Datenschutzerklärung
1. Verantwortliche Stelle
lambda Praxisräume GmbH, c/o BDO Austria GmbH, Am Belvedere 4, QBC, 1100 Wien · FN 681276 b (Handelsgericht Wien) · datenschutz@praxisraeume.com
2. Verarbeitete Daten
Stammdaten (Name, Adresse, Beruf), Ausweiskopie zur Identitätsprüfung, Buchungs- und Rechnungsdaten, Logindaten, technische Logs.
3. Zweck
Vertragsdurchführung, Abrechnung, Plattformbetrieb, gesetzliche Aufbewahrungsfristen.
4. Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (rechtliche Verpflichtung), lit. f (berechtigtes Interesse).
5. Hosting & Auftragsverarbeiter
Anwendung gehostet bei Vercel (Region Frankfurt); Datenbank, Authentifizierung und Datei-Speicher bei Supabase (Projekt-Region Frankfurt/eu-central-1); E-Mail-Versand (Anmelde-Codes, Kontaktanfragen) über Resend mit der Absender-Domain mail.praxisraeume.com. Mit den Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; etwaige Drittlandübermittlungen sind über EU-Standardvertragsklauseln abgesichert.
6. Login ohne Passwort (OTP)
Die Anmeldung erfolgt über einen 6-stelligen Einmalcode an deine E-Mail-Adresse. Es werden keine Passwörter gespeichert; der Code ist zeitlich begrenzt gültig.
7. Identitäts- und Qualifikationsnachweise
Im Rahmen der Registrierung hochgeladene Ausweiskopien (Personalausweis, Reisepass oder Führerschein) dienen ausschließlich der Identitätsprüfung vor der Freigabe des Praxiszugangs (Art. 6 Abs. 1 lit. b DSGVO) und werden in einem zugriffsbeschränkten Speicher abgelegt. Zugriff haben nur die betroffene Person und die Betreiber:innen. Unmittelbar nach dem Freigabe-Entscheid (Freigabe wie Ablehnung) wird die Ausweiskopie automatisch gelöscht; es verbleibt ein Prüfvermerk (Ausweisart, Dateiname, Zeitpunkt des Uploads sowie Zeitpunkt und Ergebnis der Prüfung). Gleiches gilt für Zertifikate, die Fachpersonen freiwillig zur Verifizierung einzelner Profil-Qualifikationen hochladen: Sie werden manuell geprüft und unmittelbar nach dem Prüf-Entscheid (Bestätigung wie Ablehnung) gelöscht. Es verbleiben lediglich Prüf-Metadaten (Dateiname, Dateityp, Größe, Zeitpunkt und Ergebnis der Prüfung) sowie ein SHA-256-Hashwert der Datei — ein kryptografischer Fingerabdruck, aus dem sich der Inhalt des Dokuments nicht wiederherstellen lässt. Der Hashwert dient ausschließlich dazu, zu erkennen, ob eine bereits geprüfte (insbesondere abgelehnte) Datei unverändert erneut eingereicht wird, und so die Integrität des Prüfverfahrens zu sichern (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse). Ein Abgleich mit Dateien anderer Personen findet nicht statt; die Prüf-Metadaten werden mit dem Account gelöscht.
8. Kontaktformular
Angaben aus dem Kontaktformular (Name, E-Mail, Anliegen, Nachricht) verarbeiten wir zur Bearbeitung der Anfrage; der Versand an uns erfolgt über Resend.
9. Launch-Benachrichtigung („Zum Start informiert werden“)
Trägst du auf der Vorschau-Seite deine E-Mail-Adresse ein, speichern wir sie in unserer Datenbank (Supabase), um dich einmalig über den Start der Online-Buchung zu informieren; zusätzlich geht eine Eingangs-Benachrichtigung über Resend an unser Postfach. Eine Verwendung für andere Zwecke oder eine Weitergabe findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Einwilligung jederzeit formlos widerrufen (z. B. an datenschutz@praxisraeume.com) — wir löschen die Adresse dann umgehend, spätestens nach dem Versand der Start-Information.
