.svg){kind=logo}
Datenschutz und Sicherheit
Wir schützen Patient:innendaten mit klaren technischen und organisatorischen Maßnahmen, transparenten Prozessen und nachvollziehbarer Dokumentation.
Unsere Werte
HASOMED begleitet Praxen seit über 30 Jahren mit Software, die auf Vertrauen basiert. Diese Seite zeigt, wie wir unsere Sicherheitsarchitektur denken und umsetzen und welche Prinzipien uns dabei leiten.
Sicherheit ist integraler Bestandteil jeder Funktion
Datenschutz, Verfügbarkeit und Informationssicherheit fließen von Anfang an in alle Design- und Entwicklungsprozesse ein.
Cloud braucht Vertrauen und verdient Transparenz
Wir zeigen offen, wie unsere Systeme funktionieren, und legen die wichtigsten Richtlinien und Verträge öffentlich zugänglich ab.
Sensible Daten erfordern besondere Schutzmaßnahmen
Gesundheitsdaten im psychotherapeutischen Kontext erfordern ein besonders hohes Schutzniveau. Deshalb behandeln wir Datenschutz und Informationssicherheit nicht als Nebenthema, sondern als grundlegende Anforderung an Produkt, Prozesse und Betrieb.
Unser Security Whitepaper
Unser Security Whitepaper fasst die zentralen Informationen zu Infrastruktur, Verschlüsselung und Verantwortlichkeiten kompakt für Sie zusammen.
Wie wir Ihre Daten schützen
Unsere Sicherheitsmaßnahmen folgen einem klaren Prinzip: sensible Praxisdaten durch technische und organisatorische Schutzmaßnahmen wirksam abzusichern. Dabei unterscheiden wir zwischen lokal installierten Komponenten in der Praxis und zentral betriebenen Cloud-Diensten. Beide Bereiche sind Teil einer gemeinsamen Sicherheitsarchitektur mit klar geregelten Verantwortlichkeiten.
ISO 27001-zertifiziertes Sicherheitsmanagement
Unser Informationssicherheitsmanagementsystem (ISMS) ist nach ISO/IEC 27001 zertifiziert und definiert verbindliche Prozesse, Rollen und Kontrollmechanismen für sicherheitsrelevante Tätigkeiten
C5-Testat nach BSI-Kriterien
Unsere cloudbasierten Komponenten werden nach dem C5-Anforderungskatalog des BSI geprüft. Das schafft eine belastbare Grundlage für die Verarbeitung von Gesundheitsdaten im Einklang mit den Anforderungen des § 393 SGB V.
Verschlüsselung auf aktuellem Stand der Technik
Daten werden bei Speicherung und Übertragung verschlüsselt. Unsere Verschlüsselungsmechanismen folgen aktuellen Sicherheitsstandards und werden fachlich unabhängig geprüft.
Transparente Sicherheitsdokumente und Prozesse
Wir dokumentieren unsere Sicherheitsmaßnahmen nachvollziehbar, von Verschlüsselung und Zugriffskontrollen bis hin zu klar geregelten Verantwortlichkeiten im Unternehmen. Relevante Unterlagen stellen wir Ihnen transparent zur Verfügung.
Datenschutz bei KI-gestützten Funktionen
Elefant verarbeitet Gesprächsdaten verschlüsselt und speichert sie nur vorübergehend. Sobald Sie die Dokumentation übernehmen, werden Audioaufnahme und Transkript unmittelbar gelöscht.
Schutz für vertrauliche Gespräche
Gesprächsdaten werden verschlüsselt übertragen und grundsätzlich in der EU verarbeitet. Für Ausnahmefälle außerhalb des Europäischen Wirtschaftsraums gelten besondere vertragliche Datenschutzgarantien. Die Inhalte dienen ausschließlich Ihrer Dokumentation und werden nicht zum Training von KI-Modellen verwendet.
Sie entscheiden, was dokumentiert wird
Die KI erstellt einen Vorschlag, den Sie prüfen und bearbeiten können. Sie entscheiden, was in die Patientenakte übernommen wird. Die dafür verwendete Aufnahme und die Abschrift werden anschließend automatisch gelöscht.
