Upheal: Datenschutz und Serverstandort
Was Upheal zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Mit Einschränkungen: Keine Angabe zum Speicherort, Verarbeitung außerhalb der EU.
Upheal veröffentlicht einen AVV für EU und Vereinigtes Königreich und nennt Verarbeitung in Drittländern einschließlich USA. Audio wird standardmäßig nach der Verarbeitung gelöscht, zusätzliche Speicherung erfordert Ihre Zustimmung. Training mit de-identifizierten Daten setzt laut Nutzungsbedingungen Ihre Einwilligung voraus, die Sie jederzeit widerrufen können.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | Upheal nennt DSGVO-Konformität und veröffentlicht einen AVV für EU und Vereinigtes Königreich. Quelle: upheal.io |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Öffentlicher AVV für EU und Vereinigtes Königreich mit Standardvertragsklauseln und Verweis auf Unterauftragsverarbeiter. Quelle: upheal.io |
| Speicherort | Keine Angabe | Für den Kernbetrieb nennt Upheal keinen Ort. Quellen 1: upheal.io 2: upheal.io 3: legal.upheal.io 4: upheal.io |
| Verarbeitungsort | USA, teils ohne Angabe (Für einzelne Verarbeitungsschritte nennt der Anbieter keinen Ort) | Verarbeitet wird laut Dokumentation in den USA und teils an nicht genannten Orten. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: upheal.io 2: upheal.io 3: upheal.io 4: upheal.io |
| Training mit Kundendaten | Nur mit Einwilligung | Laut Nutzungsbedingungen erzeugt Upheal aus Ihren Inhalten nur mit Ihrer vorherigen Einwilligung de-identifizierte Daten und trainiert damit eigene KI-Modelle. Die Datenschutzerklärung für Klienten nennt Training ebenfalls nur mit Einwilligung, nach dem HIPAA-Standard de-identifiziert und jederzeit widerrufbar. Die Preistabelle führt in allen Tarifen „Opt-out from AI model training“ und sagt, dass Sie die Nutzung de-identifizierter Daten jederzeit abwählen können. Maßgeblich sind die Nutzungsbedingungen. Nach Abschnitt 10.5 nutzt Upheal die Daten nur mit vorheriger Einwilligung. Das Opt-out der Preistabelle meint deshalb den Widerruf dieser Einwilligung. Quelle: upheal.io |
| Ort der Spracherkennung | In der Cloud | Transkription und Notizerstellung laufen in der Cloud, für hochgeladene wie live erfasste Sitzungen. Quelle: upheal.io |
| Einsatz mit Gesundheitsdaten | Vorgesehen | AVV und Datenschutzregeln für Patienten beziehen sich auf klinische Sitzungsdaten. Übermittlungen in Drittländer sind vorgesehen. Quelle: upheal.io |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Vertraglich nicht festgelegt | AWS speichert die Daten. Eine Region legen weder AVV noch aktuelle Datenschutzerklärung noch die EU-Seite zu Datenschutz und Compliance fest. Eine zusätzlich verlinkte, undatierte Fassung der Behandler-Erklärung nennt Speicherung in der EU und Zulieferer in den USA. Quellen 1: upheal.io 2: upheal.io 3: legal.upheal.io 4: upheal.io |
| Verarbeitung | Drittlandverarbeitung, insbesondere USA | Die Datenschutzerklärungen für Patienten und für Behandler nennen Zulieferer außerhalb von EU und EWR, insbesondere in den USA. Welcher Verarbeitungsschritt wo läuft, nennt Upheal nicht. Quellen 1: upheal.io 2: upheal.io |
| Verarbeitung | Nicht veröffentlicht | Upheal nennt Azure als Anbieter der Sprachmodelle. Regionen für AWS und Azure nennen Architekturbeitrag, AVV und Datenschutzerklärungen nicht. Die Unterauftragsverarbeiter führt Upheal laut AVV in seinem Trust Center. Quellen 1: upheal.io 2: upheal.io |
Zertifikate und Nachweise
SOC 2 Typ 2 · SOC 2 Typ II für die eigenen Kontrollen von Upheal laut Hersteller. Quellen 1: upheal.io 2: upheal.io
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von Upheal, als Dienstleister belegt durch Herstellerangaben, einzelne Modelle nach Einschätzung von ScribeIndex. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft, bei Azure OpenAI also Microsoft. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Microsoft: OpenAI GPT-Modelle über Azure OpenAI · Dokumenterstellung (Modell geschätzt). Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
Vor dem Einsatz mit Patientendaten
- AVV mit Upheal abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Speicherort beim Anbieter erfragen und vertraglich festlegen.
