Datenschutzerklärung

1. Verantwortlicher

Oliver Streißelberger
Stadlauer Straße 8/28
1220 Wien, Österreich

E-Mail: kontakt@praxis-website.at
Telefon: +436706564370

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen gemäß Art. 37 DSGVO nicht vorliegen.

2. Überblick über die Datenverarbeitung

praxis-website.at ist eine Software-as-a-Service (SaaS) Plattform, die Gesundheitsdienstleistern in Österreich die Erstellung und den Betrieb professioneller Websites ermöglicht. Im Rahmen dieser Dienstleistung verarbeiten wir personenbezogene Daten unserer Kunden (der registrierten Nutzer der Plattform) sowie der Besucher dieser Website (praxis-website.at).

Für personenbezogene Daten, die auf den von unseren Kunden erstellten Websites erhoben werden (z. B. über Kontaktformulare), agieren wir als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die Verantwortlichkeit für diese Daten liegt beim jeweiligen Kunden als Verantwortlicher. Die Bedingungen der Auftragsverarbeitung sind in unserem gesonderten Auftragsverarbeitungsvertrag (AVV) geregelt.

3. Verarbeitungstätigkeiten im Detail

3.1 Registrierung und Benutzerkonto

Zweck: Erstellung und Verwaltung Ihres Benutzerkontos, Authentifizierung, Bereitstellung der Plattform.

Verarbeitete Daten:

• E-Mail-Adresse
• Passwort (gespeichert als kryptographischer Hash)
• Vor- und Nachname
• Zeitpunkt der Registrierung
• Sitzungsdaten (Session-Token)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Nach Kontolöschung werden die Daten unverzüglich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (siehe Abschnitt 3.3).

3.1a Anmeldung über Drittanbieter (Social Login)

Zweck: Alternative Authentifizierung über Google- oder Microsoft-Konto zur vereinfachten Registrierung und Anmeldung.

Verarbeitete Daten:

• E-Mail-Adresse (vom Drittanbieter übermittelt)
• Vor- und Nachname
• Profilbild-URL
• Anbieterspezifische Nutzer-ID

Bei der Weiterleitung zum Drittanbieter werden dessen Datenschutzbestimmungen wirksam. Der Drittanbieter erhält dabei Kenntnis, dass Sie sich bei praxis-website.at anmelden.

Bei Nutzung eines Social Logins wird kein Passwort bei uns gespeichert.

Dienstleister:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutzerklärung: https://policies.google.com/privacy
• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Datenschutzerklärung: https://privacy.microsoft.com/de-de/privacystatement

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Die Verknüpfung mit dem Drittanbieter-Konto kann jederzeit in den Kontoeinstellungen aufgehoben werden.

3.2 Praxis- und Website-Daten

Zweck: Erstellung, Speicherung und Veröffentlichung der Website unserer Kunden, einschließlich aller im Editor eingegebenen Inhalte und Praxisdaten.

Verarbeitete Daten:

• Praxisname, Adresse, Kontaktdaten
• Name und Titel des Inhabers/der Inhaberin
• Praxisfotos, Logo, Portraitfoto
• Öffnungszeiten, Leistungsbeschreibungen
• Rechtliche Angaben (Impressum, Berufsberechtigung)
• Website-Inhalte und Konfiguration

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Nach Vertragsende gemäß den Bestimmungen in unseren AGB (Datenexport-Zeitraum, danach Löschung).

3.3 Zahlungsabwicklung und Rechnungslegung

Zweck: Abwicklung von Zahlungen für Abonnements, Rechnungsstellung, buchhalterische Aufbewahrung.

Verarbeitete Daten:

• Rechnungsadresse
• Zahlungsinformationen (werden direkt bei Stripe verarbeitet, wir speichern keine Kartendaten)
• Rechnungshistorie
• Abonnement-Status und -Verlauf

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung – Bundesabgabenordnung)

Speicherdauer: Rechnungsrelevante Daten werden gemäß § 132 Abs. 1 BAO für 7 Jahre aufbewahrt.

