Datenschutzerklärung

Letzte Aktualisierung: Oktober 2026

Inhaltsverzeichnis

Präambel

Diese Datenschutzerklärung (die „Erklärung“) beschreibt, unter welchen Bedingungen ESPEIR (die „Gesellschaft“) personenbezogene Daten verarbeitet, und zwar im Rahmen:

  • des Aufrufs und der Nutzung der Website von ESPEIR (die „Website“);
  • sowie gegebenenfalls der Nutzung der Lösung CLARYS Medical Memory, einer auf HL7 FHIR (R4) basierenden Oberfläche zur longitudinalen klinischen Einsicht. Sie ist darauf ausgelegt, lesend auf klinische Daten und Dokumente aus Drittsystemen (KIS, Dokumentenmanagementsysteme, Dokumentenspeicher mit FHIR-Schnittstelle) zuzugreifen und diese in lesbarer, zeitlich geordneter und kontextualisierter Form darzustellen.

ESPEIR misst dem Schutz personenbezogener Daten besondere Bedeutung bei und handelt im Einklang mit der DSGVO und den geltenden Vorschriften.

1. Begriffsbestimmungen

Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Gesundheitsdaten: personenbezogene Daten, die sich auf die Gesundheit beziehen (besondere Kategorie im Sinne der DSGVO).

Verarbeitung: jeder Vorgang im Zusammenhang mit Daten (Erhebung, Abfrage, Verwendung, Anzeige usw.).

Verantwortlicher / Auftragsverarbeiter / betroffene Person: im Sinne der DSGVO.

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

2.1 ESPEIR als Verantwortlicher

ESPEIR ist Verantwortlicher für Daten im Zusammenhang mit:

  • dem Besuch der Website (technische Daten, Cookies, Sicherheit);
  • eingehenden Anfragen (Kontakt, Demo, Termine, geschäftlicher Austausch);
  • der Verwaltung der Vertragsbeziehungen mit seinen Kunden (geschäftliche Kontakte, Rechnungsstellung).

2.2 ESPEIR (und/oder CLARYS Medical Memory) als Auftragsverarbeiter

Bei der Nutzung von CLARYS Medical Memory durch eine Einrichtung (oder einen Softwarehersteller / Integrator) ist grundsätzlich der Kunde Verantwortlicher für die Gesundheitsdaten und legt die Zwecke fest (Versorgung, Zugriff auf die Patientenakte usw.).

CLARYS Medical Memory versteht sich als übergreifender Einsichtsbaustein, nachgelagert zu den datenerzeugenden Systemen, ohne ein KIS oder einen Referenzspeicher zu ersetzen. In diesem Rahmen gilt:

  • CLARYS Medical Memory greift ausschließlich lesend auf die FHIR-Server zu;
  • CLARYS Medical Memory erstellt, ändert und validiert keine klinischen Daten;
  • CLARYS Medical Memory trifft keine medizinischen Entscheidungen. Ist CLARYS Intelligence aktiviert, führt sie eine semantische Extraktion durch: Sie erkennt und strukturiert die in den Dokumenten enthaltenen Informationen mit Verweis auf die Quelle, ohne Diagnosen zu stellen oder Empfehlungen abzugeben. Die klinische Interpretation bleibt Sache der Gesundheitsfachkräfte;
  • die Verarbeitung ist durch einen Auftragsverarbeitungsvertrag (AVV / DPA) geregelt.
Je nach Bereitstellungsmodell (On-Premises oder betriebene Cloud) hat ESPEIR operativen Zugriff auf die Umgebungen des Kunden oder nicht. Dieser Umfang wird im Vertrag mit dem jeweiligen Kunden festgelegt.

3. Grundsätze der Datenverarbeitung durch ESPEIR

ESPEIR wendet die Grundsätze der DSGVO an: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit.

Produktgrundsatz von CLARYS Medical Memory (bewusst begrenzter Umfang):

  • CLARYS Medical Memory ist für die Visualisierung und die Navigation in Dokumenten konzipiert;
  • die Authentifizierung obliegt dem Identitätsanbieter des Kunden; CLARYS Medical Memory verwaltet keine eigenen Benutzerkonten und speichert lediglich Identitätsreferenzen und Anzeigepräferenzen;
  • Authentifizierung und Zugriffsprotokollierung sind serverseitig zentralisiert; die im Browser angezeigte Oberfläche verarbeitet keine Authentifizierungstoken.

5. Herkunft der Daten

  • direkt bei Ihnen (Website/Formulare/Austausch);
  • automatisch (Sicherheitsprotokolle, Cookies, sofern eingesetzt);
  • über die Quellsysteme des Kunden (FHIR-Server / IdP), wenn CLARYS Medical Memory in der Umgebung des Kunden eingesetzt wird.

