Zum Hauptinhalt springenZur Navigation springen

Datenschutzerklärung

Informationen zum Schutz Ihrer personenbezogenen Daten

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Website ist:

MMag. DDr. Gregor Studlar BA (MatchYour GmbH i.G.)

Domgasse 14

4020 Linz, Österreich

datenschutz@matchyourtherapy.at

2. Erhobene Daten

Account-Daten

Bei der Registrierung erheben wir: Name, E-Mail-Adresse, verschlüsseltes Passwort. Bei Therapeut:innen zusätzlich: Berufsqualifikationen, Praxisadresse, Spezialisierungen.

Matching-Daten

Für das Therapie-Matching erheben wir Informationen zu: Therapiewünschen, Belastungsgrad, Präferenzen (Online/Vor-Ort), Standort und bevorzugter Sprache. Diese Angaben sind Gesundheitsdaten im Sinne von Art. 9 DSGVO (siehe Abschnitt 4). Für die Suche selbst speichern wir sie nicht: Die Berechnung läuft auf unseren Servern in der EU, das Ergebnis geht an Ihren Browser zurück, dauerhaft abgelegt oder mit Ihrem Namen verknüpft werden die Angaben dabei nicht. Erst wenn Sie eine Anfrage absenden, werden sie verschlüsselt gespeichert und sind dann dieser Anfrage und damit Ihrem Namen und Ihrer E-Mail-Adresse zugeordnet. An Therapeut:innen weitergegeben werden sie nur, wenn Sie das beim Absenden ausdrücklich aktivieren.

Kontaktanfragen an Therapeut:innen

Wenn Sie eine Anfrage an eine Therapeut:in absenden, speichern wir Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Telefonnummer, Ihre Nachricht sowie, falls Sie dem zustimmen, Ihre Matching-Antworten. Diese Inhalte werden in unserer Datenbank mit AES-256-GCM verschlüsselt abgelegt (siehe Abschnitt 4). Die Therapeut:in erhält per E-Mail lediglich eine Benachrichtigung mit einem Link zu ihrem Dashboard; der Inhalt Ihrer Anfrage wird nicht per E-Mail übertragen und ist unserem E-Mail-Dienstleister Brevo daher nicht zugänglich. Für die Übermittlung Ihrer Anfrage an die gewählte Therapeut:in und deren Speicherung bis zur Löschung sind wir gemeinsam mit dieser Therapeut:in verantwortlich (Art. 26 DSGVO). Das Wesentliche unserer Vereinbarung: Wir übernehmen Technik, verschlüsselte Speicherung, Löschung und diese Information; die Therapeut:in ist für den Umgang mit der Anfrage in ihrem eigenen Bereich verantwortlich (z. B. Antwort, eigene Dokumentation). Ihre Rechte nach Art. 15–22 DSGVO können Sie gegenüber beiden geltend machen; zentrale Anlaufstelle ist datenschutz@matchyourtherapy.at.

Nutzungsdaten

IP-Adressen verarbeiten wir ausschließlich temporär aus den Request-Headern zur Rate-Limit-Prüfung und Spam-Abwehr; sie werden nicht in unserer Datenbank gespeichert. Browser-Typ, Betriebssystem, Zugriffszeiten und besuchte Seiten fallen als Standard-Hosting-Logs beim Hosting-Provider Vercel an (Speicherdauer siehe Abschnitt 9).

4. Besondere Kategorie: Gesundheitsdaten

Im Rahmen des Matching-Prozesses können Sie freiwillig Informationen zu Ihrem psychischen Wohlbefinden angeben. Diese Daten unterliegen besonderem Schutz gemäß Art. 9 DSGVO.

  • Verarbeitung nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 a DSGVO). Wir holen sie an zwei Stellen aktiv ein und dokumentieren jeweils den Zeitpunkt: bevor Ihre Fragebogen-Antworten zur Berechnung der Ergebnisse an uns übertragen werden, und bevor Sie eine Anfrage absenden
  • Inhalte von Kontaktanfragen (Name, E-Mail, Telefon, Nachricht, Matching-Antworten) werden in unserer Datenbank mit AES-256-GCM verschlüsselt gespeichert. Der Schlüssel wird nur in der Laufzeitumgebung unseres Anwendungs-Servers gehalten und weder an unseren Datenbank- noch an unseren E-Mail-Dienstleister übermittelt
  • Die von Ihnen verfasste Nachricht wird der von Ihnen ausgewählten Therapeut:in angezeigt, denn das ist der Zweck der Anfrage. Ihre Matching-Antworten sieht sie nur, wenn Sie das beim Absenden zusätzlich aktivieren. Darüber hinaus greift niemand ohne Ihre Freigabe darauf zu
  • Löschung jederzeit möglich: über den Link in Ihrer Bestätigungsmail sofort und ohne Rückfrage, zusätzlich löschen wir die Inhalte automatisch 30 Tage nach Eingang

5. Drittanbieter & Datentransfer

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

Vercel Inc.

