Datenschutzerklärung

Informationen zur Verarbeitung Ihrer personenbezogenen Daten auf dimesys.at, im digitalen Knieprogramm und im Knie-Klarheitscheck auf check.dimesys.at sowie zu Ihren Rechten als betroffene Person.

Fassung datenschutz-v6-2026-09-21 · Stand 21. September 2026

1. Verantwortlicher

Dimesys GmbH

Kapellenweg 26a/2

1220 Wien, Österreich

FN 456680 p, Handelsgericht Wien

E-Mail: patrik.shnawa@dimesys.at

Telefon: +43 699 19582195

Diese Erklärung gilt für die Website dimesys.at, das dort angebotene digitale Knieprogramm sowie den Knie-Klarheitscheck auf check.dimesys.at. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen; Anfragen richten Sie bitte an die oben genannte Adresse.

2. Trennung von Dimesys-Programm und ärztlicher Leistung

Das digitale Knieprogramm wird von der Dimesys GmbH angeboten. Ärztliche Leistungen – etwa Diagnose, Therapieplanung oder Behandlung – sind nicht Teil dieses Angebots. Für eine ärztliche Behandlung wählen Sie Ihre Ärztin oder Ihren Arzt frei.

Nehmen Sie freiwillig einen Termin in der Wahlarztordination von Dr. Patrik Shnawa wahr, ist die Ordination dafür eigenständig datenschutzrechtlich verantwortlich. Es gelten dort die ausgewiesenen Kosten und die dortige Datenschutzinformation.

Zwischen dem Dimesys-Programm und der Ordination werden keine personenbezogenen Daten automatisch übermittelt. Eine Weitergabe erfolgt nur, wenn Sie sie selbst vornehmen.

3. Verarbeitungen im Überblick

Nachfolgend finden Sie zu jeder tatsächlich stattfindenden Verarbeitung die Datenkategorien, den Zweck, die Rechtsgrundlage, die Empfänger, den Drittlandbezug und die Speicherdauer.

Auslieferung der Website, Betriebssicherheit und Bot-Abwehr

Datenkategorien: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser- und Gerätetyp, HTTP-Statuscode; technisch notwendiges Cookie __cf_bm
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb); für die Speicherung von __cf_bm § 165 Abs. 3 TKG 2021 (unbedingt erforderlich). Keine Einwilligung erforderlich, keine Analyse, keine Profilbildung.
Empfänger / Auftragsverarbeiter: Cloudflare, Inc. (Content Delivery Network und Sicherheitsfunktionen, Auftragsverarbeiter), Supabase (Hosting der Anwendungsdienste, Auftragsverarbeiter)
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des jeweiligen Auftragsverarbeitungsvertrags.
Speicherdauer: __cf_bm längstens 30 Minuten. Verbindungs- und Sicherheitsprotokolle werden nur kurzfristig zur Störungs- und Missbrauchsabwehr vorgehalten und danach gelöscht, sofern kein konkreter Sicherheitsvorfall die Aufbewahrung erfordert.

Nutzerkonto, Anmeldung und Bestätigung der E-Mail-Adresse

Datenkategorien: E-Mail-Adresse, Passwort-Hash bzw. Google-Anmeldekennung, Zeitpunkte von Registrierung, Bestätigung und Anmeldung, Sitzungstoken
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen)
Empfänger / Auftragsverarbeiter: Supabase (Datenbank, Authentifizierung, Auftragsverarbeiter); Resend (Versand der Bestätigungs- und Passwort-E-Mails, Auftragsverarbeiter); bei Anmeldung über Google zusätzlich Google (eigenverantwortlich für den Anmeldevorgang auf Google-Seite)
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des jeweiligen Auftragsverarbeitungsvertrags.
Speicherdauer: Bis zur Löschung des Kontos. Die Löschung im Konto entfernt Konto- und Gesundheitsdaten; gesetzlich aufbewahrungspflichtige Rechnungsdaten bleiben davon unberührt.

Kauf des Knieprogramms, Zahlungsabwicklung und Rechnungslegung

Datenkategorien: Bestell- und Vertragsdaten (Produkt, Preis, Zeitpunkt), Zahlungsstatus, Rechnungsnummer und Rechnungsdaten, Nachweis der drei Pflichtzustimmungen mit Zeitstempel und Fassungsnummer, E-Mail-Adresse des Kontos. Zahlungsmittel- und Kartendaten werden ausschließlich von Stripe erhoben; Dimesys erhält sie nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 BAO und § 190 UGB
Empfänger / Auftragsverarbeiter: Stripe (Zahlungsabwicklung, eigenverantwortlich für die Zahlungsdurchführung), Supabase (Speicherung der Bestell- und Rechnungsdaten, Auftragsverarbeiter)
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln bzw. die Vertragsgrundlagen des Zahlungsdienstleisters.
Speicherdauer: Rechnungs- und Buchhaltungsdaten sieben Jahre ab Ende des betreffenden Kalenderjahres. Übrige Bestelldaten bis zum Ablauf möglicher Gewährleistungs- und Verjährungsfristen.

