Datenschutzerklärung

1. Verantwortliche

Verantwortliche für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Sanna Lena Gottschalk, Einzelunternehmerin (Praxly)
Wagenweg 6, 6780 Schruns, Österreich
E-Mail: kontakt@praxly.at

2. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten von Patientinnen und Patienten sowie von Nutzerinnen und Nutzern dieser Anwendung („Praxly“) für folgende Zwecke:

• Verwaltung und Organisation der physiotherapeutischen Praxis (Praxisverwaltung)
• Terminvereinbarung, -verwaltung und -bestätigung
• Versand von Terminerinnerungen per SMS und/oder E-Mail
• Dokumentation der Behandlung (Anamnese, Verlauf, Therapieinhalte)
• Abrechnung und Rechnungslegung
• Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen (z. B. Terminvereinbarung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer effizienten Praxisorganisation und Terminerinnerung zur Vermeidung von Terminausfällen
• Art. 9 Abs. 2 lit. h DSGVO – Verarbeitung von Gesundheitsdaten, soweit dies für Zwecke der Gesundheitsversorgung und Behandlung erforderlich ist
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen (z. B. Dokumentations- und Aufbewahrungspflichten nach dem MTD-Gesetz sowie abgabenrechtliche Vorschriften)

4. Empfänger und Auftragsverarbeiter

Zur Bereitstellung unserer Anwendung setzen wir folgende Dienstleister ein, mit denen jeweils Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen wurden bzw. werden:

• Supabase – Datenbank- und Backend-Hosting, Serverstandort Frankfurt am Main (EU, Region eu-central-1). Verarbeitung innerhalb der EU, AVV liegt vor.
• Vercel – Hosting der Webanwendung (Serverstandort EU). AVV liegt vor. Bei Nutzung von Vercel-Infrastruktur außerhalb der EU kann eine Drittlandübermittlung (USA) auf Basis von Standardvertragsklauseln (SCCs) erfolgen.
• Resend Inc. – Versand von E-Mail-Terminerinnerungen und Systembenachrichtigungen. Resend hat seinen Sitz in den USA. Es kann daher zu einer Übermittlung personenbezogener Daten (E-Mail-Adresse, Name, Terminzeitpunkt) in ein Drittland außerhalb der EU/des EWR kommen. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission genehmigten Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Twilio Inc. – Versand von SMS-Terminerinnerungen (optional, wenn dieser Anbieter konfiguriert ist). Twilio hat seinen Sitz in den USA. Es kann daher zu einer Übermittlung personenbezogener Daten (Telefonnummer, Name, Terminzeitpunkt) in ein Drittland außerhalb der EU/des EWR kommen. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission genehmigten Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
• seven communications GmbH – Versand von SMS-Terminerinnerungen (optionale Alternative, wenn dieser Anbieter konfiguriert ist). seven hat seinen Sitz in Deutschland (EU). Es erfolgt kein Drittlandtransfer.
• Websms GmbH – Versand von SMS-Terminerinnerungen (optionale Alternative, wenn dieser Anbieter konfiguriert ist). Websms hat seinen Sitz in Österreich (EU). Es erfolgt kein Drittlandtransfer.
• Groq Inc. – KI-Assistent (Chat, Zusammenfassungen). Groq hat seinen Sitz in den USA (Mountain View, CA). Bei Nutzung KI-gestützter Funktionen werden Gesprächsinhalte an Groq übermittelt, soweit möglich anonymisiert. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Nutzung ist optional; bei Nicht-Nutzung der KI-Funktionen erfolgt keine Datenübermittlung an Groq.
• Stripe Payments Europe, Ltd. – Abo-Abrechnung für Praxisinhaber:innen (keine Patientendaten). Stripe hat seinen Sitz in Irland (EU). Bei der Zahlungsabwicklung werden Zahlungs- und Rechnungsdaten der Praxis übermittelt. AVV liegt vor.
• SumUp Inc. – Kartenzahlungsabwicklung (optional). SumUp hat eine EU-Niederlassung in Berlin. Bei Kartenzahlungen werden Zahlungsdaten an SumUp übermittelt. AVV liegt vor.

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist bzw. gesetzlich vorgeschrieben ist:

• Gesundheits- und Behandlungsdokumentation: mindestens 10 Jahre ab Abschluss der Behandlung gemäß § 11a MTD-Gesetz (Dokumentationspflicht der gehobenen medizinisch-technischen Dienste) sowie § 34 MTDG (Schweigepflicht und Dokumentation — Therapeut:innen sind zur vollständigen, zeitnahen Dokumentation verpflichtet; die Dokumentation darf Dritten nur mit ausdrücklicher Zustimmung der Patient:in zugänglich gemacht werden)
• Rechnungs- und Buchhaltungsunterlagen: 7 Jahre gemäß Bundesabgabenordnung (BAO)
• Terminanfragen und -daten ohne weiteren Behandlungsbezug: bis zur Zweckerreichung, danach Löschung

6. Betroffenenrechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO) – eine solche findet in dieser Anwendung nicht statt

Zur Ausübung dieser Rechte wenden Sie sich bitte schriftlich an die verantwortliche Praxis (Kontaktdaten siehe Abschnitt 1).

7. Beschwerderecht

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
E-Mail: dsb@dsb.gv.at
www.dsb.gv.at

8. Cookies und Tracking

Diese Anwendung verwendet keine Analyse- oder Marketing-Cookies und kein Tracking. Es werden ausschließlich technisch notwendige Cookies bzw. Session-Mechanismen eingesetzt, die für den Betrieb der Anwendung (z. B. Anmeldung, Sitzungsverwaltung) zwingend erforderlich sind.

9. Transparenzpflichten gemäß EU AI Act (ab 2. August 2026)

Gemäß Art. 50 der EU-Verordnung 2024/1689 (EU AI Act) informieren wir Sie über den Einsatz von KI-Systemen in dieser Anwendung:

• Praxis-Assistent (KI-Chatbot): Der Praxis-Assistent ist ein KI-gestützter Chatbot auf Basis von Groq-gehosteten Sprachmodellen. Nutzerinnen und Nutzer werden vor der ersten Eingabe darüber informiert, dass sie mit einem KI-System und nicht mit einem Menschen kommunizieren. Der Assistent trifft keine eigenständigen Entscheidungen; alle Ausgaben dienen ausschließlich der Unterstützung der Praxisverwaltung.
• KI-generierte Inhalte: Soweit innerhalb der Anwendung KI-generierte Texte oder Bilder angezeigt werden, sind diese entsprechend gekennzeichnet.
• Kein Hochrisiko-System: Die eingesetzten KI-Funktionen fallen nicht unter Anhang III der EU AI Act (keine Bewerberauswahl, kein Kredit-Scoring, keine Strafverfolgung etc.).

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen, insbesondere Verschlüsselung der Datenübertragung (TLS), Zugriffsbeschränkungen sowie Datenbank-Hosting innerhalb der EU.

11. Auftragsverarbeitungsvertrag (AVV)

Praxly verarbeitet Gesundheitsdaten (Art. 9 DSGVO) als Auftragsverarbeiter im Auftrag jeder nutzenden Physiotherapie-Praxis. Gemäß Art. 28 DSGVO besteht zwischen Praxly und jeder Praxis ein schriftlicher Auftragsverarbeitungsvertrag.

→ Auftragsverarbeitungsvertrag (AVV) lesen