Datenschutzerklärung.

Präambel

Wir möchten Sie in dieser Datenschutzerklärung über die Art, den Umfang und den Zweck der Erhebung, Verarbeitung und Nutzung personenbezogener Daten bei der Nutzung der Website ormisi.de und der darüber angebotenen Software Ormisi informieren. Ormisi ist eine Software für freie Träger der Kinder- und Jugendhilfe und ein Projekt der Limani Bildungsinstitut GmbH & Co. KG. Der Schutz Ihrer personenbezogenen Daten ist uns sehr wichtig. Deshalb möchten wir Ihnen transparent zeigen, wie und warum Ihre Daten verwendet werden.

§ 1 Begriffsbestimmung

In dieser Datenschutzerklärung werden die folgenden Begriffe wie unten definiert verwendet:

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“ oder „Sie“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen identifiziert werden kann.

Verantwortlicher bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Auftragsverarbeiter bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Dritter bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.

§ 2 Name und Kontaktdaten des Verantwortlichen

Verantwortlich im Sinne der EU-DSGVO und anderer anwendbarer Datenschutzgesetze der Europäischen Union und ihrer Mitgliedstaaten für die Website und für die in § 3 bis § 9 beschriebenen Verarbeitungen ist:

Limani Bildungsinstitut GmbH & Co. KG
Auf der Reihe 2
45884 Gelsenkirchen
Deutschland
(„Ormisi“, „uns“ oder „wir“)

Telefon: +49 (0) 231 – 58690587
E-Mail: hallo@matiamu.de

Für die Daten, die Träger in der Fachanwendung verarbeiten (z. B. Fall- und Sozialdaten), ist der jeweilige Träger verantwortlich; siehe § 10.

§ 2a Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten gemäß Art. 37 DSGVO bestellt. Bei Fragen zum Datenschutz, zur Wahrnehmung Ihrer Betroffenenrechte (Art. 15–22 DSGVO) oder zur Datenverarbeitung können Sie sich jederzeit direkt an unseren Datenschutzbeauftragten wenden:

DataGAP GmbH
Bessemerstr. 51, 1. OG
12103 Berlin
Deutschland

Telefon: +49 (0) 30 – 577 10 513
E-Mail: team@datagap.de
Internet: www.datagap.de

Selbstverständlich können Sie sich mit Ihren Anliegen auch direkt an uns als Verantwortlichen wenden (siehe § 2). Beide Kontaktwege sind gleichwertig.

§ 3 Zweck und Rechtsgrundlage der Datenverarbeitung

Ormisi stellt eine cloudbasierte Software für Träger der Kinder- und Jugendhilfe bereit (Fallakte, Dokumentation, Termine und Hausbesuche, Fachleistungsstunden, Berichte, Abrechnung, stationäre Gruppenarbeit). Über diese Website informieren wir über das Produkt, ermöglichen die Anfrage einer Demo und den Zugang zur Anwendung für bestehende Kundinnen und Kunden.

Erhebung allgemeiner Daten und Informationen (Server-Logfiles). Bestimmte Daten, die Ihr Browser beim Besuch unserer Website übermittelt, werden automatisch verarbeitet. Die dabei entstehenden Logfiles unseres Hosting-Anbieters Vercel (siehe § 7) enthalten Daten wie Ihre IP-Adresse, die aufgerufene URL, Datum und Uhrzeit der Anfrage, den Statuscode, das übertragene Datenvolumen, Ihren Browsertyp sowie ähnliche Informationen. Diese dienen dazu, die Inhalte korrekt auszuliefern, die Sicherheit und Stabilität zu gewährleisten und im Falle von Angriffen auf unsere IT-Systeme zur Notfallreaktion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und zuverlässigen Bereitstellung). Diese Daten werden nicht dazu verwendet, Rückschlüsse auf Ihre Person zu ziehen.