Zahlungsdienstleister: Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA. Stripe ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Stripe agiert bei der Betrugsprävention teilweise als eigenständiger Verantwortlicher. Datenschutzerklärung von Stripe: https://stripe.com/at/privacy

3.4 KI-gestützte Inhaltsgenerierung

Zweck: Generierung und Überarbeitung von Website-Inhalten mithilfe künstlicher Intelligenz – sowohl im Rahmen des Onboarding-Prozesses als auch über den KI-Assistenten im Editor. Neben der unmittelbaren Unterstützung bei der Texterstellung werden Prompts und Ergebnisse zur Qualitätssicherung und Verbesserung des Dienstes gespeichert.

Verarbeitete Daten:
An den KI-Dienst übermittelt werden:

• Praxisdaten (Praxisname, Fachrichtung, Leistungen, Adresse)
• Kontextinformationen zur gewünschten Website-Struktur
• Ggf. bestehende Textinhalte zur Überarbeitung
• Eingaben im Editor-Chat (Anweisungen und Fragen des Nutzers)

Nicht übermittelt werden Zahlungsdaten, Passwörter oder Daten von Website-Besuchern Ihrer Kunden-Website.

KI-Anbieter: Google LLC (Gemini), Zugang über Vercel AI Gateway. Der Vercel AI Gateway speichert selbst keine Prompts oder Antworten (Zero Data Retention). Gemäß den Vereinbarungen zwischen Vercel und Google werden übermittelte Daten nicht zur Modellverbesserung verwendet. Google kann Daten für eine begrenzte Dauer zur Missbrauchserkennung und Sicherheit protokollieren. Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – als Bestandteil der Plattformfunktionalität) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Qualitätssicherung und Weiterentwicklung des Dienstes) für die Speicherung von Prompts und Ergebnissen. Sie haben das Recht, gegen die auf Art. 6 Abs. 1 lit. f gestützte Verarbeitung jederzeit Widerspruch gemäß Art. 21 DSGVO einzulegen.

Hinweis: Die KI-generierten Inhalte werden stets dem Kunden zur Überprüfung vorgelegt, bevor sie veröffentlicht werden. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

Speicherdauer: Prompts und KI-Ergebnisse werden für 12 Monate bei uns gespeichert und anschließend automatisch gelöscht.

3.5 E-Mail-Versand

Zweck: Versand von transaktionalen E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Rechnungen, Systembenachrichtigungen).

Verarbeitete Daten:

• E-Mail-Adresse des Empfängers
• E-Mail-Inhalt
• Zustellmetadaten (Zustellung, Bounce, Beschwerden)

Dienstleister: Amazon Web Services EMEA SARL (AWS SES), Region eu-central-1 (Frankfurt). Die Verarbeitung erfolgt innerhalb der EU. Die Bedingungen der Datenverarbeitung sind im AWS Data Processing Addendum geregelt, das automatisch Bestandteil der AWS-Nutzungsbedingungen ist und EU-Standardvertragsklauseln (SCCs) enthält.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: E-Mail-Inhalte werden von AWS SES nicht nach der Zustellung gespeichert. Zustellmetadaten (Zustellstatus, Bounce- und Beschwerdeinformationen) werden gemäß den AWS-Aufbewahrungsfristen verarbeitet und automatisch gelöscht.

3.6 Datenbank, Authentifizierung und Dateispeicherung

Zweck: Speicherung aller Konto- und Website-Daten, Authentifizierung, Verwaltung hochgeladener Dateien (Bilder, Logo).

Verarbeitete Daten:

• Kontodaten (E-Mail-Adresse, Name, Sitzungsdaten)
• Praxis- und Website-Inhalte
• Hochgeladene Dateien (Bilder, Logos, Portraitfotos)
• Rechtliche Angaben und Konfigurationsdaten

Dienstleister: Supabase Inc., EU-Region Frankfurt (Deutschland). Die Datenverarbeitung erfolgt ausschließlich innerhalb der EU. Supabase agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Nach Vertragsende gemäß den Bestimmungen in unseren AGB (Datenexport-Zeitraum, danach Löschung).

