Datenschutz – Praxido-App

Kurzfassung: Die Praxido-App ist eine Begleit-App („Companion") zur Praxido-Desktop-Software. Sie überträgt deine Praxisdaten weder an uns noch in eine Cloud. Die App verbindet sich ausschließlich mit deiner eigenen Desktop-Installation im lokalen Netzwerk (WLAN/LAN), die du einmalig per QR-Code koppelst. Es gibt kein Nutzer-Tracking, keine Werbung und keinen Analysedienst von Praxido. Nach außen gehen nur zwei Dinge: die Adress-Auflösung im Fahrtenbuch, wenn du sie einschaltest (Abschnitt 5a), und unter Android technische Angaben der eingebauten Google-Bibliotheken für Texterkennung und QR-Code, ohne Bilder, Texte oder Klient:innen-Daten (Abschnitt 5b).

1. Verantwortlicher für dieses Angebot

Praxido Ortner e.U. (Inhaber: Alexander Ortner)
Ligistberg 20
8563 Ligist, Österreich
E-Mail: hallo[at]praxido.at

Wichtig zur Rollenverteilung: Für die in der App verarbeiteten Praxis- und Klient:innen-Daten ist die jeweilige Therapeutin bzw. der Therapeut selbst datenschutzrechtlich verantwortlich (Verantwortliche:r i.S.d. Art. 4 Z 7 DSGVO). Praxido stellt lediglich ein lokal laufendes Werkzeug bereit und erhält diese Daten zu keinem Zeitpunkt – wir sind daher weder Empfänger noch Auftragsverarbeiter dieser Inhalte (kein Auftragsverarbeitungsvertrag erforderlich).

2. Grundprinzip: Local-First

Alle in der App erfassten Inhalte bleiben auf deinem Gerät und werden – wenn du synchronisierst – ausschließlich an deine eigene, im selben Netzwerk erreichbare Praxido-Desktop-Installation übertragen. Es findet keine Übertragung an Server von Praxido, an Cloud-Dienste oder an Dritte statt. Die App funktioniert offline; eine Verbindung besteht nur zeitweise und nur zu deinem eigenen Rechner im lokalen Netzwerk. Davon ausgenommen sind die optionale Adress-Auflösung im Fahrtenbuch, wenn du sie einschaltest (Abschnitt 5a), und unter Android die technischen Angaben der Google-Bibliotheken (Abschnitt 5b).

3. Welche Daten die App verarbeitet

Je nach genutzter Funktion werden lokal auf dem Gerät verarbeitet:

• Klient:innen-Profile: in der Voreinstellung ausschließlich pseudonyme Codenamen sowie allgemeine Angaben (z. B. Therapieart). Wie viel ein Gerät erhält, entscheidest du selbst – siehe Abschnitt 3a. Erst wenn du einem Gerät ausdrücklich die höchste Datenstufe zuweist, können auch Klarnamen und Adressen darauf liegen; sie sind dann verschlüsselt gespeichert (Abschnitt 4).
• Termine: Datum, Uhrzeit, Dauer und ähnliche Kalender-Metadaten.
• Belege & Dokumente: Foto/Scan sowie ausgelesene Felder (Betrag, Datum, Firma, Kategorie). Die Texterkennung (OCR) läuft vollständig on-device.
• Fahrtenbuch: Start- und Zielpunkt einer Fahrt, Uhrzeiten und Kilometer, sofern du das Fahrtenbuch nutzt. Den Weg dazwischen speichert die App nicht. An deine Desktop-Software gehen Datum, Uhrzeiten, Kilometer, Art und Zweck der Fahrt, Kilometerstände und, falls vorhanden, Start- und Zieladresse als Text, keine Koordinaten.
• Sprachnotizen: Audioaufnahmen, die du bewusst erstellst.
• Dokumentation: von dir erfasste Notizen/Handschrift zu einer Sitzung.
• Technisches Diagnoseprotokoll: Zeitstempel, Ereignis- und Fehlermeldungen zur Fehlersuche, einsehbar in den Einstellungen. Es enthält keine Klient:innen-Daten und keine erkannten Texte; Einträge werden nach sieben Tagen automatisch verworfen.

