1.1 Diese Datenschutzrichtlinie informiert darüber, wie die Primedea GmbH, Dörflistrasse 117, 8050 Zürich („Primedea“, „wir“) Personendaten bearbeitet, wenn Sie unsere Website besuchen oder die Software-as-a-Service-Lösung „Primedea Voice“ (der „Dienst“) nutzen. Für andere Produkte und Dienstleistungen der Primedea GmbH gelten gesonderte Datenschutzerklärungen.
1.2 Verantwortliche Stelle im Sinne des schweizerischen Datenschutzgesetzes (DSG) und, soweit anwendbar, Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) ist für die in Ziffer 4 beschriebenen Bearbeitungen die Primedea GmbH.
1.3 Datenschutzbeauftragter und Vertreter in der Europäischen Union (Art. 27 DSGVO): Christopher Zemina, Elßlergasse 20/4, 1130 Wien, Österreich, E-Mail: cz@primedea.com
Primedea hat ihren Sitz in der Schweiz. Wir bearbeiten Personendaten nach dem schweizerischen DSG. Soweit wir Personendaten von Personen in der Europäischen Union oder im Europäischen Wirtschaftsraum bearbeiten, insbesondere von Kunden und deren Patientinnen und Patienten in Österreich und Deutschland, wenden wir zusätzlich die DSGVO und die einschlägigen nationalen Datenschutz- und Gesundheitsgesetze an.
3.1 Bei der Nutzung von Primedea Voice werden zwei Kategorien von Personendaten bearbeitet, für die unterschiedliche Rollen gelten:
a) Auftragsdaten: Audioaufnahmen (Diktate), Transkripte, Befundentwürfe, Befundvorlagen, Vokabulare und alle darin enthaltenen Personendaten, insbesondere Gesundheitsdaten von Patientinnen und Patienten. Für diese Daten ist unser Kunde (die Praxis, das Institut, das Spital oder die selbständige ärztliche Fachperson) Verantwortlicher. Primedea bearbeitet diese Daten ausschliesslich im Auftrag und nach Weisung des Kunden als Auftragsbearbeiterin (Art. 9 DSG) bzw. Auftragsverarbeiterin (Art. 28 DSGVO). Grundlage ist die Auftragsverarbeitungsvereinbarung in Teil B dieses Dokuments.
b) Eigene Daten von Primedea: Konto-, Vertrags-, Abrechnungs-, Nutzungs- und Supportdaten der Kunden und ihrer Nutzer sowie Daten von Besucherinnen und Besuchern unserer Website. Für diese Daten ist Primedea selbst Verantwortliche.
3.2 Patientinnen und Patienten, deren Daten in Diktaten enthalten sind, wenden sich mit Fragen zur Datenbearbeitung und zur Ausübung ihrer Rechte an die behandelnde Einrichtung. Erreicht uns eine solche Anfrage direkt, leiten wir sie an den zuständigen Kunden weiter und unterstützen ihn bei der Beantwortung.
4.1 Website: Beim Besuch unserer Website erfasst der Webserver automatisch technische Daten wie IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, übertragene Datenmenge, Browsertyp und Betriebssystem. Diese Daten werden zur Bereitstellung der Website, zur Gewährleistung der IT-Sicherheit und zur Fehleranalyse bearbeitet. Wenn Sie uns über die Website kontaktieren, bearbeiten wir die von Ihnen mitgeteilten Angaben zur Beantwortung Ihrer Anfrage.
4.2 Konto- und Vertragsdaten: Name, Funktion, Fachrichtung, geschäftliche Kontaktdaten (E-Mail, Telefon, Adresse), Organisationszugehörigkeit, Anmeldedaten (Benutzername, gehashtes Passwort), Rollen und Berechtigungen, gebuchter Leistungsumfang, Rechnungsdaten. Zahlungsdaten (Kartendaten) werden ausschliesslich von unserem Zahlungsdienstleister bearbeitet; wir erhalten lediglich eine Bestätigung der Zahlung und die letzten Ziffern des Zahlungsmittels.
