Datenschutzerklärung scribility.app

Stand: 12.10.2026

Diese Erklärung gilt für die Web-App scribility.app. Für die Website www.scribility.com gilt deren eigene Datenschutzerklärung.

1. Verantwortlicher

SCRiBiLiTY Therapiematerialien, Inhaber Georg Piller
Schmohlstr. 2, 13086 Berlin
E-Mail: info@scribility.com · Telefon: 030 8145 9451

Für Fragen zum Datenschutz erreichen Sie uns unter info@scribility.com.

Wichtig – zwei Rollen. Für Konten, Abrechnung und die Nutzung der App sind wir verantwortlich; dafür gilt diese Erklärung. Die Inhalte, die Fachkräfte und Einrichtungen in Sitzungen und Räumen bearbeiten (etwa Arbeitsblätter und Bildergeschichten mit ihren Klientinnen und Klienten), verarbeiten wir dagegen im Auftrag der jeweiligen Praxis oder Einrichtung (Art. 28 DSGVO). Verantwortlich ist dann sie; Grundlage ist unser Auftragsverarbeitungsvertrag.

2. Hosting und Server-Protokolle

Die App läuft vollständig auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Falkenstein, Deutschland. Dort liegen Anwendung, Datenbank, Rauminhalte, hochgeladene Bilder und die Sicherungen. Hetzner verarbeitet die Daten in unserem Auftrag; ein Vertrag nach Art. 28 DSGVO besteht.

Beim Aufruf der App verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Statuscode. Die Verbindung ist per TLS verschlüsselt. Zusätzlich übermitteln wir technische Fehler- und Leistungsprotokolle des Servers an PostHog (EU-Server in Frankfurt, siehe Abschnitt 7); Kennungen von Räumen werden vorher entfernt.

• Zweck: sicherer und stabiler Betrieb, Fehlersuche
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb)
• Speicherdauer: höchstens 30 Tage, auf dem Server wie bei PostHog

3. Konto, Anmeldung und Organisationen

Für ein Konto speichern wir Name, E-Mail-Adresse, ein Passwort (nur als sicherer Hash), optional ein Profilbild, Sprache sowie Abo- und Testphasenstatus. Angemeldet wird per Passwort, per Anmeldelink an die E-Mail-Adresse oder per Passkey; bei Passkeys speichern wir nur den öffentlichen Schlüssel. Für jede aktive Anmeldung speichern wir IP-Adresse, Browserkennung und Ablaufzeitpunkt, damit Sie Ihre Anmeldungen sehen und beenden können.

Nutzen mehrere Personen die App in einer Organisation (z. B. einer Schule oder Praxis), speichern wir Name und Logo der Organisation, die Mitglieder mit ihrer Rolle und offene Einladungen.

• Zweck: Bereitstellung der App und des Kontos
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Speicherdauer: bis zur Löschung des Kontos, die Sie selbst in den Kontoeinstellungen auslösen können; eine Anmeldung läuft spätestens nach 365 Tagen ab.

Bei Registrierung und Löschung eines Kontos erhalten wir intern eine E-Mail mit Name und E-Mail-Adresse, um Konto und Abrechnung zu betreuen.

4. Sitzungen, Räume und Bilder

Fachkräfte legen Sitzungen mit einem Titel und optional einem Klienten-Kürzel an. Dafür ist ein Pseudonym oder Code vorgesehen, kein Klarname; auch die Inhalte gestalten Kunden nach unseren Nutzungsbedingungen ohne Klarnamen (§ 7 Abs. 2). Zu jeder Sitzung gehört ein Raum: eine Zeichenfläche mit Zeichnungen, Texten und hochgeladenen Bildern. Klientinnen und Klienten treten einem Raum ohne Konto über einen Link bei und geben dabei nur einen Anzeigenamen ein, den die anderen Teilnehmenden sehen.

Der Link ist der Schlüssel. Wer den Link eines Raums kennt, kann ihn öffnen. Die Links enthalten eine zufällige, nicht erratbare Kennung; geben Sie sie nur an Teilnehmende weiter.

Diese Inhalte verarbeiten wir im Auftrag der Praxis oder Einrichtung (siehe Abschnitt 1). Sie liegen ausschließlich auf dem Server in Falkenstein; Rauminhalte werden dort mit AES-256 verschlüsselt gespeichert. An Analyse-, E-Mail- oder Zahlungsdienste werden sie nicht übermittelt. Wie wir diese Daten schützen, beschreiben unsere technischen und organisatorischen Maßnahmen.

