Datenschutzerklärung · Kundenportal und Doku-Dienst-App

1 · Wer verantwortlich ist

EcoHub München GmbH, Ohlenschlagerstr. 14, 81369 München · Geschäftsführung: Müge Fuchsenberger · Amtsgericht München, HRB 264741 · Webseite: doku-dienst.de · E-Mail, auch für Datenschutzanfragen: info@doku-dienst.de. Per E-Mail keine Falldaten.

2 · Zwei Rollen, zwei Arten von Daten

Konto, Vertrag, Rechnung, Portal: Hier ist die GmbH selbst verantwortlich. Diese Erklärung beschreibt diese Verarbeitung.
Was in der App diktiert, gefragt oder hereingegeben wird (Inhalte): Hier verarbeitet die GmbH im Auftrag der Praxis, Kanzlei oder Beratungsstelle (Art. 28 DSGVO). Verantwortlich ist die Praxis. Wie die Inhalte geschützt sind, steht im Vertrag zur Auftragsverarbeitung, in der Anlage TOM und in der Nachweismappe. Patientinnen, Mandanten und Klientinnen erhalten die Information von ihrer Praxis bzw. Kanzlei; eine Vorlage stellt die GmbH bereit.

3 · Kundenportal

Was	Wozu	Rechtsgrundlage	Wie lange
Praxis bzw. Kanzlei: Bezeichnung, Anschrift, Telefon, Fax, Briefabbinder, Fachgebiet, Angabe zur Kassenzulassung	Vertrag, Vorlagen, Eignung	Art. 6 Abs. 1 lit. b DSGVO	bis zur Beendigung des Kontos. Danach werden die Angaben gesperrt und 3 Jahre nach Vertragsende gelöscht (Verjährung, § 195 BGB), mindestens bis 6 Jahre nach Ende des Kalenderjahres der Annahme (Handelsbriefe, § 257 Abs. 1 Nr. 2, 3, Abs. 4, 5 HGB; § 147 Abs. 1 Nr. 2, 3 AO), soweit sie nicht in Rechnungen aufzubewahren sind. Auf Verlangen früher, soweit keine Aufbewahrungspflicht besteht
Person, die das Konto führt, und weitere Personen: Name, Berufsbezeichnung, E-Mail-Adresse, Rolle	Anmeldung, Vertrag, Verwaltung	Art. 6 Abs. 1 lit. b	wie oben. Wird eine Person aus dem Konto entfernt, bleiben ihre Angaben dort nur, soweit eine Annahme oder Rechnung sie nennt (Nachweis, wie oben). Ein danach für sie eigenes Konto ohne eigene neue Annahme und ohne Rechnung wird mit dem Beenden im nächsten Löschlauf gelöscht (höchstens 24 Stunden), ein nie genutztes eigenes Konto 30 Tage nach der Benachrichtigung über das Entfernen, spätestens 60 Tage nach dem Entfernen
Geräte: selbst gewählte Bezeichnung, Plattform (Telefon/PC), Prüfsumme des Gerätezertifikats, ein Hash der Gerätekennung (verlässt das Portal nicht), öffentliche Abgleichschlüssel, Zeitpunkte (Kopplung, letzter Kontakt, Trennen). Keine App-Fassung, kein Betriebssystem	Anmeldung der Geräte, Sperren verlorener Geräte	Art. 6 Abs. 1 lit. b	ein getrenntes Gerät bleibt 730 Tage als »widerrufen« vermerkt, damit es abgewiesen wird, und wird dann gelöscht. Wird das Konto gelöscht, bleibt bis zum Ablauf des Gerätezertifikats nur ein Mindesteintrag: zufällige Gerätekennung, Vermerk »widerrufen«, Generationszahl, ohne Konto, Person, Bezeichnung und Hash der Gerätekennung. Rechtsgrundlage dafür Art. 6 Abs. 1 lit. f (Sicherheit der Konten). Einem Löschverlangen oder Widerspruch stehen bis zum Ablauf zwingende Gründe der Sicherheit entgegen (Art. 17 Abs. 1 lit. c, Art. 21 Abs. 1) [Einschätzung]
Vertragsannahmen: Fassung, Datum, Person	Nachweis des Vertragsschlusses	Art. 6 Abs. 1 lit. b, c	für die Dauer des Vertrags, danach gesperrt bis 3 Jahre nach Vertragsende (§ 195 BGB), mindestens bis 6 Jahre nach Ende des Kalenderjahres der Annahme (Handelsbriefe, § 257 Abs. 1 Nr. 2, 3, Abs. 4, 5 HGB; § 147 Abs. 1 Nr. 2, 3 AO)
