Datenschutzerklärung

Joshua B. Quattek (Einzelunternehmen), Berlin, Deutschland.
E-Mail: dsb@duktus-pro.de

Für Praxen und Institute sind Sie im Sinne der DSGVO der Verantwortliche für die Patientendaten; duktus ist Ihr Auftragsverarbeiter nach Art. 28 DSGVO.

• Nutzungskonto: Name, berufliche E-Mail-Adresse, Berufsbezeichnung, Praxis- oder Institutszuordnung.
• Inhaltsdaten: Von Ihnen eingegebene oder diktierte Notizen, Entwürfe und Dokumente. Diese können Gesundheitsdaten im Sinne von Art. 9 DSGVO enthalten.
• Technische Daten: Zeitpunkt des Zugriffs, gekürzte IP-Adresse, Browsertyp – zur Absicherung des Betriebs.
• Abrechnungsdaten: Rechnungsanschrift und Zahlungsbelege, sofern ein kostenpflichtiger Zugang besteht.

• Bereitstellung des Dienstes und Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO.
• Verarbeitung von Gesundheitsdaten im Auftrag: Art. 9 Abs. 2 lit. h i. V. m. Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags mit Ihrer Praxis.
• Betriebssicherheit, Missbrauchsabwehr und Fehleranalyse: Art. 6 Abs. 1 lit. f DSGVO.
• Gesetzliche Aufbewahrungspflichten: Art. 6 Abs. 1 lit. c DSGVO.

Vor regulären externen Modellaufrufen ersetzt duktus automatisch direkte Identifikatoren wie Namen, Adressen, Geburtsdaten und Kontaktdaten durch Platzhalter. Die Zuordnung von Platzhalter zu Klarname wird serverseitig sitzungsgebunden gehalten und mit der Sitzung verworfen; sie wird nicht an Modellanbieter übermittelt.

Wir formulieren das bewusst nicht absolut: Die technische Zentralisierung sämtlicher externer KI-Pfade über die Pseudonymisierung ist ein laufendes Entwicklungsziel und noch nicht abgeschlossen.

Die dauerhafte Applikations- und Datenhaltung (Anwendung, Datenbank, Dateien, Backups) erfolgt verschlüsselt bei Hetzner in Deutschland, Standorte Nürnberg und Falkenstein. Die dort eingesetzten Rechenzentren sind nach ISO/IEC 27001 zertifiziert; die Zertifizierung ist eine Eigenschaft des Betreibers, nicht von duktus.

Für klar abgegrenzte Funktionen setzt duktus vertraglich gebundene Unterauftragnehmer ein. Alle Verarbeitungsstandorte liegen in der EU (Deutschland und Frankreich). Bei Anbietern mit Konzernmutter in den USA – hier AWS – ist ein behördlicher Zugriff nach US-Recht (CLOUD Act) trotz EU-Region rechtlich nicht vollständig auszuschließen. Wir behaupten deshalb keinen absoluten Ausschluss eines Drittstaatenzugriffs, sondern weisen die Verarbeitungskette vollständig aus.

• Hetzner – Anwendung, Datenbank, Dateien, Backups; Gesundheits- und Accountdaten; Deutschland
• AWS Bedrock – Modellinferenz; pseudonymisierte Prompts; EU-Region Frankfurt
• AWS Cognito – Authentifizierung; Account- und Authentifizierungsdaten; EU-Region Frankfurt
• AWS Transcribe – Speech-to-Text (Fallback); temporäres Audio; EU-Region Frankfurt
• AWS SES – E-Mail-Zustellung; E-Mail- und Zustellungsdaten; EU-Region Frankfurt
• Gladia SAS – Speech-to-Text (primär); Rohaudio; EU (Frankreich)
• IONOS – ausgewählte OCR-Verarbeitung; Dokumentbilder; Deutschland

Mit allen Dienstleistern bestehen Verträge nach Art. 28 DSGVO. Diese Liste wird bei Änderungen aktualisiert; die jeweils aktuelle Fassung ist auch Bestandteil des Auftragsverarbeitungsvertrags.

Ihre Inhalte werden weder von duktus noch von eingesetzten Modellanbietern zum Training oder zur Verbesserung von KI-Modellen verwendet. Dies ist vertraglich ausgeschlossen und technisch über entsprechende API-Konfigurationen abgesichert.

Inhaltsdaten speichern wir, solange Ihr Konto besteht. Nach Löschung eines Falls oder des Kontos werden die Daten unverzüglich entfernt und spätestens nach 30 Tagen auch aus Backups getilgt. Rechnungsdaten bewahren wir gemäß handels- und steuerrechtlicher Fristen bis zu zehn Jahre auf.

Wenn Sie das Formular auf /kontakt oder /studienteilnahme nutzen, verarbeiten wir die dort eingegebenen Angaben: Name, E-Mail-Adresse, die gewählte Rolle, den Anlass der Anfrage und Ihren Freitext. Wir bitten ausdrücklich darum, in diesen Feldern keine Patienten- oder Gesundheitsdaten einzutragen.

Zweck ist ausschließlich die Bearbeitung Ihrer Anfrage; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags- oder Pilotverhältnisses), im Übrigen Art. 6 Abs. 1 lit. f DSGVO an unserem berechtigten Interesse, Anfragen nachvollziehbar zu beantworten. Die Angabe ist freiwillig; ohne sie können wir Ihre Anfrage jedoch nicht bearbeiten.

Die Anfrage wird auf unserem Server bei Hetzner in Deutschland gespeichert und erhält eine Ticketnummer. Über AWS SES (EU-Region Frankfurt) versenden wir anschließend eine Eingangsbestätigung an Sie und eine Benachrichtigung an unser Postfach, das bei einem E-Mail-Dienstleister in der EU betrieben wird. Name, E-Mail-Adresse und Nachrichtentext werden nicht in Anwendungsprotokollen abgelegt; protokolliert wird nur die Ticketnummer.

Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Sie können der Speicherung jederzeit unter dsb@duktus-pro.de widersprechen.

Wir setzen ausschließlich technisch notwendige Cookies für Anmeldung und Sitzung ein. Es findet kein Tracking zu Werbezwecken statt, es werden keine Profile gebildet und keine Daten an Werbenetzwerke übermittelt.

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Wenden Sie sich dafür an dsb@duktus-pro.de. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

Für Sicherheitsvorfälle besteht ein dokumentierter Prozess. Betroffene Verantwortliche informieren wir unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme, mit allen für die Meldung nach Art. 33 DSGVO erforderlichen Angaben.