Datenschutzerklärung

• Anmeldedaten — Ihre E-Mail-Adresse, die Art der Anmeldung (Apple, Google oder E-Mail) und die Kennung, die uns dieser Dienst übermittelt. Wenn Sie „Mit Apple anmelden“ nutzen und Ihre E-Mail-Adresse verbergen, erhalten wir stattdessen die Weiterleitungsadresse von Apple.
• Profilgrundlagen — Ihr Anzeigename und die Sprache, die Sie verwenden.
• Land und Zeit — das Land, das Sie als Heimatland festlegen, das Land, aus dem Ihre Verbindung zu kommen scheint, und Ihre Zeitzonenverschiebung. Wir nutzen diese Angaben, damit Antworten, Arztseiten, Maßeinheiten, Datumsangaben und Notrufnummern zu Ihrem Aufenthaltsort passen.
• Abonnement — Ihr Tarif, dessen Status und Verlängerungsdaten sowie Kaufkennungen von Apple oder Google.
• Mitteilungen — ein Push-Token für Ihr Gerät und Ihre Mitteilungseinstellungen. Auf einem iPhone, das noch nie gefragt wurde, schaltet die App ab Version 3.6.3 ohne Berechtigungsabfrage die stillen Mitteilungen von Apple ein: Sie erscheinen nur in der Mitteilungszentrale, bis Sie sich entscheiden. Sie können jede Art in den Einstellungen oder per Bitte an Vita im Chat ausschalten. Mitteilungen sind so formuliert, dass sie kein Gesundheitsthema, kein Medikament und kein Ergebnis nennen.
• Website-Sitzungen — Sitzungs- und Sicherheitscookies; siehe unsere Cookie-Richtlinie.

• Was Sie fragen und was Vita antwortet, sowie der Titel jeder Unterhaltung. Wir speichern dies, damit Sie darauf zurückkommen können und Vita der Unterhaltung folgen kann.
• Sprache — wenn Sie mit Vita sprechen, wird Ihre Aufnahme an Google gesendet und dort in Text umgewandelt. Den Text (das Transkript) speichern wir in der Unterhaltung.
• Sicherheitssignale — ob eine Nachricht als möglicher Notfall oder als Hinweis auf eine Selbstgefährdung erkannt wurde. In diesem Fall zeigt Vita statt einer normalen Antwort Notruf- oder Krisennummern an (siehe das Crisis Protocol).
• Bewertungen — in der iPhone-App ab Version 3.6.3 können Sie einer Antwort einen bis fünf Sterne geben und auf Wunsch eine kurze Notiz hinzufügen. Wir speichern die Sterne, die Notiz und die zugehörige Antwort als Hinweis auf die Qualität der Antworten. Sie ändern weder Ihr Konto noch Ihre Antworten.

Laborbefunde, Arztbriefe, Rezepte und Bilder, die Sie einer Frage anhängen, werden auf unserem Server in Finnland gespeichert. Sie sind im Ruhezustand mit einem Schlüssel verschlüsselt, den unser Server besitzt, damit unsere Systeme sie öffnen und Ihnen antworten können. Sie bleiben gespeichert, bis Sie die Unterhaltung, das abgelegte Dokument oder Ihr Konto löschen. In einem kostenpflichtigen Tarif legt Vita zusätzlich eine Kopie bei der Person ab, um die es geht, zusammen mit einer schriftlichen Zusammenfassung.

In der iPhone-App ab Version 3.6.3 kann Vita eines dieser Dokumente erneut lesen: wenn Sie nach einer neuen Angabe darauf tippen, wenn Sie Ihr Land ändern oder wenn Sie darum bitten, es für ein anderes Land zu lesen. Das Dokument geht dann erneut an Google (Abschnitt 9), und die neue Antwort wird wie jede andere gespeichert. Versiegelte Dateien der Gesundheitsakte werden so nie gelesen.

Vita behält kurze Fakten aus Ihren Unterhaltungen — über Sie und über jede Person, die Sie hinzufügen —, damit spätere Antworten passen. Zum Beispiel eine Allergie, ein Medikament oder eine Erkrankung, die Sie erwähnt haben. Wir nennen das „Vitas Gedächtnis“. Sie können diese Fakten in der App einsehen und entfernen.

