Datenschutzerklärung

1. Verantwortliche Stelle

Der Verein SafePuls, Karl-Bürkli-Strasse 8, 8004 Zürich, Schweiz, info@safepuls.ch (nachfolgend «SafePuls», «wir») ist verantwortlich für die hier beschriebene Bearbeitung deiner Personendaten im Sinne des Bundesgesetzes über den Datenschutz (DSG, SR 235.1) und der Datenschutzverordnung (DSV). Der Dienst richtet sich an Personen in der Schweiz und in Liechtenstein; soweit im Einzelfall die EU-Datenschutz-Grundverordnung anwendbar ist, gilt diese Erklärung sinngemäss.

Diese Erklärung gilt für die Web-App safepuls.ch, die mobile App SafePuls, den Arztzugang und unseren Schriftverkehr. Für Fragen zum Datenschutz erreichst du uns unter info@safepuls.ch.

2. Welche Daten wir bearbeiten

Kontodaten: E-Mail-Adresse, Passwort (ausschliesslich als Argon2-Hash), Einstellungen zur Zwei-Faktor-Anmeldung (das Geheimnis verschlüsselt), Sprache, Zeitpunkte von Registrierung, Anmeldungen und Sitzungen, angenommene Fassungen von Einwilligung und Nutzungsbedingungen.

Identitätsdaten: Name (nach einem Namenswechsel über einen neuen Ausweis auch deine früheren Namen, damit ältere Berichte weiter zu dir passen), Geburtsdatum, Adresse und Versicherung; deine SafePuls-Nummer (zufällig vergeben, ohne Bezug zu deinen Daten, bleibt dauerhaft gleich); von deiner Krankenkassenkarte Versicherer, BAG-Nummer, Kartennummer und Ablaufdatum - die auf der Karte aufgedruckte AHV-Nummer erfassen wir nicht, auch nicht verschlüsselt oder als Prüfsumme (sichtbar ist sie nur auf den Bildern des Kartenscans, die wir nach der Prüfung löschen, Abschnitt 9); deine Ausweise und Karten als Verlauf (Abschnitt 9); die Patienten- und Fallnummern, unter denen Spitäler und Praxen dich führen, soweit sie in deinen Berichten stehen; sowie die Merkmale, die uns SwissSign beim Identitätsnachweis zurückmeldet (Kennung, Name, Geburtsdatum, E-Mail-Adresse). Für Ärztinnen und Ärzte: GLN, Angaben aus dem Medizinalberuferegister (Name, Beruf, Arbeitsort) und die Kennung aus dem HIN-Nachweis.

Gesundheitsdaten, die du hochlädst oder erfasst: Fotos und PDF von Arztberichten, Befunden, Laborblättern, Rezepten und Impfausweisen sowie die daraus übernommenen strukturierten Angaben (Diagnosen, Medikamente und Dosierungen, Laborwerte, Allergien, Impfungen, Operationen, Befunde), deine Patientenverfügung (auch die von Hand unterschriebene Fassung, wenn du sie hochlädst) und deine Einträge zu Ärztinnen und Ärzten. Das sind besonders schützenswerte Personendaten (Art. 5 lit. c DSG).

Nur wenn du Unterlagen über uns anfordern lässt: Name und Adresse der angefragten Stelle, der Brief mit deiner Unterschrift, die Kopie deines amtlichen Ausweises und die eingehende Antwort (Abschnitt 7).

Zugriffs- und Protokolldaten: wer wann welche Akte geöffnet, freigegeben, verändert oder heruntergeladen hat - für dich einsehbar; technische Server-Protokolle (Zeitpunkt, IP-Adresse, aufgerufene Funktion, Fehler); Gerätekennungen für Push-Mitteilungen, wenn du sie einschaltest.

Nur bei Konten der Probephase und nur mit deiner eigenen Einwilligung (sie gehört zu den Regeln der Probephase und ist Bedingung, um dort ein Konto zu eröffnen): Nutzungs- und Qualitätsdaten - welche Seiten du öffnest, wie lange Schritte und Scans dauern, wo es hakt (Abschnitt 16). Keine Gesundheitsinhalte, keine Bilder.

3. Wozu und auf welcher Grundlage

Führen deiner persönlichen Gesundheitsakte, automatische Auswertung und Strukturierung deiner Unterlagen, Erinnerungen, Weitergabe an von dir bestimmte Ärztinnen und Ärzte, Anforderung von Unterlagen in deinem Auftrag: auf Grundlage deiner ausdrücklichen Einwilligung (Art. 6 Abs. 6 und 7, Art. 31 Abs. 1 DSG) und zur Erfüllung des Nutzungsvertrags. Die Einwilligung erteilst du bei der Registrierung; ihr Wortlaut, ihre Fassung und der Zeitpunkt werden gespeichert, und du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.

