SupportHero Support

1. Verantwortlicher

MESU Praxissysteme GmbH
Muehlental 1, 15236 Frankfurt (Oder)
Telefon: 0335 / 60 672-32
E-Mail: info@ibw-albis.de

2. Welche Daten wir verarbeiten

Im Rahmen der Nutzung dieses Support-Portals verarbeiten wir folgende personenbezogene Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer
• Ticket-Inhalte: Ihre Anfragen, Nachrichten, Kommentare und hochgeladene Dateianhaenge (bis 10 MB, erlaubte Formate gemaess Upload-Dialog)
• Zugangsdaten: E-Mail-Adresse und Passwort-Hash (Bcrypt, Klartext-Passwort wird nicht gespeichert). Bei aktivierter Zwei-Faktor-Authentifizierung: TOTP-Secret und gehashte Backup-Codes. Historie der letzten fuenf Passwort-Hashes, um Wiederverwendung zu verhindern.
• Zugriffs- und Sicherheitsprotokolle:
  • Fehlgeschlagene Login-Versuche mit IP-Adresse und eingegebener E-Mail zur Brute-Force-Abwehr (max. 24 Stunden aufbewahrt)
  • Aktive Sitzungen mit IP-Adresse, User-Agent, Anmelde- und letztem Aktivitaets-Zeitpunkt zur Darstellung Ihrer eingeloggten Geraete und fuer Remote-Logout
  • Administrations-Audit-Log ueber sicherheitsrelevante Aktionen (Login, Logout, Passwort-Aenderung, 2FA-Aktivierung, Sitzungsbeendigung) mit IP-Adresse und User-Agent; fehlgeschlagene Anmeldeversuche (Mitarbeiter-Login, Kundenportal, Zwei-Faktor-Code und Zugangsschluessel des Buero-Wandbildschirms) werden dort nur mit Zeitpunkt, IP-Adresse und User-Agent erfasst, ohne die eingegebene E-Mail bzw. den eingegebenen Schluessel. Anmeldeversuche, die wegen einer bestehenden Sperre abgewiesen werden, werden nur als Anzahl je Minute gezaehlt, ohne IP-Adresse und ohne E-Mail (max. 24 Stunden, der juengste Zaehlerstand bleibt stehen)
  • Zaehler fuer API-Anfragen (Rate-Limiting bei Passwort-vergessen etc.)
• Technische Daten: IP-Adresse, Zeitpunkt des Zugriffs, Browser-Typ (Server-Logfiles)

3. Zweck der Verarbeitung

• Bearbeitung und Beantwortung Ihrer Support-Anfragen
• Verwaltung Ihres Kundenkontos und Zustellung von E-Mail-Benachrichtigungen
• Bereitstellung der FAQ / Wissensdatenbank
• Gewaehrleistung der technischen Sicherheit des Systems (Brute-Force-Schutz, Rate-Limiting, Sitzungsverwaltung, Zwei-Faktor-Authentifizierung, Audit-Protokollierung zur Nachvollziehbarkeit sicherheitsrelevanter Aktionen)
• Einhaltung gesetzlicher Aufbewahrungs- und Nachweispflichten

4. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Erfuellung eines Vertrags bzw. vorvertragliche Massnahmen (Support-Leistung im Rahmen bestehender Geschaeftsbeziehung)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse an der effizienten Bearbeitung von Kundenanfragen, der IT-Sicherheit (insb. Protokollierung von Login-Versuchen und Admin-Aktionen) sowie der Zustellung von Transaktions-E-Mails
• Art. 6 Abs. 1 lit. c DSGVO – Erfuellung rechtlicher Verpflichtungen (z.B. steuer- und handelsrechtliche Aufbewahrungsfristen)

5. Cookies und lokale Speicherung

Dieses Portal verwendet ausschliesslich technisch notwendige Cookies. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies und keine Cookies von Drittanbietern.

• Sitzungs-Cookie (Anmeldung, Schutz gegen gefaelschte Formularanfragen/CSRF): gesetzt mit HttpOnly, Secure und SameSite=Lax. Es enthaelt nur eine zufaellige Sitzungskennung und laeuft spaetestens 8 Stunden nach dem Setzen ab; mit dem Abmelden wird die Sitzung sofort beendet.
• „Angemeldet bleiben“ (nur Mitarbeiter-Anmeldung und nur, wenn diese Option beim Anmelden ausdruecklich gewaehlt wird): ein Cookie mit einem zufaelligen Geraete-Token, gesetzt mit HttpOnly, Secure und SameSite=Lax. Es gilt 365 Tage ab der letzten Nutzung, wird beim Abmelden geloescht und kann in den Profileinstellungen fuer jedes Geraet einzeln widerrufen werden.

Im localStorage des Browsers speichert die Oberflaeche ausschliesslich Anzeige-Einstellungen und technische Zustaende: den Stand der Desktop-Benachrichtigungen (damit Hinweise nicht doppelt erscheinen), die Wahl des dunklen Farbschemas, die gewaehlte Projektansicht sowie im Mitarbeiterbereich den Spielstand des internen Minispiels und die Version der Zeiterfassungs-App. Personenbezogene Daten werden dort nicht gespeichert; die Eintraege verlassen den Browser nicht.

