Privacy PolicyDatenschutz­bestimmungen

meda as data processor. When our platform is used by a customer organisation (such as a medical practice, clinic, or hospital), that organisation is the data controller for the personal data processed within the platform, including:

• patient data, health records, and clinical information;
• account data for healthcare professionals and practice staff; and
• other personal data entered, uploaded, or generated within the platform by the customer.

4.1 Website Visitor Data

• Browser information (type, version, operating system)
• Usage data (pages visited, time spent, click patterns)
• Referrer URL and search terms
• Device information (screen resolution, device type)
• Cookies and tracking technologies (see Section 12)

4.2 Professional User Registration Data

• First and last name
• Email address
• Professional information (medical practice, specialty, licence)
• Phone number (optional)
• Feedback and support requests

4.3 Platform Usage Data

• Authentication data (login credentials, session tokens)
• Usage analytics (feature usage, session duration, error logs)
• Performance metrics (system response times, error rates)
• Feedback and support communications
• Technical logs (automatically anonymised after 30 days)

4.4 Special Categories of Data (Health Data)

Where our platform is used to support clinical documentation, we process special categories of data — in particular health data — solely as a data processor on behalf of our customers. Consultation audio is processed in real time and deleted immediately; it is never permanently stored.

We only process your personal data where we have a lawful basis under the GDPR. Depending on the context, we rely on:

• Art. 6(1)(a) GDPR — consent (e.g. contact forms, newsletter);
• Art. 6(1)(b) GDPR — performance of a contract (e.g. platform access);
• Art. 6(1)(c) GDPR — compliance with a legal obligation;
• Art. 6(1)(f) GDPR — legitimate interests (e.g. website operation, security, product development).

6.1 Website Operation

• Website provision and technical optimisation
• Usage statistics analysis (see Section 8)
• IT security assurance

6.2 Operating and Improving the Platform

• Function testing of AI-powered documentation software
• User feedback collection for product improvement
• Performance optimisation of the platform

6.3 Communication and Support

• Processing enquiries and technical support
• Information about product updates and new features

We do not sell, rent, or trade your personal data. We only disclose it where necessary for the purposes described in this policy and as permitted by law, with appropriate contractual safeguards in place. We may share data with:

• Service providers and sub-processors who process data on our documented instructions (see Section 8);
• Professional advisers such as lawyers, auditors, and tax advisers, where required;
• Authorities where required or permitted by law, or to establish, exercise, or defend legal claims;
• Successors in connection with a merger, acquisition, or reorganisation, subject to equivalent safeguards.

8.1 EU Cloud Hosting

• Server location: exclusively within the EU (France) — GDPR compliant
• Full audit logging of all access; medical notes encrypted with AES-256

8.2 AI Processing (Medical Documentation)

For transcription and for structuring the documentation we use third-party language models obtained through a routing service.

• No storage at the model providers: we use only endpoints with contractually assured zero data retention.
• Audio: held during processing and deleted immediately once the transcript is created.

8.3 Website Analytics

• Analytics: We use Plausible Analytics, a privacy-friendly tool hosted in the EU. It uses no cookies, collects no personal data, and transfers no data outside the EU.
• Booking and contact: When you book a meeting or contact us, we use HubSpot (EU "eu1" data centre) for scheduling and contact management. Where data is transferred to the US, this is based on the EU-US Data Privacy Framework and/or EU Standard Contractual Clauses. The booking calendar does not load with our pages: HubSpot is contacted only when you click „Book a call“; the calendar then opens in a window on our website.

8.4 Website Operation

On access, technically necessary connection data (IP address, timestamp, page requested, browser identifier) is processed. Legal basis: Art. 6(1)(f) GDPR. Retention: see Section 10. Fonts are served from our own servers; no connection is made to Google Fonts or any other external font service.

8.5 WhatsApp

Our website offers a WhatsApp link. If you use it, WhatsApp Ireland Limited processes your number, message content and usage data under its own terms. Legal basis for our handling: Art. 6(1)(b) or (f) GDPR. Please do not send patient or health data via WhatsApp. Use support@mymeda.ai instead.

8.6 Payment Processing

For paid contracts we use Stripe (Stripe Payments Europe, Limited, Ireland). We do not receive card details. Legal basis: Art. 6(1)(b) GDPR; for retention Art. 6(1)(c) GDPR with § 147 AO and § 257 HGB.