Kontosicherheit und Missbrauchsabwehr (Anmeldung, Zwei-Faktor, Sperren nach Fehlversuchen, Ratenbegrenzung, Protokollierung), Betrieb und Fehlerbehebung sowie die Einsicht unseres Teams in klar umgrenzten Fällen (Abschnitt 8): auf Grundlage unseres überwiegenden Interesses an einem sicheren, ordnungsgemässen Dienst und deines Interesses am Schutz deiner Akte (Art. 31 Abs. 1 DSG).

Auskünfte, Meldungen und Aufbewahrung, wo das Gesetz sie verlangt: zur Erfüllung gesetzlicher Pflichten.

Datenerhebung der Probephase: nur bei Konten der Probephase und nur auf Grundlage deiner eigenen, jederzeit widerrufbaren Einwilligung (Art. 6 Abs. 6 DSG) - die Teilnahme an der Probephase ist freiwillig, die Einwilligung ist ihre Bedingung, um App und Website zu verbessern (Abschnitt 16).

Kein Tracking durch Dritte, keine Werbung, kein Verkauf von Daten, keine Weitergabe zu fremden Zwecken. Ausserhalb der Datenerhebung der Probephase zeichnen wir nicht auf, wie du den Dienst benutzt. Deine Inhalte werden nicht zum Training von KI-Modellen verwendet - weder von uns noch von unseren Anbietern.

4. Automatische Auswertung (KI) und ihre Grenzen

Hochgeladene Unterlagen werden von einem KI-Sprachmodell gelesen und in strukturierte Angaben übersetzt. Vorher prüft dieselbe Auswertung, ob es sich um eine zulässige medizinische Unterlage handelt, ob etwas Sichtbares gegen ihre Echtheit spricht und ob sie zu dir gehört (Abgleich von Name und Geburtsdatum; eine aus früheren Berichten bekannte Patienten- oder Fallnummer derselben Institution kann ihn stützen, ersetzt ihn aber nie). Das Ergebnis dieser Prüfung wird beim Dokument gespeichert und ist für dich einsehbar; es ist kein Echtheitsnachweis.

Das gilt auch für Unterlagen, die eine von dir angefragte Institution über den Lieferlink bei SafePuls abgibt: Sie werden automatisch ausgewertet, damit das Ergebnis bereitsteht, wenn du SafePuls das nächste Mal öffnest. In deine Akte übernommen wird davon nur, was du selbst prüfst und bestätigst.

Unterlagen, die du selbst hochlädst, werden nach dem Hochladen auf unserem Server weiterverarbeitet - auch wenn du die App schliesst oder die Seite wechselst. Was dabei sicher gelesen wurde, wird ohne weitere Bestätigung in deine Akte übernommen (Nutzungsbedingungen Ziffer 6; für Konten, die unter einer früheren Fassung eröffnet wurden, erst nach ihrer Zustimmung - bis dahin legen wir jedes Ergebnis vor). Du siehst danach, was übernommen wurde; bei einem Impfpass kannst du ein falsch gelesenes Datum selbst berichtigen, und jeden Eintrag kannst du über «Anpassen» berichtigen lassen. Nicht von selbst übernommen wird, was die Auswertung als unsicher kennzeichnet, was nach Name, Geburtsdatum oder Patientennummer nicht zu dir zu passen scheint oder vermutlich schon in deiner Akte steht: Dann legen wir dir das Ergebnis vor, und in die Akte kommt davon nur, was du bestätigst.

Bei der Auswertung deiner Unterlagen gibt es keine automatisierte Einzelentscheidung mit Rechtsfolge für dich (Art. 21 DSG): Die Auswertung überträgt, was in deinen Unterlagen steht, in deine Akte - sie entscheidet nichts über dich, und im Zweifel legt sie dir das Ergebnis vor, statt es zu übernehmen. Eine Auffälligkeit bei der Prüfung der Echtheit führt nie zu einer Ablehnung, sondern zu einer Rückfrage, die du selbst beantwortest. Anders bei der eigenen Identifikation mit Ausweis: Dort entscheidet die Prüfung automatisch, und eine Ablehnung kannst du von einem Menschen überprüfen lassen (Abschnitt 9).

Wo die Auswertung stattfindet, steht in Abschnitt 5 - das ist die datenschutzrechtlich wichtigste Angabe dieser Erklärung.

