Datenschutz und Sicherheit

Diese Seite richtet sich an die Person, die in Ihrer Praxis Nein sagen kann: Ihren Datenschutzbeauftragten. Sie ist nach demselben Muster gebaut wie unsere Seite zur Anbindung — was gilt, was wir für Sie klären, was wir nicht behaupten.

Der dritte Teil ist hier der längste. Das liegt daran, dass mehrere Grundlagen bei uns noch nicht abgeschlossen sind, und wir halten es für richtig, das auf der Datenschutzseite selbst zu sagen — nicht erst im Gespräch.

Rechtlich verbindlich ist unsere Datenschutzerklärung. Diese Seite erklärt, was praktisch passiert.

1 · Was gilt

Was passiert mit dem, was am Telefon gesagt wird?

Fünf Punkte lassen sich heute belegen. Sie stehen hier vollständig, ohne Zusatz und ohne Auslassung.

  • Gespräche werden nicht aufgezeichnet — gespeichert wird ausschließlich das strukturierte Ergebnis: Anliegen, Name, Rückrufnummer, Terminwunsch.
  • Ihre Daten werden nicht zum Training von Modellen verwendet.
  • Der Assistent gibt sich zu Beginn jedes Anrufs als KI-System zu erkennen (Art. 50 KI-Verordnung). Ihre Patientinnen und Patienten wissen von der ersten Sekunde an, mit wem sie sprechen — abschalten lässt sich das nicht.
  • Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir jedem Kunden bereit
  • Cogniiq und alle Mitarbeitenden werden vertraglich auf das Berufsgeheimnis nach § 203 StGB verpflichtet
  • Ob Ihre Praxis eine Datenschutz-Folgenabschätzung benötigt, entscheidet Ihr Datenschutzbeauftragter — wir liefern die Unterlagen zu, statt die Frage für Sie zu beantworten

2 · Was wir für Sie klären

Was fragt Ihr Datenschutzbeauftragter — und was bekommt er von uns?

Ob Ihre Praxis eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO benötigt, entscheidet Ihr Datenschutzbeauftragter. Diese Frage ist fachlich umstritten, und wir beantworten sie nicht für Sie — wir liefern die Unterlagen zu, mit denen er sie beantworten kann.

Damit dieses Gespräch nicht bei uns anfängt, sondern bei ihm: Das sind die Fragen, die er uns stellen sollte. Stellen Sie sie ruhig wörtlich — sie sind genau die richtigen, und wir beantworten sie schriftlich.

  1. 1

    Wo werden die Daten verarbeitet, und welche Unterauftragsverarbeiter sind beteiligt?

    Bestimmt, ob ein Drittlandtransfer vorliegt und welche Garantien nötig sind.

  2. 2

    Liegt für jeden Unterauftragsverarbeiter ein Vertrag nach Art. 28 DSGVO vor?

    Ohne lückenlose Kette ist die Auftragsverarbeitung nicht sauber abgebildet.

  3. 3

    Was genau wird gespeichert, wie lange, und wann wird gelöscht?

    Grundlage für Löschkonzept und Verarbeitungsverzeichnis.

  4. 4

    Welche technischen und organisatorischen Maßnahmen sind dokumentiert?

    Nachweispflicht nach Art. 32 DSGVO; gehört als Anlage zum AVV.

  5. 5

    Wie ist die Schweigepflicht nach § 203 StGB vertraglich abgebildet — auch für Beschäftigte und Unterauftragnehmer?

    Gehilfenstellung: Ohne Verpflichtung droht Strafbarkeit auf beiden Seiten.

  6. 6

    Wie werden Anrufende darüber informiert, dass ein KI-System spricht?

    Transparenzpflicht nach Art. 50 KI-Verordnung.

3 · Was wir nicht behaupten

Ist der Empfang DSGVO-konform?

Diesen Satz schreiben wir nicht. „DSGVO-konform“ ist keine Eigenschaft, die ein Anbieter sich selbst ausstellen kann — konform ist eine Verarbeitung, nicht ein Produkt, und beurteilen kann das nur, wer den konkreten Einsatz in Ihrer Praxis kennt.

Wir machen auch keine Angabe zum Verarbeitungsort und nennen keine Unterauftragsverarbeiter, solange die Verträge dafür nicht abschließend unterzeichnet sind. Eine Aussage über Server, die wir später korrigieren müssten, wäre schlimmer als gar keine.

Eine Liste technischer und organisatorischer Maßnahmen liegt noch nicht in dokumentierter Form vor. Wir führen sie deshalb hier nicht auf — auch nicht in Stichworten, weil eine unvollständige TOM-Liste den Eindruck erweckt, es gäbe eine vollständige.

Was das für Sie heißt: Wenn Ihr Datenschutzbeauftragter diese Punkte vor einer Entscheidung schriftlich braucht, sprechen Sie uns an, bevor Sie weiter planen. Wir sagen Ihnen dann, was wir heute liefern können und was nicht.

Häufige Fragen zum Datenschutz

Ist der Empfang DSGVO-konform?

Diesen Satz schreiben wir nicht. „DSGVO-konform“ ist keine Eigenschaft, die ein Anbieter sich selbst ausstellen kann — konform ist eine Verarbeitung, nicht ein Produkt, und beurteilen kann das nur, wer den konkreten Einsatz in Ihrer Praxis kennt. Wir machen auch keine Angabe zum Verarbeitungsort und nennen keine Unterauftragsverarbeiter, solange die Verträge dafür nicht abschließend unterzeichnet sind. Eine Aussage über Server, die wir später korrigieren müssten, wäre schlimmer als gar keine.

Braucht meine Praxis eine Datenschutz-Folgenabschätzung?

Ob Ihre Praxis eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO benötigt, entscheidet Ihr Datenschutzbeauftragter. Diese Frage ist fachlich umstritten, und wir beantworten sie nicht für Sie — wir liefern die Unterlagen zu, mit denen er sie beantworten kann.

Werden Gespräche mitgeschnitten?

Gespräche werden nicht aufgezeichnet — gespeichert wird ausschließlich das strukturierte Ergebnis: Anliegen, Name, Rückrufnummer, Terminwunsch. Ihre Daten werden nicht zum Training von Modellen verwendet.

Erfahren Anrufende, dass sie mit einem KI-System sprechen?

Der Assistent gibt sich zu Beginn jedes Anrufs als KI-System zu erkennen (Art. 50 KI-Verordnung). Ihre Patientinnen und Patienten wissen von der ersten Sekunde an, mit wem sie sprechen — abschalten lässt sich das nicht.

Nehmen Sie Ihren Datenschutzbeauftragten mit.

Im Erstgespräch beantworten wir die sechs Fragen oben so weit, wie wir sie heute beantworten können — und sagen bei den übrigen, wann wir sie beantworten können. Schriftlich, damit Ihr Datenschutzbeauftragter es prüfen kann.

Unverbindliches Erstgespräch vereinbaren

Kein Verkaufsgespräch, keine Präsentation.

Weiterlesen