Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt “Hinweis zur Verantwortlichen Stelle” in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie in ein Kontaktformular eingeben.

Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden.

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Hierzu sowie zu weiteren Fragen zum Thema Datenschutz können Sie sich jederzeit an uns wenden.

2. Hosting und Infrastruktur

Selbst betriebenes Hosting (Hetzner Dedicated Server)

Die Anwendung, die Datenbank und der dazugehörige Cache-Dienst (Redis) betreiben wir selbst auf einem dedizierten Server der Hetzner Online GmbH in Deutschland. Es handelt sich nicht um eine gemanagte PaaS-Umgebung eines US-Anbieters: Software und Konfiguration liegen in unserer Verantwortung; Hetzner stellt die physische Infrastruktur (Server, Rechenzentrum, Netz) bereit.

Der Serverstandort liegt in der Europäischen Union (Deutschland, Rechenzentrum Falkenstein). Festplatten sind vollverschlüsselt (LUKS); der Entschlüsselungsvorgang beim Systemstart erfolgt über ein getrenntes Schlüsselmanagement. Öffentliche Zugriffe erreichen unseren Server direkt per TLS/HTTPS — ohne CDN- oder Reverse-Proxy-Drittanbieter vor dem Ursprung. Reverse-Proxy und TLS-Terminierung betreiben wir auf demselben Server.

Beim Betrieb entstehen technische Server- und Zugriffsprotokolle (u. a. IP-Adresse, Zeitpunkt, angefragte URL, User-Agent), die wir zur Sicherheit, Fehlerdiagnose und Missbrauchsabwehr speichern. Details zur Speicherdauer finden Sie unter „Server-Log-Dateien“ und „Sicherheits- und Protokolldaten“.

Mit Hetzner besteht ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO. Datenschutzerklärung: https://www.hetzner.com/de/rechtliches/datenschutz · Auftragsverarbeitungs-Vertrag (AVV)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen, EU-ansässigen und möglichst kontrollierbaren Bereitstellung unserer Website und der zugehörigen Datenverarbeitung).

DNS (Hetzner DNS)

Die DNS-Auflösung für unsere Domain erfolgt über den DNS-Dienst der Hetzner Online GmbH (Deutschland / EU). Ein CDN oder Reverse-Proxy eines US-Anbieters setzen wir für die Bereitstellung der Website nicht ein.

Bei DNS-Abfragen können insbesondere die anfragende IP-Adresse sowie technische Metadaten der Abfrage verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen Namensauflösung). Anbieter und AVV: siehe oben (Hetzner Online GmbH).

Bilder-Speicher (Hetzner Object Storage)

Die öffentlich sichtbaren Bilder unserer Therapeut:innen (Profilbild, Praxis-Aufnahmen innen/außen, Galerie) werden bei der Hetzner Online GmbH in einem S3-kompatiblen Object- Storage-Bucket gespeichert. Die Speicherung erfolgt ausschließlich in der EU-Region Nürnberg (Deutschland). Mit Hetzner besteht ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO.

Inhalt des Buckets: ausschließlich öffentliche Profilfotos, Praxisbilder innen/außen sowie freiwillige Galeriebilder, die Therapeut:innen selbst hochladen. Pfade nutzen interne Kennungen statt Klarnamen, sodass ein Bucket-Listing keine personenbezogenen Daten preisgibt. Verifizierungs-Dokumente (z. B. Approbations- oder Ausweis-Scans) werden nicht in diesem Bucket gespeichert, sondern separat in einem privaten, verschlüsselten Speicher.

Beim Löschen eines Therapeut:innen-Kontos (DSGVO Art. 17) werden die zugehörigen Bilder aus dem Hetzner- Bucket automatisch mitentfernt.

Details entnehmen Sie der Datenschutzerklärung von Hetzner: https://www.hetzner.com/de/rechtliches/datenschutz · Auftragsverarbeitungs-Vertrag (AVV)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer performanten und kostengünstigen Bereitstellung der Bilder über einen europäischen Anbieter.

Bot-Schutz (eigene technische Maßnahmen)

Zum Schutz vor automatisiertem Missbrauch (Spam, Account-Erstellung durch Bots, Credential-Stuffing) setzen wir auf dem Kontaktformular (/kontakt), der Registrierung (/sign-up) und der Anmeldung (/sign-in) ausschließlich eigene, serverseitig verarbeitete Maßnahmen ein. Es wird kein Drittanbieter-Dienst (etwa ein externes CAPTCHA) eingebunden und es werden zu diesem Zweck keine personenbezogenen Daten an Dritte übermittelt. Konkret:

• ein für Sie unsichtbares Formularfeld („Honeypot“), das nur automatisierte Skripte ausfüllen,
• eine Plausibilitätsprüfung der Zeit zwischen Seitenaufbau und Absenden,
• eine Begrenzung der Anfragen pro IP-Adresse sowie die verpflichtende Bestätigung der E-Mail-Adresse bei der Registrierung,
• optional eine rechnerische „Proof-of-Work“-Prüfung (ALTCHA), die vollständig in Ihrem Browser und auf unseren eigenen Servern abläuft — auch hier kein Drittanbieter und keine zusätzlichen personenbezogenen Daten.

