iptas: Datenschutz und Serverstandort
Was iptas zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Gut aufgestellt: AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten.
Behandlungsdaten liegen in Deutschland, ergänzende Azure-KI verarbeitet innerhalb der EU. iptas stellt einen Auftragsverarbeitungsvertrag bereit und schließt Modelltraining mit Patientendaten aus. Audio wird höchstens 24 Stunden gespeichert, freigegebene Dokumente bleiben in der Akte.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | iptas verarbeitet Patientendaten zweckgebunden nach DSGVO und nach dokumentierter Weisung der Praxis. Quelle: iptas.de |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Die Praxis erhält einen Auftragsverarbeitungsvertrag. Die AGB binden ihn als Vertragsbestandteil ein. Quelle: iptas.de |
| Speicherort | EU | Gespeichert wird laut Dokumentation in der EU. Quellen 1: iptas.de 2: iptas.de |
| Verarbeitungsort | EU | Verarbeitet wird laut Dokumentation in der EU. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: iptas.de 2: iptas.de |
| Training mit Kundendaten | Ausgeschlossen | Patientendaten werden laut Hersteller weder von iptas noch von Microsoft für Training oder Verbesserung von KI-Modellen genutzt. Forschung und Produktentwicklung mit Patientendaten sind derzeit nicht aktiviert. Quelle: iptas.de |
| Ort der Spracherkennung | In der Cloud | Die Browseraufnahme wird zur Transkription und Dokumenterstellung an Dienste der T Cloud und von Azure übertragen. Die Spracherkennung läuft nicht auf dem eigenen Gerät. Quelle: iptas.de |
| Einsatz mit Gesundheitsdaten | Vorgesehen | iptas verarbeitet Sitzungsaudios und Gesundheitsdaten im Auftrag deutscher Praxen. Die Plattform läuft in Deutschland, ergänzende KI-Dienste in der EU. Quelle: iptas.de |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Deutschland | Plattform und Datenhaltung liegen in deutschen Rechenzentren der T Cloud Public von T-Systems. Quellen 1: iptas.de 2: iptas.de |
| Verarbeitung | Deutschland und EU | Die Plattform läuft in Deutschland. Azure Speech Services und die Sprachmodelle über Azure nutzen Endpunkte innerhalb der EU. iptas schließt eine Übermittlung in Drittstaaten aus. Die genauen Azure-Regionen nennt iptas nicht. Quellen 1: iptas.de 2: iptas.de |
Zertifikate und Nachweise
BSI C5 Typ 1 · Testat für den Cloud-Dienst iptas nach dem Kriterienkatalog C5:2020 des Bundesamts für Sicherheit in der Informationstechnik, bestätigt von der ADVANTA GmbH Wirtschaftsprüfungsgesellschaft zum Stichtag 24. August 2026. Öffentlich verfügbar ist eine einseitige Bestätigung. Quellen 1: iptas.de 2: iptas.de
BSI C5 Typ 2 (Infrastruktur) · iptas nennt Typ-2-Testate für die Infrastruktur T Cloud Public und Microsoft Azure. Sie gelten für diese Dienste, nicht für iptas selbst. Quelle: iptas.de
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von iptas, als Dienstleister belegt durch Herstellerangaben. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft, bei Azure OpenAI also Microsoft. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Microsoft: Microsoft Azure Speech Services · Spracherkennung. OpenAI-Modelle über Azure · Dokumenterstellung. Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
Vor dem Einsatz mit Patientendaten
- AVV mit iptas abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- iptas nennt ein Testat nach BSI C5 Typ 1. In Praxen und Kliniken den aktuellen Testatbericht anfordern und mit den Anforderungen des § 393 SGB V abgleichen.
- In Praxen und Kliniken iptas schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist iptas DSGVO-konform?
iptas erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert wird in der EU (Deutschland). Verarbeitet wird in der EU (Deutschland und EU). Kundendaten werden laut Anbieter nicht für das Training eigener Modelle verwendet. ScribeIndex stuft den Datenschutz von iptas als „Gut aufgestellt“ ein (AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten).
Wo speichert iptas Daten?
iptas speichert Daten in der EU. Plattform und Datenhaltung liegen in deutschen Rechenzentren der T Cloud Public von T-Systems.
Nutzt iptas Gesprächsdaten für KI-Training?
Patientendaten werden laut Hersteller weder von iptas noch von Microsoft für Training oder Verbesserung von KI-Modellen genutzt. Forschung und Produktentwicklung mit Patientendaten sind derzeit nicht aktiviert.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von iptas.
- iptas: Datenwege, Regionen und Löschregeln iptas.de · abgerufen am 5. Oktober 2026
- iptas: Datenschutzerklärung, App und benannte KI-Dienste iptas.de · abgerufen am 5. Oktober 2026
- iptas: ADVANTA-Bestätigung C5 Typ 1, August 2026 iptas.de · abgerufen am 5. Oktober 2026