Datenschutzerklärung

Diese Erklärung informiert Sie nach Art. 13 und 14 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten beim Besuch dieser Website und im Rahmen einer therapeutischen Behandlung.

1. Verantwortliche Stelle

2. Datenschutzbeauftragte:r

Die Praxis beschäftigt weniger als 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Eine gesetzliche Pflicht zur Bestellung einer:s Datenschutzbeauftragten besteht derzeit nicht (§ 38 BDSG). Bei Fragen zum Datenschutz wenden Sie sich direkt an die Praxisinhaberin unter den oben genannten Kontaktdaten.

3. Welche Daten wir verarbeiten

3.1 Beim bloßen Besuch der Website

• Server-Logs auf dem Hosting-Server: IP-Adresse (gekürzt), Datum und Uhrzeit der Anfrage, abgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Browser-Typ und -Version, Betriebssystem
• Speicherdauer: maximal 14 Tage zur Sicherstellung der Betriebssicherheit (Abuse-Erkennung, Fehleranalyse)

3.2 Im Anfrage-Formular (https://psychotherapie-jorde.de/kontakt)

• Name, E-Mail-Adresse, optional Telefonnummer
• Geburtsjahr, Geschlecht, Versicherungsstatus (gesetzlich / privat / Selbstzahler)
• Bevorzugte Verfügbarkeit (Wochentage, Tageszeiten)
• Themen-Tags und Freitext zum Anliegen — diese Angaben gehören zu den besonderen Kategorien nach Art. 9 DSGVO
• Offenheit für Gruppen- vs. Einzeltherapie

3.3 Im Patienten-Portal (nach Login)

• Termine, Sitzungs-Erinnerungen, Kalenderdaten
• Sichere Nachrichten zwischen Patient:in und Praxis
• Zur Verfügung gestellte Dokumente
• Schweigepflicht-Vereinbarungen für Gruppentherapie

3.4 Im Chat-Assistenten

Der öffentliche Chat-Assistent (rechts unten auf einigen Seiten) beantwortet allgemeine Fragen zur Praxis. Eingaben werden zur Generierung der Antwort an einen KI-Anbieter (siehe Abschnitt 5) übermittelt. Geben Sie dort keine sensiblen Gesundheitsdaten oder Identitätsmerkmale ein. Der Chat ist ausdrücklich keine medizinische Beratung und ersetzt kein Therapie- oder Aufnahmegespräch.

3.5 Beim KI-Telefonservice

Eingehende Anrufe auf der Praxis-Festnetznummer werden ueber einen SIP-Trunk an einen selbst-gehosteten Voice-Server (Hetzner-VPS, Falkenstein DE) weitergeleitet. Dort wird per Caller-ID geprueft, ob die Nummer in unserer Whitelist (Patient:innen + Praxis-Team) steht:

• Bekannte Nummer: Der Anruf wird direkt zur Praxis-Mobilnummer durchgestellt. Es findet keine KI-Verarbeitung statt.
• Unbekannte Nummer: Eine KI-Assistentin meldet sich, gibt allgemeine Praxis-Informationen und verweist im Notfall auf die Krisen-Hotlines. Die KI-Pipeline besteht aus Speech-to-Text (Whisper, lokal), Sprachmodell (Anthropic Claude, USA mit SCC) und Text-to-Speech (Kokoro, lokal).

Speicherung: Es wird KEINE Audio-Aufzeichnung und KEINE Transkript-Speicherung des Gespraechs gemacht. Im internen Audit-Log werden ausschliesslich Metadaten festgehalten: gehashte Caller-ID, Anruf-Dauer, Whitelist-Match-Flag, Krisen-Erkennungs-Flag. Speicherdauer: 90 Tage.

Da Stimmaufzeichnungen biometrische Daten im Sinne von Art. 9 DSGVO sind, haben wir vor Inbetriebnahme dieses Dienstes eine Datenschutz-Folgenabschätzung (DSFA) gemaess Art. 35 DSGVO durchgefuehrt. Die DSFA liegt zur Einsichtnahme bereit.

Geben Sie am Telefon keine sensiblen Gesundheitsdaten preis. Die KI-Assistentin ist ausdruecklich kein Notfall-Dienst — bei akuten Krisen wenden Sie sich bitte sofort an den Notruf (112) oder die Telefonseelsorge (0800 111 0 111).

4. Zwecke und Rechtsgrundlagen

• Bearbeitung Ihrer Therapie-Anfrage — Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) i.V.m. Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) und der Berufsordnung der OPK.
• Therapeutische Behandlung — Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 Abs. 1 Nr. 1 BDSG, ergänzt durch Schweigepflicht nach § 203 StGB und der Berufsordnung der OPK.
• Patienten-Portal-Login — Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Server-Sicherheit und Missbrauchserkennung — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• Mail-Versand (Bestätigungen, Erinnerungen) — Art. 6 Abs. 1 lit. b DSGVO sowie Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bei Erinnerungs-Mails.
• Öffentlicher Chat-Assistent — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Erstinformation anzubieten).
• Gesetzliche Aufbewahrungspflichten — Art. 6 Abs. 1 lit. c DSGVO i.V.m. Berufsordnung (Dokumentationspflicht).

5. Empfänger Ihrer Daten / Auftragsverarbeiter

Wir geben personenbezogene Daten ausschließlich an die folgenden Auftragsverarbeiter weiter, mit denen jeweils Auftragsverarbeitungs-Verträge nach Art. 28 DSGVO geschlossen wurden:

6. Speicherdauer

• Anfragen ohne Therapieaufnahme: automatisch inaktiv-Setzung nach 90 Tagen, Löschung nach weiteren 14 Tagen ohne Reaktion auf die Reaktivierungs-Mail.
• Patient:innen-Akte (bei Therapieaufnahme): mindestens 10 Jahre nach Abschluss der Behandlung gemäß § 8 Berufsordnung OPK.
• Server-Logs: 14 Tage.
• Mail-Versand-Protokolle bei Brevo: bis zu 6 Monate (Brevo-Standardretention).
• Chat-Verlauf: Eingaben werden bei Anthropic standardmäßig nicht zum Modell-Training verwendet. Anthropic speichert API-Anfragen bis zu 30 Tage zur Missbrauchserkennung.
• Magic-Link-Tokens: 15 Minuten Gültigkeit, danach automatische Invalidierung.

7. Cookies und Analyse

Wir setzen ausschließlich technisch notwendige Cookies ein (Session- und CSRF-Cookies des Login-Bereichs). Diese sind nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungsfrei. Cookies für Marketing- oder Analysezwecke setzen wir nicht ein. Es findet kein Tracking durch Drittanbieter statt.

8. Sicherheit der Verarbeitung

• Verschlüsselte Übertragung via TLS 1.3 (HTTPS auf allen Seiten).
• Sensible Felder im Patient:innen-Portal (Nachrichten, Sitzungs-Notizen) werden zusätzlich AES-256-GCM verschlüsselt gespeichert (Encryption at Rest).
• Anfrage-Daten werden vom Browser an einen Outbox-Server in Deutschland mit libsodium sealed-box-Ende-zu-Ende-Verschlüsselung übertragen, sodass nur die Praxis-Hardware die Anfrage entschlüsseln kann.
• Patient:innen-Daten werden ausschließlich auf einem in der Praxis stehenden Computer verarbeitet — sie verlassen die Praxis-Hardware nicht.
• Login per Magic-Link, ohne Passwort-Speicherung.

9. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen bitte schriftlich oder per E-Mail an die unter Punkt 1 genannte Adresse. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

10. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für die Praxis ist:

11. Pflicht zur Bereitstellung der Daten

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die Angaben aus dem Anfrage-Formular ist eine Therapieanfrage jedoch nicht möglich. Sie können stattdessen telefonisch Kontakt aufnehmen.

12. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt. KI-gestützte Hilfsfunktionen (z.B. Vorschlags-Cluster für Gruppen-Bildung) dienen ausschließlich der Information der Therapeutin — alle Entscheidungen über Aufnahme, Ablehnung und Behandlung trifft die Therapeutin persönlich.

13. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen widerspiegelt. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung.

Stand: September 2026