Datenschutzerklärung

Um dir passende Psychotherapeut:innen vorzuschlagen, brauchen wir Angaben zu deiner Situation – etwa zu deinem Anliegen, deiner Belastung und deinen Präferenzen. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO – besonders schützenswerte Daten. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung und ausschließlich, um dir passende Vorschläge zu berechnen. Erst wenn du selbst entscheidest, eine bestimmte Person zu kontaktieren oder einen Termin zu buchen, werden deine Kontaktdaten – und, je nach Weg der Kontaktaufnahme, auch deine Fragebogenantworten – dieser einen Person zugänglich. Nie an alle vorgeschlagenen Therapeut:innen gleichzeitig, und nie ohne dass du selbst den ersten Schritt setzt.

E-Mail

office@mendsch.at

Datenschutzbeauftragte:r

Martin Baumgartner, office@mendsch.at

Alle Angaben zum Betreiber findest du im Impressum.

Welche Daten: deine Antworten im Fragebogen – etwa gewünschte Therapieform und Setting, Postleitzahl und Umkreis, Sprachen, Präferenzen zu Person und Arbeitsweise der Therapeut:in, Angaben zu Belastung, Anliegen, Vorerfahrung mit Therapie, Medikation, Sicherheits-/Krisenfragen, Dringlichkeit, Budget und Kostenerstattung sowie deine Freitextbeschreibung. Angaben zu deiner Person (Alter, Geschlecht, kultureller Hintergrund) sind freiwillig.

Wozu: um daraus ein Passungsprofil zu berechnen und dir eine Liste passender Psychotherapeut:innen vorzuschlagen. Ein Teil dieser Berechnung – die Zuordnung deiner Freitextangaben zu thematischen Schwerpunkten – läuft mit Unterstützung eines Sprachmodells (siehe Abschnitt 9).

Rechtsgrundlage: deine ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Den Zeitpunkt deiner Einwilligung speichern wir zu Nachweiszwecken. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – formlos an office@mendsch.at.

Die Beantwortung des Fragebogens ist freiwillig; ohne diese Angaben können wir dir allerdings keine Vorschläge machen.

Angaben zu deinem psychischen Befinden, deinem Anliegen, deiner Medikation oder zu Sicherheits-/Krisenfragen sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Wir behandeln sie entsprechend zurückhaltend:

• Verarbeitet werden sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du beim Absenden des Fragebogens erteilst und jederzeit widerrufen kannst (Abschnitt 3).
• Für die Berechnung deiner Vorschläge werden deine Antworten ausgewertet, aber nicht an Therapeut:innen weitergegeben, solange du niemanden kontaktierst.
• Buchst du einen Termin bei einer Psychotherapeut:in, werden die für die fachliche Einschätzung relevanten Antworten – etwa zu Anliegen, Belastung, Medikation und Sicherheitsfragen – dieser einen, von dir gewählten Person zugänglich, damit sie einschätzen kann, ob sie dir passend helfen kann (Details dazu und zur davon abweichenden Direktanfrage in Abschnitt 5). Das ist bereits Teil der Einwilligung aus Abschnitt 3 und nicht durch einen zusätzlichen Haken je Anfrage geregelt – wir weisen an dieser Stelle noch einmal ausdrücklich darauf hin, damit dir das bei der Kontaktaufnahme bewusst ist. Psychotherapeut:innen unterliegen ihrerseits der gesetzlichen Verschwiegenheitspflicht nach dem Psychotherapiegesetz.
• Die Übertragung erfolgt verschlüsselt über HTTPS, und der Zugriff auf diese Daten ist auf jene Personen und Systeme beschränkt, die ihn zur Erfüllung ihrer Aufgabe benötigen. Wir prüfen laufend zusätzliche technische Schutzmaßnahmen für besonders sensible Felder.
• Löschung erfolgt automatisiert nach den in Abschnitt 10 genannten Fristen, jederzeit auch auf Anfrage an office@mendsch.at.

Es gibt zwei Wege, wie du mit einer Psychotherapeut:in in Kontakt kommst – sie unterscheiden sich darin, welche Daten übermittelt werden:

Terminanfrage bei einem veröffentlichten freien Termin: Du buchst einen von der Therapeut:in eingestellten freien Termin. Dabei werden dein Vor- und Nachname, deine E-Mail-Adresse, optional deine Telefonnummer, deine Nachricht sowie die in Abschnitt 4 beschriebenen, für die Einschätzung relevanten Fragebogenantworten im Dashboard der Therapeut:in angezeigt. Die Therapeut:in erhält per E-Mail lediglich eine Benachrichtigung mit deinem Namen, der Terminzeit und einem Link zu ihrem Dashboard – der Inhalt deiner Nachricht und deine Fragebogenantworten werden nicht per E-Mail übertragen und sind unserem E-Mail-Dienstleister Brevo daher nicht zugänglich (siehe Abschnitt 9).

Direktanfrage bei einer Psychotherapeut:in ohne buchbaren Termin: Manche Psychotherapeut:innen bieten (noch) keine Online-Terminverwaltung an. In diesem Fall senden wir deine Anfrage per E-Mail an die Therapeut:in; übermittelt werden dabei dein Name, deine E-Mail-Adresse, optional deine Telefonnummer sowie der Wortlaut deiner Nachricht – deine Fragebogenantworten werden hierfür nicht verwendet. Weil der Nachrichtentext Teil dieser E-Mail ist, ist er in diesem Fall auch unserem E-Mail-Dienstleister Brevo zugänglich, der die Nachricht rein technisch versendet (siehe Abschnitt 9).

In beiden Fällen ist Rechtsgrundlage die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO) sowie – soweit deine Angaben Gesundheitsdaten enthalten – deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Ab der Kontaktaufnahme ist die jeweilige Psychotherapeut:in für die weitere Verarbeitung eigenständig verantwortlich; für die Übermittlung deiner Anfrage und deren Speicherung bis zur Löschung sind wir gemeinsam mit ihr verantwortlich (Art. 26 DSGVO) – wir übernehmen Technik, verschlüsselte Übertragung und Löschung nach den in Abschnitt 10 genannten Fristen. Deine Rechte nach Art. 15–22 DSGVO kannst du gegenüber beiden geltend machen; zentrale Anlaufstelle bleibt office@mendsch.at.

Nach dem Termin bitten wir dich und die Therapeut:in um eine kurze Rückmeldung. Die Teilnahme ist freiwillig; die Rückmeldung wird über einen Zugangslink erfasst, der keine Klarnamen enthält, und dient der Verbesserung unserer Vorschläge (Art. 6 Abs. 1 lit. f DSGVO).

Für die Registrierung als Psychotherapeut:in verarbeiten wir Stammdaten (Name, Kontaktdaten, Praxisadressen), Berufsangaben (Eintragung in die Psychotherapeut:innenliste, Methoden, Schwerpunkte, Sprachen, Kassen- und Kostenangaben), Profilinhalte und -bilder, freie Termine sowie Anmeldedaten. Anmeldecodes (Login per E-Mail) speichern wir nicht im Klartext, sondern als Hashwert. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Prüfung der Berufsberechtigung außerdem unser berechtigtes Interesse an einer verlässlichen Plattform (Art. 6 Abs. 1 lit. f DSGVO). Profilangaben werden auf mendsch öffentlich sichtbar dargestellt; Praxisadressen werden zur Standortsuche einmalig serverseitig in Koordinaten umgerechnet (siehe Abschnitt 9).

Wenn du dich für Neuigkeiten einträgst, verarbeiten wir deine E-Mail-Adresse auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über unseren E-Mail-Dienstleister Brevo (siehe Abschnitt 9). Du kannst dich jederzeit über den Link in jeder E-Mail oder per Nachricht an uns wieder abmelden.

Beim Aufruf der Website fallen technische Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browsertyp). Wir selbst speichern deine IP-Adresse nicht in unserer Datenbank – sie wird ausschließlich vorübergehend im Arbeitsspeicher unseres Servers verwendet, um Missbrauch und übermäßig viele Anfragen zu erkennen (Rate-Limiting). Zusätzlich fallen bei unseren Hosting-Anbietern Vercel (Frontend) und Railway (Server und Datenbank) übliche technische Zugriffsprotokolle an, die diese nach eigenen, kurzen Fristen löschen. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Technisch notwendige Cookies – etwa für die Anmeldung im Therapeut:innen- und Verwaltungsbereich – sind für den Betrieb der Seite erforderlich und benötigen keine Einwilligung. Schriften werden von unserem eigenen Server ausgeliefert, es besteht keine Verbindung zu Google Fonts.

Google Analytics und Google Ads: Darüber hinaus setzen wir den Google-Tag (gtag.js) von Google Ireland Limited ein, um zu messen, wie unsere Seite gefunden und genutzt wird, und um die Wirksamkeit unserer Werbeanzeigen auszuwerten. Dabei werden Cookies gesetzt und eine gekürzte IP-Adresse sowie Angaben zu Gerät und Browser an Google übermittelt. Das geschieht ausschließlich mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021), die du beim ersten Besuch über unseren Cookie-Hinweis erteilen oder ablehnen kannst. Bis zu einer Zustimmung ist der Tag über den „Consent Mode“ von Google so eingestellt, dass er keine Cookies setzt und keine Kennungen speichert. Du kannst deine Entscheidung jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen; der Widerruf wirkt für die Zukunft.

Diese Einwilligung ist von der Einwilligung in die Verarbeitung deiner Gesundheitsdaten (Abschnitt 3) unabhängig: Sie betrifft ausschließlich Cookies und Reichweitenmessung. Deine Antworten aus dem Fragebogen werden nicht an Google übermittelt – weder Inhalte noch Ergebnisse, weder bei Zustimmung noch bei Ablehnung. Lehnst du ab, kannst du mendsch vollständig und ohne Einschränkung nutzen.

Abbruchstatistik zum Fragebogen: Um zu erkennen, an welchen Stellen der Fragebogen zu lang, zu schwierig oder missverständlich ist, zählen wir, wie viele Personen eine bestimmte Frage erreichen und wie lange dort durchschnittlich verweilt wird. Erfasst wird dabei ausschließlich ein Zählerstand je Frage und Tag – ohne IP-Adresse, ohne Kennung, ohne Cookie und ohne deine Antworten. Es entsteht kein Verlauf einzelner Sitzungen und keine Zuordnung zu einer Person; die Auswertung ist rein statistisch und lässt keinen Rückschluss auf dich zu. Diese Daten sind daher nicht personenbezogen und werden auch nicht an Google oder andere Dritte übermittelt – wir erheben sie auf unseren eigenen Servern. Wir weisen an dieser Stelle trotzdem darauf hin, weil wir es für fair halten, das offenzulegen.

Für die Umkreiskarte im Fragebogen laden wir Kartenkacheln direkt von CARTO (basemaps.cartocdn.com) auf Basis von OpenStreetMap-Daten. Dabei wird deine IP-Adresse an CARTO übertragen; es werden hierfür keine Cookies gesetzt. Rechtsgrundlage ist auch hier unser berechtigtes Interesse an einer funktionierenden Kartendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Solange der Fragebogen noch nicht abgeschickt ist, speichern wir deine bisherigen Antworten im lokalen Speicher deines Browsers („localStorage"), damit du später auf demselben Gerät weitermachen kannst. Diese Daten verbleiben auf deinem Gerät und werden nicht an uns übertragen – erst wenn du den Fragebogen absendest, erhalten wir deine Angaben. Du kannst sie jederzeit über „Gespeicherte Antworten verwerfen" auf der Startseite des Fragebogens löschen, ebenso über die Browsereinstellungen.

Wir geben Daten nur weiter, soweit das für den Betrieb der Plattform nötig ist. Mit allen Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, bestehen bzw. werden vor dem Start Auftragsverarbeitungsverträge nach Art. 28 DSGVO abgeschlossen.

