Datenschutzerklärung

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Fabian Ilg · Lucid AI Labs
Kirchbergstraße 5, 93152 Markt Nittendorf
Bayern, Deutschland
E-Mail: [email protected]

Ein behördlich bestellter Datenschutzbeauftragter ist derzeit nicht benannt. Die Bestellpflicht gemäß Art. 37 Abs. 1 lit. c DSGVO (Kerntätigkeit = Verarbeitung besonderer Datenkategorien gemäß Art. 9) wird laufend bewertet. Bis zur Aufnahme regelmäßiger Verarbeitung von Gesundheitsdaten im Voice-Agent-Dienst werden Anliegen direkt vom Verantwortlichen bearbeitet; vor dem Onboarding der ersten zahlenden Klinik wird ein externer Datenschutzbeauftragter bestellt. Eine schriftliche Schwellenwert-Bewertung („not large scale“-Assessment für den Pre-Klinik-Zeitraum) ist intern dokumentiert.

Ein Verfahrensverzeichnis gemäß Art. 30 Abs. 2 DSGVO (Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter, je Klinik-Verantwortlicher getrennt geführt) wird vorgehalten und auf Anforderung der Aufsichtsbehörde (BayLDA) vorgelegt.

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Website und unserer Dienste erforderlich ist und eine Rechtsgrundlage gemäß Art. 6 DSGVO (und ergänzend Art. 9 DSGVO bei Gesundheitsdaten im Voice-Agent-Kontext) gegeben ist. Keine Datenverarbeitung erfolgt zu Werbezwecken Dritter, kein Profiling für automatisierte Einzelfallentscheidungen (Art. 22 DSGVO).

3. Erhebung beim Besuch der Website

3.1 Server-Logs

Bei jedem Aufruf einer Seite werden vom Hosting-Anbieter Vercel automatisch technische Informationen erhoben (Server-Logs):

• IP-Adresse (in gekürzter Form, soweit technisch möglich)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• User-Agent (Browser-Typ und -Version)
• Referrer-URL (sofern übermittelt)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität, Missbrauchsschutz). Speicherdauer: 30 Tage, danach automatische Löschung durch den Hoster. Ein Profil mit personenbezogenen Daten wird aus diesen Logs nicht erstellt.

3.2 Hosting

Das Hosting der Website erfolgt über Vercel Inc. (USA), das Klinik-Dashboard und die Voice-Agent-Datenbank über Hetzner Online GmbH (Falkenstein/Nürnberg, Deutschland). Drittland-Übermittlungen für Vercel sind durch SCC und das DPF abgesichert (siehe § 9). Die anwendungsseitigen Daten der Voice-Agent-Klinik liegen ausschließlich in der EU.

4. Cookies und Einwilligungs-Management

Wir nutzen Cookies und vergleichbare Speichertechnologien nur in dem Umfang, in dem dies gemäß § 25 TDDDG (vormals § 25 TTDSG) zulässig ist:

• Notwendig (immer aktiv): Sprachauswahl-Cookie (lokale Speicherung), das Cookie-Consent-Cookie (lucid-consent, lokale Speicherung). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich).
• Analyse (nur nach Einwilligung): Microsoft Clarity (siehe § 13). Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung).
• Marketing: derzeit nicht im Einsatz. Wenn künftig Marketing-Tracker geladen werden, fragen wir erneut.

Vor jeder Einwilligung werden keine nicht-notwendigen Cookies gesetzt und keine Tracker geladen (kein Pre-Consent-Tracking). Microsoft Clarity wird mit clarity('consent', false) initialisiert — in diesem Modus erhebt Clarity nach Microsoft-Dokumentation keinerlei Daten und setzt keine Cookies. Erst nach expliziter Einwilligung (Klick auf „Akzeptieren") wird das Flag auf true gesetzt und Clarity beginnt mit der Datenerhebung. Die Implementierung ist gegen die offizielle Microsoft-Dokumentation (learn.microsoft.com, Cookie Consent) verifiziert. Die Einwilligung kann jederzeit über den Footer („Cookie-Einstellungen") widerrufen werden — der Widerruf wirkt sofort, das Flag wird auf false zurückgesetzt und kein weiterer Datenfluss zu Clarity erfolgt.

