Datenschutz­erklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Praxisinhaber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur verantwortlichen Stelle" in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?
Ihre Daten werden erhoben, wenn Sie diese im Rahmen der Terminbuchung eingeben (u. a. E-Mail-Adresse, Geburtsdatum, Name, Telefonnummer sowie bei der Erstterminbuchung Anschrift und Versicherungsart). Darüber hinaus werden beim Besuch der Website technische Daten automatisch durch unsere IT-Systeme erfasst (z. B. Internetbrowser, Betriebssystem, Uhrzeit des Seitenaufrufs).

Wofür nutzen wir Ihre Daten?
Ihre Daten werden ausschließlich zur Verifikation Ihrer Patientenidentität und zur Buchung von Terminen in unserer Praxis verwendet.

Welche Rechte haben Sie bezüglich Ihrer Daten?
Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese jederzeit für die Zukunft widerrufen. Sie haben außerdem das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen sowie ein Beschwerderecht bei der zuständigen Aufsichtsbehörde.

2. Hosting

Hetzner Online GmbH

Diese Website sowie unsere Workflow-Infrastruktur werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Hetzner ist ein deutscher Anbieter. Wenn Sie unsere Website besuchen oder eine Terminanfrage stellen, werden dabei technische Daten (insbesondere Ihre IP-Adresse sowie Datum und Uhrzeit des Abrufs) auf Servern von Hetzner verarbeitet.

Die Verwendung von Hetzner erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer zuverlässigen und datenschutzkonformen Bereitstellung unserer Dienste. Mit Hetzner wurde ein Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen.

Weitere Informationen entnehmen Sie der Datenschutzerklärung von Hetzner: https://www.hetzner.com/de/rechtliches/datenschutz.

Auf derselben Infrastruktur betreiben wir auch unser internes Praxisverwaltungssystem (siehe Abschnitt 6).

3. Allgemeine Hinweise und Pflicht­informationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Prof. Dr. med. O. Abri
Privatpraxis im MVZ der Klinik Schöneberg
Fuggerstr. 30, 10777 Berlin

Postanschrift: Fuggerstr. 23, 10777 Berlin
Telefon: 030-8093310-61
E-Mail: jsv@privatpraxis-prof-abri.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern keine anderen rechtlich zulässigen Gründe für die Speicherung bestehen (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen).

Allgemeine Hinweise zu den Rechtsgrundlagen

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO, sofern besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden. Soweit die Datenverarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für die Terminbuchung in einer Arztpraxis gilt ergänzend § 22 BDSG i. V. m. Art. 9 Abs. 2 lit. h DSGVO.

Hinweis zur Datenweitergabe in die USA und sonstige Drittstaaten

Die Terminbuchung selbst läuft vollständig auf unseren eigenen Servern in Deutschland (siehe Abschnitt 5); hierbei findet keine Übermittlung in Drittstaaten statt. Eine Drittland-Übermittlung in die USA erfolgt lediglich beim Einsatz von Cloudflare Turnstile (Bot-Schutz, siehe Abschnitt 5). In den USA kann kein mit der EU vergleichbares Datenschutzniveau garantiert werden. Die Datenübertragung erfolgt auf Grundlage des EU-US Data Privacy Framework sowie der Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu. Zuständige Aufsichtsbehörde für Berlin ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Friedrichstr. 219, 10969 Berlin
www.datenschutz-berlin.de

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen.

Auskunft, Löschung und Berichtigung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:

• Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten.
• Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht.
• Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen.
• Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben und noch nicht feststeht, wessen Interessen überwiegen.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile. Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

4. Datenerfassung auf dieser Website

Patientenverifizierung (Bestandspatienten)

Wenn Sie als Bestandspatient/-in einen Folgetermin buchen möchten, erfassen wir Ihre E-Mail-Adresse und Ihr Geburtsdatum zur Identitätsprüfung. Diese Daten werden verschlüsselt an unseren Workflow-Server übermittelt und dort mit dem Patientenstamm abgeglichen. Sie werden ausschließlich zu diesem Zweck verwendet und nicht dauerhaft in diesem Prozess gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) i. V. m. Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) sowie Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung).