Diese Inhalte werden erfasst, um sie zu deiner Desktop-Software zu übertragen, wo die eigentliche Verwaltung stattfindet.

3a. Datenstufen: du bestimmst, was auf ein Gerät darf

Jedes gekoppelte Gerät bekommt in der Desktop-Software eine Datenstufe. Sie legt fest, wie sensibel die Daten sein dürfen, die dieses Gerät überhaupt erhält. Die Voreinstellung für ein neu gekoppeltes Gerät ist Stufe 1; höhere Stufen musst du bewusst freigeben.

• Stufe 0 – Unterwegs: nur pseudonyme Codenamen und Termin-Metadaten. Kein Klarname, kein Dokumentationsarchiv am Gerät.
• Stufe 1 – Erfassung (Voreinstellung): zusätzlich das, was du selbst am Gerät erfasst – Verlaufsdokumentation, Sprachnotizen, Belege, Dokumente. Diese Inhalte entstehen am Gerät und werden zur Desktop-Software übertragen.
• Stufe 2 – Voll-Klinisch: zusätzlich das Ansehen bestehender Dokumentation und Profile sowie das Bearbeiten und Zurückschreiben von Verlaufsdokumentation. Auf dieser Stufe können Klarnamen und Adressen am Gerät liegen.

Die Stufe wird pro Gerät am Desktop gesetzt und kann jederzeit gesenkt werden. Eine höhere Stufe setzt die abgesicherte Verbindung und die Verschlüsselung am Gerät aus Abschnitt 4 voraus.

4. Sicherheit & Verschlüsselung

• Am Gerät (at rest): Alle inhaltlichen Daten werden verschlüsselt gespeichert – Klient:innen-Profile samt Klarnamen, Termine, Verlaufsdokumentation, Belege, Fotos, Sprachnotizen, Fahrten und die Warteschlange noch nicht übertragener Erfassungen. Verwendet wird AES-256-GCM. Der dafür nötige Datenschlüssel wird zufällig auf dem Gerät erzeugt, ist 256 Bit lang und liegt im geschützten Schlüsselspeicher des Betriebssystems: im Schlüsselbund (Keychain) unter iOS, im Android-Keystore über EncryptedSharedPreferences. Er ist an dieses eine Gerät gebunden: unter iOS in der Ablageklasse „nur dieses Gerät" und damit weder in der iCloud-Synchronisierung noch in geräteübergreifenden Backups, unter Android als nicht auslesbarer Keystore-Schlüssel. Er liegt in einem Bereich, auf den andere Apps keinen Zugriff haben. Klartext-Inhalte liegen zu keinem Zeitpunkt dauerhaft im Dateisystem.
• Unverschlüsselt bleiben nur technische Angaben ohne Klient:innenbezug: Anzeige- und Bedieneinstellungen, der Gerätetyp, die lokale Netzwerkadresse deiner Desktop-Installation, der Fingerabdruck (Hashwert) des gekoppelten Zertifikats und das technische Diagnoseprotokoll. Keine dieser Angaben enthält Klient:innen-Daten, Termine oder Dokumentationsinhalte.
• Bei der Übertragung: Die Verbindung zur Desktop-Software ist TLS-verschlüsselt und über einen gerätespezifischen Zertifikats-Fingerprint abgesichert (Zertifikats-Pinning), damit ausschließlich dein gekoppelter Rechner akzeptiert wird.
• Bildschirmschutz: Unter Android unterbindet die App Screenshots und Bildschirmaufnahmen sensibler Inhalte (FLAG_SECURE). Unter iOS lässt das Betriebssystem ein solches Unterbinden nicht zu; dort blendet Praxido die Inhalte aus, sobald die App in den Hintergrund wechselt, damit in der App-Übersicht nichts sichtbar bleibt.
• App-Sperre (optional): Auf Wunsch lässt sich der Zugang zusätzlich mit Face ID, Touch ID, Fingerabdruck oder Gerätecode sichern. Die Prüfung übernimmt das Betriebssystem; Praxido erhält keine biometrischen Merkmale.

