Datenschutzerklärung

Laudien Ventures GmbH i.G.

Vertreten durch: Ronny Laudien, Geschäftsführer
E-Mail: datenschutz@psymira.de
Telefon: +49 30 29045265

Unsere Datenschutzbeauftragte erreichen Sie unter:
E-Mail: datenschutz@psymira.de

Die öffentliche Website wird über Firebase Hosting ausgeliefert. Beim Aufruf verarbeitet die Hosting-Infrastruktur technisch notwendige Verbindungs- und Protokolldaten. Dazu können IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer, Browser- und Geräteinformationen sowie Status- und Fehlerdaten gehören. Die Verarbeitung dient der sicheren Auslieferung, Fehleranalyse, Missbrauchsabwehr und Stabilität des Angebots.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website. Patienten-, Diagnose-, Sitzungs-, Krisen- oder Freitextdaten gelangen nicht in die Hosting-Protokolle.

Optionale Analyse- und Marketingdienste werden ausschließlich nach Ihrer ausdrücklichen Einwilligung geladen. Ohne Einwilligung werden keine entsprechenden Cookies gesetzt und keine Drittanbieter-Skripte ausgeführt; der anfängliche Consent-Status bleibt „denied“ (Google Consent Mode). Sie können Ihre Auswahl jederzeit über die Datenschutz-Einstellungen im Seitenfuß mit Wirkung für die Zukunft ändern oder widerrufen.

Bei erteilter Einwilligung setzen wir – soweit konfiguriert – ein: Google Tag Manager und darüber Google Analytics 4 zur pseudonymen Reichweitenmessung; Meta Pixel zur Messung von Marketing- und Kampagnenkontakten; sowie eine pseudonyme, seiteneigene (first-party) Kampagnen-Attribution ohne Drittanbieter. Verarbeitet werden pseudonyme Nutzungs- und Interaktionsdaten; besondere Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten) werden an diese Dienste nicht übermittelt.

Anbieter sind die Google Ireland Limited und die Meta Platforms Ireland Limited. Dabei kann eine Verarbeitung in den USA stattfinden; als Übermittlungsinstrument dienen die EU-Standardvertragsklauseln nebst den jeweiligen Datenverarbeitungsbedingungen der Anbieter. Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Technisch notwendige Einstellungen können auf dem Endgerät gespeichert werden, etwa die Consent-Entscheidung oder eine Darstellungspräferenz. Soweit die Speicherung für die ausdrücklich gewünschte Bereitstellung erforderlich ist, erfolgt sie nach § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung stützt sich je nach Zweck auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Im eingeloggten Bereich (app.psymira.de) werden diese Messdienste nicht eingesetzt.

Bei einer Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir die übermittelten Angaben, um die Anfrage zu beantworten und gegebenenfalls vorvertragliche Maßnahmen durchzuführen. Rechtsgrundlage ist je nach Anliegen Art. 6 Abs. 1 lit. b oder lit. f DSGVO; unser berechtigtes Interesse liegt in einer nachvollziehbaren Bearbeitung geschäftlicher Anfragen.

Das Kontaktformular übermittelt Name, E-Mail-Adresse, Praxisbezeichnung, ausgewähltes Anliegen und Nachricht an den konfigurierten Kontakt-Endpunkt; bei einer Vormerkung für den Start zusätzlich eine freiwillige Angabe zur Patientenstruktur der Praxis (überwiegend privat versichert, überwiegend gesetzlich versichert oder gemischt). Der Versand erfolgt über den E-Mail-Dienstleister ALL-INKL.COM – Neue Medien Münnich (SMTP). Bitte übermitteln Sie über das Kontaktformular keine Patienten-, Diagnose-, Sitzungs-, Krisen- oder sonstigen Behandlungsdaten. Kontaktanfragen werden bis zur abschließenden Bearbeitung und anschließend für sechs Monate aufbewahrt und danach gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht; bei einer Vormerkung ist die Bearbeitung erst mit unserer Rückmeldung zur Öffnung der Registrierung abgeschlossen, sodass die Sechsmonatsfrist erst ab diesem Zeitpunkt läuft.