Unterstützung für den Einsatz in Ihrer Praxis
Wir stellen Ihnen verständliche Patienteninformationen, einen Zustimmungsbogen und Vorlagen für Ihre Datenschutzunterlagen bereit. Diese können Sie an Ihre Praxis anpassen.
Unsere Sicherheits-Partner
Verantwortung für sensible Daten braucht Expertise. Deshalb arbeiten wir im Bereich Datenschutz und Informationssicherheit mit erfahrenen externen Partner:innen zusammen.
CISOIQ GmbH
CISOIQ berät uns in allen Fragen der Cybersicherheit. Ihre Aufgaben umfassen Risikoanalysen, technische Infrastruktur-Reviews, fachliche Begleitung von Sicherheitsarchitekturen sowie die Durchführung und Koordination interner Reviews. CISOIQ unterstützt uns bei der Vorbereitung und Begleitung externer Zertifizierungen, etwa ISO/IEC 27001 und dem BSI C5-Anforderungskatalog.
Behta Management GmbH
Spezialisiert auf Datenschutz in sensiblen Branchen wie Gesundheit. Behta unterstützt uns als externe Datenschutzberater:innen – von der Analyse technisch- organisatorischer Maßnahmen bis zur Umsetzung konkreter Prozesse im Unternehmen.
Häufig gestellte Fragen
Antworten auf zentrale Fragen zu Datenschutz, Informationssicherheit und dem Einsatz der KI-Dokumentation in Ihrer Praxis.
Allgemeine Fragen
Wir schützen Patient:innendaten durch technische und organisatorische Maßnahmen: Verschlüsselung, rollenbasierte Zugriffskontrollen, klare Verantwortlichkeiten und regelmäßige Audits. Unsere Cloud-Komponenten sind nach dem C5-Anforderungskatalog des BSI geprüft. Unsere Prozesse sind nach ISO/IEC 27001 zertifiziert. Mehr Informationen finden Sie in unserem Security Whitepaper.
Elefant verarbeitet Daten in lokal installierten Praxiskomponenten und in zentral betriebenen Cloud-Komponenten. Bei der KI-Dokumentation gilt: Ihre Daten werden grundsätzlich in der EU verarbeitet. Für Ausnahmefälle außerhalb des Europäischen Wirtschaftsraums gelten besondere vertragliche Datenschutzgarantien. Welche Dienste und Verarbeitungsorte für eine Funktion gelten, beschreiben die zugehörigen Datenschutz- und Vertragsunterlagen. Die eingesetzten Dienstleister finden Sie in unserer Übersicht der Unterauftragnehmer.
Ja. Elefant ist so aufgebaut, dass die Verarbeitung sensibler Gesundheitsdaten durch Rollen- und Rechtekonzepte, dokumentierte Prozesse, Auftragsverarbeitungsverträge und nachprüfbare Sicherheitsmaßnahmen unterstützt wird. Nachweise stellen wir in Form von AV-Verträgen, Whitepaper und Zertifikaten bereit.
Externe Dienstleister werden nur vertraglich gebunden eingesetzt und regelmäßig geprüft. Eine aktuelle Übersicht der eingesetzten Unterauftragnehmer stellen wir Kund:innen zur Verfügung. Wir informieren Kund:innen, wenn sich die Art der Verarbeitung ändert oder neue Unterauftragnehmer eingebunden werden.
Bei lokaler Installation verbleiben bestimmte Verantwortlichkeiten in der Praxis, etwa für lokale Infrastruktur, Endgeräte und organisatorische Maßnahmen. Gleichzeitig gelten auch dort die Sicherheitsmechanismen von Elefant. Unterschiede zwischen lokaler Verantwortung und Cloud-Sicherheit dokumentieren wir klar.
Ja. Sie können den Link zu dieser Trust & Security Seite, unser Security Whitepaper, den AV-Vertrag sowie auf Wunsch weitere Prüf- und Compliance-Statements an Ihre Berater:innen weitergeben. Diese Unterlagen fassen technische Maßnahmen, Verantwortlichkeiten und Prüfungen zusammen.
