Datenschutzerklärung

Step7 Solution GmbH / KOMIona | Fassung datenschutz-2026-10 | Stand: 18. Oktober 2026

1. Verantwortliche Stelle

Step7 Solution GmbH
Traunfeldstraße 58a, 4050 Traun, Österreich
E-Mail: office@step7.at
Telefon: +43 664 4111854

Die Step7 Solution GmbH ist die datenschutzrechtlich verantwortliche Stelle (Art. 4 Nr. 7 DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen des Dienstes KOMIona.

2. Welche Daten wir verarbeiten

Technische Daten: IP-Adresse (anonymisiert), Browsertyp, Betriebssystem, Zugriffszeiten, Referrer-URL
Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer (bei Kontaktaufnahme oder Registrierung)
Kommunikationsdaten: Inhalte von Formulareingaben, E-Mails und Support-Anfragen
Nutzungsdaten: Besuchte Seiten, Interaktionen, Klickereignisse (anonymisiert / aggregiert)
Vertragsdaten: Abonnement-Typ, Zahlungsinformationen (über PCI-DSS-konforme Zahlungsdienstleister), Rechnungsadresse
Gesundheitsbezogene Angaben (Art. 9 DSGVO): Freiwillige Einträge im Gesundheitstagebuch (z. B. Blutdruck, Puls, Blutzucker, Gewicht) sowie gesundheitsbezogene Inhalte, die Sie selbst in Nachrichten, Bildern oder Terminen teilen. Grundlage ist ausschließlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Einzelheiten in Abschnitt 9.3.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Zweck	Rechtsgrundlage
Bereitstellung und Betrieb des Dienstes	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Beantwortung von Anfragen, Kundenservice	Art. 6 Abs. 1 lit. b, f DSGVO
Rechnungslegung, Buchhaltung	Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung, §132 BAO)
Anonymisierte Website-Analyse (Plausible Analytics)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, cookielos & vollständig anonym)
Sicherheit, Betrugsvorbeugung, Angriffsabwehr	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Verarbeitung besonderer Datenkategorien (Gesundheit/Pflege)	Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)
Direktmarketing / Newsletter	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar)

4. Eingesetzte Dienste und Empfänger

4.1 Hosting und Infrastruktur

Die Website und der Dienst werden auf Servern in der Europäischen Union betrieben. Unser Hosting-Anbieter ist vertraglich zur Einhaltung der DSGVO verpflichtet (Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO).

4.2 Website-Analyse (Plausible Analytics)

Wir verwenden Plausible Analytics – ein datenschutzfreundliches Analysetool ohne Cookies und ohne persönliche Identifizierung. Es werden keine IP-Adressen gespeichert, kein Fingerprinting eingesetzt. Serverstandort: EU. Weitere Informationen: plausible.io/privacy

4.3 E-Mail-Versand

Transaktionale E-Mails werden über smtp.easyname.com (easyname GmbH, Wien, Österreich) versandt. Ein Auftragsverarbeitungsvertrag besteht. Die Übertragung erfolgt TLS-verschlüsselt.

4.4 Zahlungsabwicklung

Zahlungen werden über PCI-DSS-konforme Zahlungsdienstleister (z. B. Stripe Inc., Dublin, Irland) abgewickelt. Zahlungsdaten werden niemals auf unseren Servern gespeichert. Stripe ist im Rahmen des EU–US Data Privacy Framework zertifiziert.

4.5 Texterkennung in Bildern und Dokumenten (optional, nur mit Einwilligung)

Wenn Sie ein Foto oder Dokument hochladen und dabei ausdrücklich zustimmen, dass daraus Termine erkannt werden sollen, wird dieses eine Bild bzw. Dokument zur Texterkennung an Anthropic PBC, San Francisco, USA (Modell claude-opus-5) übermittelt. Ohne Ihre Zustimmung geschieht das nicht: Bilder, Dokumente und Nachrichten sind dann Ende-zu-Ende verschlüsselt und für uns wie für Dritte nicht lesbar (siehe Abschnitt 9.1).

