Datenschutzerklärung zur Pilotphase

myTheraPlan | Version 1.3 | Stand: 10.10.2026

Kurz gesagt

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten bei der Nutzung von myTheraPlan verarbeitet werden, wofür sie benötigt werden, wer darauf zugreifen kann und welche Rechte Sie haben.

1. Verantwortliche

Anbieterin von myTheraPlan während der Pilotphase ist: Evelyn Schneider, E-Mail: info@mytheraplan.com

Bei therapeutischen Daten kann die datenschutzrechtliche Verantwortlichkeit davon abhängen, in welchem Zusammenhang die Daten verarbeitet werden. Soweit Therapeut:innen oder Praxen myTheraPlan im Rahmen einer Behandlung einsetzen und über Zwecke und Inhalte der Verarbeitung entscheiden, können diese für die jeweilige Verarbeitung verantwortlich sein. myTheraPlan stellt hierfür die technische Plattform bereit.

Die konkrete Rollenverteilung wird, soweit erforderlich, mit den teilnehmenden Praxen datenschutzrechtlich geregelt.

2. Welche Daten können verarbeitet werden?

3. Gesundheitsdaten

Bei der Nutzung von myTheraPlan können Informationen verarbeitet werden, die Rückschlüsse auf die körperliche oder psychische Gesundheit zulassen. Dazu können beispielsweise therapeutische Übungen, persönliche Rückmeldungen, Verlaufsangaben, Dokumente oder Angaben zu Erfahrungen zwischen den Sitzungen gehören.

Im Rahmen der Pilotphase werden Gesundheitsdaten auf Grundlage Ihrer ausdrücklichen Einwilligung verarbeitet. Diese Einwilligung wird bei der Registrierung gesondert eingeholt und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

4. Wofür werden die Daten verwendet?

Personenbezogene Daten werden nur verwendet, soweit dies für die Bereitstellung und sichere Nutzung von myTheraPlan erforderlich ist. Dazu gehören insbesondere:

Personenbezogene Daten werden niemals verkauft oder für Werbung verwendet.

5. Wer kann welche Inhalte sehen?

Andere Teilnehmer:innen einer Therapiegruppe können persönliche Einträge, Dokumente und Rückmeldungen anderer Patient:innen nicht einsehen.

Therapeut:innen können interne therapeutische Notizen und Informationen führen, die nicht für Patient:innen sichtbar sind.

Die Zugriffsberechtigungen werden technisch anhand der jeweiligen Nutzerrolle und Zuordnung innerhalb von myTheraPlan geprüft.

6. Technische Dienstleister und Speicherort

Für den technischen Betrieb von myTheraPlan werden externe IT-Dienstleister eingesetzt. Nach aktuellem Stand gehören dazu insbesondere:

Die Datenbank und der private Dateispeicher von myTheraPlan werden am Serverstandort Frankfurt am Main, Deutschland, betrieben. Die API wird ebenfalls über Google Cloud Run in Frankfurt am Main betrieben.

Resend Inc. hat ihren Sitz in den USA. Für den E-Mail-Versand werden dort die E-Mail-Adresse der Empfänger:in, der Inhalt der jeweiligen System-E-Mail und technische Versanddaten verarbeitet. Therapieinhalte werden nicht per E-Mail versendet. Die Übermittlung in die USA stützt sich auf die Zertifizierung von Resend nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) sowie ergänzend auf Standardvertragsklauseln.

Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, werden die datenschutzrechtlich erforderlichen Vereinbarungen geschlossen.

7. Wie werden die Daten geschützt?

myTheraPlan verwendet technische und organisatorische Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere verschlüsselte Datenübertragung und Speicherung, Authentifizierung, serverseitige Zugriffsprüfungen, private Dateiablage, technisch beschränkte Zugriffslinks, Sicherheitsregeln auf Datenbankebene, Sicherheitsprotokollierung sowie Schutzmaßnahmen gegen automatisierte oder missbräuchliche Zugriffe.

