Transparenz
Datenfluss, eingesetzte Anbieter, Speicherfristen. Stand: 19. April 2026.
Was diese Seite soll
Die Datenschutzerklärung erfüllt die gesetzlichen Informationspflichten nach Art. 13/14 DSGVO. Diese Seite ergänzt sie mit einer praxisorientierten Übersicht: Wohin fließen welche Daten, wie lange werden sie gespeichert, welche AVVs sind unterschrieben. Ziel ist maximale Offenheit.
Betreiber & Rolle
HPP-Bestehen ist ein nicht-kommerzielles, privates Lern- und Übungsprojekt. Verantwortlich im Sinne der DSGVO ist Jonathan Brinkmann (siehe Impressum). Es werden keine Gebühren erhoben, keine Werbung geschaltet und keine Affiliate-Einnahmen erzielt. Der Dienst ist kein medizinisches Produkt und keine Heilkundeausübung im Sinne des Heilpraktikergesetzes.
Datenfluss im Überblick
Chat-Eingaben werden zur Bereitstellung der KI-Antwort live an OpenAI übermittelt. Vertragspartner für EU-Kunden ist OpenAI Ireland Ltd. (Dublin); die eigentliche Modell-Verarbeitung findet beim US-Konzern OpenAI OpCo, LLC statt, abgesichert durch EU-Standardvertragsklauseln und den Angemessenheitsbeschluss unter dem EU-US Data Privacy Framework. Laut OpenAI Business Terms werden API-Eingaben nicht für das Training von Modellen verwendet; zum Abuse-Schutz kann OpenAI Inhalte bis zu 30 Tage protokollieren. Eine EU-gehostete KI-Alternative ist in Prüfung.
Eingesetzte KI-Modelle
- OpenAI GPT-Modelle — Patientensimulation, Auswertung, Prüfer-Interaktion, Coach-Chat
- OpenAI TTS — optionale Sprachausgabe für Patientenantworten (nur bei aktiver Nutzung)
Alle Ausgaben sind KI-generiert. Keine Aussage der Plattform ersetzt ärztliche oder psychotherapeutische Beratung, kein simulierter Patient ist real.
Anbieter, Rollen, Standorte
| Anbieter | Zweck | Standort | AVV | