Datenschutzerklärung – Dein Therapieplatz

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Zusammenhang mit der App „Dein Therapieplatz" (Android, Paket-ID app.deintherapieplatz) und der Website deintherapieplatz.app ist:

Ein Datenschutzbeauftragter ist nicht benannt. Die gesetzlichen Benennungspflichten (Art. 37 DSGVO, § 38 BDSG) greifen nach unserer Prüfung derzeit nicht — insbesondere, weil die gesundheitsbezogenen Daten ausschließlich lokal auf deinem Gerät verarbeitet werden und wir selbst darauf keinen Zugriff haben.

2. Das Wichtigste zuerst: Deine Gesundheitsdaten bleiben auf deinem Gerät

„Dein Therapieplatz" hilft dir, deine Suche nach einem Therapieplatz zu organisieren. Dabei entstehen zwangsläufig gesundheitsbezogene Daten im Sinne von Art. 9 DSGVO — schon die Tatsache, dass jemand einen Psychotherapieplatz sucht, ist eine solche Information.

Deshalb ist die App bewusst so gebaut:

• Alle persönlichen und gesundheitsbezogenen Daten (Personen, Suchen, Kontaktprotokolle, Wartelisten, Notizen, Kostenerstattungs-Angaben) werden ausschließlich lokal auf deinem Gerät gespeichert — in einer verschlüsselten Datenbank (ChaCha20-Poly1305, authentifizierte Verschlüsselung; der Schlüssel liegt im Schlüsselspeicher deines Betriebssystems und ist nicht exportierbar).
• Diese Daten werden nicht an uns übertragen. Wir haben keinen Zugriff darauf, können sie nicht einsehen, nicht wiederherstellen und nicht löschen — sie existieren nur auf deinem Gerät.
• Die App funktioniert vollständig ohne Konto. Ein Konto brauchst du nur, wenn du freiwillig Cloud-Funktionen nutzen willst (öffentliche Praxisdatenbank mitpflegen, Praxisdaten-Sync).
• Es gibt kein Werbetracking. Die App setzt keine Werbe-SDKs und keine Cookies ein.

Deine Einwilligung in diese lokale Verarbeitung deiner gesundheitsbezogenen Daten (Art. 9 Abs. 2 lit. a DSGVO) holen wir beim ersten Start der App ausdrücklich ein (nicht vorausgewählte Checkbox im Onboarding). Ohne Zustimmung kannst du die App nicht verwenden, weil ihr gesamter Zweck die Organisation deiner Therapieplatzsuche ist. Widerruf: Löschst du die App (oder ihre Daten), werden alle lokalen Daten unwiederbringlich gelöscht — damit endet die Einwilligung automatisch; eines gesonderten Widerrufs bedarf es nicht.

3. Welche Daten die App lokal auf deinem Gerät verarbeitet

Diese Daten verlassen dein Gerät nie von selbst (zu den Ausnahmen, die DU aktiv auslöst — Exporte, Sicherungen, PDF — siehe Ziffer 6):

Speicherdauer lokal: bis du die Daten in der App löschst bzw. archivierst oder die App deinstallierst. Bei Deinstallation werden die Datenbank und ihr Verschlüsselungsschlüssel gelöscht; die Daten sind danach unlesbar und nicht wiederherstellbar.

Lokale Erinnerungen (optional): Im Einrichtungsassistenten beim ersten Start schlägt die App Erinnerungen bereits vorausgewählt vor; du kannst sie dort abwählen oder später jederzeit in den Einstellungen an- und ausschalten. Aktiviert, plant die App Benachrichtigungen auf deinem Gerät (keine Cloud, kein Push-Dienst, kein Firebase). Es gibt genau vier Anlässe: eine anstehende Wiedervorlage, ein zugesagter Rückruf, eine beginnende Telefonzeit — und, als einziger nicht terminbezogener Anlass, eine Suche, die längere Zeit stillsteht. Ab Android 13 fragt die App dafür zusätzlich die System-Berechtigung für Benachrichtigungen an; lehnst du sie ab, wird nichts geplant. Auf älteren Android-Versionen gibt es diese Berechtigung nicht — dort genügt der Schalter, den du im Einrichtungsassistenten oder in den Einstellungen abwählen kannst. Ist der Schalter aus, wird in beiden Fällen nichts geplant. Die Benachrichtigungstexte sind bewusst generisch und nennen weder Fachrichtung noch Personen- oder Praxisnamen; sichtbar bleibt auf dem Sperrbildschirm allein der App-Name, nicht aber, worum es in deiner Suche geht. Außerdem plant die App Erinnerungen nach einem Neustart des Geräts neu (Berechtigung RECEIVE_BOOT_COMPLETED).

App-Sperre (optional): Biometrie-/PIN-Prüfung erfolgt vollständig durch dein Betriebssystem; die App erfährt nur „erfolgreich/nicht erfolgreich" und speichert keine biometrischen Daten. Ist auf deinem Gerät weder Biometrie noch eine Geräte-PIN eingerichtet, bietet die App eine ausdrückliche Aktion zum Aufheben der App-Sperre an, damit du nicht dauerhaft ausgesperrt bleibst; deine Daten bleiben dabei durch die Verschlüsselung geschützt.

4. Cloud-Funktionen (nur mit Konto bzw. nur auf deine aktive Aktion)

Unsere Cloud-Datenbank (Supabase, Hosting in Irland, EU — siehe Ziffer 7) enthält keine Gesundheitsdaten und keine Suchdaten von dir. Dort liegen nur:

4.1 Konto-Daten (nur wenn du ein Konto erstellst)

E-Mail-Adresse, kryptografisch geschütztes Passwort, Anmelde-Tokens. Zweck: Anmeldung und Zuordnung deiner Community-Beiträge. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung deines Kontos (Ziffer 8).

Zur Sicherheit deines Kontos speichert unser Anmelde-Dienst außerdem technische Anmelde-Metadaten zu deinen Sitzungen (IP-Adresse, Geräte-/Browser-Kennung, Zeitpunkt; Art. 6 Abs. 1 lit. f DSGVO — Missbrauchs- und Sicherheitsschutz). Auf deinem Gerät legt die App die aktive Sitzung (Anmelde-Token und Konto-E-Mail-Adresse) im geschützten App-Speicher ab — getrennt von der verschlüsselten Gesundheitsdatenbank. Bitte beachte: Konto-E-Mails (Bestätigung, Passwort-Code) tragen den Absender unserer App — wer dein E-Mail-Postfach einsehen kann, kann daraus schließen, dass du diese App nutzt.

4.2 Öffentliche Praxisdatenbank

Praxisname, Adresse, Fachrichtung, Telefonzeiten u. Ä. — Daten über Praxen, nicht über dich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse aller Nutzer an einer aktuellen Praxisdatenbank).

4.3 Community-Beiträge (nur auf deine aktive Einreichung)

Schlägst du eine Praxis oder eine Korrektur vor, übertragen wir ausschließlich die öffentlichen Praxisangaben deines Vorschlags plus deine Konto-ID und einen Zeitstempel. Deine privaten Notizen und Annotationen werden nie übertragen (technisch durch eine Allowlist erzwungen). Andere Nutzer sehen deine Beiträge nur in personenfreien Ansichten ohne Konto-ID — denn die Verknüpfung „diese Person schlägt diese Psychotherapie-Praxis vor" könnte Rückschlüsse auf deine Gesundheit zulassen, und genau das verhindern wir. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung im Bestätigungsdialog vor jeder Übermittlung; Widerruf mit Wirkung für die Zukunft durch Konto-Löschung).

