Datenschutzerklärung — CuraDesk Anwendung (app.curadesk.at)

1. Verantwortlicher

Christian Glatz Hebragasse 9/9 1090 Wien, Österreich E-Mail: support@curadesk.at

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung der Webanwendung CuraDesk unter app.curadesk.at (nachfolgend "Anwendung"). Sie richtet sich an Nutzer:innen der Anwendung — das sind Psychotherapeut:innen, klinische Psycholog:innen, Kunst- und Musiktherapeut:innen sowie verwandte Berufsgruppen, die CuraDesk zur Verwaltung ihrer Praxis einsetzen.

3. Besonderheit: Ende-zu-Ende-Verschlüsselung

CuraDesk verwendet eine Ende-zu-Ende-Verschlüsselung für Klient:innendaten. Das bedeutet:

Klient:innendaten (Stammdaten, Diagnosen, Sitzungsdokumentationen, Notizen) werden im Browser der Nutzer:in verschlüsselt, bevor sie an den Server übermittelt werden.
Der Server speichert ausschließlich verschlüsselten Ciphertext. CuraDesk als Betreiber hat keinen Zugriff auf die Klartextdaten.
Die Entschlüsselung erfolgt ausschließlich im Browser der Nutzer:in, nach Eingabe des persönlichen Passworts.
Der Verschlüsselungsschlüssel (Workspace Key) existiert nur im Arbeitsspeicher des Browsers und wird beim Schließen des Tabs unwiderruflich gelöscht.

Durch diese Architektur ist CuraDesk technisch nicht in der Lage, Klient:innendaten einzusehen, zu verarbeiten oder weiterzugeben.

4. Vertraulichkeitsverpflichtung

CuraDesk behandelt alle Daten der Nutzer:innen und deren Klient:innen streng vertraulich. Diese Verpflichtung besteht weit über die Vertragslaufzeit hinaus — auch nach Kündigung und Löschung des Kontos. Alle Mitarbeiter:innen und Auftragsverarbeiter von CuraDesk unterliegen einer gesonderten Vertraulichkeitsverpflichtung.

5. Kategorien verarbeiteter Daten

5.1 Kontodaten (unverschlüsselt)

Folgende Daten werden zur Kontoverwaltung im Klartext gespeichert:

E-Mail-Adresse
Name der Therapeut:in
Praxisname und -adresse
Bankverbindung (für Rechnungsvorlagen)
Abrechnungsdaten (über Stripe)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

5.2 Klient:innendaten (Ende-zu-Ende-verschlüsselt)

Folgende Daten werden ausschließlich in verschlüsselter Form gespeichert:

Klient:innen-Stammdaten (Name, Geburtsdatum, Kontakt, Versicherung)
Diagnosen (ICD-10)
Sitzungsdokumentationen und Notizen
Terminnotizen

Rechnungsbeträge werden im Klartext gespeichert, da sie für die Buchhaltung der Nutzer:in einsehbar sein müssen.

CuraDesk speichert diese Daten nur als Ciphertext und hat keinen Zugang zu den Inhalten. Die Nutzer:in ist für die Klient:innendaten als eigene Verantwortliche im Sinne der DSGVO zuständig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 28 DSGVO (Auftragsverarbeitung)

5.3 Technische Daten

Bei der Nutzung der Anwendung werden erfasst:

IP-Adresse
Browsertyp und -version
Zeitpunkt der Zugriffe
Authentifizierungs-Token (JWT, Refresh-Token)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit)

6. Unteranbieter und Auftragsverarbeiter

CuraDesk setzt folgende Unteranbieter ein. Bei allen Unteranbietern, die personenbezogene Daten verarbeiten, ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

6.1 Hetzner Online GmbH — Hosting

Zweck: Hosting der Anwendung, Datenbank und automatisierte Backups
Adresse: Industriestr. 25, 91710 Gunzenhausen, Deutschland
Rechenzentrum: Falkenstein, Deutschland
Verarbeitete Daten: Alle Serverdaten (Kontodaten im Klartext, Klient:innendaten als Ciphertext)
AVV: Abgeschlossen gemäß Art. 28 DSGVO
Datenschutzerklärung: https://www.hetzner.com/de/legal/privacy-policy

6.2 Stripe, Inc. — Zahlungsabwicklung

Zweck: Abwicklung von Abonnement-Zahlungen (Kreditkarte, SEPA-Lastschrift)
Adresse: 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA
Verarbeitete Daten: Name, E-Mail-Adresse, Zahlungsdaten (Kreditkarten-/Bankdaten), Rechnungsadresse. Keine Klient:innendaten.
Zahlungsdaten werden nicht auf CuraDesk-Servern gespeichert, sondern direkt an Stripe übermittelt.
Datentransfer: Stripe ist unter dem EU-US Data Privacy Framework zertifiziert.
AVV: Abgeschlossen (Stripe DPA)
Datenschutzerklärung: https://stripe.com/at/privacy

6.3 Let's Encrypt / Internet Security Research Group (ISRG) — TLS-Zertifikate

Zweck: Automatische Ausstellung von TLS/SSL-Zertifikaten für die verschlüsselte Verbindung (HTTPS)
Verarbeitete Daten: Keine personenbezogenen Daten. Nur der Domainname (curadesk.at, app.curadesk.at) wird zur Zertifikatsausstellung übermittelt.
Datenschutzerklärung: https://letsencrypt.org/privacy/

