Datenschutzerklärung Brainy

Brainy fungiert als Auftragsverarbeiter für Ihre berufliche Datenverarbeitung. Sie sind Verantwortlicher im Sinne der DSGVO.

Rechtsgrundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Für den Betrieb und die Verbesserung unserer Brainy Plattform verarbeiten wir Daten für eigene Geschäftszwecke.

Die Einzelheiten der Auftragsverarbeitung sind in unserem separaten Auftragsverarbeitungsvertrag (AVV) geregelt, der folgende Punkte umfasst:

Der AVV ist integraler Bestandteil Ihres Nutzungsvertrags. Informationen zu eingesetzten Unterauftragsverarbeitern, zu Standardvertragsklauseln und zu zusätzlichen Schutzmaßnahmen stellen wir auf Anfrage zur Verfügung.

Bei der Verarbeitung von Gesundheitsdaten über Brainy sind Sie als Auftraggeber verantwortlich für:

Unsere Empfehlung: Verwenden Sie für Gesundheitsdaten ausschließlich mit „EU“ gekennzeichnete KI-Modelle.

Brainy bietet KI-Modelle in drei Kategorien an: „EU“ (vollständige Verarbeitung in der EU), „DSGVO“ (Speicherung in der EU, Inference-Verarbeitung ggf. auch außerhalb der EU) und „Weltweit“ (derzeit Verarbeitung und Speicherung in den USA). Jedes KI-Modell ist in der Anwendung transparent mit seiner Kategorie gekennzeichnet.

Standardmäßig stehen Ihnen alle verfügbaren KI-Modelle aller Kategorien zur Auswahl. Die Auswahl eines Modells der Kategorie „DSGVO“ oder „Weltweit“ durch Sie oder Ihre autorisierten Nutzer gilt als dokumentierte Weisung zur Verarbeitung gemäß den Bedingungen der jeweiligen Kategorie, einschließlich der damit verbundenen Drittlandübermittlungen.

Nutzen Sie innerhalb eines Workflows Modelle unterschiedlicher Kategorien, wird der gesamte Workflow mit der Kategorie des am weitesten reichenden Modells gekennzeichnet (Prinzip des schwächsten Glieds).

Sie können die zulässigen Modell-Kategorien für Ihre gesamte Organisation jederzeit durch eine einmalige schriftliche Weisung auf „Nur EU“ oder „EU + DSGVO“ einschränken. Nach Umsetzung der Einschränkung werden Modelle ausgeschlossener Kategorien in der Benutzeroberfläche nicht mehr angeboten. Die Einschränkung kann jederzeit durch eine neue Weisung geändert oder aufgehoben werden.

Für die Drittlandübermittlungen setzen wir EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und zusätzliche technische und organisatorische Schutzmaßnahmen ein. Für sensible Daten (insbesondere Art. 9 DSGVO) empfehlen wir die ausschließliche Nutzung EU-gehosteter Modelle.

Microsoft Ireland Operations Ltd. (Azure OpenAI, Deployment-Typ „Global Standard“) – KI-Modelle, bei denen die Speicherung in der EU erfolgt, die Inference-Verarbeitung jedoch global (einschließlich USA) stattfinden kann. Rechtsgrundlage: EU-Standardvertragsklauseln und zusätzliche Schutzmaßnahmen. Nutzung nur auf Ihre dokumentierte Weisung.

Nango Inc. (USA, mit EU-Rechenzentrumsoptionen) – Bereitstellung der technischen Infrastruktur für Konnektoren zu Drittdiensten; sichere Verwahrung von Connector-Credentials (OAuth-Tokens, API-Schlüssel); technische Abwicklung von API-Aufrufen. Nango verarbeitet ausschließlich Connector-Credentials und technische Metadaten; Inhalte aus Drittdiensten werden nur transient weitergeleitet und nicht dauerhaft gespeichert. Rechtsgrundlage: EU-Standardvertragsklauseln.

Rechtsgrundlage für Übermittlungen: EU-Standardvertragsklauseln (Art. 46 DSGVO) und zusätzliche Schutzmaßnahmen; Nutzung nur auf Ihre dokumentierte Auswahl/Weisung in der App.

Unsere primären Produktivsysteme sind auf EU-Rechenzentren ausgerichtet; planmäßige Übermittlungen in Drittländer erfolgen hierbei nicht. In Ausnahmefällen kann es zu unterstützungsbedingten Remote-Zugriffen aus Drittländern kommen. In solchen Fällen stellen wir geeignete Garantien gemäß Kapitel V DSGVO (z.B. Standardvertragsklauseln) sicher.

Wenn Sie in der App nicht EU-gehostete KI-Modelle auswählen, werden die hierfür erforderlichen Daten an Anbieter in Drittländern übermittelt und dort verarbeitet. Wir verwenden dafür EU-Standardvertragsklauseln (Art. 46 DSGVO) und zusätzliche Schutzmaßnahmen. Bitte beachten Sie, dass in einigen Drittländern (z.B. USA) ein gegenüber der EU niedrigeres Datenschutzniveau besteht und Behördenzugriffe möglich sind. Die Nutzung nicht EU-gehosteter Modelle ist optional; für sensible Daten empfehlen wir die ausschließliche Nutzung EU-gehosteter Modelle.

Wenn Sie Konnektoren zu Drittdiensten aktivieren, werden Connector-Credentials und technische Metadaten über die Infrastruktur von Nango Inc. (USA) verarbeitet. Die Übermittlung erfolgt auf Basis von EU-Standardvertragsklauseln. Inhalte aus Drittdiensten (Connector-Daten) werden durch Nango nur transient weitergeleitet und nicht dauerhaft gespeichert.