Angaben, die Sie machen, gehen ins Profil. Wenn Sie Vita in der iPhone-App ab Version 3.6.3 eine Angabe über sich oder über die Person nennen, um die es im Chat geht, liest ein kleiner KI-Aufruf Ihre Worte und speichert die Angabe direkt im Profil dieser Person: Gewicht, Größe, Geburtsdatum oder Alter, Geschlecht, Blutgruppe, Allergien, chronische Erkrankungen und Medikamente. Dasselbe geschieht mit Worten, die Sie in eine Vita-Karte eingeben. Der Aufruf liest nur Ihre eigenen Worte, nie die Antworten von Vita. Jede Größe und jedes Gewicht berechnet Code aus der Zahl und der Einheit, die Sie genannt haben; eine Zahl ohne Einheit wird nicht gespeichert. Wenn Sie ein Alter nennen, speichern wir diese Zahl und den Tag, an dem Sie es gesagt haben, und leiten daraus nie ein Geburtsdatum ab.

Vita zeigt normalerweise, was gespeichert wurde, mit einer Rückgängig-Funktion, die 24 Stunden lang gilt. Sie können jede Angabe jederzeit auf der Seite der Person ändern oder entfernen. So gespeicherte Angaben, etwa Allergien und Erkrankungen, können überall erscheinen, wo dieses Profil verwendet wird, zum Beispiel bei einem Arzt-Link oder Familien-Link, der sie umfasst. Aus einer Notfall- oder Krisennachricht und aus einem Chat „Jemand anderes“ wird so nichts gespeichert, und auch nichts auf einer Karte, die jemand mit Ihnen teilt. Eine Schwangerschaft wird nur gespeichert, wenn Sie sie durch Tippen bestätigen, und der Aufruf ist so gebaut, dass er private Themen wie sexuelle Gesundheit und psychische Gesundheit auslässt.

• Personen, die Sie hinzufügen — Name oder Spitzname, Alter oder Geburtsdatum, Geschlecht, Größe, Gewicht, Blutgruppe, Beziehung zu Ihnen, Erkrankungen, Allergien, Medikamente, Familienanamnese, Rauchen, Alkohol, Bewegung und Ernährung, Notizen, Angaben zu einer Schwangerschaft sowie das Behandlungsteam mit etwaigen Hinweisen.
• Aufzeichnungen über Kinder — Wachstum, Ernährung, Schlaf und Tagesprotokolle, Fieberepisoden, Entwicklungsschritte und Impfungen.
• Hausapotheke — Medikamente, Einnahmepläne, als eingenommen markierte Dosen und der verbleibende Vorrat. Wenn Sie eine Medikamentenpackung oder ein Rezept scannen, um es hinzuzufügen, erhalten wir das Foto.
• Zyklus-Tracker — die Tage, die Sie eintragen, Blutungsstärke, Symptome und Ihre Einstellungen, einschließlich der Daten, die Apple Health oder Health Connect übermittelt, wenn Sie die Zyklus-Synchronisierung einschalten. Fruchtbarkeitssignale bleiben auf Ihrem Smartphone und werden nicht auf unserem Server gespeichert.

• Familien-Links (Tarif Vita Family) — was Sie mit einem Familienmitglied teilen, und dessen Zugriff darauf.
• Arztbesuchsseiten und Arztzusammenfassungen, die Sie erstellen, damit Sie sie bei einem Termin nutzen können.
• Arzt-Links — wenn Sie einen erstellen, speichern wir seine Angaben (ein opakes Token, das Ablaufdatum und den Umfang) und ein Protokoll jedes Aufrufs (Zeitpunkt, IP-Adresse, Gerät). Ein Arzt-Link, der Ihre gesamte Gesundheitsakte umfasst, öffnet sich mit einer Patientenübersicht, die aus Ihren App-Daten zu den vom Link erfassten Personen erstellt wird: Profilangaben (etwa Geburtsdatum, Geschlecht, Allergien und Erkrankungen), aktuelle Medikamente und in den letzten 30 Tagen markierte Dosen, das Behandlungsteam und die Fragen von Ihrer letzten Arztbesuchsseite. Vitas Gedächtnis ist nie enthalten.
• Aufnahmelinks — wenn Sie einen erstellen, damit eine Klinik Ihnen Unterlagen senden kann, speichern wir Token, Ablaufdatum und Ziel. Darüber hochgeladene Dateien werden wie der Rest Ihrer Gesundheitsakte verschlüsselt gespeichert.

