Datenschutzerklärung
Wir verarbeiten Patientendaten. Die fallen unter Artikel 9 der Datenschutz-Grundverordnung — höchste Schutzkategorie. Diese Seite erklärt, wie wir damit umgehen.
Stand: Juni 2026
1. Verantwortlicher
Digital Hoch X GmbH · Neumarkt 1 · 49074 Osnabrück
E-Mail: datenschutz@digitalhochx.de
2. Hosting dieser Website
Diese Website (www.otpilot.de) wird über Firebase Hosting ausgeliefert, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Beim Aufruf der Seite verarbeitet Firebase technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Ressource) zur Auslieferung und Absicherung der Inhalte. Eine Übermittlung in die USA kann dabei nicht ausgeschlossen werden; Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, performanter Bereitstellung). Über diese Website werden keine Patientendaten verarbeitet.
3. Hosting der OTpilot-Anwendung
Die OTpilot-Anwendung (app.otpilot.de) — also alles, was Patientendaten berührt — läuft auf dedizierter eigener Hardware in einem deutschen Rechenzentrum. Das Rechenzentrum ist nach ISO 27001 zertifiziert. Für Patientendaten findet kein Datentransfer in Drittländer statt.
4. KI-Verarbeitung und Sub-Auftragsverarbeiter
Die OTpilot-Anwendung läuft auf unserer Infrastruktur in Deutschland. Für die Sprachtranskription und die KI-gestützte Feldextraktion setzen wir spezialisierte Modell-Anbieter ein. Welche Anbieter konkret im Datenpfad liegen, dokumentieren wir vollständig im Auftragsverarbeitungs-Vertrag (AVV) — inklusive Standort, Vertragsbasis (EU-Standardvertragsklauseln, falls erforderlich) und technischer Schutzmaßnahmen wie Pseudonymisierung der Audiodaten.
Audio-Aufnahmen werden nach der Transkription verworfen, das Transkript bleibt im Sanitätshaus-Konto auf dem deutschen Server.
5. Audio wird nicht gespeichert
Die Audio-Aufnahme eines Patientengesprächs wird nicht gespeichert. Nur das Transkript bleibt erhalten — und dieses bleibt auf dem deutschen Server, unter Zugriffsregelung des Sanitätshauses.
6. Stateless KI-Verarbeitung
Unser KI-Worker ist stateless: Er verarbeitet eine Anfrage, gibt das Ergebnis zurück und vergisst sie. Es gibt kein Training auf euren Daten, keine Persistenz im KI-Modell.
7. Transparenz gegenüber Patienten (EU AI Act Art. 50)
Patienten haben einen Anspruch darauf zu wissen, dass eine KI im Versorgungsgespräch eingesetzt wird. Die Aufklärungspflicht liegt beim Sanitätshaus als verantwortliche Stelle. OTpilot stellt hierfür einen empfohlenen Wortlaut bereit, der zu Beginn des Gesprächs gegenüber dem Patienten kommuniziert werden kann. Patienten können dem KI-Einsatz im Einzelfall widersprechen — in diesem Fall führt das Sanitätshaus die Dokumentation manuell.
8. MDR-konforme Architektur
Unser System ist Assistent, nicht Entscheider. Jedes ausgefüllte Formular wird vor Freigabe von einer Fachkraft geprüft und mit Mitarbeiterkennung bestätigt. Die fachliche und rechtliche Verantwortung bleibt bei der Fachkraft. Damit fällt OTpilot nicht unter die Medical Device Regulation als zu zertifizierendes Medizinprodukt — er protokolliert, was die Fachkraft erhebt.
9. Schnittstellen-Kontrolle
Jedes Sanitätshaus hat ein eigenes Panel zur Schnittstellensteuerung. Verantwortliche entscheiden selbst, welche ERP-Systeme Daten austauschen dürfen.
10. Kontaktformulare
Wenn ihr uns über unsere Formulare kontaktiert, werden eure Angaben zur Bearbeitung der Anfrage verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung Vertragsverhältnis). Die Verarbeitung der Formulardaten erfolgt über Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) als Auftragsverarbeiter — Hosting in der EU, AV-Vertrag geschlossen.
11. Newsletter
Für den Newsletter-Versand nutzen wir Brevo (Sendinblue GmbH, Berlin). Die Anmeldung läuft im Double-Opt-In-Verfahren: Ihr erhaltet eine Bestätigungs-Mail und seid erst nach Klick auf den Bestätigungs-Link angemeldet. Gespeichert werden die im Formular angegebenen Daten (Name, E-Mail-Adresse, optional Mobilnummer) sowie Zeitpunkt von Anmeldung und Bestätigung. Das Anmeldeformular wird erst geladen, wenn ihr es aktiv öffnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Widerruf ist jederzeit möglich — über den Abmelde-Link in jeder Mail oder formlos an hallo@otpilot.de.
12. Tracking und Analyse (nur mit Einwilligung)
Die folgenden Dienste laden ausschließlich nach eurer Einwilligung über das Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung bleibt die Website voll nutzbar — es lädt dann keiner dieser Dienste. Die Einwilligung könnt ihr jederzeit über „Cookie-Einstellungen" im Footer widerrufen.
- Google Analytics 4 / Google Tag Manager (Google Ireland Limited, Dublin): Reichweiten-Analyse — welche Seiten besucht werden, wie lange, von welchem Gerätetyp. IP-Adressen werden gekürzt verarbeitet. Eine Übermittlung in die USA kann nicht ausgeschlossen werden (EU-U.S. Data Privacy Framework + Standardvertragsklauseln).
- LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Dublin): Misst, ob Besucher über LinkedIn-Kampagnen zu uns finden, und ermöglicht Conversion-Messung. Übermittlung in die USA möglich (Data Privacy Framework + Standardvertragsklauseln).
- Brevo Tracker & Conversations (Sendinblue GmbH, Berlin): Verknüpft Formular-Anfragen mit eurem Kontakt in unserem CRM und stellt den Chat-Dialog bereit. Hosting in der EU.
13. Cookies und ähnliche Techniken
Für die Cookie-Verwaltung nutzen wir CCM19 (Papoo Software & Media GmbH, Deutschland) — ein DSGVO-konformes Consent-Management-Tool. Über das Cookie-Banner könnt ihr eure Einwilligung jederzeit erteilen, ändern oder widerrufen. Die folgende Liste wird automatisch aus unserer CCM19-Konfiguration gefüllt und zeigt alle aktuell eingesetzten Cookies und ähnlichen Techniken inklusive Zweck, Anbieter und Speicherdauer.
Cookie-Einstellungen jederzeit erneut öffnen — über den Link „Cookie-Einstellungen" im Footer dieser Seite.
14. Eure Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch — alles nach DSGVO. Beschwerde bei der zuständigen Aufsichtsbehörde ist jederzeit möglich. Anfragen an: datenschutz@digitalhochx.de.
Auftragsverarbeitungs-Vertrag (AVV) wird auf Anfrage bereitgestellt.