5. Auftragsbearbeiter und Datenstandorte

Während der Testphase gilt abweichend: SafePuls läuft auf einem Server der Hetzner Online GmbH (Gunzenhausen, Deutschland) im Rechenzentrum Helsinki, Finnland. Dort liegen Anwendung, Datenbank und Dokumente; die Dokumente sind zusätzlich mit einem eigenen Schlüssel verschlüsselt. Die KI-Auswertung läuft in der Testphase über Amazon Bedrock in Europa (Rechenzentren von Amazon Web Services in europäischen Regionen, darunter Frankfurt und Zürich). Die folgenden Angaben zu Amazon Web Services in Zürich beschreiben den Betrieb nach der Testphase.

Amazon Web Services EMEA SARL, Region Zürich (eu-central-2): Betrieb der Anwendung, Datenbank, Objektspeicher für Dokumente (zusätzlich zur Speicherverschlüsselung verschlüsseln wir jedes dauerhaft abgelegte Dokument mit einem eigenen Schlüssel, AES-256-GCM), Zwischenspeicher, Protokolle und Geheimnisverwaltung. Alle Gesundheitsdaten liegen in der Schweiz.

KI-Auswertung: Sobald das eingesetzte Modell in der AWS-Region Zürich verfügbar ist, läuft die Auswertung dort über Amazon Bedrock, ohne dass Daten die Schweiz verlassen oder an den Modellanbieter gelangen. Solange das nicht der Fall ist, erfolgt die Auswertung über die Programmierschnittstelle von Anthropic PBC, San Francisco, USA. Anthropic bearbeitet die Unterlagen ausschliesslich in unserem Auftrag, verwendet sie nicht zum Training und löscht Ein- und Ausgaben nach eigenen Angaben innert 30 Tagen; wir übermitteln keine Kontodaten, sondern nur das Dokument bzw. den auszuwertenden Text. Zur Bekanntgabe in die USA siehe Abschnitt 6.

Infomaniak Network SA, Genf: Versand unserer E-Mails (Bestätigungen, Passwort-Zurücksetzung, Hinweise) und Betrieb des Postfachs info@safepuls.ch, über das Institutionen uns Unterlagen zustellen können.

Apple (Apple Inc., USA) als Plattformbetreiber: Zustellung von Push-Mitteilungen an dein Gerät, wenn du sie einschaltest; mit einer Android-App käme Google dazu. Dabei werden nur eine Gerätekennung und ein kurzer Hinweistext übermittelt; Push-Mitteilungen enthalten keine Diagnosen, Medikamentennamen oder anderen Gesundheitsinhalte - die Einzelheiten siehst du erst in der App.

SwissSign AG, Glattbrugg (SwissID) und HIN AG, Wallisellen: Identitätsnachweis von Patientinnen und Patienten bzw. Ärztinnen und Ärzten (Abschnitt 9). Gesundheitsdaten gehen zu keinem Zeitpunkt an diese Anbieter.

Stiftung Refdata und das Medizinalberuferegister des BAG (öffentliche Verzeichnisse): Abfrage von GLN und Adressen von Medizinalpersonen und Institutionen - es werden dabei nur die gesuchte Nummer bzw. der Name übermittelt, keine Angaben über dich.

Die Schweizerische Post und die von dir angefragten Institutionen: nur bei einer Berichtsanfrage in deinem Auftrag (Abschnitt 7).

Mit allen Auftragsbearbeitern bestehen Verträge, die sie zur Bearbeitung ausschliesslich nach unseren Weisungen, zur Vertraulichkeit und zu angemessener Datensicherheit verpflichten (Art. 9 DSG). Ohne unsere Genehmigung dürfen sie keine weiteren Auftragsbearbeiter beiziehen.

6. Bekanntgabe ins Ausland

Während der Testphase werden deine Daten in Finnland gespeichert und für die KI-Auswertung in Europa bearbeitet (Abschnitt 5) - in Staaten, die nach Anhang 1 DSV als Staaten mit angemessenem Datenschutz gelten.

Deine Gesundheitsdaten werden in der Schweiz gespeichert. In die USA gelangen Daten in zwei Fällen: bei der KI-Auswertung über Anthropic, solange sie nicht in Zürich läuft (Dokumentinhalte), und bei Push-Mitteilungen (Gerätekennung und ein Hinweistext ohne Gesundheitsinhalt).

Die USA gelten nach Anhang 1 DSV als Staat mit angemessenem Datenschutz für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Unabhängig davon sichern wir diese Bekanntgaben zusätzlich mit den vom EDÖB anerkannten Standarddatenschutzklauseln ab (Art. 16 Abs. 2 lit. d DSG) und stützen die Bekanntgabe der Dokumentinhalte auf deine ausdrückliche, hierüber informierte Einwilligung (Art. 17 Abs. 1 lit. a DSG). Du kannst die Auswertung eines Dokuments jederzeit unterlassen und es nur ablegen.