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Enthält der Inhalt Gesundheitsdaten, zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Beides wird in der App getrennt abgefragt.
Drittlandübermittlung: USA, auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Dass ein Drittland kein den EU-Regeln gleichwertiges Schutzniveau haben kann, insbesondere hinsichtlich behördlicher Zugriffe, lässt sich damit nicht vollständig ausräumen — deshalb ist dieser Schritt freiwillig und einzeln bestätigungspflichtig.
Widerruf: jederzeit in der App unter „Einstellungen → Datenschutz & Einwilligungen“. Der Widerruf wirkt sofort, und er wirkt weiter als nur auf künftige Uploads:
- Eine gerade laufende Texterkennung wird abgebrochen. Bei mehreren Bildern bedeutet das: die noch nicht verarbeiteten werden nicht mehr übermittelt.
- Die dafür hochgeladenen Bilder und Dokumente werden gelöscht — auf unseren Servern und im Objektspeicher, nicht erst nach Ablauf der Sieben-Tage-Frist.
- Terminvorschläge, die Sie noch nicht in Ihren Kalender übernommen haben, werden gelöscht. Für sie gibt es ohne die Einwilligung keine andere Rechtsgrundlage.
- Bestehen bleiben die Termine, die Sie in Ihren Kalender übernommen haben. Sie stehen dort auf Grundlage des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), nicht auf Grundlage der widerrufenen Einwilligung.
- Bestehen bleibt der Nachweis, dass Sie eingewilligt hatten (siehe Abschnitt 6). Was vor dem Widerruf rechtmäßig verarbeitet wurde, wird durch ihn nicht rückwirkend unrechtmäßig — und dass es rechtmäßig war, müssen wir belegen können.
Speicherdauer: Das hochgeladene Bild bzw. Dokument und das Ergebnis der Texterkennung werden nach 7 Tagen automatisch gelöscht. Der daraus entstandene Termin bleibt — er steht dann verschlüsselt in Ihrem Kalender.

Ohne diese Einwilligung ist die Terminerkennung abgeschaltet. Alle übrigen Funktionen stehen unverändert zur Verfügung.

5. Internationale Datenübermittlung

EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
Angemessenheitsbeschlüsse der EU-Kommission (z. B. EU–US Data Privacy Framework)
Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO)

Übermittlungen in EWR-Staaten (Norwegen, Liechtenstein, Island) gelten nicht als Drittlandübermittlungen.

Konkret betroffen sind derzeit zwei Verarbeitungen: die Zahlungsabwicklung über Stripe (Abschnitt 4.4) und — nur bei erteilter Einwilligung — die Texterkennung durch Anthropic PBC, USA (Abschnitt 4.5). Alle anderen Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (z. B. 7 Jahre für steuerrelevante Unterlagen gemäß §132 BAO). Danach werden Daten gelöscht oder unwiderruflich anonymisiert.

Für die wichtigsten Inhalte gelten folgende Fristen:

Inhalt	Frist
Nachrichten, nachdem sie gelesen wurden	30 Tage
Nachrichten, auch wenn sie nie gelesen wurden	90 Tage
Zur Texterkennung hochgeladene Bilder und Dokumente samt Erkennungsergebnis	7 Tage
Termine	bis Sie sie löschen
Nachweis Ihrer Einwilligungen und Ihrer Zustimmung zu den AGB (Zeitpunkt, Fassung, Wortlaut)	3 Jahre nach Widerruf bzw. nach Ende des Vertrags

Den Nachweis Ihrer Einwilligung bewahren wir auch nach dem Widerruf noch auf, und wir sagen hier offen, warum: Art. 7 Abs. 1 DSGVO verlangt von uns, belegen zu können, dass eine Einwilligung vorlag — gerade für die Zeit, in der wir uns auf sie gestützt haben. Löschten wir den Nachweis mit dem Widerruf, stünden wir für die Vergangenheit ohne Grundlage da. Aufbewahrt wird dabei nur, dass, wann und worauf Sie zugestimmt haben, nicht der Inhalt, um den es ging. Drei Jahre orientieren sich am Lauf der allgemeinen Verjährung; danach wird der Nachweis automatisch gelöscht.

Die Fristen für Nachrichten sind bewusst kurz: ein Gerät kann eine Weile offline sein, danach ist der Zweck erfüllt. Was auf Ihren Geräten liegt, bleibt dort, bis Sie es löschen oder sich abmelden.