Verarbeitet werden dabei ausschließlich der Inhalt des versteckten Feldes, ein Zeitstempel des Seitenaufbaus sowie — zur Begrenzung der Anfragehäufigkeit — Ihre IP-Adresse. Diese Verarbeitung findet auf unseren eigenen Servern in der EU statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung unserer Kommunikationskanäle und Authentifizierungs-Endpunkte gegen Spam, Bots und Missbrauch). Soweit Sie uns über das Kontaktformular eine Anfrage senden oder ein Nutzerkonto eröffnen, kann zusätzlich Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen) einschlägig sein.

E-Mail-Dienst (Maileroo)

Für den Versand transaktionaler E-Mails (Registrierungs­bestätigungen, Passwort-Zurücksetzen, Termin­benachrichtigungen, Datencheck-Erinnerungen u. a. — derzeit 14 unterschiedliche Vorlagen) nutzen wir den Dienst Maileroo (HTTP-API).

Bei der Nutzung unserer E-Mail-Funktionen werden folgende Daten an Maileroo übermittelt:

• E-Mail-Adresse des Empfängers
• Name des Empfängers (falls angegeben)
• E-Mail-Inhalt

Die operativen Server von Maileroo, über die der Mailversand abgewickelt wird, stehen in Deutschland und den Niederlanden. Eine routinemäßige Übermittlung personenbezogener Daten in ein Drittland im Sinne der DSGVO findet im Rahmen des Mailversands daher nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenschutzerklärung: https://maileroo.com/privacy

Fehlerüberwachung (GlitchTip)

Zur Fehler­überwachung und Qualitäts­sicherung betreiben wir GlitchTip selbst auf einem Hetzner-Server in der EU (Helsinki). Technisch nutzen wir das Sentry-kompatible SDK (@sentry/nextjs); die Events werden nicht an Sentry SaaS (USA) übermittelt. Im Browser wird die Fehlerüberwachung erst nach Ihrer ausdrücklichen Einwilligung im Cookie-Banner (Kategorie „Statistik“) initialisiert. Ohne Einwilligung erfolgt keinerlei Verbindungsaufbau zum Error-Tracking vom Browser aus. Session Replay setzen wir nicht ein (GlitchTip unterstützt diese Funktion nicht).

Erfasste Daten bei Fehlern (Client erst nach Consent; Server-Fehler unabhängig davon auf unseren Systemen):

• Fehlerdetails und Stack-Traces
• Browser- und Geräte­informationen
• URL und Zeitpunkt des Fehlers
• IP-Adresse (SDK: sendDefaultPii: false)

Serverseitige Redaktion vor dem Versand: Jedes Event durchläuft eine eigene Redaktions­schicht (lib/observability/sentry-redact.ts), die folgendes entfernt bzw. ersetzt: event.user wird auf{ id } reduziert; Authorization-, Cookie- und Set-Cookie-Header werden entfernt; Request-Body und Cookie-Daten werden vollständig verworfen; Console-Breadcrumbs werden gar nicht erst gesendet. Die Sensible-Felder-Liste spiegelt unsere Verschlüsselungs-Konfiguration (lib/encryption/field-config.ts).

Speicherung und Verarbeitung der Fehler-Events erfolgen in der EU auf von uns betriebener Infrastruktur. Eine Drittlandübermittlung an Functional Software, Inc. (Sentry SaaS) findet nicht statt.

Rechtsgrundlage (Browser / Client): ausschließlich Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (für den Endgeräte-Zugriff). Sie können diese Einwilligung jederzeit für die Zukunft auf unserer Cookie-Richtlinie-Seite widerrufen — danach werden keine weiteren Client-Events an GlitchTip übertragen.

Kartendarstellung (OpenStreetMap)

Für die Anzeige von Therapeutenstandorten auf Karten nutzen wir OpenStreetMap (OSM) in Verbindung mit der JavaScript-Bibliothek Leaflet.

Erfasste Daten beim Laden der Karte:

• IP-Adresse
• Browser- und Geräteinformationen
• Angefragte Kartenkacheln (Kartenausschnitt)

Die Kartenkacheln werden direkt von den OpenStreetMap-Servern geladen. Dabei wird Ihre IP-Adresse an die OpenStreetMap Foundation übermittelt.

Zusätzlich nutzen wir den Nominatim-Dienst von OpenStreetMap zur Adresssuche (Geocoding). Auch hierbei werden IP-Adresse und die Suchanfrage übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung von Standortinformationen).

Datenschutzerklärung: https://wiki.osmfoundation.org/wiki/Privacy_Policy

Standortsuche (OpenPLZ API)

Für die Autovervollständigung von Städten und Postleitzahlen bei der Standortsuche nutzen wir die OpenPLZ API, einen öffentlichen Dienst für deutsche Postleitzahlen und Ortsdaten.

Erfasste Daten bei der Standortsuche:

• IP-Adresse
• Suchanfrage (eingegebene Stadt oder Postleitzahl)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung einer Suchfunktion).

Weitere Informationen: https://openplzapi.org/

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzbestimmungen sowie dieser Datenschutzerklärung.

Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

Datenschutzbeauftragter

Wir sind aufgrund der Art und des Umfangs unserer Verarbeitung sowie der Größe unseres Unternehmens nicht zur Benennung einer Datenschutz­beauftragten oder eines Datenschutz­beauftragten verpflichtet (§ 38 BDSG). Alle Datenschutz-Anfragen richten Sie bitte an die oben genannte verantwortliche Stelle.

Auftragsverarbeiter im Überblick

Zur Erbringung unseres Dienstes setzen wir folgende Auftrags­verarbeiter ein. Mit allen genannten Anbietern bestehen Verträge nach Art. 28 DSGVO. Details und Server­standorte finden Sie in Abschnitt 2.

