Häufige Fragen zum Datenschutz
Wo erfolgt die Datenverarbeitung? Wo werden die Daten gespeichert?
Das Datenhosting erfolgt ausschließlich auf Servern innerhalb der EU. Die Daten der Praxis und der Patienten werden nicht an Dritte weitergegeben, sondern nur an sorgfältig ausgewählte Dienstleister, die direkt von CGM beauftragt wurden und für den Betrieb des Systems erforderlich sind. Bei zwei dieser Dienstleister kann es zu einer vorübergehenden Verarbeitung bestimmter Daten außerhalb Europas, z. B. in den USA, kommen. Dabei kommen ausschließlich sichere und DSGVO-konforme Übertragungsmechanismen zum Einsatz, die ein der EU entsprechendes Datenschutzniveau sicherstellen. Insbesondere handelt es sich um Dienstleister, die nach dem EU-US Datenschutzrahmenabkommen zertifiziert wurden. Weitere technische Maßnahmen durch CGM wie wirksame Verschlüsselung tragen maßgeblich zu diesem hohem Datenschutzniveau bei.
Wer hat Zugriff auf die Daten?
Zugriff auf die vom TelefonAssistenten verarbeiteten Daten haben ausschließlich autorisierte Mitarbeitende der jeweils nutzenden Praxis.
CGM-Mitarbeitende können – soweit für Betrieb, Wartung oder Support erforderlich – ebenfalls auf bestimmte Daten zugreifen, jedoch nur im Rahmen der vertraglich geregelten Auftragsverarbeitung und auf Weisung der Praxis.
Beauftragte Dienstleister haben keinen direkten Zugriff auf die Daten. Sie stellen lediglich die technische Infrastruktur bereit (z. B. Hosting), ohne Zugriff auf Inhalte zu erhalten.
Wie lange werden die Daten gespeichert?
Im Sinne der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e DSGVO werden personenbezogene Daten standardmäßig nach 60 Tagen automatisiert gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Speicherdauer orientiert sich somit strikt am Erforderlichkeitsgrundsatz.
Werden die Daten auf Basis einer Auftragsverarbeitung verarbeitet?
Grundsätzlich erfolgt die Verarbeitung sämtlicher Daten im Rahmen der Auftragsverarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen – also der jeweiligen Praxis – gemäß Art. 28 Abs. 3 DSGVO. Die beauftragten Dienstleister – einschließlich CGM und etwaiger Subunternehmer – verarbeiten die Daten nicht zu eigenen Zwecken, sondern ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen.
Wie wird der Patient über den Datenschutz informiert? Muss er der Aufzeichnung zustimmen?
Der TelefonAssistent informiert Anrufende zu Beginn des Gesprächs transparent, verständlich und DSGVO-konform über die Datenverarbeitung. Bestandteil der Gesprächseinleitung ist die ausdrückliche Einholung einer informierten Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.
Die Einwilligung der Anrufenden ist freiwillig. Wird sie nicht erteilt, verweist der TelefonAssistent auf alternative Kontaktmöglichkeiten (z. B. E-Mail). Zu Beginn des Gesprächs wird dem Anrufenden der Link zur Webseite der jeweiligen Praxis vorgelesen. Dort findet sich das Hinweisblatt zum Datenschutz für Patienten, in dem ausführlich über die Betroffenenrechte (z. B. Auskunft, Löschung, Widerruf) informiert wird. Die Bereitstellung und Pflege dieses Datenschutzhinweises liegt im Verantwortungsbereich der Praxis als datenschutzrechtlich Verantwortlicher.
Zudem wird durch die Einwilligung auch die Zustimmung zur Aufzeichnung gemäß § 201 StGB abgefragt. Eine weitere Verarbeitung oder Speicherung erfolgt nur bei bestätigter Einwilligung. Die Zustimmung des Anrufenden wird automatisiert protokolliert und in der Transkription dokumentiert.
Der Leistungserbringer wird beim Vertragsschluss auf seine Verantwortung für die datenschutzkonforme Gestaltung des Hinweises hingewiesen. Der Text zur Gesprächseinleitung ist individualisierbar.
Wie wird technisch und organisatorisch sichergestellt, dass keine unautorisierte Weiterverwendung der Daten ohne ausdrückliche Einwilligung erfolgt?
Es ist technisch so umgesetzt, dass ohne ausdrückliche Zustimmung zur Aufzeichnung keinerlei Gesprächsdaten gespeichert werden – sie werden unmittelbar verworfen. Eine Nutzung zu Systemoptimierungszwecken oder sonstigen nicht autorisierten Zwecken erfolgt nicht.
Wie werden die Rechte der Betroffenen umgesetzt?
Die Rechte der betroffenen Personen gemäß Art. 15 bis 17 DSGVO (Auskunft, Berichtigung, Löschung) werden vollumfänglich unterstützt. Anrufende werden bereits zu Beginn des Gesprächs über ihre Rechte informiert und auf die ausführlichen Datenschutzhinweise der jeweiligen Praxis verwiesen, die u. a. auch Informationen zur Geltendmachung dieser Rechte enthalten.
Zur technischen Umsetzung stellen wir Funktionen bereit, mit denen autorisierte Praxisnutzer Anfragen zur Auskunft, Berichtigung oder Löschung gezielt bearbeiten können. Die Daten können auf Wunsch exportiert oder datenschutzkonform gelöscht werden. Damit ist sichergestellt, dass betroffene Personen ihre Rechte jederzeit wirksam und nachvollziehbar ausüben können.