Datenschutzerklärung

1. Verantwortlicher

[Name / Firma], [Straße Hausnr., PLZ Ort], E-Mail: [E-Mail].

2. Was der Dienst tut

Rufi (Anruf) führt in Ihrem Auftrag Telefonate auf Deutsch mit Arztpraxen, Kitas, Behörden, Hotlines und anderen Stellen, um Termine zu vereinbaren, zu verschieben oder Auskünfte einzuholen. Sie erteilen den Auftrag über Telegram (Bot und Mini-App). Der Assistent stellt sich zu Beginn jedes Gesprächs als KI-Assistent vor und weist darauf hin, dass das Gespräch protokolliert wird.

3. Verarbeitete Daten

• Konto: Telegram-ID, Benutzername, Vorname, Sprache.
• Profil und Personen, für die Sie Aufträge erteilen: Name, Geburtsdatum, Krankenkasse und Versichertennummer, Adresse, Telefonnummer, ggf. Foto von der Gesundheitskarte (freiwillig, lokal zugeschnitten und als kleines Bild gespeichert).
• Aufträge: Ihr Text bzw. Ihre Sprachnachricht, daraus abgeleitete Angaben (z. B. gewünschte Fachrichtung, Zeitfenster), Fotos von Überweisungen (freiwillig).
• Gespräche: Transkript (Text) des Telefonats, Zusammenfassung, vereinbarte Termine, Dauer, technische Metadaten des Anrufs. Es werden keine Tonaufnahmen gespeichert.
• Abrechnung: Guthaben in Minuten, Buchungen; Zahlungsdaten verarbeitet ausschließlich der Zahlungsdienstleister (Telegram Stars bzw. Stripe).

4. Besondere Kategorien (Gesundheitsdaten)

Aus dem Inhalt eines Auftrags (z. B. „Termin beim Orthopäden“) können sich Gesundheitsdaten im Sinne von Art. 9 DSGVO ergeben. Diese verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie beim ersten Start der App erteilen und jederzeit im Profil widerrufen können. Der Assistent gibt keine medizinischen Auskünfte und nennt am Telefon nur die Angaben, die für den Auftrag erforderlich sind.

5. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Durchführung der Anrufe, Abrechnung, Erinnerungen.
• Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO): Gesundheitsbezogene Angaben, Fotos von Karten und Überweisungen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Betriebssicherheit, Missbrauchsschutz, Fehleranalyse.

6. Personen, für die Sie Aufträge erteilen

Wenn Sie Angehörige oder andere Personen anlegen, bestätigen Sie, dass diese mit der Beauftragung einverstanden sind bzw. Sie dazu berechtigt sind (z. B. als Elternteil). Für Kinder verarbeiten wir nur die für den jeweiligen Auftrag nötigen Angaben.

7. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) bestehen; bei Anbietern außerhalb der EU auf Grundlage der EU-Standardvertragsklauseln:

• Supabase (Datenbank, Region EU) — Speicherung aller Konto-, Auftrags- und Gesprächsdaten.
• Vercel (Hosting der App, Region EU/Frankfurt) — Betrieb der Anwendung.
• Vapi (Telefonie-Plattform, USA) — Steuerung des Telefonats in Echtzeit; Weitergabe an Spracherkennung und Sprachsynthese.
• Telnyx (Telefonnetz) — Verbindungsaufbau; es gelten die gesetzlichen Pflichten eines Telekommunikationsanbieters.
• OpenAI (USA) — Verstehen des Auftrags, Gesprächsführung, Erstellen des Berichts; Microsoft Azure (EU) — Spracherkennung; ElevenLabs — Sprachsynthese.
• Telegram — Bot-Plattform und Zahlung (Stars); Stripe — Kartenzahlung (sobald aktiv).
• OpenStreetMap/Photon (optional, Praxissuche) — Übermittlung von Suchbegriff und Adresse, ohne Personendaten.

Gesprächspartner (Praxen, Behörden) erhalten nur die Angaben, die für Ihren Auftrag nötig sind (z. B. Name, Geburtsdatum, Versichertennummer).

8. Speicherdauer

Transkripte und Berichte: bis Sie den Auftrag löschen, spätestens 12 Monate nach Abschluss. Gast-Karten: 30 Tage. Konto: bis zur Löschung. Abrechnungsdaten: gesetzliche Aufbewahrungsfristen (bis 10 Jahre). Tonaufnahmen: keine.

9. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf erteilter Einwilligungen (Art. 15–21 DSGVO). Löschung des Kontos und aller Daten: Befehl /delete im Bot oder E-Mail an [E-Mail]. Beschwerde: Sächsischer Datenschutz- und Transparenzbeauftragter, Dresden.

10. Sicherheit

Übertragung ausschließlich verschlüsselt (TLS), Zugriff über Dienstschlüssel, Trennung von Audio (nicht gespeichert) und Text. Kein Tracking, keine Werbe-Cookies auf der Website.