Datenschutzerklärung für den Praxis-Bereich (app.ki-lian.ai)

1. Verantwortlicher

BitsAndBucks GmbH, Gräfenwiese 2, 49201 Dissen am Teutoburger Wald, vertreten durch den Geschäftsführer Jan Malte Sander. E-Mail: hallo@ki-lian.ai, Telefon: +49 160 4158674. KI-Lian ist eine Marke der BitsAndBucks GmbH.

2. Wofür diese Erklärung gilt

Diese Erklärung beschreibt, wie wir die Daten der Personen verarbeiten, die den Praxis-Bereich unter app.ki-lian.ai nutzen (Registrierung, Anmeldung, Einrichtung, Abo). Daten von Patientinnen und Patienten, die Kilian am Telefon oder per Nachricht verarbeitet, verarbeiten wir im Auftrag der Praxis (Art. 28 DSGVO). Verantwortlich dafür ist die Praxis; Einzelheiten stehen im Auftragsverarbeitungsvertrag, den jede Praxis bei der Registrierung abschließt.

3. Registrierung und Konto

Daten: E-Mail-Adresse, Passwort (nur als Hash gespeichert), Name, Praxisname, Fachrichtung, Adresse, Telefonnummer der Praxis, Rolle (Inhaber oder Team), Zeitpunkt der Registrierung und Anmeldungen. Zweck: Bereitstellung des Kontos, Anmeldung, Zuordnung zur Praxis, Vertragsdurchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Bestätigungscode: Bei Registrierung und Passwort-Zurücksetzen senden wir einen sechsstelligen Code per E-Mail über unseren Dienstleister Brevo (Sendinblue SAS, Paris). Codes sind 15 Minuten gültig. Zwei-Faktor-Authentifizierung: Optional kannst du eine Authenticator-App verbinden. Dabei wird ein geheimer Schlüssel gespeichert; wir sehen deine Einmalcodes nicht. Speicherdauer: bis zur Löschung des Kontos bzw. 30 Tage nach Vertragsende.

4. Cookies und lokale Speicherung

Der Praxis-Bereich setzt ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie für die Anmeldung (Supabase Auth) und ein Cookie zum Schutz vor Fälschungen von Anfragen. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies und keine Einwilligungsbanner, weil keine Einwilligung nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Hosting und Server-Logs

Die Anwendung läuft bei Netlify Inc. (Serverfunktionen in Frankfurt am Main), die Datenbank bei Supabase (AWS Frankfurt am Main). Beim Aufruf werden IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Antwortstatus in Server-Logs gespeichert und nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Mit Netlify bestehen ein Auftragsverarbeitungsvertrag und die EU-Standardvertragsklauseln; Netlify ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

6. Kalender- und Kanalverbindungen

Wenn du deinen Google- oder Microsoft-Kalender bzw. Instagram, Facebook oder WhatsApp verbindest, erhalten wir von dem jeweiligen Anbieter Zugangstoken, die wir verschlüsselt speichern und nur für die von dir erteilten Berechtigungen nutzen (Frei/Belegt lesen, Termine schreiben, Nachrichten empfangen und beantworten). Du kannst die Verbindung jederzeit im Praxis-Bereich oder beim Anbieter widerrufen; wir löschen die Token dann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Nutzung von Google-Nutzerdaten gelten zusätzlich die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

7. Abo und Zahlung

Kostenpflichtige Tarife rechnen wir über Stripe Payments Europe Ltd. (Dublin) ab. Stripe erhält Name, E-Mail-Adresse, Rechnungsadresse, Tarif und Nutzungsminuten; Zahlungsdaten (Karte, SEPA) gibst du direkt bei Stripe ein, wir speichern sie nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung der Rechnungsdaten 10 Jahre nach § 147 AO.

8. E-Mails und SMS an dich

Wir senden dir Transaktions-Mails (Bestätigungscodes, Einladungen, Abendbericht, Morgenmail, Hinweise zum Abo) über Brevo und, wenn du es in den Einstellungen aktivierst, SMS über seven communications GmbH & Co. KG (Kiel). Berichte und Erinnerungen kannst du in den Einstellungen abschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Produkthinweise Art. 6 Abs. 1 lit. f DSGVO mit jederzeitigem Widerspruch.

9. Protokolle und Fehlerberichte

Konfigurationsänderungen, Kanalverbindungen und Abrechnungsereignisse protokollieren wir mit Zeitstempel und handelndem Nutzer (Revisionsprotokoll). Technische Fehler werden mit Fehlermeldung und betroffener Praxis protokolliert und an unser Team gemeldet, damit wir Störungen schnell beheben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. Empfänger und Drittländer

Auftragsverarbeiter mit Sitz oder Verarbeitung außerhalb der EU sind Netlify Inc. (USA, Verarbeitung in Frankfurt), Supabase Inc. (Support-Zugriff, Daten in Frankfurt) und Anthropic PBC (USA, nur für Textnachrichten, wenn Kanäle verbunden sind). Grundlage sind das EU-US Data Privacy Framework bzw. die EU-Standardvertragsklauseln. Die vollständige Liste steht in Anlage 3 des AVV.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreib dafür an hallo@ki-lian.ai. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren; für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

12. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du im Praxis-Bereich unter „Datenschutz“.

Stand: September 2026