Datenschutzerklärung

Stand: Juni 2026. VoxCura befindet sich in der Pre-Pilot-Phase; im öffentlichen Demo-Modus werden keine echten Patientendaten und keine externen KI-Dienste genutzt (siehe Abschnitt 4). Für den Echtbetrieb mit Pflegediensten gilt ergänzend der separat geschlossene Auftragsverarbeitungsvertrag (AVV).

1. Verantwortlicher

DC INFOSEC / Deniz Ceylan
Robertstraße 30
44809 Bochum
E-Mail: admin@dc-infosec.de

2. Hosting

Hosting bei Hostinger International Limited, VPS-Standort Frankfurt am Main (AS47583, verifiziert via IP-Geolokation). Innerhalb der EU, kein Drittlandtransfer für Datenbank und Audio-Speicher. nginx-Access-Logs (IP, User-Agent, Zeitstempel) werden für 7 Tage gespeichert (Art. 6 Abs. 1 lit. f DSGVO).

3. Cookies und localStorage

VoxCura speichert nur funktional erforderliche Daten lokal im Browser:

voxcura_token — JWT-Auth-Token, gelöscht beim Logout
voxcura_token Cookie-Mirror — Middleware-Guard für geschützte Routen
voxcura_onboarded — Onboarding-Status-Flag

Keine Tracking-Cookies, kein Google Analytics, keine Werbe-Pixel.

4. Datenverarbeitung im Demo-Modus

Im öffentlich zugänglichen Demo-Modus (ohne Pilotvertrag) werden Audio-Aufnahmen NICHT zu externen AI-Diensten gesendet. Stattdessen werden Mock-Transkripte verwendet. Demo-Account-Daten in unserer DE-gehosteten Postgres.

5. Datenverarbeitung im Pilotbetrieb

Im Pilotbetrieb mit echten Pflegedienst-Kunden gilt der separat unterzeichnete Auftragsverarbeitungsvertrag (AVV). Verarbeitete Daten: Gesundheitsdaten gemäß Art. 9 DSGVO. Rechtsgrundlage: Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 BDSG. Schutz-Maßnahmen siehe TOM-Anhang zum AVV.

6. Sub-Auftragsverarbeiter

Vollständige Liste mit Sitz, Datenkategorien und Drittlandsmechanismus:

Hostinger International Limited

Infrastruktur / VPS-Hosting (Application + PostgreSQL + MinIO + nginx)

Datacenter:: Frankfurt am Main, Deutschland
Sitz:: Limassol, Zypern
Drittlandsmechanismus:: EU-intern

Brevo SAS

Transaktionale E-Mails (Welcome, Magic-Link, Email-Verification)

Datacenter:: Paris / Marne-la-Vallée, Frankreich
Sitz:: Paris, Frankreich
Drittlandsmechanismus:: EU-intern

Stripe Payments Europe Ltd

Subscription-Billing (Checkout, Customer-Portal, Webhooks)

Datacenter:: Dublin, Irland (EU-Datenresidenz)
Sitz:: Dublin, Irland
Drittlandsmechanismus:: EU-intern; Stripe-interne US-Transfers via DPF + SCC

Hinweis: Sieht ausschließlich Organisations-Metadaten und E-Mail-Adressen — KEINE Patientendaten.

Anthropic PBC (Claude API via CLI-Subprocess)

Strukturierung des Transkripts in MD-konformes Pflege-Schema

Datacenter:: USA
Sitz:: San Francisco, USA
Drittlandsmechanismus:: EU-US Data Privacy Framework + Standardvertragsklauseln

Hinweis: Übermittelt wird ausschließlich der Transkript-Text zur Strukturierung, nicht das Audio. PHASE 1 (Pre-Pilot/MVP): aktiv über die Claude-CLI. PHASE 2 (skalierter Echtbetrieb): geplante Umstellung auf eine EU-Region (z.B. AWS Bedrock Claude eu-central-1, Frankfurt), dann kein US-Transfer mehr. Vor dem Echtbetrieb mit Patientendaten wird der AVV/DPA-Status mit Anthropic dokumentiert.

OpenAI Ireland Limited (Whisper-Fallback)

Audio-Transkription — NUR aktiv wenn WHISPER_MODE=openai gesetzt

Datacenter:: USA
Sitz:: Dublin, Irland (Vertragsentität)
Drittlandsmechanismus:: EU-US Data Privacy Framework + Zero-Data-Retention-Contract

Hinweis: Produktionspfad ist faster-whisper self-hosted. OpenAI im Pilotbetrieb NICHT aktiviert.

Bei Wechsel eines Sub-Prozessors informieren wir Auftraggeber*innen mindestens 4 Wochen im Voraus. Single Source of Truth: docs/legal/subprocessors.json im Repository.

7. Daten-Fluss-Übersicht

Pflegekraft im Browser nimmt Audio auf (MediaRecorder API, lokal).
Upload via TLS 1.3 → Hostinger-VPS Frankfurt → MinIO mit AES-256 SSE-S3.
Backend transkribiert mit faster-whisper (self-hosted, kein externer Aufruf).
Transkript geht an Claude-API (Anthropic, USA) zur JSON-Strukturierung — einziger US-Datenfluss in Phase 1.
Strukturiertes JSON, Transkript und finaler Text werden Fernet-verschlüsselt in PostgreSQL gespeichert.
PDF-Rendering serverseitig (WeasyPrint), kein externer Aufruf.
Stripe und Brevo sehen nur Org-Metadaten und E-Mail-Adressen — keine PHI.

8. Ihre Rechte

Sie haben Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) gemäß DSGVO. Anfragen an admin@dc-infosec.de.

9. Beschwerderecht

LDI NRW — Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf. ldi.nrw.de

10. Vollständige Dokumente

AVV-Mustertext, DPIA und TOM-Konzept liegen im GitHub-Repository unter docs/legal/ als Markdown- und JSON-Vorlagen.