Datenschutzerklärung

Step7 Solution GmbH / KOMIona | Stand: 7. September 2026

1. Verantwortliche Stelle

Step7 Solution GmbH
Traunfeldstraße 58a, 4050 Traun, Österreich
E-Mail: office@step7.at
Telefon: +43 664 4111854

Die Step7 Solution GmbH ist die datenschutzrechtlich verantwortliche Stelle (Art. 4 Nr. 7 DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen des Dienstes KOMIona.

2. Welche Daten wir verarbeiten

Technische Daten: IP-Adresse (anonymisiert), Browsertyp, Betriebssystem, Zugriffszeiten, Referrer-URL
Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer (bei Kontaktaufnahme oder Registrierung)
Kommunikationsdaten: Inhalte von Formulareingaben, E-Mails und Support-Anfragen
Nutzungsdaten: Besuchte Seiten, Interaktionen, Klickereignisse (anonymisiert / aggregiert)
Vertragsdaten: Abonnement-Typ, Zahlungsinformationen (über PCI-DSS-konforme Zahlungsdienstleister), Rechnungsadresse
Gesundheitsbezogene Angaben (Art. 9 DSGVO): Freiwillige Einträge im Gesundheitstagebuch (z. B. Blutdruck, Puls, Blutzucker, Gewicht) sowie gesundheitsbezogene Inhalte, die Sie selbst in Nachrichten, Bildern oder Terminen teilen. Grundlage ist ausschließlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Einzelheiten in Abschnitt 9.3.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Zweck	Rechtsgrundlage
Bereitstellung und Betrieb des Dienstes	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Beantwortung von Anfragen, Kundenservice	Art. 6 Abs. 1 lit. b, f DSGVO
Rechnungslegung, Buchhaltung	Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung, §132 BAO)
Anonymisierte Website-Analyse (Plausible Analytics)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, cookielos & vollständig anonym)
Sicherheit, Betrugsvorbeugung, Angriffsabwehr	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Verarbeitung besonderer Datenkategorien (Gesundheit/Pflege)	Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung)
Direktmarketing / Newsletter	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar)

4. Eingesetzte Dienste und Empfänger

4.1 Hosting und Infrastruktur

Die Website und der Dienst werden auf Servern in der Europäischen Union betrieben. Unser Hosting-Anbieter ist vertraglich zur Einhaltung der DSGVO verpflichtet (Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO).

4.2 Website-Analyse (Plausible Analytics)

Wir verwenden Plausible Analytics – ein datenschutzfreundliches Analysetool ohne Cookies und ohne persönliche Identifizierung. Es werden keine IP-Adressen gespeichert, kein Fingerprinting eingesetzt. Serverstandort: EU. Weitere Informationen: plausible.io/privacy

4.3 E-Mail-Versand

Transaktionale E-Mails werden über smtp.easyname.com (easyname GmbH, Wien, Österreich) versandt. Ein Auftragsverarbeitungsvertrag besteht. Die Übertragung erfolgt TLS-verschlüsselt.

4.4 Zahlungsabwicklung

Zahlungen werden über PCI-DSS-konforme Zahlungsdienstleister (z. B. Stripe Inc., Dublin, Irland) abgewickelt. Zahlungsdaten werden niemals auf unseren Servern gespeichert. Stripe ist im Rahmen des EU–US Data Privacy Framework zertifiziert.

4.5 Texterkennung in Bildern und Dokumenten (optional, nur mit Einwilligung)

Wenn Sie ein Foto oder Dokument hochladen und dabei ausdrücklich zustimmen, dass daraus Termine erkannt werden sollen, wird dieses eine Bild bzw. Dokument zur Texterkennung an Anthropic PBC, San Francisco, USA (Modell claude-opus-5) übermittelt. Ohne Ihre Zustimmung geschieht das nicht: Bilder, Dokumente und Nachrichten sind dann Ende-zu-Ende verschlüsselt und für uns wie für Dritte nicht lesbar (siehe Abschnitt 9.1).

