Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Überblick der Datenverarbeitung

HPP-Bestehen ist eine Lernplattform für angehende Heilpraktiker für Psychotherapie. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist.

3. Hosting und Infrastruktur

Vercel

Diese Website wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet. Beim Besuch unserer Website werden automatisch Informationen (z.B. IP-Adresse, Zeitpunkt des Zugriffs) in Server-Logfiles gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung der Website).

Vercel ist unter dem EU-US Data Privacy Framework zertifiziert. Mit Vercel wurde ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen. Server-Logs werden nach maximal 30 Tagen gelöscht.

Vercel Web Analytics (Reichweitenmessung)

Um zu verstehen, welche Inhalte genutzt werden und wie Besucherinnen und Besucher zu uns finden, setzen wir Vercel Web Analytics ein. Erfasst werden je Seitenaufruf: die aufgerufene Seite (nur der Pfad — URL-Parameter und Fragmente entfernen wir vor der Übertragung), beim ersten Aufruf die verweisende Website, der Zeitpunkt, Land, Region und Stadt (von Vercel aus der IP-Adresse abgeleitet), Gerätetyp sowie Betriebssystem und Browser jeweils mit Version.

Beim Seitenaufruf lädt Ihr Browser dazu ein Skript von unserer eigenen Domain. Es liest die Adresse der Seite, die verweisende Seite und die Browserkennung (User-Agent) aus und übermittelt die genannten Angaben an Vercel. Es setzt keine Cookies und legt keine Daten auf Ihrem Gerät ab; es prüft lediglich, ob im lokalen Speicher Ihres Browsers ein Eintrag von Vercel oder Ihr Widerspruch (siehe unten) hinterlegt ist. IP-Adressen werden in der Statistik nicht gespeichert. Um Aufrufe innerhalb eines Tages zusammenzufassen, bildet Vercel aus den Anfragedaten einen Hash-Wert, der nach 24 Stunden verworfen wird. Er ist nicht mit Ihrem Konto verknüpft und erlaubt keine Wiedererkennung über mehrere Tage oder über andere Websites hinweg. Wir sehen ausschließlich zusammengefasste Zahlen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, das kostenlose Angebot anhand der tatsächlichen Nutzung zu verbessern und zu erfahren, über welche Wege es gefunden wird. Das Skript speichert nichts auf Ihrem Gerät und liest nur Angaben aus, die Ihr Browser beim Seitenaufruf ohnehin an unseren Server übermittelt; wir gehen deshalb davon aus, dass hierfür keine Einwilligung nach § 25 TDDDG erforderlich ist. Vercel verarbeitet die Daten als Auftragsverarbeiter (siehe oben).

Widerspruch (Art. 21 DSGVO): Sie können der Reichweitenmessung jederzeit widersprechen. Der folgende Schalter speichert auf Ihren ausdrücklichen Wunsch einen Eintrag im lokalen Speicher Ihres Browsers (§ 25 Abs. 2 Nr. 2 TDDDG), der die Messung in diesem Browser abschaltet. Löschen Sie Ihre Browserdaten, geht die Einstellung verloren.

4. Authentifizierung und Benutzerkonto

Supabase

Für die Benutzerregistrierung und -anmeldung verwenden wir Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992). Dabei werden folgende Daten verarbeitet:

• E-Mail-Adresse
• Benutzername
• Verschlüsseltes Passwort (gehashter Wert)
• Zeitpunkt der Registrierung und letzten Anmeldung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Supabase wurde ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen. Konto- und Anmeldedaten werden bis zur Löschung Ihres Kontos gespeichert. Nach Kontolöschung werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Google OAuth

Optional können Sie sich über Ihr Google-Konto anmelden. Dabei erhalten wir von Google Ihren Namen und Ihre E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. KI-Verarbeitung

Nebius AI Studio

Für die Simulation von Patientengesprächen, Hinweisen, Prüfer- Interaktion und Auswertung nutzen wir Open-Weight-KI-Modelle (z. B. Llama- und Qwen-Modellfamilien), die über die Nebius B.V. (Schiphol-Rijk, Niederlande) bereitgestellt werden. Die Inferenz erfolgt in Rechenzentren innerhalb der EU (Standort Finnland). Beim Anstoßen einer Simulation werden Ihre Gesprächsnachrichten an die Nebius-API übermittelt.