4.4 Anonyme Such-Statistik (Opt-in pro einzelner Sendung)

Beim Abschließen einer Suche kannst du — über eine NICHT vorausgewählte Checkbox — anonym beitragen: Fachrichtung, Versicherungsart, Abschlussgrund, Suchdauer in Tagen, Erhebungsmonat (serverseitig auf den Monat gerundet). Ohne Konto-Bezug, ohne Personenbezug. Technisch setzt das Absenden eine bestehende Konto-Anmeldung voraus; gespeichert wird der Beitrag aber ohne jede Verknüpfung zu deinem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Da die Daten anonym sind, können wir einzelne Beiträge nachträglich keiner Person zuordnen (und damit auch nicht gezielt löschen).

4.5 Abo-Status (bei Abschluss eines Abos)

Anonyme Nutzer-ID, Abo-Status, Store-Typ — zur Freischaltung der Abo-Funktionen (Ziffer 7: Google Play Billing, RevenueCat). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Was die App NICHT tut

• Keine Übertragung deiner Gesundheits- oder Suchdaten an uns oder Dritte.
• Ohne dein Zutun senden nur zwei Kanäle: abschaltbare technische Absturzberichte ohne persönliche Inhalte (Ziffer 7.1) und die Abo-Prüfung (Ziffer 7.2). Beide enthalten weder Gesundheits- noch Suchdaten.
• Kein Werbe-Tracking, keine Werbe-SDKs, keine Cookies in der App.
• Kein Nutzungs-Analytics zum Launch.
• Keine automatisierte Entscheidungsfindung, kein Profiling (Art. 22 DSGVO).
• Kein Verkauf von Daten.

6. Exporte und Sicherungen, die DU auslöst

Alle folgenden Funktionen übertragen von sich aus nichts an uns. Sie erzeugen Dateien, über deren Weitergabe ausschließlich du entscheidest (System-Teilen-Dialog bzw. von dir gewählter Ordner):

6.1 Verschlüsselter Datei-Export (.dtpbackup)

Exportiert alle lokalen Daten (inklusive Gesundheitsdaten und Notizen) als Datei, verschlüsselt mit deinem selbstgewählten Passwort (AES-256-GCM, PBKDF2 mit 210.000 Iterationen). Ohne dieses Passwort ist keine Wiederherstellung möglich — auch durch uns nicht; das Passwort wird nirgends gespeichert oder übertragen. Damit setzen wir zugleich deine Rechte auf Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20) um. Lädst du die Datei selbst zu einem Dienst außerhalb der EU hoch, ist das deine Entscheidung; der Dienst sieht nur einen verschlüsselten Block.

6.2 Automatische Sicherung (Opt-in, Standardpasswort)

Auf Wunsch (standardmäßig AUS, aktivierbar in den Einstellungen und beim ersten Start) schreibt die App nach Änderungen automatisch eine verschlüsselte Sicherung in einen von dir einmalig gewählten Ordner. WICHTIG und ehrlich: Diese automatische Sicherung nutzt ein festes, in der App eingebautes Standardpasswort — wer die Sicherungsdatei UND die App besitzt, kann sie entschlüsseln. Sie ist also deutlich schwächer geschützt als der manuelle Export (6.1). Wähle deshalb einen privaten Ordner, der NICHT mit einem Cloud-Dienst synchronisiert wird — sonst wandert die schwach geschützte Sicherung laufend dorthin (gegebenenfalls in ein Drittland). Die App warnt dich bei der Aktivierung genau darüber. Es bleiben nur die neuesten Sicherungen erhalten (automatische Rotation); ein Cloud-Dienst kann aber eigene Versionshistorien führen, die wir nicht kontrollieren.

