Datenschutzerklärung

Fassung 2026-06-07

Der Schutz Ihrer personenbezogenen Daten ist uns besonders wichtig — insbesondere, weil über DrPsy Gesundheitsdaten (besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO) verarbeitet werden. Nachfolgend informieren wir Sie umfassend nach Art. 13 und 14 DSGVO.

1. Verantwortlicher

DCS Digital Code Solutions UG (haftungsbeschränkt) („DrPsy“, „wir“)
Carl-von-Linde-Str. 27, 65197 Wiesbaden, Deutschland
Vertreten durch: Ayhan Gülseven
Telefon: 0178 54 53 547 · E-Mail: datenschutz@drpsy.de · Web: https://drpsy.de

Kontakt in Datenschutzfragen: datenschutz@drpsy.de. Eine:n Datenschutzbeauftragte:n bestellen wir, soweit gesetzlich erforderlich (Art. 37 DSGVO); der Kontakt wird hier veröffentlicht.

2. Rolle der Plattform & gemeinsame Verantwortlichkeit

DrPsy ist eine Vermittlungsplattform. Den Behandlungsvertrag schließen Sie unmittelbar mit der/dem jeweiligen eigenständig tätigen Therapeut:in. Für die eigentlichen Behandlungsinhalte (Diagnostik, Therapie, Behandlungsdokumentation) ist die/der Therapeut:in eigenständig Verantwortliche:r. Für die Bereitstellung der Plattform, Konten, Buchung, Zahlung und technische Infrastruktur sind wir Verantwortliche. Soweit wir und Therapeut:innen Daten gemeinsam verarbeiten (z. B. Nachrichten, Aufgaben, Fragebogen-Verläufe), besteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO; das Wesentliche der Vereinbarung finden Sie in der Therapeuten-Vereinbarung.

3. Besondere Kategorien (Art. 9 DSGVO) & Einwilligung

Im Rahmen der Nutzung können Gesundheitsdaten verarbeitet werden (z. B. Angaben in der Aufnahme/Triage, Antworten in Screening-Fragebögen wie PHQ-9, GAD-7, WHO-5, Nachrichten an Behandler:innen). Rechtsgrundlage ist Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese holen wir vor der ersten Verarbeitung gesondert ein (Einwilligungs-Häkchen) und protokollieren sie versioniert. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar (in den Einstellungen); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

4. Verarbeitungstätigkeiten im Einzelnen

• Konto & Anmeldung. E-Mail, Name, Rolle, Login-Status. Anmeldung per E-Mail-Magic-Link oder über Google/Apple (nur, wenn Sie dies wählen; dabei wird Ihre E-Mail-Adresse übermittelt). Zwecke: Bereitstellung des Nutzerkontos, Authentifizierung, Sicherheit. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und f DSGVO.
• Aufnahme/Triage & Fragebögen (Gesundheitsdaten). Anliegen, Dringlichkeit, Sprache, Freitext-Angaben, Screening-Antworten und -Auswertungen, ggf. Risiko-Hinweise. Zweck: passende Vermittlung, Verlaufsmessung, Sicherheit. Rechtsgrundlage: Art. 9 Abs. 2 lit. a (Einwilligung).
• Buchung & Termine. Termin-, Status- und Preisdaten. Zweck: Durchführung der Vermittlung/Buchung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b.
• Zahlungsabwicklung. Über Stripe bzw. PayPal. Wir speichern keine Kartendaten; diese werden direkt vom Zahlungsdienstleister verarbeitet. Zweck: Bezahlung, Auszahlung an Behandler:innen, Provision. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c (steuer-/handelsrechtliche Pflichten).
• Video-Sitzungen. Über Cloudflare RealtimeKit (WebRTC). An den Dienstleister wird nur ein Vorname/Pseudonym übermittelt. Übertragung transportverschlüsselt (DTLS-SRTP); eine vollständige Ende-zu-Ende-Verschlüsselung ist in Vorbereitung. Wir zeichnen Sitzungen nicht auf. Rechtsgrundlage: Art. 9 Abs. 2 lit. a sowie Art. 6 Abs. 1 lit. b.
• Nachrichten & Aufgaben (Gesundheitsdaten). Inhalte zwischen Ihnen und Ihrer/Ihrem Behandler:in. Rechtsgrundlage: Art. 9 Abs. 2 lit. a.
• Therapeuten-Verifikation. Bei Behandler:innen: Approbations-/Erlaubnis- und Haftpflichtnachweise, ggf. Ausweis, Praxis-/Steuerdaten, Stripe-Identitätsdaten. Zweck: Prüfung der Qualifikation, Auszahlung. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und c.
• E-Mail-Benachrichtigungen.Versand über Resend (z. B. Login-Links, Buchungs-/Hinweis-Mails). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f.
• Therapeuten-Bewerbung (Pre-Launch). Wenn Sie sich als Behandler:in bewerben, speichern wir Name, E-Mail, ggf. Telefon, Qualifikation, Schwerpunkte, Sprachen und Ihre Nachricht sowie zum Nachweis der Einwilligung Zeitpunkt, IP-Adresse und Fassung dieser Erklärung. Zweck: Bearbeitung der Bewerbung und Kontaktaufnahme zum Start. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b (Vertragsanbahnung) und lit. a (Einwilligung).
• Launch-Benachrichtigung (Pre-Launch-Warteliste).Wenn Sie sich auf der Startseite für die einmalige „Wir sind online“-Benachrichtigung eintragen, speichern wir Ihre E-Mail-Adresse sowie zum Nachweis der Einwilligung Zeitpunkt, IP-Adresse und Fassung dieser Erklärung. Verwendung ausschließlich für diese eine Mail; danach wird der Eintrag gelöscht. Abmeldung jederzeit über den Link in der Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Sicherheit & Protokolle. Server-/Audit-Logs, IP-Adresse, Rate-Limiting, Missbrauchs-/Betrugsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Gesundheitsbezogene Inhalte werden nicht in Protokollen gespeichert.

