Sie geben Patientendaten aus der Hand. Das ist keine Kleinigkeit.

Sie sind verantwortlich. Als Ärztin, Arzt oder Psychotherapeut sind Sie Verantwortlicher im Sinne der DSGVO. Die Entscheidung darüber, was mit den Daten geschieht, bleibt bei Ihnen.

skribora ist Auftragsverarbeiter. Wir verarbeiten ausschließlich auf Ihre Weisung und ausschließlich zu dem Zweck, für den Sie uns beauftragen: aus Ihrem Diktat ein fertiges Dokument zu machen. Zu keinem anderen Zweck.

Vor dem ersten Diktat schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Ohne diesen Vertrag nehmen wir keine Aufträge an.

Seit der Neufassung des § 203 StGB im Jahr 2017 dürfen Berufsgeheimnisträger Dritte in ihre Berufsausübung einbeziehen, soweit das erforderlich ist. Der Preis dafür: Der Dritte macht sich bei unbefugter Offenbarung selbst strafbar — und Sie machen sich strafbar, wenn Sie ihn nicht zur Geheimhaltung verpflichtet haben.

Diese Verpflichtung liefern wir Ihnen mit. Sie ist Bestandteil unserer Vertragsunterlagen und wird von uns unterzeichnet, bevor wir das erste Diktat entgegennehmen. Sie erfasst jede Person, die bei uns mit Ihren Daten in Berührung kommen kann. Das gilt für jede Person, die für uns tätig wird, vor ihrem ersten Zugriff.

Die Verpflichtung ist zeitlich unbegrenzt. Sie endet nicht mit dem Vertrag.

Diktate, Transkripte und fertige Dokumente werden in Rechenzentren in Frankfurt am Main gespeichert und verarbeitet. Die Bearbeitung selbst erfolgt an unserem Standort in Iserlohn.

Das gilt für den gesamten Weg: für den Upload, für die Bearbeitung, für die Speicherung bis zur Löschung und für den Abruf des fertigen Dokuments.

Wir nennen die Anbieter, statt sie zu verschweigen. Für Anwendung, Datenbank und Dateispeicher setzen wir Google Cloud (Region Frankfurt) und Vercel (Region Frankfurt) ein. Beide Unternehmen gehören zu US-amerikanischen Konzernen. Die Verarbeitung Ihrer Daten findet vertraglich und technisch auf deren Standorten in Deutschland statt; Auftragsverarbeitungsverträge und Standardvertragsklauseln liegen vor. Ein Zugriff aus einem Drittland ist danach unzulässig — vollständig ausschließen lässt er sich bei jedem Anbieter mit US-Mutterkonzern nicht. Wir halten diesen Hinweis für ehrlicher als das Wort „ausschließlich".

Was wir nicht tun: Wir betreiben keine Server in Ihrer Praxis und benötigen keinen Zugang zu Ihrem Praxisverwaltungssystem. Wir setzen für die Bearbeitung keine Subunternehmer und keine Dienstleister im Ausland ein.

Diese Website wird bei demselben Anbieter betrieben wie das Portal, jedoch getrennt: Wer nur die Website aufruft, erzeugt keinen Zugriff auf Diktate oder Dokumente. Welche Dienstleister wir wofür einsetzen, steht vollständig in unserer Datenschutzerklärung und in der Unterauftragnehmerliste, die Sie mit den Vertragsunterlagen erhalten.

Ihre Diktate werden von medizinisch geschulten Schreibkräften bearbeitet. Jeder Praxis ist ein festes Team zugeordnet, das Ihre Gliederung, Ihre Formulierungen und Ihre Eigennamen kennt. Ihre Aufnahmen gehen nicht durch einen wechselnden Pool.

Für die Bearbeitung setzen wir keine Subunternehmer und keine Dienstleister im Ausland ein. Jede Person, die mit Ihren Daten in Berührung kommt, ist vor dem ersten Zugriff schriftlich zur Verschwiegenheit nach § 203 StGB verpflichtet.

Neue Personen mit Zugriff auf Auftragsdaten melden wir Ihnen, bevor sie tätig werden. Auf Anfrage nennen wir Ihnen jederzeit namentlich jede Person, die Zugriff hat.