6.3 PDF-Nachweis für die Krankenkasse

Erzeugt aus genau einer Suche einen menschenlesbaren, unverschlüsselten Nachweis deiner Suchbemühungen (z. B. für das Kostenerstattungsverfahren nach § 13 Abs. 3 SGB V). Das PDF enthält Gesundheitsdaten im Klartext, einschließlich deiner Notizen. Die App weist dich vor dem Teilen darauf hin; teile es nur mit Stellen, denen du vertraust (z. B. deiner Krankenkasse). Nach dem Teilen löscht die App ihre temporäre Kopie; bereits geteilte Kopien liegen außerhalb unserer und der App-Kontrolle.

6.4 Betriebssystem-Backup

Standardmäßig ist die lokale Datenbank vom Android-Backup ausgeschlossen (allowBackup=false).

Wichtig nach Deinstallation: Von dir exportierte/gesicherte Dateien (6.1–6.3) liegen außerhalb der App und werden bei Deinstallation NICHT gelöscht. Du entfernst sie selbst am jeweiligen Speicherort.

7. Empfänger und Auftragsverarbeiter (Drittdienste)

Ohne Konto und ohne Abo kommuniziert die App mit Supabase nur zum Lesen der öffentlichen Praxisdatenbank (dabei fallen technisch notwendige Verbindungsdaten wie deine IP-Adresse an — Art. 6 Abs. 1 lit. f DSGVO, flüchtig zur Verbindungsherstellung).

7.1 Absturzberichte (Sentry) — abschaltbar

Stürzt die App ab oder tritt ein Programmfehler auf, sendet sie einen technischen Absturzbericht an Sentry (EU-Datenresidenz), damit wir Fehler finden und beheben können. Das ist einer von zwei automatischen Datenkanälen der App; der zweite ist die Abo-Prüfung (Ziffer 7.2). Alles Übrige überträgt nur auf deine aktive Aktion.

Ein Bericht enthält: Fehlertyp, technische Absturzstelle im Programmcode (Stacktrace), App-Version, Android-Version, Gerätemodell und Zeitpunkt. Nicht enthalten sind: deine Inhalte oder Gesundheitsdaten, Namen, Notizen, Datei-Pfade, Bildschirmfotos, Nutzer- oder Gerätekennungen; die Speicherung deiner IP-Adresse ist serverseitig deaktiviert. Vor dem Senden filtert die App jeden Bericht zusätzlich automatisch (Entfernen von Kennungen, Pfaden und Datenbank-Details). In den Einstellungen kannst du über eine Diagnose-Funktion außerdem selbst einen rein technischen Testbericht senden, mit dem wir genau diesen Filter überprüfen — gleicher Inhalt, gleicher Empfänger, gleiche Speicherdauer; gesendet wird er nur nach deiner Bestätigung. Beim Empfang eines Berichts leitet Sentry aus der Verbindungs-IP einen ungefähren Standort (nur Stadtebene) ab; die IP-Adresse selbst wird nicht gespeichert.

Abschalten (Widerspruch, Art. 21 DSGVO): Einstellungen → „Absturzberichte senden". Das Abschalten wirkt sofort; noch nicht gesendete Berichte werden verworfen. Ein Hinweis mit Schalter erscheint außerdem schon beim ersten Start der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen App). Speicherdauer bei Sentry: 30 Tage (kostenloser Developer-Plan; vom Betreiber bestätigt 01.08.2026), danach automatische Löschung.

7.2 Abo-Prüfung (RevenueCat)

Sobald die App den Abo-Status braucht, fragt sie ihn über den Dienst RevenueCat ab. Das ist neben den Absturzberichten der zweite Kanal, der ohne inhaltliche Handlung von dir sendet — und er ist nicht abschaltbar, weil er die Abo-Prüfung selbst ist. Er transportiert aber keine Gesundheitsdaten und keine Konto-Identität.

Übermittelt werden: eine vom Dienst erzeugte, anonyme Kennung (nicht deine E-Mail-Adresse und nicht deine Konto-Kennung), Kaufbelege des Google Play Stores, Abo-Ereignisse sowie technische Geräte- und Verbindungsdaten einschließlich der IP-Adresse. Nicht übermittelt werden: deine E-Mail-Adresse, deine Konto-Kennung bei uns, deine Suchen, Notizen oder Gesundheitsangaben, dein Name, eine Werbe-ID oder eine Gerätekennung.