Vertrags- und Kaufbestätigung per E-Mail

Datenkategorien: E-Mail-Adresse, Bestell- und Vertragsangaben, Rechnungsanhang, Versandstatus
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und gesetzliche Bestätigungspflichten)
Empfänger / Auftragsverarbeiter: Brevo (Sendinblue SAS, Frankreich) als Auftragsverarbeiter für den Versand
Drittland / Schutzmechanismus: Verarbeitung innerhalb der Europäischen Union.
Speicherdauer: Versandprotokoll und Bestätigungsnachweis so lange, wie der Nachweis der Vertragsbestätigung erforderlich ist; Rechnungsanhänge nach den steuerlichen Fristen.

Gesundheitsbezogene Angaben im Programm (Befindlichkeits-Check-ins, Schmerzangaben, Ergebnisse der Selbsteinschätzung, Programmfortschritt)

Datenkategorien: Von Ihnen selbst eingegebene Angaben zu Wohlbefinden, Schmerz, Beweglichkeit und Zielen sowie Fortschritts- und Nutzungsdaten innerhalb des Programms
Rechtsgrundlage: Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO – ausdrückliche, versionierte Einwilligung. Ohne Einwilligung werden diese Daten nicht gespeichert; die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar.
Empfänger / Auftragsverarbeiter: Supabase (Datenbank, Auftragsverarbeiter). Keine Weitergabe an Dritte, keine Werbenutzung.
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags.
Speicherdauer: Bis zum Widerruf der Einwilligung oder zur Löschung des Kontos. Der Widerruf löst die Löschung der gespeicherten Gesundheitsangaben aus.

Knie-Klarheitscheck – freiwillige Ergebniszusendung per E-Mail (check.dimesys.at)

Datenkategorien: Ohne freiwillige Angabe einer E-Mail-Adresse werden Ihre Antworten auf die Sicherheitsfrage und die sechs Fragen des Checks für den regulären Browser-Weg nicht an Dimesys übertragen; die Orientierung wird allein in Ihrem Browser angezeigt. Allgemeine technische Verbindungs- und Sicherheitsdaten der Website-Auslieferung sind davon ausgenommen. Nur bei ausdrücklicher Einwilligung (Fassung knee-info-v6-2026-09) verarbeiten wir Ihre E-Mail-Adresse und die grobe Orientierungskategorie, um Ihnen über Brevo einen zeitlich begrenzten persönlichen Ergebnislink sowie allgemeines Knie-Informationsmaterial sowie zwei allgemeine Knie-Übungsblätter per E-Mail zu senden oder darin zu verlinken. Die Ergebnis-E-Mail selbst enthält keine Antworten und keine konkreten Gesundheitsangaben. Die grobe Orientierungskategorie ist eine Angabe mit Gesundheitsbezug und wird entsprechend behandelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung (Fassung knee-info-v6-2026-09). Ohne Einwilligung erfolgt keine Übertragung der Antworten; die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar.
Empfänger / Auftragsverarbeiter: Brevo (Sendinblue SAS, Frankreich) als Auftragsverarbeiter für den angeforderten E-Mail-Versand; Supabase (Datenbank, Auftragsverarbeiter) für den Consent-Nachweis und den Ergebnislink-Datensatz.
Drittland / Schutzmechanismus: Brevo verarbeitet innerhalb der Europäischen Union. Für Supabase ist eine Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags – entsprechend der bestehenden Vertragsgrundlage dieser Erklärung.
Speicherdauer: Der persönliche Ergebnislink ist 72 Stunden gültig, einmalig nutzbar und wird nach Ablauf automatisch bereinigt. Für die Consent-Nachweise ist ausdrücklich KEINE automatische Löschung eingerichtet; sie werden nicht automatisch gelöscht, sondern bleiben bestehen, bis Sie ihre Löschung verlangen. Die Einwilligung können Sie über admin@dimesys.at mit Wirkung für die Zukunft widerrufen.

