Wie LexDuvia mit Daten umgeht.

Überblick

Wir unterscheiden zwei Rollen. Auf dieser Website und bei Anfragen per E-Mail sind wir, die LexDuvia UG, selbst verantwortlich. In der App LexDuvia verarbeiten wir Daten im Auftrag des Trägers, der Ihren Zugang eingerichtet hat. Verantwortlich ist dann der Träger, wir handeln nach seiner Weisung (Art. 28 DSGVO).

Auf dieser Website zählen wir Besuche mit einer selbst betriebenen Statistik, ohne Cookies und ohne etwas in Ihrem Browser zu speichern (siehe Besucherstatistik der Website). In der App zählen wir die Nutzung nur, wenn die jeweilige Person zugestimmt hat (siehe Nutzungsstatistik in der App). Werbe- und Trackingdienste Dritter setzen wir nirgends ein. Schriften und Programmdateien kommen von unserem eigenen Server, nicht von Dritten.

Verantwortlicher

LexDuvia UG (haftungsbeschränkt)
Sprengerstraße 7, 31134 Hildesheim
Vertreten durch Tijan Eichner
E-Mail: kontakt@lexduvia.de

Fragen zum Datenschutz richten Sie an dieselbe Adresse.

Besuch der Website

Wenn Sie eine Seite aufrufen, verarbeitet unser Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung. Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren. Diese Serverdaten werten wir nicht zu Statistik- oder Werbezwecken aus, die Besucherstatistik beschreibt der nächste Abschnitt.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Server stehen in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein.

Besucherstatistik der Website

Um zu verstehen, wie Besucher diese Website nutzen, zählen wir Besuche mit Umami, selbst betrieben auf unserem Server bei der Hetzner Online GmbH in Nürnberg. Wir setzen dafür keine Cookies und speichern nichts in Ihrem Browser. Kein Dritter erhält die Daten.

Gezählt werden: aufgerufene Seiten, die Seite, von der Sie kommen (ohne angehängte Parameter), Kampagnenangaben im Link (utm), Klicks auf Links und Knöpfe mit ihrer Beschriftung, welche Abschnitte einer Seite Sie erreichen, wie weit Sie scrollen, wie lange die Seite sichtbar war und wie schnell sie geladen hat. Dazu kommen Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache sowie Land, Region und Stadt, abgeleitet aus der IP-Adresse.

Die IP-Adresse speichert die Statistik nicht. Damit mehrere Seitenaufrufe als ein Besuch zählen, bildet Umami aus IP-Adresse, Browserkennung und einem geheimen Wert, der jeden Monat wechselt, eine Kennung. Im nächsten Monat erkennt die Statistik Sie deshalb nicht wieder. Die Daten löschen wir nach 24 Monaten. Gegen gefälschte Zählungen zählt unser Server die Aufrufe je IP-Adresse im Arbeitsspeicher und vergisst sie spätestens nach zwei Minuten.

Rechtsgrundlage ist unser berechtigtes Interesse, die Website zu verbessern und zu sehen, welche Inhalte ankommen (Art. 6 Abs. 1 lit. f DSGVO). Sie können widersprechen, indem Sie in Ihrem Browser "Do Not Track" oder "Global Privacy Control" einschalten. Dann zählt diese Website nichts.

Cookies und Browserspeicher

Wir speichern im Browser nur, was für die Funktion nötig ist. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 TDDDG).

Kontakt per E-Mail

Schreiben Sie uns eine E-Mail, etwa um einen Demo-Termin anzufragen, speichern wir Ihre Adresse, Ihre Nachricht und den Zeitpunkt in unserem Postfach, um die Anfrage zu beantworten und den Termin zu vereinbaren. Sagen wir einen Termin zu, trägt ihn unser Kalender mit Ihrer E-Mail-Adresse ein. Rechtsgrundlage ist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Nachricht, wenn die Anfrage erledigt ist, sofern keine Aufbewahrungspflicht besteht.

Die App LexDuvia

In LexDuvia dokumentieren Träger der Kinder- und Jugendhilfe ihre Fälle. Wir verarbeiten diese Daten ausschließlich im Auftrag des Trägers. Die Rechtsgrundlage liegt beim Träger, insbesondere im Sozialdatenschutz (§§ 61 ff. SGB VIII, §§ 67 ff. SGB X). Wenn Sie Fragen zu Daten in einer Akte haben, wenden Sie sich bitte an den Träger. Anfragen, die bei uns eingehen, leiten wir weiter.

Welche Daten

• Zugänge der Mitarbeitenden: Name, E-Mail, Funktion beim Träger, Passwort nur als Prüfwert, zweiter Anmeldefaktor (bei Trägern Pflicht), laufende Anmeldungen mit IP-Adresse und Browserkennung.
• Fallakten: Angaben zu Kindern, Jugendlichen und ihren Angehörigen, Einträge, Hilfepläne, Berichte, Bescheide, Termine, Abrechnungsdaten und Dokumente. Darunter können Gesundheitsangaben sein, also besondere Kategorien nach Art. 9 DSGVO.
• Zeiterfassung der Mitarbeitenden: Arbeitszeiten und Pausen, Sollstunden, Urlaub und Abwesenheiten, bei Krankheit nur die Art der Abwesenheit, keine Diagnose. Sehen können das die Person selbst sowie Geschäftsführung und Verwaltung des Trägers. Kolleginnen und Kollegen sehen im Kalender nur, dass jemand abwesend ist, nicht warum.
• Protokoll: Jeder Zugriff auf eine Akte, auch ein abgewiesener, wird mit Person, Zeitpunkt und Vorgang festgehalten. Der Träger kann so gegenüber der Aufsicht nachweisen, wer was gesehen und geändert hat.

