennen, die Adresse selbst aber nicht zurückrechnen.
Protokolliert werden Zeitpunkt, Art des Vorgangs (etwa „Zugang geöffnet“, „Datei geladen“, „fehlgeschlagener Versuch“) und die betroffene Fall-Nummer. Das dient der Sicherheit des Dienstes und der Nachvollziehbarkeit für die Praxis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht im Schutz der hinterlegten Daten vor unbefugtem Zugriff. Die Protokolleinträge zu einem Zugang werden gemeinsam mit diesem Zugang gelöscht.
Nach mehreren Fehlversuchen wird ein Zugang vorübergehend gesperrt. Das schützt Ihre Aufnahmen vor dem Durchprobieren von Codes.
Das Patientenportal setzt ein einziges Cookie, und zwar erst nachdem Sie sich erfolgreich angemeldet haben. Es enthält eine zufällige Sitzungskennung, hält Ihre Sitzung offen, solange Sie die Bilder ansehen, und verfällt nach kurzer Zeit von selbst. Es ist für den Betrieb unbedingt erforderlich und damit nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.
Wir verwenden keine Cookies zu Werbe- oder Analysezwecken, kein Tracking, keine Reichweitenmessung und keine Profilbildung.
Diese Website und das Patientenportal laden ausschließlich Inhalte von unserem eigenen Server. Es werden keine externen Schriftarten, Symbolsätze, Karten, Videos oder Netzwerke Dritter eingebunden, und es findet kein Datenabfluss an Dritte statt. Der Browser erzwingt das zusätzlich über eine strenge Content-Security-Policy.
XrayHub wird auf Servern in Deutschland betrieben, die die Mann-IT GmbH selbst verantwortet. Eine Übermittlung personenbezogener Daten in Drittländer findet nicht statt. Etwaige weitere Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag mit der jeweiligen Praxis benannt.
Jeder Zugang hat von Anfang an einen Löschtermin. Die Frist legt Ihre Praxis fest; ohne abweichende Vereinbarung sind es 90 Tage ab Bereitstellung. Danach löscht der Server die verschlüsselten Dateien und die zugehörigen Angaben selbsttätig und vollständig.
Sie können die Daten außerdem jederzeit selbst entfernen: die Schaltfläche „Daten endgültig löschen“ im Portal löscht sie sofort und unwiderruflich vom Server. Laden Sie die Aufnahmen vorher herunter – danach sind sie dort nicht mehr vorhanden. Auch Ihre Praxis kann einen Zugang jederzeit zurückziehen.
Die Bereitstellung des Zugangs erfolgt im Auftrag Ihrer Praxis und dient der Erfüllung ihrer Pflichten aus dem Behandlungsvertrag, insbesondere Ihres Rechts auf Einsicht in die Patientenakte (§ 630g BGB). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO, für die Gesundheitsdaten in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO. Für den technischen Betrieb und den Missbrauchsschutz stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO.
Wenn Sie uns per E-Mail oder Telefon erreichen, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage) allein zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald Ihre Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Kontaktformular gibt es auf dieser Website nicht.
Ihnen stehen hinsichtlich Ihrer personenbezogenen Daten folgende Rechte zu:
Betreffen diese Rechte Ihre Aufnahmen, wenden Sie sich bitte an die Praxis, die Ihnen den Zugang gegeben hat – sie ist dafür verantwortlich. Für alles, was den Betrieb der Plattform selbst betrifft, erreichen Sie uns unter info@mann-it.de.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für uns zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de
Diese Datenschutzerklärung ist aktuell gültig. Durch die Weiterentwicklung des Dienstes oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann eine Anpassung notwendig werden. Die jeweils geltende Fassung ist stets unter dieser Adresse abrufbar.