Datenschutzerklärung

skribora — Inhaber: Lukas Hottelmann
Im Bürgergarten 6
58636 Iserlohn
Deutschland

E-Mail: kontakt@skribora.de

Kontakt in Datenschutzfragen: kontakt@skribora.de

Diese Datenschutzerklärung beschreibt, wie wir personenbezogene Daten verarbeiten, die beim Besuch der Website skribora.de, bei der Nutzung unserer Formulare und unseres Portals, bei der Kontaktaufnahme mit uns und im Rahmen der Geschäftsbeziehung mit unseren Kunden anfallen.

Sie beschreibt nicht die Verarbeitung von Patientendaten. Diese Daten verarbeiten wir ausschließlich im Auftrag und auf Weisung der jeweiligen Praxis oder Einrichtung, die sie uns übermittelt. Verantwortlich dafür bleibt die Praxis; Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wie diese Verarbeitung abläuft und wo sie stattfindet, beschreibt die Seite Datenschutz & Sicherheit.

Ein Punkt vorweg, der für alle folgenden Abschnitte gilt: Website, Portal und Verwaltung laufen auf derselben technischen Plattform. Sie sind logisch getrennt — wer nur die Website aufruft, erzeugt keinen Zugriff auf Diktate oder Dokumente —, aber sie liegen nicht bei verschiedenen Anbietern. Wir beschreiben das hier so, wie es ist, statt eine Trennung zu behaupten, die ein Blick in die DNS-Einträge widerlegen würde.

Speicherort: Diktate, Transkripte, fertige Dokumente und alle Auftrags- und Kundendaten werden in Rechenzentren in Frankfurt am Main gespeichert und verarbeitet. Die Bearbeitung läuft auf eigener Hardware an unserem Standort in Iserlohn. Die eingesetzten Dienstleister und die jeweiligen Verarbeitungsorte sind in Ziffer 10 einzeln aufgeführt.

Beim Aufruf unserer Website übermittelt Ihr Browser automatisch Daten, die technisch erforderlich sind, um Ihnen die Seite anzuzeigen:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und Adresse der abgerufenen Datei
• übertragene Datenmenge und Meldung über den erfolgreichen Abruf
• Browsertyp und -version, Betriebssystem
• gegebenenfalls die zuvor besuchte Seite

Zweck: Aufbau der Verbindung, Gewährleistung von Systemsicherheit und Stabilität, Auswertung technischer Störungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im technisch fehlerfreien und sicheren Betrieb der Website.

Speicherdauer: Wir werten diese Daten nicht aus und führen sie nicht mit anderen Daten zusammen. Wir legen selbst keine dauerhaften Zugriffsprotokolle an. Beim Hosting-Dienstleister anfallende Protokolle werden nach dessen Vorgaben gelöscht, längstens nach 30 Tagen.

Schutz vor missbräuchlicher Formularnutzung

Damit unsere öffentlichen Formulare (Ziffer 4) nicht automatisiert massenhaft abgeschickt werden, zählen wir die Absendungen je Absender und Tag. Dazu bilden wir aus Ihrer IP-Adresse, dem Formularzweck und dem Datum einen nicht umkehrbaren Prüfwert (SHA-256) und speichern ausschließlich diesen Wert zusammen mit einem Zähler. Die IP-Adresse selbst wird dabei nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz vor missbräuchlicher Nutzung.
Speicherdauer: zwei Tage, danach automatische Löschung.

Kostenloses Erstdiktat (skribora.de/test)

Verarbeitete Daten: Name der Praxis oder Einrichtung, gewünschte Dokumentart, E-Mail-Adresse, gewählter Übermittlungsweg und — bei Übermittlung per E-Mail — die Absenderadresse, von der Ihre Aufnahmen kommen sollen.

Zwecke: Einrichtung Ihres kostenlosen Testzugangs, Freischaltung der genannten Absenderadresse für den Diktateingang, Kontaktaufnahme.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Speicherdauer: Kommt es zu keiner Geschäftsbeziehung, löschen wir Ihre Angaben spätestens zwölf Monate nach der letzten Kontaktaufnahme. Nach dem Abruf Ihres Testdokuments erinnern wir Sie nach einem Tag, nach sieben und nach dreißig Tagen an das Onboarding; danach endet die Ansprache automatisch, und Aufnahme und Dokument werden gelöscht. Sie können der Ansprache jederzeit formlos widersprechen.

Onboarding (skribora.de/onboarding)

Verarbeitete Daten: Praxisdaten und Anschrift, Ansprechpartner, Telefon, Rechnungsadresse, Kontakt-E-Mail; zu jeder diktierenden oder mitarbeitenden Person Name, Titel, Kürzel, E-Mail-Adresse, Rolle und die Angabe, ob ein Portalzugang gewünscht ist; gegebenenfalls Sammeladressen und zusätzliche Empfängeradressen; Name der unterzeichnenden Person und die Bestätigung der Vertragsunterlagen mit Zeitstempel.

Zwecke: Begründung und Durchführung des Vertragsverhältnisses, Einrichtung der Zugänge, Zuordnung eingehender Diktate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Speicherung der Vertragsbestätigungen mit Zeitstempel stützen wir zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 28 Abs. 9 DSGVO (Nachweis des Vertragsschlusses).

Speicherdauer: für die Dauer des Vertragsverhältnisses; anschließend nach Ziffer 9.

Hinweis für benannte Personen: Wenn Ihre Praxisleitung Sie in diesem Formular als diktierende Person einträgt, erhalten wir Ihren Namen und Ihre dienstliche E-Mail-Adresse von ihr. Ihre Rechte nach Ziffer 12 können Sie auch uns gegenüber geltend machen.

Wir setzen ausschließlich Cookies ein, die für den Betrieb technisch erforderlich sind. Eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich, ein Einwilligungsbanner entfällt.

Beim ersten Login speichert Ihr Browser zusätzlich für die Dauer des Vorgangs das eingegebene Erstpasswort im Sitzungsspeicher (sessionStorage), damit Sie es beim Festlegen Ihres persönlichen Passworts nicht erneut eintippen müssen. Der Wert wird nach dem Speichern des neuen Passworts gelöscht und verlässt Ihren Browser nicht.

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein. Es findet keine Auswertung Ihres Nutzungsverhaltens statt, weder durch uns noch durch Dritte. Schriftarten und alle weiteren Gestaltungselemente werden von unserem eigenen Server ausgeliefert; es sind keine Inhalte Dritter eingebunden, die beim Aufruf der Seite Daten an externe Server übertragen.

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben: Name, Praxis oder Einrichtung, E-Mail-Adresse und den Inhalt Ihrer Nachricht.

Zweck: Bearbeitung Ihrer Anfrage und die daran anschließende Kommunikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung von Anfragen.

Speicherdauer: Bis Ihre Anfrage abschließend bearbeitet ist und keine Rückfragen mehr zu erwarten sind, längstens zwölf Monate. Führt Ihre Anfrage zu einem Vertrag, gelten die Fristen aus Ziffer 9. Handelt es sich um einen Geschäftsbrief im Sinne des § 257 HGB, bewahren wir ihn sechs Jahre auf.

Bitte senden Sie uns keine Patientendaten an kontakt@skribora.de. Für Diktate steht die gesonderte Adresse eingang@skribora.de zur Verfügung; Nachrichten dorthin werden automatisiert verarbeitet und nur von Absenderadressen angenommen, die Sie uns vorher genannt haben.

E-Mail-Infrastruktur

Unsere E-Mail-Kommunikation wickeln wir über Google Workspace ab (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Das gilt derzeit auch für den Eingang von Diktaten an eingang@skribora.de sowie für die automatischen Benachrichtigungen, die wir Ihnen zu Ihren Aufträgen senden.

Google verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrages nach Art. 28 DSGVO. Da die Muttergesellschaft ihren Sitz in den USA hat, kann eine Übermittlung dorthin nicht vollständig ausgeschlossen werden; Grundlage hierfür sind die Standardvertragsklauseln der Europäischen Kommission sowie die Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework.

Was das für Diktate bedeutet: Eine per E-Mail übermittelte Aufnahme liegt bis zu ihrer automatischen Abholung im Postfach dieses Anbieters. Anschließend wird sie in unseren Speicher in Frankfurt am Main überführt und die eingegangene Nachricht aus dem Postfach entfernt. Wenn Sie das vermeiden möchten, nutzen Sie den Upload im Portal — dieser Weg berührt kein E-Mail-System. Wir arbeiten daran, den Diktateingang auf eine eigene Infrastruktur bei einem deutschen Anbieter umzustellen; diese Erklärung wird dann angepasst.

Für die Nutzung unseres Portals legen wir für Sie und Ihre Mitarbeitenden Benutzerkonten an.

Verarbeitete Daten: Name, Titel, Kürzel, dienstliche E-Mail-Adresse, weitere von Ihnen genannte Absenderadressen, Rolle und Berechtigungen, Zugehörigkeit zur Praxis, das als Hashwert gespeicherte Passwort, Zeitpunkt der letzten Anmeldung, Zeitpunkt des erzwungenen Passwortwechsels sowie die Autorenkennung aus den Metadaten übermittelter Diktatdateien.

Zwecke: Authentifizierung, Verwaltung der Berechtigungen innerhalb Ihrer Praxis, Zuordnung von Aufträgen zur diktierenden Person, Sicherheit des Systems.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Vertrages; für die Zugangssicherung Art. 6 Abs. 1 lit. f DSGVO.

Passwortprüfung: Beim Festlegen eines Passworts prüfen wir, ob es in bekannten Datenlecks aufgetaucht ist. Dazu wird im Browser der SHA-1-Prüfwert Ihres Passworts gebildet und nur dessen erste fünf Zeichen an den Dienst „Have I Been Pwned" (Superlative Enterprises Ltd., Australien) gesendet, der eine Liste passender Prüfwerte zurückgibt; der Abgleich erfolgt in Ihrem Browser. Ihr Passwort selbst wird dabei nicht übertragen und ist für den Dienst nicht rekonstruierbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an sicheren Zugängen zu einem System, in dem Gesundheitsdaten verarbeitet werden.

Speicherdauer: Benutzerkonten bestehen für die Dauer des Vertragsverhältnisses und werden nach dessen Ende oder auf Ihre Anweisung gelöscht.

Ort der Verarbeitung: Das Portal und alle Auftragsdaten liegen in Rechenzentren in Frankfurt am Main. Eine Ausnahme bildet die Verwaltung der Zugangsdaten (E-Mail-Adresse, Passwort-Hashwert, Anmeldezeitpunkte): Sie erfolgt über Firebase Authentication, einen Dienst von Google, der keine feste Region zusichert. Diktate, Transkripte, Dokumente und Auftragsdaten sind davon nicht berührt.

Hinweis für Mitarbeitende: Wenn Sie als Beschäftigte einer Praxis ein Konto erhalten, stammen Ihre Daten von Ihrem Arbeitgeber. Ihre Rechte nach Ziffer 12 können Sie gleichwohl uns gegenüber geltend machen.

Wenn Sie ein Dokument über den Link aus unserer Fertig-Meldung abrufen, verarbeiten wir: den Abruf-Token, die Anzahl fehlgeschlagener Passworteingaben und den Zeitpunkt des ersten erfolgreichen Abrufs.

Zwecke: Bereitstellung des Dokuments, Schutz vor unbefugtem Zugriff, Nachweis der erfolgten Zustellung und Beginn der Löschfrist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Speicherdauer: Der Abruf-Token verfällt nach 14 Tagen und wird anschließend gelöscht. Nach zehn Fehlversuchen wird er gesperrt.

Verarbeitete Daten: Firmierung und Anschrift, Ansprechpartner, Vertragsdaten, Auftragsvolumen, Auftragsnummer, Kurztitel des Auftrags, Zeichenzahl, Rechnungs- und Zahlungsdaten.

Zwecke: Abrechnung, Buchhaltung, Erfüllung steuerlicher und handelsrechtlicher Pflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB für die Aufbewahrung.

Empfänger: Die am Zahlungsverkehr beteiligten Kreditinstitute und im Prüfungsfall die Finanzverwaltung. Eine externe Steuerberatung ist nicht eingeschaltet.

Speicherdauer: Zehn Jahre für aufbewahrungspflichtige Unterlagen, gerechnet ab dem Ende des Kalenderjahres ihrer Entstehung. Nicht aufbewahrungspflichtige Vertragsdaten löschen wir drei Jahre nach dem Ende des Jahres, in dem der Vertrag endete.

Zum Kurztitel: Rechnungen weisen Aufträge über eine Auftragsnummer und einen Kurztitel aus. Bei Diktaten, die Sie per E-Mail senden, entsteht der Kurztitel aus dem Dateinamen Ihrer Aufnahme. Bitte benennen Sie Dateien deshalb ohne Patientennamen. Enthält ein Dateiname dennoch einen Namen, ersetzen wir ihn spätestens bei der Löschung des Auftrags durch eine neutrale Bezeichnung, sodass er nicht in die Aufbewahrungsfrist der Rechnungsunterlagen gerät.

Wir geben personenbezogene Daten nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Ein Verkauf oder eine Vermietung von Daten findet nicht statt.

Wir setzen Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten. Mit allen bestehen Verträge nach Art. 28 DSGVO:

Die Bearbeitung findet auf eigener Hardware an unserem Standort in Iserlohn statt. Es ist kein Anbieter von KI-Diensten beteiligt; Ihre Diktate werden nicht zum Training von Modellen verwendet.

Rechtsgrundlage für Übermittlungen in die USA sind die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) und, soweit einschlägig, der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

Die Bearbeitung erzeugt aus dem Diktat einen Textentwurf. Dabei werden keine Entscheidungen über Personen getroffen, und jedes Dokument wird vor seiner Verwendung durch die auftraggebende Praxis geprüft und freigegeben.

Sie haben das Recht,

• Auskunft über die von uns verarbeiteten Daten zu verlangen (Art. 15 DSGVO),
• die Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO),
• die Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO),
• die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO),
• Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder übertragen zu lassen (Art. 20 DSGVO),
• eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht nach Art. 21 DSGVO
Soweit wir Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dieser Verarbeitung aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an kontakt@skribora.de.

Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
poststelle@ldi.nrw.de

Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die zur Vertragsdurchführung erforderlichen Angaben können wir jedoch keinen Vertrag mit Ihnen schließen und keine Leistungen erbringen.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Die Übertragung zwischen Ihrem Browser und unseren Servern ist verschlüsselt. Der Zugriff auf Auftragsdaten ist auf die jeweilige Praxis beschränkt; die Trennung wird bei jedem Zugriff serverseitig geprüft und zusätzlich in den Zugriffsregeln der Datenbank erzwungen.

Als Kunde erhalten Sie mit den Vertragsunterlagen eine vollständige Darstellung unserer technischen und organisatorischen Maßnahmen.

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.