Dateien, die Sie in die Gesundheitsakte legen — auf vitamedas.com oder in der App —, werden auf Ihrem Gerät verschlüsselt, bevor sie hochgeladen werden, und zwar mit einem Schlüssel, der aus einem Passwort oder einem Geräteschlüssel entsteht, den nur Sie besitzen. Wir speichern die verschlüsselte Datei und das Wenige, das wir für die Übermittlung brauchen: Größe, Dateityp, Zeitpunkt des Hochladens, Ihre Konto-ID, einen verschlüsselten Dateinamen und den verschlüsselten Schlüssel, der die Datei öffnet. Ihr Passwort und Ihren Schlüssel erhalten wir nie. Abschnitt 7 erklärt, was das bedeutet, und die wenigen Fälle, in denen Sie selbst entscheiden, eine Datei lesbar zu machen.

Wenn Sie Apple Health (iPhone) oder Health Connect (Android) verbinden, liest Vita Ihre Gesundheitsdaten auf Ihrem Smartphone. Auf dem iPhone können dazu Unterlagen Ihrer Krankenhäuser und Praxen gehören — Laborwerte, Medikamente, Impfungen, Allergien, Erkrankungen, Vitalwerte und Eingriffe — sowie Messwerte wie Schlaf und Schritte. Unter Android liest Vita nur Messwerte.

Diese Daten bleiben in einer versiegelten Datei auf Ihrem Smartphone. Wenn Sie eine Frage stellen, wird ihr eine kurze Zusammenfassung beigefügt, damit die KI antworten kann: bis zu 12 Medikamente, Ihre Allergien und Erkrankungen, 6 Laborwerte, Vitalwerte der letzten 90 Tage, Schlaf und Schritte. Diese Zusammenfassung speichern wir nicht als Datensatz. Beachten Sie jedoch:

• eine Antwort, die einen Messwert zitiert, wird als Teil dieser Antwort gespeichert;
• „Meine Ergebnisse erklären“ sendet die Messwerte als Ihre Frage, und die Frage wird gespeichert;
• ein Medikament, das Sie aus Apple Health auswählen, wird erst dann als Eintrag Ihrer Hausapotheke auf unserem Server gespeichert, wenn Sie es abhaken;
• Zyklusdaten gelangen nur dann in den Zyklus-Tracker, wenn Sie die Zyklus-Synchronisierung einschalten.

Ab iPhone-App-Version 3.6.3 gehört eine Verbindung zu Apple Health zu einem Vita-Konto, nicht zum Smartphone. Nur das eigene Tippen dieses Kontos stellt sie her. Wenn Sie sich abmelden oder sich ein anderes Konto auf dem Smartphone anmeldet, liest Vita Apple Health für Sie nicht mehr und löscht seine Kopie und seine Zusammenfassung vom Smartphone. Wenn Sie sich auf diesem Smartphone wieder anmelden, baut Vita seine Kopie ohne Nachfrage neu aus Apple Health auf, denn das Smartphone behält einen codierten Vermerk, dass Sie zugestimmt haben. Mit dem Trennen der Verbindung nehmen Sie diese Zustimmung zurück. Die Berechtigung von Apple gehört zum Smartphone; ein anderes Konto sieht beim Tippen auf „Verbinden“ daher womöglich keinen Bildschirm von Apple, aber ohne dieses Tippen wird nichts verbunden.

Daten aus Apple Health oder Health Connect nutzen wir nie für Werbung oder Marketing, und wir verkaufen sie nie.

• Ihr nächster Schritt in Vita — in der iPhone-App ab Version 3.6.3 zeigt Vita jeweils einen vorgeschlagenen nächsten Schritt, etwa eine Angabe, die fehlt, oder einen Befund, den Sie mitbringen können, und einen Ring, der zeigt, wie weit Ihr Profil ausgefüllt ist. Dafür protokollieren wir, welche Schritte angeboten, gezeigt, beantwortet oder abgelehnt wurden, mit Zeitpunkt und Ort in der App, sowie wann eine Antwort ein Dokument gelesen hat (dessen ID, nicht dessen Inhalt). Der Name eines Schritts kann zeigen, nach welcher Art von Angabe er gefragt hat; deshalb behandeln wir dieses Protokoll als Gesundheitsdaten.
• Was Ihr Smartphone meldet — mit derselben App teilt Ihr Smartphone unserem Server mit, ob Apple Health und eine Klinik verbunden sind, ob Mitteilungen erlaubt sind und ob Apple Health bereits Ihre Größe und Ihr Gewicht enthält. Die Meldung enthält keine Gesundheitswerte und keinen Kliniknamen, und wir behalten nur die letzte.
• Serverprotokolle — Zeitpunkt, IP-Adresse, Anfragepfad, Antwortcode, Antwortzeit und Gerätetyp (User-Agent). Bis zu 30 Tage gespeichert, ausschließlich für Sicherheit und Zuverlässigkeit.
• Sicherheitsereignisse — IP-Adresse, Gerät, abgelehnte Anmeldungen und ähnliche Anzeichen von Missbrauch. 30 Tage gespeichert.
• Prüfprotokoll — ein pseudonymes Verzeichnis von Vorgängen, etwa einer hochgeladenen Datei, eines geöffneten Links oder eines gelöschten Kontos. Es enthält keine Inhalte. 5 Jahre gespeichert.
• App-Analyse und Absturzberichte — nur, wenn Sie in der App Analysen erlauben. Dann erhält Firebase (Google) Nutzungsereignisse der App, Gerätetyp, App-Version und Absturzberichte. Sie können dies in den Einstellungen ausschalten.

