Heidi Health: Datenschutz und Serverstandort
Was Heidi zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Mit Einschränkungen: Verarbeitung teils außerhalb der EU, teils ohne Ortsangabe.
Heidi bietet einen AVV und regionales Hosting bei AWS und Microsoft Azure. Für Deutschland nennt Heidi Hosting in Deutschland und Verarbeitung im EWR. Das globale DPA schließt KI-Training mit Kundendaten aus. Die Unterauftragsverarbeiterliste nennt zusätzlich Azure-Regionen außerhalb der EU und Google Cloud ohne Regionsangabe. Welcher Cloud-Anbieter die deutsche Umgebung stellt, nennt Heidi nicht.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | Heidi erklärt für das Angebot in Deutschland, die Anforderungen der DSGVO zu erfüllen. Quelle: heidihealth.com |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Heidi bietet einen deutschsprachigen AVV nach Art. 28 DSGVO an. Das globale DPA vom 29. September 2026 regelt die Verarbeitung auf dokumentierte Weisung. Quelle: heidihealth.com |
| Speicherort | EU verfügbar (Eine reine EU-Region ist möglich, prüfen Sie die eingestellte Region Ihres Kontos) | Gespeichert wird laut Dokumentation wahlweise in der EU, im Vereinigten Königreich, in den USA oder in weiteren Ländern. Quellen 1: heidihealth.com 2: heidihealth.com 3: trust.heidihealth.com |
| Verarbeitungsort | EU und Drittländer, teils ohne Angabe (Für einzelne Verarbeitungsschritte nennt der Anbieter keinen Ort) | Verarbeitet wird laut Dokumentation in der EU, in den USA, in weiteren Ländern und teils an nicht genannten Orten. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: heidihealth.com 2: heidihealth.com 3: trust.heidihealth.com 4: heidihealth.com |
| Training mit Kundendaten | Ausgeschlossen | Der globale Auftragsverarbeitungsvertrag (DPA) vom 29. September 2026 verbietet KI-Training und Fine-Tuning mit Kundendaten und erzeugten Ergebnissen, bei Heidi und bei Dritten. Das Verbot gilt auch für deidentifizierte Daten. Zulässige Tests dürfen keine Modellgewichte verändern. Quelle: heidihealth.com |
| Ort der Spracherkennung | In der Cloud | Aufnahmen auf dem Gerät werden zur Transkription und weiteren Verarbeitung an die Plattform übertragen. Die Spracherkennung läuft nicht lokal. Quelle: heidihealth.com |
| Einsatz mit Gesundheitsdaten | Vorgesehen | Heidi richtet das Deutschland-Angebot an Praxen und Kliniken. Patientendaten verlassen laut Compliance-Seite den EWR nicht. Personenbezogene Daten werden laut Heidi deidentifiziert, bevor sie die KI-Modelle erreichen. Das betrifft die Textstufe, denn die Spracherkennung braucht die unveränderte Aufnahme. Quelle: heidihealth.com |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Deutschland und Irland | Die Deutschland-Seite nennt Hosting in Deutschland, ohne den Cloud-Anbieter zu benennen. Die Unterauftragsverarbeiterliste führt AWS und Microsoft Azure für regionales Hosting, AWS unter anderem in der EU, Azure unter anderem in Schweden. Die globale Datenschutzerklärung nennt regionale EU-Umgebungen. Maßgeblich sind Kundenregion und Vertrag. Quellen 1: heidihealth.com 2: heidihealth.com 3: trust.heidihealth.com |
| Speicherung | Vereinigtes Königreich | Laut globaler Datenschutzerklärung betreibt Heidi im Vereinigten Königreich eine eigene regionale Hostingumgebung. Für deutsche Konten ist sie nicht die Standardumgebung. Quelle: heidihealth.com |
| Speicherung | Vereinigte Staaten | Für Kunden in den USA betreibt Heidi eine eigene regionale Hostingumgebung. Quelle: heidihealth.com |
| Speicherung | Australien, Kanada und Schweiz | Die globale Datenschutzerklärung nennt weitere regionale Hostingstandorte in Australien, Kanada und der Schweiz. Quelle: heidihealth.com |
| Verarbeitung | EWR für das Deutschland-Angebot | Laut Deutschland-Seite verlassen Patientendaten den EWR nicht. Personenbezogene Angaben werden laut Heidi automatisch deidentifiziert, bevor sie die KI-Modelle erreichen. Das betrifft die Textstufe, denn die Spracherkennung braucht die unveränderte Aufnahme. Das globale DPA lässt für Unterauftragsverarbeiter andere Regionen zu. Quellen 1: heidihealth.com 2: heidihealth.com |
| Verarbeitung | USA über Unterauftragsverarbeiter | Laut DPA Ziffer 12.1 kann ein Teil der Verarbeitung durch verbundene Unternehmen oder Unterauftragsverarbeiter in einer anderen Region stattfinden. Die Unterauftragsverarbeiterliste nennt Microsoft Azure unter anderem in den USA. Quellen 1: heidihealth.com 2: trust.heidihealth.com 3: heidihealth.com |
| Verarbeitung | Weitere Regionen über Unterauftragsverarbeiter | Die Unterauftragsverarbeiterliste nennt Microsoft Azure neben den USA und Schweden auch in Japan, Australien und den Vereinigten Arabischen Emiraten. Quellen 1: heidihealth.com 2: trust.heidihealth.com 3: heidihealth.com |
