Datenschutzerklärung (Deutschland)

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

MiraNext GmbH, Geschäftsanschrift [Platzhalter — eingetragene Geschäftsanschrift], 5020 Salzburg, Österreich. FN 614242 y, UID ATU 78451209.

Eine inländische Vertretung bzw. ein Zustellungsbevollmächtigter in Deutschland ist gegebenenfalls anzugeben: [Platzhalter — deutsche Vertretung, falls bestellt].

Allgemeine Anfragen: support@miranext.ai.

2. Datenschutzbeauftragte:r

Sofern eine Benennungspflicht nach Art. 37 DSGVO i. V. m. § 38 BDSG besteht, erreichen Sie unsere:n Datenschutzbeauftragte:n unter: support@miranext.ai.

Name und Kontaktdaten der bestellten Person: [Platzhalter — Name und Kontaktdaten der/des Datenschutzbeauftragten]. Diese Angaben werden vor Inverkehrbringen ergänzt.

3. Verarbeitete Datenkategorien

Wir verarbeiten ausschließlich die für den Betrieb von MiraScribe erforderlichen Datenkategorien:

• Kontodaten der Anwender:innen: Name, berufliche E-Mail-Adresse, Berufsbezeichnung, organisatorische Zugehörigkeit, Authentifizierungsmerkmale.
• Konsultationsmetadaten: Datum, Uhrzeit, Dauer, verwendete Vorlage, gewählte Sprache.
• Audio: Live-Stream der Konsultation. Audio wird nicht dauerhaft gespeichert (siehe Speicherdauer).
• Transkripte: Volltext-Transkription der Konsultation.
• Strukturierte Notizen: aus dem Transkript generierte ärztliche Dokumentation (z. B. Anamnese, Befund, Prozedere, ICD-10-Vorschläge).
• Gesundheitsdaten: besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO, die sich aus Audio, Transkript und strukturierten Notizen ergeben.
• Nutzungsdaten: Geräte- und Browserkennzeichen, IP-Adresse, Diagnosedaten zur Stabilitätssicherung.

4. Verarbeitungszwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zu folgenden Zwecken auf den genannten Rechtsgrundlagen:

• Transkription und Strukturierung ärztlicher Konsultationen sowie Verarbeitung von Gesundheitsdaten (besondere Kategorien gemäß Art. 9 DSGVO): Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Verwaltung von Systemen und Diensten im Gesundheitsbereich) sowie i. V. m. der ärztlichen Schweigepflicht (§ 203 StGB).
• Geeignete und spezifische Maßnahmen zum Schutz besonderer Datenkategorien gemäß § 22 Abs. 2 BDSG (technisch-organisatorische Maßnahmen, Zugriffsbeschränkungen, Verschlüsselung, Pseudonymisierung).
• Vertragsabwicklung gegenüber Anwender:innen und Einrichtungen: Art. 6 Abs. 1 lit. b DSGVO.
• Erfüllung gesetzlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrungspflichten nach HGB und AO, MDR-Marktüberwachung): Art. 6 Abs. 1 lit. c DSGVO.
• Sicherheit, Missbrauchsabwehr, Qualitätssicherung und Produktverbesserung in pseudonymisierter Form: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

5. Empfänger und Auftragsverarbeiter

Zur Erbringung der Leistung setzen wir folgende Auftragsverarbeiter ein (Art. 28 DSGVO). Eine vollständige, jeweils aktuelle Liste mit Subunternehmern wird auf Anfrage zur Verfügung gestellt:

• Google Cloud Platform — Hosting, Postgres-Datenbank und Vertex-AI-Inferenz; Verarbeitung in der EU (europe-west3 Frankfurt, europe-west4 Niederlande).
• Deepgram — Speech-to-Text-Anbieter; Verarbeitung über den EU-Endpunkt.
• Cerebras Systems — Sprachmodell-Inferenz für strukturierte Notizen; Verarbeitung in den USA (siehe Drittlandsübermittlung).
• Vertex AI — Sprachmodell-Inferenz innerhalb der EU.
• Resend, Nodemailer-kompatibler SMTP-Provider — transaktionale E-Mails.
• Stripe — Zahlungsabwicklung gegenüber Einrichtungen.

6. Drittlandsübermittlung

Eine Übermittlung in Drittländer findet ausschließlich an Cerebras Systems (USA) statt. Diese Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 (SCCs).

Ergänzend führen wir eine dokumentierte Transfer Impact Assessment (TIA) gemäß EDSA-Empfehlung 01/2020 durch und setzen ergänzende technische Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung) ein. Die TIA wird auf Anfrage zur Verfügung gestellt.

7. Speicherdauer

Audio wird nicht persistiert. Der Audiostream wird live an den STT-Anbieter weitergeleitet und nach Erstellung des Transkripts verworfen.

Transkripte und strukturierte Notizen werden für die Dauer des Vertrags gespeichert und nach Vertragsende innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Kontodaten werden gelöscht, sobald sie für den Vertrag nicht mehr erforderlich sind, spätestens nach Ablauf der einschlägigen Verjährungsfristen nach dem Bürgerlichen Gesetzbuch (BGB).

Backup-Daten werden 35 Tage rollierend vorgehalten und anschließend kryptografisch gelöscht.

8. Betroffenenrechte

Ihnen stehen folgende Rechte gegenüber dem Verantwortlichen zu:

• Auskunft (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). In Deutschland richtet sich die Zuständigkeit grundsätzlich nach dem Bundesland des Verantwortlichen bzw. Ihres gewöhnlichen Aufenthalts.

Zuständige Aufsichtsbehörde: [Platzhalter — zuständige Landesdatenschutzbehörde, z. B. der/die Landesbeauftragte für Datenschutz und Informationsfreiheit des betreffenden Bundeslandes].

Eine Übersicht aller Aufsichtsbehörden finden Sie beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), Graurheindorfer Str. 153, 53117 Bonn.

10. Pflicht zur Bereitstellung der Daten

Die Bereitstellung Ihrer Kontodaten ist für die Vertragserfüllung erforderlich. Ohne diese Daten können wir Ihnen keinen Zugang zu MiraScribe gewähren.

Die Aufnahme der Konsultation ist freiwillig; ohne Aufzeichnung kann die Kernfunktion von MiraScribe jedoch nicht genutzt werden.