x.scribe: Datenschutz und Serverstandort
Was x.scribe zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Gut aufgestellt: AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten.
Azure hostet in Amsterdam und Dublin, die x.scribe-FAQ nennt einen 30-Tage-Löschzyklus. Corti verarbeitet innerhalb der EU mit weiteren KI-, Telemetrie- und Assistenzdiensten. Individuelle Kundendaten sind vom Modelltraining ausgeschlossen, freigegebene Dokumente werden in der Praxissoftware archiviert.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | medatixx nennt DSGVO-Konformität für x.scribe. Quelle: medatixx.de |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Der gemeinsame medatixx-AVV vom 01.10.2026 nennt Corti in Anlage 3a als Unterauftragsverarbeiter für x.scribe. Direkt beauftragte regionale Servicepartner benötigen gesonderte Auftragsvereinbarungen. Quelle: web-api-01.medatixx.de |
| Speicherort | EU | Gespeichert wird laut Dokumentation in der EU. Quelle: web-api-01.medatixx.de |
| Verarbeitungsort | EU | Verarbeitet wird laut Dokumentation in der EU, für Support und andere betriebliche Zwecke auch in weiteren Ländern. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: web-api-01.medatixx.de 2: arztsoftware.medatixx.de 3: corti.ai 4: web-api-01.medatixx.de |
| Training mit Kundendaten | Ausgeschlossen | Die FAQ schließt individuelle Kundendaten vom Training aus. Das allgemeine medizinische Training der Modelle ist davon getrennt. Quelle: web-api-01.medatixx.de |
| Ort der Spracherkennung | In der Cloud | Die Mikrofonaufnahme wird in der Cloud bei Azure und Corti verarbeitet, nicht auf dem Praxisrechner. Quelle: web-api-01.medatixx.de |
| Einsatz mit Gesundheitsdaten | Vorgesehen | Für Arzt- und Psychotherapiepraxen angeboten mit EU-Hosting, C5 Typ 2 und medizinischen Vertragsunterlagen. Quelle: web-api-01.medatixx.de |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | Microsoft Azure, Amsterdam und Dublin | Das Hosting für x.scribe liegt in den Niederlanden und Irland. Die FAQ nennt einen 30-Tage-Löschzyklus für Audio, Konsultationsdaten und Dokumente. Das freigegebene Dokument wird in die Praxissoftware übernommen. Quelle: web-api-01.medatixx.de |
| Verarbeitung | Corti und Azure, Amsterdam und Dublin | Die x.scribe-FAQ nennt geschützte Azure-Umgebungen in den Niederlanden und Irland. Laut technischen Rahmenbedingungen verbindet sich x.scribe mit der EU-Schnittstelle von Corti. Quellen 1: web-api-01.medatixx.de 2: arztsoftware.medatixx.de 3: corti.ai |
| Verarbeitung | Scaleway, Frankreich, Niederlande, Deutschland und Schweden | Die EU-Unterauftragsliste von Corti nennt Scaleway für KI-Verarbeitung in der EU, ohne Hosting oder Speicherung von Kundendaten. Welche Dienste eine einzelne Konsultation durchläuft, nennt Corti nicht. Quellen 1: corti.ai 2: arztsoftware.medatixx.de |
| Verarbeitung | DCAI, Dänemark | Corti führt DCAI in Dänemark für Inferenz, KI-Verarbeitung, GPU-Kapazität und allgemeines Training auf. Für x.scribe-Kundendaten schließt die FAQ Training aus. Quellen 1: corti.ai 2: web-api-01.medatixx.de 3: arztsoftware.medatixx.de |
| Verarbeitung | Speechmatics, Irland | Die Spracherkennung liefert Corti. Speechmatics ergänzt laut Corti-Liste einzelne Sprachen und die Validierung. Quellen 1: corti.ai 2: arztsoftware.medatixx.de |
| Verarbeitung | Datadog, Deutschland | Laut EU-Unterauftragsliste erhält Datadog die Nutzungstelemetrie der Corti-Anwendungen. Quelle: corti.ai |
