Startseite › Datenschutzerklärung

Datenschutzerklärung

Gilt für kdhealthsystem.de und das Software-Produkt KDHealthSystem von cadma solutions UG i. G. – Stand: Juni 2026

1. Verantwortlicher

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten im Einklang mit DSGVO und BDSG. Es gelten:

• Rechtmäßigkeit – nur auf Basis einer Rechtsgrundlage (Art. 6 DSGVO)
• Zweckbindung – nur für festgelegte, eindeutige Zwecke
• Datenminimierung – nur tatsächlich erforderliche Daten
• Richtigkeit – Aktualität und Korrektheit der Daten
• Speicherbegrenzung – Löschung nach Wegfall des Verarbeitungszwecks
• Integrität & Vertraulichkeit – technische und organisatorische Schutzmaßnahmen (TOMs)

3. Rechte betroffener Personen

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie bitte an: info@cadma-solutions.de
Das Beschwerderecht bei der zuständigen Datenschutz-Aufsichtsbehörde bleibt unberührt.
Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de

4. Datenverarbeitung – Website (kdhealthsystem.de)

4.1 Server-Logfiles

Beim Seitenaufruf werden technisch bedingt folgende Daten im Webserver-Log gespeichert: IP-Adresse (anonymisiert nach 7 Tagen), Datum/Uhrzeit, URL, HTTP-Statuscode, übertragene Datenmenge, Browser-Typ und Betriebssystem.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit). Speicherdauer: 7 Tage.

4.2 Kontakt per E-Mail

Ihre Angaben bei E-Mail-Anfragen werden zur Bearbeitung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder f DSGVO. Löschung nach abschließender Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4.3 Cookies

Diese Website verwendet ausschließlich technisch notwendige Cookies und localStorage-Einträge. Keine Tracking- oder Analyse-Cookies. Siehe Cookie-Richtlinie.

5. Datenverarbeitung – KDHealthSystem Plattform

5.1 Nutzerdaten (Admin-Zugänge)

Im Rahmen der Nutzung der Plattform werden verarbeitet: Admin-Benutzername, E-Mail, gehashtes Passwort (bcrypt), TOTP-Secret (2FA), Rollen, Login-Zeitstempel.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.2 Tenant-Daten

Je Mandant: Name, E-Mail, Firmenname, Zeitzone, API-Key (64 Zeichen, kryptografisch zufällig). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Client-/Systemdaten

Für jedes überwachte Windows-System: Hostname, IP-Adresse, Betriebssystem, FQDN, Domain, Hardware-Informationen (CPU, BIOS, Mainboard), Agent-Version, Client-Typ, letzter Kontaktzeitpunkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Verarbeitungszweck: IT-Systemverwaltung des Verantwortlichen.

5.4 Metriken-Snapshots

Der Agent sendet alle konfigurierten Metriken (CPU, RAM, Festplatten, Netzwerk, Dienste, Prozesse, Temperatur u. a.) als JSON-Snapshots an die API. Diese werden tenant-isoliert in der Datenbank gespeichert. Speicherdauer: konfigurierbar, bis Vertragsende.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.5 Audit-Logs

Wesentliche Admin-Aktionen (Konfigurationsänderungen, Tenant-Verwaltung etc.) werden in einem Audit-Log protokolliert. Enthält: Aktions-Typ, betroffene Entität, Benutzer-ID, Zeitstempel, Vorher-/Nachher-Zustand.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachvollziehbarkeit). Speicherdauer: Vertragsdauer.

6. Datenverarbeitung – Windows-Agent & YACON

6.1 Remote-Desktop-Sitzungen (klassisch)

Beim Browser-basierten Remote-Desktop werden JPEG-Frames des Zielbildschirms über einen WebSocket-Relay-Server übertragen. Es wird ein Einmal-Token (5 Min. TTL, Single-Use) verwendet. Sitzungs-Metadaten (Token, Zeitstempel, Client-ID) werden nach Sitzungsende gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Remote-Support-Funktionalität).

6.2 YACON Remote-Access-Sitzungen

YACON-Sessions sind vollständig AES-256-GCM End-to-End verschlüsselt (ECDH P-256 Key Exchange). Der Signaling-Server (Laravel Reverb) vermittelt nur den Verbindungsaufbau – Bildinhalte sind für cadma solutions technisch nicht einsehbar. Verbindungs-Metadaten (Session-ID, Agent-UUID, Zeitstempel) werden für max. 30 Tage für Audit-Zwecke aufbewahrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Remote-Access-Funktionalität).

6.3 Dateitransfer

Beim Dateitransfer werden Dateien über verschlüsselte WebSocket-Verbindungen (WSS) übertragen. Der Relay-Server leitet Binärdaten weiter ohne sie zu persistieren. Dateimetadaten (Dateiname, Größe, Transferzeitpunkt) werden für max. 7 Tage in Logs gespeichert.