4.3 Nutzungs- und Protokolldaten: Zeitpunkt und Dauer von Anmeldungen und Sitzungen, aufgerufene Funktionen, Anzahl und Dauer von Diktaten, IP-Adresse, Browser- und Gerätetyp, Fehlermeldungen, sicherheitsrelevante Ereignisse sowie technische Qualitätskennzahlen (z. B. Latenz, Korrekturquote). Inhalte von Diktaten und Befunden sind nicht Teil dieser Protokolldaten.
4.4 Support- und Kommunikationsdaten: Inhalte von Support-Anfragen, E-Mails und Feedback, das uns Nutzer übermitteln.
4.5 Wir verarbeiten als Verantwortliche keine Gesundheitsdaten von Patientinnen und Patienten. Sollten uns solche Daten im Rahmen von Support-Anfragen übermittelt werden, bearbeiten wir sie ausschliesslich zur Bearbeitung der Anfrage und löschen sie anschliessend.
5.1 Wir bearbeiten die in Ziffer 4 genannten Daten zu folgenden Zwecken:
a) Bereitstellung und Betrieb der Website und des Dienstes, Nutzer- und Rechteverwaltung;
b) Vertragsabwicklung, Abrechnung, Inkasso und Buchführung;
c) Kundensupport und Kommunikation;
d) Gewährleistung der IT-Sicherheit, Missbrauchserkennung und -abwehr;
e) Analyse, Qualitätssicherung und Weiterentwicklung des Dienstes in aggregierter Form;
f) Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrungspflichten, Auskunftsersuchen von Behörden);
g) Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen;
h) mit Einwilligung: Information über Produktneuheiten und Einladungen zu Veranstaltungen.
5.2 Soweit die DSGVO anwendbar ist, stützen wir diese Bearbeitungen auf folgende Rechtsgrundlagen: Vertragserfüllung und vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO) für die Zwecke a) bis c); rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) für Zweck f); berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) an einem sicheren, stabilen und wirtschaftlich betriebenen Dienst für die Zwecke d), e) und g); Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Zweck h). Nach schweizerischem DSG ist keine Rechtsgrundlage erforderlich, sofern die Bearbeitung die Grundsätze des DSG einhält.
6.1 Ablauf: Audio wird im Browser der Nutzerin oder des Nutzers erfasst und verschlüsselt über die Server von Primedea (a) zur Spracherkennung an einen spezialisierten Spracherkennungsdienst und (b) das resultierende Transkript zur Strukturierung nach der gewählten Vorlage an einen Sprachmodell-Dienst weitergeleitet. Der erzeugte Befundentwurf wird dem Kunden zur Prüfung, Korrektur und Freigabe angezeigt.
6.2 Unterauftragsverarbeiter: Für den Betrieb des Dienstes setzen wir folgende Unterauftragsverarbeiter ein:
– Hosting und Speicherung: Hetzner Online GmbH, Gunzenhausen, Deutschland (Rechenzentren in Deutschland)
– Spracherkennung: ElevenLabs Inc., USA
– Textstrukturierung und Befundentwurf: OpenAI, L.L.C., USA bzw. OpenAI Ireland Ltd., Irland
Änderungen kündigen wir dem Kunden gemäss Teil B vorab an; der Kunde hat ein Widerspruchsrecht.
6.3 Kein Training mit Auftragsdaten: Weder Primedea noch die von uns eingesetzten Unterauftragsverarbeiter verwenden Diktate, Transkripte oder Befundentwürfe unserer Kunden zum Training oder zur Verbesserung von KI-Modellen. Wir schliessen mit unseren Anbietern entsprechende vertragliche Regelungen ab.
6.4 Speicherung: Audioaufnahmen werden von Primedea nicht gespeichert. Sie werden zur Spracherkennung an ElevenLabs übermittelt; eine Speicherung erfolgt ausschliesslich dort im für die Spracherkennung erforderlichen Umfang und nach den mit ElevenLabs vereinbarten Bedingungen. Transkripte und Befundentwürfe werden auf den Servern von Primedea in Deutschland gespeichert, bis der Kunde sie löscht, spätestens jedoch 30 Tage nach Vertragsende.