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Enthält der Inhalt Gesundheitsdaten, zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Beides wird in der App getrennt abgefragt.
Drittlandübermittlung: USA, auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Dass ein Drittland kein den EU-Regeln gleichwertiges Schutzniveau haben kann, insbesondere hinsichtlich behördlicher Zugriffe, lässt sich damit nicht vollständig ausräumen — deshalb ist dieser Schritt freiwillig und einzeln bestätigungspflichtig.
Widerruf: jederzeit in der App unter „Einstellungen → Datenschutz & Einwilligungen“, mit Wirkung für die Zukunft. Danach werden keine Inhalte mehr zur Texterkennung übermittelt. Bereits erkannte Termine bleiben bestehen.
Speicherdauer: Das hochgeladene Bild bzw. Dokument und das Ergebnis der Texterkennung werden nach 7 Tagen automatisch gelöscht. Der daraus entstandene Termin bleibt — er steht dann verschlüsselt in Ihrem Kalender.

Ohne diese Einwilligung ist die Terminerkennung abgeschaltet. Alle übrigen Funktionen stehen unverändert zur Verfügung.

5. Internationale Datenübermittlung

EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO
Angemessenheitsbeschlüsse der EU-Kommission (z. B. EU–US Data Privacy Framework)
Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO)

Übermittlungen in EWR-Staaten (Norwegen, Liechtenstein, Island) gelten nicht als Drittlandübermittlungen.

Konkret betroffen sind derzeit zwei Verarbeitungen: die Zahlungsabwicklung über Stripe (Abschnitt 4.4) und — nur bei erteilter Einwilligung — die Texterkennung durch Anthropic PBC, USA (Abschnitt 4.5). Alle anderen Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (z. B. 7 Jahre für steuerrelevante Unterlagen gemäß §132 BAO). Danach werden Daten gelöscht oder unwiderruflich anonymisiert.

Für die wichtigsten Inhalte gelten folgende Fristen:

Inhalt	Frist
Nachrichten, nachdem sie gelesen wurden	30 Tage
Nachrichten, auch wenn sie nie gelesen wurden	90 Tage
Zur Texterkennung hochgeladene Bilder und Dokumente samt Erkennungsergebnis	7 Tage
Termine	bis Sie sie löschen

Die Fristen für Nachrichten sind bewusst kurz: ein Gerät kann eine Weile offline sein, danach ist der Zweck erfüllt. Was auf Ihren Geräten liegt, bleibt dort, bis Sie es löschen oder sich abmelden.

7. Ihre Rechte (Art. 15–22 DSGVO)

Auskunftsrecht (Art. 15 DSGVO)
Berichtigungsrecht (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden“
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) – jederzeit, ohne Angabe von Gründen, mit Wirkung für die Zukunft

Kein automatisiertes Profiling: Wir setzen keine vollautomatisierten Entscheidungsprozesse ein, die rechtliche Wirkung für Sie entfalten (Art. 22 DSGVO).

Zur Ausübung Ihrer Rechte: office@step7.at — Wir bearbeiten Anfragen innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).

8. Beschwerderecht bei der Datenschutzbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt:

Österreichische Datenschutzbehörde (DSB)
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 521 52-0
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at

9. Datensicherheit (Art. 32 DSGVO)

9.1 Ende-zu-Ende-Verschlüsselung — zwei Arten von Inhalten

Nachrichten, Bilder, Videos und Termine in KOMIona sind Ende-zu-Ende verschlüsselt: Sie werden auf dem Gerät der absendenden Person verschlüsselt und erst auf den Geräten der Empfängerinnen und Empfänger wieder entschlüsselt. Verwendet wird AES-256-GCM; der Inhaltsschlüssel wird für jedes berechtigte Gerät einzeln mit X25519-ECDH und HKDF-SHA256 verpackt. Wir können diese Inhalte nicht lesen — auch nicht auf behördliche Anordnung, weil uns die Schlüssel nicht vorliegen.