Zugriffe auf persönliche Therapieinhalte werden entsprechend der jeweiligen Berechtigung technisch beschränkt. Trotz angemessener Schutzmaßnahmen kann bei internetbasierten Systemen keine absolute Sicherheit garantiert werden.

8. Rechtsgrundlagen

Für die Verarbeitung personenbezogener Daten im Rahmen der Pilotphase gelten je nach Zweck der Verarbeitung folgende Rechtsgrundlagen:

Bereitstellung des Nutzerkontos und der Plattform

Soweit personenbezogene Daten erforderlich sind, um Ihr Nutzerkonto einzurichten, zu verwalten und Ihnen die von Ihnen genutzten Funktionen von myTheraPlan bereitzustellen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Diese Rechtsgrundlage wird nur für Verarbeitungsvorgänge herangezogen, die für die Bereitstellung der jeweiligen Funktion tatsächlich erforderlich sind. Der Europäische Datenschutzausschuss betont, dass Art. 6 Abs. 1 lit. b DSGVO nicht pauschal für sämtliche Datenverarbeitungen eines Online-Dienstes verwendet werden darf, sondern objektive Erforderlichkeit voraussetzt.

Verarbeitung von Gesundheitsdaten

Bei der Nutzung von myTheraPlan können Gesundheitsdaten verarbeitet werden, beispielsweise Angaben zu therapeutischen Übungen, persönlichen Rückmeldungen, Erfahrungen oder Verläufen. Für die Verarbeitung dieser Daten im Rahmen der Pilotphase holen wir bei der Registrierung Ihre ausdrückliche Einwilligung ein. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO.

Die Einwilligung wird bei der Registrierung separat von der Zustimmung zu den Testbedingungen eingeholt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt. Für besondere Kategorien personenbezogener Daten wie Gesundheitsdaten gelten zusätzlich zu Art. 6 DSGVO die besonderen Voraussetzungen des Art. 9 DSGVO.

Technische Sicherheit und Funktionsfähigkeit

Technisch erforderliche Protokoll- und Sicherheitsdaten können auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) verarbeitet werden. Unser berechtigtes Interesse besteht darin, myTheraPlan sicher und funktionsfähig bereitzustellen, technische Fehler zu erkennen und unbefugte oder missbräuchliche Zugriffe zu verhindern.

Verarbeitung im Rahmen der psychotherapeutischen Behandlung

Soweit Ihre behandelnde Praxis personenbezogene Daten im Rahmen Ihrer psychotherapeutischen Behandlung verarbeitet und über Zweck und Inhalt dieser Verarbeitung entscheidet, können hierfür andere Rechtsgrundlagen gelten. Die datenschutzrechtliche Verantwortung für diese Verarbeitung richtet sich nach dem jeweiligen Behandlungskontext und den gesetzlichen und berufsrechtlichen Pflichten der behandelnden Praxis.

9. Wie lange werden Daten gespeichert?

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für die Teilnahme an der Pilotphase und die beschriebenen Zwecke erforderlich ist.

Nach Beendigung der Teilnahme beziehungsweise der Pilotphase werden personenbezogene Daten spätestens innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe eine weitere Speicherung erforderlich machen.

Endet die Verbindung zwischen Patient:in und Therapeut:in (durch Trennen oder Löschung des Kontos), kann die Therapeut:in die bisherigen Daten dieser Behandlung noch bis zu 30 Tage nur lesend einsehen, um Benötigtes in ihre eigene Praxisdokumentation zu übernehmen. Danach werden diese Daten automatisch gelöscht.

Einwilligungs- und Zustimmungsnachweise können entsprechend gesetzlicher Nachweispflichten länger aufbewahrt werden. Hochgeladene Dateien werden bei der entsprechenden Löschung ebenfalls entfernt, soweit sie dem jeweiligen Konto beziehungsweise Datensatz technisch zugeordnet sind.

10. Forschung und anonymisierte Daten

Eine Nutzung personenbezogener Gesundheitsdaten für wissenschaftliche Forschung ist nicht automatisch Bestandteil der Pilotphase.