7. Ihre Rechte (Art. 15–22 DSGVO)

Auskunftsrecht (Art. 15 DSGVO)
Berichtigungsrecht (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden“
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – jederzeit, ohne Angabe von Gründen, mit Wirkung für die Zukunft

Kein automatisiertes Profiling: Wir setzen keine vollautomatisierten Entscheidungsprozesse ein, die rechtliche Wirkung für Sie entfalten (Art. 22 DSGVO).

Zur Ausübung Ihrer Rechte: office@step7.at — Wir bearbeiten Anfragen innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).

8. Beschwerderecht bei der Datenschutzbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt:

Österreichische Datenschutzbehörde (DSB)
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 521 52-0
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

9. Datensicherheit (Art. 32 DSGVO)

9.1 Ende-zu-Ende-Verschlüsselung — zwei Arten von Inhalten

Nachrichten, Bilder, Videos und Termine in KOMIona sind Ende-zu-Ende verschlüsselt: Sie werden auf dem Gerät der absendenden Person verschlüsselt und erst auf den Geräten der Empfängerinnen und Empfänger wieder entschlüsselt. Verwendet wird AES-256-GCM; der Inhaltsschlüssel wird für jedes berechtigte Gerät einzeln mit X25519-ECDH und HKDF-SHA256 verpackt. Wir können diese Inhalte nicht lesen — auch nicht auf behördliche Anordnung, weil uns die Schlüssel nicht vorliegen.

Davon gibt es eine Ausnahme, und Sie entscheiden über sie:

	Was damit möglich ist	Wer es lesen kann
Privat (Voreinstellung)	Senden, Empfangen, Anzeigen, Termine	Nur die beteiligten Geräte. Wir nicht.
Zur Texterkennung freigegeben	Zusätzlich: automatisches Erkennen von Terminen aus Fotos und Dokumenten	Zusätzlich der Texterkennungsdienst (Abschnitt 4.5), für die Dauer der Verarbeitung

Die Freigabe gilt je Bild und je Dokument, nicht pauschal. Sie wird in der App vor dem Hochladen abgefragt und ist jederzeit widerrufbar. Alles, was Sie nicht ausdrücklich freigeben, bleibt verschlüsselt.

9.2 Was auch bei Ende-zu-Ende-Verschlüsselung sichtbar bleibt

Verschlüsselt ist der Inhalt, nicht jede Begleitangabe. Für Zustellung, Erinnerungen und Abrechnung verarbeiten wir weiterhin: wer wem etwas geschickt hat, wann das geschah, wann eine Nachricht zugestellt und gelesen wurde, sowie bei Terminen den Zeitpunkt und die eingestellte Erinnerung. Diese Angaben lassen Rückschlüsse auf Ihre Kontakte und Gewohnheiten zu — wir nennen sie deshalb ausdrücklich, statt sie unter „verschlüsselt“ zu verbergen.

9.3 Gesundheitstagebuch — freiwillig, verschlüsselt, ohne Auswertung

KOMIona stellt keine Diagnosen, gibt keine medizinischen Empfehlungen und ersetzt keine ärztliche Betreuung.

Werte wie Blutdruck, Puls, Blutzucker oder Gewicht können Sie freiwillig eintragen — ausschließlich zur eigenen Übersicht. Es besteht keine Verpflichtung dazu, und alle übrigen Funktionen stehen unabhängig davon zur Verfügung. Wir werten diese Werte nicht aus, leiten daraus nichts ab, erstellen keine Profile und geben sie nicht weiter.

Die Werte werden auf Ihrem Gerät verschlüsselt und verschlüsselt gespeichert; unsere Systeme entschlüsseln sie nicht. In der Anwendung sind sie für Sie sichtbar; ein Weg, das Tagebuch einer anderen Person anzusehen, ist nicht vorgesehen. Serverseitig ist ein Abruf ausschließlich innerhalb Ihrer eigenen Betreuungsgruppe möglich.

Zur Einordnung, offen gesagt: Solche Werte sind Gesundheitsdaten nach Art. 9 DSGVO — daran ändert sich nichts dadurch, dass Sie sie freiwillig eintragen und dass sie nur Ihrer Information dienen. Genau deshalb behandeln wir sie besonders: ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar, Verschlüsselung, keine Auswertung.

