Datenschutzerklärung

Zuletzt aktualisiert: 1. September 2026

Einleitung

Die Synduct GmbH („Synduct", „wir", „uns", „unser") betreibt https://synduct.com und DR. INFO AI (zusammen die „Dienste").

Diese Datenschutzerklärung regelt Ihren Besuch auf https://synduct.com und Ihre Nutzung von DR. INFO AI und erläutert, wie wir die durch die Nutzung der Dienste anfallenden Informationen erheben, schützen und offenlegen.

Wir verwenden Ihre Daten zur Bereitstellung und Verbesserung der Dienste. Mit der Nutzung erklären Sie sich mit der Erhebung und Verwendung Ihrer Daten gemäß dieser Erklärung einverstanden. Unsere Allgemeinen Geschäftsbedingungen („AGB") und diese Datenschutzerklärung gelten für jede Nutzung unserer Dienste.

Begriffsbestimmungen

Erhobene Datenkategorien

Personenbezogene Daten

Wir können Sie um Angaben bitten, die zur Kontaktaufnahme oder Identifizierung verwendet werden können, insbesondere:

• E-Mail-Adresse
• Vor- und Nachname
• Beruf
• Berufserfahrung in Jahren
• Arbeitsort
• Einrichtung
• Fachgebiete
• Land
• Cookies und Nutzungsdaten

Wir können Ihre personenbezogenen Daten verwenden, um Sie mit Newslettern, Marketing- oder Werbematerialien und sonstigen Informationen (z. B. einer Warteliste für den Start von DR. INFO AI) zu kontaktieren. Sie können sich jederzeit über den Abmeldelink in unseren E-Mails von solchen Mitteilungen abmelden.

Nutzungsdaten

Wir können Informationen erheben, die Ihr Browser oder Ihre App beim Zugriff auf die Dienste übermittelt, etwa:

• IP-Adresse
• Browsertyp und -version
• besuchte Seiten unserer Dienste
• Datum und Uhrzeit des Besuchs
• auf Seiten/in der App verbrachte Zeit
• eindeutige Gerätekennungen
• sonstige Diagnosedaten

Beim Zugriff auf die Dienste über ein Mobilgerät können zusätzlich Nutzungsdaten erhoben werden, etwa:

• eindeutige Mobilgeräte-ID
• Mobilgeräte-IP-Adresse
• mobiles Betriebssystem
• Typ des verwendeten mobilen Internetbrowsers

Verwendung der Daten

Synduct verwendet die erhobenen Daten unter anderem zu folgenden Zwecken:

• Sie über Änderungen der Dienste zu informieren
• Kundensupport bereitzustellen
• Analysen oder wertvolle Informationen zur Verbesserung der Dienste zu sammeln
• die Nutzung der Dienste zu überwachen
• technische Probleme zu erkennen, zu verhindern und zu beheben
• den Zweck zu erfüllen, für den Sie die Daten bereitgestellt haben
• vertragliche Pflichten zwischen Ihnen und uns zu erfüllen und Rechte daraus durchzusetzen (einschließlich Abrechnung und Inkasso)
• Mitteilungen zu Ihrem Konto oder Abonnement zu versenden (z. B. Ablauf oder Verlängerung)
• Neuigkeiten oder Sonderangebote bereitzustellen
• alle weiteren Zwecke, die bei der Datenerhebung beschrieben wurden
• alle weiteren Zwecke mit Ihrer Einwilligung

Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die in dieser Datenschutzerklärung dargelegten Zwecke erforderlich ist. Kontodaten werden für die Dauer Ihres Kontos gespeichert und bei dessen Schließung gelöscht. Vorübergehende Verarbeitungskopien werden innerhalb von 24 Stunden nach Abschluss der jeweiligen Aufgabe gelöscht. Sicherungskopien werden im Rahmen der Backup-Rotation, spätestens jedoch nach 90 Tagen, gelöscht. Für die Funktionen Scribe und Reports richten sich die Speicherfristen nach dem jeweils geltenden Auftragsverarbeitungsvertrag (siehe nachstehenden Abschnitt „Scribe und klinische Dokumentation“). Darüber hinaus speichern wir Daten, soweit dies zur Erfüllung rechtlicher Verpflichtungen, zur Beilegung von Streitigkeiten und zur Durchsetzung von Vereinbarungen erforderlich ist.

