CuraDeskCuraDesk

Datenschutzerklärung — CuraDesk Anwendung (app.curadesk.at)

1. Verantwortlicher

Christian Glatz Hebragasse 7/8 1090 Wien, Österreich E-Mail: kontakt@curadesk.at

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung der Webanwendung CuraDesk unter app.curadesk.at (nachfolgend „Anwendung"). Sie richtet sich an Nutzer:innen der Anwendung, das sind Psychotherapeut:innen, klinische Psycholog:innen, Kunst- und Musiktherapeut:innen sowie verwandte Berufsgruppen, die CuraDesk zur Verwaltung ihrer Praxis einsetzen.

3. Besonderheit: Ende-zu-Ende-Verschlüsselung

CuraDesk verwendet eine Ende-zu-Ende-Verschlüsselung für Klient:innendaten. Das bedeutet:

  • Klient:innendaten (Stammdaten, Diagnosen, Sitzungsdokumentationen, Notizen) werden im Browser der Nutzer:in verschlüsselt, bevor sie an den Server übermittelt werden.
  • Der Server speichert ausschließlich verschlüsselten Ciphertext. CuraDesk als Betreiber hat keinen Zugriff auf die Klartextdaten.
  • Die Entschlüsselung erfolgt ausschließlich im Browser der Nutzer:in, nach Eingabe des persönlichen Passworts.
  • Der Verschlüsselungsschlüssel (Workspace Key) existiert nur im Arbeitsspeicher des Browsers und wird beim Schließen des Tabs unwiderruflich gelöscht.

Durch diese Architektur ist CuraDesk technisch nicht in der Lage, Klient:innendaten einzusehen, zu verarbeiten oder weiterzugeben.

Folgende Daten erreichen den Server hingegen unverschlüsselt: Buchungsanfragen über die öffentliche Buchungsseite (bis zur Übernahme in die verschlüsselte Akte, danach Löschung des Klartexts; nicht übernommene Anfragen werden nach 30 Tagen automatisch gelöscht), Empfänger-E-Mail-Adressen und Betreffzeilen im Versandmoment, Rechnungsbeträge (aus steuerlichen Gründen) sowie technische Metadaten (Zeitstempel, IP-Adressen).

4. Vertraulichkeitsverpflichtung

CuraDesk behandelt alle Daten der Nutzer:innen und deren Klient:innen streng vertraulich. Diese Verpflichtung besteht weit über die Vertragslaufzeit hinaus, auch nach Kündigung und Löschung des Kontos. Alle Mitarbeiter:innen und Auftragsverarbeiter von CuraDesk unterliegen einer gesonderten Vertraulichkeitsverpflichtung.

5. Kategorien verarbeiteter Daten

5.1 Kontodaten (unverschlüsselt)

Folgende Daten werden zur Kontoverwaltung im Klartext gespeichert:

  • E-Mail-Adresse
  • Name der Therapeut:in
  • Praxisname und -adresse
  • Bankverbindung (für Rechnungsvorlagen)
  • Abrechnungsdaten (über Mollie)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

5.2 Klient:innendaten (Ende-zu-Ende-verschlüsselt)

Folgende Daten werden ausschließlich in verschlüsselter Form gespeichert:

  • Klient:innen-Stammdaten (Name, Geburtsdatum, Kontakt, Versicherung)
  • Diagnosen (ICD-10)
  • Sitzungsdokumentationen und Notizen
  • Terminnotizen

Rechnungsbeträge werden im Klartext gespeichert, da sie für die Buchhaltung der Nutzer:in einsehbar sein müssen.

CuraDesk speichert diese Daten nur als Ciphertext und hat keinen Zugang zu den Inhalten. Die Nutzer:in ist für die Klient:innendaten als eigene Verantwortliche im Sinne der DSGVO zuständig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 28 DSGVO (Auftragsverarbeitung)

5.3 Technische Daten

Bei der Nutzung der Anwendung werden erfasst:

  • IP-Adresse
  • Browsertyp und -version
  • Zeitpunkt der Zugriffe
  • Authentifizierungs-Token (JWT, Refresh-Token)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit)

6. Unteranbieter und Auftragsverarbeiter

CuraDesk setzt folgende Unteranbieter ein. Bei allen Unteranbietern, die personenbezogene Daten verarbeiten, ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

