Datenschutzhinweis

Stand: 2. November 2026

Dieser Hinweis beschreibt, welche personenbezogenen Daten die KH-IT SERVICE GmbH im Mitgliederportal „mein KH-IT“ unter mein.kh-it.gmbh verarbeitet. Für die Partnerseiten und das Partnerportal unter kh-it.gmbh gilt die dortige Datenschutzerklärung.

Wer verantwortlich ist

KH-IT SERVICE GmbH, Plauener Straße 21, 44139 Dortmund, vertreten durch Geschäftsführer Bastian Stockhausen. Weitere Angaben stehen im Impressum.

Fragen zum Datenschutz und zu deinen Rechten richtest du an datenschutz@kh-it.de. Für alles andere erreichst du die Mitgliederbetreuung unter backoffice@kh-it.gmbh.

Worum es geht

mein KH-IT ist ein geschütztes Portal der Gesellschaft für Beschäftigte von Krankenhäusern. Die Mitgliederbetreuung prüft jeden Zugang nach Bestätigung der betrieblichen E-Mail-Adresse. Freigeschaltete Personen können den Praxisdialog und Veranstaltungen nutzen. Die Wissensbibliothek ist verifizierten KH-IT-Mitgliedern vorbehalten. Die Gesellschaft ist vom Bundesverband zu unterscheiden.

Aufruf des Portals

Beim Aufruf verarbeitet die technische Infrastruktur insbesondere die IP-Adresse, den Zeitpunkt, die angeforderte Adresse und Angaben zum Browser. Das dient der Auslieferung der Seiten, der Fehleranalyse und dem Schutz vor Missbrauch. Grundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Portal nach Art. 6 Abs. 1 Buchst. f DSGVO.

Das Portal enthält keine Werbepixel, keine Werkzeuge zur Reichweitenmessung und keine eingebetteten Inhalte anderer Anbieter. Schriftarten werden mit dem Portal ausgeliefert.

Registrierung und Prüfung

Für deinen Antrag erfassen wir Vorname, Nachname, betriebliche E-Mail-Adresse, Krankenhaus, Funktion und Ort sowie deine freiwillige Nachricht. Du bestätigst dein Postfach über einen einmaligen Link, der 24 Stunden gilt. Die Mitgliederbetreuung hält Prüfung, Entscheidung, Begründung, handelnde Person und Zeitpunkt fest. Nach Annahme kannst du einen persönlichen Einrichtungslink anfordern. Dieser gilt sieben Tage, bis du dein Passwort festlegst. Wir speichern von diesen Links nur kryptografische Prüfwerte.

Zum Schutz vor automatisierten Anfragen verwenden wir eine lokal ausgeführte Rechenprüfung und begrenzen wiederholte Anfragen. Die Sicherheitsprüfung benötigt keinen externen Captcha-Anbieter. Eine Entscheidung über deinen Zugang trifft die Mitgliederbetreuung, nicht eine automatische Domainliste.

Nachweis der KH-IT-Mitgliedschaft

Für den Mitgliedschaftsnachweis gleichen wir deine bestätigte Anmeldeadresse mit einer bereitgestellten Mitgliederreferenz ab. Aus dieser Referenz speichern wir Prüfwerte der E-Mail-Adressen, den Gültigkeitszeitraum und den Quellenbezug. Diese Prüfwerte sind personenbezogene Daten. Namen, Privatanschriften, Telefonnummern und Mitgliedsnummern übernehmen wir dafür nicht. Ein eindeutiger gültiger Treffer schaltet die Wissensbibliothek frei und kennzeichnet dich als verifiziertes KH-IT-Mitglied. Im Praxisdialog ist dieses Kennzeichen bei sichtbar benanntem Profil auch für andere freigeschaltete Personen sichtbar.

