Datenschutzerklärung

1. Verantwortliche

Verantwortliche für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Sanna Lena Gottschalk
Wagenweg 6, 6780 Schruns, Österreich
E-Mail: kontakt@sannalenagottschalk.com
Telefon: +43 664 2140654

2. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten von Patientinnen und Patienten sowie von Nutzerinnen und Nutzern dieser Anwendung („Praxly“) für folgende Zwecke:

• Verwaltung und Organisation der physiotherapeutischen Praxis (Praxisverwaltung)
• Terminvereinbarung, -verwaltung und -bestätigung
• Versand von Terminerinnerungen per SMS und/oder E-Mail
• Dokumentation der Behandlung (Anamnese, Verlauf, Therapieinhalte)
• Abrechnung und Rechnungslegung
• Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen (z. B. Terminvereinbarung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer effizienten Praxisorganisation und Terminerinnerung zur Vermeidung von Terminausfällen
• Art. 9 Abs. 2 lit. h DSGVO – Verarbeitung von Gesundheitsdaten, soweit dies für Zwecke der Gesundheitsversorgung und Behandlung erforderlich ist
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen (z. B. Dokumentations- und Aufbewahrungspflichten nach dem MTD-Gesetz sowie abgabenrechtliche Vorschriften)

4. Empfänger und Auftragsverarbeiter

Zur Bereitstellung unserer Anwendung setzen wir folgende Dienstleister ein, mit denen jeweils Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen wurden bzw. werden:

• Supabase – Datenbank- und Backend-Hosting, Serverstandort Frankfurt am Main (EU, Region eu-central-1). Verarbeitung innerhalb der EU, AVV liegt vor.
• Vercel – Hosting der Webanwendung. AVV liegt vor.
• Twilio – Versand von SMS-Terminerinnerungen. Twilio hat seinen Sitz in den USA. Es kann daher zu einer Übermittlung personenbezogener Daten (Telefonnummer, Terminzeitpunkt) in ein Drittland außerhalb der EU/des EWR kommen. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission genehmigten Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie zusätzlicher technischer und organisatorischer Maßnahmen.
• Anthropic Inc. – Betreiber des KI-Assistenten (Claude). Anthropic hat seinen Sitz in den USA (San Francisco, CA). Bei Nutzung des Praxis-Assistenten werden Praxisdaten (Terminanzahl, Patientenanzahl, Umsatzdaten, Patientennamen aus Tagesplan) zur Beantwortung von Anfragen übermittelt. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) mit Anthropic gemäß Art. 28 DSGVO liegt vor. Die Nutzung des KI-Assistenten ist optional; bei Nicht-Nutzung erfolgt keine Datenübermittlung an Anthropic.
• SumUp Inc. – Kartenzahlungsabwicklung. SumUp hat eine EU-Niederlassung in Berlin. Bei Kartenzahlungen werden Zahlungsdaten an SumUp übermittelt. AVV liegt vor.

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist bzw. gesetzlich vorgeschrieben ist:

• Gesundheits- und Behandlungsdokumentation: mindestens 10 Jahre gemäß § 11a MTD-Gesetz (Dokumentationspflicht der gehobenen medizinisch-technischen Dienste)
• Rechnungs- und Buchhaltungsunterlagen: 7 Jahre gemäß Bundesabgabenordnung (BAO)
• Terminanfragen und -daten ohne weiteren Behandlungsbezug: bis zur Zweckerreichung, danach Löschung

6. Betroffenenrechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an kontakt@sannalenagottschalk.com.

7. Beschwerderecht

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
E-Mail: dsb@dsb.gv.at
www.dsb.gv.at

8. Cookies und Tracking

Diese Anwendung verwendet keine Analyse- oder Marketing-Cookies und kein Tracking. Es werden ausschließlich technisch notwendige Cookies bzw. Session-Mechanismen eingesetzt, die für den Betrieb der Anwendung (z. B. Anmeldung, Sitzungsverwaltung) zwingend erforderlich sind.

9. Transparenzpflichten gemäß EU AI Act (ab 2. August 2026)

Gemäß Art. 50 der EU-Verordnung 2024/1689 (EU AI Act) informieren wir Sie über den Einsatz von KI-Systemen in dieser Anwendung:

• Praxis-Assistent (KI-Chatbot): Der Praxis-Assistent ist ein KI-gestützter Chatbot auf Basis des Sprachmodells Claude (Anthropic Inc.). Nutzerinnen und Nutzer werden vor der ersten Eingabe darüber informiert, dass sie mit einem KI-System und nicht mit einem Menschen kommunizieren. Der Assistent trifft keine eigenständigen Entscheidungen; alle Ausgaben dienen ausschließlich der Unterstützung der Praxisverwaltung.
• KI-generierte Inhalte: Soweit innerhalb der Anwendung KI-generierte Texte oder Bilder angezeigt werden, sind diese entsprechend gekennzeichnet.
• Kein Hochrisiko-System: Die eingesetzten KI-Funktionen fallen nicht unter Anhang III der EU AI Act (keine Bewerberauswahl, kein Kredit-Scoring, keine Strafverfolgung etc.).
• Training mit Kundendaten ausgeschlossen: Die Nutzung von Praxisdaten zum Training von KI-Modellen durch Anthropic ist vertraglich ausgeschlossen.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen, insbesondere Verschlüsselung der Datenübertragung (TLS), Zugriffsbeschränkungen sowie Datenbank-Hosting innerhalb der EU.