6.5 Kein Zugriff durch Primedea: Mitarbeitende von Primedea greifen nicht auf Inhalte von Diktaten, Transkripten oder Befundentwürfen zu. Diese Inhalte sind ausschliesslich für den Kunden und die von ihm berechtigten Nutzer einsehbar.
6.6 Keine automatisierte Einzelentscheidung: Der Dienst trifft keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber Patientinnen und Patienten. Jeder Befundentwurf wird vor seiner Verwendung durch eine ärztliche Fachperson des Kunden geprüft und freigegeben.
7.1 Wir geben Personendaten nur weiter, soweit dies zur Erbringung des Dienstes erforderlich ist, an: die in Ziffer 6.2 genannten Unterauftragsverarbeiter; IT-, E-Mail-, Zahlungs- und Buchhaltungsdienstleister, die für uns tätig sind und vertraglich zu Vertraulichkeit und Datenschutz verpflichtet sind; Behörden und Gerichte, soweit wir hierzu gesetzlich verpflichtet sind oder dies zur Wahrung unserer Rechte erforderlich ist; Rechtsnachfolger im Fall einer Umstrukturierung oder Übernahme.
7.2 Wir verkaufen keine Personendaten und geben sie nicht zu Werbezwecken an Dritte weiter.
8.1 Unsere Server für den Betrieb des Dienstes und die Speicherung von Auftragsdaten befinden sich in Deutschland. Einzelne Unterauftragsverarbeiter, insbesondere für Spracherkennung und Textstrukturierung, haben ihren Sitz in den USA oder verarbeiten Daten dort.
8.2 Bei einer Bekanntgabe in Staaten ohne angemessenes Datenschutzniveau stellen wir einen angemessenen Schutz sicher, insbesondere durch: die Zertifizierung des Empfängers unter dem Swiss-U.S. Data Privacy Framework bzw. dem EU-U.S. Data Privacy Framework; den Abschluss der von der Europäischen Kommission erlassenen Standardvertragsklauseln, ergänzt um die für die Schweiz erforderlichen Anpassungen; sowie ergänzende technische Massnahmen wie Verschlüsselung in der Übertragung. Eine Kopie der Garantien kann über die in Ziffer 1.3 genannte Adresse angefordert werden.
8.3 Kunden, die aufgrund berufsrechtlicher oder institutioneller Vorgaben eine ausschliessliche Verarbeitung innerhalb der Schweiz oder des EWR benötigen, wenden sich an uns; wir informieren über verfügbare Konfigurationen.
9.1 Konto- und Nutzungsdaten speichern wir für die Dauer des Vertrags und löschen sie spätestens 12 Monate nach Vertragsende, sofern keine längeren Aufbewahrungspflichten bestehen.
9.2 Vertrags-, Abrechnungs- und Buchhaltungsunterlagen bewahren wir gemäss den gesetzlichen Aufbewahrungspflichten auf (in der Schweiz 10 Jahre nach Art. 958f OR; für österreichische Kunden können abweichende Fristen nach § 132 BAO gelten).
9.3 Protokolldaten zur IT-Sicherheit und Server-Logdaten der Website speichern wir in der Regel 90 Tage, sicherheitsrelevante Vorfälle bis zur abschliessenden Bearbeitung.
9.4 Für Auftragsdaten gelten die Fristen in Ziffer 6.4 bzw. die Vorgaben des Kunden gemäss Teil B.
Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten vor unbefugtem Zugriff, Verlust, Zerstörung und Veränderung. Dazu gehören insbesondere: Verschlüsselung der Datenübertragung (TLS) und der gespeicherten Daten; Zugriffskontrollen nach dem Need-to-know-Prinzip mit rollenbasierten Berechtigungen und Mehrfaktor-Authentifizierung für administrative Zugänge; Protokollierung sicherheitsrelevanter Zugriffe; getrennte Speicherung von Kundeninhalten pro Kunde; regelmässige Sicherheitsüberprüfungen und Aktualisierungen; Schulung und Verpflichtung unserer Mitarbeitenden; Vereinbarungen mit allen Dienstleistern über Vertraulichkeit und Datensicherheit. Die Massnahmen für Auftragsdaten sind in Teil B beschrieben.
