Vertrauen durch
Transparenz.

• HTTPS/TLS 1.2+ auf allen Verbindungen
• Firewall & DDoS-Schutz (ALL-INKL)
• Regelmäßige Sicherheitsupdates
• Zugriff auf Need-to-know-Basis
• Cookie-Consent-Management
• Protokollierung aller Systemzugriffe

Wir verwenden Unifyr Analytics (analytics.agentur-circle.com) für datenschutzfreundliche Website-Statistiken. Kein Tracking ohne Cookie-Zustimmung. Keine Weitergabe an Dritte. Kein Cross-Site-Tracking.

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21)

Anfragen an datenschutz@pcm-group.at – Beantwortung innerhalb von 30 Tagen.

• Entwicklung & Wartung aller PCM Group Websites und Produktlandingpages
• Grafik, UI/UX Design und Corporate Identity
• Online-Marketing, SEO und Performance-Optimierung
• Betrieb von Unifyr Analytics (datenschutzfreundliche Website-Statistiken)
• Technische Umsetzung von Marketingkampagnen

• Finanzdaten und Geschäftsunterlagen (Belege, Rechnungen, Konten)
• Mitarbeiterdaten für Lohnverrechnung (Name, SV-Nummer, Gehalt)
• Kundendaten im Rahmen der Buchhaltung (Rechnungsempfänger)
• Steuerdaten für Finanzamt-Meldungen

Wellpoint verarbeitet Patientendaten (Gesundheitsdaten) nach Art. 9 DSGVO. Verarbeitung nur auf ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a). Alle Daten werden AES-256 verschlüsselt gespeichert und übertragen.

• TLS 1.2+ Transportverschlüsselung
• AES-256 Ruheverschlüsselung
• Zwei-Faktor-Authentifizierung
• Rollenbasierte Zugriffskontrolle
• Automatische Session-Timeouts
• Vollständiges Audit-Log
• Penetrationstests (jährlich)
• 24/7 Systemmonitoring

Wellpoint stellt jedem Kunden einen AVV gemäß Art. 28 DSGVO zur Verfügung. Als Therapeut sind Sie der datenschutzrechtlich Verantwortliche – Wellpoint ist Auftragsverarbeiter. AVV per E-Mail oder über das Kundenportal abrufbar.

Bei Datenschutzverletzungen werden betroffene Therapeuten und die Aufsichtsbehörde innerhalb von 72 Stunden informiert. 24/7 Sicherheitsmonitoring durch Hetzner-Infrastruktur. Dedicated Incident-Response-Prozess dokumentiert und getestet.

PHE Buddy verarbeitet Gesundheitsdaten (Phenylalanin-Werte, Ernährungstagebuch) nach Art. 9 DSGVO. Verarbeitung nur auf ausdrücklicher Einwilligung. Keine Datenweitergabe an Dritte ohne explizite Zustimmung. AES-256 Verschlüsselung at-rest.

• Verschlüsselte Gerätespeicherung
• Optionaler PIN/Biometrie-Schutz
• Keine Werbung, kein Profiling
• Offline-Funktionalität verfügbar

Datenschutzerklärung auf Deutsch und Englisch verfügbar. Alle internationalen Nutzer (DACH + EU) werden gleich behandelt – DSGVO gilt für alle.

Kein Kundeninhalt fließt in externe KI-Dienste. Alle KI-Funktionen in Unifyr laufen auf EU-gehosteten Modellen oder werden durch weisungsgebundene Auftragsverarbeiter betrieben.

• Kein Tracking ohne aktive Cookie-Einwilligung (Consent)
• Kein Cross-Site-Tracking – Daten werden nicht produktübergreifend verknüpft
• Keine Weitergabe an Werbenetzwerke oder Dritte
• Keine personenbezogenen Nutzerprofile
• IP-Anonymisierung in Analytics & Pixel aktiv
• Daten verbleiben ausschließlich im EU-Rechtsraum
• Opt-out jederzeit über Cookie-Einstellungen möglich
• Inbox-Daten nur für den jeweiligen Website-Betreiber sichtbar

Lyvio ist als Medienmodul in die Unifyr-Plattform integriert. Hosting, Datenschutzarchitektur und Sicherheitsmaßnahmen folgen denselben Standards wie die gesamte Unifyr-Plattform.

• Verschlüsselte Medienspeicherung
• HTTPS/TLS bei allen Übertragungen
• Sichere Authentifizierung
• Automatische EU-Backups
• Vollständige Zugriffsprotokolle
• Privacy by Design (Art. 25 DSGVO)

• HTTPS/TLS 1.2+ auf allen Verbindungen
• Rollenbasierter Zugriff – Kanzlei sieht nur eigene Mandanten
• Verschlüsselung sensibler Steuerdaten at-rest
• Mandantentrennung auf Datenbankebene
• Regelmäßige automatische Backups auf Hetzner-Infrastruktur
• Audit-Log für alle Dokumentenzugriffe

Auskunft, Berichtigung und Löschung auf Anfrage an datenschutz@pcm-group.at. Steuerrelevante Daten unterliegen gesetzlichen Aufbewahrungsfristen (§ 132 BAO, 7 Jahre) – eine vorzeitige Löschung ist in diesem Umfang nicht möglich.