6.4 QuickSupport-Sitzungen

Beim Ad-hoc-QuickSupport wird ein temporärer 6-stelliger Code generiert (periodisch erneuert). Verbindungs-Metadaten (Code, Zeitstempel) werden nach Sitzungsende gelöscht. Bildschirminhalte werden ausschließlich über den verschlüsselten Relay-Server übertragen.

7. Drittlandübermittlung

8. Speicherfristen & Löschung

9. Auftragsverarbeitungsvertrag (AVV) – Art. 28 DSGVO

9.1 Gegenstand und Dauer

Gegenstand ist der Betrieb, die Wartung und Weiterentwicklung von KDHealthSystem, umfassend:

• Laravel Admin-Webapp: Bereitstellung des Backends, der Admin-Oberfläche und der REST-API
• KDHealthWinAgent: Windows-Dienst-Agent für IT-Monitoring und Remote-Desktop
• KDHealthWinQuicksupport: Ad-hoc-Support-Client
• YACON Remote Access: YACON-Agent (C++20), YACON-Client (WPF .NET 8), Signaling über Laravel Reverb
• Relay-Server: Node.js WebSocket-Relay für Remote-Desktop und Dateitransfer
• MCP-Server: Model-Context-Protocol-Server für KI-gestützte Verwaltung

Die Verarbeitung erfolgt für die Dauer des jeweils abgeschlossenen Nutzungsvertrages.

9.2 Art, Zweck und Umfang der Verarbeitung

Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung von KDHealthSystem. Zweck: IT-Monitoring von Windows-Systemen, Remote-Support, Dateitransfer, automatisches Agent-Update und KI-gestützte Systemverwaltung.

9.3 Kategorien personenbezogener Daten

• Systemnutzer-Stammdaten: Name, E-Mail, Rollen, Passwort-Hash (bcrypt), TOTP-Secret
• Windows-Systemdaten: Hostname, IP, Betriebssystem, Hardware-Informationen
• Metrik-Daten: CPU, RAM, Festplatten, Netzwerk, Dienste, Prozesse, Temperatur
• Remote-Session-Metadaten: Session-ID, Zeitstempel, Client-ID, Token
• Tenant-Daten: Firmenname, Kontakt-E-Mail, API-Key, Zeitzone
• Audit-Log-Daten: Aktionstyp, Benutzer-ID, Zeitstempel, Vorher-/Nachher-Zustand

9.4 Kategorien betroffener Personen

• Systemadministratoren und Techniker des Verantwortlichen
• Personen, die auf überwachten Windows-Systemen tätig sind
• Endanwender, für die QuickSupport durchgeführt wird

9.5 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder nationales Recht dazu verpflichtet. Weisungen werden schriftlich erteilt und dokumentiert.

9.6 Vertraulichkeit der Verarbeitung

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

9.7 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die in Abschnitt 10 (TOMs) beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.

9.8 Unterauftragsverarbeiter

Der Einsatz von Unterauftragsverarbeitern ist mit Vorabinformation des Verantwortlichen gestattet. Derzeit eingesetzte Unterauftragsverarbeiter:

9.9 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Löschung, Berichtigung), der Meldung von Datenpannen (Art. 33/34 DSGVO) sowie bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) im notwendigen Umfang.

9.10 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrages werden alle personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben (Export) oder gelöscht. Alle Sicherungskopien werden innerhalb von 30 Tagen nach Vertragsende endgültig gelöscht. Der Auftragsverarbeiter bescheinigt die erfolgte Löschung schriftlich.

9.11 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, jederzeit Kontrollen der Datenschutz-Compliance durchzuführen oder durch Dritte durchführen zu lassen. Der Auftragsverarbeiter unterstützt diese Kontrollen und gewährt Zugang zu relevanten Informationen und Systemen.

10. Technische und Organisatorische Maßnahmen (TOMs) – Art. 32 DSGVO

10.1 Zutrittskontrolle

• Serverinfrastruktur ausschließlich in Rechenzentren mit physischer Zugangskontrolle (ISO 27001 zertifiziert)
• Kein physischer Zugang Unbefugter zu Systemkomponenten
• Schlüssel-/Zugangsverwaltung beim zertifizierten Hosting-Anbieter (IONOS SE)
• Serverseitiger SSH-Zugang nur mit Public-Key-Authentifizierung, keine Passwort-Logins

10.2 Zugangskontrolle (Authentifizierung)

• 2-Faktor-Authentifizierung (TOTP) für alle Admin-Logins der Webapp
• Passwörter ausschließlich als bcrypt-Hash gespeichert (nie im Klartext)
• Automatische Session-Invalidierung nach Inaktivität (Laravel Session-Timeout)
• 64-Zeichen-API-Keys (kryptografisch zufällig, 256 Bit Entropie) je Tenant
• Remote-Session-Token: Einmalig, 5 Minuten TTL (Single-Use) für Remote-Desktop
• YACON-PIN: 6-stellig, SHA-256-gesichert, 5 Minuten TTL, Single-Use
• Laravel Sanctum Bearer-Token für YACON-Techniker-Authentifizierung
• Webhook-Signatur via HMAC-SHA256 für Agent-Konfigurationspush

10.3 Zugriffskontrolle (Autorisierung)

• Rollenbasierte Zugriffskontrolle (RBAC) mit klar definierten Berechtigungen
• API-Key-Isolierung je Tenant auf Middleware-Ebene (kein Cross-Tenant-Zugriff möglich)
• Admin-Middleware schützt alle Admin-Routen der Webapp
• Remote-Desktop und Dateitransfer erfordern server-seitig validierte Einmal-Token
• Relay-Token-Vorprüfung ohne Verbrauch (peek-and-validate)
• YACON-Agent-Middleware: separater per-Agent-Key von Tenant-API-Key getrennt
• Prinzip der minimalen Rechte bei allen Systemzugriffen

10.4 Weitergabekontrolle (Transportverschlüsselung)

• Alle Web-Verbindungen via TLS 1.2 / 1.3 (Nginx + Let's Encrypt): Webapp, API, Relay
• WebSocket-Verbindungen ausschließlich über WSS (verschlüsselt)
• YACON Remote-Access: AES-256-GCM End-to-End-Verschlüsselung mit ECDH P-256 Key Exchange pro Session
• Webhook-Konfigurationspush: HMAC-SHA256-signiert
• YACON- und Agent-Binaries: RSA 4096 Code-Signing + DigiCert RFC-3161-Zeitstempel
• E-Mail (kasserver.com): Transportverschlüsselung via TLS/STARTTLS

10.5 Eingabekontrolle (Audit & Protokollierung)

• Admin-Aktionen in audit_logs-Tabelle protokolliert (Typ, Entität, Benutzer, Zeitstempel, Vorher/Nachher)
• Konfigurationsänderungen mit config_version-Zähler zur Synchronisierung
• YACON-Sessions: vollständiges Audit-Log (Session-ID, Agent-UUID, Zeitstempel)
• API-Key nur über X-API-KEY-Header akzeptiert (nie als URL-Parameter) zur Vermeidung von Log-Exposition

10.6 Auftragskontrolle

• Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern abgeschlossen
• Hosting-Anbieter (IONOS SE) in Deutschland, ISO 27001 zertifiziert
• E-Mail-Anbieter (kasserver.com / KONTENT AG) in Deutschland
• Regelmäßige Prüfung der Compliance der Unterauftragsverarbeiter

10.7 Verfügbarkeitskontrolle

• Regelmäßige automatisierte Backups der MySQL-Datenbank und Konfigurationsdateien
• Deployment via Docker Compose für reproduzierbare, schnell wiederherstellbare Umgebungen
• Nginx mit TLS-Terminierung als Reverse Proxy vor der Laravel-Applikation
• Geplant: Automatisiertes S3-kompatibles Backup, Sentry Error-Tracking, Uptime-Monitoring

10.8 Trennungsgebot (Mandantentrennung)

• Vollständige Datentrennung via tenant_id Foreign Keys; API-Key-Middleware verhindert Cross-Tenant-Zugriff
• Relay-Token je Sitzung eindeutig, Sitzungen nicht mandantenübergreifend zugreifbar
• Separate Produktiv- und Entwicklungsumgebungen
• Keine Verwendung von Produktivdaten in Test-/Entwicklungsumgebungen

10.9 Pseudonymisierung und Verschlüsselung

• Passwörter: bcrypt-Hash (nie im Klartext gespeichert)
• API-Keys: Kryptografisch zufällig (64 Hex-Zeichen = 256 Bit Entropie)
• SHA-256-Prüfsummen für Release-Binaries (Integritätssicherung)
• YACON AES-256-GCM: Ephemeral Key Exchange per ECDH P-256 pro Session
• Konfigurationsgeheimnisse ausschließlich in .env-Datei, nie im Quellcode
• Datenbankverbindungen TLS-verschlüsselt

10.10 Incident-Response

• Sicherheitsvorfälle werden dokumentiert und dem Verantwortlichen unverzüglich (72 Stunden) gemeldet
• Eskalationsverfahren definiert für kritische Datenpannen (Art. 33/34 DSGVO)
• Notfall-Reset-Verfahren für 2FA: ADMIN_TOTP_SECRET= leer in .env setzt Admin-2FA zurück
• Session-Invalidierung über Laravel-Session-Verwaltung möglich (alle aktiven Sitzungen beendbar)

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Es gilt stets die unter dieser URL abrufbare aktuelle Version. Bei wesentlichen Änderungen werden bestehende Kunden per E-Mail informiert.

Letzte Aktualisierung: Juni 2026