1. Eingang — Sie laden das Diktat im Portal hoch oder senden es an eingang@skribora.de. Angenommen werden nur Aufnahmen von Absenderadressen, die Sie uns vorher genannt haben; alles andere landet in einem gesperrten Bereich und wird nicht verarbeitet. Die Übertragung ist verschlüsselt.
2. Zuordnung — Der Auftrag wird Ihrer Praxis und der diktierenden Person zugeordnet.
3. Bearbeitung — Das Diktat wird abgehört und in Text übertragen. Fachbegriffe und Eigennamen pflegen wir je Praxis in einer eigenen Vokabularliste.
4. Durchsicht — Unklare Stellen werden erneut abgehört und geprüft, bevor das Dokument entsteht.
5. Dokument — Der Text wird in ein Dokument mit Ihrem Praxiskopf gesetzt (docx, PDF und Reintext).
6. Bereitstellung — Sie erhalten eine Benachrichtigung per E-Mail. Sie enthält weder das Dokument noch Textinhalte. Sie enthält einen Abruflink und ein Passwort, das nur für diesen einen Auftrag gilt und nach zehn Fehlversuchen gesperrt wird. Der Link läuft nach 14 Tagen ab. Wenn Sie das Portal nutzen, rufen Sie das Dokument stattdessen dort in Ihrem geschützten Bereich ab.
7. Löschung — 30 Tage nach dem Abruf werden Audiodatei, Transkript und die erzeugten Dokumente automatisch gelöscht. Rufen Sie ein Dokument nie ab, geschieht das spätestens 90 Tage nach Fertigstellung.

Zum Passwort in derselben E-Mail: Wir haben uns bewusst dagegen entschieden, ein dauerhaftes Praxispasswort über einen zweiten Kanal zu übergeben. Ein Einmalpasswort je Auftrag schützt zuverlässig gegen einen weitergeleiteten oder falsch adressierten Link und ist im Alltag benutzbar. Wer maximale Trennung möchte, nutzt das Portal — dort gibt es keinen Link und kein Auftragspasswort.

Das ist der Punkt, an dem wir uns von vielen Schreibdiensten unterscheiden, und er ist bewusst so gebaut.

Wir bewahren Ihre Diktate nicht dauerhaft auf. Nach Ablauf der Frist werden Audiodatei, Transkript und Dokumente gelöscht — in der Datenbank und im Dateispeicher. Ein tägliches Löschprogramm führt das aus und protokolliert es. Wir legen keine Langzeit-Backups Ihrer Diktatinhalte an; es gibt also keinen zweiten Bestand, der die Löschung überdauert.

Was bleibt, ist eine Zeile für Ihre Rechnung: Auftragsnummer, Kurztitel, Datum und Zeichenzahl. Der Kurztitel soll keine Patientendaten enthalten — bei Diktaten per E-Mail entsteht er aus dem Dateinamen, den Sie vergeben. Bitte benennen Sie Aufnahmen deshalb ohne Patientennamen. Enthält ein Dateiname doch einen Namen, ersetzen wir ihn spätestens bei der Löschung durch eine neutrale Bezeichnung.

Was das für Reklamationen bedeutet: Fällt Ihnen nach Ablauf der Frist ein Fehler auf, senden Sie uns das Diktat einfach erneut. Wir bearbeiten es kostenfrei neu. Das ist ein Handgriff mehr für Sie — und ein Datenbestand weniger, der irgendwo liegt und irgendwann abfließen kann.

Die Aufbewahrung der fertigen Dokumente in Ihrer Behandlungsdokumentation bleibt Ihre Aufgabe. Das ist auch richtig so: Die Patientenakte gehört in die Praxis, nicht zum Dienstleister.

Jedes Dokument ist vor der Verwendung inhaltlich zu prüfen und freizugeben. Das gilt besonders für Zahlen, Dosierungen, Seitenangaben, Eigennamen und Diagnosen.

Wir arbeiten sorgfältig und prüfen jedes Dokument vor der Auslieferung. Die inhaltliche Verantwortung für Ihre Dokumentation bleibt dennoch bei Ihnen — sie kann Ihnen kein Dienstleister abnehmen. Ein Schreibdienst, der Ihnen etwas anderes verspricht, verspricht zu viel.