Sicherheitsvorfälle werden nach definierten Prozessen behandelt, dokumentiert und vertraglich sowie rechtlich erforderlich kommuniziert. Meldepflichtige Vorfälle werden an die zuständigen Stellen gemeldet. Betroffene Kund:innen werden entsprechend informiert.
Ja. Die Praxis bleibt datenschutzrechtlich verantwortlich für die Verarbeitung im Behandlungskontext. HASOMED verarbeitet Daten nur im vereinbarten Rahmen und auf Grundlage dokumentierter Rollen, Verträge und Prozesse.
Die Praxis informiert alle Beteiligten vor der Aufnahme über die Verarbeitung und holt ihre ausdrückliche Zustimmung zur Tonaufnahme ein. Diese Zustimmung betrifft den Schutz des nichtöffentlich gesprochenen Wortes nach § 201 StGB. Die Datenverarbeitung zur Behandlung und Dokumentation beruht auf gesetzlichen Grundlagen. Unsere Patienteninformation mit Zustimmungsvorlage unterstützt die Aufklärung und Dokumentation in der Praxis.
Verschlüsselte Speicherung und KI-Verarbeitung sind unterschiedliche Verarbeitungsschritte. Bei der KI-Dokumentation müssen die eingesetzten Dienste Audioaufnahme und Rohtranskript verarbeiten können. Übertragung und Speicherung werden verschlüsselt; Zugriffe sind auf die für den Auftrag erforderlichen Personen und Dienste beschränkt. Die Gesprächsinhalte werden ausschließlich für die Dokumentation verarbeitet und weder für Modelltraining noch zur eigenen Produktverbesserung genutzt. Die ergänzende AVV-Anlage beschreibt die Schutzmaßnahmen für diesen Verarbeitungsweg.
Ihre Daten werden grundsätzlich in der EU verarbeitet. Für Ausnahmefälle außerhalb des Europäischen Wirtschaftsraums gelten besondere vertragliche Datenschutzgarantien. Die ergänzende AVV-Anlage beschreibt die Verarbeitungsorte und Schutzmaßnahmen.
Ja. Das Digitalgesetz erlaubt die Verarbeitung von Gesundheits- und Sozialdaten unter Einbezug von Cloud-Dienstleistern, wenn hohe Sicherheitsstandards wie das C5-Testat eingehalten werden. Unsere Cloud-Architektur ist am BSI C5-Kriterienkatalog ausgerichtet. Elefant ist zudem konzipiert, um die Vorgaben der KBV IT-Sicherheitsrichtlinie zu erfüllen.
Ein C5-Testat dokumentiert, dass die eingesetzte Cloud-Umgebung definierte Sicherheitsanforderungen erfüllt. Eine erfolgreiche C5-Prüfung unserer Cloud-Komponenten erleichtert Praxen die Nachweisführung, dass eingesetzte Dienste in einem regulierten Gesundheitskontext angemessen abgesichert sind.
Sicherheit bei KI-Funktionen
Elefant erstellt aus dem Gespräch einen Dokumentationsvorschlag. Die Gesprächsdaten werden verschlüsselt übertragen. Ihre Daten werden grundsätzlich in der EU verarbeitet. Für Ausnahmefälle außerhalb des Europäischen Wirtschaftsraums gelten besondere vertragliche Datenschutzgarantien. Gesprächsinhalte werden weder zum Training von KI-Modellen noch zur eigenen Produktverbesserung verwendet. Bei Übernahme der geprüften Dokumentation werden Aufnahme und Abschrift unmittelbar gelöscht. Beim Verwerfen wird zusätzlich der nicht übernommene Entwurf gelöscht. Bei offenen, unterbrochenen oder fehlgeschlagenen Vorgängen werden Aufnahme, Abschrift und nicht übernommener Entwurf spätestens 24 Stunden nach Aufnahmeende automatisch gelöscht. Erneute Bearbeitung verlängert diese Frist nicht. Die übernommene Dokumentation bleibt Teil Ihrer Patientenakte.
Ja. Vor jeder Tonaufnahme muss die Zustimmung aller Beteiligten vorliegen. Sie betrifft den Schutz des nichtöffentlich gesprochenen Wortes nach § 201 StGB und ist von der datenschutzrechtlichen Grundlage der Behandlung und Dokumentation zu unterscheiden. Die Zustimmung kann mündlich erfolgen; die Praxis dokumentiert sie in der Patientenakte. Der Hinweis vor dem Aufnahmestart ersetzt diese Dokumentation nicht. Wer nicht zustimmt oder die Zustimmung zurücknimmt, wird ohne Aufnahme weiterbehandelt.
Die Aktivierung umfasst die ergänzende AVV-Anlage und die Leistungsbeschreibung. Aktivieren darf nur, wer die Praxis zum Vertragsschluss vertreten darf; Administratorrechte allein belegen diese Berechtigung nicht. Die Software prüft die Vertretungsberechtigung nicht. Die Praxis informiert ihr Team über den sicheren KI-Einsatz, regelt Zugänge und Berechtigungen und dokumentiert die Zustimmung zur Aufnahme. Aufnahmen erfolgen in geschützter Umgebung. Jeder Entwurf wird fachlich geprüft, bevor er in die Patientenakte übernommen wird. Unsere Patienteninformation und die unverbindliche Arbeitshilfe zur Datenschutz-Risikobewertung unterstützen die Vorbereitung.
Ein Spracherkennungsmodell wandelt die Aufnahme in Text um. Ein Sprachmodell erstellt daraus anhand der gewählten Vorlage einen Dokumentationsentwurf, den Sie prüfen und bearbeiten können.
Dafür nutzen wir Amazon Bedrock und Amazon SageMaker sowie ergänzende Verarbeitungsschritte innerhalb der bereits eingebundenen AWS-Umgebung. Die Inhalte werden dabei nicht an separate Schnittstellen der Modellanbieter wie OpenAI oder Anthropic übermittelt.
Die KI-Modelle verarbeiten Ihre Gesprächsinhalte in europäischen AWS-Regionen. Für vertraglich geregelte Ausnahmefälle gelten die Datenschutzgarantien des AVV und seiner ergänzenden Anlage. Die Verarbeitung erfolgt ausschließlich für die vereinbarten Zwecke und ohne Nutzung der Inhalte zum Training der Modelle. Dieser Rahmen gilt auch beim Einsatz unterschiedlicher Modelle innerhalb der AWS-Umgebung. Die KI-Verarbeitung wird in einem ergänzenden Anhang zum bestehenden Vertrag zur Auftragsverarbeitung (AVV) beschrieben und vertraglich einbezogen.
Ressourcen & Unterlagen
Informationen, Verträge und Vorlagen für den Einsatz von Elefant in Ihrer Praxis.
Allgemeine Unterlagen
Security Whitepaper
Architektur, Datenverarbeitung und technische Schutzmaßnahmen
Auftragsverarbeitungsvertrag (AVV)
Vertragliche Grundlage für die Verarbeitung im Auftrag Ihrer Praxis
Unterauftragnehmer
Beteiligte Unternehmen und ihre Aufgaben
KBV IT-Sicherheitsrichtlinie
Informationen der KBV zur IT-Sicherheit in der Praxis
C5-Testat
Nachweis zur geprüften Cloud-Umgebung
Unterlagen zum KI-Doku-Assistenten
Patienteninformation & Zustimmung
Infoblatt, Datenschutzhinweise und Audiozustimmung in einem ausfüllbaren Dokument
Leistungsbeschreibung
Funktionsumfang und Nutzung der KI-Dokumentation
Ergänzende AVV-Anlage
Dienstleister, Schutzmaßnahmen sowie Speicherung und Löschung
Textbaustein für Ihre Datenschutzhinweise
Zum Kopieren und Einfügen in Ihre bestehenden Praxis-Datenschutzhinweise
Text anzeigen
Ergänzung zu Ihren bestehenden Datenschutzhinweisen.
KI-gestützte Dokumentation mit Elefant
Wir nutzen Elefant zur Unterstützung unserer Behandlungsdokumentation. Mit Ihrer vorherigen Zustimmung wird das Gespräch vorübergehend als Audio aufgenommen und in Text umgewandelt. Daraus entsteht ein Dokumentationsentwurf, den die behandelnde Person vor Übernahme in Ihre Patientenakte prüft. Verarbeitet werden Gesprächsinhalte einschließlich Gesundheitsdaten, die Abschrift, der Entwurf und erforderliche technische Zuordnungsdaten. Die Aufnahme ist freiwillig. Sie können sie jederzeit beenden lassen und Ihre Zustimmung für zukünftige Aufnahmen zurücknehmen; wir führen Ihre Behandlung wie gewohnt fort und dokumentieren auf herkömmliche Weise.
Die Verarbeitung zur Behandlung und Dokumentation beruht auf Art. 6 Abs. 1 Buchst. b sowie Art. 9 Abs. 2 Buchst. h und Abs. 3 DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 Buchst. b BDSG. Für die Patientenakte gilt ergänzend Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit § 630f BGB. Eine datenschutzrechtliche Einwilligung ist hierfür nicht erforderlich. Unabhängig davon holen wir vor jeder Audioaufnahme Ihre Zustimmung ein. Diese schützt das nichtöffentlich gesprochene Wort nach § 201 StGB: Ohne Ihre Zustimmung darf keine Tonaufnahme erfolgen. Erforderliche technische Betriebs- und Sicherheitsdaten verarbeiten wir zur sicheren Vertragsdurchführung und aufgrund unseres berechtigten Interesses an sicherem Betrieb und Fehlerbehebung (Art. 6 Abs. 1 Buchst. b und f DSGVO); für Gesundheitsdaten gilt zusätzlich die genannte Grundlage nach Art. 9 DSGVO.
HASOMED Hard- und Software für Medizin Gesellschaft mbH verarbeitet die Daten in unserem Auftrag, unterstützt durch HASOMED Tech GmbH und Amazon Web Services EMEA SARL. Ihre Daten werden grundsätzlich in der EU verarbeitet. Für Ausnahmefälle außerhalb des Europäischen Wirtschaftsraums gelten besondere vertragliche Datenschutzgarantien. Gesprächsinhalte dienen ausschließlich unserer Dokumentation. Gesprächsinhalte werden weder zum Training von KI-Modellen noch zur Produktverbesserung verwendet. Weitere Angaben zu den Dienstleistern: www.elefant-praxissoftware.de/subunternehmer.
Audioaufnahme und Abschrift werden unmittelbar bei Übernahme der geprüften Dokumentation gelöscht. Beim Verwerfen werden Audioaufnahme, Abschrift und der nicht übernommene Entwurf unmittelbar gelöscht. Bei offenen, unterbrochenen oder fehlgeschlagenen Vorgängen erfolgt die Löschung spätestens 24 Stunden nach Aufnahmeende, auch bei erneuter Bearbeitung. Die Regeln erfassen Kopien, temporäre Dateien und Sicherungskopien. Die übernommene Dokumentation bleibt Teil Ihrer Patientenakte und wird grundsätzlich zehn Jahre nach Behandlungsabschluss aufbewahrt; besondere gesetzliche Fristen bleiben maßgeblich. Technische Protokolle enthalten keine Gesprächsinhalte. Sie beschränken sich auf erforderliche Betriebs- und Sicherheitsangaben; personenbezogene Angaben darin werden nach Erfüllung ihres Zwecks gelöscht.
Datenschutz-Risikobewertung
Unverbindliche Arbeitshilfe für die Risikobetrachtung Ihrer Praxis. Sie ersetzt keine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Ob eine DSFA erforderlich ist und wie sie durchzuführen ist, beurteilt und verantwortet Ihre Praxis, bei Bedarf mit ihrer datenschutzbeauftragten Person.