Wie wir sie schützen

• Übertragung nur verschlüsselt (TLS).
• Dokumente und daraus erkannter Text liegen verschlüsselt (AES-256), mit eigenem Schlüssel je Träger.
• Rechte je Rolle und Akte, geprüft auf dem Server. Was jemand nicht sehen darf, wird nicht geladen.
• Einträge sind nach 48 Stunden gesperrt, Änderungen entstehen als neue Fassung mit Zeit und Namen.
• Zugänge werden nicht gelöscht, sondern deaktiviert, damit das Protokoll nachvollziehbar bleibt.

E-Mails und Benachrichtigungen aus der App

LexDuvia schickt Mitarbeitenden des Trägers E-Mails von der Adresse no-reply@lexduvia.de, und zwar in diesen Fällen: Zugang angelegt oder neues Startpasswort, Passwort vergessen oder geändert, Anmeldung auf einem neuen Gerät, Zwei-Faktor-Anmeldung eingerichtet, zurückgesetzt oder ausgeschaltet, sowie die Erinnerung an den Wochenbericht, wenn der Träger sie eingestellt hat. Die Mails enthalten keine Inhalte aus Akten und keine Namen von Kindern oder Familien. Die Erinnerung an den Wochenbericht lässt sich in der App unter Einstellungen, Verhalten abstellen.

Dafür verarbeiten wir Name und E-Mail-Adresse der Person, Art und Zeitpunkt der Mail. Um neue Geräte zu erkennen, speichern wir je Zugang eine grobe Gerätekennung (Browser und Betriebssystem, keine IP-Adresse). Versendet wird über das Mailsystem von Hetzner in Deutschland. Die Hinweise zur Sicherheit des Zugangs beruhen auf dem Vertrag mit dem Träger und unserem berechtigten Interesse, Konten zu schützen (Art. 6 Abs. 1 lit. b und f DSGVO); die Erinnerung erfolgt im Auftrag des Trägers.

Wer es auf einem Gerät einschaltet (Einstellungen, Verhalten), bekommt dieselben Erinnerungen auch als Benachrichtigung des Browsers oder Handys. Zugestellt wird über den Push-Dienst des jeweiligen Browsers (Google, Apple, Mozilla oder Microsoft). Der Inhalt ist Ende-zu-Ende verschlüsselt, der Dienst sieht nur die Geräteadresse und den Zeitpunkt. Wir speichern je Gerät diese Adresse und eine grobe Gerätekennung. Beim Ausschalten, beim Abmelden über das Kontomenü und wenn der Dienst das Gerät nicht mehr kennt, löschen wir sie. Die Dienste können ihren Sitz in den USA haben; es gelten der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln.

KI und Spracherkennung

LexDuvia nutzt KI, um Diktate auszuwerten, Berichte vorzuschreiben, Anliegen rechtlich einzuordnen und Fragen an das Handbuch des Trägers aus dessen eigenen Einträgen zu beantworten.

Spracherkennung

Aufnahmen werden auf dem Server des Trägers in Deutschland in Text umgewandelt (Whisper). Die Tonaufnahme verlässt diesen Server nicht und geht an keinen Dritten.

Sprachmodelle

Für die Auswertung nutzen wir Claude-Modelle über Amazon Bedrock (Amazon Web Services EMEA SARL, Luxemburg). Die Verarbeitung läuft über das EU-Inferenzprofil in Rechenzentren der EU. Die Protokollierung der Eingaben ist in unserem Konto ausgeschaltet. Nach Angaben von AWS werden die Inhalte nicht an den Modellanbieter weitergegeben und nicht zum Training verwendet.

Übermittelt wird, was für die jeweilige Aufgabe nötig ist: der Text eines Diktats, für einen Berichtsentwurf die Einträge des Zeitraums, für einen Antrag die Angaben zum Anliegen. Vorher ersetzt LexDuvia Namen, Geburtsdaten, Aktenzeichen, Anschriften, Telefonnummern, E-Mail-Adressen und Kontonummern durch Platzhalter wie "[Vorname 1]". Die Zuordnung bleibt auf unserem Server, nur für die Dauer der Anfrage im Arbeitsspeicher, und setzt die Namen in die Antwort wieder ein. Orte, Einrichtungen und allgemeine Daten bleiben stehen, weil die Aufgabe sie braucht. Namen erkennt LexDuvia aus der Akte und automatisch; ein sehr ungewöhnlicher Name, der nicht in der Akte steht, kann in seltenen Fällen unerkannt bleiben. Ist die automatische Erkennung nicht erreichbar, geht nichts an die KI. Vertrauliche Notizen fließen in keinen Berichtsentwurf ein.