11.1 Betroffene Personen haben nach DSG und, soweit anwendbar, nach DSGVO das Recht auf Auskunft über die sie betreffenden Personendaten, auf Berichtigung unrichtiger Daten, auf Löschung, auf Einschränkung der Bearbeitung, auf Datenherausgabe bzw. Datenübertragbarkeit sowie das Recht, einer Bearbeitung zu widersprechen, die auf berechtigten Interessen beruht. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
11.2 Zur Ausübung dieser Rechte genügt eine Mitteilung an die in Ziffer 1.3 genannte Kontaktadresse. Wir können einen Identitätsnachweis verlangen. Die Ausübung der Rechte kann durch gesetzliche Ausnahmen eingeschränkt sein, etwa durch Aufbewahrungspflichten oder überwiegende Interessen Dritter.
11.3 Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. Für Personen in Österreich ist die Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, zuständig; für Personen in Deutschland die Landesdatenschutzbehörde des jeweiligen Bundeslandes.
11.4 Für Rechte in Bezug auf Auftragsdaten (Ziffer 3.1 lit. a) ist der jeweilige Kunde zuständig (Ziffer 3.2).
Die Website und der Dienst verwenden ausschliesslich technisch notwendige Cookies und vergleichbare Technologien, die für die Anmeldung, Sitzungsverwaltung und Sicherheit erforderlich sind. Es findet kein Tracking zu Werbezwecken, keine Produktanalytik und keine Einbindung von Drittanbieter-Werbediensten statt.
Wir können diese Datenschutzrichtlinie jederzeit anpassen, insbesondere bei Änderungen des Dienstes, der eingesetzten Dienstleister oder der Rechtslage. Es gilt die jeweils auf unserer Website veröffentlichte Fassung. Kunden informieren wir über wesentliche Änderungen in Textform.
Primedea GmbH, Dörflistrasse 117, 8050 Zürich, Schweiz. E-Mail: office@primedea.com. Datenschutzbeauftragter: Christopher Zemina, Elßlergasse 20/4, 1130 Wien, Österreich, cz@primedea.com
15.1 Diese Auftragsverarbeitungsvereinbarung („AVV“) regelt die Bearbeitung von Personendaten durch Primedea (die „Auftragsverarbeiterin“) im Auftrag des Kunden (der „Verantwortliche“) im Rahmen des Dienstes Primedea Voice gemäss Art. 9 DSG und Art. 28 DSGVO.
15.2 Die AVV kommt mit dem Abschluss des Nutzungsvertrags gemäss Ziffer 4.1 der AGB zustande, auch für einen Testzugang gemäss Ziffer 4.5 der AGB; eine gesonderte Unterzeichnung ist nicht erforderlich. Sie gilt für die Dauer des Nutzungsvertrags und endet mit dessen Beendigung, wobei die Pflichten nach Ziffer 22 bis zur vollständigen Löschung oder Rückgabe der Daten fortbestehen.
16.1 Gegenstand der Verarbeitung ist die Bereitstellung des Dienstes gemäss den AGB, insbesondere die Umwandlung von Diktaten in Text, die Strukturierung von Transkripten zu Befundentwürfen, die Speicherung von Transkripten, Befundentwürfen, Vorlagen und Vokabularen sowie deren Anzeige und Export.
16.2 Kategorien betroffener Personen: Patientinnen und Patienten des Verantwortlichen; Nutzer des Verantwortlichen; weitere Personen, die in Diktaten genannt werden (z. B. zuweisende Ärztinnen und Ärzte, Angehörige).
16.3 Kategorien von Personendaten: Gesundheitsdaten (Befunde, Diagnosen, Untersuchungsergebnisse, Anamnese); Identifikationsdaten (Name, Geburtsdatum, Patienten- oder Fallnummern), soweit vom Verantwortlichen diktiert; Angaben zu Untersuchungsart und -zeitpunkt; Stimmaufnahmen der Nutzer als biometrische Rohdaten in der Übermittlung; Kontodaten der Nutzer.
