Zum Inhalt springen

Sicherheitszentrum

Sicherheit & Datenschutz

HeilpraxisOS verarbeitet Gesundheitsdaten — die sensibelste Datenkategorie überhaupt. Deshalb steht hier offen, wie Ihre Daten und die Ihrer Patientinnen und Patienten geschützt werden.

Hosting & Infrastruktur

  • Datenbank: Neon PostgreSQL in Frankfurt (AWS eu-central-1), verschlüsselte Verbindungen (TLS)
  • Anwendung: Vercel, Ausführung in Frankfurt (fra1), HTTPS erzwungen (HSTS)
  • Tägliche verschlüsselte Sicherung der Datenbank und der Patientendateien in Frankfurt, getrennt von der Datenbank, 30 Tage aufbewahrt
  • Patientendateien (Dokumente, Fotos): Vercel Blob in Frankfurt (fra1) — privat gespeichert, Zugriff nur nach Anmeldung und Prüfung der Praxiszugehörigkeit; Wissensbilder und das Produktvideo liegen in einem getrennten, öffentlichen Speicher ohne Personenbezug
  • Transaktionale E-Mails über Resend: Versand aus der EU-Region Irland, Speicherung der Inhalte und Protokolle nach Anbieterangabe in den USA (30 Tage), abgesichert über Standardvertragsklauseln und das EU-US Data Privacy Framework. Deshalb enthalten unsere Mails keine Gesundheitsdaten: Rechnungen gehen nicht als Anhang, sondern über einen signierten, 30 Tage gültigen Abruflink von unseren Servern; Termin-Mails nennen nur Datum, Uhrzeit und Praxis, keine Terminart
  • Ausnahme mit Auftragsverarbeitung: Außerhalb der EU verarbeiten Clerk und Resend sowie — nur wenn die Praxis die Funktion einschaltet — Twilio, Anthropic und OpenAI; die Patientenakte selbst liegt in Frankfurt

Zugriffsschutz

  • Mandantentrennung auf Datenbankebene: jede einzelne Abfrage ist an die Praxis gebunden
  • Rollenbasierte Rechte (Inhaber, Behandler, Assistenz, Abrechnung, Nur-Lesen)
  • Zwei-Faktor-Authentifizierung per Authenticator-App ist in Vorbereitung und wird nach der Freischaltung für Praxisinhaber verpflichtend
  • Patientenportal: Zugangslinks gelten 7 Tage und nur einmal, Sitzungen werden erneuert, Anmeldungen protokolliert
  • Zugriffsbegrenzung an sensiblen Schnittstellen (Anmeldung, Suche, Datei-Upload, KI)

KI nur mit Opt-in

  • KI-Funktionen sind standardmäßig deaktiviert — der Praxisinhaber aktiviert sie bewusst und kann sie jederzeit abschalten
  • Anbieter: Anthropic (Claude) und OpenAI mit Auftragsverarbeitungsverträgen; Inhalte werden nicht zum Modelltraining verwendet
  • Jede KI-Funktion mit Patientenbezug ersetzt Vor- und Nachnamen der Patientin bzw. des Patienten vor der Übertragung durch einen Platzhalter, auch in Freitexten, und entfernt dort E-Mail-Adressen, Telefonnummern und als solche gekennzeichnete Geburtsdaten; der Name wird erst nach der Antwort in HeilpraxisOS wieder eingesetzt
  • Nicht erkannt werden Spitznamen, abweichende Schreibweisen und andere Angaben zur Person, etwa Namen von Angehörigen oder Ärztinnen und Ärzten — in Freitexte gehört nur, was für die Funktion nötig ist
  • Hilfe-Chat: beantwortet Fragen zur Bedienung über dieselben Anbieter, entfernt vorher Kontaktangaben und sendet keine Patientendaten aus der Akte; ist die KI der Praxis ausgeschaltet, antwortet er nur aus den Hilfe-Artikeln
  • KI-Protokolle ohne Klartexte — festgehalten werden nur Funktion, Modell, Umfang und Status
  • Jede KI-Ausgabe ist ein Entwurf — die Fachkraft entscheidet