Sie bezahlen Vita über den App Store von Apple oder über Google Play. Ihre Karte sehen wir nie. Wir erhalten Ihren Tarif, Kauf- und Verlängerungsdaten, den Abonnementstatus und die Transaktionskennungen des Stores. Für die Zahlung selbst gelten die Datenschutzerklärungen von Apple und Google.

Wenn Sie uns schreiben, erhalten wir, was Sie senden — Ihre E-Mail-Adresse, Ihren Namen, Ihre Nachricht und etwaige Anhänge. Wir verwenden dies, um Ihnen zu antworten und den Vorgang zu dokumentieren.

In der iPhone-App ab Version 3.6.3 können Sie Vita im Chat bitten, Ihre Sprache, Ihr Land, Ihre Mitteilungen, Marketing-E-Mails, die Darstellung oder eine Profilangabe zu ändern oder einen Befund für ein anderes Land zu lesen, ohne Ihr Land zu ändern. Die KI liest Ihre Bitte, unser Server nimmt die Änderung in Ihrem eigenen Konto vor, und der Chat zeigt, was wirklich geschehen ist, mit einer Rückgängig-Funktion, die 24 Stunden lang gilt.

Damit das Rückgängigmachen funktioniert, protokollieren wir jede Änderung: worum gebeten wurde, den vorherigen Wert und den Zeitpunkt. Das Protokoll kann Gesundheitsangaben enthalten, etwa einen früheren Allergie-Eintrag oder einen Fakt, den Vita vergessen sollte. Apple Health oder eine Klinik entfernen, Dateien löschen, sich abmelden, das Konto löschen und „Vita für mich personalisieren“ ein- oder ausschalten (Abschnitt 6.1) erfordern immer Ihr eigenes Tippen. Andere Bitten, etwa ein Medikament hinzuzufügen, öffnen den passenden Bildschirm.

Ab iPhone-App-Version 3.6.3 speichert Vita, wenn Sie auf der Einwilligungskarte zugestimmt haben (Abschnitt 6.1), jeden Wert, den eine Antwort aus einem Befund gelesen hat: den Namen des Tests wie gedruckt, den Wert und die Einheit, den gedruckten Referenzbereich, eine Markierung als hoch oder niedrig und das auf dem Befund gedruckte Datum, falls es eines gibt. Jeder Wert ist mit der Person, dem Dokument und der Antwort verknüpft. Nennt der Befund kein Datum, bleibt es unbekannt; Vita setzt dafür nie das Datum des Hochladens ein.

Diese Werte stammen nur aus Antworten von Vita. Versiegelte Dateien der Gesundheitsakte liest Vita dafür nie. Klinikergebnisse bleiben auf Ihrem Smartphone und werden dafür nicht hochgeladen.

Die Werte werden in jedem Tarif gespeichert, auch in einem kostenlosen Konto, damit sie da sind, wenn Sie später einen Tarif wählen. Der Vergleich im Zeitverlauf gehört zu einem kostenpflichtigen Tarif: Vita zeigt, ob ein Wert gestiegen, gesunken oder etwa gleich geblieben ist, neben dem gedruckten Bereich. Das berechnet Code aus den gespeicherten Werten, und zwei Werte werden nur verglichen, wenn sich ihre Einheiten umrechnen lassen. In einem kostenpflichtigen Tarif gehen Ihre früheren Werte für dieselben Tests mit einem neuen Befund an Google, damit die Antwort sie vergleichen kann. Vita nennt einen Wert nicht besser oder schlechter und sagt nichts voraus.

Wenn Sie eine Unterhaltung, ein Dokument oder eine Person löschen, werden deren Werte gelöscht; liest Vita einen Befund erneut, ersetzen die neuen Werte die alten. Mit Ihrem Konto werden sie ebenfalls gelöscht. Nehmen Sie Ihr Ja zurück, werden keine neuen Werte mehr gespeichert; die vorhandenen bleiben, bis Sie sie löschen oder uns darum bitten.

