1. Verantwortlicher und Datenschutzkontakt

Verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen des Betriebs von Psychiatrie.Ink ist:

Psychiatry Ink Ltd
71–75 Shelton Street
Covent Garden
London, WC2H 9JQ
Vereinigtes Königreich

Eingetragen in England und Wales.
Company number: 17275704.

Für Datenschutzfragen, Betroffenenrechte und sonstige datenschutzbezogene Anliegen erreichen Sie uns unter:

data-protection@psychiatry.ink

2. Vertreter in der EU/im EWR (Art. 27 DSGVO) und in der Schweiz (revDSG)

Die Psychiatry Ink Ltd hat die Data Protection Representative Limited, handelnd unter dem Namen DataRep, als ihren Datenschutz-Vertreter in der Europäischen Union / im Europäischen Wirtschaftsraum nach Art. 27 DSGVO sowie in der Schweiz nach dem Schweizer Bundesgesetz über den Datenschutz (revDSG) benannt.

Wenn Sie sich in der EU/im EWR oder in der Schweiz befinden und eine Frage zur Verarbeitung Ihrer personenbezogenen Daten haben oder Ihre Datenschutzrechte ausüben möchten, können Sie DataRep in unserem Namen per E-Mail, über das Online-Formular oder postalisch kontaktieren.

E-Mail (bitte geben Sie "Psychiatry Ink Ltd" in der Betreffzeile an):

datarequest@datarep.com

Online-Formular:

https://www.datarep.com/data-request

Postalisch: Bitte richten Sie postalische Korrespondenz an "DataRep" und nicht an "Psychiatry Ink Ltd". Die für Ihr Land zuständige postalische Kontaktadresse von DataRep ist in der Vertreter-Kontaktübersicht von DataRep aufgeführt.

Der Vertreter dient als zusätzliche Anlaufstelle für betroffene Personen und Datenschutzaufsichtsbehörden. Die Benennung des Vertreters berührt nicht die Verantwortlichkeit der Psychiatry Ink Ltd.

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Für bestimmte Verarbeitungsvorgänge ist die Psychiatry Ink Ltd selbst Verantwortlicher. Dies betrifft insbesondere:

Kontoverwaltung, Registrierung und Login, Abrechnung, Vertragsverwaltung, Support-Kommunikation, Website-Betrieb, Sicherheitsprotokolle, Missbrauchsprävention und gesetzliche Aufbewahrungspflichten.

Soweit Behandelnde Psychiatrie.Ink zur Erstellung, Bearbeitung oder Speicherung klinischer Dokumentation verwenden, sind in der Regel die jeweilige behandelnde Person, Praxis, Klinik, Einrichtung oder Organisation der Verantwortliche für diese Patientendaten. In diesem Verhältnis handelt die Psychiatry Ink Ltd grundsätzlich als Auftragsverarbeiter nach Art. 28 DSGVO.

Vor der produktiven Verarbeitung personenbezogener Patientendaten muss ein Auftragsverarbeitungsvertrag bzw. Data Processing Agreement abgeschlossen werden. Dieser regelt insbesondere Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten, Kategorien betroffener Personen, Weisungen des Verantwortlichen, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung und Rückgabe von Daten sowie Kontrollrechte.

Diese Datenschutzerklärung ersetzt keinen Auftragsverarbeitungsvertrag.

4. Klinischer Kontext und besondere Kategorien personenbezogener Daten

Psychiatrie.Ink kann zur Verarbeitung psychiatrischer, medizinischer und sonstiger klinischer Informationen verwendet werden. Diese Informationen können Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten.

Die Verantwortung für die Rechtmäßigkeit der Eingabe, Speicherung und Nutzung von Patientendaten liegt beim jeweiligen Verantwortlichen, also in der Regel bei der behandelnden Person oder Einrichtung. Dazu gehören insbesondere die Prüfung der einschlägigen Rechtsgrundlage, berufsrechtliche Pflichten, Schweigepflicht, Dokumentationspflichten, Aufbewahrungspflichten und Informationspflichten gegenüber Patientinnen und Patienten.

Psychiatrie.Ink stellt Funktionen zur Datenminimierung, Pseudonymisierung bzw. De-Identifikation bereit. Eine De-Identifikation ist jedoch nicht automatisch mit vollständiger Anonymisierung gleichzusetzen. Ob Daten tatsächlich anonym sind, hängt vom Einzelfall, vom Kontext und von verfügbaren Zusatzinformationen ab.