§ 4 Kontaktaufnahme und Demo-Anfrage

Wenn Sie über das Formular „Demo anfragen“ Kontakt mit uns aufnehmen, speichern wir in unserer Datenbank (Neon, siehe § 7):

• Pflichtangaben: Name, dienstliche E-Mail-Adresse und Träger;
• freiwillige Angaben: Funktion, Telefonnummer, Anliegen (persönliche Demo oder 30 Tage testen), Bereich (ambulant/stationär), ungefähre Teamgröße und Ihre Nachricht;
• Ihre Bestätigung, dass Ihre Angaben zur Bearbeitung der Anfrage gespeichert werden dürfen, und den Zeitpunkt der Anfrage.

Zweck ist die Bearbeitung Ihrer Anfrage und die Kontaktaufnahme mit Ihnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung bzw. Durchführung eines Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Das Formular versendet keine E-Mails und gibt die Angaben nicht an Dritte weiter. Zum Schutz vor automatisierten Eingaben enthält es ein für Menschen unsichtbares Feld; dafür werden keine zusätzlichen Daten erhoben. Wir protokollieren den Eingang der Anfrage ohne deren Inhalt.

Die Anfrage wird gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich ist, spätestens 12 Monate nach dem letzten Kontakt, sofern daraus kein Vertrag entsteht und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wenn Sie uns per E-Mail schreiben, gilt dasselbe für Ihre Nachricht.

§ 5 Zugang zur Anwendung

Für den Zugang zur Anwendung verarbeiten wir Anmeldedaten: Ihre E-Mail-Adresse und ein Passwort, das nur als kryptografischer Hashwert gespeichert wird, sowie Name, Rolle und Zugehörigkeit zum Träger. Nach der Anmeldung wird ein Sitzungs-Cookie gesetzt (siehe § 9), das nach spätestens 8 Stunden abläuft. Während der Sitzung prüfen wir regelmäßig, ob das Konto noch aktiv ist und welche Rollen es hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Zugänge).

Für Vorführungen gibt es einen Demo-Zugang mit erfundenen Beispieldaten. Er ist von den Daten echter Träger getrennt.

§ 6 Hosting und Infrastruktur

Betrieb über Vercel und Neon (Anbieter mit Sitz in den USA), Rechenzentren in Frankfurt am Main. Beide sind als Unterauftragsverarbeiter im AV-Vertrag benannt. Die Anwendung läuft bei Vercel in der Region Frankfurt am Main (fra1); die Anwendungsdatenbank liegt bei Neon in der Region AWS Frankfurt am Main (eu-central-1).

Beide Anbieter haben ihren Sitz in den USA. Nach ihren eigenen Vertragsunterlagen können Daten auch in den USA oder an anderen Standorten der Anbieter und ihrer Unterauftragnehmer verarbeitet werden, etwa beim Auslieferungsnetz, im Support oder in der Überwachung des Betriebs. Mit beiden Anbietern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Übermittlungen in die USA sind über das EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO, soweit der Empfänger zertifiziert ist) bzw. EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Einzelheiten finden Sie in § 7.

§ 7 Auftragsverarbeiter

Zur Bereitstellung der Website und der Anwendung binden wir Dienstleister ein, die in unserem Auftrag personenbezogene Daten verarbeiten. Mit allen unten genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Die vollständige Liste mit Verarbeitungsorten steht auch in unserer Vereinbarung zur Auftragsverarbeitung.