Terminbuchung

Die Terminbuchung erfolgt über unser eigenes, selbst gehostetes Terminsystem (siehe Abschnitt 5); es kommt kein externer Buchungsdienstleister mehr zum Einsatz. Im Rahmen der Buchung werden Anrede, Name, E-Mail-Adresse und Telefonnummer sowie der gewünschte Termin (Art, Datum, Uhrzeit) erfasst und in unserer Datenbank gespeichert. Bei einer Erstterminbuchung als neue Patientin bzw. neuer Patient erheben wir zusätzlich Ihre Anschrift (Straße, Hausnummer, Postleitzahl, Ort, Land) sowie Ihre Versicherungsart (privat oder gesetzlich/Selbstzahler). Diese Daten sind zur Erfüllung bzw. Anbahnung des Behandlungsvertrags erforderlich.

Zur Bestätigung, Erinnerung, Stornierung und Umbuchung versenden wir an die angegebene E-Mail-Adresse automatisierte E-Mails. Für die technische Zustellung dieser E-Mails setzen wir den Dienstleister Brevo ein (siehe Abschnitt 5). Dabei werden Ihre E-Mail-Adresse, Ihr Name und die Termindaten (Datum, Uhrzeit, Terminart) an Brevo übermittelt. Ab Eingang bzw. Weiterleitung kann zusätzlich der E-Mail-Anbieter des Empfängers beteiligt sein. Die E-Mails enthalten Links mit einem zufälligen, nicht rückführbaren Token zur Bestätigung bzw. Stornierung/Umbuchung Ihres Termins.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.

Anfrage per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

5. Externe Dienste und Tools

Cookies

Diese Website verwendet keine Cookies zu Analyse-, Tracking- oder Werbezwecken. Es werden ausschließlich technisch notwendige Cookies eingesetzt:

• Sitzungs-Cookie „nutu_verify" – wird nur dann gesetzt, wenn Sie sich als Bestandspatient über E-Mail-Adresse und Geburtsdatum ausgewiesen haben. Es enthält eine kryptografisch signierte Kennung Ihres Patienteneintrags sowie Ihren Namen, damit Sie im weiteren Buchungsverlauf nicht erneut nach Ihren Daten gefragt werden. Das Cookie ist ausschließlich für den Server lesbar (httpOnly), wird nicht an Dritte übermittelt und läuft nach 30 Minuten automatisch ab.
• Cookies von Cloudflare Turnstile – können im Rahmen der Bot-Prüfung gesetzt werden (siehe Abschnitt zu Cloudflare Turnstile).

Diese Cookies sind für den von Ihnen gewünschten Dienst unbedingt erforderlich; ihre Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Terminbuchungssystem (selbst gehostet)

Unser Terminbuchungssystem wird vollständig selbst betrieben. Die Buchungsdaten werden in unserer Datenbank (Supabase, selbst gehostet bei der Hetzner Online GmbH in Deutschland – siehe Abschnitt 2) gespeichert. Es findet kein Embed eines externen Buchungsanbieters und keine Übermittlung der Buchungsdaten in Drittstaaten statt.

Der Versand der Bestätigungs-, Erinnerungs-, Stornierungs- und Umbuchungs-E-Mails wird über unsere selbst betriebene Workflow-Automatisierung (n8n, siehe unten) angestoßen; die technische Zustellung erfolgt über den E-Mail-Dienstleister Brevo (siehe unten). Ab Eingang beim Empfänger kann dessen E-Mail-Anbieter beteiligt sein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.

n8n (Workflow-Automatisierung)

Für den automatisierten Versand unserer Termin-E-Mails setzen wir n8n ein, ein Open-Source-Workflow-Automatisierungstool. Unsere n8n-Instanz wird selbst betrieben auf Servern der Hetzner Online GmbH in Deutschland (siehe Abschnitt 2).

Steht ein Termin-Versand an (Bestätigung, Erinnerung 24 Stunden vorher, Stornierung, Umbuchung, Ablauf einer unbestätigten Reservierung), übergibt unsere Anwendung an n8n ausschließlich die Termin-Kennung sowie die Links mit den Einmal-Token. n8n liest die für die E-Mail nötigen Angaben – Anrede, Name, E-Mail-Adresse, Datum und Uhrzeit des Termins – anschließend selbst aus unserer Datenbank (Abschnitt 2) und übergibt die fertige Nachricht an Brevo zur Zustellung. Die E-Mails enthalten keine Diagnosen, Befunde oder sonstigen medizinischen Angaben.