• Von dir gewählte Psychotherapeut:innen – erhalten deine Anfrage sobald du sie kontaktierst, im Umfang wie in Abschnitt 5 beschrieben (eigenverantwortlich, keine Auftragsverarbeitung).
• Vercel Inc. (USA, EU-Standardvertragsklauseln) – Hosting unserer Website, Serverstandort Frankfurt am Main (Deutschland, EU).
• Railway Corporation (USA, EU-Standardvertragsklauseln) – Hosting unseres Anwendungs-Servers und unserer PostgreSQL-Datenbank, Rechenzentrum in den Niederlanden (EU).
• Cloudflare, Inc. (USA, EU-Standardvertragsklauseln) – Objektspeicher (R2) für Profilbilder und Verifizierungsunterlagen von Therapeut:innen; unser Speicherbereich ist auf die EU-Jurisdiktion beschränkt, die Daten verlassen die EU technisch nicht.
• Brevo (Sendinblue SAS / Brevo SAS, Frankreich) – Versand von System- und Newsletter-E-Mails. Bei Terminanfragen (Abschnitt 5) erhält Brevo nur eine Benachrichtigung ohne Nachrichteninhalt; bei Direktanfragen ohne buchbaren Termin ist der Wortlaut deiner Nachricht Teil der versendeten E-Mail.
• Mistral AI SAS (Frankreich) – KI-gestützte Auswertung deiner Freitextangaben im Fragebogen zur besseren Zuordnung von Themenschwerpunkten. Die Verarbeitung findet in der EU statt, deine Angaben werden nicht zum Training von Modellen verwendet, und dein Name oder deine E-Mail-Adresse werden dabei nicht übermittelt.
• Google Ireland Limited (Irland) – Reichweitenmessung (Google Analytics) und Auswertung unserer Werbeanzeigen (Google Ads), ausschließlich nach deiner Einwilligung über den Cookie-Hinweis (siehe Abschnitt 8). Übermittelt werden gekürzte IP-Adresse sowie Angaben zu Gerät, Browser und besuchten Seiten – nicht jedoch deine Fragebogenantworten, dein Name oder deine E-Mail-Adresse.
• Kartendarstellung (CARTO, auf Basis von OpenStreetMap-Daten) – zur Anzeige der Umkreissuche im Fragebogen werden Kartenkacheln geladen; dabei wird deine IP-Adresse an den Kartendienst übertragen.
• Adressvorschläge (Photon / Komoot GmbH, Deutschland) – während du im Fragebogen eine Adresse eingibst, fragen wir serverseitig Vorschläge bei diesem Dienst ab.
• Geokodierung (Nominatim, OpenStreetMap Foundation) – wenn eine Therapeut:in eine Praxisadresse anlegt, rechnen wir diese serverseitig einmalig in Koordinaten um; dabei wird nicht deine, sondern nur unsere Server-Anfrage an diesen Dienst übermittelt.

Internationale Übermittlung: Vercel, Railway und Cloudflare haben ihren Unternehmenssitz in den USA; die Verarbeitung deiner Daten findet bei allen dreien jedoch innerhalb der EU statt (siehe oben), abgesichert zusätzlich durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Brevo und Mistral AI sind Unternehmen mit Sitz und Datenverarbeitung in Frankreich (EU).

Bei Google ist eine Übermittlung in die USA hingegen nicht ausgeschlossen: Vertragspartner ist zwar Google Ireland Limited (Irland), Daten können aber an Google LLC in den USA übermittelt und dort verarbeitet werden. Grundlage dafür ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework, unter dem Google LLC zertifiziert ist (Art. 45 DSGVO), ergänzt um EU-Standardvertragsklauseln. Trotz dieses Beschlusses lässt sich nicht vollständig ausschließen, dass US-Behörden auf diese Daten zugreifen und dass dir dagegen nicht dieselben Rechtsbehelfe zur Verfügung stehen wie innerhalb der EU. Diese Übermittlung findet ausschließlich statt, wenn du im Cookie-Hinweis zustimmst – lehnst du ab, unterbleibt sie.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Terminanfragen und Buchungen: Vor- und Nachname, E-Mail-Adresse, Telefonnummer werden automatisiert gelöscht – spätestens 48 Stunden nach der Anfrage, falls die Therapeut:in nicht reagiert; bei einer Bestätigung rund 24 Stunden nach dem Termin selbst; bei Absage oder Rückzug innerhalb von rund 24 Stunden danach. Die Löschung erfolgt durch einen stündlich laufenden automatisierten Vorgang.
• Direktanfragen ohne buchbaren Termin: Name, E-Mail-Adresse, Telefonnummer und Nachricht werden 90 Tage nach Eingang automatisiert gelöscht.
• Fragebogenantworten: bleiben, sobald deine Kontaktdaten wie oben beschrieben gelöscht sind, nur noch ohne Namen, E-Mail-Adresse oder Telefonnummer bestehen und dienen so der Verbesserung unserer Vorschläge (Art. 6 Abs. 1 lit. f DSGVO). Hast du nie eine Anfrage abgeschickt, entsteht ohnehin keine Verknüpfung deiner Antworten zu deiner Identität.
• Therapeut:innen-Konten: werden gespeichert, solange das Konto besteht, und nach dessen Löschung entfernt – abzüglich gesetzlicher Aufbewahrungspflichten (z. B. sieben Jahre für Rechnungsunterlagen nach § 132 BAO, sobald und sofern wir Rechnungen stellen).
• Server-Logs: kurzfristig, gemäß den Standardfristen unserer Hosting-Anbieter (siehe Abschnitt 8).
• Reichweitenmessung (nur bei Einwilligung): Die von Google gesetzten Cookies laufen spätestens nach 24 Monaten ab; die bei Google gespeicherten Nutzungsdaten werden nach den dort eingestellten Fristen gelöscht. Deine Entscheidung im Cookie-Hinweis selbst speichern wir im lokalen Speicher deines Browsers, damit wir dich nicht bei jedem Besuch erneut fragen – sie verbleibt auf deinem Gerät.
• Abbruchstatistik zum Fragebogen: rein statistische Zählerstände ohne Personenbezug (siehe Abschnitt 8); sie werden dauerhaft aufbewahrt, weil sich aus ihnen keine Person ableiten lässt.

Die Reihung der vorgeschlagenen Psychotherapeut:innen wird automatisiert berechnet. Es handelt sich um ein festes Gewichtungsverfahren – die Gewichte sind im Code hinterlegt und lernen nicht aus deinen Daten – ergänzt um eine Sprachmodell-gestützte Schicht, die deine Freitextangaben zusätzlichen Themenschwerpunkten zuordnet (siehe Abschnitt 9). Diese Vorschläge sind unverbindlich: Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt, die dir gegenüber rechtliche Wirkung entfaltet.

Du entscheidest allein, welche Therapeut:innen du kontaktierst, und kannst jederzeit eine manuelle Überprüfung der Vorschläge verlangen oder dieser Verarbeitung widersprechen. Wende dich dafür an office@mendsch.at.

Dir stehen jederzeit die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Wende dich dafür einfach an office@mendsch.at.

Wenn du der Ansicht bist, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

Die Übertragung deiner Daten erfolgt verschlüsselt über HTTPS. Der Zugriff auf personenbezogene Daten ist innerhalb unserer Systeme auf jene Personen beschränkt, die ihn zur Erfüllung ihrer Aufgabe benötigen; Anmeldecodes werden nicht im Klartext, sondern als Hashwert gespeichert. Kontaktdaten werden nach Ablauf des jeweiligen Vorgangs automatisiert entfernt (siehe Abschnitt 10). Eine zusätzliche Verschlüsselung einzelner Datenbankfelder besteht derzeit nicht; wir prüfen laufend, ob und wo weitere technische Schutzmaßnahmen sinnvoll sind.

Da sich mendsch noch in Entwicklung befindet, wird diese Erklärung laufend ergänzt und vor dem öffentlichen Start durch eine geprüfte Fassung ersetzt. Es gilt jeweils die auf dieser Seite veröffentlichte Version.

Fragen zum Datenschutz beantworten wir gerne – schreib uns an office@mendsch.at oder über die Kontaktseite.