In andere Staaten geben wir keine Personendaten bekannt.

7. Unterlagen anfordern lassen: was wir dabei sehen

Wählst du «Selbst anfordern», entsteht der Brief in deinem Browser und wir sehen nichts davon. Wählst du «Durch SafePuls anfordern lassen», beauftragst du uns mit Druck, Versand und Entgegennahme der Antwort. Dazu sehen die zuständigen Mitarbeitenden: deinen Namen und dein Geburtsdatum, die angefragte Stelle, den Brief mit deiner Unterschrift, deine Ausweiskopie und die eingehende Antwort.

Dieser Weg setzt voraus, dass du die angefragte Stelle ausdrücklich von ihrer beruflichen Schweigepflicht (Art. 321 StGB) gegenüber SafePuls entbindest, beschränkt auf diese Anfrage. Weil Spitäler und Praxen Unterlagen nur gegen Identitätsnachweis herausgeben, legen wir eine Kopie deines Ausweises bei: Sie entsteht bei deiner bestätigten Identifikation aus den Aufnahmen deines Ausweises, trägt das Wasserzeichen «KOPIE – nur für Aktenanfragen über SafePuls» mit Datum und liegt verschlüsselt bei uns. Eine Kopie deiner Krankenkassenkarte mit geschwärzter AHV-Nummer legen wir nur bei, wenn du sie ausdrücklich wählst; sie entsteht nur aus einem unauffälligen Kartenscan oder nachdem unser Team einen auffälligen bei deiner Identifikation geprüft und bestätigt hat. Beide Kopien siehst du in den Einstellungen und kannst sie dort jederzeit löschen.

Kennen wir eine E-Mail-Adresse der Stelle, schicken wir das Gesuch per E-Mail: mit einem persönlichen Link, über den die Stelle die Unterlagen verschlüsselt hochladen kann, und zusätzlich im Anhang als ein PDF mit dem Brief und den gewählten Kopien - für Stellen, die den Link nicht nutzen wollen. Eine E-Mail ist auf dem Weg zur Stelle weniger geschützt als der Link; die Ausweiskopie ist vorausgewählt, lässt sich vor dem Versand aber abwählen. Gesuche gehen nur an Stellen in der Schweiz. Das Gesuch-PDF samt Kopien löschen wir 90 Tage, nachdem die Unterlagen eingetroffen sind oder die Stelle die Herausgabe abgelehnt hat.

Antworten per Post öffnen und scannen wir; Antworten per E-Mail landen in unserem internen Postfach. In beiden Fällen sind die Unterlagen für die zuständigen Mitarbeitenden lesbar. Post wird deinem Konto automatisch zugeordnet, wenn Name und Geburtsdatum eindeutig zu genau einer Anfrage passen (eine Patienten- oder Fallnummer der Institution kann das stützen, nie ersetzen); E-Mails werden immer von einer Person bestätigt, weil an eine E-Mail-Adresse jede und jeder schreiben kann. Nach der Zuordnung löschen wir die Kopie im Eingang; die E-Mail selbst bleibt in unserem Postfach-Archiv, bis du dein Konto löschst. Jeder Zugriff wird protokolliert.

8. Einsicht durch unser Team

Im Regelfall sieht niemand von uns deine Gesundheitsdaten: Die Datenbank bindet jeden Datensatz an dein Konto und weist Zugriffe ausserhalb davon zurück, und Team-Konten sind ein vollständig getrenntes System mit eigener Anmeldung, eigenen Schlüsseln und Pflicht zur Zwei-Faktor-Anmeldung.

Unser Team kann Personen suchen und findet dabei nur Identifikationsangaben (Name, Geburtsdatum, SafePuls-Nummer, E-Mail-Adresse, Datum der Kontoeröffnung) - ohne Suchbegriff nichts. Alles Weitere setzt eine ausdrücklich eröffnete Einsicht voraus: mit selbst geschriebener Begründung, befristet auf längstens 24 Stunden, jeder Aufruf gezählt. Anlässe sind eine Korrekturmeldung oder Anpassungsanfrage, eine falsch zugeordnete Sendung, eine Beschwerde oder dein Auskunftsbegehren.

Du wirst über jede Einsicht benachrichtigt und siehst sie in deinem Konto mit Namen der Person, Begründung, Zeitpunkt, Ablauf und Anzahl der Aufrufe. Das Protokoll lässt sich nicht verändern oder löschen, auch nicht durch uns, und liegt zusätzlich in einem gesperrten Archiv ausserhalb der Datenbank. Einen Generalschlüssel gibt es nicht.

