Version 3.5 — Gültig ab 2. September 2026
🇨🇭 Speicherung und Plattform in der Schweiz. Konten, Dokumentation, Logs und Audit liegen auf Schweizer Cloud-Infrastruktur. Die KI-Textverarbeitung erfolgt in geschützten Schweizer und EU-Verarbeitungszonen; die Audio-Transkription über vertraglich gebundene Auftragsbearbeiter mit anerkannten Datenschutzgarantien (Einzelheiten und Verarbeitungsstandorte in Abschnitt 3). Rohaudio wird spätestens 90 Tage nach der Aufnahme automatisch gelöscht (früher auf Wunsch der Ärztin / des Arztes; optional kurze ärztliche Nachkontroll-Frist); die Aufbewahrung der Konsultationsinhalte bestimmen Sie. Kein KI-Training durch BlitzDoc mit Ihren Eingaben. Nach Schweizer Datenschutzrecht (nDSG) konzipiert.
BlitzDoc
E-Mail: info@blitzdoc.ch
Website: https://blitzdoc.ch
Diese Erklärung erfüllt die Informationspflicht nach Art. 19 nDSG, insbesondere für besonders schützenswerte Gesundheitsdaten (Art. 5 lit. c nDSG).
| Daten | Speicherort | Speicherdauer |
|---|---|---|
| Kontodaten (Name, E-Mail) | Schweizer Cloud | Bis Löschung des Kontos |
| Audioaufnahmen (Ambient/Diktat) | Schweizer Cloud; Transkription via Subprozessor (vgl. Abschnitt 3) | Standard: endgültige Löschung aller Versionen, sobald die Konsultation gespeichert ist; nicht gespeicherte Aufnahmen spätestens nach 7 Tagen. In den Einstellungen wählbar: Nachkontroll-Frist von 7, 30 oder höchstens 90 Tagen (Lebenszyklus-Regel, technisch bis zu 2 Tage Verzug). Länger als 90 Tage wird Audio nie aufbewahrt |
| Konsultationsinhalte (Stichworte, SOAP) | Schweizer Cloud | Konfigurierbar / unter ärztlicher Kontrolle |
| Server-Logdaten (IP, Zeitstempel) | Schweizer Cloud | Max. 30 Tage |
| Zugriffsprotokolle (Art. 4 DSV: welches Nutzerkonto hat wann welche Konsultation aufgerufen, gespeichert oder gelöscht — ohne Inhalte, ohne IP-Adresse) | Schweizer Cloud, getrennt von den Anwendungsdaten | 13 Monate |
Was BlitzDoc erhebt und was nicht: Im Stichwort-Modus verarbeitet BlitzDoc genau das, was die Ärztin / der Arzt eingibt; eine automatische Pseudonymisierung findet nicht statt — die Praxis ist angehalten, Patientennamen, AHV-Nummern und Versichertendaten wegzulassen. Ambient-Transkripte können gesprochene Personenangaben enthalten — sie werden verschlüsselt gespeichert und unterliegen der ärztlichen Kontrolle. Kein Tracking, keine Cookies, kein Analytics; die Website bindet keine externen Schriftarten und keine Inhalte von Dritt-CDNs ein (ein Cookie-Banner ist daher nicht erforderlich).
Die BlitzDoc-Plattform und alle persistenten Systeme (Speicherung, Authentifizierung, Logs, Audit) laufen auf Schweizer Cloud-Infrastruktur bei einem vertraglich gebundenen Auftragsbearbeiter (AVV nach Art. 9 nDSG).
Für einzelne Verarbeitungsschritte kommen vertraglich gebundene Auftragsbearbeiter zum Einsatz — nach Kategorien und Verarbeitungsstandorten (Art. 19 Abs. 2 und 4 revDSG):
Die Kategorien-Übersicht ist in der Übersicht der Auftragsbearbeiter publiziert; eine vollständige, namentliche Liste der Subunternehmer stellen wir unseren Kunden im Rahmen des Auftragsverarbeitungsvertrags (AVV) zur Verfügung.