Eigenständige Dienste (keine Auftragsverarbeiter): Bei der Nutzung von Karten-Funktionen und der Standort-Autocomplete werden zusätzlich die OpenStreetMap Foundation (UK) und der öffentliche Dienst OpenPLZ API als eigenständige Verantwortliche tätig — siehe Abschnitt 2.

Ebenfalls eigenständig verantwortlich und kein Auftragsverarbeiter ist Paddle: Der Zahlungsdienstleister wickelt den freiwilligen Unterstützer-Beitrag als Merchant of Record ab und verarbeitet die Zahlungsdaten in eigener Verantwortung — siehe Abschnitt 5.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung auf dieser Website

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO, sofern besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden.

Sofern Sie in die Speicherung von Informationen in Ihrem Endgerät (Cookies, lokaler Speicher, „localStorage“) oder in den Zugriff auf bereits in Ihrem Endgerät gespeicherte Informationen (z. B. via Device-Fingerprinting) eingewilligt haben, erfolgt die Datenverarbeitung zusätzlich auf Grundlage von § 25 Abs. 1 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; vormals TTDSG, neue Bezeichnung seit 14.05.2024). Die Einwilligung ist jederzeit widerrufbar. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO.

Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung (Art. 21 DSGVO)

WERDEN DIE PERSONENBEZOGENEN DATEN AUF GRUNDLAGE VON ART. 6 ABS. 1 LIT. E ODER F DSGVO VERARBEITET, HABEN SIE JEDERZEIT DAS RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIE VERARBEITUNG IHRER PERSONENBEZOGENEN DATEN WIDERSPRUCH EINZULEGEN.

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerde­recht bei einer Aufsichts­behörde zu — wahlweise (a) bei der für den Sitz unseres Unternehmens zuständigen Behörde, (b) bei der Behörde Ihres Aufenthalts­orts oder (c) bei der Behörde des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für unseren Unternehmens­sitz in Hessen ist dies:

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinen­lesbaren Format aushändigen zu lassen. Wir stellen hierfür eine angemeldete Export-Funktion im Konto­bereich bereit (Endpoint GET /api/gdpr/export), die einen JSON-Export Ihrer mit Ihrem Konto verknüpften Daten erzeugt.

Auskunft, Löschung und Berichtigung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personen­bezogenen Daten, deren Herkunft und Empfänger und den Zweck der Daten­verarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten.

Self-Service: Über die Konto-Einstellungen können Sie Ihre Profil­daten direkt bearbeiten und einen vollständigen Lösch­vorgang (Art. 17 DSGVO) auslösen (Endpoint POST /api/auth/delete-account). Der Lösch­vorgang umfasst kaskadierend auch im Hetzner Object Storage abgelegte Profil-/Praxis-Bilder sowie etwaige offene Verifikations-Dokument-Dateien. Für Anfragen, die sich nicht über den Self-Service erledigen lassen, sowie für weitere Datenschutz-Themen können Sie sich jederzeit an die oben genannte verantwortliche Stelle wenden.

Daten, die direkt an Therapeut:innen übermittelt wurden, liegen außerhalb unseres Einfluss­bereichs (siehe Abschnitt 6, „Datenschutzrechtliche Stellung der Therapeut:in“). Bitte wenden Sie sich für deren Auskunft, Berichtigung oder Löschung direkt an die jeweilige Therapeut:in.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

4. Datenerfassung auf dieser Website

Cookies und vergleichbare Speichertechnologien

Unsere Internetseiten setzen sowohl klassische HTTP-Cookies als auch vergleichbare Speichertechnologien auf Ihrem Endgerät ein (insbesondere den lokalen Browser-Speicher, „localStorage“). Die nachstehende Übersicht trennt aus Transparenzgründen zwischen beiden Kategorien.

a) Eingesetzte HTTP-Cookies

Hinweis: Die __Secure--Varianten werden ausschließlich in der produktiven HTTPS-Umgebung gesetzt; in lokalen Entwicklungs-Setups ohne TLS verwenden wir die Varianten ohne dieses Präfix. Alle Auth-Cookies werden alsHttpOnly,SameSite=Lax und – in Produktion –Secure gesetzt.

b) Eingesetzte localStorage- und sessionStorage-Einträge

Der Eintrag palette entsteht ausschließlich dann, wenn Sie im Kopfbereich der Website aktiv ein Farbschema auswählen. Er speichert nur dessen Namen, enthält keine personenbezogenen Daten und wird nicht an unseren Server übertragen. Da die Funktion ohne diese Speicherung nicht bereitgestellt werden kann und Sie sie durch Ihre Auswahl ausdrücklich anfordern, ist sie nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Sie können den Eintrag jederzeit über die Speicherverwaltung Ihres Browsers löschen; die Website fällt dann auf das Standard-Farbschema zurück.

c) Statistik / Fehlerüberwachung (nur mit Einwilligung)

Notwendige Cookies/Speichervorgänge werden auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG eingesetzt, da sie für die Bereitstellung des ausdrücklich gewünschten Dienstes (z. B. Anmeldung, Speicherung der Cookie-Entscheidung) unbedingt erforderlich sind. Statistik-/Fehlerüberwachungs-Daten im Browser werden nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG) erfasst.

Sie können Ihre Cookie-Einstellungen jederzeit auf unserer Cookie-Richtlinie-Seite anpassen.