• Es werden keine echten Patientendaten verarbeitet.
• Die Verarbeitung findet ausschließlich innerhalb der EU statt — kein Drittlandtransfer.
• Die Gesprächsdaten werden nicht dauerhaft bei Nebius gespeichert und nicht für das Training von Modellen verwendet (vertraglich ausgeschlossen).
• Die Übertragung erfolgt verschlüsselt (TLS).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Kernfunktionalität).

Mit Nebius besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Einzelne Sitzungsprotokolle werden auf unseren Servern höchstens 30 Tage zu Auswertungszwecken vorgehalten und danach gelöscht bzw. anonymisiert.

Hinweis: Geben Sie in den Simulationen dennoch keine realen Gesundheits- oder Patientendaten ein — auch keine eigenen. Die Patientinnen und Patienten sind vollständig fiktiv; reale Gesundheitsdaten fallen unter Art. 9 DSGVO (besondere Kategorien) und sollen nur dann verarbeitet werden, wenn dies für die Diensterbringung tatsächlich notwendig ist.

4a. Mail-Hosting

Netcup

Die E-Mail-Postfächer info@, kontakt@ und support@hpp-bestehen.de werden bei der netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland) gehostet. Wenn Sie uns eine E-Mail schreiben, verarbeitet Netcup als Auftragsverarbeiter Absenderadresse, Inhalte und Metadaten des Mailverkehrs zur Zustellung und Speicherung der Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kontaktanfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kommunikation). Mit Netcup wurde ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen; der Serverstandort liegt in Deutschland.

Feedback

Wenn Sie uns über das Feedback-Formular schreiben, verarbeiten wir Ihre Nachricht sowie — falls angegeben — Ihre E-Mail-Adresse ausschließlich zur Bearbeitung und Beantwortung Ihres Anliegens. Technische Angaben (aufgerufene Seite, Browser-Kennung) helfen uns, gemeldete Probleme nachzuvollziehen. Die Angabe der E-Mail-Adresse ist freiwillig.

Damit uns keine Rückmeldung entgeht, schicken wir jede neue Nachricht zusätzlich als E-Mail an unser Postfach kontakt@hpp-bestehen.de. Für den Versand nutzen wir Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter. Übermittelt werden Ihre Nachricht, die gewählte Kategorie, die aufgerufene Seite, ob Sie angemeldet waren, und — falls angegeben — Ihre E-Mail-Adresse. Resend speichert die E-Mails bis zu 30 Tage. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Resend ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zeitnahen Bearbeitung Ihrer Rückmeldung). Eine Weitergabe zu anderen Zwecken erfolgt nicht.

5a. Automatisierte Entscheidungsfindung

Die KI-gestützte Auswertung Ihrer Übungsgespräche (z. B. Empathie-Score, Diagnose-Rückmeldung) ist eine automatisierte Verarbeitung im weiteren Sinne. Sie entfaltet jedoch keine rechtliche Wirkung und keine ähnlich erhebliche Beeinträchtigung im Sinne von Art. 22 Abs. 1 DSGVO — die Ergebnisse dienen ausschließlich Ihrer persönlichen Übung und fließen nicht in Prüfungs-, Zulassungs- oder Behandlungsentscheidungen ein.

Involvierte Logik: Ein Large-Language-Model vergleicht Ihre Gesprächsführung mit vorgegebenen Musterlösungen und bewertet Kategorien wie Anamnesequalität, Differenzialdiagnostik und rechtliche Abklärung. Die Bewertung kann fehlerhaft sein und ersetzt keine Rückmeldung durch ausbildende Fachpersonen. Sie können der KI-Auswertung jederzeit widersprechen und eine Löschung der Bewertungsergebnisse verlangen.