Datenübermittlung

Patientendaten, die über die Funktionen Scribe und Reports verarbeitet werden, werden ausschließlich innerhalb der EU/des EWR verarbeitet (und, im Falle der Sprache-zu-Text-Transkription, im Vereinigten Königreich auf der Grundlage eines Angemessenheitsbeschlusses der EU); sie werden zu keinem Zeitpunkt in die Vereinigten Staaten übermittelt. In begrenztem Umfang können nicht-klinische Daten (beispielsweise Website-Analysen und, sofern Sie einwilligen, die Werbewirkungsmessung von Meta) von Anbietern mit Sitz in den Vereinigten Staaten verarbeitet werden. Für derartige Übermittlungen stützen wir uns auf das EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, sowie hilfsweise auf Standardvertragsklauseln gemäß Art. 46 DSGVO in Verbindung mit ergänzenden technischen und organisatorischen Maßnahmen. Eine Übermittlung findet nur statt, wenn diese Garantien vorliegen.

KI-Dienste von Drittanbietern

Für die KI-Suche und die Sprachsuche greift DR. INFO auf Dienste Dritter zurück, um Antworten auf klinische Fragen zu generieren, einschlägige medizinische Fachliteratur abzurufen und Spracheingaben zu transkribieren. Zur Generierung medizinischer Antworten und zur Transkription der Audioeingaben der Sprachsuche setzen wir Google Gemini (über Google Cloud Vertex AI, EU-Region) ein sowie Tavily zum Abruf einschlägiger klinischer Quellen aus maßgeblicher medizinischer Fachliteratur. Die Funktion Scribe wird gesondert im nachstehenden Abschnitt „Scribe und klinische Dokumentation“ beschrieben.

Für die Such- und Sprachsuchfunktionen übermitteln wir an diese Anbieter ausschließlich den Text Ihrer klinischen Frage (oder, im Falle der Sprachsuche, die Audioaufnahme Ihrer gesprochenen Anfrage). Wir übermitteln weder Ihren Namen, Ihre E-Mail-Adresse, Ihre Kontokennung, Ihre Gerätekennung, Ihre IP-Adresse, Ihren Standort noch irgendwelche Patienteninformationen. Dies gilt nicht für die Funktion Scribe, die Patientendaten wie nachstehend beschrieben verarbeitet.

Die Verarbeitung erfolgt auf der Rechtsgrundlage der Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO, um den von Ihnen angeforderten Dienst bereitzustellen. Soweit Daten in die Vereinigten Staaten übermittelt werden, sind diese Übermittlungen durch EU-Standardvertragsklauseln und, sofern anwendbar, durch den EU-US Data Privacy Framework geschützt.

Indem Sie die KI-Suche oder die Sprachsuche in DR. INFO nutzen, erteilen Sie Ihre ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO in die Verarbeitung Ihres Anfragetextes und Ihrer Sprachaufnahmen durch die oben genannten KI-Anbieter. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie die Nutzung dieser Funktionen einstellen.

Anfragedaten werden nur für die zur Beantwortung erforderliche Zeit gespeichert, nicht zum Training von KI-Modellen verwendet und nicht über das zur Bereitstellung der Antwort erforderliche Maß hinaus an weitere Dritte weitergegeben.

Verarbeitung und Weitergabe von Anfragen

Bei der Nutzung der Suchfunktionen erheben wir die von Ihnen eingegebenen medizinischen Suchanfragen. Diese Anfragen werden zu keinem Zeitpunkt mit Ihren persönlichen Angaben verknüpft und dürfen keine patientenidentifizierenden Informationen enthalten. Diese Beschränkung gilt ausschließlich für die Suchfunktionen; die Funktionen Scribe und Reports werden nachstehend gesondert beschrieben.