9. Identitätsnachweis (SwissID, HIN, Ausweis)

Angemeldet wird immer mit E-Mail-Adresse und Passwort. Der Identitätsnachweis dient nur dem einmaligen Abschluss der Registrierung: Du bestätigst über SwissID, dass du die angegebene Person bist. Wir speichern die von SwissSign zurückgemeldete Kennung sowie Name, Geburtsdatum und E-Mail-Adresse aus deinem dortigen Profil - getrennt von deinem Profil, als Aussage eines Dritten. Du kannst den Nachweis jederzeit lösen; der Eintrag bleibt mit dem Zeitpunkt der Trennung erhalten, weil er belegt, dass diese Identität einmal an deinem Konto hing.

Ärztinnen und Ärzte weisen nach, dass sie die Medizinalperson zur angegebenen GLN sind; erst damit wird der Zugriff auf freigegebene Akten möglich. Dafür bearbeiten wir bei der Registrierung den Namen wie im Pass, die private und die geschäftliche E-Mail-Adresse (die geschäftliche wird mit einem Code bestätigt), den Anstellungsort und die geschäftliche Telefonnummer, gleichen den Namen mit dem Medizinalpersonenregister ab und prüfen Ausweis und Gesicht wie unten beschrieben - aufgenommen wird in der App SafePuls Access, die dabei auch den Chip des Ausweises liest. Dient SafePuls Access als zweiter Anmeldefaktor, speichern wir je gekoppeltem Gerät seinen Namen, die Zeitpunkte von Kopplung und letzter Nutzung sowie seine Geheimnisse (nur als Prüfsumme bzw. verschlüsselt). Jede Freischaltung entscheidet eine Person aus unserem Team, die dazu am Anstellungsort über eine öffentlich verzeichnete Nummer anruft. Lehnt das Team ab, löschen wir das Konto mit allen Angaben; die Person erfährt es vorher per E-Mail an ihre private Adresse. Ein Nachweis über HIN ist vorgesehen, aber derzeit nicht eingeschaltet.

Statt über SwissID kannst du dich bei uns selbst identifizieren: Du fotografierst deinen Ausweis (Pass, Identitätskarte oder Ausländerausweis) und bewegst den Kopf vor der Kamera kurz im Kreis, während wir einige Bilder deines Gesichts aufnehmen. Die Prüfung läuft automatisch. Lehnt sie deinen Ausweis ab, weil Gesicht oder Geburtsdatum nicht passen, kannst du innert 30 Tagen verlangen, dass eine Person aus unserem Team entscheidet, und ihr deinen Standpunkt mitteilen (Art. 21 DSG): Du nimmst Ausweis und Gesicht noch einmal auf, und diesmal entscheidet das Team. Ablehnungen wegen eines abgelaufenen, verloren gemeldeten oder bereits an einem anderen Konto bestätigten Ausweises beruhen auf Tatsachen und bleiben bestehen; dazu erreichst du uns jederzeit unter info@safepuls.ch. Dafür willigst du vorher ausdrücklich ein, denn Gesichtsbilder und ihr Abgleich sind biometrische und damit besonders schützenswerte Daten (Art. 5 lit. c Ziff. 4, Art. 6 Abs. 7 DSG). Der Ausweis wird von der KI-Auswertung abgelesen (Abschnitt 5), der Gesichtsabgleich läuft auf unseren eigenen Servern. Nur wenn eine Prüfung einen Befund hat, sieht sich eine Person aus unserem Team die Bilder an und entscheidet mit Begründung. Die Bilder liegen während der Prüfung verschlüsselt bei uns und werden mit dem Entscheid gelöscht, spätestens nach 24 Stunden bzw. bei einer Prüfung durch das Team nach 30 Tagen. Dauerhaft behalten wir nur das Ergebnis: Dokumentart, Ausstellerstaat, Ablaufdatum, Name und Geburtsdatum laut Ausweis, die Messwerte des Abgleichs und gegebenenfalls, wer im Team entschieden hat, dazu den Ausweis im Verlauf (nächster Absatz). Gesichtsmerkmale speichern wir nicht.