3.7 Hosting und Content Delivery

Zweck: Bereitstellung und Auslieferung der praxis-website.at Plattform und der darauf erstellten Kunden-Websites.

Verarbeitete Daten:

• IP-Adresse (in Server-Logfiles)
• Browsertyp und -version
• Betriebssystem
• Referrer-URL
• Zeitpunkt des Zugriffs

Dienstleister: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Die Website wird aus der EU-Region ausgeliefert. Vercel nutzt EU-Standardvertragsklauseln (SCCs) als Transfermechanismus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Betrieb und Sicherheit der Website). Sie haben das Recht, gegen diese Verarbeitung jederzeit Widerspruch gemäß Art. 21 DSGVO einzulegen.

Speicherdauer: Server-Logfiles werden automatisch nach 30 Tagen gelöscht.

4. Analyse und Tracking

4.1 Vercel Web Analytics

Zweck: Erfassung anonymisierter Nutzungsstatistiken (Seitenaufrufe, Gerätetypen, Herkunftsland) zur Verbesserung der Plattform.

Verarbeitete Daten:

• Aufgerufene Seite (URL-Pfad)
• Referrer
• Gerätetyp, Betriebssystem, Browser
• Land, Region, Stadt (abgeleitet, nicht auf Einzelperson rückführbar)

Hinweis: Vercel Web Analytics arbeitet ohne Cookies und speichert keine IP-Adressen. Es werden keine personenbezogenen Daten dauerhaft gespeichert. Da keine Informationen auf dem Endgerät gespeichert oder darauf zugegriffen wird, ist keine Einwilligung gemäß § 165 Abs. 3 TKG 2021 erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Verbesserung des Dienstes). Sie haben das Recht, gegen diese Verarbeitung jederzeit Widerspruch gemäß Art. 21 DSGVO einzulegen.

4.2 PostHog (Produktanalyse)

Zweck: Analyse der Nutzung der Plattform, um Funktionen zu verbessern und Fehler zu erkennen. PostHog wird nur nach Ihrer Einwilligung aktiviert.

Verarbeitete Daten:

• Seitenaufrufe und Interaktionen (Klicks, Formulareingaben)
• Gerätetyp, Betriebssystem, Browser, Bildschirmgröße
• Aufgerufene URLs und Referrer
• UTM-Parameter
• Pseudonyme Nutzer-ID

IP-Adressen: Die Erfassung von IP-Adressen ist bei PostHog EU Cloud standardmäßig deaktiviert.

Cookies: PostHog setzt einen First-Party-Cookie:

Dienstleister: PostHog, Inc., EU Cloud gehostet in AWS eu-central-1 (Frankfurt, Deutschland). Die Datenverarbeitung erfolgt vollständig innerhalb der EU.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Widerruf: Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen auf unserer Website widerrufen (siehe Abschnitt 6).

5. Fehlerverfolgung

5.1 Sentry

Zweck: Erkennung und Behebung technischer Fehler in der Plattform zur Sicherstellung der Stabilität und Funktionsfähigkeit.

Verarbeitete Daten:

• Technische Fehlerinformationen (Stack-Traces, Fehlermeldungen)
• Browsertyp, Betriebssystem, Gerätetyp
• Aufgerufene URL zum Zeitpunkt des Fehlers
• Konsolenausgaben als Kontextinformationen

Hinweis: Wir haben Sentry so konfiguriert, dass keine IP-Adressen und keine personenbezogenen Daten (wie E-Mail-Adressen oder Cookies) erfasst werden. Das Sentry SDK setzt keine Cookies.

Dienstleister: Sentry (Functional Software, Inc.), Daten gespeichert in Frankfurt, Deutschland (EU-Region). Sentry ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Sicherstellung des technischen Betriebs). Sie haben das Recht, gegen diese Verarbeitung jederzeit Widerspruch gemäß Art. 21 DSGVO einzulegen.

Speicherdauer: Fehlerdaten werden automatisch nach 30 Tagen gelöscht.