6.1 Hetzner Online GmbH — Hosting

  • Zweck: Hosting der Anwendung, Datenbank und automatisierte Backups
  • Adresse: Industriestr. 25, 91710 Gunzenhausen, Deutschland
  • Rechenzentrum: Falkenstein, Deutschland
  • Verarbeitete Daten: Alle Serverdaten (Kontodaten im Klartext, Klient:innendaten als Ciphertext)
  • AVV: Abgeschlossen gemäß Art. 28 DSGVO
  • Datenschutzerklärung: https://www.hetzner.com/de/legal/privacy-policy

6.2 Mollie B.V. — Zahlungsabwicklung

  • Zweck: Abwicklung von Abonnement-Zahlungen (z. B. Kreditkarte, SEPA-Lastschrift)
  • Adresse: Keizersgracht 126, 1015 CW Amsterdam, Niederlande
  • Verarbeitete Daten: Name, E-Mail-Adresse, Zahlungsdaten, Rechnungsadresse. Keine Klient:innendaten.
  • Zahlungsdaten werden nicht auf CuraDesk-Servern gespeichert, sondern direkt an Mollie übermittelt.
  • Datentransfer: Verarbeitung innerhalb der EU.
  • AVV: Abgeschlossen (Mollie Data Processing Agreement)
  • Datenschutzerklärung: https://www.mollie.com/privacy

6.3 Brevo (Sendinblue SAS) — E-Mail-Versand

  • Zweck: Versand von System- und Transaktions-E-Mails, etwa Konto- und Terminbenachrichtigungen sowie der Versand von Honorarnoten an die von der Nutzer:in angegebenen Empfänger:innen
  • Adresse: 106 Boulevard Haussmann, 75008 Paris, Frankreich
  • Verarbeitete Daten: Empfänger-E-Mail-Adressen und Inhalt der jeweiligen E-Mail einschließlich etwaiger Anhänge. Keine dauerhaft gespeicherten Klient:innendatenbestände.
  • Datentransfer: Verarbeitung innerhalb der EU.
  • AVV: Abgeschlossen gemäß Art. 28 DSGVO
  • Datenschutzerklärung: https://www.brevo.com/legal/privacypolicy/

6.4 Videositzungen

Videositzungen werden standardmäßig direkt zwischen den Teilnehmenden übertragen (Peer-to-Peer, DTLS-SRTP-verschlüsselt). Nur wenn eine direkte Verbindung technisch nicht möglich ist, wird die verschlüsselte Übertragung über einen TURN-Relay-Server vermittelt, den CuraDesk selbst auf Hetzner-Infrastruktur (Deutschland, EU) betreibt; dabei werden IP-Adressen verarbeitet, eine inhaltliche Kenntnisnahme ist ausgeschlossen. Videositzungen werden nicht aufgezeichnet und nicht gespeichert.

6.5 Let's Encrypt / Internet Security Research Group (ISRG) — TLS-Zertifikate

  • Zweck: Automatische Ausstellung von TLS/SSL-Zertifikaten für die verschlüsselte Verbindung (HTTPS)
  • Verarbeitete Daten: Keine personenbezogenen Daten. Nur der Domainname (curadesk.at, app.curadesk.at) wird zur Zertifikatsausstellung übermittelt.
  • Datenschutzerklärung: https://letsencrypt.org/privacy/

7. Datensicherheit

7.1 Verschlüsselung

  • Klient:innendaten: AES-256-GCM, verschlüsselt im Browser (WebCrypto API), mit frischem 96-Bit IV pro Datensatz
  • Schlüsselableitung: Argon2id (65536 KiB Speicher, 3 Iterationen), leitet aus dem Passwort einen Verschlüsselungsschlüssel ab
  • Suchindex: HMAC-SHA256, ermöglicht Suche nach Klient:innen, ohne Klartextnamen am Server zu speichern
  • Passwörter: Argon2id-Hash serverseitig, Klartext wird nicht gespeichert
  • Transport: TLS 1.3 (Let's Encrypt), HSTS Preload, Security Headers

7.2 Authentifizierung

  • JWT-Token mit 15 Minuten Gültigkeit
  • Refresh-Token mit 30 Tagen Gültigkeit, SHA-256 gehasht gespeichert
  • Optionale Zwei-Faktor-Authentifizierung (TOTP)
  • Rate-Limiting auf Login-Versuche

7.3 Kein lokaler Speicher

CuraDesk speichert keine Daten in localStorage oder sessionStorage des Browsers. Der Verschlüsselungsschlüssel existiert ausschließlich im Arbeitsspeicher und wird beim Schließen des Browser-Tabs gelöscht. Dies ist eine bewusste Designentscheidung zugunsten der Sicherheit.