Deine Ausweise und Krankenkassenkarten führen wir als Verlauf, verknüpft mit deiner SafePuls-Nummer: je Dokument die Angaben aus der maschinenlesbaren Zone und der Vorderseite (Name, Vornamen, Geburtsdatum, Ablaufdatum, Ausstellerstaat, Nationalität und Geschlecht, bei der Karte Versicherer, BAG-Nummer und Ablaufdatum), die Dokument- bzw. Kartennummer verschlüsselt (AES-256-GCM) und als nicht umkehrbare Prüfsumme - damit ein Ausweis nur ein Konto bestätigt und ein als verloren gemeldeter nirgends mehr zählt -, und zur Anzeige ihre letzten Zeichen. Es können mehrere Dokumente gleichzeitig gelten (etwa Identitätskarte und Pass, Grund- und Zusatzversicherung): ein weiteres kommt dazu und ersetzt ein bisheriges nur, wenn du das beim Hinzufügen wählst. Frühere bleiben im Verlauf, damit ältere Berichte mit damaligen Angaben (etwa einem früheren Namen) weiter zu dir passen. Läuft dein letzter gültiger Ausweis bzw. deine letzte gültige Karte ab, erinnern wir dich 30, 7 und 1 Tag vorher (Push-Mitteilung ohne Einzelheiten), und du kannst ein Dokument jederzeit als verloren oder gestohlen melden. Ein abgelaufener Ausweis hebt deine bestätigte Identität nicht auf; für eine neue Prüfung braucht es aber einen gültigen. Eine bestätigte SwissID gilt dabei wie ein gültiger Ausweis.

Vor der Identifikation scannst du deine Krankenkassenkarte und neigst dabei das Handy wie angezeigt. Die Aufnahmen werden ausgewertet (Abschnitt 4) und danach gelöscht: die geneigten Bilder gleich nach der Prüfung, das Bild der Vorderseite mit der Übernahme der Karte. Nimmst du zum Schluss auch die Rückseite auf (freiwillig), dient sie nur der Kopie deiner Karte mit geschwärzter AHV-Nummer: Bis zur Übernahme liegt sie verschlüsselt bei uns, höchstens 6 Stunden, danach wird sie gelöscht. Die Kopie entsteht nur, wenn der Scan unauffällig war; bei einem auffälligen erst, wenn unser Team ihn bei deiner Identifikation geprüft und bestätigt hat - dann nur von der Vorderseite. Wirkt die Karte dabei auffällig - etwa wie ein Bildschirm oder ein Ausdruck - und ist deine Identität noch nicht bestätigt, bewahren wir diese Bilder verschlüsselt auf, damit eine Person aus unserem Team sie bei deiner Identifikation ansehen kann: höchstens 24 Stunden, bis die Identifikation an das Team geht, danach bis zu dessen Entscheid, längstens 30 Tage. Die auf der Karte sichtbare AHV-Nummer lesen und speichern wir dabei nicht; sie ist nur Teil des Bildes und wird mit ihm gelöscht. Dauerhaft behalten wir vom Kartenscan nur das Ergebnis der Prüfung und die Messwerte, auf denen es beruht (etwa in welche Richtung gemessen wurde und ob Glanz oder Kartenkante zu sehen waren) - keine Bilder.

10. Zugriff durch Ärztinnen und Ärzte

Eine Ärztin oder ein Arzt sieht deine Akte nur, wenn du sie freigibst: an ein geprüftes Arztkonto (lesend oder mit Recht, Anpassungen anzufragen), per befristetem Link ohne Konto oder - wenn du das vorab ausdrücklich erlaubt hast - im Notfall: dann kann eine Ärztin oder ein Arzt mit geprüftem SafePuls-Arztkonto und zweitem Anmeldefaktor, die deine SafePuls-Nummer und dein Geburtsdatum kennen und Spital und Grund angeben, deine Akte 48 Stunden lang lesen, ohne etwas zu ändern. Jede Freigabe ist befristet, jederzeit widerrufbar und wird dir mit jedem einzelnen Zugriff angezeigt. Ärztinnen und Ärzte sind an ihr Berufsgeheimnis und an unsere Nutzungsbedingungen für Ärztinnen und Ärzte gebunden; sie schreiben nicht selbst in deine Akte, sondern fragen Anpassungen an, die unser Team prüft.

Ärztinnen und Ärzte finden dich über deine SafePuls-Nummer zusammen mit deinem Geburtsdatum; die Nummer allein öffnet nichts. Auf der Notfallkarte, die du in den Einstellungen ausdrucken kannst, stehen nur diese Nummer und ein QR-Code zum Notfallzugriff - kein Name und keine Gesundheitsdaten.

Merkst du eine Ärztin oder einen Arzt vor, der noch kein Konto hat, speichern wir dazu die GLN und die Freigabe; sie wird wirksam, sobald die Person ihr Konto eröffnet und nachgewiesen hat.

11. Aufbewahrung und Löschung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Einzelne Einträge und Dokumente kannst du jederzeit löschen; das umfasst die Originaldatei im Objektspeicher. Das Gesuch-PDF einer Aktenanfrage (Brief samt Kopien) löschen wir 90 Tage nach Eingang der Unterlagen bzw. nach der Ablehnung (Abschnitt 7).

