Datenschutz, der vor der ersten Aufnahme beginnt
Bei der Nutzung von KiPT Voice bleibt Ihre Praxis datenschutzrechtlich Verantwortliche, und die Anwendung ist so gebaut, dass Sie diese Rolle ausfüllen können. Die Aufnahme entsteht und bleibt auf dem Praxis-Computer; für den Notizentwurf geht der Transkripttext an den von Ihnen konfigurierten Anbieter, mit dem Ihre Praxis einen eigenen Vertrag zur Auftragsverarbeitung schließt, oder gar nicht nach außen, wenn Sie ein lokales Modell wählen. Aufgezeichnet wird erst nach ausdrücklicher, zeitgestempelter Einwilligung der Patientin oder des Patienten. Ein Datenschutz-Paket mit Vorlagen für Ihre eigene Beratung gehört zu jedem Start.
Redaktionell gegen Produktverhalten und angegebene Primärquellen geprüft; keine individuelle medizinische oder rechtliche Beratung.
Rollen: die Praxis bleibt verantwortlich
Ihre Praxis entscheidet, wann aufgenommen wird, wer die Notiz prüft und wie mit den Daten weiter umgegangen wird. Datenschutzrechtlich bleibt die Praxis damit Verantwortliche im Sinne der DSGVO. KiPT Voice und der von Ihnen gewählte Anbieter unterstützen diesen Prozess technisch, treffen aber keine eigenen Entscheidungen über Zweck und Mittel der Verarbeitung.
- Die Praxis entscheidet über Beginn, Umfang und Aufbewahrung der Aufnahme.
- Die Praxis prüft den Notizentwurf und übernimmt ihn selbst in die Praxissoftware.
- Anbieter, die im Auftrag verarbeiten, handeln nach Weisung der Praxis.
Die drei Datenwege: Aufnahme, Transkript, Entwurf
Innerhalb einer Sitzung entstehen drei unterschiedliche Datenstände. Die Audioaufnahme bleibt verschlüsselt auf dem Praxis-Computer und wird gelöscht, sobald die Notiz bestätigt ist. Aus ihr entsteht dort ein Transkript; dieser Text geht, sofern kein lokales Modell konfiguriert ist, an den Anbieter, um daraus einen Entwurf der Notiz zu erzeugen. Der Entwurf kommt zur Prüfung zurück auf den Praxis-Computer. Transkript und Notiztext bleiben in der Anwendung für eine einstellbare Frist, standardmäßig 90 Tage, und werden danach entfernt.
- Aufnahme: entsteht und bleibt verschlüsselt auf dem Praxis-Computer, gelöscht mit der Bestätigung der Notiz.
- Transkript: entsteht auf dem Praxis-Computer; der Text geht an den konfigurierten Anbieter oder bleibt bei einem lokalen Modell ebenfalls dort.
- Entwurf: kommt vom Anbieter zurück, wird von der Praxis geprüft und selbst in die Praxissoftware übernommen.
Einwilligung vor der Aufnahme
Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar. KiPT Voice reagiert darauf mit einer blockierenden, zeitgestempelten Einwilligungsabfrage direkt in der Anwendung: Ohne ausdrückliche Bestätigung beginnt keine Aufnahme. Sagen Sie der Patientin oder dem Patienten vorab in eigenen Worten, dass das Gespräch aufgezeichnet wird, wofür der Entwurf verwendet wird, und dass eine Ablehnung möglich ist.
Lehnt jemand ab, wird schlicht nicht aufgenommen; das Gespräch findet wie gewohnt ohne Aufnahme statt.
- Die Einwilligung wird vor Aufnahmebeginn eingeholt und mit Zeitstempel festgehalten.
- Ohne Bestätigung startet die Aufnahme nicht.
- Eine Ablehnung hat keine weiteren Folgen für die Behandlung.
Auftragsverarbeitung und Schweigepflicht
Wer der ärztlichen Schweigepflicht nach § 203 StGB unterliegt, darf sich sogenannter mitwirkender Personen bedienen, wenn diese zur Erbringung der Leistung notwendig sind und entsprechend eingebunden werden. Der von Ihnen konfigurierte Anbieter erhält den Transkripttext auf dieser Grundlage; die Praxis schließt mit ihm einen eigenen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Wer stattdessen ein lokales Modell einsetzt, verarbeitet den Transkripttext ausschließlich auf dem eigenen Praxis-Computer und benötigt für diesen Schritt keinen externen Auftragsverarbeitungsvertrag. Diese Angaben sind allgemeine Informationen und ersetzen keine Rechtsberatung im Einzelfall.
- Der konfigurierte Anbieter ist regelmäßig Auftragsverarbeiter der Praxis, mit eigenem Vertrag nach Art. 28 DSGVO.
- Ein lokales Modell hält den Transkripttext auf dem Praxis-Computer.
- Allgemeine Information, keine Rechtsberatung im Einzelfall.
Das Datenschutz-Paket
Zu KiPT Voice gehört ein Datenschutz-Paket mit vier Dokumenten, die Sie Ihrer eigenen Datenschutzberatung vorlegen können: ein Eintrag für das Verzeichnis der Verarbeitungstätigkeiten, eine Patienteninformation, ein Gesprächsleitfaden für die Einwilligung im Sprechzimmer und eine Übersicht der technischen und organisatorischen Maßnahmen. Es ersetzt die Beratung nicht, sondern bereitet die Unterlagen dafür vor. Eine Datenschutz-Folgenabschätzung ist die Bewertung der Praxis selbst; das Paket liefert dafür die Beschreibung der Datenflüsse, nicht die Abschätzung. Der Entwurf des Auftragsverarbeitungsvertrags ist bewusst nicht öffentlich; er geht nach Prüfung an die Praxis.
- Verzeichnis der Verarbeitungstätigkeiten: der Eintrag für KiPT Voice.
- Patienteninformation und Gesprächsleitfaden für die Einwilligung.
- Übersicht der technischen und organisatorischen Maßnahmen.
Häufige Fragen
Muss ich eine Datenschutz-Folgenabschätzung machen?
Das ist zu prüfen; bei Gesundheitsdaten und neuer Technik häufig ja. Klären Sie diese Frage mit Ihrer oder Ihrem Datenschutzbeauftragten; die Abschätzung selbst ist Sache der Praxis. Das Datenschutz-Paket liefert dafür die Beschreibung der Datenflüsse (VVT-Eintrag und TOM-Übersicht).
Was sage ich Patientinnen und Patienten?
Dass das Gespräch aufgezeichnet wird, wofür der Entwurf genutzt wird und dass eine Ablehnung jederzeit möglich ist, in Ihren eigenen Worten, vor Beginn der Aufnahme. Der Gesprächsleitfaden im Datenschutz-Paket ist dafür die Vorlage.
Was passiert, wenn jemand ablehnt?
Es wird nicht aufgenommen. Ohne Einwilligung startet KiPT Voice die Aufnahme nicht; das Gespräch verläuft wie gewohnt, ohne technische Aufzeichnung.
Wer ist Auftragsverarbeiter?
Regelmäßig der von Ihnen konfigurierte Anbieter, mit dem Ihre Praxis einen eigenen Vertrag nach Art. 28 DSGVO schließt. Bei einem lokalen Modell entfällt dieser Schritt.
Wie lange bleibt die Aufnahme gespeichert?
Die Audioaufnahme wird gelöscht, sobald Sie die Notiz bestätigt haben. Transkript und Notiztext bleiben für eine einstellbare Frist, standardmäßig 90 Tage, und werden danach aus der Anwendung entfernt.