Primärregion Frankfurt
Anwendung, Datenbank und Dateien liegen in Frankfurt; Transkription, Texterkennung und KI-Auswertung werden innerhalb der EU verarbeitet.
Datenschutz & Sicherheit
Schutz für besonders sensible Praxisdaten.
Psymira verarbeitet psychotherapeutische Inhalte als Auftragsverarbeiter der Praxis. Diese Übersicht beschreibt den aktuellen technischen Stand und ersetzt weder den AV-Vertrag noch die Datenschutzerklärung oder die eigene Prüfung der Praxis.
Fachliche Kontrolle
KI erzeugt Entwürfe. Prüfung und Entscheidung verbleiben beim Psychotherapeuten.
Mandanten- und Rechtebindung
Jeder Zugriff der Anwendung wird authentifiziert und jede Datenabfrage an Praxis- und Benutzerrechte gebunden.
Datenfluss
Vom Browser bis zum dokumentierten Ergebnis.
Patienten- und Behandlungsdaten werden nicht für Werbung oder Profilbildung verwendet.
Übertragung
Verbindungen zwischen Browser, App und Cloud-Diensten werden über HTTPS/TLS geschützt.
Speicherung
Praxis- und Patientendaten liegen in einer Datenbank, Audiodateien in einem getrennten Dateispeicher. Die Primärregion ist Frankfurt.
Transkription und Texterkennung
Audio wird über Google Cloud Speech-to-Text innerhalb der EU transkribiert; Audiodatei und Transkript sind getrennt löschbar. Hochgeladene Dokumente werden über Document AI innerhalb der EU per Texterkennung ausgelesen.
KI-Verarbeitung
Vor Vertex-AI-Aufrufen werden konfigurierbare Regeln zur Identifikatorenfilterung/Datenreduktion angewendet, sodass identifizierende Stammdaten reduziert werden. Freitext (z. B. Notizen, Transkripte) kann weiterhin Namen enthalten; die Kontrolle darüber liegt bei der Praxis.
Rollen und Verantwortung
Klare Trennung der Aufgaben.
Die Praxis bleibt für die Rechtmäßigkeit der Behandlung, Dokumentation und Aufnahme verantwortlich. Gleevity GmbH verarbeitet Patientendaten ausschließlich im Auftrag und nach dokumentierter Weisung.
Praxis als Verantwortlicher
Bestimmt Zwecke, Rechtsgrundlagen, Aufbewahrung, Zugriffsrechte und die Zulässigkeit von Audioaufnahmen.
Gleevity GmbH als Auftragsverarbeiter
Betreibt Psymira nach AV-Vertrag und dokumentierter Weisung der Praxis.
Eigene Verantwortlichkeit
Für Website, Vertragskonto, Abrechnung, Kontakt und die Sicherheit des eigenen Dienstbetriebs ist Gleevity GmbH selbst verantwortlich.
Unterauftragnehmer und Empfänger
Für die Verarbeitung von Patienten- und Behandlungsdaten im Auftrag setzt Psymira Google Cloud (App Engine, Cloud SQL, Cloud Storage, Cloud Run, Cloud Logging), Google Cloud Speech-to-Text für die Transkription, Google Cloud Document AI für die Texterkennung auf hochgeladenen Dokumenten, Google Vertex AI für die KI-Funktionen sowie Firebase Authentication für Anmeldung und Token-Prüfung ein. Die vollständige, verbindliche Liste dieser Unterauftragnehmer enthält der Auftragsverarbeitungsvertrag (Anlage 3). Weitere Empfänger für die eigenverantwortliche Verarbeitung (Konto/Anmeldung, Zahlung, Klinikfinder, Website-Kontakt) sind in der Datenschutzerklärung dargestellt. Diese Seite führt bewusst kein eigenes, davon abweichendes Register.
Speicherung und Löschung
Die Aufbewahrung von Patientenakten steuert die Praxis (Orientierung § 630f BGB). Für die technischen Fristen gilt:
- Audioaufnahmen
- Löschung nach erfolgreicher Transkription, spätestens nach 30 Tagen.
- Transkripte
- Getrennt löschbar oder zusammen mit der zugehörigen Aufnahme beziehungsweise Patientenakte; praxisgesteuert.
- Audit-Logs (Zugriffe auf Patientendaten)
- 12 Monate, anschließend Löschung.
- KI- und Transkriptionsjobs
- Abgeschlossene Queue-Einträge werden nach sieben Tagen automatisch gelöscht.
- Anwendungslogs
- Rollierend 30 Tage in Google Cloud Logging.
- Datenbankbackups und Point-in-Time-Recovery
- Tägliche Backups und Transaktionsprotokolle mit sieben Tagen Aufbewahrung.
Die vollständige Fristenübersicht enthält die Datenschutzerklärung sowie Anlage 4 des AV-Vertrags; dort sind die Angaben maßgeblich.
Wie diese Seite zu lesen ist
Drei Arten von Aussagen — auseinandergehalten.
Auf einer Seite wie dieser stehen Zusagen, Erklärungen und Normhinweise nebeneinander. Sie sind nicht dasselbe, und was sie unterscheidet, steht hier ausdrücklich dabei.
