Data Processing Agreement (DPA)

abgeschlossen zwischen dem Kunden, dessen Daten bei Vertragsschluss im Kundenkonto der Software hinterlegt sind oder am Ende dieser Auftragsverarbeitungsvereinbarung angeführt sind, im Folgenden auch als „Verantwortlicher“ bezeichnet, und

emergo technologies GmbH

FN 576060y

Rans 10c

A-6071 Aldrans

im Folgenden auch als „Auftragsverarbeiter“ bezeichnet,

wie folgt:

1. Präambel
   1. Die Parteien haben einen Vertrag über die Bereitstellung von Software abgeschlossen („Hauptvertrag“).
   2. In diesem Vertrag wurde der Auftragnehmer als Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten durch den Auftraggeber als Verantwortlicher beauftragt. Zur Erfüllung der datenschutzrechtlichen Bestimmungen schließen die Parteien diese Vereinbarung.
   3. Diese Vereinbarung wird in elektronischer Form im Sinne von Art 28 Abs 9 DSGVO abgeschlossen, indem der Verantwortliche ihr bei der Registrierung, bei der Bestellung oder in den Einstellungen der Software zustimmt. Der Auftragsverarbeiter dokumentiert die Zustimmung mit Datum, zustimmender Person und der Version dieser Vereinbarung. Alternativ kann die Vereinbarung durch Unterzeichnung abgeschlossen werden. Auf Wunsch stellt der Auftragsverarbeiter dem Verantwortlichen ein von ihm unterzeichnetes Exemplar zur Verfügung.
2. Begriffsbestimmungen
   1. „Datenschutzrecht“ bezeichnet die Verordnung (EU) 2016/679 („Datenschutzgrundverordnung“; kurz DSGVO) sowie das österreichische Datenschutzgesetz (BGBl I Nr 165/1999) in der geltenden Fassung.
   2. „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
   3. „Verantwortlicher“ ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
   4. „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
   5. „Verarbeitung“ ist jeder, mit oder ohne Hilfe automatisierter Verfahren, ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
3. Beschreibung der Verarbeitung
   1. Gegenstand des Auftrages zum Datenumgang ist die Durchführung der Aufgaben, welche in Anlage 3 spezifiziert sind.
   2. Der Auftragsverarbeiter darf, die vom Verantwortlichen übermittelten personenbezogenen Daten ausschließlich zum Zweck der Leistungserbringung im Einklang mit dem Hauptvertrag verarbeiten. Jede darüberhinausgehende Verarbeitung ist untersagt.
   3. Die vertraglich vereinbarte Datenverarbeitung wird innerhalbder Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum sowie den Vereinigten Staaten von Amerika erbracht.
   4. Die Verarbeitung personenbezogener Daten in einem Drittland ist zulässig, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind. Der Auftragsverarbeiter wird das Vorliegen der besonderen Voraussetzungen überprüfen.
4. Vertragslaufzeit und Kündigung
   1. Diese Vereinbarung gilt so lange, wie der Auftragsverarbeiter auf der Grundlage des zwischen den Parteien abgeschlossenen Hauptvertrages personenbezogene Daten verarbeitet.
   2. Die Vereinbarung kann unter Einhaltung der Bestimmungen des Hauptvertrags gekündigt werden. Eine Erklärung in Bezug auf die Verlängerung oder Beendigung des Hauptvertrags gilt auch in Bezug auf diese Auftragsverarbeitung. Dies gilt auch im Falle der Änderung der Kündigungsmodalitäten des Hauptvertrags, sodass ein Gleichklang zwischen Hauptvertrag und Auftragsverarbeitungsvereinbarung sichergestellt ist.
   3. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein solcher wichtiger Grund liegt etwa vor, wenn eine Partei die datenschutzrechtlichen Bestimmungen dieses Vertrages oder der DSGVO verletzt.
5. Art der personenbezogenen Daten
   1. Der Auftragsverarbeiter wird die in Anlage 3 spezifizierten Daten verarbeiten
   2. In den Anwendungsbereich dieses Auftragsverarbeitungsvertrages kann auch die Verarbeitung von besonderen Kategorien personenbezogener Daten nach Art 9 DSGVO, insbesondere Gesundheitsdaten fallen, deren Verarbeitung grundsätzlich unzulässig ist. Soweit der Verantwortliche dem Auftragsverarbeiter derartige Datenkategorien zur Verfügung stellt, garantiert der Verantwortliche, dass ein entsprechender Rechtfertigungstatbestand für die Verarbeitung gemäß Art 9 Abs 2 DSGVO erfüllt ist.
6. Rechte und Pflichten des Verantwortlichen