Vercel Inc. (Hosting der Website und der Anwendung) – Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Website und Anwendung laufen auf der Serverless-Infrastruktur von Vercel in der Region Frankfurt am Main. Beim Aufruf werden technisch notwendige Verbindungsdaten (IP-Adresse, User-Agent, Zeitpunkt, aufgerufene Adresse) verarbeitet; Vercel führt dazu Server-Logfiles (§ 3). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Bereitstellung) bzw. Art. 6 Abs. 1 lit. b DSGVO für die Anwendung. Drittlandübermittlung: Data Privacy Framework und EU-Standardvertragsklauseln. Datenschutzerklärung: vercel.com/legal/privacy-policy

Neon (Datenbank-Hosting) – Databricks, Inc. (Muttergesellschaft der Neon, LLC), 160 Spear Street, 15th Floor, San Francisco, CA 94105, USA. Die Anwendungsdatenbank (PostgreSQL), in der u. a. Benutzerkonten, gehashte Passwörter, Demo-Anfragen und die von den Trägern eingegebenen Daten gespeichert werden, wird bei Neon mit Server-Standort Frankfurt am Main betrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f für Demo-Anfragen. Drittlandübermittlung (z. B. Support- und Betriebszugriffe): EU-Standardvertragsklauseln bzw. Data Privacy Framework. Datenschutzerklärung: neon.com/privacy-policy

Google Cloud / Vertex AI (KI-Funktionen der Fachanwendung, sofern eingerichtet) – Google Cloud EMEA Limited bzw. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Konzernmutter Google LLC, USA). Nur wenn ein Träger die KI-Funktionen nutzt (Transkription von Diktaten, Entwürfe für Verlaufseinträge und Berichte), werden die dafür erforderlichen Inhalte über den Regionsendpunkt europe-west3 (Frankfurt am Main) verarbeitet; die Modellberechnung erfolgt innerhalb der EU. Auf der Website und für Besucherinnen und Besucher findet keine KI-Verarbeitung statt. Wir verwenden Ihre Daten nicht zum Training von KI-Modellen. Einzelheiten in § 10. Datenschutzinformationen: cloud.google.com/terms/data-processing-terms

S3-kompatibler Objektspeicher (Diktat-Audio, sofern eingerichtet) – Für die Zwischenspeicherung von Diktat-Aufnahmen kann ein S3-kompatibler Objektspeicher in einer EU-Region eingesetzt werden. Die Aufnahmen werden vor dem Speichern mit AES-256 verschlüsselt und nach den Fristen in § 11 gelöscht. Ist ein solcher Speicher im Einsatz, benennen wir den Anbieter mit Sitz und Verarbeitungsort in der Liste der Unterauftragsverarbeiter (AVV, § 7).

§ 8 Webanalyse, Schriften und Inhalte Dritter

Wir setzen auf dieser Website und in der Anwendung keine Dienste zur Webanalyse, Reichweitenmessung oder Werbung ein und binden keine Skripte Dritter ein. Die Schriften (Familjen Grotesk, IBM Plex Sans, IBM Plex Mono) werden von unserem eigenen Server ausgeliefert; Ihr Browser stellt dafür keine Verbindung zu Google oder anderen Schriftanbietern her.

Navigation zu Hausbesuchen. In der mobilen Ansicht der Anwendung können Fachkräfte eine Adresse per Schaltfläche in Apple Karten oder Google Maps öffnen. Erst mit diesem Klick wird die Zieladresse an den jeweiligen Kartendienst (Apple Inc. bzw. Google) übergeben; es gelten dann dessen Datenschutzbestimmungen. Ohne Klick werden keine Daten an Kartendienste übermittelt.

§ 9 Cookies und Speicherung auf Ihrem Gerät

Wir verwenden ausschließlich technisch notwendige Cookies und Gerätespeicher. Sie sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Tracking-, Marketing- oder Analyse-Cookies setzen wir nicht ein. Ein Einwilligungsbanner ist daher nicht erforderlich.

Cookies der Anmeldung (nur in der Anwendung, gesetzt von der Anmeldebibliothek Auth.js; bei verschlüsselter Verbindung mit den Präfixen __Secure- bzw. __Host-):

• authjs.session-token – verschlüsselter Sitzungsnachweis nach der Anmeldung; läuft nach spätestens 8 Stunden ab oder wird beim Abmelden gelöscht.
• authjs.csrf-token – Schutz des Anmeldeformulars vor untergeschobenen Anfragen; gilt bis zum Schließen des Browsers.
• authjs.callback-url – merkt sich, auf welche Seite Sie nach der Anmeldung zurückkehren; gilt bis zum Schließen des Browsers.