Wir sind berechtigt, Suchanfragen auszuwerten, zu aggregieren und zu anonymisieren. Anonymisierte oder aggregierte Suchanfragedaten können zu Forschungs- oder Analysezwecken an Dritte (etwa Forschungseinrichtungen oder Einrichtungen des Gesundheitswesens) weitergegeben werden. Derartige Daten enthalten zu keinem Zeitpunkt Ihre personenbezogenen Daten und lassen sich nach vernünftigem Ermessen nicht auf Sie zurückführen. Zur Klarstellung: Aufnahmen von Konsultationen, Transkripte, Notizen, Arztbriefe und Berichte, die über die Funktionen Scribe und Reports erstellt werden, sind hiervon zu keinem Zeitpunkt umfasst, werden nicht verkauft und nicht für Forschungszwecke verwendet; klinische Inhalte dieser Art werden ausschließlich pseudonymisiert und weder verkauft noch zweckentfremdet.

Scribe und Reports – Verarbeitung von Patientendaten

Bei Patientendaten, die über Scribe und Reports / Discharge Letter verarbeitet werden, wird Synduct grundsätzlich als Auftragsverarbeiter im Auftrag des den Dienst nutzenden Leistungserbringers tätig. Der Leistungserbringer bleibt für die einschlägige Rechtsgrundlage, die Information der betroffenen Patientinnen und Patienten sowie – soweit einschlägig – für die Wahrnehmung der Betroffenenrechte und die Verwaltung von Einwilligungen verantwortlich. Synduct unterstützt den Verantwortlichen nach Maßgabe des Auftragsverarbeitungsvertrags (AVV).

Je nach genutzter Funktion (Scribe oder Reports / Discharge Letter) kann die Verarbeitung Gesprächsaufzeichnungen, Gesprächstranskripte, klinische Notizen, Diagnosen, Angaben zu Medikation und Behandlung, hochgeladene klinische Dokumente sowie Entwürfe von Berichten, Zusammenfassungen und Entlassbriefen umfassen. Diese Daten können Gesundheitsdaten im Sinne des Art. 9 DSGVO darstellen.

Bei Scribe werden die Gesprächsaufzeichnungen zur Sprache-zu-Text-Transkription übermittelt; das daraus entstehende Transkript kann weiterverarbeitet werden, um eine Entwurfsdokumentation zu strukturieren. Bei Reports / Discharge Letter werden die übermittelten klinischen Informationen zur Extraktion, Strukturierung und Erstellung eines Dokumentenentwurfs verarbeitet. Das konkrete Verarbeitungsprofil, die Unterauftragsverarbeiter und die Speicherfristen bestimmen sich nach dem jeweils geltenden AVV und dessen einschlägigen Anlagen.

Nach dem derzeit dokumentierten Modell sollen die Scribe-Audiodaten innerhalb von fünf Minuten nach der Transkription gelöscht werden. Sonstige vorübergehende Kopien und generierte Inhalte werden nach Maßgabe des jeweils geltenden Verarbeitungsprofils sowie des Speicher- und Löschkonzepts aufbewahrt oder gelöscht. Soweit aus Patientendaten abgeleitete Dokumentationen im Dienst gespeichert bleiben, unterliegen sie für die Dauer ihres Charakters als personenbezogene Daten weiterhin den Weisungen des Verantwortlichen, den einschlägigen Betroffenenrechten und den geltenden Speicherregelungen.

Identifizierbare oder pseudonymisierte Patientendaten, die über Scribe und Reports verarbeitet werden, werden von Synduct nicht zum Training, zur Feinabstimmung (Fine-Tuning) oder zur Evaluierung von KI-Modellen verwendet. Scribe-Aufzeichnungen, -Transkripte und aus Scribe abgeleitete Einträge in der Patientenakte sind von etwaigen gesonderten Programmen mit anonymisierten Trainingsdaten nach dem derzeitigen AVV-Rahmen ausgenommen.