   1. Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art 6, 9 und 10 DSVGO („Rechtfertigungstatbestände“) sowie für die Wahrung der Rechte der betroffenen Personen nach Kapitel III DSGVO („Rechten der Betroffenen“) ausschließlich verantwortlich.
   2. Wenn der Verantwortliche Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse oder der Verarbeitung personenbezogener Daten feststellt, informiert er den Auftragsverarbeiter unverzüglich.
   3. Alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäfts- und Betriebsgeheimnissen, Knowhow und Datensicherheitsmaßnahmen des Auftragsverarbeiters sind vom Verantwortlichen vertraulich zu behandeln; diese Verpflichtung bleibt nach Beendigung dieses Vertrages bestehen.
   4. Alle Weisungen des Verantwortlichen sind durch den Verantwortlichen elektronisch zu dokumentieren, wenn diese nicht in elektronisch dokumentierter Weise erteilt werden. Der Verantwortliche weist den Auftragsverarbeiter an, die Verarbeitungen durchzuführen, die zur Erfüllung des Hauptvertrags erforderlich oder nützlich sind.
   5. Der Verantwortliche darf sich regelmäßig in angemessener Weise von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen und von der Einhaltung der in diesem Vertrag festgelegten Verpflichtungen überzeugen.
7. Rechte und Pflichten des Auftragsverarbeiters
   1. Der Auftragsverarbeiter wird personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeiten. Dies gilt ebenfalls für eine Übermittlung personenbezogener Daten an ein Drittland. Soweit in der Liste der Subauftragsverarbeiter Gesellschaften mit Sitz in einem Drittland enthalten sind, so gelten diese als durch den Verantwortlichen genehmigt.
   2. Der Auftragsverarbeiter gewährleistet die Sicherheit der Verarbeitung durch Einhaltung und regelmäßige Evaluierung und Bewertung der Maßnahmen gemäß Anlage 1 zu dieser Auftragsverarbeitungsvereinbarung.
   3. Der Auftragsverarbeiter wird Leistungen, die unter dieser Auftragsverarbeitungsvereinbarung erbracht werden, wie insbesondere der Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten oder der Mitwirkung bei Inspektionen nach tatsächlichem Aufwand auf Stundensatzbasis zu einem angemessenen Entgelt verrechnen.
   4. Der Auftragsverarbeiter ist zur Verschwiegenheit in Bezug auf alle personenbezogenen Daten, die ihm vom Verantwortlichen offengelegt werden, verpflichtet. Der Auftragsverarbeiter gewährleistet, dass nur Mitarbeiter Zugang zu den personenbezogenen Daten des Verantwortlichen erhalten, die diese Daten zur Erfüllung der Auftragsverarbeitungsvereinbarung benötigen. Diese Mitarbeiter sind vertraglich zur Verschwiegenheit verpflichtet und dürfen Daten nur auf Grund einer ausdrücklichen Anordnung durch den Auftragsverarbeiter übermitteln. Diese Verpflichtung gilt auch nach Beendigung des Arbeitsverhältnisses.
   5. Der Auftragsverarbeiter wird den Verantwortlichen bei der Beantwortung von Anträgen von Betroffenen in Ausübung der Rechte nach Kapitel III DSGVO angemessen unterstützen. Sollten Anträge von Betroffenen irrtümlich beim Auftragsverarbeiter einlangen, so hat dieser die Anträge umgehend an den Verantwortlichen weiterzuleiten. Der Auftragsverarbeiter wird dem Verantwortlichen alle Daten, Dokumente und Informationen zur Verfügung stellen, die dem Auftragsverarbeiter vorliegen, sofern der Verantwortliche diese zur Beantwortung der Anfrage benötigt.
   6. Der Auftragsverarbeiter wird den Verantwortlichen von der Verletzung personenbezogener Daten („Data Breach“) unverzüglich informieren, damit der Verantwortliche seinen Meldepflichten gegenüber der Aufsichtsbehörde nachkommen kann.
   7. Der Auftragsverarbeiter ist nach Wahl des Verantwortlichen verpflichtet, alle personenbezogenen Daten nach Beendigung dieser Vereinbarung entweder zu löschen oder zurückzugeben, sofern der Auftragsverarbeiter nicht nach europäischem oder nationalem Recht zur Speicherung verpflichtet ist. Erfolgt binnen drei Monaten ab Vertragsbeendigung keine Herausgabeaufforderung durch den Verantwortlichen, ist dies eine Anweisung, die Daten zu löschen.
   8. Der Auftragsverarbeiter ist berechtigt, Kopien der personenbezogenen Daten zurückzuhalten, sofern eine Speicherung automatisiert aus technischen Gründen erfolgte und die Kopien entsprechend verschlüsselt oder gesondert verwahrt werden.