Diese Maßnahmen schützen die Daten, wenn ein Gerät verloren geht, gestohlen wird oder eine andere App auf den Speicher zugreifen will. Sie ersetzen nicht den Schutz des Geräts selbst: Wer ein entsperrtes Gerät in der Hand hält, sieht, was die App anzeigt. Sperrcode und die optionale App-Sperre sind daher Teil des Schutzkonzepts.

5. Berechtigungen und ihr Zweck

• Kamera: Scannen des Kopplungs-QR-Codes sowie Fotografieren von Belegen und Dokumenten.
• Mikrofon: Aufnahme von Sprachnotizen.
• Fotomediathek: Import eines bereits vorhandenen Belegs oder Dokuments und – wenn du es auslöst – das Sichern eines erfassten Dokuments in deiner Mediathek.
• Standort (auch im Hintergrund): ausschließlich für das Fahrtenbuch und nur, während eine Fahrt aufgezeichnet wird.
  • Von Hand gestartete Fahrt: Dafür reicht es, wenn du den Standort nur während der Nutzung der App erlaubst. Die App zeichnet weiter auf, wenn du sie verlässt oder der Bildschirm ausgeht. Unter Android zeigt dabei eine Benachrichtigung „Fahrt wird aufgezeichnet“, unter iOS die blaue Standortanzeige.
  • Automatisches Fahrtenbuch (nur Android, im Paket Voll): Dafür fragt die App nach der Erlaubnis „Immer zulassen“, weil sie Fahrten startet, ohne dass du sie öffnest. Sie verwendet deinen Standort dann auch, wenn sie geschlossen ist oder du sie gerade nicht verwendest. Eine Fahrt beginnt, wenn sich dein Handy mit dem gewählten Auto-Bluetooth verbindet oder, wenn du das einschaltest, wenn die Bewegungserkennung eine Fahrt erkennt. Während der Aufzeichnung zeigt Android eine Benachrichtigung. Bevor Android zum ersten Mal nach dem Standort fragt, erklärt dir die App das in einem eigenen Hinweis.
  • Was gespeichert wird: Start- und Zielpunkt, Uhrzeiten und Kilometer, verschlüsselt auf deinem Handy (Abschnitt 4). Während der Fahrt hält die App nur den jeweils letzten Punkt fest, um die Kilometer zu zählen; den Weg speichert sie nicht.
  • Wohin es geht: An deine Desktop-Software gehen nur Adressen als Text, keine Koordinaten. Koordinaten verlassen dein Handy nur, wenn du die Adress-Auflösung einschaltest (Abschnitt 5a). An Praxido geht nichts.
  • Du entscheidest: Die Erlaubnis kannst du jederzeit in den Einstellungen deines Handys zurücknehmen. Fahrten trägst du dann von Hand ein.
• Körperliche Aktivität und Bluetooth (nur Android): ausschließlich für den optionalen automatischen Start des Fahrtenbuchs, etwa beim Verbinden mit der Freisprecheinrichtung im Auto. Die Bewegungserkennung läuft über die Google-Play-Dienste auf deinem Handy und meldet der App nur, ob du in einem Fahrzeug unterwegs bist; die App speichert diese Angabe nicht und überträgt sie nicht. Unter iOS gibt es keine automatische Aufzeichnung – dort startest und beendest du jede Fahrt selbst.
• Face ID, Touch ID oder Fingerabdruck: nur für die optionale App-Sperre (Abschnitt 4).
• Lokales Netzwerk: Verbindung zu deiner Desktop-Installation im WLAN/LAN.

Berechtigungen werden erst beim tatsächlichen Bedarf angefragt; nicht genutzte Funktionen benötigen keine Freigabe.

5a. Optionale Adress-Auflösung im Fahrtenbuch

Im Fahrtenbuch kannst du einschalten, dass die App für Start und Ziel einer Fahrt eine Straßenadresse ermittelt. Dafür fragt sie den Dienst Nominatim von OpenStreetMap (nominatim.openstreetmap.org, betrieben von der OpenStreetMap Foundation, Vereinigtes Königreich) an.