Bei Kontolöschung (Einstellungen → Konto löschen) entfernen wir alle Daten deines Kontos unwiderruflich: Konto, Profil, Gesundheitsdaten, Dokumente, Ausweis- und Kartenkopien, Ausweisverlauf, Einwilligungen, Freigaben, Anfragen samt Gesuchen, die Datenerhebung der Probephase, E-Mails von dir, an dich und über dich in unserem Postfach samt Anhängen, eingegangene Unterlagen und deine Einladung. Bestehen bleibt allein das Zugriffsprotokoll: wer wann eine Akte geöffnet, geändert, freigegeben oder nach wem gesucht hat. Zugriffsprotokolle bewahren wir dauerhaft und unveränderbar auf - auch wir können sie weder ändern noch löschen -, zusätzlich getrennt von der Datenbank in einem gegen Löschen gesperrten Archiv. Sie führen Personen nur unter einer zufälligen Kontonummer, nie mit Name, Geburtsdatum, E-Mail-Adresse oder Inhalten deiner Akte; IP-Adressen, Begründungen und geänderte Werte dazu löschen wir mit deinem Konto. Nach der Löschung deines Kontos verweisen sie nicht mehr auf dich.

Technische Server-Protokolle werden nach 30 Tagen gelöscht. Sicherungskopien der Datenbank werden fortlaufend überschrieben und sind spätestens nach 14 Tagen verschwunden. Sitzungen laufen nach 15 Minuten ab und werden über ein Erneuerungs-Token längstens 30 Tage fortgeführt. Eine eingegangene Sendung, die sich keinem Konto zuordnen liess, bleibt bis zur Bearbeitung in unserem Postfach; ihre Löschung kannst du jederzeit verlangen.

Die Daten der Datenerhebung der Probephase werden bis zum Ende der Probephase aufbewahrt und dann gelöscht, bei einem Widerruf oder der Kontolöschung sofort (Abschnitt 16).

Gesetzliche Aufbewahrungspflichten (etwa für Geschäftskorrespondenz) bleiben vorbehalten; sie betreffen keine Gesundheitsdaten.

12. Deine Rechte

Du hast das Recht auf Auskunft darüber, ob und welche Daten wir über dich bearbeiten (Art. 25 DSG; in der Regel innert 30 Tagen und kostenlos), auf Berichtigung, auf Löschung, auf Herausgabe deiner Daten in einem gängigen elektronischen Format (Art. 28 DSG) und auf Widerruf deiner Einwilligung mit Wirkung für die Zukunft.

Export (maschinenlesbar) und Kontolöschung stehen dir direkt in den Einstellungen zur Verfügung, ebenso das vollständige Zugriffsprotokoll. Für alles Weitere genügt eine Nachricht an info@safepuls.ch; zu deinem Schutz prüfen wir dabei deine Identität, bevor wir Gesundheitsdaten herausgeben. Du kannst dich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Feldeggweg 1, 3003 Bern) wenden.

13. Datensicherheit

Wir treffen technische und organisatorische Massnahmen nach Art. 8 DSG und Art. 1-6 DSV, abgestimmt auf das hohe Schutzniveau von Gesundheitsdaten: durchgehende Transportverschlüsselung (TLS), Verschlüsselung der Datenbank und des Objektspeichers sowie zusätzliche Verschlüsselung jedes Dokuments, Passwörter als Argon2-Hash, Zwei-Faktor-Anmeldung (für Team und Ärzteschaft Pflicht), Bindung jedes Datensatzes an ein Konto auf Datenbankebene, getrennte Kontosysteme, Ratenbegrenzung und Kontosperre, unveränderbare Protokollierung aller Zugriffe auf Gesundheitsdaten (Hash-Kette, zusätzlich getrennt vom System in einem gegen Löschen gesperrten Archiv), Sicherheitsprüfungen bei jeder Änderung und eine Datenschutz-Folgenabschätzung nach Art. 22 DSG.

Sollte es trotz allem zu einer Verletzung der Datensicherheit kommen, die voraussichtlich zu einem hohen Risiko für dich führt, melden wir sie dem EDÖB (Art. 24 DSG) und informieren dich, wenn das zu deinem Schutz nötig ist.

14. Cookies und lokale Speicherung

Wir verwenden ausschliesslich technisch notwendige Cookies: die Sitzung (httpOnly, für Skripte im Browser nicht lesbar), die Sprachwahl und in der Testphase den Zugangscode. Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies. Die mobile App speichert Sitzungsschlüssel im Schlüsselbund des Betriebssystems.