Die Prüfung von E-Mail-Adresse und Geburtsdatum bei der Anmeldung als Bestandspatient läuft nicht über n8n, sondern ausschließlich innerhalb unserer eigenen Anwendung gegen unsere Datenbank.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.

Brevo (E-Mail-Versand)

Für die technische Zustellung unserer Termin-E-Mails nutzen wir den E-Mail-Dienst Brevo. Vertragspartner für Kunden mit Sitz in Deutschland ist nach den Nutzungsbedingungen von Brevo die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, eingetragen im Handelsregister des Amtsgerichts Charlottenburg unter HRB 133191. Die Brevo GmbH ist eine Tochtergesellschaft der Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich.

An Brevo werden für den Versand Ihre E-Mail-Adresse, Ihr Name sowie die Termindaten (Datum, Uhrzeit, Terminart) und die Token-Links übermittelt. Die E-Mails enthalten keine Diagnosen, Befunde oder sonstigen medizinischen Angaben. Der Umstand, dass Sie einen Termin in unserer Praxis haben, ist Brevo dabei technisch bekannt.

Die Auftragsverarbeitung nach Art. 28 DSGVO ist als Datenschutzvereinbarung fester Bestandteil der Nutzungsbedingungen von Brevo; ein gesonderter Vertragsschluss ist dafür nicht erforderlich. Brevo verwendet die Daten nicht für eigene Zwecke und nicht zu Werbezwecken.

Brevo erbringt seine Dienste als international tätiges Unternehmen und setzt eigene Unterauftragsverarbeiter ein; der Verarbeitungsort richtet sich nach der Datenschutzvereinbarung. Soweit dabei personenbezogene Daten in Länder außerhalb der EU bzw. des EWR übermittelt werden, erfolgt dies auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die jeweils aktuelle Liste der Unterauftragsverarbeiter stellt Brevo im Rahmen der Datenschutzvereinbarung bereit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungs- bzw. Terminverhältnisses) sowie Art. 9 Abs. 2 lit. h DSGVO.

Weitere Informationen: https://www.brevo.com/de/legal/privacypolicy/.

Cloudflare Turnstile (Bot-Schutz)

Zum Schutz unserer Formulare (Identitätsprüfung für Bestandspatienten sowie Terminbuchung für Neupatienten) vor automatisierten Zugriffen (Bots) setzen wir Cloudflare Turnstile ein. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.

Wenn Sie eines dieser Formulare absenden, übermittelt Ihr Browser technische Signale (u. a. IP-Adresse, Browser-Informationen) an Cloudflare, um zu prüfen, ob es sich um einen menschlichen Nutzer handelt. Cloudflare Turnstile erstellt dabei kein Nutzerprofil und verwendet die Daten nicht zu Werbezwecken.

Cloudflare ist im EU-US Data Privacy Framework (DPF) zertifiziert. Die Datenübertragung in die USA erfolgt auf dieser Grundlage sowie auf Basis der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Mit Cloudflare wurde ein Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor missbräuchlichen Zugriffen auf Patientendaten).
Weitere Informationen: https://www.cloudflare.com/privacypolicy/.

Verlinkung unseres TikTok-Profils

Auf dieser Website verlinken wir unser TikTok-Profil. Es handelt sich um einen einfachen Hyperlink, nicht um ein eingebettetes Social-Media-Plugin. Beim bloßen Aufruf unserer Seite werden dadurch keine Daten an TikTok übermittelt.

Erst wenn Sie den Link aktiv anklicken, werden Sie auf die Plattform weitergeleitet; ab diesem Zeitpunkt gelten die Datenschutzbestimmungen des Anbieters (TikTok Technology Limited, Irland). Auf die dortige Verarbeitung haben wir keinen Einfluss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Außendarstellung der Praxis).