7. Datensicherheit

7.1 Verschlüsselung

Klient:innendaten: AES-256-GCM, verschlüsselt im Browser (WebCrypto API), mit frischem 96-Bit IV pro Datensatz
Schlüsselableitung: Argon2id (65536 KiB Speicher, 3 Iterationen) — leitet aus dem Passwort einen Verschlüsselungsschlüssel ab
Suchindex: HMAC-SHA256 — ermöglicht Suche nach Klient:innen, ohne Klartextnamen am Server zu speichern
Passwörter: Argon2id-Hash serverseitig, Klartext wird nicht gespeichert
Transport: TLS 1.3 (Let's Encrypt), HSTS Preload, Security Headers

7.2 Authentifizierung

JWT-Token mit 15 Minuten Gültigkeit
Refresh-Token mit 30 Tagen Gültigkeit, SHA-256 gehasht gespeichert
Optionale Zwei-Faktor-Authentifizierung (TOTP)
Rate-Limiting auf Login-Versuche

7.3 Kein lokaler Speicher

CuraDesk speichert keine Daten in localStorage oder sessionStorage des Browsers. Der Verschlüsselungsschlüssel existiert ausschließlich im Arbeitsspeicher und wird beim Schließen des Browser-Tabs gelöscht. Dies ist eine bewusste Designentscheidung zugunsten der Sicherheit.

7.4 Backups

CuraDesk erstellt regelmäßig automatisierte Backups der gesamten Datenbank. Diese Backups enthalten ausschließlich verschlüsselten Ciphertext — sie sind ohne das Passwort der Nutzer:in nicht lesbar. Backups werden auf getrennten Systemen im gleichen Rechenzentrum (Hetzner Falkenstein, Deutschland) gespeichert.

8. Datenexport

Die Nutzer:in kann jederzeit über die Export-Funktion in der Anwendung folgende Daten exportieren:

Honorarnoten als PDF
Buchhaltungsdaten (Einnahmen, Ausgaben, Jahresabschluss) für den Steuerberater
Klient:innenübersichten
Vollständiger Datenexport gemäß DSGVO Art. 20

Exportierte Daten liegen unverschlüsselt vor. Die Nutzer:in ist für den sicheren Umgang mit exportierten Daten selbst verantwortlich.

9. Auftragsverarbeitungsvertrag (AV-Vertrag)

Für Nutzer:innen, die CuraDesk zur Verarbeitung von Klient:innendaten einsetzen, stellen wir auf Anfrage einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO bereit: support@curadesk.at

Hinweis: Durch die Ende-zu-Ende-Verschlüsselung hat CuraDesk faktisch keinen Zugriff auf die Klient:innendaten. Der AV-Vertrag wird dennoch bereitgestellt, da die verschlüsselten Daten technisch auf unseren Servern gespeichert werden.

10. Speicherdauer und Löschung

Kontodaten: Werden nach Kündigung des Abonnements und Ablauf der 90-tägigen Exportfrist gelöscht.
Klient:innendaten (Ciphertext): Werden gemeinsam mit dem Konto gelöscht. Da die Daten verschlüsselt sind, sind sie ohne das Passwort der Nutzer:in nicht lesbar.
Server-Logfiles: Werden nach 14 Tagen automatisch gelöscht.
Abrechnungsdaten: Werden gemäß den gesetzlichen Aufbewahrungsfristen (7 Jahre, § 132 BAO) aufbewahrt.
Backups: Verschlüsselte Datenbank-Backups werden nach 30 Tagen automatisch gelöscht.

11. Keine Weitergabe an Dritte

Personenbezogene Daten werden nicht an Dritte weitergegeben, es sei denn:

dies ist zur Vertragserfüllung über die in Punkt 6 genannten Unteranbieter erforderlich
es besteht eine gesetzliche Verpflichtung

CuraDesk verkauft keine Daten und nutzt sie nicht für Werbezwecke.

12. Ihre Rechte

Als Nutzer:in der Anwendung haben Sie folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten jederzeit über die Export-Funktion in der Anwendung herunterladen.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung jederzeit widersprechen.

Zur Ausübung Ihrer Rechte: support@curadesk.at

13. Hinweis für Klient:innen der Nutzer:innen

CuraDesk verarbeitet Klient:innendaten ausschließlich im Auftrag der Nutzer:in (Therapeut:in/Psycholog:in). Klient:innen, die Auskunft über ihre gespeicherten Daten wünschen, wenden sich bitte an ihre behandelnde Therapeut:in bzw. Psycholog:in.

CuraDesk hat aufgrund der Ende-zu-Ende-Verschlüsselung keinen Einblick in Klient:innendaten und kann daher keine Auskunftsanfragen von Klient:innen direkt beantworten.

14. Beschwerderecht

Österreichische Datenschutzbehörde Barichgasse 40–42 1030 Wien E-Mail: dsb@dsb.gv.at Website: https://www.dsb.gv.at

15. Änderungen

Bei wesentlichen Änderungen dieser Datenschutzerklärung werden registrierte Nutzer:innen per E-Mail informiert.

Stand: Mai 2026