Reject-Knopf und Accept-Knopf sind im Banner visuell gleichberechtigt dargestellt (kein Dark Pattern), entsprechend den EDSA-Leitlinien 03/2022 zu trügerischen Gestaltungsmustern („Deceptive Design Patterns“) in Cookie-Bannern sowie der Anforderung freiwilliger Einwilligung gemäß Art. 7 DSGVO.

5. Kontaktformular und E-Mail-Kontakt

Über das Kontaktformular auf /de/contact oder direkt per E-Mail an [email protected] übermittelte Daten (Name, E-Mail, Firma, Nachricht, optional: Budget, Zeitrahmen) werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Vertragserfüllung), bei reinen Informationsanfragen ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Anfragenbearbeitung).
• Speicherort: Hetzner-gehostetes Supabase (Falkenstein/Nürnberg, DE) sowie E-Mail-Server (Resend für Transaktions-Mails, siehe § 7).
• Speicherdauer: 36 Monate ab letzter Interaktion, danach Löschung oder Anonymisierung. Bei Vertragsabschluss: gesetzliche Aufbewahrungsfristen (z. B. AO, HGB).

6. Voice-Agent-spezifische Verarbeitung

Im Rahmen des Voice-Agent-Dienstes verarbeiten wir personenbezogene Daten von Anrufern im Auftrag der jeweiligen Klinik (Auftragsverarbeitung gemäß Art. 28 DSGVO). Verantwortlicher für diese Verarbeitung ist die Klinik selbst; Lucid AI Labs ist Auftragsverarbeiter. Der Master-AVV ist unter /de/avv verfügbar.

Diese Datenschutzerklärung beschreibt die Voice-Agent-Verarbeitung nur in der Übersicht; die rechtsverbindlichen Detail-Klauseln stehen im AVV.

6.1 Datenfluss eines typischen Anrufs

1. Anrufeingang via Telnyx (USA, SCC + DPF) auf eine Klinik-spezifische deutsche Geo-Rufnummer.
2. KI-Ankündigung zu Beginn des Anrufs (siehe § 6.4), generiert via ElevenLabs (USA, SCC).
3. Spracheingang → Text via Deepgram (USA, SCC), niedrige Latenz, transient.
4. Konversationslogik (LLM) via Anthropic Claude (USA, SCC, kein Training mit Eingabedaten).
5. Antwort als Sprache via ElevenLabs, zurück über Telnyx zum Anrufer.
6. Persistenz des Transkripts und der Termin-Daten in Supabase auf Hetzner (DE, EU-Datenresidenz).
7. Termin-Bestätigung per E-Mail (sofern Anrufer Adresse angibt) via Resend (USA, SCC + DPF).

6.2 Rechtsgrundlagen

• Allgemeine Daten (Name, Telefonnummer, Termin): Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung Behandlungsvertrag).
• Gesundheitsdaten i. S. v. Art. 9 Abs. 1 DSGVO, soweit der Anrufer freiwillig solche offenlegt: Art. 9 Abs. 2 lit. h DSGVO (Verarbeitung zur Gesundheitsversorgung).
• Optionale Audio-Aufzeichnung (nur falls von der Klinik aktiviert): Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung am Anfang des Anrufs).

6.3 Berufsgeheimnis (§ 203 StGB)

Die Klinik ist als Berufsgeheimnisträger im Sinne von § 203 StGB bei jedem Vertragsabschluss als „mitwirkende Personen" gemäß § 203 Abs. 3 und 4 StGB ausdrücklich Lucid AI Labs sowie alle in der Auftragsverarbeiter-Liste genannten Unter-Auftragsverarbeiter. Die Verschwiegenheits-verpflichtung wird vertraglich abgesichert.