Produktfakt
Eine Zusage darüber, was Psymira tut. Sie ist im AV-Vertrag oder in der Datenschutzerklärung verbindlich gefasst und dort maßgeblich.
Audiodateien: Löschung nach erfolgreicher Transkription, spätestens nach 30 Tagen.
Maßgeblich: AV-Vertrag (Anlage 4), Datenschutzerklärung
Technische Erklärung
Eine Beschreibung, wie eine Technik allgemein arbeitet. Sie gilt nicht nur für Psymira und ist keine Zusage über den Funktionsumfang.
Ein Transkriptionssystem erzeugt ein wörtliches Protokoll des Gesprochenen. Ob ein Satz fachlich relevant ist, ergibt sich daraus nicht — das ist eine fachliche Bewertung.
Maßgeblich: allgemeine Einordnung, keine Zusage
Rechtlicher Rahmen
Ein Hinweis auf eine Vorschrift. Er nennt die Norm, ersetzt aber keine Rechtsberatung und keine eigene Prüfung der Praxis.
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Für die Verarbeitung im Auftrag ist ein Vertrag nach Art. 28 DSGVO erforderlich; für die Aufbewahrung der Behandlungsdokumentation gibt § 630f BGB den Rahmen.
Maßgeblich: Art. 9 und Art. 28 DSGVO, § 630f BGB
Die Normhinweise nennen die Vorschrift und ersetzen keine Rechtsberatung. Ob eine Verarbeitung in der eigenen Praxis zulässig ist, bleibt deren Prüfung — diese Seite trifft dazu keine Aussage.
Wie die Abläufe im Einzelnen funktionieren
Diese Seite beschreibt Schutzmaßnahmen und Verantwortlichkeiten. Was in einem Arbeitsschritt tatsächlich passiert — und was die KI dabei ausdrücklich nicht leistet — steht im Wissensbereich.
Häufige Fragen zu Datenschutz & KI
Wo werden Praxis- und Patientendaten verarbeitet?
Die primären Produktdaten werden in Google Cloud in Frankfurt verarbeitet und gespeichert; das gilt auch für die KI-Verarbeitung. Transkription und Texterkennung laufen innerhalb der EU. Firebase Authentication verarbeitet ausschließlich Authentifizierungsdaten; dabei kann eine Verarbeitung in den USA stattfinden.
Werden Daten für das Training von KI-Modellen verwendet?
Psymira nutzt Vertex AI. Nach den anwendbaren Google-Cloud-Servicebedingungen werden Kundendaten nicht ohne vorherige Erlaubnis oder Weisung zum Training oder Fine-Tuning von Modellen verwendet. Psymira verwendet Praxis- oder Patientendaten nicht für eigene Modelltrainings.
Wer kann auf Patientendaten zugreifen?
Zugriffe sind an Praxis- und Benutzerberechtigungen gebunden. Administrative Zugriffe auf Produktivdaten sind auf einen eng begrenzten Personenkreis beschränkt, erfolgen nur im Ausnahmefall und werden protokolliert. Es gibt keinen externen Support-Anbieter mit Datenbankzugriff.
Wie werden KI-Ergebnisse kontrolliert?
KI-Ausgaben sind bearbeitbare Entwürfe. Die fachliche Prüfung, Bearbeitung und Entscheidung verbleiben beim Psychotherapeuten. Psymira stellt keine Diagnose und trifft keine Therapie- oder Notfallentscheidung.
Was gilt für Audioaufnahmen?
Aufnahmen dürfen nur erfolgen, wenn die Praxis die rechtliche Zulässigkeit geprüft und erforderliche Zustimmungen aller aufgenommenen Personen eingeholt hat. Audiodatei und Transkript können getrennt gelöscht werden. Für die Aufnahme selbst gilt: Löschung nach erfolgreicher Transkription, spätestens nach 30 Tagen.
Wie lange werden Zugriffe auf Patientendaten protokolliert?
Zugriffe auf Patientendaten werden protokolliert. Aufbewahrung der Audit-Logs: 12 Monate, anschließend Löschung.
Was passiert mit den Daten am Vertragsende?
Ehemals zahlende Kunden erhalten einen Abschluss-Export: 90 Tage nach Deaktivierung des Zugangs, dann Löschung (sofort wirksam, nach sieben Tagen endgültig); Herausgabe nur nach Identitätsprüfung. Für ein Konto aus einer reinen Testphase ohne kostenpflichtiges Abo gilt: 30 Tage Read-only nach Testphasenende, danach automatische Löschung (sofort wirksam, nach sieben Tagen endgültig); kein Abschluss-Archiv.
Werden Patientendaten für Werbung oder Profilbildung verwendet?
Nein. Patienten- und Behandlungsdaten werden nicht für Werbung oder Profilbildung verwendet. Für die Website gilt ein separater Einwilligungsdialog; er betrifft ausschließlich die Website-Reichweitenmessung und niemals Inhalte aus der Anwendung.
Datenschutzfragen zur Einführung?
Unsere Datenschutzbeauftragte erreichen Sie unter datenschutz@psymira.de.
Kontakt aufnehmen