Der kostenlose Testzeitraum läuft ohne diesen Kanal. Die 30 Tage werden ausschließlich auf deinem Gerät gezählt — dafür braucht es weder ein Konto noch ein Zahlungsmittel, und es entsteht keine automatische Verlängerung. Eine Verbindung zu RevenueCat entsteht erst, wenn du den Abo-Bereich öffnest, deine Support-Kennung anzeigen lässt oder nach Ablauf der Testphase einen neuen Eintrag anlegen willst.

Support-Kennung: Auf Wunsch zeigt dir die App die anonyme Kennung an, damit der Support ein Problem zuordnen kann. Wer sie kennt, kann den Abo-Status dazu abfragen — gib sie deshalb nur an den Support.

Empfänger ist RevenueCat, Inc. (USA) — zur Übermittlungsgrundlage siehe die Tabelle in Ziffer 7 und Ziffer 9. Die Abo-Daten hängen an der anonymen Kennung und an deinem Google-Play-Konto, nicht an einem Konto bei uns: Eine Löschung deines Kontos in der App beendet deshalb kein laufendes Abo (siehe Ziffer 8); eine Löschanfrage an RevenueCat läuft über uns unter Angabe der Support-Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abo-Vertrags). Eine Einwilligung ist dafür nicht erforderlich und ein Opt-out nicht möglich, weil ohne diese Prüfung kein Abo abgewickelt werden kann.

Website deintherapieplatz.app: Diese Website ist eine statische Informationsseite. Sie setzt keine Cookies ein, bindet keine Drittdienste ein und verwendet kein Tracking. Beim Aufruf fallen technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, abgerufene Seite) in den Server-Protokollen des Hostings an (Art. 6 Abs. 1 lit. f DSGVO — Betrieb und Sicherheit der Website); sie werden nicht mit anderen Daten zusammengeführt.

Umfrage auf dieser Website: Unter deintherapieplatz.app/umfrage kannst du freiwillig an einer kurzen Umfrage teilnehmen. Deine Antworten werden ausschließlich per E-Mail an uns übermittelt und nicht auf dem Server gespeichert; das Umfrage-Skript protokolliert auch keine IP-Adresse. Die optionalen Angaben (Organisations-Vorschlag, E-Mail-Adresse) verwenden wir nur für Rückfragen bzw. zur Kontaktaufnahme. Rechtsgrundlage ist deine Einwilligung, die du durch das Absenden erteilst (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit formlos widerrufen — dann löschen wir deine Antworten. Eine Weitergabe an Dritte findet nicht statt.

8. Konto-Löschung

Du kannst dein Konto jederzeit selbst löschen: in der App unter „Einstellungen → Konto → Konto löschen" oder, falls du die App nicht mehr installiert hast, per E-Mail an uns (siehe Ziffer 1) bzw. über deintherapieplatz.app/konto-loeschen. Die Löschung erfolgt sofort und ist nicht umkehrbar; eine spätere Neuanmeldung mit derselben Adresse stellt nichts wieder her.

Gelöscht werden dabei:

• deine Konto-Zeile mit E-Mail-Adresse und Passwort-Hash,
• alle Anmelde-Sitzungen und Tokens,
• dein Abo-Status-Eintrag bei uns,
• alle deine Community-Beiträge: von dir eingereichte Praxis- und Korrekturvorschläge einschließlich der noch nicht bestätigten sowie die Bestätigungen, die du zu fremden Vorschlägen abgegeben hast.