Davon gibt es eine Ausnahme, und Sie entscheiden über sie:

	Was damit möglich ist	Wer es lesen kann
Privat (Voreinstellung)	Senden, Empfangen, Anzeigen, Termine	Nur die beteiligten Geräte. Wir nicht.
Zur Texterkennung freigegeben	Zusätzlich: automatisches Erkennen von Terminen aus Fotos und Dokumenten	Zusätzlich der Texterkennungsdienst (Abschnitt 4.5), für die Dauer der Verarbeitung

Die Freigabe gilt je Bild und je Dokument, nicht pauschal. Sie wird in der App vor dem Hochladen abgefragt und ist jederzeit widerrufbar. Alles, was Sie nicht ausdrücklich freigeben, bleibt verschlüsselt.

9.2 Was auch bei Ende-zu-Ende-Verschlüsselung sichtbar bleibt

Verschlüsselt ist der Inhalt, nicht jede Begleitangabe. Für Zustellung, Erinnerungen und Abrechnung verarbeiten wir weiterhin: wer wem etwas geschickt hat, wann das geschah, wann eine Nachricht zugestellt und gelesen wurde, sowie bei Terminen den Zeitpunkt und die eingestellte Erinnerung. Diese Angaben lassen Rückschlüsse auf Ihre Kontakte und Gewohnheiten zu — wir nennen sie deshalb ausdrücklich, statt sie unter „verschlüsselt“ zu verbergen.

9.3 Gesundheitstagebuch — freiwillig, verschlüsselt, ohne Auswertung

KOMIona stellt keine Diagnosen, gibt keine medizinischen Empfehlungen und ersetzt keine ärztliche Betreuung.

Werte wie Blutdruck, Puls, Blutzucker oder Gewicht können Sie freiwillig eintragen — ausschließlich zur eigenen Übersicht. Es besteht keine Verpflichtung dazu, und alle übrigen Funktionen stehen unabhängig davon zur Verfügung. Wir werten diese Werte nicht aus, leiten daraus nichts ab, erstellen keine Profile und geben sie nicht weiter.

Die Werte werden auf Ihrem Gerät verschlüsselt und verschlüsselt gespeichert; unsere Systeme entschlüsseln sie nicht. In der Anwendung sind sie für Sie sichtbar; ein Weg, das Tagebuch einer anderen Person anzusehen, ist nicht vorgesehen. Serverseitig ist ein Abruf ausschließlich innerhalb Ihrer eigenen Betreuungsgruppe möglich.

Zur Einordnung, offen gesagt: Solche Werte sind Gesundheitsdaten nach Art. 9 DSGVO — daran ändert sich nichts dadurch, dass Sie sie freiwillig eintragen und dass sie nur Ihrer Information dienen. Genau deshalb behandeln wir sie besonders: ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar, Verschlüsselung, keine Auswertung.

Anders als bei Nachrichten, Bildern und Terminen (Abschnitt 9.1) wird für das Gesundheitstagebuch derzeit kein geräteeigener Schlüssel verwendet, sondern ein Schlüssel der Anwendung. Wir nennen das hier ausdrücklich, weil „verschlüsselt" nicht in beiden Fällen dasselbe bedeutet.

9.4 Weitere technische und organisatorische Maßnahmen

TLS-Verschlüsselung aller Datenübertragungen (HTTPS)
Verschlüsselte Datenbankverbindungen
Zugriffskontrolle und Rollen-/Berechtigungsmanagement
Regelmäßige Sicherheitsüberprüfungen und Penetrationstests
Datensicherungen (Backups) in verschlüsselter Form

10. Datenschutz für Minderjährige

Unsere Dienste richten sich nicht an Personen unter 14 Jahren. Erziehungsberechtigte können sich unter office@step7.at melden.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei geänderten rechtlichen Anforderungen anzupassen. Die aktuelle Version ist stets unter annacare.eu/datenschutz abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.