Für Registrierung, Vertragsabschluss und Nutzung von Psymira verarbeiten wir insbesondere Name, Praxis- und Kontaktdaten, E-Mail-Adresse, Tarif, Abonnementstatus, Rechnungsdaten sowie technische Konto- und Nutzungsdaten. Die Verarbeitung erfolgt zur Anbahnung und Erfüllung des Vertrags nach Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO.

Die Authentifizierung erfolgt über Firebase Authentication mit E-Mail und Passwort. Dabei werden E-Mail-Adresse, Passwort-Hash, Authentifizierungs- und Sitzungsdaten verarbeitet. Patienten- und Behandlungsdaten werden nicht an Firebase Authentication übermittelt.

Innerhalb der Praxissoftware verarbeitet die jeweilige Praxis Patienten- und Gesundheitsdaten als Verantwortlicher. Dazu können Chiffren, Stammdaten, Diagnosen, Sitzungsnotizen, Audioaufnahmen, Transkripte, Zusammenfassungen, Antragsentwürfe, Krisenprotokolle und Dokumente gehören. Die Praxis entscheidet über Rechtsgrundlagen, Informationspflichten, Zugriffsrechte, Aufbewahrung und Löschung.

Laudien Ventures GmbH i.G. verarbeitet diese Daten als Auftragsverarbeiter ausschließlich nach dokumentierter Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die Praxis bleibt insbesondere für die Zulässigkeit der Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO (etwa Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 BDSG) und für berufsrechtliche Anforderungen verantwortlich.

Audioaufnahmen werden browserseitig nach einer Mikrofonfreigabe erstellt, verschlüsselt übertragen und in Google Cloud Storage in Frankfurt gespeichert. Die Transkription erfolgt mit Google Cloud Speech-to-Text V2 über eine EU-Mehrregion. Audiodatei und Transkript können getrennt gelöscht werden. Audiodateien werden nach erfolgreicher Transkription, spätestens jedoch nach 30 Tagen, automatisch gelöscht.

Die Mikrofonfreigabe des Browsers ersetzt keine rechtliche Zustimmung der aufgenommenen Personen. Die Praxis muss vor jeder Aufnahme die Zulässigkeit prüfen, erforderliche ausdrückliche Einwilligungen aller aufgenommenen Personen einholen und einen Widerrufs- und Löschprozess vorhalten.

Psymira nutzt Google Vertex AI in europe-west3 (Frankfurt, Deutschland)für freigegebene KI-Funktionen, insbesondere Zusammenfassungen und bearbeitbare Antragsentwürfe. Vor KI-Aufrufen werden konfigurierbare Regeln zur Identifikatorenfilterung/Datenreduktion angewendet; die Modelle erhalten Chiffren statt Klarnamen, soweit die Regeln korrekt konfiguriert und die Inhalte entsprechend erfasst sind. Freitext (z. B. Notizen, Transkripte) kann weiterhin identifizierende Angaben enthalten, deren Kontrolle bei der Praxis liegt.

KI-Ausgaben sind Entwürfe. Die fachliche Prüfung, Bearbeitung und Entscheidung verbleiben beim Psychotherapeuten. Die KI-Funktionen dienen nicht der Diagnose, Therapie oder Triage; sie sind kein Medizinprodukt und keine Hochrisiko-KI im Sinne der KI-Verordnung. Nach den anwendbaren Google-Cloud-Bedingungen werden Kundendaten nicht ohne vorherige Erlaubnis oder Weisung zum Training oder Fine-Tuning von Modellen verwendet.

Zahlungen und Abonnements werden über Stripe abgewickelt. Dabei werden insbesondere Praxisname, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten, Tarif und Abonnementstatus verarbeitet. Zahlungsdaten werden unmittelbar durch Stripe verarbeitet; Psymira speichert im eigenen System insbesondere die Stripe-Kunden-ID und den Abonnementstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für gesetzlich erforderliche Nachweise Art. 6 Abs. 1 lit. c DSGVO.