7.4 Backups

CuraDesk erstellt regelmäßig automatisierte Backups der gesamten Datenbank. Diese Backups enthalten ausschließlich verschlüsselten Ciphertext, sie sind ohne das Passwort der Nutzer:in nicht lesbar. Backups werden auf getrennten Systemen im gleichen Rechenzentrum (Hetzner Falkenstein, Deutschland) gespeichert.

8. Datenexport

Die Nutzer:in kann jederzeit über die Export-Funktion in der Anwendung folgende Daten exportieren:

  • Honorarnoten als PDF
  • Buchhaltungsdaten (Einnahmen, Ausgaben, Jahresabschluss) für den Steuerberater
  • Klient:innenübersichten
  • Vollständiger Datenexport gemäß DSGVO Art. 20

Exportierte Daten liegen unverschlüsselt vor. Die Nutzer:in ist für den sicheren Umgang mit exportierten Daten selbst verantwortlich.

9. Auftragsverarbeitungsvertrag (AV-Vertrag)

Die Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO wird bei der Registrierung elektronisch abgeschlossen und ist jederzeit unter app.curadesk.at/avv abrufbar (auch als versioniertes PDF).

Hinweis: Durch die Ende-zu-Ende-Verschlüsselung hat CuraDesk faktisch keinen Zugriff auf die Klient:innendaten. Der AV-Vertrag wird dennoch abgeschlossen, da die verschlüsselten Daten technisch auf unseren Servern gespeichert werden.

10. Speicherdauer und Löschung

  • Kontodaten: Werden für die Dauer der Geschäftsbeziehung gespeichert. Nach Vertragsende (Testphase ohne Abonnement, Kündigung oder beantragte Kontolöschung) bleiben die Daten 90 Tage zum Export lesbar und werden danach automatisch endgültig gelöscht (Ankündigung per E-Mail 14 Tage vorher); gesetzliche Aufbewahrungsfristen bleiben unberührt.
  • Klient:innendaten (Ciphertext): Werden gemeinsam mit dem Konto gelöscht. Da die Daten verschlüsselt sind, sind sie ohne das Passwort der Nutzer:in nicht lesbar.
  • Login-Protokolle: Werden nach 30 Tagen automatisch gelöscht; technische Server-Logs werden nur kurzfristig zur Sicherstellung des Betriebs vorgehalten.
  • Abrechnungsdaten: Werden gemäß den gesetzlichen Aufbewahrungsfristen (7 Jahre, § 132 BAO) aufbewahrt.
  • Backups: Verschlüsselte Datenbank-Backups werden nach 30 Tagen automatisch gelöscht.

11. Keine Weitergabe an Dritte

Personenbezogene Daten werden nicht an Dritte weitergegeben, es sei denn:

  • dies ist zur Vertragserfüllung über die in Punkt 6 genannten Unteranbieter erforderlich
  • es besteht eine gesetzliche Verpflichtung

CuraDesk verkauft keine Daten und nutzt sie nicht für Werbezwecke.

12. Ihre Rechte

Als Nutzer:in der Anwendung haben Sie folgende Rechte:

  • Auskunftsrecht (Art. 15 DSGVO)
  • Berichtigungsrecht (Art. 16 DSGVO)
  • Löschungsrecht (Art. 17 DSGVO), sofern keine gesetzlichen Aufbewahrungspflichten bestehen
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO), jederzeit über die Export-Funktion in der Anwendung
  • Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte: kontakt@curadesk.at

13. Hinweis für Klient:innen der Nutzer:innen

CuraDesk verarbeitet Klient:innendaten ausschließlich im Auftrag der Nutzer:in (Therapeut:in/Psycholog:in). Klient:innen, die Auskunft über ihre gespeicherten Daten wünschen, wenden sich bitte an ihre behandelnde Therapeut:in bzw. Psycholog:in.

CuraDesk hat aufgrund der Ende-zu-Ende-Verschlüsselung keinen Einblick in Klient:innendaten und kann daher keine Auskunftsanfragen von Klient:innen direkt beantworten.

14. Beschwerderecht

Österreichische Datenschutzbehörde Barichgasse 40–42 1030 Wien E-Mail: dsb@dsb.gv.at Website: https://www.dsb.gv.at

15. Änderungen

Bei wesentlichen Änderungen dieser Datenschutzerklärung werden registrierte Nutzer:innen per E-Mail informiert.

Stand: Juli 2026