DokuDachs: Datenschutz und Serverstandort
Was DokuDachs zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Gut aufgestellt: AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten.
Hetzner-Plattform und verschlüsselte Sicherungen liegen in Deutschland und Finnland. Soniox-Spracherkennung und Azure-KI nutzen EU-Regionen. Vorübergehende Soniox-Dateien und Transkriptionsressourcen werden nach der Verarbeitung gelöscht. Azure kann auffällige Inhalte getrennt speichern und von autorisierten Mitarbeitenden im Europäischen Wirtschaftsraum prüfen lassen. Zugriffe des Soniox-Supports aus den USA sind durch Standardvertragsklauseln abgesichert. Therapieinhalte werden nicht zum Modelltraining genutzt.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | Sicherheitsseite und AVV beschreiben die Auftragsverarbeitung nach DSGVO und den regionalen Schutz der Therapieinhalte. Quelle: dokudachs.de |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Öffentlicher Datenverarbeitungsvertrag mit ausführlicher Unterauftragsverarbeiterliste, Stand August 2026. Quelle: dokudachs.de |
| Speicherort | EU | Gespeichert wird laut Dokumentation in der EU. Quellen 1: dokudachs.de 2: dokudachs.de |
| Verarbeitungsort | EU | Verarbeitet wird laut Dokumentation in der EU, für Support und andere betriebliche Zwecke auch in den USA. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: dokudachs.de 2: dokudachs.de |
| Training mit Kundendaten | Ausgeschlossen | Laut Sicherheitsseite und AVV trainiert DokuDachs keine Modelle mit Therapieinhalten. Quelle: dokudachs.de |
| Ort der Spracherkennung | In der Cloud | Im Modus Präzise nimmt DokuDachs lokal auf, die Spracherkennung läuft aber bei Soniox in der EU. Quelle: dokudachs.de |
| Einsatz mit Gesundheitsdaten | Vorgesehen | Der AVV regelt psychotherapeutische Gesundheitsdaten und ihre Verarbeitung in Europa. Quelle: dokudachs.de |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Deutschland und Finnland | Plattform und vorübergehende Uploads liegen bei Hetzner in Deutschland, verschlüsselte Sicherungen in Helsinki. Persönliche Schlüssel schützen gespeicherte Inhalte. Quelle: dokudachs.de |
| Speicherung | Temporäre Soniox-Ressourcen | Im Modus Präzise angelegte Audio- und Transkriptionsressourcen bleiben in der eingestellten EU-Region und werden direkt nach der Verarbeitung gelöscht. Quellen 1: dokudachs.de 2: dokudachs.de |
| Speicherung | Azure-Sicherheitsprüfung innerhalb der gewählten Geografie | Die Missbrauchsüberwachung von Azure prüft Inhalte automatisiert. Als missbräuchlich eingestufte Eingaben oder Ausgaben können in einem getrennten Azure-Speicher liegen und von besonders autorisierten Mitarbeitenden geprüft werden. Bei Bereitstellung im Europäischen Wirtschaftsraum (EWR) bleiben sie im EWR. Eine Aufbewahrungsfrist nennt DokuDachs nicht. Für Training werden diese Inhalte nicht genutzt. Quellen 1: dokudachs.de 2: dokudachs.de |
| Verarbeitung | EU-Endpunkte | Soniox übernimmt die Spracherkennung, Microsoft Azure in der EU die Text-KI. Für die Verarbeitung werden die Inhalte kurzzeitig entschlüsselt. Quelle: dokudachs.de |
| Verarbeitung | USA für Soniox-Support | Laut AVV-Anlage kann Soniox für Support und Administration aus den USA zugreifen, abgesichert durch Standardvertragsklauseln. Die Spracherkennung selbst läuft in der EU. Quelle: dokudachs.de |
| Verarbeitung | Azure-Inhaltsprüfung im EWR | Azure überwacht Inhalte automatisiert auf Missbrauch. Auffällige Inhalte können besonders autorisierte Microsoft-Mitarbeitende im EWR prüfen. Die Prüfung dient der Sicherheit, nicht dem Modelltraining. Quellen 1: dokudachs.de 2: dokudachs.de |
Zertifikate und Nachweise
ISO/IEC 27001 (Infrastruktur) · Gilt für Soniox als Unterauftragsverarbeiter für die Spracherkennung, nicht für DokuDachs selbst. Quelle: dokudachs.de
SOC 2 Typ 2 (Infrastruktur) · Gilt laut AVV für Soniox als Unterauftragsverarbeiter. Quelle: dokudachs.de
BSI C5 (Infrastruktur) · Gilt laut AVV für Hetzner und Microsoft Azure als Unterauftragsverarbeiter für Infrastruktur und KI. Quelle: dokudachs.de
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von DokuDachs, als Dienstleister belegt durch Herstellerangaben, einzelne Modelle nach Einschätzung von ScribeIndex. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft, bei Azure OpenAI also Microsoft. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Soniox: Soniox-Spracherkennung · Spracherkennung. Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
- Microsoft: OpenAI GPT-Modelle über Azure OpenAI · Dokumenterstellung (Modell geschätzt). Dienstleister belegt
Vor dem Einsatz mit Patientendaten
- AVV mit DokuDachs abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- DokuDachs nennt ein Testat nach BSI C5 für die Infrastruktur. In Praxen und Kliniken klären, ob DokuDachs für § 393 SGB V auch ein Testat für den Dienst selbst vorlegt.
- In Praxen und Kliniken DokuDachs schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist DokuDachs DSGVO-konform?
DokuDachs erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert wird in der EU. Verarbeitet wird in der EU (EU-Endpunkte). Für Support und andere betriebliche Zwecke werden Daten zusätzlich in den USA verarbeitet. Welche Dienstleister das sind, steht im Datenschutzprofil unter „Regionen im Detail“. Kundendaten werden laut Anbieter nicht für das Training eigener Modelle verwendet. ScribeIndex stuft den Datenschutz von DokuDachs als „Gut aufgestellt“ ein (AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten).
Wo speichert DokuDachs Daten?
DokuDachs speichert Daten in der EU.
- Deutschland und Finnland:
Plattform und vorübergehende Uploads liegen bei Hetzner in Deutschland, verschlüsselte Sicherungen in Helsinki. Persönliche Schlüssel schützen gespeicherte Inhalte. - Temporäre Soniox-Ressourcen:
Im Modus Präzise angelegte Audio- und Transkriptionsressourcen bleiben in der eingestellten EU-Region und werden direkt nach der Verarbeitung gelöscht. - Azure-Sicherheitsprüfung innerhalb der gewählten Geografie:
Die Missbrauchsüberwachung von Azure prüft Inhalte automatisiert. Als missbräuchlich eingestufte Eingaben oder Ausgaben können in einem getrennten Azure-Speicher liegen und von besonders autorisierten Mitarbeitenden geprüft werden. Bei Bereitstellung im Europäischen Wirtschaftsraum (EWR) bleiben sie im EWR. Eine Aufbewahrungsfrist nennt DokuDachs nicht. Für Training werden diese Inhalte nicht genutzt.
Nutzt DokuDachs Gesprächsdaten für KI-Training?
Laut Sicherheitsseite und AVV trainiert DokuDachs keine Modelle mit Therapieinhalten.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von DokuDachs.
- DokuDachs: Sicherheitsarchitektur dokudachs.de · abgerufen am 5. Oktober 2026
- DokuDachs: AVV August 2026 dokudachs.de · abgerufen am 5. Oktober 2026
- DokuDachs: produktbezogener Datenschutz August 2026 dokudachs.de · abgerufen am 5. Oktober 2026