- Upheal verarbeitet außerhalb der EU (USA). Für Gesundheitsdaten prüfen, ob ein Angemessenheitsbeschluss vorliegt, in den USA die Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework. Standardvertragsklauseln genügen nach § 393 SGB V nicht.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- In Praxen und Kliniken den Nachweis nach § 393 SGB V (C5-Testat des Cloud-Dienstes) anfordern und den Ort der Verarbeitung prüfen.
- In Praxen und Kliniken Upheal schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist Upheal DSGVO-konform?
Upheal erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Verarbeitet wird in den USA. Für einzelne Teilschritte nennt der Anbieter keinen Ort. Für Modelltraining nutzt der Anbieter Kundendaten nur mit ausdrücklicher Einwilligung. ScribeIndex stuft den Datenschutz von Upheal als „Mit Einschränkungen“ ein (keine Angabe zum Speicherort, Verarbeitung außerhalb der EU).
Wo speichert Upheal Daten?
Einen festen Speicherort nennt Upheal nicht. AWS speichert die Daten. Eine Region legen weder AVV noch aktuelle Datenschutzerklärung noch die EU-Seite zu Datenschutz und Compliance fest. Eine zusätzlich verlinkte, undatierte Fassung der Behandler-Erklärung nennt Speicherung in der EU und Zulieferer in den USA.
Nutzt Upheal Gesprächsdaten für KI-Training?
Laut Nutzungsbedingungen erzeugt Upheal aus Ihren Inhalten nur mit Ihrer vorherigen Einwilligung de-identifizierte Daten und trainiert damit eigene KI-Modelle. Die Datenschutzerklärung für Klienten nennt Training ebenfalls nur mit Einwilligung, nach dem HIPAA-Standard de-identifiziert und jederzeit widerrufbar. Die Preistabelle führt in allen Tarifen „Opt-out from AI model training“ und sagt, dass Sie die Nutzung de-identifizierter Daten jederzeit abwählen können. Maßgeblich sind die Nutzungsbedingungen. Nach Abschnitt 10.5 nutzt Upheal die Daten nur mit vorheriger Einwilligung. Das Opt-out der Preistabelle meint deshalb den Widerruf dieser Einwilligung.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von Upheal.
- Upheal: Sicherheit und SOC-2-Typ-II-Prüfung upheal.io · abgerufen am 5. Oktober 2026
- Upheal: EU-/UK-Auftragsverarbeitung upheal.io · abgerufen am 12. Oktober 2026
- Upheal: Datenarchitektur, 9. Oktober 2026 upheal.io · abgerufen am 12. Oktober 2026
- Upheal: Vertragsbedingungen für Fachkräfte upheal.io · abgerufen am 12. Oktober 2026
- Upheal: Datenschutz und Compliance für die EU upheal.io · abgerufen am 12. Oktober 2026
- Upheal: zusätzlich verlinkte Datenschutzfassung legal.upheal.io · abgerufen am 12. Oktober 2026
- Upheal: Datenschutz für Behandler upheal.io · abgerufen am 12. Oktober 2026
- Upheal: Patientendaten, Einwilligung und Drittlandtransfer upheal.io · abgerufen am 12. Oktober 2026