Hosting durch Vercel Inc. (US-Anbieter, EU-Standardvertragsklauseln), Server-Standort Frankfurt (EU). Zusätzlich Vercel Web Analytics und Speed Insights für Seitenaufrufe und Performance-Metriken, beides nur mit Ihrer Einwilligung.

Stripe Inc.

Zahlungsabwicklung (SCC, zertifiziert)

Brevo (Sendinblue SAS)

E-Mail-Versand transaktionaler E-Mails (Registrierungs-Bestätigung, Kontaktanfrage-Benachrichtigung, Passwort-Reset) sowie E-Mail-Marketing-Listen für angemeldete Therapeut:innen (Server in Frankreich, EU). Sie können sich jederzeit über den Abmeldelink in jeder Marketing-Mail oder durch Account-Löschung austragen.

Cloudinary

Bildoptimierung & -auslieferung (US-Anbieter, EU-Standardvertragsklauseln). Bild-Uploads laufen über unseren Server. Profil-, Galerie- und Praxisbilder werden beim Seitenaufruf jedoch direkt von Cloudinary-Servern geladen; dabei wird Ihre IP-Adresse an Cloudinary übermittelt.

Neon

Datenbank (PostgreSQL). Neon Inc. ist ein US-Anbieter (EU-Standardvertragsklauseln); die Datenbank-Server stehen in der EU.

Unsplash Inc.

Stockfotos für Blog-Artikel (Anbieter-Sitz USA, EU-Standardvertragsklauseln). Die Bilder werden über unseren eigenen Server ausgeliefert (Bild-Proxy); Ihre IP-Adresse wird beim Seitenaufruf nicht an Unsplash übermittelt.

OpenStreetMap Foundation

Kartenanzeige auf Therapeut:innen-Profilseiten (EU/UK). Die Karte lädt erst nach Ihrem Klick auf „Karte laden“; dabei lädt Ihr Browser Kartenkacheln direkt von OpenStreetMap-Servern und Ihre IP-Adresse wird übermittelt. Die Umrechnung von Adressen in Kartenkoordinaten läuft über unseren eigenen Server, ohne dass Ihre IP-Adresse an OpenStreetMap gelangt.

Google Ireland Ltd. / Vimeo Inc.

Einbettung von Vorstellungsvideos, sofern eine Therapeut:in ein Video hinterlegt hat. Videos werden erst nach Ihrem aktiven Klick geladen (Zwei-Klick-Lösung); erst dann wird Ihre IP-Adresse an den jeweiligen Anbieter übermittelt.

PostHog Inc.

Analyse des Nutzerverhaltens zur Optimierung des Matching-Prozesses. Anbieter: PostHog Inc., Daten werden auf EU-Servern verarbeitet. Die clientseitige Analyse startet erst nach Ihrer Einwilligung; unabhängig davon zählen wir serverseitig Seitenaufrufe ohne Cookie und ohne Personenprofil (siehe unten).

Google (Gemini API, Places API)

KI-Zusammenfassung von Bewertungen auf Therapeut:innen-Profilen (USA/SCC): öffentliche Google-Bewertungen sowie freigegebene, anonyme Bewertungen von unserer Plattform. Zusätzlich nutzen wir die Google-Places-API serverseitig zur Übernahme öffentlicher Praxis- und Bewertungsdaten; dabei werden keine Daten von Besucher:innen übermittelt.

Besonderer Schutz bei KI-Verarbeitung

Ihre Eingaben bei Suche und Matching werden von keinem KI-System verarbeitet: Die Themensuche im Fragebogen läuft vollständig lokal in Ihrem Browser (Schlagwort- und Synonymabgleich), das Matching selbst ist ein festes Gewichtungsverfahren ohne künstliche Intelligenz (siehe Abschnitt 6), und Kontaktanfragen werden zu keinem Zeitpunkt an ein Sprachmodell übermittelt. Sprachmodelle setzen wir nur an drei Stellen ein, die keine Daten von Suchenden berühren:

  • Zusammenfassung öffentlicher Bewertungen: Ein Sprachmodell von Google (USA, EU-Standardvertragsklauseln) fasst öffentlich einsehbare Google-Bewertungen von Therapeut:innen zu kurzen Übersichten zusammen. Verarbeitet werden ausschließlich diese öffentlichen Bewertungstexte.
  • Zusammenfassung von Bewertungen auf unserer Plattform: Hat ein Profil mindestens drei freigegebene Bewertungen, fasst dasselbe Google-Sprachmodell diese bereits veröffentlichten, anonymen und vorab moderierten Bewertungstexte zu einer Kurzübersicht zusammen. Die Zusammenfassung ist auf dem Profil als KI-generiert gekennzeichnet; Anzeigenamen werden nicht übermittelt.
  • Redaktions- und Profilwerkzeuge: Ein Sprachmodell von Groq Inc. (USA, EU-Standardvertragsklauseln) unterstützt uns beim Erstellen redaktioneller Inhalte und Therapeut:innen auf deren eigenen Wunsch beim Formulieren ihres Profiltexts. Verarbeitet werden dabei nur unsere eigenen Inhalte bzw. die eigenen Profildaten der Therapeut:in.