Patientinnen und Patienten sollten Rechte in Bezug auf Patientendaten grundsätzlich gegenüber dem als Verantwortlicher handelnden Leistungserbringer geltend machen. Geht bei Synduct ein Antrag ein, der Patientendaten betrifft, die im Auftrag eines Verantwortlichen verarbeitet werden, leitet Synduct den Antrag an den betreffenden Verantwortlichen weiter und unterstützt diesen nach Maßgabe des AVV.

Offenlegung von Daten

Wir können personenbezogene Daten offenlegen:

• zur Erfüllung gesetzlicher Pflichten oder zulässiger behördlicher Anfragen
• an Auftragnehmer, Dienstleister und andere Dritte, die unser Geschäft unterstützen
• zur Erfüllung des Zwecks, für den Sie die Daten bereitgestellt haben
• in jedem anderen Fall mit Ihrer Einwilligung

Datensicherheit

Wir setzen robuste technische und organisatorische Maßnahmen ein, um personenbezogene Daten (einschließlich besonderer Kategorien personenbezogener Daten wie Gesundheitsdaten gemäß Art. 9 DSGVO) vor unbefugtem Zugriff, unbefugter Offenlegung, Veränderung, Verlust oder Zerstörung zu schützen, darunter:

• Verschlüsselung
• Zugriffskontrollen
• Pseudonymisierung und De-Identifikation
• regelmäßige Audits und Tests
• sichere Infrastruktur
• Mitarbeiterschulungen

Trotz dieser Maßnahmen ist keine Übertragungs- oder elektronische Speichermethode zu 100 % sicher; absolute Sicherheit kann daher nicht garantiert werden.

Ihre Rechte nach der DSGVO

Unsere Verarbeitungstätigkeiten halten sich an die Grundsätze der Datenschutz-Grundverordnung (DSGVO). Um Auskunft über bei uns gespeicherte personenbezogene Daten zu erhalten, sie zu aktualisieren oder zu löschen, schreiben Sie an info@synduct.com.

Unter bestimmten Voraussetzungen haben Sie das Recht:

• auf Auskunft, Aktualisierung oder Löschung Ihrer Informationen
• auf Berichtigung unrichtiger oder unvollständiger Daten
• auf Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten
• auf Einschränkung der Verarbeitung
• auf Erhalt einer Kopie Ihrer Daten in einem strukturierten, maschinenlesbaren Format
• Ihre Einwilligung jederzeit zu widerrufen, sofern wir die Verarbeitung auf Ihre Einwilligung stützen

Vor der Erfüllung derartiger Anträge können wir eine Überprüfung Ihrer Identität verlangen. Ihnen steht ferner das Recht zu, bei der für Sie zuständigen Aufsichtsbehörde Beschwerde einzulegen. Unsere federführende Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

Dienstleister

Wir können Drittunternehmen und Einzelpersonen einsetzen, um unsere Dienste zu erleichtern, dienstbezogene Aufgaben zu erfüllen oder uns bei der Analyse der Nutzung der Dienste zu unterstützen. Diese Dritten haben nur insoweit Zugang zu personenbezogenen Daten, wie es zur Ausführung der Aufgaben in unserem Auftrag erforderlich ist, und sind verpflichtet, sie nicht offenzulegen oder für andere Zwecke zu verwenden.