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Registrierung auf dieser Website

Sie können sich auf dieser Website registrieren, um zusätzliche Funktionen auf der Seite zu nutzen. Die dazu eingegebenen Daten verwenden wir nur zum Zwecke der Nutzung des jeweiligen Angebots oder Dienstes, für den Sie sich registriert haben.

Die Verarbeitung der bei der Registrierung eingegebenen Daten erfolgt zum Zwecke der Durchführung des durch die Registrierung begründeten Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

5. Eigene Dienste und Datenverarbeitung

Therapeut:innen-Profile

Wenn Sie sich als Therapeut:in registrieren und ein Profil erstellen, speichern wir folgende Daten:

• Kontaktdaten (Name, E-Mail, Telefon, Adresse)
• Berufliche Informationen (Titel, Spezialisierungen, Qualifikationen, Ausbildung)
• Profilbilder und Galeriebilder
• Verfügbarkeit und Preisinformationen
• Statistiken (Profilaufrufe, Buchungen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Aufbewahrung: Solange das Profil aktiv ist. Therapeut:innen-Profile werden — anders als Patient:innen-Profile — nicht automatisch nach einer Inaktivitäts­frist gelöscht oder anonymisiert, da sie revenue-bezogene Vertragsdaten enthalten. Eine Sichtbarkeits­abschaltung in der öffentlichen Suche kann über den Profil-Status (INACTIVE) erfolgen, ohne die zugrunde liegenden Daten zu entfernen. Eine harte Löschung erfolgt nur (a) auf ausdrückliche Anfrage der/des Nutzer:in (Self-Service-Account-Delete), (b) durch administrative Maßnahme oder (c) am Ende gesetzlicher Aufbewahrungs­fristen (insbesondere § 257 HGB und § 147 AO, bis zu 10 Jahre für abrechnungs- und steuerrelevante Daten aus Bezahltarifen).

Jährliche Datenrichtigkeits-Erinnerung (DSGVO Art. 5 Abs. 1 lit. d): Einmal jährlich erhalten alle aktiven Konten eine kurze Erinnerung („Datencheck-Mail“) zur Überprüfung und ggf. Aktualisierung ihrer hinterlegten Daten. Diese Mail ist keine Lösch-Drohung, sondern eine reine Qualitäts­erinnerung.

Patient:innen- / Klient:innen-Profile

Wenn Sie sich als Patient:in / Klient:in registrieren, speichern wir:

• Kontaktdaten (Name, E-Mail, Telefon)
• Adressdaten (optional)
• Geburtsdatum (optional)
• Versicherungsart (optional)
• Sprachpräferenzen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Inaktivitäts-Lebenszyklus und Anonymisierung (DSGVO Art. 5 Abs. 1 lit. e — Speicher­begrenzung): Patient:innen- / Klient:innen-Konten werden bei länger anhaltender Inaktivität in einem dreistufigen Verfahren behandelt:

• Stufe 1 — Tag 30: Erinnerungs-Mail („Möchten Sie Ihr Konto behalten?“) mit HMAC-signiertem Confirm-Link (Gültigkeit 7 Tage). Ein Klick setzt den Zähler zurück.
• Stufe 2 — Tag 60: Grace-Notice mit 30-Tage-Countdown und erneutem Confirm-Link.
• Stufe 3 — Tag 90: Sofern weiterhin keine Anmeldung und keine offenen, bestätigten Termine vorliegen, erfolgt eine technische Anonymisierung: E-Mail wird durch einen kryptografisch nicht-rückführbaren Platzhalter ersetzt (deleted-<hash>@anonymized.local), Namens­felder werden auf null gesetzt, der Konto-Status wird auf ARCHIVED gestellt, das Passwort (Argon2id-Hash) wird gelöscht, alle Patient-Profildaten werden geleert. Die User-Row selbst bleibt aus Gründen der Datenbank-Integrität (Fremdschlüssel zu z. B. abgeschlossenen Terminen) erhalten — sie ist jedoch nicht mehr Ihnen zuordenbar.

Konten mit offenen, bestätigten Terminen werden nicht anonymisiert, solange diese Termine noch in der Zukunft liegen — andernfalls würde der Kalender­eintrag der Therapeut:in verwaisen. Die Anonymisierung holt diese Konten nach Termin-Abschluss automatisch ein.

Eine kürzere oder sofortige Löschung ist jederzeit über die Account-Einstellungen möglich (siehe Abschnitt „Auskunft, Löschung und Berichtigung“).

Jährliche Datenrichtigkeits-Erinnerung (DSGVO Art. 5 Abs. 1 lit. d): Wie bei den Therapeut:innen-Profilen erhalten auch Patient:innen-Konten einmal jährlich eine reine Daten­qualitäts-Erinnerung ohne Lösch-Drohung.

Verifizierung von Therapeut:innen

Nach Abschluss des Onboarding-Prozesses durchlaufen Therapeut:innen eine Identitätsverifizierung. Hierzu erheben wir:

• Ausweisdokumente (Vorder- und Rückseite eines gültigen Personalausweises oder Reisepasses)
• Aktuelles Selfie zur Identitätsprüfung
• Nachweis der beruflichen Qualifikation (Approbationsurkunde, Heilerlaubnis o.ä.)

