60 lines
2.4 KiB
Markdown
60 lines
2.4 KiB
Markdown
|
# STEP 8 – Datenschutzerklärung & KI-Einwilligung
|
|||
|
|
|
|||
|
|
## Ziel
|
|||
|
|
Erstellung rechtlich belastbarer Texte für DSG (Schweiz), DSGVO (EU),
|
|||
|
|
medizinische Daten und KI-Verarbeitung.
|
|||
|
|
|
|||
|
|
## Erstellte Dateien
|
|||
|
|
|
|||
|
|
### /legal/privacy_policy.md
|
|||
|
|
Vollständige Datenschutzerklärung mit:
|
|||
|
|
- Verantwortlicher (Platzhalter für Praxisdaten)
|
|||
|
|
- 4 Verarbeitungszwecke (Dokumentation, Kommunikation, Organisation, KI)
|
|||
|
|
- Datenarten inkl. expliziter Nennung von Gesundheitsdaten (Art. 5 DSG)
|
|||
|
|
- Rechtsgrundlagen DSG + DSGVO
|
|||
|
|
- Speicherorte (lokal + Supabase + OpenAI API)
|
|||
|
|
- Auftragsverarbeiter: OpenAI (USA, SCCs), Supabase (EU-Hosting, USA-Sitz)
|
|||
|
|
- Drittlandübertragung dokumentiert
|
|||
|
|
- Betroffenenrechte DSG + DSGVO
|
|||
|
|
- Beschwerderecht (EDÖB + EU-Aufsicht)
|
|||
|
|
- Kontaktstelle
|
|||
|
|
|
|||
|
|
### /legal/ai_consent.md
|
|||
|
|
KI-Einwilligungserklärung mit:
|
|||
|
|
- Erklärung aller 4 KI-Einsatzgebiete (Transkription, KG, Interaktion, Textprüfung)
|
|||
|
|
- Konkrete Angabe der übermittelten Daten pro Funktion
|
|||
|
|
- Benennung des Anbieters (OpenAI) und der Modelle
|
|||
|
|
- Drittlandhinweis (USA, SCCs)
|
|||
|
|
- Klare Abgrenzung: Was KI NICHT entscheidet (keine Diagnosen, keine Therapie)
|
|||
|
|
- Ärztliche Verantwortung explizit festgehalten
|
|||
|
|
- Widerrufsrecht mit konkreten Folgen
|
|||
|
|
- Dokumentationspflicht
|
|||
|
|
- Unterschriftenfelder (Einwilligung + Widerruf)
|
|||
|
|
|
|||
|
|
## Betroffene Dateien
|
|||
|
|
| Datei | Aktion |
|
|||
|
|
|-------|--------|
|
|||
|
|
| /legal/privacy_policy.md | NEU erstellt |
|
|||
|
|
| /legal/ai_consent.md | NEU erstellt |
|
|||
|
|
|
|||
|
|
## Datengrundlage
|
|||
|
|
Alle Aussagen basieren auf dem tatsächlichen Code-Stand:
|
|||
|
|
- OpenAI API-Nutzung: Transkription (gpt-4o-mini-transcribe), Text (gpt-5.2/5-mini/5-nano)
|
|||
|
|
- Supabase Cloud-Sync (eu-central-1)
|
|||
|
|
- Lokale Datenspeicherung (JSON, SQLite)
|
|||
|
|
- Implementierte Sicherheitsmassnahmen aus STEP 4.x und 6
|
|||
|
|
|
|||
|
|
## Offene Punkte
|
|||
|
|
1. **Verantwortlicher:** Platzhalter – muss mit echten Praxisdaten ausgefüllt werden
|
|||
|
|
2. **Juristische Prüfung:** Beide Dokumente müssen vor Produktiveinsatz von
|
|||
|
|
einer rechtskundigen Person geprüft werden
|
|||
|
|
3. **AV-Vertrag OpenAI:** DPA/AVV mit OpenAI muss geprüft/abgeschlossen werden
|
|||
|
|
4. **AV-Vertrag Supabase:** DPA/AVV mit Supabase muss geprüft/abgeschlossen werden
|
|||
|
|
5. **Einwilligungsformular:** Muss in druckbare Form gebracht werden (PDF/Papier)
|
|||
|
|
6. **Kantonale Besonderheiten:** Aufbewahrungsfristen variieren je nach Kanton
|
|||
|
|
|
|||
|
|
## Risiken
|
|||
|
|
- Ohne juristische Prüfung sind die Texte nicht rechtsverbindlich
|
|||
|
|
- AV-Verträge mit OpenAI und Supabase fehlen noch (RED im Audit)
|
|||
|
|
- Drittlandübertragung USA ist datenschutzrechtlich sensibel
|