Ab iPhone-App-Version 3.6.3 nutzen einige Funktionen Ihre Gesundheitsdaten auf neue Weise und brauchen deshalb zuerst Ihr eigenes Ja: das Speichern dessen, was Sie Vita sagen, in einem Profil (Abschnitt 4.4), das Speichern der Werte, die eine Antwort aus einem Befund gelesen hat (Abschnitt 4.13), der vorgeschlagene nächste Schritt (Abschnitt 4.9) und Tarifangebote in der App (Abschnitt 5). Zwei weitere Funktionen kommen mit demselben Ja, und sie geschehen nur, wenn Sie darum bitten: Änderungen im Chat (Abschnitt 4.12) und das erneute Lesen eines Dokuments (Abschnitt 4.3).

Ein neues Konto wird bei der Registrierung gefragt, auf einem eigenen Bildschirm direkt nach der Einwilligung in die Verarbeitung von Gesundheitsdaten; ein Ja dort gilt sofort. Ist Ihr Konto älter, erscheint die Karte, wenn Sie die App am 4. November 2026 oder danach das nächste Mal öffnen: Ein Bildschirm sagt, was neu ist, und bittet um ein Ja, und ein Ja gilt sofort, nie vor diesem Datum. In beiden Fällen ist es ein eigenes Tippen, getrennt von allen Bedingungen, und für Ihr Konto ändert sich nichts, bevor Sie Ja sagen. Wir speichern Ihre Antwort mit dem Ort, an dem Sie sie gegeben haben, dem Datum, der Fassung des Wortlauts und der Sprache der App.

Ein Nein lässt Vita, wie es heute ist. Diese Funktionen bleiben ausgeschaltet. Ihre Antworten, Ihre Unterlagen und Ihr Tarif bleiben, wie sie sind, und die Tarife stehen weiter wie heute in der App. Nach einem Nein auf der Einwilligungskarte erscheint sie innerhalb eines Monats nicht erneut. Nach jedem Nein zeigt eine Karte auf dem Bildschirm „Heute“, dass die Personalisierung aus ist; sie öffnet die Einwilligungskarte nur, wenn Sie darauf tippen, und Sie können sie schließen.

Ihre Antwort ändern. Der Schalter „Vita für mich personalisieren“ unter Einstellungen › Einwilligung Gesundheitsdaten ändert sie jederzeit, mit einem Tippen in jede Richtung. Einschalten ist ein Ja, genau wie auf der Karte. Ausschalten ist ein Nein, und diese Funktionen enden sofort. Was bereits gespeichert ist, wird dadurch nicht gelöscht; Abschnitt 12 sagt, wie lange es jeweils aufbewahrt wird. Schalten Sie es mit dem Schalter aus, erscheint die Einwilligungskarte nicht mehr von selbst. Sie können uns auch an privacy@vitamedas.com schreiben. Wir speichern den Zeitpunkt jeder Änderung. Ein Chat kann den Schalter nicht ein- oder ausschalten. Wenn Sie Ihre Einwilligung in die Verarbeitung von Gesundheitsdaten widerrufen, endet auch dieses Ja, und eine spätere neue Einwilligung bringt es nicht zurück.

Unsere Server werden von der Hetzner Online GmbH in Helsinki, Finnland (EU) betrieben. Dort ist Folgendes in einer Form gespeichert, die unsere Systeme lesen können:

• Ihre Fragen, die Antworten von Vita und Sprachtranskripte;
• in einem Chat angehängte Dokumente und Fotos (im Ruhezustand mit einem Schlüssel verschlüsselt, den unser Server besitzt);
• Vitas Gedächtnis;
• Personen, Aufzeichnungen über Kinder, Medikamente und Daten des Zyklus-Trackers;
• Arztbesuchsseiten, Arztzusammenfassungen und Familien-Links;
• aus Ihren Befunden gelesene Werte (Abschnitt 4.13);
• Bewertungen und Notizen zu Antworten, das Protokoll der nächsten Schritte und das Protokoll der im Chat vorgenommenen Änderungen;
• Ihre Konto-, Geräte- und Abonnementdaten.