Nachvollziehbarkeit

  • Audit-Log für Änderungen, Exporte, Löschungen, Einwilligungen, Rechnungen, Team und Einstellungen sowie für Lesezugriffe auf Gesundheitsdaten (Akte, Druck, Dokumente, Rechnungs-PDF) — mit Zeitpunkt, Nutzer und Adresse, einsehbar für die Praxisinhaberin bzw. den Praxisinhaber
  • Fehlerdiagnose (Sentry) mit Redaktion — keine Gesundheitsdaten in Fehlerberichten
  • Nutzungsanalyse im EU-Cluster, ohne Cookies und ohne Patientendaten

Ihre DSGVO-Rechte, technisch umgesetzt

  • Art. 20 (Datenübertragbarkeit): vollständiger, maschinenlesbarer Export aller Patientendaten über alle Module
  • Art. 17 (Löschung) mit Aufbewahrungspflicht: Solange die Behandlungsdokumentation aufzubewahren ist (§ 630f Abs. 3 BGB, zehn Jahre), wird die Akte gesperrt (eingeschränkte Verarbeitung, Art. 18) und nach Fristablauf automatisch gelöscht — über sämtliche Tabellen inklusive aller Dateien; Rechnungen bleiben entkoppelt als Beleg (§ 147 AO)
  • Demo- und Testdaten sind von Exporten und Auswertungen ausgeschlossen

Auftragsverarbeiter (AVV)

Mit den eingesetzten Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Mit „optional“ gekennzeichnete Dienste werden nur beteiligt, wenn die Praxis die jeweilige Funktion aktiviert; einzelne davon sind erst vorgesehen und noch nicht in Betrieb — das steht dann bei der jeweiligen Zeile.

  • Vercel Inc.Hosting und Ausführung der Anwendung, Dateispeicher (Blob)Frankfurt am Main (fra1); US-Unternehmen · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Neon Inc.PostgreSQL-DatenbankFrankfurt am Main (AWS eu-central-1) · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Clerk Inc.Authentifizierung und Nutzerverwaltung des PraxisteamsUSA · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Resend Inc.Versand transaktionaler E-MailsUSA (Speicherort); Versand aus der EU-Region Irland · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Brevo (Sendinblue SAS)optionalInformations- und Kampagnen-E-Mails an Praxisinhaber (nur mit Einwilligung; keine Patientendaten) — geplant, noch nicht in BetriebFrankreich; Server in Frankreich, Belgien und Deutschland · Verarbeitung in der EU
  • Twilio Inc.optionalSMS-Versand (Terminerinnerungen)USA · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Stripe Payments Europe Ltd.Zahlungsabwicklung des Abonnements; optional Patientenzahlungen (Connect)Irland; Konzern mit Sitz in den USA · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Daily.co (Daily, Inc.)optionalVideosprechstundeEU-Region; US-Unternehmen · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Anthropic PBCoptionalKI-gestützte Entwürfe (nur mit Opt-in der Praxis)USA · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • OpenAI, L.L.C.optionalKI-gestützte Entwürfe, Ausweichanbieter (nur mit Opt-in der Praxis)USA · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • Microsoft Ireland Operations Ltd. (Azure AI Speech)optionalTranskription von Behandlungsgesprächen (nur mit Einwilligung je Aufnahme)EU-Region (Westeuropa oder Deutschland) · Verarbeitung in der EU
  • Upstash Inc.Zähler für die Ratenbegrenzung (keine Personendaten, nur gekürzte Schlüssel)Frankfurt am Main (AWS eu-central-1) · Verarbeitung in der EU
  • Functional Software Inc. (Sentry)Fehlerüberwachung mit Redaktion personenbezogener InhalteEU-Region (Frankfurt); US-Unternehmen · Angemessenheitsbeschluss (EU-US Data Privacy Framework)
  • PostHog Inc.Nutzungsanalyse ohne Cookies und ohne PatientendatenEU-Cluster (Frankfurt) · Verarbeitung in der EU

Vertrag zur AuftragsverarbeitungAVV als PDF

Fragen?

Details stehen in der Datenschutzerklärung. Für Sicherheitsfragen erreichen Sie uns über das Kontaktformular.