Compliance & Datenschutz

Therapiebericht verarbeitet besonders schützenswerte Gesundheitsdaten. Wir haben die Anwendung von Grund auf an den geltenden Schweizer und europäischen Datenschutzvorgaben ausgerichtet. Diese Seite erklärt, an welchen Regelwerken wir uns orientieren, warum sie für uns gelten und mit welchen konkreten Massnahmen wir die Anforderungen erfüllen.

Unsere Rolle

Für Patientendaten (Gesundheitsdaten) handeln wir als Auftragsbearbeiterin im Auftrag der behandelnden Therapeut:in, die verantwortliche Stelle im Sinne des nDSG ist. Für Konto- und Abrechnungsdaten der Therapeut:innen sind wir selbst verantwortliche Stelle.

Regelwerke, denen wir folgen

Schweizer Datenschutzgesetz (nDSG/DSG) und Datenschutzverordnung (DSV)

Was es ist: Das revidierte Bundesgesetz über den Datenschutz und die zugehörige Verordnung regeln die Bearbeitung von Personendaten in der Schweiz, mit erhöhten Anforderungen an besonders schützenswerte Daten wie Gesundheitsdaten.
Warum es für uns gilt: Wir bearbeiten Gesundheitsdaten von Personen in der Schweiz (Art. 5 lit. c Ziff. 2 nDSG).
Wie wir es erfüllen: Bearbeitung auf Grundlage der ausdrücklichen Einwilligung (Art. 31 nDSG), eingeholt im Onboarding
Datenminimierung und zweckgebundene Aufbewahrung (Art. 6 Abs. 3 und 4 nDSG)
Technische und organisatorische Massnahmen zur Datensicherheit (Art. 8 nDSG)
Verzeichnis der Bearbeitungstätigkeiten (Art. 12 nDSG)
Datenschutz-Folgenabschätzung für die Bearbeitung besonders schützenswerter Daten (Art. 22 nDSG)
Meldeprozess für Verletzungen der Datensicherheit an den EDÖB (Art. 24 nDSG)
Wahrung der Betroffenenrechte – Auskunft, Berichtigung, Löschung, Datenherausgabe (Art. 25–28 nDSG)
Internes Bearbeitungsreglement gemäss Art. 5 DSV

EU-Datenschutz-Grundverordnung (DSGVO/GDPR)

Was es ist: Die europäische Datenschutz-Grundverordnung regelt die Bearbeitung personenbezogener Daten von Personen in der EU und im EWR.
Warum es für uns gilt: Soweit Therapeut:innen oder Patient:innen in der EU/im EWR betroffen sind, findet die DSGVO ergänzend Anwendung.
Wie wir es erfüllen: Bearbeitung von Gesundheitsdaten auf Grundlage der ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Auftragsverarbeitungsvertrag (AVV) mit jedem Auftragsbearbeiter (Art. 28 DSGVO)
Wahrung der Betroffenenrechte – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (Art. 15–22 DSGVO)
Übermittlungsgarantien für Dienste mit US-Bezug über das Swiss-US bzw. EU-US Data Privacy Framework

EU-Verordnung über künstliche Intelligenz (EU AI Act)

Was es ist: Die EU-KI-Verordnung legt risikobasierte Pflichten für den Einsatz von KI-Systemen fest, einschliesslich Transparenzpflichten.
Warum es für uns gilt: Wir setzen KI-Modelle ein, um Therapeut:innen bei der klinischen Dokumentation zu unterstützen.
Wie wir es erfüllen: Einstufung als KI-System mit begrenztem Risiko und Erfüllung der Transparenzpflichten
Kennzeichnung KI-generierter Inhalte als „KI-generiert“
Human-in-the-Loop: alle Entwürfe werden von der Fachperson geprüft und freigegeben
Keine Diagnosen, Therapieempfehlungen oder Risikobewertungen – dadurch kein Hochrisiko-System und kein Medizinprodukt

Ärztliche Schweigepflicht / Berufsgeheimnis (Art. 321 StGB)

Was es ist: Das strafrechtlich geschützte Berufsgeheimnis verpflichtet Gesundheitsfachpersonen und ihre Hilfspersonen zur Verschwiegenheit über anvertraute Informationen.
Warum es für uns gilt: Als Auftragsbearbeiterin sind wir Hilfsperson der behandelnden Therapeut:in und in deren Geheimnispflicht einbezogen.
Wie wir es erfüllen: Pseudonymisierte Patientenidentifikatoren
Patientendaten werden ausschliesslich in der Schweiz verarbeitet und gespeichert
Kein Training von KI-Modellen mit Kundendaten
Spracheingaben werden nur flüchtig im Arbeitsspeicher verarbeitet; weder Aufnahme noch Transkription werden gespeichert

Technische und organisatorische Massnahmen

Hosting ausschliesslich in der Schweiz (Exoscale Schweiz, Microsoft Azure Schweiz Nord) für Patientendaten
Verschlüsselung bei der Übertragung und im Ruhezustand
Mandantentrennung zwischen Organisationen
Rollenbasierte Zugriffskontrolle (RBAC)
Protokollierung sicherheitsrelevanter Vorgänge

Auftragsbearbeiter

Wir setzen sorgfältig ausgewählte Auftragsbearbeiter ein und schliessen mit jedem einen Auftragsverarbeitungsvertrag ab:

Microsoft Azure (Standort: Schweiz Nord): KI-Textgenerierung und Transkription
Exoscale (Standort: Schweiz): Hosting und Datenbank
Google Vertex AI (Standort: Belgien): nur Vorlagenextraktion, keine Patientendaten
Clerk (USA, via Swiss-US Data Privacy Framework): nur Benutzerauthentifizierung, keine Patientendaten
Stripe (Irland/USA, via Data Privacy Framework): nur Zahlungs- und Abrechnungsdaten, keine Patientendaten

Ihre Rechte und Kontakt

Betreffen Ihre Daten eine Therapie (Patientendaten), wenden Sie sich bitte an die behandelnde Therapeut:in als verantwortliche Stelle. Für Konto- und Abrechnungsdaten erreichen Sie uns direkt. Anfragen beantworten wir innert 30 Tagen.

Sentürk Softverse Lab. (Einzelfirma)
Letzistrasse 8, 8730 Uznach
E-Mail: info@therapiebericht.ch

Sie haben zudem das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen: edoeb.admin.ch

Diese Seite gibt einen Überblick über unser Compliance-Programm. Detaillierte Unterlagen (Bearbeitungsreglement, DSFA, Verzeichnis der Auftragsbearbeiter) stellen wir auf Anfrage bereit.

Stand: Juni 2026