6.4 KI-Ankündigung (AI Act Art. 50)

Zu Beginn jedes Anrufs spielt der Voice Agent einen klar verständlichen Hinweis ab, dass der Anrufer mit einem KI-System interagiert (Beispiel: „Sie sprechen mit dem KI-Telefon-Assistenten der Praxis Dr. X. Wenn Sie mit einem Menschen sprechen möchten, sagen Sie bitte ‚Mensch'."). Diese Pflicht ergibt sich aus Art. 50 KI-Verordnung (EU) 2024/1689. Die Anwendbarkeit dieses Artikels beginnt am 2. August 2026; Lucid AI Labs erfüllt sie bereits jetzt.

6.5 Aufzeichnung (§ 201 StGB)

Eine dauerhafte Audio-Aufzeichnung erfolgt standardmäßig nicht. Sprachdaten werden nur transient verarbeitet (Streaming) und unmittelbar nach Generierung des Transkripts gelöscht. Wenn eine Klinik im Hauptvertrag explizit eine zusätzliche Audio-Aufzeichnung beauftragt, wird zu Beginn jedes Anrufs eine separate Einwilligung eingeholt; bei Widerspruch wird die Aufzeichnung sofort und nachweislich deaktiviert. Eine Aufzeichnung ohne Hinweis und Widerspruchsmöglichkeit erfolgt unter keinen Umständen, dies wäre eine Straftat gemäß § 201 StGB.

6.6 Funktionsbegrenzung

Der Voice Agent stellt keine Diagnose, führt keine Triage durch und gibt keine medizinischen Bewertungen ab. Bei jedem inhaltlich-medizinischen Anliegen erfolgt Eskalation an einen Menschen. Diese Begrenzung vermeidet eine Einstufung als Hochrisiko-KI gemäß Anhang III KI-VO.

7. Auftragsverarbeiter und Empfänger

Wir setzen folgende Auftragsverarbeiter ein. Die vollständige aktuelle Liste mit Adressen, Datenkategorien und AVV-Links steht unter /de/auftragsverarbeiter.

Wir verkaufen, vermieten oder verleihen personenbezogene Daten nicht an Dritte zu Werbezwecken.

8. Drittland-Übermittlungen (Art. 44 ff. DSGVO)

Übermittlungen in die USA an die in § 7 genannten Empfänger erfolgen auf folgenden Grundlagen:

• Standardvertragsklauseln der EU-Kommission gemäß Durchführungsbeschluss (EU) 2021/914 (Module 2 und ggf. 3).
• Soweit der Empfänger zertifiziert ist: Berufung auf den Angemessenheitsbeschluss EU-U.S. Data Privacy Framework vom 10. Juli 2023 (z. B. Telnyx, Resend, Microsoft, Vercel, Anthropic).
• Transfer-Impact-Assessments (TIA) wurden für jeden US-Empfänger vorgenommen, insbesondere im Hinblick auf FISA 702 / Executive Order 12333. Die TIA-Dokumente sind auf Anfrage einsehbar.

9. Speicherdauer

• Server-Logs (Vercel): 30 Tage, danach automatische Löschung.
• Kontaktanfragen: 36 Monate ab letzter Interaktion.
• Voice-Agent-Audiodaten: transient, max. 60 Sekunden Pufferung.
• Voice-Agent-Transkripte: 90 Tage (anpassbar pro Klinik).
• Termin-Datensätze: bis zum Ablauf der klinikseitigen Aufbewahrungspflicht.
• Optionale Audio-Aufzeichnung (sofern aktiviert): 30 Tage, danach unwiederbringliche Löschung.
• Microsoft Clarity: 13 Monate (Standard, siehe § 13).