16.4 Besondere Kategorien von Personendaten (Art. 9 DSGVO) bzw. besonders schützenswerte Personendaten (Art. 5 lit. c DSG) werden verarbeitet.
17.1 Die Auftragsverarbeiterin verarbeitet Personendaten ausschliesslich im Rahmen der AGB, dieser AVV und der dokumentierten Weisungen des Verantwortlichen. Weisungen werden in erster Linie durch die Konfiguration und Nutzung des Dienstes erteilt; darüber hinausgehende Weisungen sind in Textform an cz@primedea.com zu richten.
17.2 Die Auftragsverarbeiterin informiert den Verantwortlichen unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstösst. Sie ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.
17.3 Unterliegt die Auftragsverarbeiterin einer gesetzlichen Pflicht zur Verarbeitung, teilt sie dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.
18.1 Der Verantwortliche ist für die Rechtmässigkeit der Verarbeitung, insbesondere für das Bestehen einer Rechtsgrundlage, die Information der betroffenen Personen und die Wahrung des Berufsgeheimnisses, allein verantwortlich.
18.2 Der Verantwortliche stellt sicher, dass nur berechtigte Nutzer Zugang erhalten, verwaltet die Berechtigungen und löscht Daten, die nicht mehr benötigt werden, über die Funktionen des Dienstes.
18.3 Der Verantwortliche informiert die Auftragsverarbeiterin unverzüglich über Fehler oder Unregelmässigkeiten bei der Verarbeitung, die er feststellt.
19.1 Vertraulichkeit: Die Auftragsverarbeiterin stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
19.2 Technische und organisatorische Massnahmen: Die Auftragsverarbeiterin trifft die in Ziffer 24 beschriebenen Massnahmen und überprüft sie regelmässig. Sie kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
19.3 Unterstützung bei Betroffenenrechten: Die Auftragsverarbeiterin unterstützt den Verantwortlichen durch die Funktionen des Dienstes (Einsicht, Export, Berichtigung und Löschung von Inhalten) bei der Erfüllung von Anfragen betroffener Personen. Anfragen, die direkt bei der Auftragsverarbeiterin eingehen, leitet sie unverzüglich an den Verantwortlichen weiter.
19.4 Unterstützung bei Datenschutz-Folgenabschätzung und Konsultation: Die Auftragsverarbeiterin stellt dem Verantwortlichen die für eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO, Art. 22 DSG) und für eine allfällige Konsultation der Aufsichtsbehörde erforderlichen Informationen zur Verfügung, soweit sie ihr vorliegen.
19.5 Meldung von Verletzungen des Datenschutzes: Die Auftragsverarbeiterin meldet dem Verantwortlichen jede Verletzung der Sicherheit von Auftragsdaten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, an die im Kundenkonto hinterlegte Kontaktadresse. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und ungefähre Anzahl betroffener Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen. Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei seinen Melde- und Benachrichtigungspflichten.
19.6 Kein Zugriff auf Inhalte: Die Auftragsverarbeiterin greift nicht auf Inhalte von Diktaten, Transkripten oder Befundentwürfen zu. Die Verarbeitung erfolgt ausschliesslich automatisiert.
19.7 Kein Modelltraining: Die Auftragsverarbeiterin verwendet Auftragsdaten nicht zum Training oder zur Verbesserung von KI-Modellen und stellt dies auch gegenüber ihren Unterauftragsverarbeitern vertraglich sicher.
20.1 Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Zum Zeitpunkt des Zustandekommens dieser AVV sind die in Teil A, Ziffer 6.2 genannten Unterauftragsverarbeiter eingesetzt.
20.2 Die Auftragsverarbeiterin informiert den Verantwortlichen mindestens 30 Tage vor dem beabsichtigten Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus sachlichen datenschutzrechtlichen Gründen widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Nutzungsvertrag bis zum Wirksamwerden der Änderung ausserordentlich kündigen.
20.3 Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieser AVV entsprechen, und bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.
21.1 Die Speicherung von Auftragsdaten erfolgt in Deutschland. Die Spracherkennung (ElevenLabs Inc.) und die Textstrukturierung (OpenAI, L.L.C. bzw. OpenAI Ireland Ltd.) können eine Verarbeitung in den USA umfassen.