Lokaler Speicher (localStorage): In der Anwendung speichern wir Ihre Wahl des Erscheinungsbilds (jhs-theme: hell, dunkel oder System) und der Kontrasteinstellung (jhs-contrast). Diese Angaben verlassen Ihr Gerät nicht.

Offline-App (IndexedDB und Service Worker): Damit Fachkräfte ohne Netz arbeiten können, speichert die Anwendung auf dem Gerät in der Datenbank jhs-mobile noch nicht übertragene Eingaben (z. B. erfasste Termine und Fachleistungsstunden) sowie die zuletzt geladene Tagesansicht ohne Freitexte. Übertragene Einträge werden nach 24 Stunden vom Gerät entfernt; nicht übertragene bleiben bis zur Übertragung erhalten, damit nichts verloren geht. Ein Service Worker hält nur statische Programmdateien und eine Offline-Seite vor, keine Seiten mit Falldaten. Diese Daten liegen ausschließlich lokal auf dem Gerät und werden nur an unsere Server übertragen, wenn wieder eine Verbindung besteht. Verantwortlich für die Inhalte ist der Träger (§ 10).

§ 10 Nutzung der Software durch Träger (Fachanwendung, Sozialdaten)

(1) Soweit Träger Ormisi nutzen, um personenbezogene Daten der von ihnen betreuten Kinder, Jugendlichen und Familien sowie ihrer Mitarbeitenden zu verarbeiten (z. B. Fallakten, Verlaufseinträge, Berichte, Sozialdaten), ist der jeweilige Träger der Verantwortliche im Sinne der DSGVO. Wir handeln in diesem Fall als Auftragsverarbeiter auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO und – soweit anwendbar – § 80 SGB X (AVV). Betroffene Personen wenden sich mit ihren Anliegen bitte an den jeweiligen Träger; bei uns eingehende Anfragen leiten wir an ihn weiter.

(2) KI-Funktionen. Die KI-Funktionen (Transkription eines Diktats, Entwurf eines Verlaufseintrags oder Berichts) werden ausschließlich nach den Weisungen des Trägers und im Rahmen der AVV eingesetzt. Die Verarbeitung erfolgt über Google Cloud Vertex AI mit dem Regionsendpunkt europe-west3 (Frankfurt am Main). Allgemeine KI-Dienste außerhalb dieser Region (z. B. OpenAI oder die öffentliche Gemini-API) sind im Produktivbetrieb technisch gesperrt. Wir verwenden Ihre Daten nicht zum Training von KI-Modellen.

(3) Vor der Übermittlung für einen Text-Entwurf ersetzt die Anwendung bekannte Namen, Adressen, Einrichtungen und Kennungen (z. B. Telefonnummern, E-Mail-Adressen, IBAN) durch Platzhalter (Pseudonymisierung). Für die Transkription muss die Sprachaufnahme selbst übermittelt werden; sie wird vorher verschlüsselt gespeichert und nach den Fristen in § 11 gelöscht. Als anvertraut gekennzeichnete Inhalte (§ 65 SGB VIII) sind besonders geschützt und werden nicht von der KI verarbeitet. Sie diktieren nach dem Termin – Gespräche mit Familien werden nicht aufgezeichnet. Jeder KI-Entwurf braucht die Freigabe der Fachkraft.