   9. Der Auftragsverarbeiter hat dem Verantwortlichen auf dessen Verlangen alle Dokumente und Informationen zur Verfügung zu stellen, die der Verantwortliche benötigt, um die Einhaltung der datenschutzrechtlichen Pflichten durch den Auftragsverarbeiter zu überprüfen.
   10. Der Verantwortliche ist berechtigt, mit angemessener Vorankündigung eine Inspektion beim Auftragsverarbeiter zu den gewöhnlichen Geschäftszeiten durchzuführen und sich von der Einhaltung der datenschutzrechtlichen Bestimmungen durch den Auftragsverarbeiter zu überzeugen.
8. Subauftragsverarbeiter
   1. Dem Auftragsverarbeiter wird die allgemeine Genehmigung erteilt, Subauftragsverarbeiter zur Leistungserbringung hinzuzuziehen. Die in Anlage 2 angeführten Subauftragsverarbeiter gelten als genehmigt.
   2. Beabsichtigt der Auftragsverarbeiter, einen weiteren Subauftragsverarbeiter hinzuziehen oder einen bestehenden Subauftragsverarbeiter zu ersetzen, wird der Auftragsverarbeiter den Verantwortlichen via E-Mail oder sonstiger Benachrichtigung 30 Tage vorher informieren. Widerspricht der Verantwortliche nicht aus sachlichen Gründen, gilt der neue Subauftragsverarbeiter als genehmigt. Widerspricht der Verantwortliche aus sachlichen Gründen, steht sowohl dem Verantwortlichen als auch dem Auftragsverarbeiter das Recht zur außerordentlichen Beendigung dieser Auftragsverarbeitungsvereinbarung und des Hauptvertrags zu, ohne dass die jeweils andere Partei hieraus Ansprüche ableiten kann.
   3. Zieht der Auftragsverarbeiter Subauftragsverarbeiter zur Leistungserbringung hinzu, so schließt der Auftragsverarbeiter entsprechende Vereinbarungen nach Art 28 Abs 4 DSGVO ab. In dieser Vereinbarung werden den Subauftragsverarbeiter die gleichen Datenschutzpflichten auferlegt, denen der Auftragsverarbeiter unterliegt.
9. Technische und organisatorische Maßnahmen
   1. Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers, die den Anforderungen der Datenschutzgrundverordnung (Art. 32 DSGVO) entsprechen.
   2. Die technischen und organisatorischen Maßnahmen haben die Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.
   3. In Anlage 1 sind die technischen und organisatorischen Maßnahmen beschrieben, die der Auftragsverarbeiter ergriffen hat. Der Verantwortliche bestätigt, dass diese Maßnahmen Art 32 DSGVO entsprechen. Der Auftragsverarbeiter ist berechtigt, diese Maßnahmen einseitig abzuändern, wenn das durch Anlage 1 erreichte Schutzniveau dadurch nicht unterschritten wird. Der Auftragsverarbeiter übermittelt dem Verantwortlichen auf Anfrage die jeweils geltenden technischen und organisatorischen Maßnahmen.
10. Haftung
    1. Die Haftung des Auftragsverarbeiters für leichte Fahrlässigkeit ist ausgeschlossen. Ebenso besteht keine Haftung des Auftragsverarbeiters für mittelbare Schäden, Mangelfolgeschäden, Datenverlust oder entgangenen Gewinn.
    2. Der Auftragsverarbeiter haftet insbesondere nicht dafür, dass eine entsprechender Rechtfertigungstatbestand im Verhältnis zwischen Verantwortlichem und Betroffenem vorliegt. Wird der Auftragsverarbeiter durch Dritte in Anspruch genommen, hält der Verantwortliche den Auftragsverarbeiter schad- und klaglos.
11. Schlussbestimmungen
    1. Die Parteien vereinbaren, dass auf diese Vereinbarung österreichisches Recht unter Ausschluss der Kollisionsnormen und des UN-Kaufrechts zur Anwendung gelangen soll und vereinbaren die ausschließliche Zuständigkeit des Gerichts in 6020 Innsbruck.
    2. Bei Widersprüchen zwischen dieser Auftragsverarbeitungsvereinbarung und dem Hauptvertrag gelten die Bestimmungen der Auftragsverarbeitungsvereinbarung in Bezug auf personenbezogene Daten vorrangig.
    3. Änderungen dieser Vereinbarung bedürfen der Schriftform, was ebenfalls für ein Abgehen von der Schriftform gilt. Die Parteien vereinbaren zudem, dass auch ein E-Mail oder eine sonstige Nachricht in Textform die Erfordernisse der Schriftform erfüllt.
    4. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, so berührt dies nicht die Gültigkeit des übrigen Vertrags. Die unwirksame Bestimmung ist durch eine Bestimmung zu ersetzen, die wirksam ist und dem wirtschaftlichen Willen der Parteien zum Zeitpunkt des Abschlusses der Vereinbarung am nächsten kommt.

