Datenschutz im Elternportal

KBD UG (haftungsbeschränkt) – Kurberatung Deutschland
Bachstraße 5, 66773 Schwalbach/Saar
Geschäftsführung: Annina Dessauer
Telefon: 06834 – 77 93 127
E-Mail: office@kurberatung-deutschland.de

Das Elternportal ist ausschließlich über eine verschlüsselte Verbindung (HTTPS) erreichbar. Personenbezogene Daten erheben wir nur im Rahmen des Kur-Vorgangs, den Ihre Kurberaterin für Sie eingerichtet hat, sowie bei Ihrer Nutzung des Portals selbst (Login, Dokumenten-Upload, Nachrichten).

• Zugangsdaten: Name, E-Mail-Adresse, Passwort (gehasht, nicht im Klartext gespeichert).
• Vorgangsdaten: Bearbeitungsstatus Ihres Kurantrags, zuständige Kurberaterin, Informationen zur Klinikauswahl.
• Hochgeladene Dokumente: die von Ihnen oder Ihrer Kurberaterin hochgeladenen Unterlagen zu Ihrem Kurantrag. Diese können gesundheitsbezogene Angaben im Sinne von Art. 9 DSGVO enthalten (besondere Kategorie personenbezogener Daten).
• Nachrichten: der Nachrichtenverlauf zwischen Ihnen und Ihrer Kurberaterin innerhalb des Portals.

Die Verarbeitung erfolgt zur Durchführung der Kurberatung, mit der Sie uns bereits beauftragt haben (Art. 6 Abs. 1 lit. b DSGVO). Soweit hochgeladene Dokumente gesundheitsbezogene Angaben enthalten, verarbeiten wir diese auf Grundlage Ihrer ausdrücklichen Einwilligung, die im Zusammenhang mit Ihrem Kurantrag erteilt wird (Art. 9 Abs. 2 lit. a DSGVO). Sie können diese Einwilligung jederzeit gegenüber Ihrer Kurberaterin widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Das Elternportal läuft über Lovable Cloud, betrieben von Lovable Labs Incorporated (USA), in der Europäischen Union vertreten durch Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden. Als technische Infrastruktur setzt Lovable dabei Supabase als Unterauftragsverarbeiter ein. Lovable ist für uns Auftragsverarbeiter im Sinne von Art. 28 DSGVO; es besteht ein entsprechender Auftragsverarbeitungsvertrag mit Lovable.

(Bitte vor Veröffentlichung im Lovable-Projekt unter Cloud/Datenbank-Einstellungen den konkreten Speicherort/die Region bestätigen und hier ergänzen, z. B. „Datenbankstandort ist die Region Irland (Europe/Ireland)“.)

Der Zugriff auf Ihren Vorgang ist technisch auf Ihr eigenes Konto beschränkt. Datenbankseitig gilt Row-Level-Security mit Rollenprüfung: Sie sehen ausschließlich Ihren eigenen Vorgang, Ihre Kurberaterin sieht die ihr zugeordneten Vorgänge. Ein anonymer Zugriff ist ausgeschlossen.

Wenn Ihre Kurberaterin Ihren Portalzugang einrichtet, erhalten Sie eine E-Mail mit einem Einladungslink (nicht mit einem Passwort). Wenn eine neue Nachricht für Sie vorliegt, erhalten Sie eine kurze Benachrichtigungs-E-Mail ohne den eigentlichen Nachrichteninhalt. Der Versand erfolgt über den in Lovable Cloud integrierten E-Mail-Versand desselben Auftragsverarbeiters (siehe oben) – es ist kein zusätzlicher externer Versanddienstleister eingebunden.

Sicherheitsrelevante Aktionen (z. B. Zugriffe auf hochgeladene Dokumente, Statusänderungen) werden protokolliert, damit Missbrauch nachvollzogen werden kann. Bei Anmeldeversuchen speichern wir IP-Adresse und E-Mail-Adresse in nicht umkehrbar gehashter Form für maximal 24 Stunden, um wiederholte Angriffsversuche zu erkennen und zu blockieren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb des Portals (Art. 6 Abs. 1 lit. f DSGVO).

Für Ihre Anmeldung wird eine technisch notwendige Sitzung unseres Authentifizierungsdienstes (Supabase Auth) in Ihrem Browser gespeichert. Sie dient ausschließlich dem sicheren Login und wird beim Abmelden entfernt. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.

Wir speichern die Daten Ihres Kur-Vorgangs, einschließlich hochgeladener Dokumente und des Nachrichtenverlaufs, für längstens 24 Monate nach Abschluss bzw. Sperrung des Vorgangs und löschen sie danach. Auf Ihren Wunsch löschen wir Ihre Daten jederzeit vorher – eine E-Mail an die oben genannte Adresse genügt. Gesetzliche Aufbewahrungspflichten (z. B. handels- oder steuerrechtlicher Art für abrechnungsrelevante Unterlagen) bleiben hiervon unberührt und können im Einzelfall zu einer längeren Aufbewahrung einzelner Unterlagen führen.

Im Rahmen der Kurplatzsuche und der Antragstellung arbeiten wir mit mehreren unabhängigen Kurberatungen zusammen (Kooperationskurberatungen). Soweit dies zur Bearbeitung Ihrer Anfrage erforderlich ist – etwa weil eine Kooperationskurberatung die Antragstellung oder Kurplatzsuche für Sie übernimmt –, geben wir die dafür notwendigen Angaben an die jeweils zuständige Kooperationskurberatung weiter.

Bei einem Widerspruch gegen eine Ablehnung vermitteln wir auf Wunsch zudem kostenfreie anwaltliche Unterstützung im Rahmen unserer Kooperation; in diesem Fall werden die notwendigen Angaben an die vermittelte Kanzlei weitergegeben.

Rechtsgrundlage ist die Einwilligung, die Sie beim Absenden des Antragsformulars erteilen, sowie Art. 6 Abs. 1 lit. b DSGVO. Welche konkrete Kooperationskurberatung bzw. Kanzlei im Einzelfall für Sie zuständig ist, teilt Ihnen Ihre Ansprechpartnerin persönlich mit.

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten Daten, deren Herkunft und Empfänger und den Zweck der Verarbeitung (Art. 15 DSGVO) sowie ein Recht auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wenden Sie sich dafür an die oben genannte Adresse. Außerdem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, für uns beim Unabhängigen Datenschutzzentrum Saarland.

Diese Seite nutzt zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS- Verschlüsselung, erkennbar am „https://“ in der Adresszeile und dem Schloss-Symbol Ihres Browsers.