§ 11 Dauer der Speicherung

Die Dauer der Speicherung personenbezogener Daten richtet sich nach den geltenden gesetzlichen Aufbewahrungsfristen und unseren betrieblichen Erfordernissen. Daten werden nach Ablauf dieser Fristen oder nach Wegfall des Verarbeitungszwecks routinemäßig gelöscht. Im Einzelnen gelten in der Regel folgende Fristen:

• Vertragsunterlagen (z. B. Verträge, Rechnungen): 10 Jahre (gesetzliche Buchhaltungs- und Steuerpflichten).
• Server-Logfiles mit IP-Adressdaten: kurzfristig zur Gewährleistung der Betriebssicherheit, längstens bis zu 3 Jahre bei sicherheitsrelevanten Vorfällen.
• Anfragen über das Demo-Formular oder per E-Mail: bis zur abschließenden Bearbeitung, spätestens 12 Monate nach dem letzten Kontakt, sofern daraus kein Vertrag entsteht und keine längeren Fristen gelten.
• Sitzungs-Cookie: höchstens 8 Stunden; übrige Anmelde-Cookies bis zum Schließen des Browsers.
• Diktat-Aufnahmen in der Fachanwendung: Löschung nach Freigabe des Eintrags, spätestens 30 Tage nach der Aufnahme.
• Daten der Träger in der Fachanwendung: für die Dauer des Vertrags; nach Vertragsende 30 Tage zum Export, danach Löschung nach Maßgabe der AVV.
• Daten im Zusammenhang mit Rechtsangelegenheiten: bis zu 6 Jahre.

§ 12 Rechte der betroffenen Person

Als betroffene Person haben Sie gemäß der DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Bestätigung über die Verarbeitung und eine Kopie Ihrer Daten zu verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger und Vervollständigung unvollständiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): unter den dort genannten Bedingungen die Löschung Ihrer Daten zu verlangen.
• Recht auf Einschränkung (Art. 18 DSGVO): unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung zu verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): der auf Art. 6 Abs. 1 lit. e oder f DSGVO gestützten Verarbeitung zu widersprechen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Beschwerderecht (Art. 77 DSGVO): sich bei einer Aufsichtsbehörde zu beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des mutmaßlichen Verstoßes.

Wenn Sie eines dieser Rechte ausüben möchten, können Sie sich jederzeit an uns wenden (z. B. per E-Mail an hallo@matiamu.de) oder an unseren Datenschutzbeauftragten (§ 2a). Bitte beachten Sie, dass wir zur Bestätigung Ihrer Identität möglicherweise zusätzliche Informationen benötigen.

Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Internet: www.ldi.nrw.de

§ 13 Weitergabe personenbezogener Daten an Dritte

Wir arbeiten mit ausgewählten externen Auftragsverarbeitern zusammen, an die wir personenbezogene Daten zur Erbringung unserer Leistungen übermitteln: Hosting der Website und Anwendung (Vercel, Region Frankfurt), Datenbank-Hosting (Neon, Region Frankfurt) sowie – bei Nutzung der KI-Funktionen – Google Cloud Vertex AI (Region Frankfurt) und gegebenenfalls ein S3-kompatibler Objektspeicher für Diktat-Audio. Eine Übersicht mit Anschriften, Zwecken und Rechtsgrundlagen finden Sie in §§ 6 und 7. Alle Dienstleister werden sorgfältig ausgewählt und sind vertraglich verpflichtet, personenbezogene Daten gemäß unseren Weisungen und den geltenden Datenschutzgesetzen zu verarbeiten (Art. 28 DSGVO). Befinden sich Dienstleister außerhalb der EU/EWR, gewährleisten wir ein angemessenes Datenschutzniveau durch geeignete Garantien (Angemessenheitsbeschluss bzw. Standardvertragsklauseln). Eine Weitergabe zu Werbezwecken findet nicht statt.

§ 14 Änderungen dieser Datenschutzerklärung

Wir behalten uns das Recht vor, diese Datenschutzerklärung jederzeit im Zuge der Verbesserung unserer Dienste, der Einführung neuer Technologien oder aufgrund von Änderungen der gesetzlichen Bestimmungen zu aktualisieren. Wir empfehlen Ihnen daher, diese Datenschutzerklärung von Zeit zu Zeit zu überprüfen.

Es gilt deutsches Recht.