Einladung von Kolleginnen und Kollegen

Freigeschaltete Personen können betriebliche E-Mail-Adressen aus ihrem eigenen Krankenhaus einladen. Wir speichern die eingeladene Adresse, das einladende Konto, das Krankenhaus und Zeitpunkt sowie Stand der Einladung. Die eingeladene Person sieht Name und Krankenhaus der einladenden Person. Der Link gilt sieben Tage. Auch nach einer Kollegeneinladung sind die Bestätigung des Postfachs und die manuelle Prüfung erforderlich. Eine Einladung begründet keine KH-IT-Mitgliedschaft.

Anmeldung und zweiter Faktor

Für deinen Zugang speichert unser Anmeldedienst deine Anmeldeadresse und dein Passwort als kryptografischen Prüfwert, nicht als lesbaren Text. Die Zwei-Faktor-Anmeldung ist Pflicht. Dafür speichert der Anmeldedienst den geheimen Schlüssel, mit dem er die Codes deiner Authenticator-App prüft, und den Gerätenamen, wenn du einen angibst.

Über „Passwort vergessen?“ forderst du einen Link an. Er gilt eine Stunde und nur einmal. Danach bestätigst du dich mit dem zweiten Faktor und legst ein neues Passwort fest. Alle Anmeldungen auf anderen Geräten enden dann. Damit niemand Zugänge durch Ausprobieren findet oder massenhaft Mails auslöst, zählen wir das Einlösen von Einladungs- und Rücksetzlinks und die Anfragen nach einem neuen Passwort je IP-Adresse über einen pseudonymen Prüfwert.

Grundlage ist unser berechtigtes Interesse an einem geschützten Angebot für die Mitglieder und an der sicheren Verwaltung der Zugänge nach Art. 6 Abs. 1 Buchst. f DSGVO.

Cookies

Für die Anmeldung setzt unser Anmeldedienst Supabase Cookies mit einem Namen wie „sb-…-auth-token“, bei größeren Werten auf mehrere Teile verteilt. Diese Cookies enthalten deine Anmeldesitzung. Bei Anmelde- und Wiederherstellungsverfahren kann zusätzlich ein Cookie mit der Endung „code-verifier“ entstehen. Die Cookies gelten nur für mein.kh-it.gmbh: Eine Anmeldung im Partnerportal gilt hier nicht, und umgekehrt.

Neu gesetzte Anmeldecookies sind auf die Browsersitzung begrenzt. Beim Abmelden endet die Sitzung, und die Anmeldecookies werden entfernt. Weitere Cookies oder Einträge im lokalen oder im Sitzungsspeicher des Browsers legt das Portal nicht an. Die Anmeldecookies sind für den angeforderten Zugang erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Deine Angaben

Deine vollständigen Angaben sehen nur du und die Mitgliederbetreuung der KH-IT SERVICE GmbH. Im Praxisdialog erscheinen dein Name und deine Organisation, sofern du deinen Namen nicht verbirgst. E-Mail-Adressen werden dort erst nach gegenseitiger Kontaktfreigabe angezeigt. Änderungen fragst du unter „Mein Profil“ an. Die gewünschten neuen Angaben stehen dann in deiner Anfrage, bis die Mitgliederbetreuung sie übernimmt. Die E-Mail-Adresse in deinen Angaben ist deine Kontaktadresse; deine Anmeldeadresse ändert sich dadurch nicht.

Profilbild und Organisationslogo

Du kannst freiwillig ein Profilbild und ein Organisationslogo hochladen. Vor dem Speichern bestätigst du die Verwendung in deinem geschützten Profil. Die Bilder sehen nur du selbst; andere Mitglieder und Partner können sie nicht abrufen. Wir speichern das Bild und den Zeitpunkt deiner Zustimmung. Eingebettete Metadaten, etwa Standortangaben, entfernen wir beim Hochladen. Du kannst beide Bilder jederzeit ersetzen oder entfernen. Dabei wird die bisherige Datei aus der aktiven Ablage gelöscht.

