Datenverarbeitungsvereinbarung

Die Plattform ist alleinige datenschutzrechtlich Verantwortliche (Art. 4 Nr. 7 DSGVO) für:

• den Betrieb des Matching-Fragebogens einschließlich Erhebung, Auswertung und algorithmischem Scoring der von Suchenden eingegebenen Gesundheits- und Präferenzdaten vor Auswahl einer Therapeut:in
• die technische Bereitstellung, Speicherung, Verschlüsselung und fristgebundene Löschung der Kontaktanfrage-Infrastruktur
• die Auswahl und vertragliche Anbindung sämtlicher technischer Dienstleister (Hosting, Datenbank, E-Mail-Versand, Analyse, Bild-Auslieferung)
• die Verarbeitung der Profil-, Account- und Vertragsdaten der Therapeut:innen zur Bereitstellung der Plattform (Registrierung, Darstellung, Abrechnung, Support)
• alle sonstigen Verarbeitungen, bei denen die Therapeut:in keine tatsächliche Entscheidungsmöglichkeit über Zweck oder wesentliche Mittel hat

Die Therapeut:in ist eigene, alleinige Verantwortliche (Art. 4 Nr. 7 DSGVO) für:

• die Inhalte und die Gestaltung des nach Erhalt einer Kontaktanfrage geführten Kommunikations- und Behandlungsverhältnisses mit der suchenden Person, einschließlich Terminvereinbarung, Anamnese und eigener Patient:innendokumentation nach den berufsrechtlichen Vorgaben (PthG 2024, Verschwiegenheitspflicht)
• die Entscheidung, ob und wie sie auf eine erhaltene Kontaktanfrage reagiert
• die von ihr selbst gewählten Inhalte ihres öffentlichen Profils und ihrer Microsite

Für die Verarbeitung der Inhalte einer konkreten Kontaktanfrage (von der Übermittlung an die von der suchenden Person ausgewählte Therapeut:in bis zum Ablauf der Speicherfrist bei der Plattform) sind Plattform und Therapeut:in gemeinsam Verantwortliche (Art. 26 Abs. 1 DSGVO). Dabei gilt folgende Aufteilung:

• Die Plattform ist verantwortlich für die technische Übermittlung, verschlüsselte Speicherung, Zugriffssicherung und fristgerechte Löschung der Anfrageinhalte sowie für die Information der Suchenden über diese technische Verarbeitung (Art. 13 DSGVO).
• Die Therapeut:in ist verantwortlich für den Umgang mit den ihr zugegangenen Anfrageinhalten in ihrem eigenen Bereich (z. B. Übernahme in die eigene Patient:innendokumentation, Beantwortung) sowie für die Information über diese eigene Weiterverarbeitung.
• Suchende können ihre Rechte nach Art. 15–22 DSGVO gegenüber beiden Parteien geltend machen (Art. 26 Abs. 3 DSGVO). Zentrale Anlaufstelle ist die Plattform (datenschutz@matchyourtherapy.at); Anfragen, die den Bereich der Therapeut:in betreffen, leitet sie unverzüglich weiter.
• Das Wesentliche dieser Vereinbarung wird den Suchenden in der Datenschutzerklärung der Plattform zugänglich gemacht (Art. 26 Abs. 2 DSGVO).
• Berufsrechtliche Verschwiegenheitspflichten der Therapeut:in bleiben unberührt.

Folgende Kategorien personenbezogener Daten werden auf der Plattform verarbeitet:

• Name und Kontaktdaten der Therapeut:innen
• Berufliche Qualifikationen und Spezialisierungen
• Bei Kontaktanfragen von Patient:innen: Name, E-Mail-Adresse, optional Telefonnummer, die Freitext-Nachricht, die gewählten Therapiethemen, der angegebene Belastungsgrad sowie die Standortangabe
• Therapiepräferenzen der Patient:innen: verschlüsselt gespeichert und der jeweiligen Kontaktanfrage zugeordnet, nicht anonymisiert
• Freitext und Anzeigename aus abgegebenen Bewertungen
• Nutzungsdaten und Statistiken (pseudonymisiert)

Die Plattform trifft für die von ihr verantworteten Verarbeitungen insbesondere folgende Maßnahmen (Art. 32 DSGVO):

• Verschlüsselung der Inhalte von Kontaktanfragen (AES-256-GCM) und Transportverschlüsselung (TLS)
• Zugangskontrolle und Verpflichtung aller Personen mit Datenzugriff zur Vertraulichkeit
• Automatisierte Löschung der Anfrageinhalte nach 30 Tagen sowie Selbstlöschlink für Suchende
• Regelmäßige automatisierte Sicherheitsprüfungen (Dependency-Scanning, statische Code-Analyse)

Die Plattform setzt für die von ihr verantworteten Verarbeitungen folgende Auftragsverarbeiter (Art. 28 DSGVO) ein. Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag:

• Vercel Inc. (Hosting, Edge Functions), US-Anbieter mit Server-Standort Frankfurt (EU), EU-Standardvertragsklauseln
• Neon Inc. (PostgreSQL-Datenbank), US-Anbieter mit Datenbank-Servern in der EU, EU-Standardvertragsklauseln
• Stripe Inc. (Zahlungsabwicklung), USA, EU-Standardvertragsklauseln
• Cloudinary Ltd. (Bildoptimierung und Bild-Auslieferung), EU/USA, EU-Standardvertragsklauseln. Beim Anzeigen von Profilbildern wird die IP-Adresse der Besucher:innen an Cloudinary übermittelt
• Brevo / Sendinblue SAS (E-Mail-Versand), Frankreich, EU/DSGVO
• Groq Inc. (Sprachmodell für redaktionelle Texte und den Profiltext-Assistenten der Therapeut:innen; keine Daten von Patient:innen), USA, EU-Standardvertragsklauseln
• Google LLC (Places-API sowie Zusammenfassung öffentlicher Google-Bewertungen und freigegebener, anonymer Plattform-Bewertungen), USA, EU-Standardvertragsklauseln
• PostHog Inc. (Analyse, EU-Hosting)

Daneben werden beim Aufruf einer Profilseite bzw. erst nach einem aktiven Klick Daten an folgende eigenständig verantwortliche Dritt-Dienste übermittelt. Diese verarbeiten nicht im Auftrag der Plattform; es besteht daher kein Auftragsverarbeitungsvertrag, sondern eine Übermittlung auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) bzw. Ihrer Einwilligung:

• OpenStreetMap Foundation (Kartendienst), EU/UK. Für die Ortssuche in der Therapeut:innen-Suche und die Umrechnung von Praxisadressen in Kartenkoordinaten fragt unser Server bei OpenStreetMap an (mit unserer Server-IP, nicht Ihrer). Ihre eigene IP-Adresse wird nur übermittelt, wenn Sie auf einer Profilseite aktiv auf „Karte laden“ klicken und Ihr Browser die Kartenkacheln dann direkt von OpenStreetMap lädt
• Google Ireland Ltd. / Vimeo Inc. (Einbettung von Vorstellungsvideos, sofern eine Therapeut:in ein Video hinterlegt hat). Videos werden erst nach aktivem Klick geladen (Zwei-Klick-Lösung); erst dann wird die IP-Adresse der Besucher:innen an den jeweiligen Anbieter übermittelt

Eine detaillierte Beschreibung der Datenverarbeitung durch diese Dienste finden Sie in unserer Datenschutzerklärung.