Ein Assistent kann keine Frage beantworten, die er nicht lesen kann; diese Daten sind daher nicht Ende-zu-Ende-verschlüsselt. Sicherungskopien dieser Datenbank liegen auf demselben Server in Finnland: eine Kopie pro Tag, 30 Tage lang, dazu wenn nötig eine zusätzliche Kopie unmittelbar vor einer Softwareänderung, die innerhalb von 35 Tagen entfernt wird. Etwas, das Sie löschen, kann deshalb bis zu 35 Tage in einer Sicherung verbleiben. Danach ist es endgültig entfernt.

Dateien in der Gesundheitsakte werden auf Ihrem Gerät — im Browser oder in der App — mit XChaCha20-Poly1305 verschlüsselt. Der Schlüssel entsteht aus Ihrem Passwort (über Argon2id) oder aus einem Geräteschlüssel, und nur Sie besitzen ihn. Unser Server speichert ausschließlich die verschlüsselte Datei. Einen Schlüssel hat er nicht. Daraus folgt:

• Wir können ein verlorenes Passwort nicht für Sie wiederherstellen. Zugang erhalten Sie über eine Wiederherstellungsmethode, die Sie eingerichtet haben — Ihre Wiederherstellungsphrase aus 24 Wörtern, einen Passkey oder Wiederherstellungsanteile, die Menschen Ihres Vertrauens verwahren. Ohne Passwort und ohne Wiederherstellungsmethode lassen sich die Dateien nicht öffnen.
• Wir können die Inhalte nicht herausgeben. Ordnet ein Gericht die Offenlegung von Inhalten der Gesundheitsakte an, können wir nur die verschlüsselte Datei und die in Abschnitt 4.7 genannten Angaben herausgeben. Wir informieren Sie über eine solche Anordnung, sofern das Gesetz es nicht verbietet.

Lesbar wird eine Datei aus der Gesundheitsakte nur, wenn Sie es so entscheiden:

• KI-Beschreibung, -Zusammenfassung oder -Übersetzung. Ihr Gerät öffnet diese eine Datei und sendet sie über unseren Server an die KI (Abschnitt 9). Wir behalten nur einen Fingerabdruck (Hash) davon.
• Vita aus einem Dokument lernen lassen. Wenn Sie Vita aus einem Dokument der Gesundheitsakte lernen lassen, wird eine Zusammenfassung — Befunde, Werte, Medikamente und Berichtstext — an unseren Server gesendet und dort als lesbare Fakten gespeichert (Abschnitt 7.1).
• Arzt-Links. Wer einen Link und den zugehörigen Code besitzt, kann die davon erfassten Unterlagen öffnen, bis der Link abläuft oder Sie ihn widerrufen.
• Zuerst in einem Chat angehängte Dokumente. Wenn Sie ein Dokument in einem Chat anhängen und es danach in Ihrer Gesundheitsakte speichern, besitzt unser Server bereits eine lesbare Kopie (Abschnitt 4.3). Die versiegelte Kopie in der Gesundheitsakte kommt hinzu; sie ersetzt die lesbare Kopie nicht.

Unterlagen und Messwerte aus Apple Health oder Health Connect sowie Medicare- und Klinikdaten, falls Sie diese verbinden, werden auf Ihrem Smartphone gespeichert, nicht auf unseren Servern. Eine kurze Zusammenfassung wird einer Frage nur beigefügt, um Ihnen eine Antwort zu geben (Abschnitte 4.8 und 8). Ihr Smartphone teilt unserem Server außerdem mit, ob Apple Health und eine Klinik verbunden sind (Abschnitt 4.9), ohne Gesundheitswerte.

Nur befugte Mitarbeitende, und nur wenn es nötig ist: um eine Anfrage von Ihnen zu bearbeiten, um einen Sicherheitsvorfall zu untersuchen oder um Sicherheit und Qualität der Antworten von Vita zu prüfen. Jeder solche Zugriff auf Gesundheitsdaten einer anderen Person wird protokolliert. Niemand bei VitaMedas kann Ihre Gesundheitsakte lesen.

Wenn Sie in den Vereinigten Staaten bei Medicare versichert sind und die Verbindung herstellen, erhält Vita Daten von den Centers for Medicare & Medicaid Services (CMS): Ihre Medicare-Abrechnungsdaten (Claims) — Part A (Krankenhaus), Part B (ärztliche und ambulante Leistungen) und Part D (verschreibungspflichtige Arzneimittel) — sowie Angaben zu Ihrem Versicherungsschutz. Abrechnungsdaten zeigen etwa Behandlungsdaten, die aufgesuchten Leistungserbringer, die erfassten Diagnosen und Eingriffe sowie eingelöste Rezepte. Ihren Namen, Ihr Geburtsdatum und Ihre Anschrift fordern wir bei Medicare nicht an; diese Angaben werden uns daher nicht übermittelt.

