Datenschutz-Folgenabschätzung

Gemäss nDSG Art. 22 / DSGVO Art. 35 — Version 1.1, Stand 5. Juli 2026

Warum diese DSFA? BlitzDoc verarbeitet Gesundheitsdaten (besonders schützenswerte Personendaten gemäss Art. 5 lit. c DSG) mittels KI-Technologie. Dies erfordert gemäss nDSG Art. 22 eine Datenschutz-Folgenabschätzung.

1. Beschreibung der Verarbeitung

Verantwortlicher	BlitzDoc — dipl. Arzt A. Özdemir, Schweiz
System	BlitzDoc Web-Tool
Zweck	KI-gestützte Erstellung medizinischer Dokumentation (SOAP-Notizen, Arztberichte)
Betroffene	Patienten (indirekt über ärztliche Eingaben), Ärzte (als Nutzer)
Rechtsgrundlage	Einwilligung (Art. 6 Abs. 6 lit. a DSG), berechtigtes Interesse des Arztes an effizienter Dokumentation
Datenstandort	Schweizer Hosting-Architektur für die Kernplattform. Spezialisierte technische Funktionen werden temporär und vertraglich geregelt verarbeitet.

2. Verarbeitete Datenkategorien

Die Speicherdauer hängt vom gewählten Modus ab. Reine Verarbeitungsdaten werden temporär verarbeitet. Vom Arzt aktiv übernommene oder gespeicherte Dokumentationsentwürfe können in der Schweizer Cloud mit konfigurierbarer Aufbewahrungsdauer gespeichert werden.

Datenkategorie	Verarbeitungsort	Speicherdauer	Personenbezug
Arzt-Stichworte (Texteingabe)	Server (RAM)	0 Sekunden persistent	Pseudonymisiert vor Übertragung
Ambient Recording (Audio)	Browser → Schweizer Cloud → Transkriptionsdienst (Schweiz/USA, vertragliche Garantien Art. 16 ff. revDSG)	Nach Transkription gelöscht — standardmässig sofort, optional kurze Nachkontroll-Frist	Enthält Patientenstimme
Transkript (aus Audio)	Verschlüsselt in der Schweizer Cloud	Unter ärztlicher Kontrolle (bis Löschung)	Kann gesprochene Personenangaben enthalten
Bilder (OCR)	Server (RAM)	0 Sekunden persistent	Vom Nutzer bereitgestellt
API-Token	Browser (localStorage)	Bis Löschung durch Nutzer	Nutzerbezogen

3. Risikoanalyse

3.1 Identifizierte Risiken

Risiko	Eintrittswahrscheinlichkeit	Schweregrad	Risikostufe
Re-Identifikation durch seltene Diagnose-Kombinationen	Gering	Mittel	Mittel
Unbefugter Zugriff auf Audio während Transkription	Sehr gering	Hoch	Mittel
Bekanntgabe von Audio/Transkript in die USA (Speech-to-Text-Dienstleister)	Systembedingt (bei Ambient/Diktat)	Mittel	Mittel
Aufnahme ohne Patienteneinwilligung	Gering (technisch abgesichert)	Hoch	Mittel
KI generiert falsche medizinische Informationen	Mittel	Mittel	Mittel
Datenverlust durch Server-Ausfall	Gering	Gering	Gering
Token-Diebstahl durch Phishing	Gering	Mittel	Gering

3.2 Getroffene Massnahmen

Risiko	Massnahme	Restrisiko
Re-Identifikation	Im Stichwort-Modus lokale Pseudonymisierung (Patientennamen, AHV-Nr., Geburtsdaten). Audioaufnahmen werden nach der Transkription gelöscht; Aufbewahrung der Konsultationsinhalte konfigurierbar / unter ärztlicher Kontrolle.	Gering
Unbefugter Audio-Zugriff	TLS 1.3 Verschlüsselung. Audio nur temporär verarbeitet und nicht dauerhaft gespeichert. Kein Streaming während Aufnahme.	Gering
US-Bekanntgabe (Transkription)	Der US-Dienstleister ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert; ergänzend vertragliche Garantien nach Art. 16 ff. revDSG (AVV/DPA mit Lösch- und Vertraulichkeitspflichten). Delete-after-Transcription: Transkriptionsdaten werden beim Dienstleister unmittelbar nach der Verarbeitung gelöscht; Rohaudio wird standardmässig sofort gelöscht. Kein KI-Training durch BlitzDoc. Technische Absicherung: clientseitige Modellwahl ist serverseitig auf Schweizer/EU-Verarbeitungszonen begrenzt (Residency-Gate).	Gering
Aufnahme ohne Einwilligung	Das System fragt aktiv nach Bestätigung vor Aufnahmestart. Einwilligungsformular als Vorlage bereitgestellt. Hinweis auf Art. 179^ter StGB in der Benutzeroberfläche.	Gering
Falsche KI-Informationen	Arzt prüft und genehmigt jeden generierten Text. Keine automatische Eintragung ohne Bestätigung. Klare Kennzeichnung als «Vorschlag». Zweckbestimmung dokumentiert.	Gering
Datenverlust	Das Audio wird zur Verarbeitung in die Schweizer Cloud übertragen und nach der Transkription gelöscht — standardmässig sofort, optional nach einer kurzen ärztlichen Nachkontroll-Frist. Transkript und Dokumentation werden verschlüsselt in der Schweizer Cloud mit vom Arzt kontrollierter Aufbewahrung gespeichert.	Minimal
Token-Diebstahl	Token in localStorage (Browser-lokal, nicht über URL exponiert). UUID-Format (kryptografisch zufällig). Rate Limiting gegen Brute-Force.	Gering