5. Empfänger & Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO) ein, mit denen Auftragsverarbeitungsverträge bestehen:

• Cloudflare, Inc. — Hosting, Datenbank (D1, EU), Datei-Speicher (R2, EU), Video (RealtimeKit)
• Stripe Payments Europe / Stripe, Inc. — Zahlungsabwicklung & Auszahlung
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — Zahlungsabwicklung
• Resend, Inc. — E-Mail-Versand

Behandlungsbezogene Daten werden zudem der/dem von Ihnen gewählten Therapeut:in zugänglich gemacht (gemeinsame Verantwortlichkeit, s. Ziff. 2).

6. Drittlandübermittlung

Cloudflare, Stripe, PayPal und Resend sind US-Unternehmen. Eine Übermittlung in die USA erfolgt nur auf Grundlage geeigneter Garantien: Zertifizierung nach dem EU-US Data Privacy Framework (soweit für die jeweilige Stelle vorhanden) bzw. EU-Standardvertragsklauseln nebst zusätzlicher Schutzmaßnahmen. Daten der Plattform werden vorrangig in der EU gespeichert (Cloudflare D1/R2, EU-Jurisdiktion).

7. Speicherdauer & Löschung

• Gesundheitsdaten (Aufnahme, Fragebögen, Nachrichten, Aufgaben): bis zum Widerruf der Einwilligung bzw. Kontolöschung; danach unverzügliche Löschung.
• Konto-/Stammdaten: für die Dauer der Nutzung; nach Kontolöschung Anonymisierung.
• Rechnungs-/Zahlungsdaten: gesetzliche Aufbewahrung (i. d. R. 10 Jahre, § 147 AO, § 257 HGB) — werden für diesen Zeitraum gesperrt/anonymisiert aufbewahrt.
• Sicherheits-/Audit-Logs: kurzfristig, anschließende Anonymisierung/Löschung.

8. Automatisierte Risiko-Hinweise

Screening-Fragebögen werden automatisiert ausgewertet (Score, Schweregrad). Bei Hinweisen auf eine akute Belastung zeigen wir Ihnen sofort Notfall-Hilfsangebote an und können — sofern eine Behandlungsbeziehung besteht — Ihre:n Behandler:in informieren. Es findet keine ausschließlich automatisierte Entscheidung mit Rechtswirkung i. S. v. Art. 22 DSGVO statt.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) und jederzeitigen Widerruf erteilter Einwilligungen (Art. 7 Abs. 3).

Viele Rechte können Sie direkt online ausüben: In den Einstellungen finden Sie den Datenexport (maschinenlesbares JSON), die Kontolöschung sowie den Einwilligungs-Widerruf. Darüber hinaus erreichen Sie uns unter datenschutz@drpsy.de.

10. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein (insb. ein Sitzungs-Cookie für die Anmeldung). Diese sind nach § 25 Abs. 2 TTDSG einwilligungsfrei. Tracking- oder Marketing-Cookies setzen wir nicht ein.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere der für unseren Sitz zuständigen Behörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden.

12. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.