Abrechnungsdaten zu Substanzgebrauchsstörungen fordern wir nicht an.

• Sie melden sich auf der Website von Medicare an, nicht in Vita. Ihren Benutzernamen und Ihr Passwort für Medicare.gov fragen wir nie ab, sehen sie nie und speichern sie nie.
• Medicare stellt uns daraufhin Zugriffstoken aus. Unser Server speichert nur diese Token.
• Die Verbindung besteht fortlaufend, für bis zu 13 Monate. In dieser Zeit ruft Vita Ihre Abrechnungsdaten nur ab, wenn Sie darum bitten. Nach 13 Monaten endet der Zugriff, und Sie müssen die Verbindung neu herstellen, wenn Sie sie weiter nutzen möchten.
• Ihre Abrechnungsdaten bleiben auf Ihrem Smartphone. Auf Ihre Anforderung ruft unser Server die Daten bei Medicare ab, fasst sie zusammen und übergibt die Zusammenfassung an Ihr Smartphone. Ihr Smartphone speichert sie. Unser Server behält keine Kopie.
• Wenn Sie eine Frage stellen, wird die Zusammenfassung beigefügt, damit die KI antworten kann — wie bei Apple Health (Abschnitt 9). Das geschieht nur bei Fragen, die Sie stellen, und nur mit Ihrer Einwilligung.

Wir geben Ihre Medicare-Daten an niemanden weiter. Die einzige Ausnahme ist die oben beschriebene Verarbeitung durch die KI, die nur erfolgt, um eine Frage von Ihnen zu beantworten, und nur mit Ihrer Einwilligung. Wir verkaufen Medicare-Daten nie, nutzen sie nie für Werbung und nie zum Training von KI.

• Sie können die Verbindung jederzeit in der App trennen. Wir widerrufen dann den Zugriff von Vita bei Medicare, löschen die Token von unserem Server und löschen gleichzeitig die Medicare-Kopie auf Ihrem Smartphone.
• Wenn Sie Vita nicht mehr nutzen, endet die Verbindung von selbst, sobald ihre Laufzeit abläuft — spätestens 13 Monate nach dem Verbinden. Ohne Sie können wir sie nicht verlängern.
• Wenn Sie Ihr Vita-Konto löschen, widerrufen wir im Rahmen der Löschung den Zugriff bei Medicare und löschen die Token. Wenn Sie die App von Ihrem Smartphone entfernen, wird auch die Kopie auf dem Smartphone entfernt.

Ihre Rechte an diesen Daten finden Sie in Abschnitt 14, wie wir Sie über Änderungen informieren in Abschnitt 20 und was wir nach einer Datenschutzverletzung tun in Abschnitt 13.

Dieses Produkt nutzt die Blue Button APIs, ist jedoch weder von den Centers for Medicare & Medicaid Services noch vom U.S. Department of Health and Human Services gebilligt oder zertifiziert.

Maßgeblicher Wortlaut: This product uses the Blue Button APIs but is not endorsed or certified by the Centers for Medicare & Medicaid Services or the U.S. Department of Health and Human Services.

In den Vereinigten Staaten erlauben viele Kliniken und Praxen ihren Patientinnen und Patienten, eine App ihrer Wahl mit ihrem Patientenportal zu verbinden. Wenn Sie eine verbinden, melden Sie sich auf der eigenen Anmeldeseite der Klinik mit Ihren eigenen Portal-Zugangsdaten an. Dieses Passwort fragen wir nie ab, sehen es nie und speichern es nie.