• Lizenzplanung (Business Starter, Standard, Plus, Enterprise)
• Workspace-Einrichtung, Domainverknüpfung, E-Mail-Migration
• Google Drive-Freigabekonzept & Zugriffsrechte
• Google Meet-Konfiguration & Schulung
• Laufende Administration & Support

• AWS-Kontoeinrichtung & IAM-Berechtigungskonzept
• Managed EC2, S3, RDS – je nach Kundenbedarf
• Sicherheits-Konfiguration: VPC, Security Groups, CloudTrail
• Kosten-Monitoring & Budgetalarme
• Laufende Administration, Updates & Support

Folgende Datenkategorien werden unter keinen Umständen in externe Cloud-KI-Dienste (Claude.ai, ChatGPT, Higgsfield oder andere) eingegeben:

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

• Passwortrichtlinie: Mindestlänge 12 Zeichen, Groß-/Kleinbuchstaben, Sonderzeichen, Zahlen
• Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge und Cloud-Dienste
• Automatische Bildschirmsperre nach 5 Minuten Inaktivität
• Automatischer Session-Timeout bei allen Webanwendungen
• Passwort-Manager-Pflicht für alle Mitarbeiter (keine Wiederverwendung)
• Sofortige Sperrung von Accounts bei Mitarbeiteraustritt
• Regelmäßige Überprüfung aktiver Benutzerkonten (quartalsweise)
• VPN-Pflicht für Zugriff auf interne Systeme aus dem Homeoffice

Gewährleistung, dass zur Nutzung eines Datenverarbeitungssystems Berechtigte ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können.

• Rollenbasierte Zugriffskontrolle (RBAC) in allen Produktsystemen
• Prinzip der minimalen Rechtevergabe – jeder Mitarbeiter erhält nur die für seine Tätigkeit notwendigen Rechte
• Trennung von Entwicklungs-, Test- und Produktivumgebungen
• Kein direkter Datenbankzugriff für Endnutzer – ausschließlich über API-Schicht
• Datenbankzugriff nur für Administratoren mit dokumentierter Begründung
• Logging aller privilegierten Zugriffe (Audit-Log)
• Regelmäßige Überprüfung von Zugriffsrechten (jährlich, bei Rollenwechsel sofort)

Gewährleistung, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

• Ausschließliche Übertragung über verschlüsselte Verbindungen (HTTPS/TLS 1.2+)
• HSTS (HTTP Strict Transport Security) auf allen Produktdomains
• Kein Versand personenbezogener Daten per unverschlüsselter E-Mail
• Dateiübertragungen ausschließlich über gesicherte, authentifizierte Kanäle
• Kein Transfer personenbezogener Daten in unsichere Drittstaaten
• Protokollierung von Datenweitergaben an Subprozessoren
• API-Kommunikation ausschließlich über authentifizierte Endpunkte (Bearer Token / API-Key)

Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

• Vollständiges Audit-Log für alle Datenänderungen in Produktsystemen (Wellpoint)
• Timestamps für Erstellung, Änderung und Löschung aller Datensätze
• Unveränderliche Protokolldateien (append-only logs)
• Benutzer-ID wird bei jeder Datenänderung gespeichert
• Formularvalidierung und Input-Sanitizing zum Schutz vor Manipulation
• Logs werden mindestens 90 Tage aufbewahrt

Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

• AVV (Auftragsverarbeitungsvertrag) mit allen Subprozessoren gem. Art. 28 DSGVO
• Schriftliche Weisungen an alle Auftragsverarbeiter vor Verarbeitungsbeginn
• Regelmäßige Überprüfung der Subprozessoren (mindestens jährlich)
• Verzeichnis aller eingesetzten Subprozessoren wird aktuell gehalten
• Subprozessoren dürfen keine weiteren Unterauftragsverarbeiter ohne Genehmigung einsetzen
• Vertragliche Verpflichtung aller Mitarbeiter zur Vertraulichkeit (§ 6 DSG)
• Datenschutzschulungen für alle Mitarbeiter mit Zugang zu personenbezogenen Daten

Gewährleistung, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

• Tägliche automatische Backups aller Datenbanken (verschlüsselt, EU-intern)
• Backup-Aufbewahrung: 30 Tage rollierend
• Redundante Serverinfrastruktur (Hetzner: mehrere Standorte)
• USV (unterbrechungsfreie Stromversorgung) und Notfallgeneratoren in RZ-Standorten
• 99,9% Verfügbarkeits-SLA bei ALL-INKL, garantierte Uptime bei Hetzner
• 24/7 Monitoring aller Produktionssysteme mit automatischen Alerting
• Disaster-Recovery-Plan dokumentiert und jährlich getestet
• Wiederherstellungszeit (RTO) < 4 Stunden für kritische Systeme
• Wiederherstellungspunkt (RPO) < 24 Stunden