Praxisdialog

Fragen, Antworten und Ergebnisvermerke sind für angemeldete, freigeschaltete Personen sichtbar. Wir speichern Inhalt, Thema, Status, Zeitpunkt und die Zuordnung zu deinem Konto. Wenn du deinen Namen bei einer Frage verbirgst, sehen andere Mitglieder weder deinen Namen noch deine Organisation, auch nicht bei deinen Antworten auf diese Frage. Für den technischen Betrieb bleibt die Frage deinem Konto zugeordnet. Die Funktion ist deshalb keine anonyme Nutzung gegenüber dem Betreiber.

Persönliche Austauschangebote sehen ausschließlich das fragende und das anbietende Mitglied. Erst wenn das fragende Mitglied das Angebot annimmt, können beide gegenseitig Name, Organisation und E-Mail-Adresse sehen. Die Zustimmung des anbietenden Mitglieds wird beim Angebot abgefragt, die des fragenden Mitglieds bei der Annahme. Wir speichern Angebot, Status und Entscheidungszeitpunkt. Beide können die Kontaktfreigabe widerrufen; bereits eingesehene oder außerhalb des Portals gespeicherte Kontaktdaten werden dadurch nicht zurückgeholt.

Wenn du Fragen oder Themen folgst, speichern wir deine Auswahl und zeigen passende Mitteilungen im Portal. Zusätzlich erscheinen veröffentlichte Meldungen der Redaktion. Den Gelesen-Status speichern wir für dein Konto. Dafür werden keine E-Mails versendet. Zur Begrenzung wiederholter Veröffentlichungen speichern wir Art und Zeitpunkt deiner Aktionen.

Du kannst Beiträge der Mitgliederbetreuung melden. Den Meldegrund sehen andere Mitglieder nicht. Die Mitgliederbetreuung kann Beiträge prüfen, ausblenden und wieder anzeigen. Diese Handlungen werden protokolliert. Bitte teile keine Patientendaten, Zugangsdaten oder vertraulichen Angaben über andere Personen.

Anfragen an die Mitgliederbetreuung

Unter „Hilfe und Kontakt“ stellst du Anfragen. Wir speichern Thema, Betreff, Nachricht, Vorgangsnummer, Stand und den Verlauf mit den Antworten der Mitgliederbetreuung. Eine offene Anfrage kannst du zurückziehen; sie bleibt mit ihrem Verlauf sichtbar. Je Mitglied sind höchstens zehn Anfragen in 24 Stunden möglich. Bitte übermittle keine Patienten- oder Gesundheitsdaten.

Grundlage ist unser berechtigtes Interesse an der Bearbeitung deiner Anliegen nach Art. 6 Abs. 1 Buchst. f DSGVO.

Veranstaltungen und Unterlagen

Die Termine stammen aus dem Terminkalender des KH-IT auf unserer Website. Die Kalenderdatei zu einem Termin enthält keine Angaben über dich. Angemeldet wird über den jeweils genannten Weg, etwa die Anmeldeseite von Microsoft Teams beim Expert Circle. Dort gelten die Datenschutzhinweise des jeweiligen Anbieters. Wir übermitteln dafür keine Daten aus dem Portal.

Unterlagen der Wissensbibliothek lädst du direkt aus dem Portal herunter. Wir speichern nicht, wer welche Unterlage herunterlädt. Die technischen Protokolle der Dienstleister bleiben davon unberührt.

Protokoll der Mitgliederbetreuung

Jede Handlung der Mitgliederbetreuung halten wir mit Zeitpunkt und handelnder Person fest, etwa eine Einladung, eine Sperre, eine Antwort oder die Übernahme geänderter Angaben. So bleibt nachvollziehbar, wer was wann getan hat. Grundlage ist unser berechtigtes Interesse an einem nachvollziehbaren und sicheren Betrieb nach Art. 6 Abs. 1 Buchst. f DSGVO.