Anders als bei Nachrichten, Bildern und Terminen (Abschnitt 9.1) wird für das Gesundheitstagebuch derzeit kein geräteeigener Schlüssel verwendet, sondern ein Schlüssel der Anwendung. Wir nennen das hier ausdrücklich, weil „verschlüsselt" nicht in beiden Fällen dasselbe bedeutet.

9.4 Bewegungsmodul — was gespeichert wird und warum zwei Angaben darin besonders sind

Das Bewegungsmodul spielt Übungseinheiten ab und hält fest, welche Sie begonnen und abgeschlossen haben. Wir sagen hier nicht pauschal, dabei fielen keine Gesundheitsdaten an. Ob etwas ein Gesundheitsdatum nach Art. 9 DSGVO ist, hängt am Inhalt, am Zusammenhang und daran, was daraus abgeleitet wird — nicht daran, wie man die Funktion nennt. Deshalb benennen wir die Angaben einzeln:

Angabe	Einordnung und Rechtsgrundlage
Dauer einer Einheit, bevorzugter Schwerpunkt, Erinnerungen ein/aus, Einführung gesehen	Einstellungen. Keine Gesundheitsdaten. Art. 6 Abs. 1 lit. b DSGVO — ohne sie kann die Funktion nicht erbracht werden.
Begonnene und abgeschlossene Einheiten, übersprungene Blöcke, aktive Zeit, Datum	Nutzungsangaben. Art. 6 Abs. 1 lit. b DSGVO, soweit sie nötig sind, um Ihnen den Tagesplan und die abgeschlossene Einheit anzuzeigen.
„Nur im Sitzen“ und die gewählte Leistungsstufe	Diese zwei behandeln wir als Gesundheitsdaten. Sie sind keine Vorliebe, sondern eine Aussage über Ihre körperliche Verfassung: „nur im Sitzen“ heißt, dass Stehen nicht oder nur eingeschränkt möglich ist. Grundlage ist deshalb Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, getrennt abgefragt und jederzeit widerrufbar.

Was wir nicht tun. Wir leiten aus Ihren Einheiten keine Aussagen über Ihren Gesundheitszustand, über Rehabilitationsfortschritte oder über Einschränkungen ab, und wir speichern keine solchen Aussagen. Die Auswertung, die Sie in der App sehen, besteht aus Summen und Zählungen Ihrer eigenen Einheiten — nicht aus einer Bewertung. Würden wir das ändern, bräuchte es dafür eine eigene Grundlage und eine eigene Einwilligung; auf Art. 6 Abs. 1 lit. b könnten wir uns dafür nicht stützen, denn für das Abspielen einer Übungseinheit ist eine Fortschrittsbewertung nicht erforderlich.

Kein Medizinprodukt. Das Bewegungsmodul ist kein Medizinprodukt, es stellt keine Diagnosen, es gibt keine Therapieempfehlungen und es ersetzt keine physiotherapeutische oder ärztliche Betreuung.

Kamera. Wenn Sie den Spiegel einschalten, zeigt die Kamera Sie neben dem Video, damit Sie sich sehen. Dabei wird nichts aufgezeichnet, nichts übertragen und nichts ausgewertet — auch keine abgeleiteten Werte. Ein Kamera-Coaching, das das Bild auswertet, gibt es derzeit nicht; käme es, wäre es gesondert einwilligungspflichtig.

9.5 Weitere technische und organisatorische Maßnahmen

TLS-Verschlüsselung aller Datenübertragungen (HTTPS)
Verschlüsselte Datenbankverbindungen
Zugriffskontrolle und Rollen-/Berechtigungsmanagement
Regelmäßige Sicherheitsüberprüfungen und Penetrationstests
Datensicherungen (Backups) in verschlüsselter Form

10. Datenschutz für Minderjährige

Unsere Dienste richten sich nicht an Personen unter 14 Jahren. Erziehungsberechtigte können sich unter office@step7.at melden.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei geänderten rechtlichen Anforderungen anzupassen. Die aktuelle Version ist stets unter komiona.eu/datenschutz.html abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.