Anlagen

Anlage 1 Technische und organisatorische Maßnahmen

Anlage 2 Subauftragsverarbeiter

Anlage 3 Beschreibung der Verarbeitung & Art der Daten

Bei Abschluss durch Unterzeichnung (Punkt 1.3):

Anlage 1 - Technisch-organisatorische Maßnahmen

1. Vertraulichkeit (Art 32 Abs 1 lit b DSGVO)

1.1 Zugangskontrolle

Das Unternehmensnetzwerk von emergo ist cloud-basiert, wodurch sämtliche Infrastruktur in der Cloud gehostet wird. Der Zugang zu diesen Systemen erfolgt ausschließlich über persönliche Zugangsdaten.

Darüber hinaus verfolgt emergo das Prinzip der „need-to-know“-Zugriffssteuerung, welches sicherstellt, dass Mitarbeitende nur dann Zugriff auf bestimmte Ressourcen erhalten, wenn dies für ihre Aufgaben oder Rollen erforderlich ist. Hierdurch wird gewährleistet, dass Nutzer ausschließlich auf die für sie relevanten Ressourcen zugreifen können.

Ein Single Sign-On (SSO)-System wird über einen Directory-Dienst bereitgestellt, wobei Systeme mittels SAML und SCIM angebunden sind. Dadurch wird sichergestellt, dass nur berechtigte Personen Zugang zu den Ressourcen erhalten.

Die im Unternehmen verwendeten Endgeräte sind durchgängig verschlüsselt. Passwörter werden ausschließlich über einen Passwortmanager (Bitwarden) verwaltet, der den Richtlinien des Role-Based Access Control (RBAC) unterliegt.

Mitarbeitende werden regelmäßig geschult und für sicherheitsrelevante Themen sensibilisiert und sind angehalten, die FIDO2-Authentifizierung mithilfe von Yubikeys zu nutzen.

Sensible Daten werden mit individuellen PGP-Schlüsseln verschlüsselt auf den Systemen der Mitarbeitenden gespeichert. Zentrale Systeme protokollieren die Nutzung von Benutzerkonten (Zugriffsprotokolle).