| Verarbeitung | Google Cloud ohne Regionsangabe | Die Unterauftragsverarbeiterliste führt Google Cloud, nennt aber keine Region. Quelle: trust.heidihealth.com |
Zertifikate und Nachweise
ISO/IEC 27001:2022 · Managementsystem für Informationssicherheit. Zertifikate im Trust Center. Quelle: heidihealth.com
ISO/IEC 42001:2023 · Managementsystem für KI-Governance. Quelle: heidihealth.com
SOC 2 Typ 2 · Prüfbericht zu Sicherheits- und Vertraulichkeitskontrollen. Kein DSGVO-Zertifikat. Quelle: heidihealth.com
Cyber Essentials Plus · Laut globaler Datenschutzerklärung aufrechterhaltene Zertifizierung. Quelle: heidihealth.com
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von Heidi, als Dienstleister belegt durch Herstellerangaben, einzelne Modelle nach Einschätzung von ScribeIndex. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft, bei Azure OpenAI also Microsoft und bei Amazon Bedrock also Amazon. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Google: Google Cloud Speech-to-Text · Spracherkennung. Gemini über Google Cloud Vertex AI · Dokumenterstellung (Modell geschätzt). Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
- Amazon Web Services: LLMs über Amazon Bedrock · Dokumenterstellung. Dienstleister belegt
- Microsoft: Azure OpenAI Service · Dokumenterstellung (Modell geschätzt). Dienstleister belegt
- Anthropic: Claude für Heidi Evidence · Assistent und Zusatzfunktionen. Dienstleister belegt
Vor dem Einsatz mit Patientendaten
- AVV mit Heidi abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- EU-Region beim Vertragsabschluss festlegen und die Standardregion des Kontos kontrollieren.
- Heidi verarbeitet teils außerhalb der EU (USA und weitere Länder). Für Gesundheitsdaten prüfen, ob ein Angemessenheitsbeschluss vorliegt, in den USA die Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework. Standardvertragsklauseln genügen nach § 393 SGB V nicht.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- In Praxen und Kliniken den Nachweis nach § 393 SGB V (C5-Testat des Cloud-Dienstes) anfordern und den Ort der Verarbeitung prüfen.
- In Praxen und Kliniken Heidi schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist Heidi DSGVO-konform?
Heidi erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert wird wahlweise in der EU (Deutschland und Irland), im Vereinigten Königreich, in den USA oder in weiteren Ländern. Verarbeitet wird in der EU (EWR für das Deutschland-Angebot), in den USA und in weiteren Ländern. Für einzelne Teilschritte nennt der Anbieter keinen Ort. Kundendaten werden laut Vertrag nicht für das Training eigener Modelle verwendet. ScribeIndex stuft den Datenschutz von Heidi als „Mit Einschränkungen“ ein (Verarbeitung teils außerhalb der EU, teils ohne Ortsangabe).
Wo speichert Heidi Daten?
Heidi speichert Daten wahlweise in der EU, im Vereinigten Königreich, in den USA oder in weiteren Ländern.
- Deutschland und Irland:
Die Deutschland-Seite nennt Hosting in Deutschland, ohne den Cloud-Anbieter zu benennen. Die Unterauftragsverarbeiterliste führt AWS und Microsoft Azure für regionales Hosting, AWS unter anderem in der EU, Azure unter anderem in Schweden. Die globale Datenschutzerklärung nennt regionale EU-Umgebungen. Maßgeblich sind Kundenregion und Vertrag. - Vereinigtes Königreich:
Laut globaler Datenschutzerklärung betreibt Heidi im Vereinigten Königreich eine eigene regionale Hostingumgebung. Für deutsche Konten ist sie nicht die Standardumgebung. - Vereinigte Staaten:
Für Kunden in den USA betreibt Heidi eine eigene regionale Hostingumgebung. - Australien, Kanada und Schweiz:
Die globale Datenschutzerklärung nennt weitere regionale Hostingstandorte in Australien, Kanada und der Schweiz.
Nutzt Heidi Gesprächsdaten für KI-Training?
Der globale Auftragsverarbeitungsvertrag (DPA) vom 29. September 2026 verbietet KI-Training und Fine-Tuning mit Kundendaten und erzeugten Ergebnissen, bei Heidi und bei Dritten. Das Verbot gilt auch für deidentifizierte Daten. Zulässige Tests dürfen keine Modellgewichte verändern.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von Heidi.
- Heidi: Compliance für Deutschland heidihealth.com · abgerufen am 5. Oktober 2026
- Heidi: Datenfluss und technische Compliance-FAQ heidihealth.com · abgerufen am 5. Oktober 2026
- Heidi: globales Data Processing Agreement, 29. September 2026 heidihealth.com · abgerufen am 5. Oktober 2026
- Heidi: globale Privacy Policy, 29. September 2026 heidihealth.com · abgerufen am 5. Oktober 2026
- Heidi: Unterauftragsverarbeiter im Trust Center trust.heidihealth.com · abgerufen am 5. Oktober 2026