Schriftarten (lokal gehostet)

Diese Website verwendet die Schriftarten „Inter" und „Playfair Display", die ausschließlich von unserem eigenen Server geladen werden. Es findet kein Datentransfer an Dritte statt. Eine Übertragung Ihrer IP-Adresse an externe Anbieter (z. B. Google Fonts) erfolgt durch die Schriftarten nicht.

6. Datenverarbeitung in der Patientenakte (Praxisverwaltungssystem)

Über unsere öffentliche Website hinaus betreiben wir ein internes Praxisverwaltungssystem („PMS"), in dem wir die für die Behandlung erforderlichen Daten unserer Patientinnen und Patienten verarbeiten. Das PMS ist nur für berechtigte Mitarbeitende der Praxis nach Authentifizierung zugänglich.

6.1 Verarbeitete Datenkategorien

• Patientenstammdaten: Name, Anschrift, Geburtsdatum, Geschlecht, Kontaktdaten, Versicherungsdaten (Kasse oder privat, ggf. Versicherungsnummer)
• Gesundheitsdaten (Art. 9 Abs. 1 DSGVO): Anamnese, Diagnosen, Befunde, Vitalparameter (z. B. Gewicht, Größe, BMI, Blutdruck), Laborwerte, Medikation, Dosierungen, Behandlungsverlauf, Rezepte, Notizen aus Konsultationen und Telefonaten
• Onboarding-Dokumente: ausgefüllte Anamnesebögen, unterschriebene Behandlungsverträge, Einwilligungen (z. B. Aufklärung, PVS-Einwilligung)
• Audio-Aufnahmen von Patientengesprächen (siehe Abschnitt 6.4)
• Termindaten und Terminhistorie
• Protokolldaten zu Anmelde- und Bearbeitungsvorgängen im System

6.2 Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der medizinischen Behandlung, der Abrechnung mit Patientinnen, Patienten oder Versicherungsträgern, der Erfüllung gesetzlicher Dokumentationspflichten (insbesondere § 630f BGB) sowie der Praxisorganisation.

6.3 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungsvertrags)
• Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Gesundheitsversorgung)
• Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), soweit Verarbeitungen über die unmittelbare Behandlung hinausgehen (z. B. Audio-Aufnahmen)
• Soweit anwendbar: gesetzliche Aufbewahrungspflichten (z. B. § 630f Abs. 3 BGB, Aufbewahrung der Patientenakte 10 Jahre)

6.4 Audio-Aufnahmen von Patientengesprächen

Mit Ihrer ausdrücklichen Einwilligung werden Patientengespräche im Rahmen der Behandlung als Audio aufgezeichnet, um eine vollständige und korrekte Dokumentation in Ihrer Patientenakte sicherzustellen.

• Aufnahme erfolgt nur nach Ihrer mündlichen Einwilligung, die vor jeder Aufnahme eingeholt und durch die behandelnde Person im System dokumentiert wird.
• Speicherung der Audio-Dateien erfolgt verschlüsselt in unserem internen System auf Servern in Deutschland (Hetzner, siehe Abschnitt 2).
• Zweck: ergänzende Behandlungsdokumentation, Sicherstellung der Vollständigkeit der Anamnese und Verlaufsdokumentation.
• Zugriff auf die Audio-Aufnahmen haben ausschließlich die behandelnde Ärztin / der behandelnde Arzt sowie autorisierte Praxismitarbeitende.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Sie können diese Einwilligung jederzeit für die Zukunft widerrufen. Bereits aufgezeichnete Inhalte werden auf Ihren Wunsch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Automatisierte Transkription: Auf Wunsch und nur nach Ihrer gesonderten, ausdrücklichen Einwilligung lassen wir die Aufnahme automatisiert in Text umwandeln. Die Einwilligung ist freiwillig – ohne sie erfolgt keine Transkription; die Behandlung ist davon in keiner Weise abhängig. Die Einwilligung wird vor der Verarbeitung technisch geprüft und im System dokumentiert. Näheres im folgenden Abschnitt.

6.4a Automatisierte Transkription der Audio-Aufnahmen

Haben Sie in die automatisierte Transkription eingewilligt, wird die betreffende Audio-Aufnahme aus unserem Speicher an den Transkriptionsdienst Corti übermittelt und dort in Text umgewandelt. Anbieter ist die Corti ApS, Dänemark, Teil der Corti-Unternehmensgruppe.

