Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Expertisio
Oliver Drehsen
Milanweg 1
53797 Lohmar
mail@expertisio.de

2. Geltungsbereich und Zweck

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Dienstleistungen von Expertisio durch Auftraggeber im Versicherungsumfeld (B2B), insbesondere für Uploads medizinischer Unterlagen, deren Anonymisierung, KI‑gestützte Vorstrukturierung, fachliche Prüfung und Erstellung von Empfehlungen.

3. Kategorien verarbeiteter Daten

Identifikationsdaten: Name, E‑Mail, Ansprechpartnerdaten des Auftraggebers (sofern übermittelt).
Gesundheitsdaten: medizinische Befunde, Diagnosen, Behandlungsberichte, Gutachten (nur soweit vom Auftraggeber übermittelt).
Metadaten: Dateinamen, Upload‑Zeitpunkt, technische Protokolldaten.
Abrechnungsdaten: Rechnungsadresse, Zahlungsinformationen (Bankverbindung wird in Rechnungen genannt).

4. Rechtsgrundlagen der Verarbeitung

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung, die zur Erfüllung des mit dem Auftraggeber geschlossenen Vertrags erforderlich ist.
Einwilligung (Art. 6 Abs. 1 lit. a; Art. 9 Abs. 2 lit. a DSGVO): Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten), wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt und vom Auftraggeber dokumentiert wird.
Rechtliche Verpflichtungen und berechtigte Interessen: soweit erforderlich, z. B. zur Abrechnung oder zur Verteidigung rechtlicher Ansprüche.

5. Anonymisierung und Pseudonymisierung

Verfahren: Vor jeder KI‑Verarbeitung werden identifizierende Merkmale entfernt oder ersetzt. Zu den standardmäßig entfernten Feldern gehören Name, Geburtsdatum, Adresse, Versicherungsnummer, Telefonnummer und E‑Mail.
Art der Anonymisierung: Expertisio strebt irreversible Anonymisierung an; verbleibende Merkmale werden pseudonymisiert, wenn für die fachliche Auswertung erforderlich.
Dokumentation: Anonymisierungs‑ und Prüfprotokolle werden geführt, Verantwortliche für die Prüfung sind benannt. Rest‑Risiken und Prüfintervalle werden intern dokumentiert.

6. Zwecke der Verarbeitung

Entgegennahme, Speicherung und Verwaltung übermittelter Unterlagen.
Anonymisierung und KI‑gestützte Vorstrukturierung zur Erstellung einer fachlichen Empfehlung.
Fachliche Prüfung durch qualifiziertes Personal und Kommunikation mit dem Auftraggeber.
Abrechnung und Erfüllung vertraglicher Pflichten.
Erfüllung rechtlicher Pflichten und Verteidigung rechtlicher Ansprüche.

7. Empfänger und Subunternehmer (Auftragsverarbeiter)

Kategorien von Empfängern: Hosting‑Provider, IT‑Dienstleister, Zahlungsdienstleister, ggf. externe Prüfer.
Subunternehmer: Subunternehmer werden nur eingesetzt, wenn sie vertraglich zur Einhaltung gleicher Datenschutz‑ und Vertraulichkeitsstandards verpflichtet sind. Auf Anfrage nennt Expertisio die eingesetzten Subunternehmer.
Standorte: Verarbeitung und Hosting erfolgen primär innerhalb der EU/EEA. Falls Daten in Drittländer übermittelt werden, erfolgt dies nur mit geeigneten Garantien (z. B. EU‑Standardvertragsklauseln) — konkrete Fälle werden auf Anfrage benannt.

8. Technische und organisatorische Maßnahmen (TOM)

Beispiele der eingesetzten Maßnahmen:

Verschlüsselung: TLS für Datenübertragung; AES‑256 oder gleichwertig für Datenspeicherung.
Zugriffskontrolle: Rollenbasierte Zugriffsrechte, Zwei‑Faktor‑Authentifizierung für administrative Zugänge.
Protokollierung: Zugriff‑ und Änderungsprotokolle; regelmäßige Log‑Reviews.
Sicherheitsprüfungen: Regelmäßige Backups, Sicherheitsupdates, Penetrationstests und Sicherheitsreviews.
Vertrags‑ und organisatorische Maßnahmen: Vertraulichkeitsvereinbarungen, Schulungen für Mitarbeiter, Lösch‑ und Berechtigungskonzepte.

9. Speicherdauer und Löschung

Personenbezogene Daten: Standard‑Speicherdauer beträgt 6 Monate nach Abschluss des Einzelfalls, sofern nicht gesetzliche Aufbewahrungspflichten oder berechtigte Interessen längere Aufbewahrung erfordern.
Anonymisierte Auswertungen: Können bis zu 3 Jahre zu Dokumentations‑ und Qualitätszwecken gespeichert werden, sofern nicht anders vereinbart.
Lösch‑/Rückgabeprozess: Auf schriftliche Anweisung des Auftraggebers werden übermittelte Unterlagen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht. Löschanfragen werden protokolliert und innerhalb der gesetzlichen Fristen bearbeitet.

10. Betroffenenrechte und Verfahren

Betroffene Personen haben das Recht auf:

Auskunft über verarbeitete personenbezogene Daten;
Berichtigung unrichtiger Daten;
Löschung („Recht auf Vergessenwerden“), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen;
Einschränkung der Verarbeitung
Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format;
Widerruf erteilter Einwilligungen;
Beschwerde bei einer Aufsichtsbehörde.

Verfahren: Anfragen sind an die oben genannten Kontaktangaben zu richten. Zur Identitätsprüfung können angemessene Nachweise verlangt werden. Antworten erfolgen innerhalb der gesetzlichen Fristen.

11. Protokollierung der Einwilligung und AGB‑Zustimmung

Im Beauftragungs‑/Uploadprozess werden Einwilligungen und die Zustimmung zu AGB protokolliert (AGB‑Version, Datum, Zeitstempel, IP‑Adresse). Diese Protokolle dienen als Nachweis für die Rechtmäßigkeit der Verarbeitung.

12. Weitergabe an Dritte und automatisierte Entscheidungen

Es erfolgt keine Weitergabe personenbezogener Daten an Dritte zu Werbezwecken.
Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt; KI‑Ergebnisse werden vor Übermittlung durch qualifiziertes Personal geprüft.

13. Änderungen der Datenschutzerklärung

Expertisio kann diese Datenschutzerklärung anpassen. Wesentliche Änderungen werden auf der Website veröffentlicht und im Beauftragungsprozess hervorgehoben. Für bereits abgeschlossene Aufträge gelten die zum Zeitpunkt des Vertragsschlusses geltenden Regelungen.

14. Kontakt für Datenschutzanfragen

Datenschutzkontakt: [mail@expertisio.de]
Bitte geben Sie bei Anfragen möglichst konkrete Informationen (Art der Anfrage, betroffene Daten, Belegnummer/Fallnummer), damit wir schnell und zielgerichtet reagieren können.