Datenschutzerklärung

1. Grundsatz und Gesetzliche Grundlage

Der Schutz der Privatsphäre und die Sicherheit der Daten von Ihnen und Ihren Patientinnen und Patienten hat für Hefti Horizon (CuraCore) höchste Priorität. Wir halten uns strikt an die Vorgaben des Schweizerischen Datenschutzgesetzes (DSG) vom September 2023 sowie, soweit anwendbar, an die Europäische Datenschutz-Grundverordnung (DSGVO). Da im Rahmen der Nutzung von CuraCore sensible Patientendaten verarbeitet werden, setzen wir umfassende Sicherheitsmassnahmen gemäss Art. 8 DSG um.

2. Rolle von Hefti Horizon & Unterstützung bei der Datenschutz-Folgenabschätzung (DSFA / DPIA)

Im Kontext der Softwarenutzung durch Ärzte und medizinisches Personal agiert Hefti Horizon als Auftragsbearbeiter gemäss Art. 9 DSG. Die medizinische Einrichtung bzw. der behandelnde Arzt ist der Verantwortliche im Sinne von Art. 5 DSG, da sie oder er über die Zwecke und Mittel der Bearbeitung entscheidet. Wir verarbeiten personenbezogene Daten ausschliesslich nach Weisung des Verantwortlichen.

Da die Verarbeitung von gesundheitsbezogenen Patientendaten (besonders schützenswerte Personendaten nach Art. 5c DSG) ein potenziell hohes Risiko birgt, obliegt dem Verantwortlichen (Arzt/Klinik) die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DPIA) gemäss Art. 22 DSG. Hefti Horizon unterstützt Sie als Verantwortlichen vollumfänglich bei dieser Pflicht, indem wir Ihnen die notwendige technische und organisatorische Dokumentation zur Funktionsweise der Software zur Verfügung stellen, um Ihre Konformität zu erleichtern und den Prinzipien von Privacy by Design und Privacy by Default (Art. 7 DSG) gerecht zu werden.

3. Kategorien bearbeiteter Daten

Kunden-Accountdaten: Wir erfassen Name des Arztes, E-Mail-Adresse, ZSR-Nummer, GLN und Rechnungsdaten (via Stripe) zur Vertragsabwicklung.

Besonders schützenswerte Personendaten (Art. 5 DSG): Zur Erstellung administrativer Dokumente (wie Kostengutsprachen) verarbeitet die Software ausschliesslich textbasierte Informationen, die vom Kunden eingegeben oder hochgeladen werden:

• Klinische Notizen & Zusammenfassungen: Textbasierte Berichte, die medizinische Sachverhalte wie Diagnosen, Anamnesen, Krankheitsverläufe, Indikationen und geplante Behandlungen enthalten.
• Patienten-Metadaten: Administrative Daten wie Alter und Geschlecht zur Erstellung formaler Dokumente.

CuraCore ist ein reines Textverarbeitungssystem. Wir erfassen, verarbeiten oder speichern zu keinem Zeitpunkt Audio- oder Sprachaufzeichnungen (Audio Records) von Patientengesprächen und verarbeiten keine biometrischen Daten.

Diese sensiblen Daten werden rein transaktional verarbeitet. Es findet keine dauerhafte Speicherung der Patientendaten statt ("Zero Data Retention") und die Daten werden niemals zum Training von KI-Modellen verwendet.

4. Datensicherheit, Datenresidenz und Verschlüsselung

Wir setzen modernste technische und organisatorische Massnahmen (TOMs) gemäss Art. 8 DSG ein, um den Schutz und die Souveränität Ihrer Daten zu gewährleisten:

• Schweizer Datenresidenz (Sovereignty): Die zur temporären Verarbeitung übermittelten Daten (wie generierte Berichte) sowie die gesamte Anwendungsdatenbank (Supabase) werden zu 100% in der Schweiz gehostet (Serverstandort: Zürich / Genf, Schweiz). Es erfolgt kein Export von Patientendaten ins Ausland.
• Verschlüsselung: Obwohl wir keine klinischen Patientendaten speichern, sichern wir sämtliche System-Metadaten (Data at Rest) mittels AES-256 Verschlüsselung. Die Datenübertragung (Data in Transit) erfolgt ausschliesslich über sichere Transportprotokolle mit mindestens TLS 1.2.
• Schlüsselverwaltung (Key Management): Die Verschlüsselungsschlüssel werden über einen dedizierten, in der Schweiz ansässigen Schlüsselverwaltungsdienst geschützt (konform zu Art. 16 DSG).
• Logische Isolation: Unsere Cloud-Infrastruktur nutzt strikte logische Mandantentrennung mittels Virtual Private Clouds (VPCs) und privaten Subnetzen.
• Kontinuierliche Überwachung: Sicherheitsüberwachungssysteme (EDR/SIEM) erkennen unbefugte Zugriffsversuche oder Anomalien in Echtzeit, um Datenverlust vorzubeugen.

5. Subunternehmer (Hilfspersonen)

Der Anbieter zieht zur Vertragserfüllung folgende Subunternehmer bei, die vertraglich den gleichen strengen Schweizer Datenschutzstandards unterliegen:

6. Datenschutzberater (DPO) und Ihre Rechte

Kunden und betroffene Personen haben das Recht auf Auskunft, Berichtigung, Löschung sowie Einschränkung der Verarbeitung ihrer Daten gemäss den gesetzlichen Bestimmungen.

Für alle Fragen rund um den Datenschutz oder zur Ausübung Ihrer Rechte können Sie sich direkt an unseren zuständigen Datenschutzberater (Data Protection Officer) wenden:
Hefti Horizon (CuraCore Datenschutz)
E-Mail: support@curacore.ch