Für Ihre Kontodaten, Nutzungsstatistiken und technischen Daten sind wir direkt zuständig:

Auskunftsrecht (Art. 15 DSGVO)

Recht auf Berichtigung (Art. 16 DSGVO)

Recht auf Löschung (Art. 17 DSGVO)

Recht auf Einschränkung (Art. 18 DSGVO)

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO)

Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) und Deaktivierung von Nicht-EU-Modellen

Bei Betroffenenanfragen von Mitarbeitenden/Patienten/Mandanten/Dritten:

Unser Unterstützungsservice:

Ihre Verantwortung als Auftraggeber:

Verfahren bei Drittanfragen:

Kontaktaufnahme:

Unsere Bearbeitungsfristen:

Erforderliche Angaben:

Kostenfreiheit:

Bei Drittlandverarbeitung (US-Services):

Eingeschränkte Rechtsdurchsetzung möglich

Bei Löschung/Account-Schließung:

Vollständige Datenrückgabe möglich

Bei Geschäftsgeheimnissen/Berufsgeheimnissen:

Wir bemühen uns stets um einvernehmliche Lösungen und schnelle, unbürokratische Hilfe.

Diese Modelle werden mit dem Zusatz „EU“ gekennzeichnet und bieten ein höheres Datenschutzniveau, da die Verarbeitung innerhalb der EU erfolgt.

Die Nutzung nicht EU-gehosteter KI-Modelle ist optional und erfolgt nur auf Ihre dokumentierte Auswahl/Weisung in der App. Wir empfehlen, keine sensiblen personenbezogenen Daten über diese Modelle zu verarbeiten. Sie können jederzeit bei jeder Verarbeitungshandlung ein EU-gehostetes Modell auswählen. Darüber hinaus können Sie die zulässigen Modell-Kategorien für Ihre Organisation jederzeit mandantenweit einschränken (vgl. Ziff. 4.5).

Wir richten uns nach den Vorgaben des EU AI Act. Brainy ist in der Regel als KI‑System mit begrenztem Risiko anzusehen. Je nach konkretem Einsatzbereich beim Kunden kann jedoch eine Einordnung als Hochrisiko‑KI nach Anhang III der Verordnung in Betracht kommen (z.B. Personalwesen/Einstellung, Bildung/Eignungsprüfung, kritische Infrastrukturen).

Unsere Rolle (Anbieter/Provider): Wir erfüllen die einschlägigen Anbieterpflichten (u.a. Transparenz, Dokumentation, Cybersicherheit) nach Maßgabe der anwendbaren Fristen.

Ihre Rolle (Nutzer/Betreiber): Im Standardfall eines Systems mit begrenztem Risiko sind Sie als Betreiber insbesondere für die bestimmungsgemäße Nutzung des Systems gemäß der bereitgestellten Dokumentation sowie für die Sicherstellung einer ausreichenden KI-Kompetenz Ihrer Nutzer verantwortlich. Sollten Sie eine Nutzung als Hochrisiko-System beabsichtigen, gelten die weitergehenden gesetzlichen Betreiberpflichten.

Details: Risikoklassifizierung, Pflichtenverteilung und Compliance-Maßnahmen sind in unserer AI Act Compliance Notice beschrieben, sowie in der AVV, soweit datenschutzrechtliche Aspekte betroffen sind.

Über wesentliche Änderungen oder neue Pflichten informieren wir innerhalb der Anwendung.

Brainy bietet Agentic AI Funktionen, die es KI-Agenten ermöglichen, eigenständig Aufgaben auszuführen und über Konnektoren oder MCP-Server mit externen Systemen zu interagieren. Diese Funktionen sind optional und stehen nur in bestimmten Paketen zur Verfügung.

Konnektoren: Über Konnektoren kann Brainy sich im Ihrem Auftrag mit Drittdiensten verbinden (z. B. E-Mail, Dateispeicher, Kalender). Die technische Infrastruktur wird über Nango Inc. bereitgestellt. Sie entscheiden, welche Drittdienste verbunden werden und welche Zugriffsberechtigungen erteilt werden. Connector-Credentials werden verschlüsselt gespeichert.

MCP-Server: KI-Agenten können über MCP-Server auf Werkzeuge und Datenquellen zugreifen. Der Anbieter stellt eigene MCP-Server bereit (Anbieter-MCP-Server); Sie können zusätzlich eigene MCP-Server integrieren (Kunden-MCP-Server).

MCP-Tool-Steuerung (Default-Off): Alle Werkzeuge (Tools) eines MCP-Servers sind standardmäßig deaktiviert. Ein KI-Agent kann ein Tool erst nutzen, nachdem Sie oder ein autorisierter Administrator das Tool explizit aktiviert haben. Jede Aktivierung und Deaktivierung wird revisionssicher protokolliert. Diese Voreinstellung dient dem Schutz Ihrer Daten (Datenschutz durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 Abs. 2 DSGVO).

Transparenz: Für jedes MCP-Tool wird die vom MCP-Server bereitgestellte Beschreibung angezeigt. Bei Anbieter-MCP-Servern gewährleistet der Anbieter die Richtigkeit dieser Beschreibung. Bei Kunden-MCP-Servern stammt die Beschreibung vom externen Server und ist von Ihnen eigenständig zu verifizieren.

Protokollierung: Alle durch KI-Agenten ausgeführten Aktionen werden protokolliert und sind für Sie in der Anwendung einsehbar. Die Protokolle werden für mindestens 90 Tage aufbewahrt.

Weitere Details zu Ihren Pflichten bei der Nutzung von Agentic AI Funktionen finden Sie in unseren AGB (§ 6.8) sowie im Auftragsverarbeitungsvertrag (AVV).