8.7 Job Applications

Application materials are processed solely to conduct the application procedure. Legal basis: § 26(1) BDSG with Art. 88 GDPR, and § 26(3) BDSG for special-category information. Deleted six months after conclusion unless you agree to longer retention.

Under the GDPR you have the following rights in relation to your personal data:

Right of access (Art. 15)

confirmation of whether we process your data and a copy of it.

Right to rectification (Art. 16)

correction of inaccurate or incomplete data.

Right to erasure (Art. 17)

deletion of your data in the circumstances set out in the GDPR.

Right to restriction (Art. 18)

limitation of processing in certain cases.

Right to data portability (Art. 20)

receipt of your data in a structured, machine-readable format.

Right to object (Art. 21)

objection to processing based on legitimate interests or for direct marketing.

Right to withdraw consent

at any time, without affecting prior lawful processing.

meda als Auftragsverarbeiter. Wenn unsere Plattform von einer Kundenorganisation (z. B. einer Arztpraxis, Klinik oder einem Krankenhaus) genutzt wird, ist diese Organisation der Verantwortliche für die innerhalb der Plattform verarbeiteten personenbezogenen Daten, einschließlich:

• Patientendaten, Krankenakten und klinischer Informationen;
• Kontodaten von medizinischem Fachpersonal und Praxispersonal; sowie
• sonstiger personenbezogener Daten, die vom Kunden innerhalb der Plattform eingegeben, hochgeladen oder generiert werden.

4.1 Daten von Website-Besuchern

• Browser-Informationen (Typ, Version, Betriebssystem)
• Nutzungsdaten (besuchte Seiten, Verweildauer, Klickverhalten)
• Referrer-URL und Suchbegriffe
• Geräteinformationen (Bildschirmauflösung, Gerätetyp)
• Cookies und Tracking-Technologien (siehe Abschnitt 12)

4.2 Registrierungsdaten für professionelle Nutzer

• Vor- und Nachname
• E-Mail-Adresse
• Berufliche Informationen (Arztpraxis, Fachgebiet, Zulassung)
• Telefonnummer (optional)
• Feedback und Support-Anfragen

4.3 Nutzungsdaten der Plattform

• Authentifizierungsdaten (Anmeldedaten, Sitzungs-Token)
• Nutzungsanalysen (Funktionsnutzung, Sitzungsdauer, Fehlerprotokolle)
• Leistungskennzahlen (Systemreaktionszeiten, Fehlerraten)
• Feedback und Support-Kommunikation
• Technische Protokolle (werden nach 30 Tagen automatisch anonymisiert)

4.4 Besondere Kategorien personenbezogener Daten (Gesundheitsdaten)

Wenn unsere Plattform zur Unterstützung der klinischen Dokumentation genutzt wird, verarbeiten wir besondere Kategorien personenbezogener Daten – insbesondere Gesundheitsdaten – ausschließlich als Auftragsverarbeiter im Auftrag unserer Kunden. Audioaufnahmen von Beratungsgesprächen werden in Echtzeit verarbeitet und sofort gelöscht; sie werden zu keinem Zeitpunkt dauerhaft gespeichert.

Wir verarbeiten Ihre personenbezogenen Daten nur, wenn hierfür eine Rechtsgrundlage gemäß der DSGVO vorliegt. Je nach Kontext stützen wir uns auf:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Kontaktformulare, Newsletter);
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (z. B. Zugang zur Plattform);
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung;
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (z. B. Website-Betrieb, Sicherheit, Produktentwicklung).

6.1 Website-Betrieb

• Bereitstellung und technische Optimierung der Website
• Analyse von Nutzungsstatistiken (siehe Abschnitt 8)
• Gewährleistung der IT-Sicherheit

6.2 Betrieb und Weiterentwicklung der Plattform

• Funktionstests der KI-gestützten Dokumentationssoftware
• Einholung von Nutzerfeedback zur Produktverbesserung
• Leistungsoptimierung der Plattform

6.3 Kommunikation und Support

• Bearbeitung von Anfragen und technischer Support
• Informationen zu Produktaktualisierungen und neuen Funktionen

Wir verkaufen, vermieten oder handeln nicht mit Ihren personenbezogenen Daten. Wir geben diese nur weiter, wenn dies für die in dieser Richtlinie beschriebenen Zwecke erforderlich und gesetzlich zulässig ist, wobei entsprechende vertragliche Schutzmaßnahmen bestehen. Wir können Daten weitergeben an:

• Dienstleister und Auftragsverarbeiter, die Daten auf der Grundlage unserer dokumentierten Weisungen verarbeiten (siehe Abschnitt 8);
• Berater wie Rechtsanwälte, Wirtschaftsprüfer und Steuerberater, sofern erforderlich;
• Behörden, wenn dies gesetzlich vorgeschrieben oder zulässig ist oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient;
• Rechtsnachfolger im Zusammenhang mit einer Fusion, Übernahme oder Umstrukturierung, vorbehaltlich gleichwertiger Schutzmaßnahmen.