6. Spam- und Bot-Schutz

6.1 Cloudflare Turnstile

Zweck: Schutz unserer Formulare (Anmeldung, Registrierung, Kontakt) vor automatisierten Zugriffen (Bots) und Missbrauch.

Verarbeitete Daten:

• Interaktionsdaten mit dem CAPTCHA-Widget (Mausbewegungen, Tastatureingaben im Kontext der Verifizierung)
• Browser- und Geräteinformationen (User-Agent, Bildschirmgröße)
• IP-Adresse (wird von Cloudflare zur Verifizierung verarbeitet, jedoch nicht dauerhaft gespeichert)

Hinweis: Cloudflare Turnstile setzt ausschließlich technisch notwendige Cookies, die für die Bot-Erkennung erforderlich sind. Personenbezogene Daten werden nicht dauerhaft gespeichert.

Dienstleister: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Cloudflare agiert als Auftragsverarbeiter für die Bot-Erkennung und als eigenständiger Verantwortlicher für die Weiterentwicklung der Bot-Erkennungstechnologie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse – Schutz vor automatisiertem Missbrauch und Sicherstellung der Funktionsfähigkeit der Plattform). Sie haben das Recht, gegen diese Verarbeitung jederzeit Widerspruch gemäß Art. 21 DSGVO einzulegen.

7. Cookies

7.1 Überblick

Wir verwenden auf praxis-website.at folgende Arten von Cookies:

Technisch notwendige Cookies (keine Einwilligung erforderlich)

Analyse-Cookies (nur mit Einwilligung)

7.2 Einwilligung und Widerruf

Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Banner angezeigt, über das Sie der Verwendung nicht-notwendiger Cookies zustimmen oder diese ablehnen können. Technisch notwendige Cookies werden gemäß § 165 Abs. 3 TKG 2021 ohne Einwilligung gesetzt, da sie für den Betrieb der Website unbedingt erforderlich sind.

Sie können Ihre Cookie-Einstellungen jederzeit ändern, indem Sie auf „Cookie-Einstellungen“ im Footer unserer Website klicken.

8. Datenübermittlung an Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA. Die Übermittlung personenbezogener Daten erfolgt auf Basis der folgenden Garantien:

Das EU-US Data Privacy Framework wurde durch den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 für gültig erklärt.

Sie haben das Recht, eine Kopie der geeigneten Garantien (Standardvertragsklauseln) für Drittlandübermittlungen anzufordern. Wenden Sie sich dazu an kontakt@praxis-website.at.

9. Erforderlichkeit der Datenbereitstellung

Die Bereitstellung Ihrer personenbezogenen Daten (E-Mail-Adresse, Passwort, Name) ist für den Vertragsschluss und die Nutzung der Plattform erforderlich. Ohne diese Daten kann kein Benutzerkonto erstellt und die Plattform nicht genutzt werden. Es besteht keine gesetzliche Verpflichtung zur Bereitstellung dieser Daten, jedoch ist ein Vertragsschluss ohne sie nicht möglich.

Die Bereitstellung von Praxis- und Website-Daten (Praxisname, Adresse, Leistungen etc.) ist für die Erstellung einer funktionsfähigen Praxis-Website erforderlich. Ohne diese Angaben kann die vertragliche Leistung nicht vollständig erbracht werden.

Die Bereitstellung von Zahlungsdaten ist für die Abwicklung des kostenpflichtigen Abonnements erforderlich.

Die Einwilligung in Analyse-Cookies (PostHog) ist freiwillig und hat keinen Einfluss auf die Nutzung der Plattform.

10. Ihre Rechte (Art. 15–21 DSGVO)

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen.
• Recht auf Widerruf (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: kontakt@praxis-website.at

11. Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Österreichische Datenschutzbehörde (DSB)
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Website: https://www.dsb.gv.at

12. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder den Zugriff unberechtigter Personen zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

Die gesamte Kommunikation zwischen Ihrem Browser und unseren Servern erfolgt verschlüsselt über TLS (Transport Layer Security).

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unserer Dienstleistungen anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.