Gelöscht werden Rauminhalte sofort, wenn die Sitzung, das Konto oder die Organisation gelöscht wird. Räume ohne Sitzung (z. B. aus einer Vorlage geöffnete oder geteilte Räume) werden 30 Tage nach der letzten Nutzung gelöscht. Bilder werden gelöscht, sobald kein Raum sie mehr verwendet – spätestens 8 Tage nach Löschung des Raums. Einzelheiten stehen in Abschnitt 9.

5. System-E-Mails

E-Mails der App – Anmeldelinks, Bestätigungen, Passwort-Zurücksetzen, Einladungen in Organisationen und Benachrichtigungen – versenden wir über Resend (Plus Five Five, Inc., San Francisco, USA). Versendet wird über Server in der EU (Irland); Nachrichten und Versandprotokolle speichert Resend 30 Tage in den USA. Verarbeitet werden E-Mail-Adresse, Name, Inhalt der Nachricht und technische Zustelldaten.

• Zweck: Anmeldung und vertragsbezogene Mitteilungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Drittlandbezug: Resend ist ein US-Unternehmen, siehe Abschnitt 8

6. Zahlungen

Abos und Käufe auf Rechnung wickeln wir über Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin, Irland) ab. Zahlungsdaten wie Kartennummern geben Sie direkt bei Stripe ein; sie erreichen unseren Server nie. Wir speichern nur die Stripe-Kundennummer sowie Art und Status Ihres Abos.

• Zweck: Abrechnung, Rechnungsstellung, Betrugsvermeidung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO
• Speicherdauer: Rechnungs- und Buchungsdaten nach den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB), auch nach Löschung des Kontos
• Stripe ist für einen Teil der Verarbeitung selbst verantwortlich und kann Daten an Stripe, LLC (vormals Stripe, Inc.) in den USA übermitteln, siehe Abschnitt 8

7. Cookies, Einwilligung und Nutzungsanalyse

Ohne Einwilligung setzen wir nur, was für die App technisch nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG):

Nutzungsanalyse mit PostHog – nur mit Einwilligung. Wenn Sie im Cookie-Hinweis „Akzeptieren“ wählen, nutzen wir PostHog (PostHog, Inc., San Francisco, USA; Verarbeitung in der EU-Cloud in Frankfurt), um zu verstehen, wie die App genutzt wird, und um Fehler zu finden. Erfasst werden eine pseudonyme Kennung, aufgerufene Seiten, Bedienschritte auf der Zeichenfläche (z. B. gewähltes Werkzeug), Geräte- und Browserdaten sowie bei angemeldeten Nutzern die interne Konto-ID. Nicht erfasst werden Inhalte von Räumen und Sitzungen, Texte auf der Seite, Bildschirmaufzeichnungen, E-Mail-Adressen und Namen; Raumkennungen werden vor dem Senden entfernt oder durch einen nicht umkehrbaren Prüfwert (Hash) ersetzt. Ihre IP-Adresse wird von PostHog nicht gespeichert.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung)
• Widerruf: jederzeit über „Cookie-Einstellungen“ im Benutzermenü oder in der Fußzeile; danach löschen wir die PostHog-Kennungen in Ihrem Browser und senden nichts mehr
• Speicherdauer bei PostHog: 30 Tage

8. Empfänger und Übermittlung in Drittländer

Die App selbst speichert alle Daten in Deutschland. PostHog verarbeitet in der EU; Resend speichert E-Mail-Daten in den USA, Stripe teils ebenfalls. Drei Dienstleister gehören jedoch zu US-Unternehmen, sodass ein Zugriff aus den USA rechtlich nicht ausgeschlossen ist. Inhalte von Räumen und Sitzungen erreichen keinen dieser Dienste.

Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10.07.2023 für zertifizierte Unternehmen, sonst die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

9. Speicherdauer und Löschung

Wir löschen Daten, sobald ihr Zweck entfällt; die App erledigt das automatisch nach diesen Fristen:

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreiben Sie dazu an info@scribility.com.

Geht es um Inhalte aus Sitzungen und Räumen, die wir im Auftrag einer Praxis oder Einrichtung verarbeiten, wenden Sie sich bitte an diese; wir unterstützen sie bei der Antwort.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.