• Übermittelte Daten: ausschließlich die Audio-Datei des Gesprächs. Name, Geburtsdatum, Adresse oder sonstige Stammdaten werden nicht mit übermittelt; die Zuordnung erfolgt über eine technische Kennung in unserem System.
• Verarbeitungsort: Die Verarbeitung erfolgt in der EU-Umgebung des Anbieters; unsere Instanz ist auf die EU festgelegt.
• Kein Training: Der Anbieter verwendet die übermittelten Inhalte nicht zum Training allgemeiner KI-Modelle. Eine darüber hinausgehende Nutzung wäre nur mit gesonderter vertraglicher Vereinbarung möglich, die wir nicht abgeschlossen haben und nicht abschließen werden.
• Löschung beim Anbieter: Unmittelbar nach der Umwandlung in Text werden Audio-Datei und Transkript beim Transkriptionsdienst wieder gelöscht. Dauerhaft gespeichert bleiben sie ausschließlich in unserem eigenen System auf Servern in Deutschland (siehe Abschnitt 2).
• Ärztliche Kontrolle: Das Ergebnis ist zunächst ein Entwurf. Es wird ärztlich geprüft, bei Bedarf korrigiert und erst dann freigegeben. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.
• Auftragsverarbeitung: Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

6.5 Eingesetzte Auftragsverarbeiter im PMS

Für den Betrieb des PMS setzen wir folgende Auftragsverarbeiter ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen wurde:

• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) – Hosting der Anwendung, Datenbank, Datei-Speicher (Audio-Aufnahmen, Dokumente) und Workflow-Infrastruktur in deutschen Rechenzentren.
• Supabase (selbst gehostet bei Hetzner) – Datenbank und verschlüsselter Datei-Speicher für Patientendaten und Audio-Aufnahmen.
• Selbst gehostetes Terminsystem (siehe Abschnitt 5) – Termine werden in unserer eigenen Datenbank in Deutschland gespeichert; kein Drittland-Transfer.
• Corti ApS (Dänemark) – automatisierte Transkription von Audio-Aufnahmen, ausschließlich nach gesonderter Einwilligung und in der EU-Umgebung des Anbieters (siehe Abschnitt 6.4a).
• Brevo GmbH (Köpenicker Str. 126, 10179 Berlin) – technischer Versand der Termin-E-Mails (siehe Abschnitt 5).

6.6 Onboarding und elektronische Signatur

Im Rahmen des Patienten-Onboardings versenden wir Dokumente (Anamnesebogen, Behandlungsvertrag, Aufklärung, ggf. PVS-Einwilligung für Privatpatientinnen und -patienten) zur Unterzeichnung. Hierfür setzen wir ein:

• EuroSign (Anbieter: Avalbra GmbH, Deutschland) – Versand und elektronische Signatur der Dokumente. Der Anbieter verarbeitet hierbei Ihren Namen, Ihre E-Mail-Adresse, das Dokument sowie Signaturmetadaten ausschließlich zu diesem Zweck.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.
• Mit dem Anbieter wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

6.7 Speicherdauer im PMS

Patientendaten in der Patientenakte werden gemäß § 630f Abs. 3 BGB für die Dauer von mindestens 10 Jahren nach Abschluss der Behandlung aufbewahrt. Audio-Aufnahmen werden, sofern keine gesetzliche Aufbewahrungspflicht greift, nach Übernahme der relevanten Inhalte in die schriftliche Patientendokumentation gelöscht, spätestens jedoch nach Ablauf der Behandlungsdokumentationspflicht.

6.8 Sicherheit der Verarbeitung

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere:

• Verschlüsselte Übertragung sämtlicher Daten (TLS).
• Verschlüsselte Speicherung der Daten und Audio-Aufnahmen.
• Authentifizierte und rollenbasierte Zugriffskontrolle auf das PMS.
• Hosting ausschließlich in deutschen Rechenzentren.
• Regelmäßige Sicherheitsupdates und Protokollierung von Zugriffen.