1.2 Zugriffskontrolle

Zur Verwaltung und Dokumentation von differenzierten Berechtigungen gibt es Konzepte, die vorgeben, wie hierarchische Gruppen und Rollen auf den genutzten Plattformen zu gestalten und zu nutzen sind.

Bei emergo gibt es generell eine Rollenverteilung, die sich in einzelnen Bereichen granularer abzeichnet, beispielsweise die Rolle des Entwicklers, der auf Infrastruktur-Systemen seiner Tätigkeit entsprechende Rollen erhält, die wiederum an bestimmte Zugangsberechtigungen geknüpft sind.

1.3 Clean Desk Policy

Geräte müssen so konfiguriert sein, dass der Bildschirm automatisch nach 5 Minuten Inaktivität gesperrt wird und mit Passwort oder biometrischem Zugang (z.B. Touch ID) entsperrt werden muss.

Mitarbeitende verpflichten sich, den Bildschirm aktiv zu sperren, wenn sie ihren Arbeitsplatz verlassen.

Mitarbeitende verpflichten sich sicherzustellen, dass nicht befugte Personen keine Einsicht auf den Bildschirm haben können, falls die Möglichkeit besteht, dass sensitive Daten (z.B. Kundendaten oder Secrets) auf dem Bildschirm sichtbar sind. Das impliziert, dass gewisse Arbeiten z.B. im öffentlichen Raum, wie etwa in Cafés, nicht durchgeführt werden dürfen.

1.4 Weitergabekontrolle

Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellung sind folgende Maßnahmen implementiert: Device Management (siehe Punkt 1.5) sowie regelmäßige Compliance-Checks.

1.5 Device Management

Die Laptops der Mitarbeitenden werden zentral über Apple Business Device Management verwaltet. Dort ist als verpflichtende Richtlinie hinterlegt, dass die Festplatten der Geräte verschlüsselt sein müssen.

2. Integrität (Art 32 Abs 1 lit b DSGVO)

Zugriffe auf die Produktivsysteme und dort vorgenommene Vorgänge werden über die System-Protokolle der eingesetzten Linux-Server aufgezeichnet. Ergänzend protokollieren die zentralen Systeme die Nutzung von Benutzerkonten (siehe Punkt 1.1).

3. Verschlüsselung (Art 32 Abs 1 lit a DSGVO)

Sämtliche Datenübertragungen zwischen den Nutzern und der Software sowie zwischen den eingesetzten Systemen erfolgen ausschließlich über TLS-verschlüsselte Verbindungen (Verschlüsselung bei der Übertragung). Die Endgeräte der Mitarbeitenden sind vollständig verschlüsselt (siehe Punkte 1.1 und 1.5).

4. Trennungskontrolle

Die Daten der einzelnen Kunden werden auf Applikationsebene logisch voneinander getrennt (Mandantentrennung). Jeder Datenzugriff erfolgt ausschließlich im Kontext des jeweiligen Kundenkontos.

5. Verfügbarkeit und Belastbarkeit (Art 32 Abs 1 lit b und c DSGVO)

Auf Infrastrukturebene werden Snapshots der Produktivsysteme (Hetzner) erstellt, aus denen die Systeme im Fehlerfall wiederhergestellt werden können. Zusätzlich werden die Datenbanken des Transkriptionsassistenten nächtlich gesichert; die Sicherungen werden vor dem Verlassen des Servers verschlüsselt, auf Vollständigkeit geprüft, in Hetzner Object Storage in Deutschland abgelegt und nach 90 Tagen automatisch gelöscht. Die Wiederherstellung ist in einem Ablaufplan dokumentiert. Regelmäßige Tests der Wiederherstellung werden Bestandteil der jährlichen Evaluierung gemäß Punkt 6.

6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art 32 Abs 1 lit d DSGVO)

Die technischen und organisatorischen Maßnahmen werden jährlich evaluiert, bewertet und bei Bedarf an den Stand der Technik angepasst.

