Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Wir haben keinen Datenschutzbeauftragten im Sinne des Art. 37 DSGVO benannt. Für Fragen zum Datenschutz oder zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte an:

Wir beantworten Ihre Anfrage innerhalb eines Monats nach Eingang gemäß Art. 12 Abs. 3 DSGVO. Bei komplexen oder zahlreichen Anfragen kann sich diese Frist um weitere zwei Monate verlängern; darüber informieren wir Sie innerhalb des ersten Monats.

Im Rahmen der Nutzung unserer Plattform verarbeiten wir die folgenden Kategorien personenbezogener Daten:

• Kontodaten: Name, E-Mail-Adresse, gehashtes Passwort, Rolle, Mandanten-Zugehörigkeit sowie, wenn Sie die Zwei-Faktor-Authentifizierung aktivieren, das verschlüsselte Geheimnis und die Ersatzcodes
• Sitzungsdaten: Audiotranskriptionen, KI-generierte Berichte, Sitzungsmetadaten (Dauer, Typ, Zeitstempel)
• Gesundheitsbezogene Daten: Informationen, die während therapeutischer oder beratender Sitzungen über NinaSession erfasst werden (besondere Kategorie gemäß Art. 9 DSGVO)
• Technische Daten: IP-Adresse, Browser-Typ, Geräteinformationen, JWT-Sitzungs-Token
• Zahlungsdaten: Abrechnungsinformationen, die über Stripe verarbeitet werden (wir speichern keine vollständigen Zahlungskartendaten)
• Kommunikationsdaten: Supportanfragen, E-Mail-Korrespondenz
• Remote-Sitzungsdaten: Gastname, E-Mail-Adresse (falls angegeben), Einwilligungsstatus
• Hochgeladene Dokumente: Kontextdokumente, die einer Sitzung für die KI-Analyse beigefügt werden
• KI-Chat und Wissensdatenbank: Inhalte Ihrer Unterhaltungen mit dem KI-Assistenten (Chatverlauf) sowie Dokumente, die Sie in Ihre Bibliotheken (Wissensdatenbank) hochladen
• Vorlagenfüller: Dokumentvorlagen, Entwürfe und ausgefüllte Dokumente
• Chat-Widgets auf Kunden-Websites: Gesprächsstatistiken (Anzahl der Nachrichten, Sprache, Domain der Website) sowie Kontaktdaten, die im Formular des Widgets angegeben werden (Name, E-Mail-Adresse, Telefonnummer)
• Einwilligungsnachweise: Ihre Entscheidungen zu Einwilligungen (z. B. im Cookie-Banner) mit einem Hashwert Ihrer IP-Adresse und einer gekürzten Browserkennung
• Anonymisierungszuordnungen: Zuordnungstabellen für die PII-Anonymisierung, verschlüsselt gespeichert

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage der folgenden Rechtsgrundlagen der DSGVO:

Die Verarbeitung besonderer Kategorien personenbezogener Daten erfolgt auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) in Verbindung mit den folgenden Schutzmaßnahmen:

• Vor der Übermittlung an KI-Sprachmodelle erfolgt eine automatische PII-Anonymisierung
• Transportverschlüsselung (TLS 1.2 oder höher)
• Mandantenisolierung auf Datenbankebene (Multi-Tenant-Architektur)
• Rollenbasierte Zugriffskontrolle (RBAC) mit minimalen Berechtigungen
• Audioaufnahmen werden ausschließlich zur Transkription verarbeitet (auf unseren Servern und bei unserem Spracherkennungsanbieter in der EU) und nicht dauerhaft gespeichert

Unsere Plattform setzt KI-Modelle zur Verarbeitung von Sitzungstranskriptionen und zur Erstellung analytischer Berichte ein. Dies stellt eine automatisierte Verarbeitung im Sinne von Art. 22 DSGVO dar.

Wir stellen klar:

• Es erfolgt kein Profiling von Nutzern oder deren Klienten
• KI-generierte Berichte stellen keine medizinischen Diagnosen dar
• Es werden keine automatisierten Entscheidungen mit rechtlicher Wirkung getroffen
• Alle KI-Ausgaben dienen ausschließlich als Hilfsmittel für den Fachbenutzer

Wir setzen die folgenden Dienstleister ein:

Unsere Trust-Seite führt die eingesetzten Dienstleister auf und zeigt, wo ein Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) noch abzuschließen ist. Anbieter in den USA erhalten keine Sitzungsinhalte, sondern ausschließlich Konto- und Abrechnungsdaten oder Daten zum Schutz der Formulare vor Missbrauch.

Soweit personenbezogene Daten an Empfänger in Drittländern übermittelt werden (d. h. Länder außerhalb des Europäischen Wirtschaftsraums), erfolgt dies auf Grundlage folgender Garantien:

