Datenschutzerklärung

Mitalo ist die Anwendung, mit der Ihr Praxisteam zusammenarbeitet: Nachrichten, Aufgaben, Dokumente und gesetzliche Nachweise an einem Ort. Diese Erklärung sagt, welche Daten dabei verarbeitet werden, von wem und wie lange.

Wer verantwortlich ist

Verantwortlich im Sinne der Datenschutz-Grundverordnung ist Ihre Praxis als Arbeitgeberin. Sie entscheidet, wer einen Zugang erhält und welche Inhalte in der Anwendung entstehen.

Die NTConsult Software & Service GmbH (Anschrift im Impressum) betreibt die Anwendung im Auftrag Ihrer Praxis — als Auftragsverarbeiterin nach Art. 28 DSGVO. Wir verarbeiten die Daten Ihrer Praxis nur, soweit es für den Betrieb nötig ist, und nicht für eigene Zwecke.

Fragen zu Ihren Daten richten Sie an Ihre Praxisleitung. Sie erreicht uns, wenn sie unsere Unterstützung braucht.

Wer Mitalo nutzt

Zugänge legt die Praxis an; eine Selbstregistrierung gibt es nicht. Verarbeitet werden in erster Linie Daten der Mitarbeitenden.

Mitalo führt keine Patientenakte: Es gibt keine Diagnosefelder, keine Terminverwaltung und keine Abrechnung. Soweit das Team in Nachrichten, Anhängen oder Dokumenten dennoch Angaben zu Patientinnen und Patienten einträgt, um seine Arbeit zu organisieren, verarbeitet die Praxis diese Angaben in eigener Verantwortung; für uns gelten dabei dieselben Pflichten wie für alle übrigen Inhalte, zusätzlich die Verpflichtung zur Geheimhaltung.

Welche Daten verarbeitet werden

Kategorie	Beispiele	Zweck	Rechtsgrundlage
Stammdaten	Name, dienstliche E-Mail, Funktion, Eintritts- und Austrittsdatum	Zugang, Zuordnung von Aufgaben und Nachweisen	Art. 6 Abs. 1 b, f; § 26 BDSG
Zugangsdaten	Passwort (nur als Hashwert), Zeitpunkt der letzten Anmeldung	Anmeldung, Sicherheit	Art. 6 Abs. 1 b, f
Kommunikation	Team-Chat, Direktnachrichten, Dateianhänge, Sprachnachrichten, Reaktionen	Zusammenarbeit im Team	Art. 6 Abs. 1 b, f
Organisation	Aufgaben, Abwesenheiten, Urlaub, Über- und Minusstunden, Materiallisten	Praxisorganisation	Art. 6 Abs. 1 b; § 26 BDSG
Nachweise	Kenntnisnahmen, Unterweisungen, Geräteprüfungen, Hygiene, Gefährdungsbeurteilung	Gesetzliche Pflichten (ArbSchG, DGUV, IfSG)	Art. 6 Abs. 1 c
Gesundheitsbezogene Daten	Art der Abwesenheit (Krankheit, Kind krank, Arbeitsunfall), Verbandbuch, eAU-Status	Entgeltfortzahlung, Fürsorge- und Nachweispflichten	Art. 9 Abs. 2 b DSGVO i. V. m. § 26 Abs. 3 BDSG
Technische Daten	Abonnement für Benachrichtigungen, Zeitpunkt der letzten Nutzung, Server-Protokolle	Benachrichtigungen, Betrieb, Sicherheit	Art. 6 Abs. 1 f

Wo die Daten liegen

Auf Servern in Deutschland. Jede Praxis hat einen eigenen Datenraum, der in der Datenbank selbst erzwungen wird — eine Praxis kann die Daten einer anderen technisch nicht sehen. Nachrichten und Dateianhänge werden verschlüsselt gespeichert.

Wer die Daten noch verarbeitet

Wer	Wofür	Sitz
Hetzner Online GmbH	Betrieb der Server, Speicher, Sicherungen	Deutschland
Microsoft Ireland Operations Ltd.	Versand der System-E-Mails (Einladung, Passwort zurücksetzen)	Irland
Apple Inc. · Google Ireland Ltd.	Zustellung von Benachrichtigungen auf Mobilgeräte	USA bzw. Irland

Zu den Benachrichtigungen im Einzelnen: Damit eine Mitteilung auf dem Handy erscheinen kann, läuft sie über den Zustelldienst des Geräteherstellers. Dabei werden der Titel und der Anfang des Textes übertragen. Wer das nicht möchte, schaltet Benachrichtigungen in den Einstellungen ab — sie sind von vornherein ausgeschaltet und werden nur auf ausdrückliche Zustimmung hin aktiv.

Nutzungsmessung zur Verbesserung der Anwendung

Um die Anwendung verbessern zu können, erfassen wir, wie sie benutzt wird — nicht, wer sie wie benutzt.

Erfasst wird bei jedem Aufruf: welcher Bereich geöffnet wurde (etwa „Chat" oder „Dokumente"), ob es die erste Anmeldung war, ob der Hinweis zur Installation angezeigt und angenommen wurde, ob Benachrichtigungen erlaubt wurden, die Art des Geräts sowie ob die Anwendung im Browser oder als installierte App läuft.

Nicht erfasst werden Inhalte jeder Art — keine Nachrichten, keine Dokumente, keine Suchbegriffe —, keine IP-Adressen, keine Browserkennungen und keine Cookies zu Messzwecken.

Kein Personenbezug: Anstelle einer Benutzerkennung wird ein Pseudonym gespeichert, das aus Kennung, Kalendermonat und einem geheimen Schlüssel berechnet wird. Der Schlüssel liegt ausschließlich in der Serverkonfiguration und wird nicht gemeinsam mit den Messdaten gespeichert. Das Pseudonym wechselt mit jedem Kalendermonat.

Keine Auswertung durch die Praxis: Die Messdaten sind für Nutzerinnen und Nutzer der Anwendung einschließlich der Praxisleitung technisch nicht abrufbar; die Leseberechtigung ist auf Datenbankebene entzogen. Eine Bewertung des Verhaltens oder der Leistung einzelner Beschäftigter findet nicht statt und wäre mit dem gespeicherten Datenbestand auch nicht durchführbar.

Speicherung: auf demselben Server in Deutschland wie die übrigen Daten, ohne Dienste Dritter. Löschung automatisch nach 400 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherstellung und Verbesserung der Funktionsfähigkeit der Anwendung.

Wie lange die Daten bleiben

Nachweise mit gesetzlicher Aufbewahrungspflicht nach den jeweiligen Fristen (etwa Unterweisungen, Verbandbuch, Geräteprüfungen).
Chat, Aufgaben, Dokumente: solange die Praxis sie braucht; die Löschung entscheidet die Praxis.
Zugänge: Nach dem Austritt wird der Zugang gesperrt. Über die Löschung der Personendaten entscheidet die Praxis; Nachweise bleiben, solange Fristen laufen.
Server-Protokolle: kurzfristig, für Betrieb und Sicherheit.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO) sowie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Ansprechpartnerin ist Ihre Praxis als Verantwortliche. Wir unterstützen sie bei der Beantwortung.

In der Anwendung: Unter „Einstellungen → Konto löschen" schließt jede Person ihren eigenen Zugang selbst; die Praxisleitung wird darüber informiert. Nachweise mit Aufbewahrungspflicht bleiben bei der Praxis.

Keine Werbung, kein Tracking

Mitalo enthält keine Werbung, kein Tracking und kein Profiling. Es werden keine Daten zu Werbezwecken weitergegeben, und es sind keine Analyse-Skripte Dritter eingebunden.