5. Kategorien personenbezogener Daten

Wir können folgende Kategorien personenbezogener Daten verarbeiten:

5.1 Konto- und Registrierungsdaten

Hierzu gehören insbesondere Name, E-Mail-Adresse, Login-Daten, Authentifizierungsinformationen, Kontoeinstellungen, Spracheinstellungen, Organisation, Rolle, Abonnementstatus und Sicherheitspräferenzen. Passwörter werden nicht im Klartext gespeichert.

5.2 Nutzungs- und Arbeitsbereichsdaten

Hierzu gehören Inhalte, die Sie in Psychiatrie.Ink erstellen, eingeben, diktieren, importieren oder bearbeiten. Dazu können klinische Notizen, Verlaufsdokumentationen, Anamnesen, psychopathologische Befunde, Arztbriefe, Medikationsinformationen, Laborwerte, Risikoeinschätzungen, Vorlagen, Anhänge und sonstige Falldaten gehören.

Soweit diese Inhalte Patientendaten enthalten, werden sie im Verhältnis zum jeweiligen Verantwortlichen grundsätzlich als Auftragsverarbeitung verarbeitet.

5.3 KI-Nutzungs- und Auditdaten

Bei Nutzung KI-gestützter Funktionen können technische und organisatorische Protokolle entstehen, etwa Zeitpunkt der Anfrage, verwendete Funktion, ausgewähltes KI-Modell, Token- oder Credit-Verbrauch, Fehlermeldungen, Sicherheitsereignisse, Freigabestatus und Audit-Einträge.

Soweit möglich, werden Audit- und Nutzungsprotokolle datenminimiert und ohne unnötige klinische Freitextinhalte geführt. Vollständige klinische Inhalte werden nur gespeichert, soweit dies zur Bereitstellung der Funktion, zur Dokumentation im Arbeitsbereich oder zur Erfüllung gesetzlicher bzw. vertraglicher Pflichten erforderlich ist.

5.4 Abrechnungs- und Zahlungsdaten

Wir verarbeiten Abonnementstatus, Rechnungsinformationen, Zahlungsstatus, Transaktionsmetadaten, Umsatzsteuerinformationen und ähnliche Vertragsdaten. Zahlungsdaten werden über unseren Zahlungsdienstleister Stripe verarbeitet. Vollständige Kreditkartennummern werden von uns nicht gespeichert.

5.5 Support- und Kommunikationsdaten

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Anfrage, technische Informationen zur Fehleranalyse und unsere Antwort. Bitte übermitteln Sie im Support nur dann Patientendaten, wenn dies zwingend erforderlich ist, und möglichst in de-identifizierter Form.

5.6 Technische Daten, Sicherheitsdaten und Website-Daten

Beim Besuch der Website und bei Nutzung der Anwendung können technische Daten verarbeitet werden, etwa IP-Adresse, Zeitstempel, Geräte- und Browserinformationen, Logdaten, Session-Informationen, Fehlerprotokolle, Sicherheitsereignisse und Zugriffsdaten.

6. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

6.1 Bereitstellung des Kontos und des Dienstes

Wir verarbeiten Konto-, Vertrags- und Nutzungsdaten, um Psychiatrie.Ink bereitzustellen, Nutzerkonten zu verwalten, Funktionen auszuführen und den Dienst technisch zu betreiben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.

6.2 Verarbeitung klinischer Inhalte im Auftrag

Soweit wir Patientendaten im Auftrag einer behandelnden Person, Praxis, Klinik oder Organisation verarbeiten, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO und nach Weisung des jeweiligen Verantwortlichen.

Die Rechtsgrundlage für die Verarbeitung beim Verantwortlichen, einschließlich einer Bedingung nach Art. 9 DSGVO für Gesundheitsdaten, ist vom jeweiligen Verantwortlichen festzulegen.

6.3 Abrechnung und Vertragsverwaltung

Wir verarbeiten Abrechnungs- und Zahlungsdaten zur Durchführung von Abonnements, Rechnungsstellung, Zahlungsabwicklung, Buchhaltung und Vertragsverwaltung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie, soweit gesetzliche Aufbewahrungspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO.

6.4 Sicherheit, Missbrauchsprävention und Auditierung

Wir verarbeiten technische Daten, Sicherheitsprotokolle und Auditdaten, um den Dienst abzusichern, unbefugte Zugriffe zu erkennen, Missbrauch zu verhindern, Fehler zu analysieren, KI-gestützte Verarbeitung nachvollziehbar zu machen und die Integrität klinischer Dokumentation zu unterstützen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, stabilen und nachvollziehbaren Betrieb eines professionellen Dokumentationssystems.

