Datenschutz bei AnamneseZeit

1. Verantwortlicher für Website und Konten

heger.IT GmbH, Dammstraße 16, 34346 Hann. Münden
Geschäftsführer: Michael Heger
Telefon: +49 5541 91316-0 · E-Mail: info@heger.it

Für den Betrieb der Website, Praxis- und Administrationskonten sowie allgemeine Kontaktanfragen ist die heger.IT GmbH verantwortlich. Datenschutzanfragen richten Sie bitte an info@heger.it.

2. Verantwortlichkeit bei einer Patienteneinladung

Für Gesundheitsangaben, die ein Patient aufgrund einer Einladung seiner Arztpraxis übermittelt, ist die jeweilige Praxis datenschutzrechtlich verantwortlich. Sie bestimmt Zweck und Umfang der Verarbeitung. Die heger.IT GmbH verarbeitet diese Angaben ausschließlich im Auftrag der Praxis.

Gesundheitsdaten werden im Praxisbetrieb erst nach Abschluss eines Vertrags zur Auftragsverarbeitung und Freigabe der erforderlichen Datenschutzunterlagen verarbeitet.

3. Aufruf der Website

Der Webserver verarbeitet technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Dies dient dem stabilen und vor Missbrauch geschützten Betrieb auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Serverprotokolle werden nur für Betriebssicherheit und Fehleranalyse verwendet und nach Ende ihrer betrieblichen Erforderlichkeit gelöscht.

4. Konten und Anmeldung

Für Praxis- und Administrationskonten verarbeiten wir E-Mail-Adresse, Anzeigename, Rollen, Praxiszuordnung sowie Anmelde- und Sicherheitsereignisse. Die Verarbeitung dient der Bereitstellung und Absicherung des Kontos gemäß Art. 6 Abs. 1 lit. b und lit. f DSGVO. Das technisch notwendige Sitzungscookie az_session ist HttpOnly, Secure und auf acht Stunden begrenzt. Es ist für Anmeldung und geschützte Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse-, Marketing- oder Drittanbieter-Cookies setzt AnamneseZeit nicht ein.

5. Patienteneinladung und Gesundheitsangaben

Eine Einladung enthält einen zufälligen, zeitlich begrenzten Schlüssel. Name und Patienten-ID stehen nicht in der öffentlichen Adresse. Die interne Patientenreferenz wird verschlüsselt bei der Praxiszuordnung gespeichert. Es handelt sich um eine Pseudonymisierung, nicht um eine vollständige Anonymisierung, da die Praxis den Vorgang dem richtigen Behandlungskontext zuordnen können muss.

Nach Bestätigung der Patienteninformation können Audioaufnahmen übermittelt werden. Verarbeitet werden die Aufnahme, die gewählte Sprache, das Transkript und die daraus erstellte strukturierte Zusammenfassung. Die behandelnde Praxis legt die konkrete Rechtsgrundlage fest. Im Behandlungskontext kommen insbesondere Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO in Betracht; soweit erforderlich, holt die Praxis eine Einwilligung ein.

Die Verarbeitung bereitet das Arztgespräch vor und unterstützt die ärztliche Anamnese, Diagnostik und Behandlungsplanung. AnamneseZeit strukturiert die Patientenangaben automatisiert; die behandelnde Praxis prüft die Übersicht, zieht medizinische Schlussfolgerungen und trifft die Entscheidungen.

6. Verarbeitung und Empfänger

Transkription und Strukturierung laufen auf eigener, über ein privates Netz verbundener Infrastruktur in Deutschland. Gesundheitsinhalte werden nicht an OpenAI, Google oder andere öffentliche KI-Dienste übertragen und nicht für das Training fremder Modelle verwendet. Die Übertragung vom Endgerät erfolgt verschlüsselt per HTTPS.

Technische Empfänger können der deutsche Rechenzentrumsbetrieb und die ausschließlich für Konto-E-Mails eingesetzte Mail-Infrastruktur sein. Konto-E-Mails enthalten keine Gesundheitsinhalte. Eine Übermittlung von Gesundheitsinhalten in Drittländer ist nicht vorgesehen.

7. Speicherdauer

Für Audioaufnahmen, Transkripte und KI-Entwürfe gilt im Verarbeitungssystem eine Löschfrist von 24 Stunden ab Eingang. Einladungen sind höchstens sieben Tage gültig. Eine von der Praxis exportierte oder in ihre Dokumentation übernommene ärztliche Übersicht unterliegt den gesetzlichen Aufbewahrungspflichten der Praxis.

Kontodaten werden bis zur Löschung des Kontos gespeichert. Eine Deaktivierung beendet den Zugang, löscht die Kontodaten jedoch nicht automatisch. Gesetzliche Aufbewahrungs- und Nachweispflichten können eine längere Speicherung einzelner Verwaltungs- oder Sicherheitsnachweise erfordern.

8. Kontaktaufnahme

Bei Kontakt per E-Mail oder Telefon verarbeiten wir die mitgeteilten Daten zur Beantwortung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, ansonsten Art. 6 Abs. 1 lit. f DSGVO. Bitte senden Sie über die allgemeinen Kontaktwege keine Patientendaten.

9. Rechte betroffener Personen

Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf einer erteilten Einwilligung für die Zukunft. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Wenden Sie sich dazu an die oben genannte Kontaktadresse.

Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für den Datenschutz Niedersachsen.

10. Technische Schutzmaßnahmen und Änderungen

Zu den eingesetzten Schutzmaßnahmen gehören Transportverschlüsselung, verschlüsselte Inhaltsablage, rollenbasierte Zugriffe, zeitlich begrenzte Einladungen und protokollierte sicherheitsrelevante Vorgänge. Diese Erklärung wird angepasst, wenn sich die Verarbeitung oder die eingesetzten Verfahren ändern.