Für die Datenerhebung der Probephase (Abschnitt 16) speichern Browser und App die Schritte vor der Anmeldung (etwa der Registrierung) lokal auf deinem Gerät zwischen. Übermittelt werden sie erst, wenn du angemeldet bist und eingewilligt hast - sonst werden sie verworfen, spätestens nach 30 Tagen.

15. Minderjährige

Ein Konto setzt voraus, dass du mindestens 16 Jahre alt und urteilsfähig bist. Unterlagen von Kindern unter deiner elterlichen Sorge kannst du in deinem eigenen Konto führen; für sie gilt dann diese Erklärung gleichermassen.

16. Datenerhebung der Probephase

Konten der Testphase bestätigen bei der Registrierung ausdrücklich, dass für die Sicherheit der Daten während der Testphase keine Garantie besteht und die Daten nicht sicher sein können. Fassung, Wortlaut (als Prüfsumme), Sprache und Zeitpunkt dieser Bestätigung speichern wir zu deinem Konto und löschen sie mit ihm. Unsere gesetzliche Pflicht, deine Daten angemessen zu schützen, bleibt davon unberührt.

Während der Probephase möchten wir sehen, wo SafePuls hakt. Wer in der Probephase ein Konto eröffnet, stimmt deshalb bei der Registrierung den Regeln der Probephase zu - einer eigenen Einwilligung in diese Datenerhebung; ohne sie kann in der Probephase kein Konto eröffnet werden (die Teilnahme an der Probephase selbst ist freiwillig). Fassung, Wortlaut (als Prüfsumme) und Zeitpunkt werden gespeichert. Du kannst die Einwilligung jederzeit in den Einstellungen widerrufen: dann wird nichts mehr aufgezeichnet, und das bisher Aufgezeichnete wird gelöscht. Bei anderen Konten wird weder gefragt noch aufgezeichnet.

Mit deiner Einwilligung zeichnen wir auf: welche Seiten und Bildschirme du wann öffnest; jeden Schritt von Registrierung, Onboarding und Identifikation mit Dauer, Abbrüchen, Wiederholungen und Eingabefehlern (nur dass und wo ein Fehler auftrat, nie was du eingegeben hast); Messwerte der Scans (beim Ausweis und bei der Krankenkassenkarte etwa die Dauer je Richtung, die Kippstärke, ob die Taschenlampe brannte und das Ergebnis der Prüfung, bei der Gesichtsaufnahme die erkannten Richtungen, Wiederholungen, Dauer und das Urteil des Servers); Fehler (die Art eines Programmfehlers bzw. Status und Code einer Server-Antwort) und Ladezeiten; Gerätetyp und -modell, Betriebssystem, Browser, Bildschirmgrösse, Sprache und App-Version. Die Schritte vor der Anmeldung speichert dein Gerät vorher lokal zwischen (Abschnitt 14).

Nicht aufgezeichnet werden Gesundheitsinhalte (keine Angaben aus deiner Akte, keine Dokumente), Bilder, Texte, die du eintippst, der Name deines Geräts und Standortdaten. Seiten und Adressen werden vor dem Senden auf feste Namen abgebildet; der Server nimmt nur Ereignisse und Eigenschaften einer festen Liste an und weist alles andere ab.

Die Aufzeichnung ist deinem Konto zugeordnet und liegt bei SafePuls wie deine übrigen Kontodaten (Abschnitt 5); kein Analysedienst eines Dritten ist beteiligt. Sehen kann sie nur die Leitung unseres Teams, in einer eigenen Auswertung; jeder Blick in die Aufzeichnung einer bestimmten Person wird protokolliert.

Die Aufzeichnung wird bis zum Ende der Probephase aufbewahrt und dann gelöscht. Widerrufst du deine Einwilligung (Einstellungen → Datenerhebung der Probephase), wird ab sofort nichts mehr aufgezeichnet und alles bisher Aufgezeichnete gelöscht; ebenso bei der Löschung deines Kontos. Bestehen bleiben nur zusammengefasste Tageszahlen ohne Bezug zu einer Person (etwa wie viele Scans gelangen). Was über dich aufgezeichnet wurde, enthält dein Datenexport.

17. Änderungen

Ändern sich Zweck, Empfänger oder Ort der Bearbeitung, passen wir diese Erklärung an und holen, wo nötig, deine Einwilligung neu ein; die Einwilligung ist versioniert, und du siehst in der App jederzeit, welcher Fassung du zugestimmt hast. Die jeweils aktuelle Erklärung mit Datum findest du unter safepuls.ch/datenschutz.