Datenminimierung: Der Consent-Nachweis speichert einen HMAC-SHA-256-Hash der normalisierten E-Mail-Adresse, den Zweck, die Consent-Version, den Hash des Consent-Texts, eine interne Submission-ID und die Quelle „knie-check“ – keine IP-Adresse, keinen User-Agent, keine Antworten und keine Orientierungskategorie. Der Ergebnislink-Datensatz speichert ausschließlich die grobe Orientierungskategorie (result_code) sowie Token- und Claim-Hashes bzw. technisch notwendige interne Felder, Zeitstempel sowie Einlöse- und Ablaufstatus – keine E-Mail-Adresse, keine einzelnen Antworten und keine Detail- oder Eignungsbewertung. Der Token wird nicht im Klartext gespeichert; der persönliche Token wird im URL-Fragment übertragen.

Reichweitenmessung mit eigenem Zähler (nur nach ausdrücklicher Einwilligung im Cookie-Banner)

Datenkategorien: Zufällige Sitzungskennung aus dem Sitzungsspeicher des Browsers und der aufgerufene Pfad, ausschließlich aus einer festen Liste öffentlicher Seiten. Es werden kein Referrer, keine Query-Parameter, keine Kontokennung, keine E-Mail-Adresse, keine Gesundheitsangaben und keine Geräte-Fingerabdrücke verarbeitet. Konto-, Kurs- und Gesundheitsseiten werden nie erfasst. Dieser Reichweitenzähler für dimesys.at wird auf check.dimesys.at nicht eingesetzt; dort besteht ausschließlich die separat beschriebene freiwillige Nutzungsstatistik des Knie-Klarheitschecks.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, Fassung analytics-v1-2026-08-14)
Empfänger / Auftragsverarbeiter: Supabase (eigene Datenbank, Auftragsverarbeiter). Keine externen Analysedienste.
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags.
Speicherdauer: Für diese Daten ist derzeit keine automatische Löschroutine aktiv. Nach Widerruf der Einwilligung findet keine weitere Erfassung statt; bereits erfasste Einträge löschen wir auf Anfrage.

Knie-Klarheitscheck – freiwillige, aggregierte Nutzungsstatistik (check.dimesys.at)

Datenkategorien: Ausschließlich aggregierte tägliche Ereigniszahlen: Starts nach der Erwachsenenbestätigung, angezeigte neue reguläre Ergebnisse einschließlich des regulären Browser-Wegs, erfolgreich angestoßener Ergebnisversand sowie technische Versand- und Darstellungsfehler (ausschließlich als aggregierte Zahl ohne Fehlertext) sowie Klicks auf Information, Arzt/Ordination, Programm und PDF-Download, jeweils mit einer neutralen festen Quellkennung (kc1, ig1, ad1, ad2 oder unbekannt/direkt). Ein Klick ist keine Buchung, kein Kauf und keine Zustellung. Nicht Bestandteil des Statistikdatensatzes sind: einzelne Antworten, Gesundheits- oder Orientierungskategorien, Safety-Varianten, E-Mail-Adressen, User-, Session- oder Submission-IDs, Token, andere URL-Parameter als die genannten festen Quellkennungen oder URL-Fragmente, Referrer, IP-Adresse und User-Agent. Keine Speicherung von Rohereignissen und keine Nutzerprofile.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – gesonderte, freiwillige Einwilligung, standardmäßig aus und unabhängig von der Einwilligung zur Ergebnis-Mail. Die Nutzung des Checks ist ohne diese Einwilligung in vollem Umfang möglich; der Widerruf erfolgt im Check unter „Nutzungsstatistik“ mit Wirkung für die Zukunft.
Empfänger / Auftragsverarbeiter: Supabase (vorhandene eigene Datenbank, Auftragsverarbeiter); Hosting und Auslieferung wie oben beschrieben. Keine Verknüpfung mit Ergebnis- oder Consent-Datensätzen, kein Drittanbieter-Werbetracking.
Drittland / Schutzmechanismus: Übermittlung in die USA möglich; abgesichert über die EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags – entsprechend der bestehenden Vertragsgrundlage dieser Erklärung.
Speicherdauer: Tagesaggregate werden nach 90 Tagen automatisch bereinigt. Nach Widerruf stoppt die Erfassung zukünftiger Ereignisse; bereits zusammengezählte Beiträge sind keiner Person zuordenbar und daher nicht individuell herauslösbar.

Datenminimierung: Bei der Anfrage fallen technisch normale Verbindungsdaten an; diese werden nicht in den Statistikdaten gespeichert. Ihre Entscheidung zur Nutzungsstatistik sowie nicht identifizierende Zählmarken liegen ausschließlich im Sitzungsspeicher Ihres Geräts; sie werden nicht übertragen, es werden keine Identifikatoren gesendet und es wird keine dauerhafte Identität gebildet (sitzungsbasiert). Test- und Preview-Zählungen werden getrennt von den echten Pilotzahlen erfasst.

