Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO für die NHS-Encryption-Plattform:

Wir verarbeiten personenbezogene Daten, soweit dies für den Betrieb der NHS-Plattform, die Bereitstellung der Verschlüsselungs-API, die Bearbeitung von Anfragen, die Vertragsanbahnung und -durchführung, die Systemsicherheit, die Protokollierung technischer Vorgänge sowie die Erfüllung gesetzlicher Pflichten erforderlich ist. Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. b, c oder f DSGVO.

Bei der Registrierung verarbeiten wir E-Mail-Adresse, optionalen Namen und ein Passwort, das ausschließlich als scrypt-Hash gespeichert wird (kein Klartext). Die Daten dienen der Authentifizierung, Vertragsabwicklung und Kommunikation. Speicherdauer: für die Vertragsdauer und anschließend bis zum Ablauf gesetzlicher Aufbewahrungspflichten.

Optional kann eine Anmeldung über Google erfolgen. Dabei werden über das OpenID-Connect-Protokoll folgende Angaben aus dem Google-ID-Token verarbeitet: stabile Google-Konto-ID (sub), E-Mail-Adresse, E-Mail-Verifizierungs­status und Anzeigename. Die Verarbeitung erfolgt zur Authentifizierung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Eine Verknüpfung mit einem bestehenden NHS-Account erfolgt nur, wenn die E-Mail-Adressen übereinstimmen. Es findet keine Datenweitergabe an Google darüber hinaus statt.

Wir setzen ein technisch notwendiges Session-Cookie (nhs_session) zur Aufrechterhaltung der Anmeldung. Das Cookie ist HttpOnly, Secure, SameSite=Lax und enthält ausschließlich eine signierte Account-Referenz, keine personen­bezogenen Inhalte. Speicherdauer: bis zu 30 Tage oder bis zur Abmeldung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig).

Beim Aufruf der Plattform werden technisch erforderliche Verbindungsdaten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, Browserkennung). Diese Daten werden zur Inhaltsauslieferung, Angriffserkennung und Störungsbehebung benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Speicherung erfolgt nur so lange, wie für einen sicheren Betrieb erforderlich (in der Regel 14–90 Tage).

Bei Nutzung der NHS-Encryption-API werden pro Vorgang Metadaten geloggt: Tracking-ID, Tenant, Zeitstempel, Sequenznummer, Status (angenommen/abgelehnt), Größe in Bytes. Klartext-Inhalte werden niemals geloggt oder gespeichert. Diese Telemetrie dient der Abrechnung, Audit-Erstellung und Missbrauchs­erkennung. Speicherdauer: gemäß Vertrag, mindestens 90 Tage, höchstens 7 Jahre (handelsrechtliche Aufbewahrung).

Personen­bezogene Daten werden nur an Dritte weitergegeben, soweit dies zur Vertragserfüllung, zur technischen Bereitstellung, zur Sicherheit oder aufgrund gesetzlicher Verpflichtungen erforderlich ist. Eingesetzte Auftragsverarbeiter (Hosting-Provider, Mail-Versender, Zahlungsdienst­leister) werden nach Art. 28 DSGVO vertraglich eingebunden. Eine Übermittlung in Drittländer findet nur unter Berücksichtigung der Art. 44 ff. DSGVO statt.

Sie haben nach Maßgabe der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Soweit eine Verarbeitung auf Einwilligung beruht, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden.

Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichts­behörde, in der Regel am Ort des Anbieters (Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz).

Auf Anforderung an kontakt@usc-software-ug.de schließen wir Accounts und löschen alle damit verbundenen personen­bezogenen Daten, soweit keine gesetzlichen Aufbewahrungs­pflichten entgegenstehen. Anonymisierte Telemetrie kann darüber hinaus zu statistischen Zwecken weiterverarbeitet werden.

Diese Datenschutzerklärung wird angepasst, sobald sich rechtliche Vorgaben, technische Abläufe, eingesetzte Dienstleister oder Produkt­funktionen wesentlich ändern.