Daten von Patient:innen und Besucher:innen, also Suchanfragen, Fragebogen-Antworten und Nachrichten, erreichen keines dieser Systeme.

Mit allen Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bzw. entsprechende Datenschutzvereinbarungen.

Internationale Datenübermittlung (Schrems II)

Einige unserer Dienstleister haben ihren Sitz in den USA oder anderen Drittländern. Für diese Übermittlungen haben wir folgende Schutzmaßnahmen implementiert:

  • EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
  • Ergänzende technische Maßnahmen (Verschlüsselung, Pseudonymisierung)
  • Transfer Impact Assessments (TIA) für jeden US-Anbieter
  • Bevorzugung von EU-Serverstandorten wo möglich

Server-Standorte in der EU/EWR: Vercel (Hosting in Frankfurt), Brevo (Frankreich), Neon (EU), PostHog (EU). US-Anbieter mit EU-Standardvertragsklauseln: Vercel, Neon, Stripe, Cloudinary, Groq (redaktionelle Texte), Google (KI-Zusammenfassung öffentlicher Bewertungen, Places-API), Unsplash. Beim Laden von Profilbildern (Cloudinary) und Kartenkacheln (OpenStreetMap, erst nach Klick auf „Karte laden“) wird Ihre IP-Adresse an den jeweiligen Anbieter übermittelt (Details siehe Liste oben); Unsplash-Stockfotos werden dagegen über unseren eigenen Server ausgeliefert. Die Analyse-Tools PostHog, Vercel Web Analytics und Speed Insights starten erst nach Ihrer Einwilligung; unabhängig davon zählen wir Seitenaufrufe serverseitig ohne Cookies und ohne Personenprofil auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (siehe Abschnitt 7).

6. Automatisierte Entscheidungsfindung

Gemäß Art. 22 DSGVO informieren wir Sie über den Einsatz automatisierter Entscheidungsfindung:

Automatisiertes Matching

Unser Matching-Algorithmus berechnet aus Ihren Angaben einen Passungswert und sortiert die Therapeut:innen danach. Es handelt sich um ein festes Regel- und Gewichtungsverfahren, nicht um künstliche Intelligenz: die Gewichte sind im Code hinterlegt und lernen nicht aus Ihren Daten. In die Berechnung fließen vor allem die von Ihnen gewählten Themenbereiche ein, also Angaben zu Ihrem psychischen Befinden im Sinne von Art. 9 DSGVO, außerdem Ihre Angaben zu Therapiestil, Standort, Kosten und Sprache. Bei einer ausreichend großen Zahl passender Profile werden Therapeut:innen ohne thematische Übereinstimmung nicht angezeigt. Die Auswahl beeinflusst also nicht nur die Reihenfolge, sondern auch, wen Sie zu sehen bekommen.

Ihre Rechte

  • Die Matching-Ergebnisse sind Vorschläge, keine verbindlichen Entscheidungen, und haben keine rechtliche Wirkung Ihnen gegenüber
  • Sie entscheiden frei, welche Therapeut:innen Sie kontaktieren, und können die Suche jederzeit ohne den Fragebogen nutzen
  • Sie können jederzeit eine manuelle Überprüfung der Ergebnisse verlangen
  • Sie können Ihren Standpunkt darlegen und der Bewertung widersprechen

Für eine manuelle Überprüfung oder Fragen zu unseren automatisierten Systemen kontaktieren Sie uns unter: datenschutz@matchyourtherapy.at

7. Cookies

Unsere Website verwendet Cookies. Dabei unterscheiden wir zwischen:

Notwendige Cookies

Session-Cookies für Login und Sicherheit. Diese sind für den Betrieb der Website erforderlich.