Nicht gelöscht werden — und warum:

• Bereits übernommene Praxisangaben im öffentlichen Verzeichnis. Das sind reine Sachdaten zur Praxis ohne Bezug zu dir; die Verknüpfung zu deinem Konto wird mit gelöscht.
• Anonyme Such-Statistiken (nur falls du beim Archivieren einer Suche zugestimmt hast, Ziffer 4.4). Sie enthalten keine Kennung, die auf dich zurückführt — wir können sie deshalb weder dir zuordnen noch gezielt entfernen (Art. 11 DSGVO).
• Absturzberichte (Ziffer 7.1), falls du sie nicht abgeschaltet hast. Sie sind nicht mit deinem Konto verknüpft und werden automatisch nach 30 Tagen gelöscht.
• Deine lokalen Daten auf dem Gerät — Personen, Suchen, Anrufprotokolle, Wartelisten, Notizen. Sie waren nie bei uns. Die App läuft nach der Kontolöschung ohne Konto weiter. Wenn du auch sie entfernen willst, lösche sie in der App oder deinstalliere sie.
• Automatische Sicherungen und exportierte Dateien (.dtpbackup, PDF-Nachweise) außerhalb der App, siehe Ziffern 6.2 und 6.3.

Hinweis zum Abo: Die Kontolöschung beendet kein laufendes Abonnement. Abgeschlossen und gekündigt wird es über dein Google-Play-Konto; andernfalls läuft die Abbuchung weiter.

9. Deine Rechte

Du hast nach der DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15) — für lokale Daten direkt in der App einsehbar und per Datei-Export (Ziffer 6.1) vollständig mitnehmbar; für Cloud-Daten auf Anfrage an uns.
• Berichtigung (Art. 16) — Felder sind in der App editierbar; Kontaktprotokolle sind bewusst revisionssicher angelegt (nachträgliche Feldkorrekturen möglich, kein rückwirkendes Umschreiben der Historie).
• Löschung (Art. 17) — lokal durch Löschen in der App bzw. Deinstallation; Cloud durch Konto-Löschung (Ziffer 8).
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20 — umgesetzt durch Datei-Export und PDF), Widerspruch gegen Verarbeitung auf Basis berechtigten Interesses (Art. 21 — für Absturzberichte direkt in der App: Einstellungen → „Absturzberichte senden", Ziffer 7.1).
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) mit Wirkung für die Zukunft — für die lokale Gesundheitsdaten-Verarbeitung durch Löschen der App/Daten (Ziffer 2), für Community-Beiträge durch Konto-Löschung.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — z. B. beim für unseren Sitz zuständigen Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, www.datenschutz.rlp.de.

Für Cloud-Daten richte Anfragen an . Bitte beachte: Auf deine lokalen Daten haben wir keinerlei Zugriff — Auskunft/Löschung dazu kannst nur du selbst auf deinem Gerät ausführen (die App gibt dir dafür die Werkzeuge).

10. Minderjährige

Die App richtet sich an Personen ab 16 Jahren. Bist du jünger, beziehe bitte eine erziehungsberechtigte Person ein.

11. Datensicherheit

• Lokale Datenbank: ChaCha20-Poly1305 (authentifizierte Verschlüsselung, SQLite3MultipleCiphers); der Schlüssel liegt im verschlüsselten, Keystore-gestützten Schlüsselspeicher des Betriebssystems und wird bei Deinstallation unwiederbringlich gelöscht.
• Bildschirmfoto-Schutz (FLAG_SECURE) ist in Produktiv-Builds immer aktiv; die App-Sperre (Biometrie/PIN) ist zusätzlich optional zuschaltbar.
• Transport zur Cloud: ausschließlich TLS-verschlüsselt.
• Cloud-Speicherung: AES-256 at rest (Supabase-Standard).

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert (z. B. Aktivierung eines optionalen, anonymen Nutzungs-Analytics in einer späteren Version). Es gilt die in der App bzw. auf der Website veröffentlichte aktuelle Fassung; wesentliche Änderungen kündigen wir in der App an.

Stand: 7. September 2026