Soll später die Möglichkeit bestehen, vollständig anonymisierte Daten für wissenschaftliche Forschungszwecke zu verwenden, werden Teilnehmer:innen darüber gesondert informiert. Soweit hierfür eine erneute Zustimmung oder Einwilligung erforderlich ist, wird diese separat eingeholt. Eine Ablehnung hat keine Auswirkungen auf die Nutzung von myTheraPlan oder die psychotherapeutische Behandlung.

11. Datenexport und Kontolöschung

Nutzer:innen können im Rahmen der verfügbaren Funktionen beziehungsweise über info@mytheraplan.com Auskunft oder einen Export ihrer zugeordneten personenbezogenen Daten anfordern. Die Teilnahme kann jederzeit beendet und die Löschung des Kontos verlangt werden. Die Einzelheiten zur anschließenden Löschung richten sich nach Abschnitt 9 dieser Datenschutzerklärung.

12. Ihre Datenschutzrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

Anfragen können jederzeit an info@mytheraplan.com gerichtet werden. Darüber hinaus besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

13. Keine automatisierten klinischen Entscheidungen

myTheraPlan trifft während der Pilotphase keine ausschließlich automatisierten Entscheidungen über Diagnosen oder psychotherapeutische Behandlungen. Die Plattform erstellt keine eigenständigen Diagnosen und ersetzt nicht die fachliche Beurteilung durch Therapeut:innen.

Soweit künftig automatisierte oder KI-gestützte Funktionen eingeführt werden, werden deren Funktionsweise, Zweck und datenschutzrechtliche Auswirkungen vor ihrer Nutzung gesondert geprüft und transparent erläutert.

14. Änderungen dieser Datenschutzerklärung

Da myTheraPlan während der Pilotphase weiterentwickelt wird, kann auch diese Datenschutzerklärung angepasst werden. Über wesentliche Änderungen werden Nutzer:innen informiert. Soweit eine Änderung eine erneute Einwilligung oder Zustimmung erfordert, wird diese vor der weiteren Verarbeitung eingeholt.

15. Hinweise für Nutzer:innen im Vereinigten Königreich

Für Personen im Vereinigten Königreich gelten, soweit anwendbar, die UK GDPR und der Data Protection Act 2018 zusätzlich zu den für die Anbieterin geltenden europäischen Vorgaben. Für Konto- und Pilotverwaltung kommen insbesondere Vertrag bzw. vorvertragliche Maßnahmen, Einwilligung und berechtigte Interessen an einem sicheren Pilotbetrieb in Betracht. Für Gesundheitsdaten ist zusätzlich eine Bedingung nach Art. 9 erforderlich; in der Pilotphase wird hierfür eine gesonderte ausdrückliche Einwilligung eingeholt. Vor der Aufnahme einer UK-Praxis werden Verantwortlichkeiten zwischen Praxis und myTheraPlan vertraglich festgelegt.

UK-Pilotdaten werden in der EU bzw. im Europäischen Wirtschaftsraum verarbeitet; System-E-Mails werden über Resend in den USA versendet (siehe Abschnitt 6, für das Vereinigte Königreich auf Grundlage der UK Extension zum EU-US Data Privacy Framework). Soweit dies eine beschränkte Übermittlung nach UK GDPR darstellt, stützt sie sich auf die jeweils geltenden UK-Angemessenheitsvorschriften oder auf andere erforderliche Garantien. Details zu den eingesetzten Empfängern und Garantien können unter info@mytheraplan.com angefragt werden.

myTheraPlan ist in Deutschland ansässig und nimmt UK-Praxen nur nach individueller Bestätigung in den Pilotbetrieb auf. Soweit eine Vertretung nach Art. 27 UK GDPR erforderlich ist, werden deren Kontaktdaten vor Verarbeitung von UK-Pilotdaten hier veröffentlicht und den betroffenen Personen mitgeteilt. Betroffene können sich außerdem bei der britischen Datenschutzaufsicht ICO beschweren.

16. Kontakt

Fragen zum Datenschutz? myTheraPlan, Evelyn Schneider, Walter-Friedländer-Str. 7, 10249 Berlin, Deutschland, info@mytheraplan.com