VisiteWo deine Daten hinfließen und wo nicht
Nur Belegtes aus Quelltext und Spezifikation. Was offen ist, steht im Statusüberblick.
Datenfluss
-
Dein Gerät
Browser
Texterkennung und Diktat standardmäßig lokal. „Todos“ bleiben im Browser.
-
VisiteWerk
Server
Prüft Zugriff, verschlüsselt, speichert.
-
Speicherung
PostgreSQL mit Row Level Security
Jede Zeile gehört einer Praxis, fremde Zeilen werden nicht ausgeliefert.
-
Optional · nur nach deiner Aktion
Externer KI-Anbieter
OpenAI, Anthropic oder Google: mit deinem eigenen API-Schlüssel, in PRO und TEAM auch über den VisiteWerk-Zugang (Google Gemini). Immer bewusst abgeschickt.
Lesart ohne Grafik: Browser, Server, PostgreSQL. Gestrichelt: optionale Verbindung zum KI-Anbieter, nur nach deiner bewussten Aktion.
Was beim KI-Anbieter ankommt
- Nur deine bewusst eingegebene Frage, bei Bedarf mit festem Bereichslabel. Seiteninhalte, Fall- oder Patientendaten übernimmt VisiteWerk nicht automatisch.
- Bei Fachwissen mit Quellen: zuerst kurze, bereinigte Suchbegriffe an Europe PMC (standardmäßig aus), danach Frage und geprüfte Quellenauszüge an deinen Anbieter.
- Ohne verifizierten Zugang (eigener API-Schlüssel, in PRO und TEAM der VisiteWerk-Zugang) und ohne deine Zustimmung im Einzelfall passiert nichts.
- Wie lange der Anbieter Anfragen aufbewahrt, regeln dessen Bedingungen. OpenAI-Anfragen senden zusätzlich
store:false; eine anbieterübergreifende Zusage, nichts zu speichern, ergibt sich daraus nicht. - VisiteWerk erkennt Patientendaten in Freitext nicht automatisch. Gib deshalb keine ein.
Trennung der Praxen
Jede Praxis ist ein eigener Arbeitsbereich:
- Row Level Security (
FORCE) auf allen Tabellen mit Praxisbezug; ohne Kontext liefert die Datenbank keine Zeile. Ausnahmen: der Migrationsstand und ein Zähler, der nur über geschützte Funktionen erreichbar ist. - Die Praxis-Zuordnung wird pro Transaktion gesetzt.
- Die App-Datenbankrolle hat weder Superuser- noch BYPASSRLS-Recht; eine Rolle mit solchen Rechten lehnt die Einrichtung ab.
- Nutzdaten sind zusätzlich mit Praxisbezug verschlüsselt.
Grenze der Aussage: Ein Prüfbericht des Quelltexts fand keinen Datenzugriff über Praxisgrenzen hinweg. Die laufende Instanz war nicht Teil dieser Prüfung, und es gibt keine unabhängige Zertifizierung. Löschung und Export (Seite „Daten & Konto“) wurden gegen eine lokale Datenbank geprüft, nicht gegen die laufende Instanz.
Verschlüsselung
- AES-256-GCM für sensible Inhalte und API-Schlüssel, zufälliger Initialwert je Eintrag.
- E-Mail-Adressen verschlüsselt, Anmeldung über Prüfwert (HMAC).
- API-Schlüssel nie zurückgegeben, nicht im Log, nicht im Browser.
- HTTPS; HSTS wird nach jeder Aktualisierung geprüft.
- Keine Patientendaten, Anfragetexte, Modellausgaben, Schlüssel, Token oder Passwörter in Logs.
Keine Ende-zu-Ende-Verschlüsselung: Der Server entschlüsselt Inhalte, um sie zu verarbeiten. Es gibt einen Anwendungsschlüssel, keinen eigenen Schlüssel je Praxis.
Zitatpflicht
Im Wissensassistenten trägt jede Aussage mindestens ein wörtliches Zitat aus den Quellen. Der Server lehnt die Antwort ab, wenn das Zitat nicht exakt dort steht.
- Titel, Herausgeber, Datum, Adresse und Abrufdatum stammen aus Bestand oder Schnittstelle, nicht vom Modell.
- Externe Treffer tragen den Hinweis „Aktualität nicht verifiziert“.
- Der allgemeine Modus ohne Quellen steht als „Nicht quellenverifiziert“ da.
Was VisiteWerk nicht tut
- VisiteWerk diagnostiziert nicht und gibt keine Therapieentscheidung vor.
- VisiteWerk ergänzt keine medizinischen Fakten. Jedes Ergebnis ist ein Entwurf, den du prüfst.
- VisiteWerk ist derzeit nicht für echte Patientendaten freigegeben.
Status und Transparenz
| Thema | Stand | Hinweis |
|---|---|---|
| Zertifizierungen (ISO 27001, C5) | Nicht vorhanden | Row Level Security und Verschlüsselung sind technische Maßnahmen, kein Zertifikat. |
| MDR-Einordnung | Nicht abgeschlossen | VisiteWerk bietet bewusst keine Diagnose- oder Therapievorschläge an. |
| Auftragsverarbeitungsvertrag (AVV) | Muster liegt vor | Ein Muster liegt vor. Den Vertrag schließt der Betreiber mit der Praxis auf Anfrage ab. Er gehört zu den Voraussetzungen, bevor echte Patientendaten verarbeitet werden dürfen, neben Rechtsgrundlage und Datenschutz-Folgenabschätzung. |
| Echte Patientendaten | Gesperrt | Bewusste Produktentscheidung. Sie fällt erst, wenn die Voraussetzungen erfüllt sind. |
| Hosting-Standort | Angegeben | VisiteWerk läuft auf einem gemieteten Server bei Hostinger International Limited, Standort: Frankfurt am Main, Deutschland. Mehr in der Datenschutzerklärung. |
| Löschung und Export | Selbst durchführbar, mit Grenzen | Angemeldet exportierst du deine Daten als JSON und löschst Konto samt Arbeitsbereich sofort und endgültig, nicht aber bei laufendem Abo oder weiteren Mitgliedern. Sicherheitsprotokoll (ohne Personenbezug) und Datenbanksicherungen (30 Tage) bleiben bestehen. Fall-Daten gehören nicht zum Export. |
| Prüfung der Trennung der Praxen | Quelltext geprüft | Die laufende Instanz ist nicht verifiziert. Es gab keine externe Prüfung. |
| Verarbeitung beim KI-Anbieter | Beim Anbieter | Es gelten die Bedingungen des Anbieters: bei eigenem Schlüssel die deines Anbieters, beim VisiteWerk-Zugang die von Google. |
Kontakt
Kontakt im Impressum. Rechtliches: Datenschutzerklärung, AGB.