Ihre Daten werden ausschließlich zur Erstellung des beauftragten Dokuments verwendet. Eine Verwendung zu eigenen Zwecken oder eine Weitergabe an Dritte außerhalb der in der Datenschutzerklärung benannten Dienstleister findet nicht statt.

Sie können Diktate per E-Mail an uns senden. Viele Praxen arbeiten so, und wir wollten diesen Weg nicht abschaffen, nur weil er unbequem zu dokumentieren ist.

Sie sollten aber wissen: E-Mail wird zwischen den beteiligten Servern in aller Regel transportverschlüsselt übertragen, der Inhalt selbst ist es nicht. Ob Ihr eigener Mailanbieter verschlüsselt zustellt, können wir nicht erzwingen. Das ist ein Restrisiko, das wir nicht vollständig ausräumen können.

Was wir tun: Für unsere Domain sind SPF, DKIM und DMARC eingerichtet, damit Empfänger gefälschte Absender in unserem Namen erkennen. Angenommen werden ausschließlich Aufnahmen von Absenderadressen, die Sie uns vorher genannt haben. Anhänge werden nach dem Eingang in den geschützten Speicher überführt; die eingegangene Nachricht wird aus dem Postfach entfernt, sobald der Auftrag angelegt ist.

Was wir empfehlen: Nutzen Sie das Portal, wenn es Ihnen möglich ist. Es ist der sicherere Weg. Wenn Sie den E-Mail-Weg wählen, ist das Ihre Entscheidung als Verantwortlicher — wir wollten, dass es eine informierte ist.

• Jede Praxis hat einen eigenen, getrennten Bereich. Die Trennung wird serverseitig bei jedem einzelnen Zugriff geprüft und zusätzlich in den Zugriffsregeln der Datenbank erzwungen — nicht nur in der Oberfläche.
• Innerhalb Ihrer Praxis sieht jede diktierende Person standardmäßig nur ihre eigenen Aufträge.
• Erweiterte Sichtbarkeit für Verwaltungskräfte oder Urlaubsvertretungen richten wir auf Ihre Weisung ein; sie ist nicht voreingestellt.
• Der Zugang ist mit einem persönlichen Passwort geschützt: mindestens zwölf Zeichen, Abgleich gegen bekannte Datenlecks, und das übergebene Erstpasswort muss beim ersten Login ersetzt werden. Einen automatischen Passwortreset per E-Mail gibt es bewusst nicht — bei einem geteilten Praxispostfach hätte sonst jeder Mitleser den Zugang.
• Eine Zwei-Faktor-Authentifizierung bieten wir derzeit nicht an. Wir nennen das lieber, als es zu verschweigen; die Einführung ist für 2027 vorgesehen.
• Zugänge lassen sich jederzeit sperren; laufende Sitzungen werden dabei sofort ungültig.

Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen, die Ihre Daten betrifft, informieren wir Sie innerhalb von 24 Stunden nach Kenntnis — mit allem, was wir zu dem Zeitpunkt wissen, und mit dem, was wir bereits unternommen haben.

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Ihrer Patientinnen und Patienten obliegt Ihnen als Verantwortlichem. Wir liefern Ihnen die Grundlage dafür so schnell und so vollständig, wie es geht.

Erhalten wir ein behördliches Zugriffsersuchen, das Ihre Daten betrifft, informieren wir Sie darüber, soweit uns das rechtlich erlaubt ist.

Vor Vertragsschluss, ohne dass Sie danach fragen müssen:

• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
• Verpflichtungserklärung nach § 203 StGB, von uns unterzeichnet
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
• Liste unserer Unterauftragnehmer mit Verarbeitungsort
• Unsere Datenschutz-Folgenabschätzung als Beitrag zu Ihrer eigenen. Sie ersetzt Ihre nicht, spart Ihnen aber den größten Teil der Arbeit.
• Textbaustein für Ihre Patienteninformation nach Art. 13 DSGVO, den Sie übernehmen können

Ihr Datenschutzbeauftragter darf sich gerne direkt an uns wenden. Wir beantworten Fragen zur Verarbeitung schriftlich und ohne Umwege.

Fragen zum Datenschutz: kontakt@skribora.de