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und lokalen Speicher (localStorage) für:

• Authentifizierung und Session-Management
• Speicherung Ihrer Cookie-Einstellungen
• Zustandsverwaltung der Anwendung

Marketing- oder Tracking-Cookies werden nicht eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. § 25 Abs. 2 TDDDG (technisch notwendige Cookies).

7. Sitzungsdaten und Fortschritt

Wenn Sie ein Benutzerkonto erstellen, speichern wir Ihre abgeschlossenen Simulationssitzungen (Diagnose, Bewertung, Zeitpunkt), um Ihren Lernfortschritt darzustellen. Diese Daten sind ausschließlich für Sie sichtbar.

Speicherdauer: Fortschrittsdaten werden bis zur Löschung Ihres Kontos gespeichert. Sie können einzelne Sitzungen jederzeit in Ihrem Profil löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Text-to-Speech (Sprachausgabe)

Optional können Patientenantworten per Sprachausgabe vorgelesen werden. Für eine natürliche Stimmqualität nutzen wir hierfür Azure AI Speech (Neural Text-to-Speech) der Microsoft Ireland Operations Ltd. (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland), einem Dienst der Microsoft Corporation (USA). Beim Vorlesen wird der KI-generierte Text der Patientenantwort an die Azure-Schnittstelle übermittelt und dort in Audio umgewandelt. Die Verarbeitung erfolgt in einem Rechenzentrum innerhalb der EU (Region „Germany West Central“, Deutschland).

• Übermittelt wird ausschließlich der synthetische, KI-generierte Patiententext — keine personenbezogenen Nutzerdaten und keine Eingaben aus Ihrem Konto.
• Der Text wird nur vorübergehend zur Synthese verarbeitet, nicht dauerhaft gespeichert und nicht für das Training von Modellen verwendet.
• Die Übertragung erfolgt verschlüsselt (TLS).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer natürlichen, barrierearmen Sprachausgabe). Mit Microsoft besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Microsoft Products and Services Data Protection Addendum).

Steht der Dienst nicht zur Verfügung, fällt die Sprachausgabe automatisch auf die rein lokale Browser-Sprachsynthese (Web Speech API) zurück; dabei verlässt kein Text Ihren Browser.

8a. Hinweis nach EU-KI-Verordnung (AI Act)

HPP-Bestehen ist ein KI-basiertes Lernsystem. Gemäß Art. 50 der Verordnung (EU) 2024/1689 weisen wir ausdrücklich darauf hin, dass Sie in den Simulationen mit einem KI-System interagieren und dass sämtliche Patientenäußerungen, Bewertungen und Auswertungstexte vollständig KI-generiert sind. Es handelt sich nicht um echte Personen oder reale Fälle.

9. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie speichern
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung
• Widerruf — erteilte Einwilligungen jederzeit widerrufen

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter der oben genannten E-Mail-Adresse.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren.

11. Datenübermittlung in Drittländer

Die KI-Inferenz (Nebius), die Sprachausgabe (Microsoft Azure, Region Germany West Central) und die Authentifizierungs-/Daten-Schicht (Supabase, Region Frankfurt) finden innerhalb der EU statt. Vercel (Hosting/CDN), Resend (Benachrichtigung über Feedback) und ggf. Google (nur bei aktivem OAuth-Login) haben ihren Sitz in den USA. Soweit Vercel, Resend, Google oder der Microsoft-Konzern Daten in die USA übermitteln, erfolgt die Übertragung auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

11a. Transparenz-Übersicht

Eine zusammenfassende Darstellung des Datenflusses, der Anbieter und der Speicherfristen — inklusive Datenfluss-Diagramm — finden Sie auf unserer Transparenzseite.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes oder der Datenverarbeitung anzupassen. Die aktuelle Fassung ist stets auf dieser Seite abrufbar.