Zu unseren derzeitigen Auftragsverarbeitern zählen:

• Google Cloud EMEA Ltd. (Cloud-Infrastruktur, Datenbank, Nutzerauthentifizierung sowie KI-Verarbeitung über Vertex AI)
• Vercel Inc. (Hosting und Analytics)
• Microsoft Corporation (Azure-Dienste)
• Firebase (Authentifizierung)
• Meta Platforms Ireland Ltd. (Werbung und Conversion-Messung — gemeinsam Verantwortlicher gemäß Art. 26 DSGVO)
• Speechmatics Ltd. (Sprache-zu-Text-Transkription für die Funktion Scribe)

Analysetools

Google Analytics

Wir verwenden Google Analytics, um den Website-Datenverkehr zu erfassen und auszuwerten. Google kann die erhobenen Daten verwenden, um die eigenen Werbenetzwerke zu kontextualisieren und zu personalisieren. Weitere Informationen finden Sie in Googles Datenschutzerklärung und den Hinweisen zum Datenschutz. Google Analytics wird ausschließlich auf unserer öffentlichen Website eingesetzt; es wird nicht innerhalb der klinischen DR. INFO-Anwendung oder der Funktionen Scribe und Reports verwendet und verarbeitet keinerlei Patientendaten.

Vercel Analytics

Wir setzen Vercel Analytics zur Überwachung der Hosting-Leistung und zur Erhebung aggregierter Nutzungsstatistiken ein. Weitere Informationen zur Verarbeitung dieser Daten finden Sie in der Datenschutzerklärung von Vercel.

Meta Pixel

Wir setzen das Meta Pixel der Meta Platforms Ireland Ltd. zu Werbezwecken auf Meta-Plattformen, zur Conversion-Attribution sowie zur Erstellung von Custom Audiences und Lookalike Audiences ein. Das Meta Pixel wird ausschließlich nach Ihrer ausdrücklichen Einwilligung in Targeting- und Werbe-Cookies geladen. Die Synduct GmbH und die Meta Platforms Ireland Ltd. sind im Sinne des Artikels 26 DSGVO gemeinsam Verantwortliche für diese Verarbeitung; die einschlägigen Festlegungen zur gemeinsamen Verantwortlichkeit ergeben sich aus dem Controller Addendum von Meta (facebook.com/legal/controller_addendum). Eine Übermittlung an die Meta Platforms, Inc. in den Vereinigten Staaten erfolgt unter den im Abschnitt „Datenübermittlung“ genannten Garantien. Das Meta-Pixel wird ausschließlich auf unserer öffentlichen Website eingesetzt; es wird nicht innerhalb der klinischen DR. INFO-Anwendung oder der Funktionen Scribe und Reports verwendet und verarbeitet keinerlei Patientendaten.

Zahlungen

Für kostenpflichtige Produkte oder Dienste setzen wir Drittanbieter-Zahlungsdienstleister ein. Wir speichern Ihre Zahlungskartendaten nicht; sie werden direkt an den Zahlungsdienstleister übermittelt, dessen Umgang mit Ihren Daten dessen eigener Datenschutzerklärung unterliegt.

Links zu anderen Seiten

Unsere Dienste können Links zu externen Websites enthalten, die nicht von uns betrieben werden. Wir empfehlen Ihnen dringend, die Datenschutzerklärung jeder von Ihnen besuchten Seite zu lesen. Wir haben keinen Einfluss auf und übernehmen keine Verantwortung für Inhalte oder Praktiken von Drittanbieter-Websites oder -Diensten.

Datenschutz für Kinder

Unsere Dienste richten sich an approbierte medizinische Fachkräfte und sind nicht für Personen unter 18 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren. Sollten wir Kenntnis von einer solchen Erhebung erlangen, werden wir die Daten unverzüglich löschen.

Aktualisierungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir werden Sie über Änderungen informieren, indem wir die neue Erklärung veröffentlichen, das Datum der Inkraftsetzung aktualisieren und Sie gegebenenfalls per E-Mail oder einem deutlich sichtbaren Hinweis innerhalb der Dienste benachrichtigen. Änderungen werden mit Veröffentlichung wirksam.

Kontakt

Wenn Sie Fragen zu dieser Datenschutzerklärung haben, kontaktieren Sie uns unter:

Datenschutz-Kontakt

Bei Fragen, Anträgen oder Beschwerden im Zusammenhang mit der Verarbeitung Ihrer personenbezogenen Daten können Sie sich an unser Datenschutzteam wenden: