Zurück zur Sicherheitsseite · Als PDF speichern / Drucken

Praxido — Sicherheitsarchitektur & technisch-organisatorische Maßnahmen (TOM)

Hinweis: Muster, kein Rechtsrat. Dieses Dokument beschreibt die Schutzmaßnahmen (Art. 32 DSGVO) und ist als Anlage für Kund:innen gedacht, die es in ihrer eigenen Datenschutz-Dokumentation referenzieren. Die technischen Angaben sind Satz für Satz am Quellcode geprüft (Stand 2026-09-19, Programmstand 0.83.0). Am 2026-10-26 für Version 0.86.0 nachgeführt: Abmeldung, Anmeldesperre, Zertifikat der Handy-Verbindung, Ablage des Datei-Schlüssels samt Sicherung, Lizenzmeldung, Kauf und Umfrage. Die übrigen Angaben gelten für den Stand vom 19.09.2026.

Anbieter: Praxido Ortner e.U. · Ligistberg 20, 8563 Ligist, Österreich · hallo@praxido.at Stand: 2026-10-29

0. Grundprinzip: Datensparsamkeit durch Architektur

Der wirksamste Datenschutz ist, Daten gar nicht erst zu übertragen. Praxido ist Local-First: Es gibt keine zentrale Patient:innendaten-Datenbank beim Anbieter, und der Anbieter hat zu keinem Zeitpunkt Zugriff auf Gesundheitsdaten. Klient:innendaten verlassen dein Gerät nur, wenn du es selbst auslöst: bei der Kopplung mit deinen eigenen Geräten im lokalen Netz, bei Export, Druck und E-Mail-Versand — und, falls du es einschaltest, bei der optionalen Adress-Auflösung für das Fahrtenbuch in der Handy-App (Abschnitt 2).

1. Schutz der lokalen Daten (auf deinem Gerät)

• Datenbank-Verschlüsselung: Die lokale Datenbank wird vollständig mit SQLCipher verschlüsselt. Der Datenbank-Schlüssel ist ein zufällig erzeugter 256-Bit-Wert (kein vom Passwort abgeleiteter Schlüssel direkt auf der Datenbank).
• Schlüsselableitung aus dem Passwort: Aus deinem Passwort wird über Argon2id (speicher-hart, 64 MiB, 3 Iterationen, NFC-normalisiert) ein Schlüssel-Verschlüsselungs-Schlüssel abgeleitet, der den eigentlichen Datenbank-Schlüssel verschlüsselt verwahrt („Envelope"). Der Datenbank-Schlüssel selbst wird nur zur Laufzeit im Arbeitsspeicher gehalten und nicht dauerhaft im Klartext gespeichert.
• Wiederherstellungs-Phrase: Zusätzlich zum Passwort kann der Datenbank-Schlüssel über eine separate Wiederherstellungs-Phrase (12 Wörter) entschlüsselt werden (zweiter Envelope) — schützt vor Daten-Lockout bei Passwortverlust. Wer weder Passwort noch Phrase hat, kommt nicht an die Daten, auch der Anbieter nicht.
• Datei-/Anhang-Verschlüsselung: Hochgeladene Dokumente und Anhänge werden zusätzlich mit Fernet (AES-128-CBC + HMAC-SHA256) verschlüsselt abgelegt. Inhalte von KI-Aufgaben (zum Beispiel Transkriptionen), soweit du solche Funktionen nutzt, liegen in der verschlüsselten Datenbank (SQLCipher).
• Ablage des Datei-Schlüssels: Der Datei-Schlüssel liegt in einem Schlüsselbund in der verschlüsselten Datenbank, selbst geschützt mit dem Datenbank-Schlüssel; eine ebenso geschützte Zweitkopie liegt im Datenordner der App. Ohne entsperrte Datenbank ist er nicht verfügbar. Passen diese Ablagen beim Entsperren nicht zusammen, sperrt Praxido das Schreiben; Lesen bleibt möglich. Für eine Sicherung schreibt Praxido den Datei-Schlüssel nicht auf die Festplatte: Er geht aus dem Arbeitsspeicher direkt in das verschlüsselte Sicherungsarchiv, und die anschließende Prüfung entpackt nur die Datenbank und ihren Schlüsselumschlag.
• Kein Passwort-Versand: Der Zugang ist passwortgeschützt; das Datenbank-Passwort wird zu keinem Zeitpunkt an den Anbieter oder einen Server im Internet übertragen, es bleibt auf deinem Gerät.
• Anmeldung und Sperre: Nach fünf Fehlversuchen innerhalb von zehn Minuten wird das Konto für Anmeldungen aus dem Netzwerk für fünf Minuten gesperrt; zusätzlich bremst eine Sperre je Netzwerkadresse. Nach 15 Minuten ohne Eingabe meldet die Oberfläche dich ab und entwertet dabei auch die Sitzung im Hintergrunddienst. Das gilt nicht, solange eine Tonaufnahme oder ein Live-Diktat läuft, eine Aufnahme noch nicht übernommen oder gespeichert ist, eine KI-Verarbeitung wie eine Transkription läuft oder in einem neuen Termin Thema oder Dokumentation noch nicht gespeichert sind; danach beginnt die Frist neu. Ist eine Aufnahme der Grund, zeigt die Kopfleiste das an. Das ist eine Abmeldung der Oberfläche; die Datenbank bleibt geöffnet, solange die App läuft.
• Verschlüsselte Datensicherung: Sicherungen sind immer verschlüsselt (AES-256-Container; der Sicherungs-Schlüssel ist über den Datenbank-Schlüssel bzw. die Wiederherstellungs-Phrase geschützt). Aktuelle Sicherungen lassen sich mit deinem Passwort oder deiner Wiederherstellungs-Phrase zurückspielen; ältere Sicherungen aus der Zeit vor der Datenbank-Verschlüsselung verlangen das damals vergebene Sicherungs-Passwort. Sicherungen erstellst du jederzeit von Hand und wählst dabei den Speicherort (USB-Stick, Netzlaufwerk, Cloud-Ordner); automatische Sicherungen laufen, wenn du sie einschaltest, und speichern immer im Datenordner der App. Trägst du zusätzliche Speicherorte ein (zum Beispiel einen USB-Stick oder ein Netzlaufwerk), legt Praxido dort nach jeder automatischen Sicherung eine Kopie des verschlüsselten Containers ab; ein nicht erreichbarer Ort wird im Backup-Verlauf gemeldet, die lokale Sicherung bleibt davon unberührt. Kopien an diesen Orten löscht Praxido nicht von selbst.
• Protokoll: Praxido protokolliert Anmeldungen, Sperren, Sicherungen, Löschungen, Archivierungen und Vernichtungen. Lesezugriffe werden nicht protokolliert, und das Protokoll ist nicht gegen Veränderung geschützt. Es ist für eine Einzelpraxis mit einer Person gedacht, nicht als Nachweis-Protokoll für mehrere Mitarbeiter:innen.

2. Schutz der Übertragung (nur optionale oder technische Verbindungen)

• Lizenz, Update, Webseite: Verbindungen zum Lizenzserver, zur Update-Prüfung und zur Webseite erfolgen transportverschlüsselt (TLS/HTTPS). Übertragen werden dabei nur Lizenz- und Gerätedaten, keine Klient:innendaten. Endet deine Laufzeit bald, fragt Praxido mit derselben Meldung nach dem neuen Lizenzschlüssel; bei einer aktiven Lizenz geht dabei der Schlüssel als Nachweis mit (Details in der Datenschutzerklärung, Punkt 7). Updates sind signiert; die App installiert nur Pakete mit gültiger Signatur.
• Desktop-Schnittstelle: Zugriff auf die lokale Programmschnittstelle nur mit gültigem Sitzungs-Token (JWT, HS256). Solange die Handy-Kopplung ausgeschaltet ist, ist die Schnittstelle ausschließlich auf deinem Rechner erreichbar (localhost). Aktivierst du die Kopplung, wird sie zusätzlich im lokalen Netzwerk erreichbar; auch dann nur mit gültigem Token.
• Handy-App (optional): Kopplung per QR-Code. Der Datenaustausch zwischen Handy und Rechner findet ausschließlich lokal im selben Netzwerk statt, über eine TLS-verschlüsselte Verbindung. Dein Rechner hat dafür eine eigene Praxido-Stammzertifizierungsstelle (RSA-2048); ihren Fingerabdruck übernimmt die App beim Koppeln aus dem QR-Code und prüft ihn bei jeder Verbindung. Authentifizierung über ein geräte-spezifisches Zufalls-Token (X-Praxido-Token, 256 Bit, zeitkonstanter Vergleich; jedes Gerät ist am Rechner einzeln widerrufbar). Das Datenbank-Passwort wird nicht übertragen. Wie viel Inhalt ein Handy bekommt, legst du am Rechner je Gerät fest (Stufe 0: Termine; Stufe 1: Dokumentation über den Posteingang; Stufe 2: Verlaufsdokumentation und Profildaten).
• Handy-App, Daten auf dem Handy: Zwischengespeicherte Daten und Entwürfe liegen verschlüsselt (AES-GCM, Schlüssel im Schlüsselspeicher des Handys). Die Texterkennung von Belegen läuft auf dem Handy selbst. Eine App-Sperre mit Biometrie oder Gerätecode kannst du einschalten.
• Adress-Auflösung im Fahrtenbuch (optional, Handy-App): Davon getrennt kannst du im Fahrtenbuch eine Adress-Auflösung einschalten (OpenStreetMap/Nominatim). Sie ist standardmäßig aus, fragt vorher um Zustimmung und überträgt dann Koordinaten von Start und Ziel, keine Namen.

3. Maßnahmen beim Anbieter (für die wenigen eigenen Daten: Lizenz, Kauf, Rechnung, Newsletter, Umfrage)

Diese Punkte sind organisatorische Zusagen des Anbieters; sie lassen sich nicht aus dem Programmcode belegen.

• Hosting: Webseite und Lizenzserver werden bei der hosttech GmbH (Salzburg) betrieben, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Verarbeitungsort laut Vertrag: Schweiz oder EU/EWR (für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission).
• Zahlung: Käufe laufen über Stripe Payments Europe, Limited (Irland). Die Bezahlseite gehört Stripe; Kartendaten sieht und speichert der Anbieter nicht. Für die Zahlungsabwicklung ist Stripe Auftragsverarbeiter, für eigene Zwecke wie Betrugsprävention selbst verantwortlich (Datenschutzerklärung, Punkt 7).
• Datenminimierung: Es werden nur die für Lizenz, Rechnung und Lizenzkontrolle nötigen Daten gespeichert (siehe Datenschutzerklärung).
• Umfrage: Antworten werden ohne Adresse, Datum und IP-Adresse gespeichert, getrennt vom Rabattcode; der Code hängt nur an einem Prüfwert der Adresse (Datenschutzerklärung, Punkt 11).
• Zugriffsbeschränkung: Zugriff auf die Anbieter-Systeme nur durch den Anbieter selbst, über passwort- und zugangsgeschützte Konten.
• Trennung: Produktive Webseite und Lizenzdaten getrennt von Entwicklungs- und Testumgebungen.
• Vertraulichkeit: Der Anbieter (und etwaige beauftragte Personen) sind zur Verschwiegenheit verpflichtet.

4. Organisatorisches

• Updates & Sicherheitslücken: Sicherheitsrelevante Updates werden bereitgestellt; die App zeigt verfügbare Updates an.
• Datenpannen-Prozess: Interner Prozess zur Erkennung, Eindämmung und Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Art. 33 DSGVO).
• Berufsgeheimnis: Die Architektur unterstützt die Verschwiegenheitspflicht nach § 45 PThG 2024 (lokale Speicherung, Verschlüsselung, Vermeidung unnötiger Übertragungen).

5. Was du selbst beitragen musst

Die App schützt ihre eigenen Dateien. Den Rest schützt dein Gerät:

• Datenträgerverschlüsselung einschalten (BitLocker unter Windows, FileVault unter macOS). Ohne sie sind zum Beispiel Exporte, Druckdateien und das Programmprotokoll auf der Festplatte lesbar.
• Eigenes Benutzerkonto mit Passwort am Rechner, Bildschirmsperre beim Verlassen des Arbeitsplatzes.
• Wiederherstellungs-Phrase sicher aufbewahren (auf Papier, getrennt vom Gerät). Ohne Passwort und Phrase sind die Daten verloren; der Anbieter kann sie nicht wiederherstellen.
• Sicherungen an einem zweiten Ort aufbewahren und die Wiederherstellung gelegentlich ausprobieren.
• Exporte und E-Mails: Was du exportierst oder verschickst, liegt außerhalb der App; schütze es selbst (Passwortschutz für Rechnungs-PDFs ist in der App verfügbar).

Diese Beschreibung darf von Kund:innen für ihre eigene Verzeichnis- und Schutzmaßnahmen-Dokumentation (Art. 30 Abs. 1 lit. g, Art. 32 DSGVO) übernommen werden.