Bankverbindung für die Lastschrift: IBAN verschlüsselt gespeichert, angezeigt nur die letzten vier Ziffern; Mandatsreferenz und -datum; das Mandat mit Wortlaut, Zeitpunkt und erteilender Person als Nachweis	Einzug der Entgelte	Art. 6 Abs. 1 lit. b	bis zum Widerruf des Mandats bzw. zur Beendigung, auch bei Löschung auf Verlangen. Danach bleiben Mandat und IBAN gesperrt bis 13 Monate nach der letzten Lastschrift, als Nachweis bei einem Erstattungsverlangen (§ 676b Abs. 2 BGB). Buchungsbelege 8 Jahre (§ 147 Abs. 3 AO)
Rechnungen	Abrechnung, steuerliche Aufbewahrung	Art. 6 Abs. 1 lit. b, c	8 Jahre ab Ende des Ausstellungsjahres (§ 147 Abs. 1 Nr. 4, Abs. 3, 4 AO), gelöscht am 1. Januar danach
Betriebsprotokoll: Kontokennung, Ereignis (etwa »angemeldet«), bei Anmeldungen die gekürzte E-Mail-Adresse (zwei Zeichen und Domain), keine Inhalte	Sicherheit, Nachvollziehbarkeit	Art. 6 Abs. 1 lit. f (berechtigtes Interesse: Schutz der Konten)	höchstens 12 Monate, in Sicherungen bis zu weitere 60 Tage
Team-Protokoll (nur in Konten mit mehreren Personen oder offener Einladung): Zeitpunkt, handelnde Person, Anlass aus einer festen Liste (Einladung, Gerät verbunden oder getrennt, Sperre, Entfernen, Rolle, Vertrag, Ablage, Übergabe), betroffene Person, Bezeichnung des Geräts, bei Übergaben das Ziel (das Team oder die Geräte der empfangenden Person); eingeladene Adressen nur gekürzt. Kein freier Text, keine Inhalte, keine IP-Adressen, keine Anmeldezeiten	Nachvollziehbarkeit im Team, Schutz der Konten	Art. 6 Abs. 1 lit. b und f	12 Monate, mit dem Konto sofort. Die Verwaltung sieht alle Zeilen, ein Mitglied nur die über sich selbst
Übergabe-Aufträge (nur im Team, wenn die Verwaltung vor dem Entfernen einer Person deren Unterlagen an eine andere Person übergeben lässt): wer an wen, wer es veranlasst hat, Zeitpunkte, Gerätekennungen und öffentliche Abgleichschlüssel, Zustand, Zahl der übergebenen Sendungen. Keine Inhalte; die Unterlagen gehen Ende-zu-Ende-verschlüsselt über den Geräteabgleich	Übergabe durchführen, erst danach entfernen	Art. 6 Abs. 1 lit. b und f	30 Tage nach Ablauf des Auftrags, mit dem Konto sofort
IP-Adresse	Schutz vor massenhaftem Ausprobieren von Kopplungscodes und vor massenhaften Anfragen über das Formular (Drossel)	Art. 6 Abs. 1 lit. f	nur im Arbeitsspeicher, je Minute gezählt und danach verworfen. Das Portal selbst sieht nur die Adresse des vorgeschalteten Webservers; dieser schreibt kein Zugriffsprotokoll
Technisches Zugriffsprotokoll des Portals: Zeit, Methode, Adresse ohne Einmalwerte, Status	Betrieb, Fehlersuche	Art. 6 Abs. 1 lit. f	14 Tage
Einladungen weiterer Personen: eingeladene E-Mail-Adresse, wer einlädt, Zeitpunkte	Einladen ins Konto	Art. 6 Abs. 1 lit. b	Einladungslink 7 Tage gültig; Löschung 30 Tage nach Ablauf bzw. nach Annahme
Warteliste Praxisbox: Konto und Zeitpunkt der Anfrage	Rückmeldung zur Praxisbox	Art. 6 Abs. 1 lit. b (vorvertraglich)	12 Monate nach der Anfrage
Anfrage Praxisbox ohne Konto (Formular): Bezeichnung der Praxis oder Einrichtung, E-Mail-Adresse, Zahl der Plätze, freiwillig Telefon. Das Portal speichert die Angaben nicht, es schickt sie als E-Mail an info@doku-dienst.de; im Betriebsprotokoll nur Zeitpunkt und »Anfrage ohne Konto«	Angebot für die Praxisbox	Art. 6 Abs. 1 lit. b (vorvertraglich)	die E-Mail 12 Monate nach dem letzten Kontakt gelöscht, wenn kein Vertrag zustande kommt; mit Vertrag als Geschäftsbrief 6 Jahre (§ 257 HGB, § 147 AO)