BlitzDoc nutzt KI zur Erstellung von Textvorschlägen (SOAP, Bericht, Stilkorrektur, Diktat-Transkription). Der Arzt prüft und bestätigt jedes Ergebnis vor Übernahme. Es findet kein Profiling und keine automatisierte Einzelentscheidung statt (Art. 6 Abs. 7 nDSG). Die Verarbeitung erfolgt über vertraglich gebundene Auftragsbearbeiter; Kategorien und Verarbeitungsländer sind in Abschnitt 3 offengelegt.
KI-Training: BlitzDoc verwendet Ihre Eingaben und Ausgaben nicht zum Training von KI-Modellen. BlitzDoc lernt aus Ihren Korrekturen einen persönlichen Schreibstil; dieser Stil-Layer enthält keine Patientendaten und kann jederzeit zurückgesetzt oder gelöscht werden.
Ambient Recording (Sprachaufnahme): Die Einwilligung des Patienten ist vor jeder Aufnahme zwingend erforderlich (Art. 179ter StGB, Art. 321 StGB). Die Aufnahme erfolgt lokal im Browser; das Audio wird verschlüsselt in der Schweizer Cloud gespeichert, zur Transkription an den oben genannten Subprozessor übertragen und spätestens 90 Tage nach der Aufnahme automatisch gelöscht (technische Lebenszyklus-Regel); die Ärztin / der Arzt kann es jederzeit früher löschen. Der Transkriptionsdienst verarbeitet das Audio ausschliesslich zur Transkription auf Grundlage der in Abschnitt 3 genannten Garantien (anerkanntes Zertifizierungsrahmenwerk, Anbieter-DPA mit Vertraulichkeits- und Löschpflichten); kein KI-Training. Die anschliessende SOAP-Generierung erfolgt in geschützten Schweizer und EU-Verarbeitungszonen, ohne dauerhafte Speicherung.
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 22 nDSG ist unter dsfa.html publiziert.
Gemäss Art. 8 nDSG: TLS 1.2/1.3 für alle Übertragungen, Token-basierte Authentifizierung mit optionaler Zwei-Faktor-Authentifizierung (TOTP), Verschlüsselung gespeicherter Daten (AES-256), Datensparsamkeit (Audio-Löschung spätestens nach 90 Tagen, Löschung der Konsultationsinhalte durch die Ärztin / den Arzt), Rate Limiting, Zugriffsprotokollierung nach Art. 4 DSV (13 Monate, getrennt aufbewahrt, ohne Inhalte), dokumentierte Incident-Response-Prozesse mit Information der Verantwortlichen und Unterstützung der Meldung an den EDÖB nach Art. 24 nDSG.
Sie haben gemäss nDSG Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung sowie Beschwerde bei einer Aufsichtsbehörde.
Anfragen an: info@blitzdoc.ch — Antwort innerhalb von 30 Tagen.
Schweiz: Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, CH-3003 Bern — www.edoeb.admin.ch
Diese Erklärung kann bei gesetzlichen Änderungen oder neuen Funktionen angepasst werden; die jeweils aktuelle Fassung ist hier abrufbar. Änderung in Version 3.5: Zugriffsprotokollierung nach Art. 4 DSV ergänzt (wer, wann, welche Konsultation — ohne Inhalte, 13 Monate getrennt aufbewahrt); Angabe zur Löschung beim Transkriptionsdienst präzisiert (Löschung auf Anweisung, anbieterseitige Sicherheitsprotokolle befristet möglich); Aufbewahrungswahl für Audio in den Einstellungen. Änderung in Version 3.4: Aufbewahrung von Audioaufnahmen präzisiert (automatische Löschung spätestens nach 90 Tagen), Klarstellung zum Stichwort-Modus (keine automatische Pseudonymisierung), TLS-Angabe (1.2/1.3), Zwei-Faktor-Authentifizierung und Verschlüsselung gespeicherter Daten ergänzt. Änderung in Version 3.3: redaktionelle Vereinheitlichung der Standortangaben (inhaltlich unverändert). Version 3.2: Präzisierung der Übermittlungsgrundlage (anerkanntes Zertifizierungsrahmenwerk); Server-Log-Aufbewahrung technisch auf 30 Tage begrenzt. Vorversionen (3.0, 3.1, 3.2) sind auf Anfrage erhältlich.