6.5 Rechtliche Pflichten

Wir verarbeiten Daten, soweit dies zur Erfüllung gesetzlicher Pflichten erforderlich ist, insbesondere steuerlicher, handelsrechtlicher, buchhalterischer, aufsichtsrechtlicher oder datenschutzrechtlicher Pflichten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

6.6 Einwilligungsbasierte Verarbeitung

Soweit wir optionale Cookies, Tracking-Technologien, Newsletter, Marketing-Kommunikation oder bestimmte optionale Integrationen einsetzen, erfolgt dies nur auf Grundlage Ihrer Einwilligung, soweit eine Einwilligung erforderlich ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO sowie, für Zugriffe auf Endgeräte in Deutschland, § 25 TDDDG. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

7. KI-gestützte Verarbeitung

Psychiatrie.Ink bietet optionale KI-gestützte Funktionen an, zum Beispiel zur Formulierung, Strukturierung, Zusammenfassung, Umwandlung oder Prüfung klinischer Texte.

KI-Funktionen werden nur auf Grundlage einer aktiven Nutzung oder Konfiguration durch die berechtigte Nutzerin bzw. den berechtigten Nutzer ausgeführt. Inhalte werden nicht ohne Nutzeraktion an KI-Dienstleister übermittelt.

KI-Ergebnisse werden nicht automatisch als medizinische Entscheidung übernommen. Eine ärztliche bzw. fachliche Prüfung und Freigabe bleibt erforderlich. Die Verantwortung für die klinische Verwendung der Ergebnisse liegt bei der behandelnden Person.

Patientendaten sollen vor einer KI-gestützten Verarbeitung soweit möglich minimiert, pseudonymisiert oder de-identifiziert werden. Psychiatrie.Ink stellt hierfür unterstützende Workflows bereit. Die Verantwortung für die Zulässigkeit der Übermittlung an KI-Dienstleister verbleibt beim jeweiligen Verantwortlichen.

Von Nutzerinnen und Nutzern eingegebene klinische Inhalte werden von der Psychiatry Ink Ltd nicht zum Training eigener KI-Modelle verwendet. Eine Nutzung durch KI-Dienstleister zu Trainingszwecken wird vertraglich ausgeschlossen, soweit personenbezogene Patientendaten oder Gesundheitsdaten verarbeitet werden. KI-Dienstleister, bei denen ein solcher Ausschluss nicht hinreichend vertraglich gesichert ist, sollten nicht für personenbezogene Gesundheitsdaten eingesetzt werden.

8. Automatisierte Entscheidungen

Psychiatrie.Ink trifft keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die gegenüber Patientinnen, Patienten oder Nutzerinnen und Nutzern rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

KI-Funktionen dienen als Assistenzfunktionen. Sie ersetzen keine ärztliche, psychotherapeutische, pflegerische, juristische oder organisatorische Entscheidung.

9. Dienstleister und Unterauftragsverarbeiter

Wir setzen technische und organisatorische Dienstleister ein, die für den Betrieb von Psychiatrie.Ink erforderlich sind. Dazu können insbesondere gehören:

Supabase für Datenbank, Authentifizierung und Speicherfunktionen.

Google Cloud für Hosting, Cloud Run, Infrastruktur und technische Betriebsdienste.

Stripe für Zahlungsabwicklung, Abonnementverwaltung und abrechnungsbezogene Prozesse.

KI-Dienstleister wie OpenAI, Google Gemini, Mistral AI und DeepSeek für optionale KI-gestützte Funktionen, soweit diese durch den Nutzer bzw. die Organisation aktiviert und datenschutzrechtlich zulässig eingesetzt werden.

Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter, ihrer Funktionen, Standorte und Transfermechanismen wird im Auftragsverarbeitungsvertrag oder in einer separaten Unterauftragsverarbeiterliste bereitgestellt.

Unterauftragsverarbeiter werden nur eingesetzt, wenn sie vertraglich gebunden sind und geeignete technische und organisatorische Maßnahmen zusichern. Änderungen bei Unterauftragsverarbeitern werden nach Maßgabe des Auftragsverarbeitungsvertrags mitgeteilt; Verantwortliche erhalten eine Möglichkeit zum Widerspruch, soweit gesetzlich oder vertraglich vorgesehen.

10. Hosting-Region und Datenresidenz

Die Kerninfrastruktur von Psychiatrie.Ink wird, soweit nicht anders vereinbart, in der Europäischen Union betrieben. Nach aktueller Konfiguration befinden sich die Datenbankdienste in der EU, insbesondere in Frankfurt, und die Anwendung wird in einer EU-Region von Google Cloud betrieben.

Die genaue Datenresidenz einzelner Dienste kann vom gewählten Dienst, der Konfiguration, dem eingesetzten Unterauftragsverarbeiter und der jeweiligen Funktion abhängen. Maßgeblich sind die im Auftragsverarbeitungsvertrag und in der Unterauftragsverarbeiterliste angegebenen Informationen.

KI-Dienstleister können Daten in der EU, im Vereinigten Königreich, in den USA oder in anderen Drittländern verarbeiten. Für personenbezogene Gesundheitsdaten sollten KI-Dienstleister außerhalb der EU/des EWR oder außerhalb eines Angemessenheitsbeschlusses nur nach gesonderter Prüfung, geeigneten Garantien und möglichst mit de-identifizierten oder minimierten Daten eingesetzt werden.

11. Internationale Datenübermittlungen

Das Vereinigte Königreich gilt aus Sicht der EU derzeit als Drittland mit Angemessenheitsbeschluss. Soweit personenbezogene Daten aus der EU/dem EWR an die Psychiatry Ink Ltd im Vereinigten Königreich übermittelt werden, kann diese Übermittlung grundsätzlich auf einen Angemessenheitsbeschluss gestützt werden, solange dieser anwendbar ist.

Soweit Dienstleister Daten außerhalb der EU/des EWR oder außerhalb des Vereinigten Königreichs verarbeiten, stützen wir uns auf geeignete Transfermechanismen. Dazu können insbesondere Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework für zertifizierte US-Unternehmen, EU-Standardvertragsklauseln, das UK International Data Transfer Addendum, Transfer Impact Assessments und ergänzende technische bzw. organisatorische Maßnahmen gehören.

Bei Drittlandübermittlungen ohne Angemessenheitsbeschluss ist vor allem bei Gesundheitsdaten eine besonders strenge Prüfung erforderlich.

12. Cookies, lokale Speicherung und ähnliche Technologien

Wir verwenden technisch erforderliche Cookies, lokale Speichermechanismen oder vergleichbare Technologien, um Login, Sicherheit, Session-Verwaltung, Spracheinstellungen und grundlegende Funktionen des Dienstes bereitzustellen.

Technisch nicht erforderliche Cookies, Analyse-Tools, Marketing-Technologien oder vergleichbare Tracking-Mechanismen werden nur eingesetzt, soweit hierfür eine wirksame Einwilligung vorliegt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen.

Soweit in Deutschland auf Informationen in Endgeräten zugegriffen oder Informationen dort gespeichert werden, beachten wir zusätzlich die Vorgaben des TDDDG.

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Konto- und Vertragsdaten werden für die Dauer des Nutzerkontos und anschließend für die gesetzlich oder vertraglich erforderlichen Fristen gespeichert.

Abrechnungs- und Buchhaltungsdaten werden entsprechend den anwendbaren handels- und steuerrechtlichen Aufbewahrungspflichten gespeichert.

Arbeitsbereichs- und Patientendaten werden grundsätzlich für die Dauer des Vertragsverhältnisses bzw. nach Weisung des jeweiligen Verantwortlichen verarbeitet. Nach Vertragsende werden Daten nach Maßgabe des Auftragsverarbeitungsvertrags gelöscht, zurückgegeben oder anonymisiert.

Backups und Sicherheitskopien werden nach dem jeweils geltenden Backup-Zyklus gelöscht oder überschrieben. Die konkrete Frist wird im Auftragsverarbeitungsvertrag oder in den technischen Informationen zum Dienst angegeben.

Support-Daten werden nur so lange gespeichert, wie dies zur Bearbeitung der Anfrage, zur Fehleranalyse, zur Rechtsverteidigung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Kündigung und Löschfristen: Wenn Sie Ihr Abonnement kündigen, wird Ihr Konto ruhend gestellt und kann innerhalb von 90 Tagen reaktiviert werden; erfolgt keine Reaktivierung, werden Ihr Konto und alle zugehörigen personenbezogenen Daten nach Ablauf dieser 90 Tage dauerhaft gelöscht. Wenn Sie die Löschung Ihres Kontos direkt veranlassen, wird Ihr Abonnement sofort gekündigt und Ihr Konto tritt in eine 30-tägige Karenzzeit ein, innerhalb derer Sie die Löschung abbrechen können; nach 30 Tagen werden Ihr Konto und alle zugehörigen personenbezogenen Daten dauerhaft gelöscht. Daten, die in Organisationen geteilt wurden, die Sie nicht allein kontrollieren, sowie Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden gesondert nach Maßgabe dieser Datenschutzhinweise behandelt.