Für die Verarbeitung im Auftrag der Praxis setzt der Anbieter Google Cloud (Hosting, Datenbank, Speicher, Protokolle), Google Cloud Speech-to-Text und Google Vertex AI (jeweils Patienten-/Behandlungsdaten) sowie Firebase Authentication (Konto-/Anmelde- daten, keine Patienten-/Behandlungsdaten) ein; diese sind im Auftragsverarbeitungs- vertrag (Anlage 3) als Unterauftragnehmer geführt. Firebase Authentication verarbeitet dabei in den USA (Transfergrundlage: EU-U.S. Data Privacy Framework, ergänzend SCC; siehe Ziffer 12). Die übrigen Dienste (Zahlung, Klinikfinder, Website-Kontakt) verarbeiten weder Patienten- noch Auftragsdaten und werden für die eigenverantwortliche Verarbeitung des Anbieters eingesetzt. Maßgeblich sind die für das konkrete Produktionskonto abgeschlossenen Verträge.

Unterauftragnehmer für Patienten-/Auftragsdaten (AVV Anlage 3)

Weitere Empfänger (eigenverantwortliche Verarbeitung, keine Patientendaten)

Bei Firebase Authentication und beim Klinikfinder (Google Maps Platform) kann eine Verarbeitung in den USA stattfinden. Für Firebase Authentication dient als Übermittlungsinstrument vorrangig das EU-U.S. Data Privacy Framework (Google als „Alternative Transfer Solution“; Google LLC gelistet), ergänzend Standardvertragsklauseln (SCC) nebst den jeweiligen Google-Datenverarbeitungsbedingungen. An Firebase Authentication werden nur Authentifizierungsdaten, an Google Maps Platform nur die eingegebene Adresse und eine feste Suchanfrage übermittelt; Patienten- und Behandlungsdaten werden nicht übermittelt.

Die Verarbeitung der Patienten-/Auftragsdaten durch die Unterauftragnehmer nach Nummer 11 erfolgt in der EU (europe-west3 bzw. EU-Mehrregion). Auch bei EU-Regionen können je nach Anbieterbedingungen begrenzte Support-, Sicherheits- oder Unterauftragnehmerzugriffe aus Drittländern nicht vollständig ausgeschlossen werden; sie erfolgen nur nach Maßgabe der geltenden Google-Cloud-Vertragsunterlagen und, soweit erforderlich, auf Grundlage von SCC.

Zu den umgesetzten Maßnahmen gehören HTTPS/TLS, Verschlüsselung der Cloud-Speicherung, Firebase-JWT-Verifikation, Praxis- und Rollenbindung der Datenabfragen, Identifikatorenfilterung/Datenreduktion vor KI-Aufrufen, Rate-Limiting, Audit-Logging sowie tägliche Backups mit Point-in-Time-Recovery. Die Wiederherstellbarkeit der Backups wird durch dokumentierte Restore-Tests geprüft.

Administrative Zugriffe auf Produktivdaten sind auf einen eng begrenzten Personenkreis beschränkt, erfolgen nur im Ausnahmefall und werden protokolliert. Ein externer Support-Anbieter mit Datenbankzugriff wird nicht eingesetzt. Die vollständigen technischen und organisatorischen Maßnahmen sind in der Anlage 2 des Auftragsverarbeitungsvertrags dokumentiert.

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

Bei Patientendaten ist grundsätzlich die behandelnde Praxis der erste Ansprechpartner, da sie über Zwecke und Rechtsgrundlagen entscheidet. Wir unterstützen die Praxis im Rahmen des AV-Vertrags. Anfragen zu Verarbeitungen, für die wir selbst verantwortlich sind, richten Sie an datenschutz@psymira.de.

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung findet nicht statt. KI-Funktionen erzeugen ausschließlich Entwürfe; die fachliche Prüfung und Entscheidung trifft stets der Psychotherapeut.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
Website der Aufsichtsbehörde

Für die Verarbeitung besonderer Kategorien personenbezogener Daten und den Einsatz generativer KI führt der Verantwortliche eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durch und schreibt sie fort. Diese Erklärung wird angepasst, wenn sich Dienste, Datenflüsse, Rechtsgrundlagen, Aufbewahrungsfristen oder Anbieter ändern.