| Verarbeitung | PostHog Deutschland, Mixpanel Niederlande und Intercom Irland | Dieser Weg gilt nur bei Nutzung des Corti Embedded Assistant. Die Corti-Liste nennt für ihn Produktanalyse, Nutzungsanalyse und Supporttickets. Ob der x.scribe-Chat darauf beruht, nennt medatixx nicht. Quelle: corti.ai |
| Verarbeitung | Nicht veröffentlicht | Dieser Weg gilt bei Nutzung der allgemeinen medatixx-Dienste. Der gemeinsame AVV nennt DRACOON für Datentransfer, I-Motion für Kommunikation und Microsoft für Microsoft 365. Verarbeitungsorte dieser Dienste nennt der AVV nicht. Quelle: web-api-01.medatixx.de |
| Verarbeitung | Brasilien, bedingte Fernwartung für Niederlassung Nord | Nur für die Niederlassung Nord übernimmt MT-Computer ME in Recife (Brasilien) bei Bedarf Fernwartung und Installation. Die klinische KI-Verarbeitung läuft getrennt in der EU. Quelle: web-api-01.medatixx.de |
Zertifikate und Nachweise
BSI C5 Typ 2 · medatixx nennt ein Testat für x.scribe und die zugrunde liegende Lösung. Quelle: medatixx.de
ISO/IEC 27001 · medatixx nennt eine Zertifizierung für die Lösung. Quelle: medatixx.de
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von x.scribe, als Dienstleister belegt durch Herstellerangaben. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Corti: Corti medizinische Spracherkennung · Spracherkennung. Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
Vor dem Einsatz mit Patientendaten
- AVV mit x.scribe abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Sprechenden einholen und dokumentieren (§ 201 StGB). Patientinnen und Patienten nach Art. 13 DSGVO informieren.
- x.scribe nennt ein Testat nach BSI C5 Typ 2. In Praxen und Kliniken den aktuellen Testatbericht anfordern und mit den Anforderungen des § 393 SGB V abgleichen.
- In Praxen und Kliniken x.scribe schriftlich zur Verschwiegenheit nach § 203 StGB verpflichten, einschließlich eingesetzter Unterauftragsverarbeiter.
Mehr zu DSGVO, § 203 StGB, § 393 SGB V und EU AI Act lesen Sie im Beitrag Rechtsrahmen für KI-Dokumentation und in der Datenschutz-Checkliste.
Häufige Fragen
Ist x.scribe DSGVO-konform?
x.scribe erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert und verarbeitet wird in der EU. Für Support und andere betriebliche Zwecke werden Daten zusätzlich in weiteren Ländern verarbeitet. Welche Dienstleister das sind, steht im Datenschutzprofil unter „Regionen im Detail“. Für einzelne dieser Dienste nennt der Anbieter keinen Ort. Kundendaten werden laut Anbieter nicht für das Training eigener Modelle verwendet. ScribeIndex stuft den Datenschutz von x.scribe als „Gut aufgestellt“ ein (AVV, DSGVO-Erklärung, EU-Speicherung und kein Training mit Kundendaten).
Wo speichert x.scribe Daten?
x.scribe speichert Daten in der EU. Das Hosting für x.scribe liegt in den Niederlanden und Irland. Die FAQ nennt einen 30-Tage-Löschzyklus für Audio, Konsultationsdaten und Dokumente. Das freigegebene Dokument wird in die Praxissoftware übernommen.
Nutzt x.scribe Gesprächsdaten für KI-Training?
Die FAQ schließt individuelle Kundendaten vom Training aus. Das allgemeine medizinische Training der Modelle ist davon getrennt.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von x.scribe.
- medatixx: Release Februar 2026 medatixx.de · abgerufen am 5. Oktober 2026
- medatixx: AVV 1. Oktober 2026 mit Unterauftragsverarbeitern web-api-01.medatixx.de · abgerufen am 5. Oktober 2026
- medatixx: FAQ 29. September 2026 web-api-01.medatixx.de · abgerufen am 5. Oktober 2026
- medatixx: technische Rahmenbedingungen September 2026 arztsoftware.medatixx.de · abgerufen am 5. Oktober 2026
- Corti: vollständige EU-Unterauftragsliste August 2026 corti.ai · abgerufen am 5. Oktober 2026