14. Ihre Rechte

Sie haben nach Maßgabe der DSGVO bzw. der UK GDPR insbesondere folgende Rechte:

Recht auf Auskunft über die verarbeiteten personenbezogenen Daten.

Recht auf Berichtigung unrichtiger Daten.

Recht auf Löschung personenbezogener Daten.

Recht auf Einschränkung der Verarbeitung.

Recht auf Datenübertragbarkeit.

Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.

Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Wenn wir Patientendaten ausschließlich als Auftragsverarbeiter verarbeiten, können wir Betroffenenrechte grundsätzlich nicht eigenständig erfüllen. In diesem Fall leiten wir Anfragen, soweit möglich, an den zuständigen Verantwortlichen weiter oder unterstützen den Verantwortlichen nach Maßgabe des Auftragsverarbeitungsvertrags.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

data-protection@psychiatry.ink

15. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

In Deutschland können Sie sich an die für Ihren Wohnsitz, Arbeitsplatz oder den Ort des mutmaßlichen Verstoßes zuständige Landesdatenschutzbehörde wenden.

Im Vereinigten Königreich ist die zuständige Aufsichtsbehörde:

Information Commissioner's Office (ICO)

Soweit ein EU-/EWR-Vertreter benannt ist, können auch die am Ort des Vertreters zuständigen Aufsichtsbehörden relevant sein.

16. Sicherheit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere Verschlüsselung bei der Übertragung, Zugriffskontrollen, rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Vorgänge, Audit-Funktionen für KI-gestützte Aktionen, Datenminimierung, Pseudonymisierungs- bzw. De-Identifikationsfunktionen, Mandantentrennung, Backup-Konzepte, Vertraulichkeitsverpflichtungen und Verfahren zur Behandlung von Sicherheitsvorfällen.

Der Zugriff auf klinische Inhalte durch Mitarbeitende oder Dienstleister erfolgt nur, soweit dies für Betrieb, Support, Sicherheit, Fehlerbehebung oder gesetzliche Pflichten erforderlich ist, und soweit möglich nur nach Autorisierung, rollenbasiert, protokolliert und nach dem Need-to-know-Prinzip.

Keine elektronische Übertragung oder Speicherung ist vollständig risikofrei. Wir überprüfen unsere Schutzmaßnahmen regelmäßig und passen sie dem Stand der Technik, dem Risiko und der Weiterentwicklung des Dienstes an.

17. Datenschutz-Folgenabschätzung und Unterstützung der Verantwortlichen

Aufgrund des klinischen Kontexts und der möglichen Verarbeitung von Gesundheitsdaten kann für bestimmte Einsatzszenarien eine Datenschutz-Folgenabschätzung erforderlich sein. Die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung liegt grundsätzlich beim jeweiligen Verantwortlichen.

Wir stellen auf Anfrage angemessene Informationen zur Verfügung, die Verantwortliche bei ihrer Datenschutz-Folgenabschätzung unterstützen können. Dazu gehören insbesondere Informationen zu Verarbeitungsvorgängen, technischen und organisatorischen Maßnahmen, Unterauftragsverarbeitern, Datenflüssen, KI-Funktionen, Protokollierung, Löschung und Sicherheitsmaßnahmen.

18. Datenpannen und Sicherheitsvorfälle

Im Falle einer Verletzung des Schutzes personenbezogener Daten treffen wir die gesetzlich erforderlichen Maßnahmen. Soweit wir als Auftragsverarbeiter handeln, informieren wir den jeweiligen Verantwortlichen unverzüglich nach Maßgabe des Auftragsverarbeitungsvertrags, damit dieser seine Melde- und Benachrichtigungspflichten prüfen und erfüllen kann.

19. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich der Dienst, die technische Architektur, eingesetzte Dienstleister, gesetzliche Anforderungen oder unsere Verarbeitungsprozesse ändern.

Über wesentliche Änderungen informieren wir in geeigneter Weise, etwa über die Website, innerhalb des Dienstes oder per E-Mail. Die jeweils aktuelle Fassung ist über Psychiatrie.Ink abrufbar.