10. Ihre Rechte (Art. 15–22 DSGVO)

• Auskunft (Art. 15), Welche Daten haben wir über Sie?
• Berichtigung (Art. 16), Korrektur unrichtiger Daten.
• Löschung (Art. 17), „Recht auf Vergessenwerden", soweit keine Aufbewahrungspflicht besteht.
• Einschränkung (Art. 18), Sperrung statt Löschung, z. B. bei Streitigkeiten.
• Datenübertragbarkeit (Art. 20), Erhalt Ihrer Daten in maschinenlesbarem Format.
• Widerspruch (Art. 21), gegen Verarbeitung auf Grundlage berechtigter Interessen.
• Widerruf der Einwilligung (Art. 7 Abs. 3), jederzeit, ohne Auswirkung auf bisherige Rechtmäßigkeit. Cookie-Widerruf über Footer-Link.
• Keine automatisierte Einzelfallentscheidung (Art. 22), Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung statt.

Zur Ausübung dieser Rechte: E-Mail an [email protected] mit Betreff „Datenschutz-Auskunftsersuchen". Antwort innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO), in komplexen Fällen mit Begründung verlängerbar um zwei weitere Monate.

11. Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen. Zuständig für den Sitz des Verantwortlichen:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Telefon: +49 (0)981 180093-0
E-Mail: [email protected]
Web: lda.bayern.de

Sie können sich auch an jede andere EU-Aufsichtsbehörde wenden, insbesondere an die in Ihrem Wohnsitzstaat zuständige.

12. Newsletter und Marketing

Wir betreiben aktuell keinen Newsletter und keine Werbe-E-Mail-Verarbeitung. Sollte dies künftig eingeführt werden, erfolgt eine ausdrückliche, dokumentierte Double-Opt-in-Einwilligung. Daten werden dann nicht ohne ausdrückliche Einwilligung für Marketing-Zwecke verwendet (§ 7 UWG).

13. Microsoft Clarity (Web-Analyse, Opt-in)

Wir nutzen Microsoft Clarity zur anonymen Analyse von Heatmaps und Klickmustern, ausschließlich nach expliziter Einwilligung. Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA.

• Datenarten: Klickposition, Mausbewegung, Scroll-Verhalten, Browser-Typ, Bildschirmauflösung, Sprach-/Locale-Information. Microsoft anonymisiert IP-Adressen vor Speicherung. Wir konfigurieren Clarity ohne Recording-Modus für sensible Bereiche.
• Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Vor Einwilligung wird Clarity mit clarity('consent', false) initialisiert; das Skript setzt keine Cookies, bevor das Flag auf true wechselt. Quelle: Clarity Consent Mode (Microsoft Docs).
• Speicherdauer: 13 Monate (Microsoft-Standard).
• Drittland-Übermittlung: SCC + DPF (Microsoft ist DPF-zertifiziert).
• Anti-Fingerprinting: Wir setzen kein Fingerprinting ein, das über das hinausgeht, was Microsoft selbst gegen Bot-Traffic verwendet.
• Widerruf: jederzeit über den Footer-Link „Cookie-Einstellungen".

14. Anti-Fingerprinting-Verpflichtungen

Wir verzichten auf Browser-Fingerprinting, Canvas-Fingerprinting und ähnliche Techniken zur eindeutigen Wiedererkennung. Technische Tracking-Pixel von Drittanbietern werden nicht eingesetzt. Eine Identifizierung einzelner Besucher ist auf Grundlage der erhobenen Daten weder beabsichtigt noch praktisch möglich.

15. Änderungen dieser Erklärung

Wesentliche Änderungen werden oben auf dieser Seite mit neuem Stand-Datum und Versionsnummer angekündigt. Änderungen wirken nur für künftige Verarbeitungen; rückwirkende Änderungen werden nicht vorgenommen. Im Zweifel werden Bestandskunden zusätzlich per E-Mail informiert.

16. Kontakt für Datenschutz-Anliegen

Direkt an den Verantwortlichen: [email protected], Antwort binnen eines Werktags, längstens innerhalb der gesetzlichen Frist von einem Monat.

Verwandte Dokumente

• Datenschutz-FAQ für Klinik-Inhaber (Klartext)
• Auftragsverarbeitungsvertrag (AVV)
• Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)
• Liste der Unter-Auftragsverarbeiter
• Impressum
• English version (Privacy Policy)