Anlage 2 - Subauftragsverarbeiter

KI-Telefonassistent (Easy-Voice)

Transkriptionsassistent (NabuMed)

Standardmäßig werden Gesprächs- und Patientendaten ausschließlich durch Subauftragsverarbeiter mit Verarbeitung in der EU verarbeitet (Abschnitt A). Subauftragsverarbeiter mit Verarbeitung außerhalb der EU (Abschnitt C) kommen nur zum Einsatz, wenn der Verantwortliche die Verarbeitung außerhalb der EU in den Einstellungen der Software („Datenresidenz“) ausdrücklich freigibt; diese Freigabe wird mit Datum und freigebender Person dokumentiert und gilt als Weisung im Sinne von Punkt 7.1. Die Freigabe kann jederzeit widerrufen werden.

A. Verarbeitung in der EU (Standard)

B. Konto und Abrechnung (keine Gesprächs- oder Patientendaten)

C. Verarbeitung außerhalb der EU (nur nach Freigabe durch den Verantwortlichen)

Anlage 3 – Beschreibung der Verarbeitung & Art der Daten

KI-Telefonassistent (Easy-Voice)

Beschreibung der Verarbeitung

Der KI-Telefonassistent ist ein Dienst, der Anrufe entgegennehmen kann und dem Anrufer entsprechend seiner vom Verantwortlichen vorgegebenen Instruktionen (Prompt) antwortet und gegebenenfalls über API-Anbindungen Aktionen auslösen kann. Dazu wird das Telefonat mittels eines Speech-To-Text (STT) Modells transkribiert, an ein Large-Language Modell (LLM) gesendet und die Antwort des LLMs an ein Text-To-Speech (TTS) Model gesendet. Weiters wird das Telefonat aufgezeichnet (um im Falle falscher Transkriptionen das Telefonat durch einen Mitarbeiter des Verantwortlichen bearbeiten zu können). Das Transkript des Telefonats kann verwendet werden um durch ein LLM Daten zu extrahieren, eine Zusammenfassung zu erstellen oder Kategorisierungen des Anrufs vorzunehmen.

Art der Daten

Durch den Anruf fallen Metadaten wie Telefonnummer, Anrufzeit und Anrufdauer an. Weiters werden die Audiodaten des Anrufs, also die Stimme des Anrufers aufgezeichnet. Da der KI-Telefonassistent hoch-konfigurierbar ist und für verschiedenste Zwecke eingesetzt werden kann, hängen die weiter verarbeiteten Daten von den Vorgaben des Verantwortlichen ab, und davon welche Daten im Telefongespräch preisgegeben werden.

Speicherdauer: Liegt im Ermessen des Verantwortlichen. Wird ein Anruf im Webinterface archiviert, wird er permanent gespeichert. Wird ein Anruf im Webinterface gelöscht wird er sofort gelöscht. Standardmäßig werden Anrufe nach 90 Tagen gelöscht (einstellbar im Webinterface)

Transkriptionsassistent (NabuMed)

Beschreibung der Verarbeitung

Der Transkriptionsassistent hört Gespräche mit und kann diese mittels eines Speech-To-Text Modells transkribieren, und auch über ein KI-System (LLM) entsprechend den Vorgaben des Prompts zusammenfassen. Weiters wird das Gespräch aufgezeichnet, sodass der Verantwortliche oder seine Mitarbeiter, im Falle inkorrekter Transkription eine manuelle Richtigstellung vornehmen zu können.

Art der Daten

Es wird ein Gespräch aufgezeichnet, transkribiert und von einem KI-System (LLM) zusammengefasst. Welche Daten aufgezeichnet werden hängt vom Einsatzzweck des Transkriptionsassistenten ab und davon welche Daten im Gespräch preisgegeben werden. Es fallen auch Meta-Daten wie Zeitpunkt des Gesprächs und ein vom Nutzer vergebener Titel des Gesprächs an.

Speicherdauer: Liegt im Ermessen des Verantwortlichen. Die Audiodaten des Gesprächs werden standardmäßig nach 90 Tagen automatisch gelöscht; diese Frist ist vom Verantwortlichen im Webinterface einstellbar. Transkripte und Zusammenfassungen bleiben gespeichert, bis sie vom Verantwortlichen gelöscht werden. Wird ein Gespräch im Webinterface gelöscht, werden die zugehörigen Daten sofort gelöscht.