Cookies: Das Portal setzt nur Cookies, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Dafür braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG):

sitzung: Anmeldung, 14 Tage
danach: Rücksprung nach der Anmeldung, 30 Minuten
erscheinung: gewählte helle oder dunkle Darstellung, 1 Jahr, nur wenn gewählt
herkunft: Aufruf aus der App; steuert, welche Seiten das Portal dort zeigt, 30 Tage

Es gibt keine Analyse, keine Werbung, kein Tracking und keine Inhalte von fremden Servern (keine eingebundenen Schriften oder Skripte Dritter).

E-Mails: Das Portal schickt den Link zur Anmeldung, Einladungen ins Team, Hinweise zur Sicherheit des Kontos (neues Gerät, Sperre, Änderungen im Team) sowie Mandatsbestätigung, Rechnung und Vorabankündigung. Versand über das E-Mail-Konto der GmbH bei der Hetzner Online GmbH (Webhosting, Rechenzentrum in Deutschland; Auftragsverarbeiter, § 5), Absender noreply@doku-dienst.de, verschlüsselt übertragen (STARTTLS). Das Betriebsprotokoll vermerkt je Versand die gekürzte Adresse, die Art der Mail und bei der Lastschrift Mandatsreferenz bzw. Rechnungsnummer, nie den Text.

Webseite doku-dienst.de: Die Webseite setzt keine Cookies, lädt nichts von Dritten und führt kein Zugriffsprotokoll.

Sicherheit: Der Webserver vermerkt Fehler im Systemjournal, etwa gescheiterte verschlüsselte Verbindungen. Dabei kann die IP-Adresse des Absenders stehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f (Schutz des Servers). Die Einträge werden mit der Rotation des Systemprotokolls nach 14 Tagen gelöscht.
Die Seite liegt auf dem Server der GmbH bei Hetzner in Deutschland (§ 5).

4 · Doku-Dienst-App

Keine Analyse, kein Absturzmelder, keine Werbekennung, keine Schriften aus dem Netz (Zusage Z35, gehalten).
Was die App der GmbH übermittelt, außer den Inhalten im Auftrag: das Gerätezertifikat (fürs Portal nur dessen Prüfsumme), einen Hash der Gerätekennung, die öffentlichen Abgleichschlüssel. Dem KI-Server nennt sie bei Aufträgen App-Fassung und Plattform zur Fehlersuche; im Portal wird davon nichts gespeichert.
Zweck: Anmeldung des Geräts, Anzeige des Vertragsstands, Fehlersuche.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b.
Kontodaten am KI-Server (Angaben der Praxis aus dem Portal) nur für das eigene Konto und nur in Richtung Portal → KI-Server. Gelöscht werden sie 30 Tage nach der letzten Nutzung (Z53, gehalten).
Betriebsprotokoll des KI-Servers: Gerätekennungen und Zeitpunkte, Status, Dauer, Modell und Fehlerart, keine Inhalte, keine Dateinamen und keine IP-Adressen der Geräte (Z6, Z79, gehalten). Es liegt nur im Arbeitsspeicher und endet mit jedem Neustart.
Vermittlungspunkt: Die Geräte bauen die verschlüsselte Verbindung zum KI-Server über einen Vermittlungspunkt in einem Rechenzentrum in Deutschland auf. Er sieht dafür die IP-Adresse des Geräts, aber keine Inhalte. Sein Protokoll vermerkt erfolgreiche Verbindungen ohne Adresse, abgewiesene Verbindungen nur mit einem gekürzten, täglich neu verschlüsselten Kennwert der Adresse, der sich nach einem Tag keiner Adresse mehr zuordnen lässt (Z20). Zweck: Aufbau der Verbindung, Schutz vor Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f.
Geräteabgleich (nur wenn die Kundin ihn einschaltet): Sendungen zwischen den eigenen Geräten liegen Ende-zu-Ende-verschlüsselt höchstens 7 Tage auf einem Server in Deutschland (Hetzner) und werden bei Abholung gelöscht. Öffnen kann sie nur das empfangende Gerät. Protokolliert werden nur Kennzahlen ohne Inhalt (Z58, gehalten; Z56). Zu Zustellung und Frist sichtbar sind Verbindungsdaten: welches Gerät an welches Gerät des Kontos, Größe und Zeitpunkt. Rechtsgrundlage für die Verbindungsdaten: Art. 6 Abs. 1 lit. b. Näheres regelt die Zusatzvereinbarung »Geräteabgleich«.
App-Stores: Wer die App über Google Play oder den App Store lädt, dem gelten die Datenschutzbestimmungen dieser Anbieter als eigene Verantwortliche.
KI-Hinweis: Antworten und Entwürfe erzeugt ein KI-Modell auf dem KI-Server der GmbH in Deutschland. Kein fremder KI-Anbieter, kein Training mit den Daten.