E-Mails aus dem Portal

Das Portal versendet E-Mails zur Bestätigung, Prüfung und Entscheidung über Zugangsanfragen, zur Einladung und zum Zurücksetzen des Passworts. Die Entscheidung erhältst du mit einer Kopie an das Backoffice. Persönliche Bestätigungs- und Einrichtungslinks gehen ausschließlich an dich. Den Versand übernimmt Lettermint als Auftragsverarbeiter; Öffnungs- und Klickmessung sind ausgeschaltet. Jede E-Mail halten wir in einem Versandprotokoll fest: Empfänger, Betreff, Text, Anlass, Zeitpunkt, Versandstatus und etwaige Kopie-Empfänger. Einladungs- und Rücksetzlinks stehen dort nur als Platzhalter.

Dienstleister und Übermittlungen

Render Services, Inc. betreibt die Webanwendung. Supabase Pte. Ltd. stellt Datenbank, Anmeldung und Dateiablage bereit. Für Webdienst und Projekt ist Frankfurt am Main als Region eingestellt. Der Speicherort allein schließt Zugriffe aus anderen Ländern, etwa im Support oder durch Unterauftragnehmer, nicht aus.

Die veröffentlichten Vertragsbedingungen beider Anbieter beziehen Regelungen zur Auftragsverarbeitung ein. Angaben zu Unterauftragnehmern und Garantien für internationale Übermittlungen stehen in den Datenschutzbedingungen von Render und im Datenschutzvertrag von Supabase. Eine Kopie beziehungsweise Auskunft zu den maßgeblichen Garantien kannst du über die Datenschutzadresse anfragen.

Die Lettermint B.V., Zwolle, Niederlande, versendet als Auftragsverarbeiter die E-Mails des Portals. Lettermint erhält dafür Absender, Empfänger, Betreff und Inhalt der jeweiligen E-Mail und verarbeitet technische Zustelldaten. Nach dem Vertrag zur Auftragsverarbeitung werden die E-Mail-Daten innerhalb der Europäischen Union gespeichert und verarbeitet. Einzelheiten enthalten der Vertrag zur Auftragsverarbeitung von Lettermint und die Liste der Unterauftragnehmer.

Speicherdauer

Dein Konto und deine Angaben speichern wir, solange du am Pilot teilnimmst. Sperrt die Mitgliederbetreuung einen Zugang, siehst du keine Inhalte mehr; deine Angaben bleiben bis zur Löschung erhalten. Zugangsanfragen, Prüfentscheidungen, Kollegeneinladungen, Anfragen, Versandprotokoll und das Protokoll der Mitgliederbetreuung halten wir zur Nachvollziehbarkeit fest.

Maßgeblich für eine weitere Speicherung sind der fortbestehende Zweck, gesetzliche Aufbewahrungspflichten und die Erforderlichkeit zum Nachweis oder zur Abwehr von Ansprüchen. Entfallen diese Gründe, sind die Daten zu löschen. Löschanliegen kannst du jederzeit an uns richten. Eine einzelne feste Frist gilt nicht für alle Datenarten.

Die Datenbank wird täglich gesichert. Gelöschte Angaben können bis zum Ablauf der Sicherungen, derzeit sieben Tage, darin enthalten bleiben. Technische Protokolle unterliegen zusätzlich den Aufbewahrungsgrenzen des jeweiligen Dienstes und Tarifs. Für die im aktuellen Render-Tarif zugänglichen Anwendungsprotokolle nennt der Anbieter sieben Tage.

Deine Rechte

Soweit die gesetzlichen Voraussetzungen erfüllt sind, hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Beruht eine Verarbeitung auf einem berechtigten Interesse, kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO).

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Es findet keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung statt.

Änderungen

Wenn sich der Betrieb oder die Verarbeitung ändert, passen wir diesen Hinweis an.