21.2 Für Übermittlungen in die USA stützt sich die Auftragsverarbeiterin auf die Zertifizierung des jeweiligen Empfängers unter dem EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework und, soweit eine solche Zertifizierung nicht besteht, auf die Standardvertragsklauseln der Europäischen Kommission mit den für die Schweiz erforderlichen Anpassungen. Der Verantwortliche ermächtigt die Auftragsverarbeiterin, die Standardvertragsklauseln in seinem Namen mit den Unterauftragsverarbeitern abzuschliessen, soweit dies erforderlich ist.
22.1 Der Verantwortliche kann Auftragsdaten jederzeit über die Funktionen des Dienstes löschen oder exportieren.
22.2 Nach Beendigung des Nutzungsvertrags stehen die Auftragsdaten dem Verantwortlichen 30 Tage lang zum Export zur Verfügung. Danach löscht die Auftragsverarbeiterin sämtliche Auftragsdaten einschliesslich Sicherungskopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen bestätigt die Auftragsverarbeiterin die Löschung in Textform.
23.1 Die Auftragsverarbeiterin stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung, insbesondere eine Beschreibung der technischen und organisatorischen Massnahmen sowie Zertifizierungen oder Prüfberichte, soweit vorhanden.
23.2 Der Verantwortliche kann höchstens einmal pro Jahr sowie bei begründetem Verdacht auf eine Verletzung dieser AVV eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Die Überprüfung ist mit einer Frist von 30 Tagen anzukündigen, erfolgt während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Geschäftsbetriebs. Die Kosten der Überprüfung trägt der Verantwortliche, sofern keine wesentliche Verletzung festgestellt wird.
Die Auftragsverarbeiterin trifft insbesondere folgende Massnahmen:
a) Zutritts- und Zugangskontrolle: Betrieb in ISO-27001-zertifizierten Rechenzentren von Hetzner Online GmbH in Deutschland; Zugang zu Systemen nur über personalisierte Konten mit Mehrfaktor-Authentifizierung; kein Zugriff von Mitarbeitenden auf Inhalte von Auftragsdaten.
b) Zugriffskontrolle: Rollenbasierte Berechtigungen im Dienst, die vom Verantwortlichen verwaltet werden; mandantengetrennte Speicherung der Kundeninhalte.
c) Übertragungskontrolle: Verschlüsselung sämtlicher Datenübertragungen (TLS 1.2 oder höher) zwischen Browser, Servern und Unterauftragsverarbeitern; Verschlüsselung gespeicherter Daten.
d) Eingabekontrolle: Protokollierung von Anmeldungen, Berechtigungsänderungen und sicherheitsrelevanten Ereignissen.
e) Verfügbarkeitskontrolle: Regelmässige Sicherungen der gespeicherten Transkripte, Befundentwürfe, Vorlagen und Vokabulare; redundante Infrastruktur; Notfall- und Wiederherstellungsverfahren.
f) Trennungskontrolle: Logische Trennung von Produktiv- und Entwicklungsumgebungen; keine Verwendung von Auftragsdaten in Entwicklungs- oder Testumgebungen.
g) Datensparsamkeit: Keine Speicherung von Audioaufnahmen durch die Auftragsverarbeiterin; Löschung von Auftragsdaten nach Ziffer 22.
h) Organisatorische Massnahmen: Verpflichtung aller Mitarbeitenden zur Vertraulichkeit; regelmässige Schulungen; dokumentierter Prozess für die Meldung von Sicherheitsvorfällen; regelmässige Überprüfung und Aktualisierung der Massnahmen.
25.1 Für die Haftung der Parteien gilt Ziffer 13 der AGB, soweit nicht zwingendes Datenschutzrecht (insbesondere Art. 82 DSGVO) etwas anderes vorschreibt.
25.2 Bei Widersprüchen zwischen dieser AVV und den AGB geht diese AVV vor, soweit es die Verarbeitung von Personendaten betrifft.
25.3 Im Übrigen gelten die Schlussbestimmungen der AGB, insbesondere Rechtswahl und Gerichtsstand.
Primedea Voice