5 · An wen Daten gehen

Hetzner Online GmbH, Gunzenhausen: Rechenzentren in Deutschland für Kundenportal, Vermittlungspunkt und Abgleich-Ablage (Falkenstein) sowie für die E-Mail-Konten der GmbH auf doku-dienst.de und den Versand der E-Mails des Portals, auch für Datenschutzanfragen (Webhosting); Auftragsverarbeiter.
Die kontoführende Bank der GmbH für den Lastschrifteinzug.
Steuerberatung für Buchführung und Jahresabschluss, eigene Verantwortliche mit Berufsgeheimnis.
Behörden nur, soweit eine gesetzliche Pflicht besteht (Verfahren bei Behördenanfragen).

Drittländer. Die GmbH übermittelt keine Daten in Drittländer.

6 · Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Anfragen an die Kontaktadresse oben. Beschwerde bei einer Aufsichtsbehörde, zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Konto löschen (Doku-Dienst, EcoHub München GmbH)

So: eine E-Mail an info@doku-dienst.de, von der E-Mail-Adresse, mit der das Konto geführt wird. Darin die Bezeichnung der Praxis, Kanzlei oder des Büros und der Satz »Bitte das Konto löschen«. Per E-Mail keine Falldaten: Für die Löschung genügen die Angaben zum Konto. Die GmbH bestätigt den Eingang und die Löschung per E-Mail, unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Gelöscht werden sofort: Sitzungen, Links, Vorlagen, Einladungen, Warteliste, Telefon, Fax, Briefabbinder, Angabe zur Kassenzulassung. Ohne Vertragsannahme und ohne Rechnung wird das ganze Konto gelöscht. Die Personen des Kontos können sich danach nicht mehr anmelden.

Was bleibt, und wie lange:

Name, Anschrift und Vertragsannahmen, gesperrt und nur als Nachweis, bis 3 Jahre nach Vertragsende (§ 195 BGB), mindestens bis 6 Jahre nach Ende des Kalenderjahres der Annahme (§ 257 HGB, § 147 AO)
Rechnungen 8 Jahre ab Ende des Ausstellungsjahres (§ 147 AO)
Lastschriftmandat bis 13 Monate nach der letzten Lastschrift (§ 676b Abs. 2 BGB)
von getrennten Geräten nur ein Mindesteintrag ohne Konto und Person, bis das Gerätezertifikat abläuft (§ 3, Geräte)

Auf den eigenen Geräten liegen die Unterlagen im Tresor der App. Die GmbH kann sie weder lesen noch aus der Ferne löschen. Auf Android löscht das Entfernen der App sie mit. Am Linux-PC bleibt der Tresor im Benutzerordner (unter ~/.local/share, im Ordner der App); gelöscht wird er durch Entfernen dieses Ordners.

7 · Pflicht zur Angabe, keine automatisierte Entscheidung

Die Angaben im Portal sind für den Vertrag nötig. Ohne sie kann kein Konto geführt werden. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Die Zahlungssperre bei Verzug folgt einer vertraglichen Regel (Nutzungsvereinbarung Nr. 7) und wird vorher zweimal angekündigt.

Stand: 01.10.2026

Fassung 1.0 · gilt ab 01.10.2026