6. Empfänger

Je nach Fall können folgende Stellen Zugriff auf die Daten haben:

  • berechtigte Teams von ESPEIR (nach dem Need-to-know-Prinzip);
  • vertraglich gebundene technische Dienstleister: Hosting der Website (Vercel Inc.), Reichweitenmessung (PostHog Inc., Hosting in der EU), Versand transaktionaler E-Mails (Resend), E-Mail-Dienst (Microsoft 365) sowie Hosting, Betrieb und Support von CLARYS Medical Memory;
  • zuständige Behörden, sofern eine gesetzliche Verpflichtung besteht.

Da CLARYS Medical Memory für die Integration in bestehende IT-Landschaften konzipiert ist, werden die Zugriffsregeln für klinische Daten im Wesentlichen von den vorgelagerten Systemen bestimmt (FHIR-Server / Autorisierungsmechanismen).

7. Speicherdauer

7.1 Website-Daten (ESPEIR als Verantwortlicher)

  • Kontakt-/Demo-Anfragen: höchstens 36 Monate ab dem letzten Kontakt; Bewerbungen: höchstens 24 Monate;
  • Sicherheitsprotokolle: begrenzte und angemessene Dauer.

7.2 Daten von CLARYS Medical Memory (ESPEIR als Auftragsverarbeiter)

  • Sitzungen / Präferenzen / Kontextparameter: für die Dauer, die für den Betrieb des Dienstes erforderlich ist, festgelegt mit dem Kunden bei der Einführung;
  • Protokolle/Audits: gemäß den Anforderungen des Kunden und der Sicherheitsrichtlinie;
  • klinische Daten: keine Primärspeicherung durch CLARYS Medical Memory; eine etwaige Speicherung/Persistenz erfolgt nur, wenn sie im Vertrag und in der Konfiguration vorgesehen ist (z. B. Index), mit festgelegten Fristen.

8. Hosting und Übermittlungen

CLARYS Medical Memory kann je nach Wahl des Kunden On-Premises (im Krankenhaus) oder in einer Cloud betrieben werden, die den geltenden Anforderungen entspricht (z. B. HDS-Zertifizierung, sofern erforderlich).

Grundsätzlich strebt ESPEIR für CLARYS Medical Memory einen Standort in der EU/im EWR an. Die Website wird von Vercel Inc. gehostet, und die E-Mails des Kontaktformulars werden über Resend versendet; beide Dienstleister haben ihren Sitz in den USA. Diese Übermittlungen sind durch geeignete Garantien abgesichert (Standardvertragsklauseln der Europäischen Kommission und gegebenenfalls das Data Privacy Framework).

9. Cookies und Reichweitenmessung

Die Website nutzt PostHog (PostHog Inc., Datenhosting in der Europäischen Union, in Frankfurt), um die Nutzung zu messen und die Inhalte zu verbessern.

Ohne Ihre Einwilligung erfolgt die Messung ohne Cookies und ohne Speicherung auf Ihrem Gerät: Es entstehen nur aggregierte Statistiken (Seitenaufrufe, Herkunft, Klicks), auf Basis einer serverseitig berechneten, temporären Kennung.

Mit Ihrer Einwilligung setzt PostHog Cookies und nutzt den lokalen Speicher Ihres Browsers, um Ihren Weg durch die Website nachzuvollziehen und Ihre Navigation aufzuzeichnen (Sitzungsaufzeichnung), damit Nutzungsprobleme erkannt werden. Formularfelder werden maskiert und nie aufgezeichnet.

Ihre Wahl wird höchstens 13 Monate gespeichert. Sie können sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite ändern. Rechtsgrundlage: Ihre Einwilligung für Cookies, berechtigtes Interesse für die cookielose Messung.

10. Ihre Rechte

Wenn ESPEIR Verantwortlicher ist: Recht auf Auskunft, Berichtigung, Löschung (unter bestimmten Voraussetzungen), Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit (unter bestimmten Voraussetzungen), Widerruf der Einwilligung (sofern zutreffend), Beschwerde bei der CNIL (französische Datenschutzaufsichtsbehörde).

Wenn ESPEIR bei CLARYS Medical Memory als Auftragsverarbeiter handelt: Anfragen sind grundsätzlich an den Kunden als Verantwortlichen zu richten, sofern der Vertrag keinen anderen Mechanismus vorsieht.

11. Ausübung Ihrer Rechte / Kontakt

ESPEIR

contact@espeir.com

ESPEIR antwortet innerhalb der geltenden gesetzlichen Fristen.