• Angemessenheitsbeschluss: Für Länder mit einem Angemessenheitsbeschluss der EU-Kommission (z. B. EU-US Data Privacy Framework)
• Standardvertragsklauseln (SCCs): Gemäß Art. 46 Abs. 2 lit. c DSGVO, in der von der EU-Kommission am 4. Juni 2021 genehmigten Fassung
• Technische Maßnahmen: Verschlüsselung bei der Übertragung, Pseudonymisierung und PII-Anonymisierung vor der Datenübermittlung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Kontodaten: Bis zur Löschung des Kontos durch den Nutzer, zuzüglich gesetzlicher Aufbewahrungsfristen
• Sitzungsdaten (Transkript, Berichte, beigefügte Dokumente): Bis Sie die Sitzung finalisieren oder löschen oder Ihr Konto löschen. Wir löschen diese Daten nicht automatisch nach einer festen Frist. Die Finalisierung löscht Transkript, Dokumente, Berichte und die Anonymisierungszuordnung dauerhaft und unwiderruflich; erhalten bleiben nur Metadaten der Sitzung (z. B. Datum, Dauer, Anzeigename eines Remote-Gastes)
• Audioaufnahmen: Werden nicht gespeichert; sie dienen ausschließlich der Transkription und werden unmittelbar danach verworfen
• Anmeldesitzungen: Bis zu 8 Stunden (automatischer Ablauf)
• Audit-Protokolle: 24 Monate
• Abrechnungsdaten: 7 Jahre (gemäß Steuer- und Handelsrecht)
• Gastdaten aus Remote-Sitzungen: Wie die zugehörige Sitzung; der Anzeigename des Gastes bleibt bis zur Löschung der Sitzung gespeichert
• Hochgeladene Kontextdokumente: Bis Sie das Dokument löschen oder die Sitzung finalisieren oder löschen
• KI-Chatverlauf: 180 Tage nach der letzten Aktivität in einer Unterhaltung; der Administrator einer Organisation kann eine Frist zwischen 30 und 365 Tagen festlegen
• Dokumente in Bibliotheken (Wissensdatenbank): Bis Sie das Dokument oder Ihr Konto löschen
• Vorlagenfüller: Entwürfe 30 Tage nach dem letzten Speichern; ausgefüllte Dokumente für die beim Schließen des Dokuments gewählte Dauer, höchstens 30 Tage
• Einwilligungsnachweise: Solange die Einwilligung gilt und 7 Jahre nach ihrem Widerruf (zum Nachweis der Einwilligung)
• Backups: Verschlüsselte Sicherungskopien der Datenbank und der Dateien bewahren wir bis zu 30 Tage auf; auf der Plattform gelöschte Daten verschwinden spätestens danach auch aus den Sicherungskopien

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder irreversibel anonymisiert.

Als betroffene Person stehen Ihnen die folgenden Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO beruht.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Mit Ausnahme von Google reCAPTCHA auf den unten genannten Formularseiten verwendet unsere Plattform ausschließlich technisch notwendige Cookies, die für den Betrieb der Website und die Bereitstellung unserer Dienste erforderlich sind:

• Authentifizierungs-Cookie (HttpOnly): JWT-Token zur Sitzungsverwaltung — erforderlich für die sichere Anmeldung
• Sprachpräferenz: Speicherung der gewählten Sprache der Benutzeroberfläche
• Nachweis Ihrer Auswahl im Cookie-Banner: Wenn Sie das Cookie-Banner beantworten, speichern wir Ihre Auswahl in Ihrem Browser und setzen das Cookie „anon_cookie_id“ (13 Monate gültig), mit dem wir nachweisen können, welche Auswahl getroffen wurde

Wir verwenden keine Tracking-Cookies und keine Werbe-Cookies. Derzeit laden wir auch kein Analysewerkzeug (z. B. Google Analytics). Das Cookie-Banner fragt Ihre Einwilligung in eine Analyse für die Zukunft ab: Sollten wir ein solches Werkzeug aktivieren, wird es erst nach Ihrer Einwilligung geladen, und wir aktualisieren diese Erklärung vorher. Für die technisch notwendigen Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG / Art. 5 Abs. 3 ePrivacy-Richtlinie).

Unsere Registrierungs- und Bewerbungsformulare sind durch Google reCAPTCHA geschützt. Beim Aufruf eines dieser Formulare wird reCAPTCHA von Google-Servern geladen, kann eigene Cookies setzen und verarbeitet Ihre IP-Adresse, Browser- und Gerätedaten sowie Ihre Interaktion mit dem Formular, um Menschen von Bots zu unterscheiden. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Formulare vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Google kann diese Daten auf Grundlage des EU-US Data Privacy Framework in die USA übermitteln. Auf anderen Seiten wird reCAPTCHA nicht geladen.

Soweit Sie als Psychotherapeut:in oder andere:r Angehörige:r eines Heilberufs die talari.ai-Plattform zur Verarbeitung personenbezogener Gesundheitsdaten Ihrer Klient:innen nutzen, gilt Folgendes:

• Sie sind datenschutzrechtlich Verantwortliche:r (Art. 4 Nr. 7 DSGVO) für die Verarbeitung der Gesundheitsdaten Ihrer Klient:innen. talari.ai handelt als Auftragsverarbeiter (Art. 28 DSGVO). Der Abschluss eines Auftragsverarbeitungsvertrags (AVV) ist erforderlich — erhältlich unter legal@talari.ai.
• Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) — insbesondere Gesundheitsdaten und psychologische Befunde — erfordert eine geeignete Rechtsgrundlage, in der Regel Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) in Verbindung mit Ihrer berufsrechtlichen Schweigepflicht (§ 203 StGB, Berufsordnung der Psychotherapeutenkammern).
• Sofern Klient:innendaten über die Plattform verarbeitet werden, sollten Ihre Einwilligungsformulare explizit auf den Einsatz von KI-gestützten Dokumentationswerkzeugen hinweisen und die Möglichkeit des Widerrufs (Art. 7 Abs. 3 DSGVO) umfassen.
• Für Praxen in Deutschland: Informieren Sie sich über die Anforderungen der zuständigen Psychotherapeutenkammer und des Landesbeauftragten für Datenschutz zu KI-gestützten Dokumentationssystemen. Die rechtlichen Rahmenbedingungen befinden sich noch in Entwicklung (Stand Oktober 2026).

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren, um Änderungen unserer Datenverarbeitungspraktiken oder rechtlichen Anforderungen Rechnung zu tragen. Bei wesentlichen Änderungen werden wir Sie per E-Mail oder über eine Benachrichtigung auf der Plattform informieren.

Das Datum der letzten Aktualisierung finden Sie am Anfang dieses Dokuments. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu überprüfen.