• Was ankommt: die Unterlagen, die die Klinik Ihnen über ihren Patientenzugang freigibt — Laborwerte, Vitalwerte, Erkrankungen, Medikamente, Allergien, Impfungen, Eingriffe, Besuchs- und Befundzusammenfassungen sowie die identifizierenden Angaben, die zu Ihrer Akte gehören.
• Wohin es geht: direkt auf Ihr Smartphone. Ihr Smartphone meldet sich an, lädt die Unterlagen herunter und versiegelt sie mit einem Schlüssel, den nur dieses Smartphone besitzt. Die Zugriffstoken liegen im geschützten Speicher Ihres Smartphones. Unsere Server erhalten weder die Unterlagen noch die Token. Ihr Smartphone teilt unserem Server nur mit, dass eine Klinik verbunden ist, nicht welche (Abschnitt 4.9).
• Wenn Sie eine Frage stellen, während „Gesundheitsdaten in Antworten verwenden“ eingeschaltet ist, wird mit dieser Frage eine kurze Zusammenfassung an den KI-Dienst gesendet (Abschnitt 9), wie bei Apple Health, zusammen mit den Zeilen Ihrer Unterlagen, um die es in der Frage geht; diese findet Ihr Smartphone selbst. Die Zusammenfassung wird nicht als Unterlage gespeichert. Eine Antwort, die daraus zitiert, wird mit Ihrer Unterhaltung auf unseren Servern gespeichert, und Vita kann sich daraus einen kurzen Fakt merken. Wenn Sie bei einem Eintrag auf „Fragen“ tippen, werden dessen Name und Wert in Ihre Frage geschrieben, damit Sie sie senden oder ändern können; eine gesendete Frage wird wie jede andere mit Ihrer Unterhaltung gespeichert. Sie können all das löschen.
• Vita liest nur. Vita schreibt nie in Ihre Klinikakte und ändert sie nie.
• Wenn Sie die Verbindung trennen, aktualisiert Vita nicht mehr und bittet die Klinik, den Zugriff zu beenden, und Sie entscheiden, ob die Unterlagen auf Ihrem Smartphone bleiben oder gelöscht werden. Wenn Sie sich von Vita abmelden, zu einem anderen Konto wechseln, die Person in Vita löschen oder Ihr Konto löschen, werden die Unterlagen und Token von Ihrem Smartphone gelöscht, und die Klinik wird gebeten, den Zugriff zu beenden. In der App ab Version 3.6.3 gilt das auch, wenn sich ein anderes Konto ohne vorherige Abmeldung anmeldet. Wenn Sie die Person oder Ihr Konto auf einem anderen Gerät löschen, geschieht das, sobald Vita das nächste Mal auf diesem Smartphone geöffnet wird. Manche Kliniken lassen nicht zu, dass eine App den Zugriff für Sie beendet: Entfernen Sie Vita dann in den Einstellungen Ihres Patientenportals.
• Abgesehen von dem, was wie oben beschrieben mit Ihren Fragen gesendet wird, geben wir Klinikunterlagen an niemanden weiter. Wir verkaufen sie nie, nutzen sie nie für Werbung und nie zum Training von KI.
• Unterlagen einer anderen Person. Ab App-Version 3.6.3 bestätigen Sie mit einem Tippen, bevor Sie sich im Portal einer anderen Person anmelden: „Ich habe die Erlaubnis, die Unterlagen dieser Person einzusehen.“ Verbinden Sie sie nur, wenn das stimmt, zum Beispiel als Elternteil oder gesetzlicher Vertreter oder über Ihren eigenen Vertretungszugang bei der Klinik.
• Wenn jemand Ihre Unterlagen ohne Ihre Erlaubnis verbunden hat. Das gilt für einen Elternteil und für jede andere Person, und Sie brauchen kein Vita-Konto. Entfernen Sie Vita in den Einstellungen Ihres Patientenportals: Damit endet der Zugriff der App. Schreiben Sie dann an privacy@vitamedas.com, wenn möglich mit der E-Mail-Adresse des Vita-Kontos. Wir prüfen Ihre Anfrage. Wir können Sie als Person in diesem Konto löschen, mit dem, was unsere Server dort über Sie speichern. Wurden die Unterlagen für Sie als diese Person verbunden, werden sie dadurch auch vom Smartphone gelöscht, sobald Vita dort das nächste Mal geöffnet wird. Wir besitzen keine Kopie der Unterlagen und können ein Smartphone auf keinem anderen Weg erreichen.

• Wir informieren Sie ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung der Verletzung, wie es die Health Breach Notification Rule der US-amerikanischen Federal Trade Commission verlangt. Wir teilen Ihnen mit, was geschehen ist, welche Daten betroffen sind und was Sie tun können.
• Wir informieren die Behörden: die FTC (und, soweit diese Regel es verlangt, die Medien) sowie Behörden der US-Bundesstaaten, soweit deren Recht es verlangt; in der EU und im Vereinigten Königreich die zuständige Datenschutzaufsichtsbehörde binnen 72 Stunden, soweit Art. 33 DSGVO bzw. UK GDPR dies verlangt; in der Türkei die Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) binnen 72 Stunden (Art. 12 Abs. 5 KVKK).
• Hat eine Verletzung voraussichtlich ein hohes Risiko für Sie zur Folge, benachrichtigen wir Sie unmittelbar und unverzüglich (Art. 34 DSGVO).