Verarbeitung und Speicherung der Dokument-Dateien:

• Dokumente werden vor dem Upload client-seitig mit AES-256-GCM verschlüsselt. Hetzner sieht ausschließlich Chiffrat; weder Hetzner noch unsere Plattform­administrator:innen können die Dateien ohne den separat verwahrten Schlüssel entschlüsseln.
• Die verschlüsselten Dateien liegen in einem separaten, privaten Hetzner Object-Storage-Bucket (S3-kompatibel) in der EU-Region Nürnberg (Deutschland) — nicht im öffentlichen Bilder-Bucket. Mit Hetzner besteht ein Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO.
• Die Prüfung erfolgt manuell durch unsere Administrator:innen nach Entschlüsselung im Admin-Backend (kurzlebige Decryption im Arbeits­speicher, keine entschlüsselte Kopie auf Datenträger).
• Dokumente werden nicht an Dritte weitergegeben, exportiert oder für andere Zwecke verwendet.
• Nach erfolgreicher Verifizierung werden die Dokument-Dateien spätestens innerhalb von 24 Stunden automatisiert hart gelöscht (krypto-shredded — Entfernung der AES-GCM-Metadaten macht Wiederherstellung praktisch unmöglich). Es bleibt lediglich ein Audit-Eintrag zur Status­verwaltung (verifiziert / abgelehnt, Zeitstempel) erhalten.
• Bei Ablehnung werden die Dokumente spätestens 7 Tage nach der Ablehnung gelöscht (kurzer Puffer für Widerspruch / Re-Upload).
• Bei unbearbeiteten Anträgen (Status „PENDING“) erfolgt die Löschung spätestens 90 Tage nach Einreichung — flankiert von einem internen Warn-Log, das einen Admin-Review-Stau signalisiert.
• Auf Anfrage der/des Nutzer:in erfolgt die Löschung unverzüglich, sofern keine gesetzlichen Aufbewahrungs­pflichten entgegenstehen.

Verschlüsselung der Verifizierungs-Metadaten in der Datenbank: Über die Datei-Ebene hinaus speichern wir bestimmte Verifikations-Metadaten in unserer Datenbank stets feld-level-verschlüsselt (AES-256-GCM): identityData, licenseData, signatureData, extractedFirstName, extractedLastName, extractedDateOfBirth, extractedIdNumber, adminNotes sowie rejectionReason.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Verifizierung ist Voraussetzung für die Profil-Veröffentlichung) und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung für besondere Kategorien personenbezogener Daten, soweit Approbations­urkunden o. Ä. Gesundheits­bezug aufweisen). Die Einwilligung kann jederzeit widerrufen werden, was jedoch zur Löschung des Therapeut:innen-Profils führen kann.

Terminbuchungen

Bei Terminbuchungen speichern wir:

• Datum, Uhrzeit und Dauer des Termins
• Art des Termins (Online, vor Ort, Telefon)
• Kontaktdaten der buchenden Person (bei Gast-Buchungen ohne Konto: Vorname, Nachname, E-Mail, Telefon)
• Optionale Notizen — als besondere Kategorie personenbezogener Daten behandelt (Art. 9 DSGVO) und feld-level-verschlüsselt
• Optionaler Stornierungsgrund — ebenfalls feld-level-verschlüsselt
• Erinnerungs-Status

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung — Terminvereinbarung mit der Therapeut:in) sowie für Termin-Notizen und Stornierungs­gründe Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

Aufbewahrung — Gast-Buchungen (ohne Nutzerkonto): Die Kontaktdaten der buchenden Person (Vorname, Nachname, E-Mail, Telefon) werden 180 Tage nach dem Termin-Ende automatisiert anonymisiert (Felder werden auf null gesetzt). Die Termin-Zeile selbst (Datum/Dauer/Status) bleibt aus Gründen der Therapeut:innen-Abrechnung und der Statistiken bestehen, ist aber nicht mehr Ihnen zuordenbar.

Aufbewahrung — Termine angemeldeter Nutzer:innen: Termine, die mit einem registrierten Patient:innen-Konto verknüpft sind, sind Teil Ihrer Konto­daten und werden mit deren Lebenszyklus (siehe oben: Inaktivitäts-Anonymisierung nach 90 Tagen oder Self-Service-Löschung) entfernt. Termin-Notizen und Stornierungs­gründe, die von der Therapeut:in im Behandlungs­kontext erstellt wurden, bleiben Teil des Therapeut:innen-Daten­bestands (Behandlungs­dokumentation gem. § 630f BGB) und werden über das Konto der Patient:in nicht gelöscht.

Bewertungen

Wenn Sie eine Bewertung für eine Therapeut:in abgeben, speichern wir Ihren Bewertungs­text, die Sterne-Bewertung und (falls Sie angemeldet sind) die Zuordnung zu Ihrem Konto. Sowohl der Bewertungs­text als auch eine optionale Antwort der Therapeut:in werden in der Datenbank feld-level-verschlüsselt, weil Bewertungs­texte regelmäßig Gesundheits- und Behandlungs­bezug aufweisen und daher unter Art. 9 DSGVO fallen können.

Nach Veröffentlichung ist die Bewertung öffentlich auf dem Profil der bewerteten Therapeut:in sichtbar. Sie können Ihre eigenen Bewertungen jederzeit über Ihr Konto bearbeiten, ausblenden oder löschen lassen; für Gast-Bewertungen wenden Sie sich an unseren Support.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Veröffentlichung) sowie Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung für gesundheits­bezogene Inhalte). Die Einwilligung kann jederzeit für die Zukunft widerrufen werden.

Jobbörse für Therapeut:innen

Verifizierte Therapeut:innen können Stellenangebote und Kooperationsanfragen auf unserer Jobbörse veröffentlichen. Dabei werden folgende Daten verarbeitet:

• Stellenbezeichnung und Beschreibung
• Art der Stelle (Festanstellung, Honorartätigkeit, Praxisvertretung)
• Arbeitsort und Arbeitszeiten
• Anforderungen und Qualifikationen
• Vergütungsinformationen (optional)
• Kontaktdaten des anbietenden Therapeut:innen

Die Stellenangebote sind öffentlich auf der Plattform einsehbar. Bei Kontaktaufnahme durch interessierte Therapeut:innen werden deren Kontaktdaten an den Anbieter der Stelle weitergegeben.

Aufbewahrung: Stellenangebote werden nach Ablauf oder Löschung durch den Ersteller entfernt. Abgelaufene Anzeigen werden nach 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung zur Veröffentlichung).

Freiwilliger Unterstützer-Beitrag (Zahlungsabwicklung über Paddle)

Therapeut:innen können optional einen freiwilligen Unterstützer-Beitrag leisten — wiederkehrend oder einmalig (siehe AGB § 7b). Die Zahlungsabwicklung übernimmt Paddle als Merchant of Record: Paddle ist insoweit Ihr Vertragspartner für die Zahlung, stellt die Rechnung aus und führt die Umsatzsteuer ab. Paddle handelt dabei als eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und nicht als unser Auftragsverarbeiter.

Vertragspartner bei Paddle: Für Zahlungen aus Deutschland und dem übrigen Europäischen Wirtschaftsraum ist Ihr Vertragspartner Paddle.com Market Limited (Companies House Nr. 08172165), 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich. Für Zahlende aus den Vereinigten Staaten beziehungsweise Kanada setzt Paddle stattdessen andere Konzerngesellschaften als Vertragspartner ein — Paddle.com Inc. (3811 Ditmars Blvd, #1071, Astoria, New York, NY 11105-1803, USA) beziehungsweise Paddle.com (Canada) Ltd. Welche Gesellschaft im Einzelfall Ihr Vertragspartner ist, ergibt sich aus Paddles Buyer Terms und dem Master Services Agreement. Die Anschrift entspricht dem beim Companies House hinterlegten Sitz, dort abgerufen im Juli 2026.

Diese Daten übermitteln wir beim Start des Bezahlvorgangs an Paddle:

• die E-Mail-Adresse Ihres Kontos
• Name und Rechnungsanschrift (Land, Postleitzahl, Ort, Straße und Hausnummer), die Sie im Formular eingeben
• optional Firmenname und Umsatzsteuer-Identifikationsnummer
• die von Ihnen gewählte Beitragshöhe und das Abrechnungsintervall
• zwei interne Kennungen (Konto- und Profil-ID), damit die Zahlung Ihrem Konto zugeordnet werden kann

Ihre Zahlungsdaten erreichen uns nicht. Kreditkarten-, Bank- oder sonstige Zahlungsdaten geben Sie ausschließlich im Bezahlfenster von Paddle ein. Wir erhalten davon zu keinem Zeitpunkt Kenntnis und speichern sie nicht. Von Paddle zurück erhalten wir über einen signierten Webhook lediglich den Status des Beitrags, Betrag und Intervall sowie die Paddle-Kennungen für Kunde, Abonnement und Transaktion.

Zwischenspeicherung im Browser. Damit Sie die Rechnungsanschrift nach einem Abbruch nicht erneut eingeben müssen, wird sie unter wt-support-billing-address im sessionStorage Ihres Browsers abgelegt. Der Eintrag verlässt Ihr Gerät nicht und wird spätestens beim Schließen des Browser-Tabs gelöscht.

Aufbewahrung: Die bei uns gespeicherten Beitragsdaten (Status, Betrag, Intervall, Paddle-Kennungen) sind mit Ihrem Konto verknüpft und werden mit dessen Löschung entfernt. Die Rechnungen zum Unterstützer-Beitrag stellt Paddle als Merchant of Record aus; deren Aufbewahrung richtet sich nach den Pflichten von Paddle. Unabhängig davon können uns handels- und steuerrechtliche Aufbewahrungspflichten treffen (§ 257 HGB, § 147 AO).

Drittlandübermittlung (Art. 13 Abs. 1 lit. f, Art. 44 ff. DSGVO): Paddle.com Market Limited hat ihren Sitz im Vereinigten Königreich. Das Vereinigte Königreich ist ein Drittland. Die Europäische Kommission hat mit Durchführungsbeschluss (EU) 2021/1772, zuletzt geändert durch (EU) 2025/2574, ein angemessenes Schutzniveau festgestellt (Art. 45 DSGVO). Der Beschluss gilt bis zum 27. Dezember 2031, sofern er nicht verlängert oder aufgehoben wird. Die Übermittlung der oben genannten Daten an Paddle.com Market Limited stützt sich daher auf diesen Angemessenheitsbeschluss.

Paddle gibt in der eigenen Datenschutzerklärung (Stand 16. März 2026) an, personenbezogene Daten auch an verbundene Unternehmen und Auftragsverarbeiter außerhalb des EWR zu übermitteln, darunter Paddle.com Inc. in den USA. Soweit das Empfängerland kein angemessenes Schutzniveau bietet, stützt Paddle diese Übermittlungen nach eigener Angabe auf Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914. Eine Kopie kann bei privacy@paddle.com angefordert werden. Für diese Weitergabe ist Paddle eigenständig verantwortlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen angestoßenen Zahlung) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen. Für die Verarbeitung durch Paddle als eigenständig Verantwortlichen gilt dessen eigene Datenschutzerklärung: paddle.com/legal/privacy.

Plattform-Analytics (intern)

Zur Verbesserung der Reichweite und Auffindbarkeit von Therapeut:innen-Profilen erfassen wir intern drei klar abgegrenzte Ereignis­typen in einer plattform­eigenen Tabelle (AnalyticsEvent):

• SEARCH_IMPRESSION — Anzeige eines Profils in einer Suchtreffer­liste (Profil-ID, Position im Trefferset, ggf. Suchanfrage und Filter als Metadaten).
• PROFILE_VIEW — Aufruf der vollständigen Profilseite (Profil-ID, Zeitstempel).
• PROFILE_CLICK — Klick auf einen Kontakt-Kanal des Profils, ausschließlich kategorisiert als phone, email oder website.

Was wir hier ausdrücklich nicht erfassen: Wir speichern in der Analytics-Tabelle keine IP-Adresse, keine User-ID, keine Geräte-Identifikatoren, keine Sitzungs-IDs. Die maximale geografische Granularität in den Metadaten ist die Stadt — nie Straße oder PLZ einer suchenden Person. Die rohen Such­abfragen werden nach 90 Tagen anonymisiert(metadata.query wird aufnull gesetzt) — Aggregate für Therapeut:innen-Statistiken bleiben darüber hinaus erhalten.

Die aggregierten Daten ermöglichen Therapeut:innen Einblick in die Reichweite ihres Profils. Kein Tracking durch Dritt­anbieter — alle Analytics-Daten verbleiben auf unseren EU-Servern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung statistischer Auswertungen für Therapeut:innen und an der Produkt­verbesserung). Weil keine direkten Personen­bezüge gespeichert werden und die Auswertung rein server­seitig stattfindet, ist eine gesonderte Einwilligung nicht erforderlich.

Sicherheits- und Protokolldaten

Zum Schutz vor Missbrauch (Credential-Stuffing, Brute-Force-Angriffe, Konto-Übernahmen) speichern wir folgende Daten in mehreren, separat aufbewahrten Modellen:

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme und der Konten unserer Nutzer:innen) sowie Art. 32 DSGVO (Sicherheit der Verarbeitung).

6. Besondere Kategorien personenbezogener Daten

Auf unserer Plattform können gesundheitsbezogene Daten verarbeitet werden, insbesondere:

• Spezialisierungen von Therapeut:innen (z.B. Depression, Angststörungen)
• Implizite Gesundheitsinformationen durch Therapieanfragen

Die Verarbeitung dieser besonderen Kategorien nach Art. 9 DSGVO erfolgt ausschließlich:

• Mit ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
• Zur Vertragserfüllung im Gesundheitsbereich (Art. 9 Abs. 2 lit. h DSGVO)

Datenschutzrechtliche Stellung der Therapeut:in (Art. 4 Nr. 7 DSGVO)

Soweit Patient:innen / Klient:innen im Rahmen der Kontaktaufnahme oder Behandlung personen­bezogene Daten unmittelbar an die Therapeut:in übermitteln (insbesondere per E-Mail, Telefon, Praxis-Formular, postalisch oder bei einem Termin vor Ort), wird die Therapeut:in für die Verarbeitung dieser Daten eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Wir (wunschtherapeut-in.de) sind für diese unmittelbar gegenüber der Therapeut:in erfolgende Verarbeitung weder Verantwortlicher noch Auftrags­verarbeiter.

Für die Verarbeitung personen­bezogener Daten auf der Plattform selbst (Profil­anlage, Suche, Buchungs­anfrage über die Plattform, Bewertungen, Plattform-Nachrichten) bleiben wir Verantwortlicher nach Maßgabe dieser Datenschutz­erklärung.

Praktische Konsequenz für Sie: Datenschutz­rechtliche Rechte (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch) müssen für off-platform übermittelte Daten gegenüber der jeweiligen Therapeut:in geltend gemacht werden — wir können diese Daten technisch nicht einsehen, kopieren oder löschen, weil sie sich auf den Systemen der Praxis befinden. Eine Liste der Kontakt­daten finden Sie auf dem jeweiligen Therapeut:innen-Profil. Diese rechtliche Trennung ist auch in unseren AGB unter § 5 Abs. 9 ausdrücklich geregelt.

Über ihre Verarbeitung als Verantwortliche informieren die jeweiligen Therapeut:innen Sie üblicherweise in ihrer eigenen Datenschutz­erklärung sowie im Rahmen der Behandlungs­aufklärung. Wir haben auf den Inhalt dieser Verarbeitungen keinen Einfluss.

7. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein:

• TLS/SSL-Verschlüsselung aller Datenübertragungen
• AES-256-GCM Feld-Level-Verschlüsselung sensibler Daten in der Datenbank (Encryption at Rest); für Login-Lookups deterministisches AES-SIV auf dem Feld User.email; HMAC-SHA256-basierte Blind Indexes auf Suchfeldern wie Stadt und Postleitzahl, sodass eine Suche möglich bleibt, ohne den Klartext zu kennen
• Argon2id-Hashing für Passwörter (Memory 64 MB, 3 Iterationen, Parallelismus 4) — gespeichert ausschließlich im Better-Auth-Credential-Provider-Feld Account.password; eine Legacy-Spalte User.passwordHash existiert nicht mehr
• CSRF-Schutz via SameSite=Lax auf Session-Cookies kombiniert mit serverseitiger assertSameOrigin-Prüfung (Abgleich von Origin- und Referer-Header) auf allen mutierenden API-Routen; Better-Auth-eigene Routen nutzen die integrierte CSRF-Logik der Library
• Rate-Limiting gegen Brute-Force-Angriffe (Redis-basiert, per E-Mail und per IP)
• Bot-Prevention auf Auth- und Kontaktformularen über eigene serverseitige Maßnahmen (Honeypot, Zeitprüfung, IP-Ratelimits; siehe Abschnitt 2)
• Regelmäßige Sicherheits­updates der eingesetzten Komponenten und Abhängigkeiten
• Zugriffsbeschränkungen nach Least-Privilege-Prinzip
• Separate Schlüssel­verwaltung mit regelmäßiger Rotation
• Optionale TOTP-basierte Zwei-Faktor-Authentifizierung (RFC 6238) inklusive Backup-Codes
• Pflicht-Audit-Logging aller mutierenden Administrations­aktionen (siehe Sektion „Audit-Log nach DSGVO Art. 32“ unten)

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden. Eine verschlüsselte Verbindung erkennen Sie am “https://” in der Adresszeile.

Verschlüsselung sensibler Daten (Encryption at Rest)

Zusätzlich zur Transport­verschlüsselung (TLS/SSL) setzen wir eine feld-granulare Verschlüsselung sensibler Daten in unserer Datenbank ein. Damit sind Ihre personen­bezogenen Informationen auch im gespeicherten Zustand verschlüsselt und selbst bei einem hypothetischen unbefugten Datenbank­zugriff nicht lesbar.

Drei Verschlüsselungs-Schemen kommen zum Einsatz:

• AES-256-GCM (Random-IV) für die meisten Felder — semantische Sicherheit, jeder Schreibvorgang erzeugt ein neues Chiffrat.
• AES-256-SIV (deterministisch) ausschließlich für User.email, damit Login-Lookups ohne Klartext im Speicher möglich sind.
• HMAC-SHA256 Blind Indexes für Suchfelder (Patient.city, Patient.zipCode, Therapist.city, Therapist.zipCode) — ermöglichen Gleichheits-Suche auf verschlüsselten Spalten, ohne dass die Datenbank den Klartext sehen muss.

Vollständige Liste der feld-level-verschlüsselten Datenbank­spalten (Stand: Mai 2026):

• Konten: User.email (AES-SIV), User.firstName, User.lastName, User.name
• Patient:innen-Profil: Patient.dateOfBirth, Patient.city, Patient.zipCode (jeweils plus Blind Index)
• Therapeut:innen-Profil: Therapist.emailPublic, Therapist.street, Therapist.city, Therapist.zipCode (jeweils plus Blind Index auf Stadt/PLZ)
• Termine: Appointment.guestFirstName, guestLastName, guestEmail, guestPhone, Appointment.notes, Appointment.cancellationReason
• Bewertungen: Bewertungs­text und Therapeut:innen-Antwort (Review.comment, Review.therapistResponse)
• Jobbörse: JobListing.contactEmail, JobListing.contactPhone
• Feedback & Benachrichtigungen: Feedback.message, Feedback.adminNotes, Notification.message
• Verifizierungs-Metadaten: Verification.identityData, licenseData, signatureData, extractedFirstName, extractedLastName, extractedDateOfBirth, extractedIdNumber, adminNotes, rejectionReason

Die hochgeladenen Verifizierungs-Dokument-Dateien (Scans, Selfies) werden über eine separate Pipeline client-side AES-GCM-verschlüsselt und in einem getrennten privaten Hetzner-Bucket (Nürnberg) abgelegt — siehe Abschnitt „Verifizierung von Therapeut:innen“.

Diese Maßnahmen entsprechen den Anforderungen der DSGVO Art. 32 (Sicherheit der Verarbeitung) und Art. 9 (Verarbeitung besonderer Kategorien personen­bezogener Daten).

Audit-Log nach DSGVO Art. 32 und Art. 30

Zur Erfüllung der Pflichten aus Art. 32 DSGVO (Sicherheit der Verarbeitung) und Art. 30 DSGVO (Verzeichnis von Verarbeitungs­tätigkeiten) protokollieren wir alle mutierenden administrativen Aktionen auf der Plattform in einer separaten Audit-Log-Tabelle (AuditLog).

Erfasst werden: Admin-Konto-ID, Aktions­bezeichnung (z. B. USER_DISABLED, VERIFICATION_APPROVED), Ziel-Objekt-Typ und -ID, alter und neuer Wert (PII-redacted gem. unserer Verschlüsselungs-Konfiguration), Zeitstempel, IP-Adresse und User-Agent der/des handelnden Admin.

Aufbewahrungs- und Anonymisierungs-Regime: Die forensischen Felder IP-Adresse und User-Agent werden nach 90 Tagen automatisch auf null gesetzt(Zeitfenster für die Aufklärung sicherheits­relevanter Vorfälle, danach überwiegt das Interesse an Datenminimierung). Der eigentliche Audit-Eintrag (Aktion / Ziel-Objekt / alter und neuer Wert) bleibt als Art.-30-Nachweis dauerhaft erhalten und kann auf Anfrage der Aufsichts­behörde vorgelegt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung — Art. 30 und Art. 32 DSGVO) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Forensik und Missbrauchs-Aufklärung) hinsichtlich der zeitlich begrenzten IP-/User-Agent-Aufbewahrung.

8. Datenverarbeitung und Drittländer

Ihre personenbezogenen Daten werden primär in der Europäischen Union verarbeitet und gespeichert.