Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 5 lit. j revDSG ist:

MiraNext GmbH, Geschäftsanschrift Innsbrucker Bundesstraße 83a, 5020 Salzburg, Österreich. FN 614242 y, UID ATU 78451209.

Sofern für die Schweiz ein Vertreter nach Art. 14 revDSG benannt wird: [Platzhalter — Name und Anschrift des Schweizer Vertreters].

Allgemeine Anfragen: support@miranext.ai.

2. Datenschutzberater:in / Kontakt

Fragen zum Datenschutz erreichen Sie unter: support@miranext.ai. Sofern eine Datenschutzberaterin / ein Datenschutzberater nach Art. 10 revDSG bestellt wird, wird der Name vor Inverkehrbringen ergänzt.

3. Bearbeitete Datenkategorien

Wir bearbeiten ausschliesslich die für den Betrieb von MiraScribe erforderlichen Datenkategorien:

• Kontodaten der Anwender:innen: Name, berufliche E-Mail-Adresse, Berufsbezeichnung, organisatorische Zugehörigkeit, Authentifizierungsmerkmale.
• Konsultationsmetadaten: Datum, Uhrzeit, Dauer, verwendete Vorlage, gewählte Sprache.
• Audio: Live-Stream der Konsultation. Audio wird nicht dauerhaft gespeichert (siehe Aufbewahrungsdauer).
• Transkripte: Volltext-Transkription der Konsultation.
• Strukturierte Notizen: aus dem Transkript generierte ärztliche Dokumentation (z. B. Anamnese, Befund, Prozedere, ICD-10-Vorschläge).
• Gesundheitsdaten gelten nach Art. 5 lit. c revDSG als besonders schützenswerte Personendaten und unterliegen erhöhtem Schutz.
• Nutzungsdaten: Geräte- und Browserkennzeichen, IP-Adresse, Diagnosedaten zur Stabilitätssicherung.

4. Bearbeitungszwecke und Rechtfertigungsgründe

Die Bearbeitung erfolgt zu folgenden Zwecken. Das revDSG verlangt für rechtmässige Bearbeitungen die Beachtung der Bearbeitungsgrundsätze (Art. 6 revDSG); eine Bearbeitung besonders schützenswerter Personendaten setzt insbesondere einen Rechtfertigungsgrund nach Art. 31 revDSG (z. B. Einwilligung, überwiegendes Interesse, gesetzliche Grundlage) voraus:

• Transkription und Strukturierung ärztlicher Konsultationen sowie Bearbeitung von Gesundheitsdaten: gestützt auf die Einwilligung der betroffenen Person bzw. einen überwiegenden Bearbeitungsgrund (Art. 31 revDSG) und in Verbindung mit den Berufsgeheimnisvorschriften (Art. 321 StGB Schweiz).
• Vertragsabwicklung gegenüber Anwender:innen und Einrichtungen: zur Erfüllung des Vertrags mit der betroffenen Person (Art. 31 Abs. 2 lit. a revDSG).
• Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrungspflichten, Marktüberwachung MepV): gesetzliche Grundlage.
• Sicherheit, Missbrauchsabwehr, Qualitätssicherung und Produktverbesserung in pseudonymisierter Form: überwiegendes berechtigtes Interesse des Verantwortlichen.

5. Empfänger und Auftragsbearbeiter

Zur Erbringung der Leistung setzen wir folgende Auftragsbearbeiter (Art. 9 revDSG) ein. Eine vollständige, jeweils aktuelle Liste mit Subunternehmern wird auf Anfrage zur Verfügung gestellt:

• Google Cloud Platform — Hosting, Postgres-Datenbank und Vertex-AI-Inferenz; Bearbeitung in der EU (europe-west3 Frankfurt, europe-west4 Niederlande).
• Deepgram — Speech-to-Text-Anbieter; Bearbeitung über den EU-Endpunkt.
• Cerebras Systems — Sprachmodell-Inferenz für strukturierte Notizen; Bearbeitung in den USA (siehe Bekanntgabe ins Ausland).
• Vertex AI — Sprachmodell-Inferenz innerhalb der EU.
• Resend, Nodemailer-kompatibler SMTP-Provider — transaktionale E-Mails.
• Stripe — Zahlungsabwicklung gegenüber Einrichtungen.

6. Bekanntgabe von Personendaten ins Ausland

Eine Bekanntgabe ins Ausland erfolgt insbesondere in EU-Staaten (angemessenes Schutzniveau im Sinne von Art. 16 revDSG und der DSV-Länderliste) sowie an Cerebras Systems (USA).

Verfügt ein Empfängerstaat über keinen angemessenen Schutz (z. B. USA ausserhalb des einschlägigen Datenschutzrahmens), stützen wir die Bekanntgabe auf die vom EDÖB anerkannten Standardvertragsklauseln (Art. 16 Abs. 2 lit. d revDSG) und ergänzende technische Schutzmassnahmen (Verschlüsselung, Pseudonymisierung). Die entsprechende Dokumentation wird auf Anfrage zur Verfügung gestellt.

7. Aufbewahrungsdauer

Audio wird nicht persistiert. Der Audiostream wird live an den STT-Anbieter weitergeleitet und nach Erstellung des Transkripts verworfen.

Transkripte und strukturierte Notizen werden für die Dauer des Vertrags gespeichert und nach Vertragsende innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Kontodaten werden gelöscht, sobald sie für den Vertrag nicht mehr erforderlich sind, spätestens nach Ablauf der einschlägigen Verjährungsfristen (Art. 127 OR).

Backup-Daten werden 35 Tage rollierend vorgehalten und anschliessend kryptografisch gelöscht.

8. Rechte der betroffenen Personen

Ihnen stehen nach dem revDSG insbesondere folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunft über die Bearbeitung Ihrer Personendaten (Art. 25 revDSG),
• Berichtigung unrichtiger Personendaten (Art. 32 revDSG),
• Datenherausgabe oder -übertragung (Datenportabilität, Art. 28 revDSG),
• Verlangen der Löschung oder Vernichtung von Personendaten (Art. 32 revDSG),
• Widerspruch gegen eine Bearbeitung sowie Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft.

9. Aufsichtsbehörde

Sie haben das Recht, sich an die zuständige Aufsichtsbehörde zu wenden.

Zuständig in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern — https://www.edoeb.admin.ch.

10. Pflicht zur Bereitstellung der Daten

Die Bereitstellung Ihrer Kontodaten ist für die Vertragserfüllung erforderlich. Ohne diese Daten können wir Ihnen keinen Zugang zu MiraScribe gewähren.

Die Aufnahme der Konsultation ist freiwillig; ohne Aufzeichnung kann die Kernfunktion von MiraScribe jedoch nicht genutzt werden.