Videowiedergabe über Vimeo (Laden nach aktiver Freigabe)

Datenkategorien: IP-Adresse, Browser- und Geräteangaben, Abrufzeitpunkt – erst nach ausdrücklichem Klick auf das Video
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktiven Klick)
Empfänger / Auftragsverarbeiter: Vimeo.com, Inc. (eigenverantwortlich); Einbindung ausschließlich im Do-Not-Track-Modus (dnt=1)
Drittland / Schutzmechanismus: Übermittlung in die USA; Grundlage sind die Standardvertragsklauseln bzw. die Datenschutzbedingungen des Anbieters.
Speicherdauer: Nach den Vorgaben von Vimeo; Dimesys speichert dazu keine eigenen Daten.

4. Was wir ausdrücklich nicht einsetzen

Kein Google Analytics, kein Google Tag Manager, keine Meta-Pixel, kein Remarketing und keine Werbenetzwerke – weder auf dimesys.at noch im Knie-Klarheitscheck.
Der Knie-Klarheitscheck auf check.dimesys.at nutzt kein Google Analytics, kein Google Tag Manager, kein Meta-Pixel, kein Remarketing und keinen Newsletter-Einstieg. Den oben beschriebenen Reichweitenzähler für dimesys.at setzen wir im Check ebenfalls nicht ein – im Check besteht stattdessen nur die separat beschriebene, freiwillige Nutzungsstatistik.
Keine Weitergabe von Gesundheitsangaben an Dritte und keine Profilbildung zu Werbezwecken.
Keine externen Schriftarten- oder Bilddienste: Schriften und Bilder werden ausschließlich von unserem eigenen Server ausgeliefert.
Kein Öffnungs- oder Klick-Tracking in Bestell- und Bestätigungs-E-Mails.
Kein Newsletter im aktuellen Pilotbetrieb.
Für Terminbuchungen im Geschäftskundenbereich verlinken wir lediglich auf Calendly (Calendly LLC, USA). Es ist kein Widget und kein Skript eingebettet; Daten fließen erst, wenn Sie den Link selbst öffnen.

5. Cookies und lokale Speicherung

Technisch notwendig: Anmelde- und Sitzungsinformationen Ihres Kontos sowie das Cookie __cf_bm von Cloudflare (Bot-Abwehr, längstens 30 Minuten). Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an Betriebssicherheit – hierfür ist keine Einwilligung erforderlich und wir stützen uns dafür auch nicht auf eine Einwilligung.

Nur mit Einwilligung: Die Reichweitenmessung mit unserem eigenen Zähler. Ihre Entscheidung wird lokal in Ihrem Browser gespeichert und kann jederzeit geändert werden.

Der freiwillige Ergebnisversand im Knie-Klarheitscheck ist keine Newsletter-Anmeldung und löst keine E-Mail-Serie aus: Gesendet wird ausschließlich die angeforderte Ergebnis-E-Mail.

Lokale Speicherung im Browser: Für Anmeldezustand, gesetzte Einwilligungen und eine zufällige Sitzungskennung nutzen wir den lokalen Speicher bzw. Sitzungsspeicher Ihres Browsers. Im Knie-Klarheitscheck liegt zusätzlich Ihre Entscheidung zur Nutzungsstatistik samt nicht identifizierender Zählmarken im Sitzungsspeicher Ihres Geräts; diese Markierungen werden nicht übertragen. Diese Angaben verlassen Ihr Gerät nur in dem oben beschriebenen Umfang.

6. Ihre Rechte

Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten Daten verlangen.
Berichtigung (Art. 16 DSGVO): Unrichtige oder unvollständige Daten lassen wir berichtigen oder ergänzen.
Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
Datenübertragbarkeit (Art. 20 DSGVO): Sie erhalten die von Ihnen bereitgestellten Daten in einem gängigen Format.
Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
Widerruf (Art. 7 Abs. 3 DSGVO): Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Beschwerde (Art. 77 DSGVO): Sie können sich bei der österreichischen Datenschutzbehörde beschweren.

Aufsichtsbehörde

Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien

www.dsb.gv.at

Zur Ausübung Ihrer Rechte genügt eine Nachricht an patrik.shnawa@dimesys.at. Ihr Konto samt gespeicherter Gesundheitsangaben können Sie zusätzlich jederzeit selbst im Profilbereich löschen.

7. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die tatsächlich eingesetzten Dienste oder Verarbeitungen ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung datenschutz-v6-2026-09-21 (Stand 21. September 2026).