Wissensdatenbank

Bevor eine Erfahrung in die Wissensdatenbank eines Trägers kommt, prüft LexDuvia sie auf Namen, Geburtsdaten, Anschriften und Aktenzeichen aus dem Fall. Enthält sie solche Angaben, wird sie nicht gespeichert.

Keine automatisierten Entscheidungen

Ergebnisse der KI sind Vorschläge. Eine Fachkraft prüft sie, bevor etwas gespeichert oder versandt wird. Im Kinderschutz (§ 8a SGB VIII) setzt LexDuvia keine KI ein: Die Fachkräfte bewerten nach dem Katalog ihres Trägers und treffen die Einschätzung selbst. Entscheidungen im Sinne von Art. 22 DSGVO trifft LexDuvia nicht.

Nutzungsstatistik in der App

In der App fragen wir jede Person einmal, ob wir ihre Nutzung zählen dürfen. Ohne Ja wird nichts gezählt. Die Antwort lässt sich jederzeit unter Einstellungen, Verhalten ändern, die Arbeit mit LexDuvia ist in beiden Fällen gleich.

Mit Zustimmung zählen wir, welche Seiten aufgerufen und welche Funktionen benutzt werden, wie lange Abläufe dauern (in groben Stufen) und wo Fehler auftreten. Seitenadressen speichern wir ohne Kennungen, aus "Fallakte eines bestimmten Kindes" wird "eine Fallakte". Wir speichern keine Inhalte, keine Namen, keine Texte, keine Suchbegriffe, nicht Ihren Namen und nicht Ihre IP-Adresse. Zu jeder Sitzung stehen nur Ihr Träger, Ihre Funktion und der Browsertyp.

Die Zählungen gehen über unseren Server an eine selbst betriebene Umami-Instanz auf unserem Server in Nürnberg. Kein Dritter erhält sie. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wir nutzen die Zahlen nur, um LexDuvia zu verbessern.

Feedback in der App

Über den Knopf "Feedback" oder die kurze Frage nach einem Ablauf ("Hat das gut geklappt?") können Sie uns eine Rückmeldung schicken. Sie geht an das LexDuvia-Team, nicht an Ihren Träger. Wir speichern Daumen und Text, die Seite ohne Kennungen, Ihren Träger und Ihre Funktion, nicht Ihren Namen und nicht Ihre E-Mail-Adresse. Bitte schreiben Sie keine Namen von Kindern, Familien oder Kolleginnen und Kollegen hinein.

Die Rückmeldung liegt zunächst auf dem Server Ihres Trägers, unser Server holt sie spätestens nach einer halben Stunde ab und löscht sie dort. Bei uns liegt sie auf unserem Server in Nürnberg und wird nach 24 Monaten gelöscht. Über eine neue Rückmeldung informiert uns ein Telegram-Bot, ohne ihren Inhalt. Rechtsgrundlage ist unser berechtigtes Interesse, LexDuvia zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Fehlerberichte

Tritt in der App ein Fehler auf, geht ein Bericht an unsere selbst betriebene Fehlerüberwachung (GlitchTip) auf unserem Server in Nürnberg. Er enthält die Art des Fehlers, eine gekürzte Meldung ohne Eingaben, die Stelle im Programmcode und die Seite ohne Kennungen ("eine Fallakte"). Er enthält keine Inhalte, keine Namen, nicht Ihren Namen und nicht Ihre IP-Adresse. Fehler im Browser gehen dafür erst an unseren Server, der sie bereinigt. Kein Dritter erhält die Berichte. Rechtsgrundlage ist unser berechtigtes Interesse an einer fehlerfreien und sicheren App (Art. 6 Abs. 1 lit. f DSGVO).

Empfänger

Wir setzen folgende Dienstleister ein. Die Verarbeitung erfolgt auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO).

Die Muttergesellschaft von AWS sitzt in den USA. Für den Fall eines Zugriffs von dort gelten der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und EU-Standardvertragsklauseln (Art. 46 DSGVO). An Behörden geben wir Daten nur, wenn ein Gesetz uns dazu verpflichtet. Wir verkaufen keine Daten und geben keine für Werbung weiter.

Speicherdauer

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Schreiben Sie uns an kontakt@lexduvia.de. Geht es um Daten in einer Akte, ist der Träger Ihr Ansprechpartner, wir unterstützen ihn dabei.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Datenschutz-Aufsicht in Niedersachsen (LfD Niedersachsen), Prinzenstraße 5, 30159 Hannover.

Hinweise zur Nutzung

LexDuvia ist ein Arbeitsmittel für Fachkräfte und ersetzt keine Rechtsberatung. Hinweise zu Normen, Fristen und Anträgen sind Vorschläge, die die Fachkraft im Einzelfall prüft. Jedes Zitat gleicht LexDuvia mit dem Gesetzestext ab, trotzdem bleibt die fachliche Verantwortung bei der Fachkraft. Die Bedingungen der Nutzung regelt der Vertrag mit dem jeweiligen Träger.