Funktionale Cookies

Speichern Ihre Präferenzen wie Sprache, Theme, Schriftgröße und Ihren Fortschritt im Fragebogen sowie Ihre Einwilligungs-Entscheidungen (Cookie-Banner und die im Matching-Fragebogen erteilte Einwilligung, letztere für 12 Monate). Diese Speicherung ist für die jeweilige Funktion bzw. den Nachweis der Einwilligung erforderlich und erfolgt daher ohne gesonderte Einwilligung. Sie findet ausschließlich in Ihrem Browser statt. Auch die Zwischenstände des Fragebogens, etwa die Anzahl passender Therapeut:innen, berechnet Ihr Browser selbst; Ihre Antworten werden erst an uns übertragen, wenn Sie sich die Ergebnisse anzeigen lassen, und dafür holen wir vorher Ihre Einwilligung ein. Über „Cookie-Einstellungen“ im Footer können Sie alle gespeicherten Einwilligungen jederzeit zurücksetzen.

Analyse-Cookies (optional)

Mit Ihrer ausdrücklichen Einwilligung verwenden wir folgende Analyse-Tools zur Verbesserung unseres Services:

  • PostHog (EU-Server): Analyse des Nutzerverhaltens zur Optimierung des Matching-Prozesses. Anbieter: PostHog Inc., Daten werden auf EU-Servern verarbeitet. Die clientseitige Analyse startet erst nach Ihrer Einwilligung; unabhängig davon zählen wir serverseitig Seitenaufrufe ohne Cookie und ohne Personenprofil (siehe unten).

Diese Tools werden erst nach Ihrer aktiven Einwilligung im Cookie-Banner aktiviert. Sie können Ihre Einwilligung jederzeit widerrufen.

Unabhängig von der Einwilligung zählen wir außerdem serverseitig, wie oft eine Seite aufgerufen wurde. Dabei wird kein Cookie gesetzt und kein Personenprofil angelegt: die IP-Adresse wird nicht gespeichert, sondern nur zusammen mit Datum und Browserkennung zu einem täglich wechselnden Pseudonym verrechnet, das sich nicht zurückrechnen lässt. Ohne diese Zählung würden uns schlicht alle Besucher:innen fehlen, die dem Tracking widersprochen haben. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO); Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, Kontakt siehe Abschnitt 10).

Sie können Ihre Cookie-Einstellungen jederzeit über den Cookie-Banner oder in Ihrem Browser ändern.

8. Ihre Rechte

Gemäß DSGVO haben Sie folgende Rechte:

  • Auskunftsrecht (Art. 15)
  • Recht auf Berichtigung (Art. 16)
  • Recht auf Löschung (Art. 17)
  • Recht auf Einschränkung (Art. 18)
  • Recht auf Datenübertragbarkeit (Art. 20)
  • Widerspruchsrecht (Art. 21)

Beschwerderecht

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren:

Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
dsb@dsb.gv.at

9. Speicherdauer

  • Account-DatenBis zur Kontolöschung
  • Kontaktanfragen: Inhalt (Name, E-Mail, Telefon, Nachricht, Themenangaben, Schweregrad, PLZ-Region)Name, E-Mail, Telefon, Nachricht und Themenangaben werden verschlüsselt gespeichert (AES-256-GCM). Schweregrad und PLZ-Region werden nur als grobe, für sich genommen nicht identifizierende Kategorien abgelegt. 30 Tage nach Eingang werden alle diese Felder automatisch durch einen täglichen Cron-Job in unserer Datenbank gelöscht. Sie können Ihre Anfrage über den Link in der Bestätigungsmail auch jederzeit selbst sofort löschen. Die E-Mail-Benachrichtigung, die zum Zeitpunkt der Anfrage an die Therapeut:in ging, unterliegt deren beruflicher Verschwiegenheitspflicht und ist von dieser Löschung nicht erfasst.
  • Kontaktanfragen: pseudonymisierte Restdaten (Therapeut-ID, Zeitstempel, Match-Score, technische Status-Merkmale)12 Monate nach der Anonymisierung; danach wird der Datensatz vollständig aus der Datenbank gelöscht. Angaben zu Themen, Schweregrad und PLZ-Region werden bereits mit der 30-Tage-Löschung entfernt und nicht darüber hinaus aufbewahrt. Die verbleibenden Felder gelten datenschutzrechtlich weiterhin als pseudonymisiert (Art. 4 Z 5 DSGVO).
  • Fragebogen-Antworten, solange keine Anfrage abgesendet wurdeNur in Ihrem Browser, für die Lebensdauer des Browser-Tabs. Auf unseren Servern verbleibt davon nichts. Unabhängig davon merkt sich Ihr Browser die erteilte Einwilligung 12 Monate lang.
  • Rechnungsdaten7 Jahre (gesetzliche Aufbewahrungspflicht)
  • Server-LogsSpeicherdauer der Hosting-Logs beim Provider: ca. 1 Stunde

10. Kontakt für Datenschutzanfragen

Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter:

datenschutz@matchyourtherapy.at

Wir werden Ihre Anfrage innerhalb von 30 Tagen beantworten.

Stand: Juli 2026