8.1 EU-Cloud-Hosting

• Serverstandort: ausschließlich innerhalb der EU (Frankreich) – DSGVO-konform
• Vollständige Audit-Protokollierung aller Zugriffe; medizinische Notizen mit AES-256 verschlüsselt

8.2 KI-Verarbeitung (medizinische Dokumentation)

Für die Transkription und Strukturierung der Dokumentation setzen wir Sprachmodelle von Drittanbietern ein, die wir über einen Routing-Dienst beziehen.

• Keine Speicherung bei den Modellanbietern: Wir nutzen ausschließlich Endpunkte mit vertraglich zugesicherter Nichtspeicherung.
• Audio: wird während der Verarbeitung gehalten und unmittelbar nach Erstellung des Transkripts gelöscht.

8.3 Webanalyse und Tools

• Analyse: Wir verwenden Plausible Analytics, ein datenschutzfreundliches Tool mit Hosting in der EU. Es setzt keine Cookies, erhebt keine personenbezogenen Daten und übermittelt keine Daten außerhalb der EU.
• Terminbuchung und Kontakt: Bei der Buchung eines Termins oder einer Kontaktaufnahme nutzen wir HubSpot (EU-Rechenzentrum „eu1“) zur Terminvereinbarung und Kontaktverwaltung. Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln. Der Buchungskalender wird nicht mit unseren Seiten geladen: HubSpot wird erst kontaktiert, wenn Sie auf „Termin buchen“ klicken; der Kalender öffnet sich dann in einem Fenster auf unserer Website.

8.4 Website-Betrieb

Beim Aufruf dieser Website werden technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung) verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: siehe Abschnitt 10. Schriftarten werden von unseren eigenen Servern ausgeliefert; eine Verbindung zu Google Fonts oder anderen externen Schriftdiensten findet nicht statt.

8.5 WhatsApp

Auf unserer Website bieten wir einen Link zu WhatsApp an. Wenn Sie ihn nutzen, verarbeitet WhatsApp Ireland Limited Ihre Rufnummer, Nachrichteninhalte und Nutzungsdaten nach eigenen Bestimmungen. Rechtsgrundlage für unsere Bearbeitung: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Bitte übermitteln Sie uns über WhatsApp keine Patienten- oder Gesundheitsdaten. Nutzen Sie dafür support@mymeda.ai.

8.6 Zahlungsabwicklung

Für kostenpflichtige Verträge nutzen wir Stripe (Stripe Payments Europe, Limited, Irland). Kartendaten erhalten wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB.

8.7 Bewerbungen

Bewerbungsunterlagen verarbeiten wir ausschließlich zur Durchführung des Bewerbungsverfahrens. Rechtsgrundlage: § 26 Abs. 1 BDSG i. V. m. Art. 88 DSGVO, bei besonderen Kategorien § 26 Abs. 3 BDSG. Löschung sechs Monate nach Abschluss, sofern Sie einer längeren Aufbewahrung nicht zugestimmt haben.

Gemäß der DSGVO haben Sie in Bezug auf Ihre personenbezogenen Daten folgende Rechte:

Recht auf Auskunft (Art. 15)

Bestätigung darüber, ob wir Ihre Daten verarbeiten, sowie Erhalt einer Kopie dieser Daten.

Recht auf Berichtigung (Art. 16)

Korrektur unrichtiger oder unvollständiger Daten.

Recht auf Löschung (Art. 17)

Löschung Ihrer Daten unter den in der DSGVO genannten Voraussetzungen.

Recht auf Einschränkung der Verarbeitung (Art. 18)

Einschränkung der Verarbeitung in bestimmten Fällen.

Recht auf Datenübertragbarkeit (Art. 20)

Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format.

Widerspruchsrecht (Art. 21)

Widerspruch gegen die Verarbeitung aufgrund berechtigter Interessen oder zu Zwecken der Direktwerbung.

Recht auf Widerruf der Einwilligung

jederzeit möglich, ohne die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung zu berühren.