10. Online-Terminbuchung bei Therapeut:innen
Buchst du online einen Termin bei einer auf dieser Plattform sichtbaren Fachperson, verarbeiten wir deinen Namen und deine E-Mail-Adresse zur Reservierung und Verwaltung des Termins (Art. 6 Abs. 1 lit. b DSGVO — Vertragsanbahnung/Durchführung). Diese Angaben werden dem Termin zugeordnet gespeichert, an die gebuchte Fachperson weitergegeben und für die Bestätigungs-E-Mail über Resend verarbeitet. Inhalte deiner Behandlung werden über die Plattform nicht erhoben.
11. Speicherdauer
Stammdaten und Abrechnungsunterlagen 7 Jahre (insb. § 132 BAO) nach Vertragsende. Technische Logs 6 Monate. Kontaktanfragen bis zur Erledigung zzgl. 6 Monate. Termin-Daten von Patient:innen (Name, E-Mail) bis 12 Monate nach dem Termin. E-Mail-Adressen für die Launch-Benachrichtigung bis zum Versand der Start-Information bzw. bis zu deinem Widerruf. Ausweiskopien bis zum Freigabe-Entscheid, der Prüfvermerk (Abschnitt 7) bis zur Löschung des Accounts. Hochgeladene Qualifikationsnachweise bis zum Prüf-Entscheid; die Prüf-Metadaten inkl. Hashwert (Abschnitt 7) bis zur Löschung des Accounts.
12. Deine Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch. Beschwerderecht bei der österreichischen Datenschutzbehörde.
13. Cookies & Reichweitenmessung
Technisch notwendige Cookies (Session, Login, die Speicherung deiner Cookie-Entscheidung) setzen wir ohne Einwilligung (§ 165 Abs. 3 TKG 2021). Zur Reichweitenmessung verwenden wir Vercel Analytics: cookielos und rein aggregiert (z. B. Seitenaufrufe), ohne dauerhafte Kennungen und ohne Wiedererkennung einzelner Personen über Besuche hinweg. Statistik- und Werbe-Cookies (Google Analytics, siehe Abschnitt 14) kommen ausschließlich nach deiner Einwilligung über den Cookie-Hinweis zum Einsatz.
14. Google Analytics 4 & Google Ads (nur mit Einwilligung)
Mit deiner Einwilligung setzen wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um die Nutzung der Website auszuwerten und den Erfolg unserer Google-Ads-Anzeigen zu messen. Ohne Einwilligung bleibt der Dienst über den Google Consent Mode blockiert — es werden keine Analytics- oder Werbe-Cookies gesetzt und keine Kennungen im Browser gespeichert; technisch bedingt sendet der Browser dabei einzelne cookielose Aufrufe an Google (inkl. IP-Adresse), ohne dauerhafte Kennung und ohne Wiedererkennung über Besuche hinweg. Personalisierte Werbung (Remarketing) setzen wir nicht ein — das entsprechende Consent-Signal (ad_personalization) bleibt auch bei erteilter Einwilligung deaktiviert. Stimmst du zu, setzt Google Cookies (_ga, _ga_*; Laufzeit bis zu 2 Jahre); die erhobenen Ereignisdaten speichert Google für uns bis zu 14 Monate. Google Analytics 4 protokolliert und speichert keine vollständigen IP-Adressen. Eine Übermittlung an Google LLC in die USA ist möglich; sie ist über den EU-US-Angemessenheitsbeschluss (Data Privacy Framework — Google LLC ist zertifiziert) und EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 (Einwilligung). Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über „Cookie-Einstellungen ändern“ am Ende dieser Seite; bereits gesetzte Google-Cookies werden dabei gelöscht.
15. Kartendienst (OpenStreetMap)
Die Standortkarte auf der Über-uns-Seite bindet OpenStreetMap ein (OpenStreetMap Foundation, Großbritannien — EU-Angemessenheitsbeschluss). Beim Laden der Karte wird deine IP-Adresse an deren Server übertragen (technisch erforderlich); Tracking-Cookies werden keine gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an verständlicher Standortdarstellung). Der Link „Route in Google Maps“ führt erst nach deinem Klick zu Google — eingebettet wird dabei nichts.