Eine Einwilligung ist hierfuer nicht erforderlich, weil die Speicherung unbedingt erforderlich ist, um den ausdruecklich gewuenschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Externe Dienste und Auftragsverarbeitung

Wir setzen folgende externe Dienste ein. Mit allen Anbietern, die personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Vertraege zur Auftragsverarbeitung nach Art. 28 DSGVO:

• STRATO AG, Otto-Ostrowski-Strasse 7, 10249 Berlin – Hosting des Portals und Speicherung der Datenbank (Standort: Deutschland).
• Sendinblue GmbH (Brevo), Koepenicker Str. 126, 10179 Berlin – Versand von transaktionalen E-Mails (Passwort-Reset-Links, Ticket-Benachrichtigungen). Uebertragen werden Empfaenger-Adresse, Betreff und Nachrichtentext.
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Serverdienste (Audio-Transkription per Whisper-API), falls ein Ticket Sprachnachrichten enthaelt. Audio-Dateien werden temporaer verarbeitet und nach der Transkription geloescht (Standort: Deutschland).
• Tailwind Labs / Cloudflare und jsDelivr – Laden des CSS-Frameworks (Tailwind CSS) und der QR-Code-Bibliothek fuer die Zwei-Faktor-Einrichtung ueber Content-Delivery-Netzwerke. Dabei wird Ihre IP-Adresse an den CDN-Betreiber uebermittelt. Rechtsgrundlage: berechtigtes Interesse an einer einheitlichen und performanten Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

7. Desktop-Anwendung (optional)

Fuer Mitarbeiter unserer Kunden steht eine optionale Desktop-Anwendung (Windows) zur Verfuegung, die auf dem Framework Electron (Chromium) basiert. Die App laedt ausschliesslich dieses Portal und speichert keine Geschaeftsdaten lokal. Ueber einen HTTPS-Abruf (electron-updater) prueft die App beim Start, ob eine neue Version verfuegbar ist. Dabei wird ausser Ihrer IP-Adresse und der Anwendungsversion keine Information uebertragen.

8. Weitergabe an Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an sonstige Dritte erfolgt nicht, es sei denn, dies ist zur Vertragserfuellung erforderlich, Sie haben eingewilligt oder wir sind gesetzlich dazu verpflichtet (z.B. gegenueber Strafverfolgungs- oder Steuerbehoerden).

9. Speicherdauer

• Ticket-Daten und Kommunikation: fuer die Dauer der Geschaeftsbeziehung sowie bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (in der Regel 6 oder 10 Jahre nach Handels- bzw. Steuerrecht)
• Anonymisierung: auf Antrag nach Art. 17 DSGVO werden personenbezogene Merkmale in abgeschlossenen Tickets geschwaerzt ("Recht auf Vergessenwerden"), sofern keine Aufbewahrungspflichten entgegenstehen
• Fehlgeschlagene Login-Versuche: mit eingegebener E-Mail 24 Stunden; im Admin-Audit-Log ohne E-Mail bis zu drei Jahre (siehe unten)
• API-Rate-Limit-Zaehler: 24 Stunden
• Aktive Sitzungen: bis zum Logout, Remote-Logout oder Ablauf der Session (acht Stunden Inaktivitaet)
• Passwort-Historie: die fuenf juengsten Eintraege je Benutzer
• Admin-Audit-Log: bis zu drei Jahre, anschliessend Loeschung. Einzelne Eintraege koennen zur Aufklaerung eines Sicherheitsvorfalls laenger aufbewahrt werden.
• Server-Logfiles: 30 Tage

10. Technische und organisatorische Massnahmen

Zur Sicherung Ihrer Daten setzen wir u.a. folgende Massnahmen ein:

• Durchgehend HTTPS-Verschluesselung (TLS, HSTS)
• Passwoerter ausschliesslich als Bcrypt-Hash gespeichert; Komplexitaetsrichtlinie und Sperrung bei Wiederverwendung der letzten fuenf Passwoerter
• Brute-Force-Schutz (gesperrtes Konto bzw. gesperrte IP nach mehrfachen Fehlversuchen) und generisches Rate-Limiting an sensiblen API-Endpunkten
• Optionale Zwei-Faktor-Authentifizierung (TOTP, RFC 6238) fuer Mitarbeiter-Accounts
• CSRF-Schutz, Content-Security-Policy, X-Frame-Options, strikte Cookie-Attribute
• Uebersicht aller aktiven Sitzungen pro Benutzer mit Remote-Logout-Funktion
• Vertrauliche Uploads (PDFs, Wiki-Anhaenge) nur ueber Login-gesicherten Proxy, Magic-Byte-Pruefung bei Bild- und PDF-Uploads
• Serverseitige Dateityp-Validierung (nicht allein auf Client-Angaben vertrauend)
• Regelmaessige Sicherungen der Datenbank

11. Automatisierte Entscheidungsfindung / Profiling

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO oder Profiling findet nicht statt. Automatisierungen (z.B. Ticket-Routing nach Team, SLA-Warnungen) dienen ausschliesslich der internen Arbeitsorganisation und haben keine rechtliche Wirkung Ihnen gegenueber.

12. Ihre Rechte

Sie haben das Recht auf:

• Auskunft ueber die bei uns gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Loeschung Ihrer Daten (Art. 17 DSGVO)
• Einschraenkung der Verarbeitung (Art. 18 DSGVO)
• Datenuebertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung fuer die Zukunft

Zur Ausuebung Ihrer Rechte wenden Sie sich bitte an: info@ibw-albis.de

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehoerde zu beschweren. Die fuer uns zustaendige Aufsichtsbehoerde ist:

Die Landesbeauftragte fuer den Datenschutz und fuer das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77, 14532 Kleinmachnow
www.lda.brandenburg.de

Stand: Oktober 2026