4. Ambient Recording — Spezifische Bewertung

Die Sprachaufnahme-Funktion erfordert besondere Aufmerksamkeit, da sie Patientenstimmen verarbeitet:

Aspekt	Massnahme
Einwilligung	Pflicht gemäss Art. 179^ter StGB. Vorlage bereitgestellt (Einwilligungsformular). Das System fragt vor jeder Aufnahme.
Aufnahme	Aufnahme im Browser; segmentierte, verschlüsselte Übertragung zur Transkription.
Transkription	Verarbeitung über vertraglich gebundene Transkriptionsdienste (Schweiz und USA; vertragliche Garantien nach Art. 16 ff. revDSG). Transkriptionsdaten werden beim Dienstleister unmittelbar nach der Verarbeitung gelöscht.
Pseudonymisierung	Im Stichwort-Modus werden Patientennamen, AHV-Nr. und Geburtsdaten vor der Übertragung pseudonymisiert. Ambient-Transkripte können gesprochene Personenangaben enthalten und werden verschlüsselt gespeichert.
KI-Verarbeitung	In geschützten Schweizer und EU-Verarbeitungszonen, ohne dauerhafte Speicherung; gemäss Vertrag/AVV/Subprozessorenliste.
Speicherung	Audio wird nach der Transkription gelöscht (standardmässig sofort). Transkript und SOAP-Ergebnis werden in der Schweizer Cloud mit vom Arzt kontrollierter Aufbewahrung gespeichert.

5. Technische und organisatorische Massnahmen (TOM)

Verschlüsselung: TLS 1.3 für alle Übertragungen, HTTPS-Only
Authentifizierung: Token-basierte API-Authentifizierung (UUID)
Datensparsamkeit: Audio-Löschung nach Transkription, konfigurierbare Aufbewahrung der Konsultationsinhalte, Verarbeitung in der Schweizer Cloud
Pseudonymisierung: Pseudonymisierung von Patientenidentifikatoren vor Serverübertragung (Stichwort-/Verlaufs-Modus); Audio-Löschung nach Transkription
Serverstandort: Schweizer Hosting-Architektur für die Kernplattform; Spezialfunktionen gemäss Vertrag/AVV/Subprozessorenliste.
Privacy by Design: Optionale Funktionen (Diktat, OCR, Ambient Recording) standardmässig deaktiviert
Rate Limiting: Schutz vor Missbrauch und Überlastung
Auftragsverarbeitung: Vertraglich geregelte Auftragsverarbeitung mit dokumentierten technischen Dienstleistern
Zugriffskontrolle: Pro-Nutzer-Token, keine geteilten Credentials

6. Ergebnis der Folgenabschätzung

✓ Das Restrisiko ist tragbar. Die getroffenen technischen und organisatorischen Massnahmen reduzieren alle identifizierten Risiken auf ein akzeptables Niveau. Insbesondere:

Audio-Löschung nach der Transkription; konfigurierbare, vom Arzt kontrollierte Aufbewahrung der Konsultationsinhalte in der Schweizer Cloud
Automatische Pseudonymisierung vor jeder Serverübertragung
Schweizer Hosting-Architektur, temporäre Verarbeitung und vertraglich geregelte Spezialfunktionen
Ärztliche Prüfpflicht als letzte Kontrollinstanz
Patienteneinwilligung bei Sprachaufnahme obligatorisch

7. Überprüfung

Diese DSFA wird bei wesentlichen Änderungen der Verarbeitungsprozesse, bei Einführung neuer Funktionen oder mindestens jährlich überprüft und aktualisiert.

8. Kontakt

BlitzDoc — Datenschutz
E-Mail: info@blitzdoc.ch
Website: https://blitzdoc.ch

Erstellt: 4. März 2026 — Nächste Überprüfung: März 2027