Gewährleistung, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

• Logische Mandantentrennung: Kundendaten verschiedener Kunden werden isoliert gespeichert
• Strenge Trennung von Entwicklungs-, Test- und Produktivdaten
• Keine Verwendung von Echtdaten in Test-/Entwicklungsumgebungen
• Separate Datenbanken je Produkt (Wellpoint, etc. teilen keine Datenbank)
• Marketing-Daten und operative Kundendaten in getrennten Systemen
• Buchführungsdaten (Finanzbuchhaltung Monuth KG) von operativen CRM-Daten getrennt

• Dedizierter Datenschutzbeauftragter / Ansprechpartner intern benannt
• Incident-Response-Kontakt: datenschutz@pcm-group.at
• Verzeichnis aller Datenschutzverletzungen wird intern geführt

• Datenschutz wird von Beginn der Produktentwicklung berücksichtigt (Privacy by Design)
• Standardmäßig datenschutzfreundlichste Voreinstellungen (Privacy by Default)
• Datenminimierung: Nur Daten erheben, die für den Zweck zwingend erforderlich sind
• Speicherbegrenzung: Löschkonzepte für alle Datenkategorien definiert
• Cookie-Consent erforderlich vor Tracking (kein Pre-Ticking)
• Neue Features werden vor Launch auf Datenschutzkonformität geprüft
• Datenschutz-Folgenabschätzung (DSFA) bei risikobehafteten Verarbeitungen

Gemäß Art. 5 EU AI Act sind folgende KI-Praktiken verboten. PCM Group bestätigt, dass keines dieser Systeme eingesetzt wird:

• KI-generierte Textentwürfe werden intern als solche gekennzeichnet und vor Versand von einem Menschen geprüft
• Kein Einsatz von KI-Chatbots, die vorgeben, Menschen zu sein
• Keine Deepfakes oder KI-generierte Medien ohne Kennzeichnung
• Nutzer werden informiert, wenn KI-Systeme im Produktkontext eingesetzt werden
• KI-gestützte Entscheidungsunterstützung wird als solche kommuniziert – finale Entscheidung immer beim Menschen

• Alle KI-Systeme werden als Hilfswerkzeuge eingesetzt – keine autonome Entscheidungsfindung ohne menschliche Freigabe
• KI-Ausgaben werden vor Verwendung durch einen Mitarbeiter geprüft
• Kein KI-System hat direkte Schreibrechte auf Produktionsdatenbanken
• Abschaltmechanismus: Alle KI-Dienste können sofort deaktiviert werden
• Kein KI-System trifft Entscheidungen, die rechtliche oder wesentliche wirtschaftliche Auswirkungen auf Personen haben

PCM Group erfüllt weder die Größenschwellen noch erbringt das Unternehmen Dienste, die eine automatische Einstufung als wesentliche oder wichtige Einrichtung begründen würden. Eine Registrierungspflicht beim Bundesamt für Cybersicherheit (BAS) besteht derzeit nicht.

Empfehlung: Diese Selbsteinstufung wird jährlich überprüft. Bei Wachstum über die Schwellenwerte oder Aufnahme neuer regulierter Tätigkeiten erfolgt eine Neubeurteilung und ggf. Registrierung.

Art. 21 NIS2 definiert Mindestmaßnahmen für betroffene Einrichtungen. PCM Group setzt diese freiwillig als Best Practice um:

• HTTPS / TLS 1.2+ auf allen Systemen
• AES-256 Verschlüsselung sensibler Daten at-rest
• Firewall & DDoS-Schutz (Hetzner / ALL-INKL)
• Regelmäßige Sicherheitsupdates aller Systeme
• Netzwerksegmentierung (Produktion / Entwicklung)
• Mehrstufige Zugriffskontrolle (RBAC)
• Backups mit Wiederherstellungstests
• 24/7 Monitoring aller produktiven Systeme

• Dokumentiertes Datenschutzkonzept (DSGVO + NIS2)
• Need-to-know Datenzugriff für alle Mitarbeitenden
• Incident-Response-Prozess etabliert
• Regelmäßige interne Sicherheitsbewertung
• AVV mit allen Auftragsverarbeitern (Art. 28 DSGVO)
• Passwort-Policy + MFA für kritische Systeme

Für Einrichtungen, die unter NISG 2024 fallen, sieht Art. 23 NIS2 gestaffelte Meldepflichten bei erheblichen Sicherheitsvorfällen vor. PCM Group hält sich freiwillig an diese Fristen:

NIS2 fordert die Berücksichtigung von Cybersicherheitsrisiken in der Lieferkette. PCM Group bewertet alle Dienstleister nach Sicherheitskriterien:

Alle kritischen Dienstleister sitzen ausschließlich im EU/EWR-Rechtsraum. Kein Einsatz von Drittland-Anbietern ohne ausdrückliche Rechtsgrundlage.