• Die Funktion ist standardmäßig aus. Bevor du sie einschaltest, zeigt dir die App, was übertragen wird, und fragt um deine Zustimmung.
• Übertragen werden die Koordinaten von Start und Ziel, die gewünschte Sprache und eine Kennung der App; der Dienst sieht außerdem die IP-Adresse deines Handys. Namen oder andere Klient:innen-Daten werden nicht übertragen.
• Führt eine Fahrt zu einem Hausbesuch, kann eine Koordinate auf eine Wohnadresse zeigen. Nutze die Funktion deshalb nur, wenn du sie brauchst; ohne sie trägst du Orte von Hand ein oder wählst gespeicherte Orte.
• Ermittelte Adressen merkt sich die App verschlüsselt auf dem Handy (höchstens 200 Einträge), damit derselbe Ort nicht erneut angefragt wird.
• Du kannst die Funktion jederzeit wieder ausschalten.

Schaltest du die Funktion ein, bist du als Therapeut:in für diese Übermittlung verantwortlich; Praxido ist daran nicht beteiligt.

5b. Bibliotheken von Google für Texterkennung und QR-Code (nur Android)

Unter Android nutzt die App für die Texterkennung auf Belegen und für das Einlesen des Kopplungs-QR-Codes Bibliotheken von Google: ML Kit und den Google Code Scanner der Google-Play-Dienste. Die Erkennung selbst läuft auf deinem Handy. Bilder, erkannte Texte und Klient:innen-Daten gehen nicht an Google.

• Die Bibliotheken senden aber technische Angaben an Google: Hersteller, Modell und Betriebssystemversion des Geräts, Paketname und Version der App, eine Kennung der Installation sowie Leistungs- und Fehlerdaten. Die Kennung soll laut Google weder dich noch dein Gerät eindeutig erkennen.
• Google verwendet diese Angaben laut eigener Beschreibung für Diagnose und Nutzungsanalyse, überträgt sie verschlüsselt und gibt sie nicht an Dritte weiter.
• Empfänger ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google in den USA kann nicht ausgeschlossen werden; Google ist dem EU-US Data Privacy Framework beigetreten.

Unter iOS verwendet die App dafür die Funktionen von iOS auf dem Gerät (Texterkennung und Kamera); eine Google-Bibliothek ist dort nicht eingebaut.

6. Keine Werbung, kein Tracking

Die App enthält keine Werbe- oder Tracking-Dienste und keinen Analysedienst von Praxido, setzt keine Cookies und erstellt keine Nutzungsprofile. Sie übermittelt keine Daten an Dritte oder in Drittländer, außer über die Adress-Auflösung, wenn du sie einschaltest (Abschnitt 5a), und unter Android die technischen Angaben der Google-Bibliotheken (Abschnitt 5b).

7. Speicherdauer & Löschung

• Erfasste Belege, Fotos und Sprachnotizen werden nach der bestätigten Übertragung zur Desktop-Software wieder vom Gerät entfernt.
• Übrige lokale Daten verbleiben am Gerät, bis du sie löschst oder die App deinstallierst. Die Deinstallation entfernt sämtliche lokalen App-Daten einschließlich der verschlüsselten Datenbank und der Geräte-Kopplung.
• Die maßgebliche, dauerhafte Datenhaltung erfolgt in der Praxido-Desktop-Software; dort greifen deren eigene Löschfristen und -funktionen.

8. Deine Rechte

Dir stehen nach der DSGVO die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu. Da die verarbeiteten Klient:innen-Daten deinem eigenen Verantwortungsbereich als Therapeut:in unterliegen und Praxido diese Daten nicht erhält, sind entsprechende Anliegen betroffener Personen an die behandelnde Therapeutin bzw. den behandelnden Therapeuten zu richten. Für die App selbst kannst du deine lokalen Daten jederzeit durch Deinstallation entfernen.

Beschwerderecht: Du kannst dich an die österreichische Datenschutzbehörde (dsb.gv.at) wenden.

9. Kontakt

Fragen zum Datenschutz der App: hallo[at]praxido.at

Hinweis: Praxido wird laufend weiterentwickelt und ist kein Medizinprodukt. Diese Erklärung wird bei funktionalen Änderungen aktualisiert.