Primärregion Frankfurt
Anwendung, Datenbank, Dateien und die KI-Verarbeitung laufen in Frankfurt; die Transkription über eine EU-Mehrregion.
Datenschutz & Sicherheit
Schutz für besonders sensible Praxisdaten.
Psymira verarbeitet psychotherapeutische Inhalte als Auftragsverarbeiter der Praxis. Diese Übersicht beschreibt den aktuellen technischen Stand und ersetzt weder den AV-Vertrag noch die Datenschutzerklärung oder die eigene Prüfung der Praxis.
Fachliche Kontrolle
KI erzeugt Entwürfe. Prüfung und Entscheidung verbleiben beim Psychotherapeuten.
Mandanten- und Rechtebindung
Jeder Zugriff der Anwendung wird authentifiziert und jede Datenabfrage an Praxis- und Benutzerrechte gebunden.
Datenfluss
Vom Browser bis zum dokumentierten Ergebnis.
Patienten- und Behandlungsdaten werden nicht für Werbung oder Profilbildung verwendet.
Übertragung
Verbindungen zwischen Browser, App und Cloud-Diensten werden über HTTPS/TLS geschützt.
Speicherung
Praxis- und Patientendaten liegen in einer Datenbank, Audiodateien in einem getrennten Dateispeicher. Die Primärregion ist Frankfurt.
Transkription und Texterkennung
Audio wird über Speech-to-Text V2 in einer EU-Mehrregion transkribiert; Audiodatei und Transkript sind getrennt löschbar. Hochgeladene Dokumente werden über Document AI in einer EU-Mehrregion per Texterkennung ausgelesen.
KI-Verarbeitung
Vor Vertex-AI-Aufrufen werden konfigurierbare Regeln zur Identifikatorenfilterung/Datenreduktion angewendet, sodass identifizierende Stammdaten reduziert werden. Freitext (z. B. Notizen, Transkripte) kann weiterhin Namen enthalten; die Kontrolle darüber liegt bei der Praxis.
Rollen und Verantwortung
Klare Trennung der Aufgaben.
Die Praxis bleibt für die Rechtmäßigkeit der Behandlung, Dokumentation und Aufnahme verantwortlich. Laudien Ventures GmbH i.G. verarbeitet Patientendaten ausschließlich im Auftrag und nach dokumentierter Weisung.
Praxis als Verantwortlicher
Bestimmt Zwecke, Rechtsgrundlagen, Aufbewahrung, Zugriffsrechte und die Zulässigkeit von Audioaufnahmen.
Laudien Ventures GmbH als Auftragsverarbeiter
Betreibt Psymira nach AV-Vertrag und dokumentierter Weisung der Praxis.
Eigene Verantwortlichkeit
Für Website, Vertragskonto, Abrechnung, Kontakt und die Sicherheit des eigenen Dienstbetriebs ist Laudien Ventures GmbH selbst verantwortlich.
Unterauftragnehmer und Empfänger
Für die Verarbeitung von Patienten- und Behandlungsdaten im Auftrag setzt Psymira Google Cloud (App Engine, Cloud SQL, Cloud Storage, Cloud Run, Cloud Logging), Google Cloud Speech-to-Text für die Transkription, Google Cloud Document AI für die Texterkennung auf hochgeladenen Dokumenten, Google Vertex AI für die KI-Funktionen sowie Firebase Authentication für Anmeldung und Token-Prüfung ein. Die vollständige, verbindliche Liste dieser Unterauftragnehmer enthält der Auftragsverarbeitungsvertrag (Anlage 3). Weitere Empfänger für die eigenverantwortliche Verarbeitung (Konto/Anmeldung, Zahlung, Klinikfinder, Website-Kontakt) sind in der Datenschutzerklärung dargestellt. Diese Seite führt bewusst kein eigenes, davon abweichendes Register.
Speicherung und Löschung
Die Aufbewahrung von Patientenakten steuert die Praxis (Orientierung § 630f BGB). Audiodateien werden nach der Transkription, spätestens nach 30 Tagen gelöscht; Audit-Logs nach 12 Monaten; KI- und Transkriptionsjobs nach 7 Tagen; Datenbankbackups und Point-in-Time-Recovery nach 7 Tagen. Die vollständige Fristenübersicht enthält die Datenschutzerklärung sowie Anlage 4 des AV-Vertrags.
Häufige Fragen zu Datenschutz & KI
Wo werden Praxis- und Patientendaten verarbeitet?
Die primären Produktdaten werden in Google Cloud in Frankfurt verarbeitet und gespeichert; das gilt auch für die KI-Verarbeitung. Transkription und Texterkennung laufen über eine EU-Mehrregion. Firebase Authentication verarbeitet ausschließlich Authentifizierungsdaten; dabei kann eine Verarbeitung in den USA stattfinden.
Werden Daten für das Training von KI-Modellen verwendet?
Psymira nutzt Vertex AI. Nach den anwendbaren Google-Cloud-Servicebedingungen werden Kundendaten nicht ohne vorherige Erlaubnis oder Weisung zum Training oder Fine-Tuning von Modellen verwendet. Psymira verwendet Praxis- oder Patientendaten nicht für eigene Modelltrainings.
Wer kann auf Patientendaten zugreifen?
Zugriffe sind an Praxis- und Benutzerberechtigungen gebunden. Administrative Zugriffe auf Produktivdaten sind auf einen eng begrenzten Personenkreis beschränkt, erfolgen nur im Ausnahmefall und werden protokolliert. Es gibt keinen externen Support-Anbieter mit Datenbankzugriff.
Wie werden KI-Ergebnisse kontrolliert?
KI-Ausgaben sind bearbeitbare Entwürfe. Die fachliche Prüfung, Bearbeitung und Entscheidung verbleiben beim Psychotherapeuten. Psymira stellt keine Diagnose und trifft keine Therapie- oder Notfallentscheidung.
Was gilt für Audioaufnahmen?
Aufnahmen dürfen nur erfolgen, wenn die Praxis die rechtliche Zulässigkeit geprüft und erforderliche Zustimmungen aller aufgenommenen Personen eingeholt hat. Audiodatei und Transkript können getrennt gelöscht werden; Audiodateien werden nach erfolgreicher Transkription, spätestens nach 30 Tagen automatisch gelöscht.
Datenschutzfragen zur Einführung?
Unsere Datenschutzbeauftragte erreichen Sie unter datenschutz@psymira.de.
Kontakt aufnehmen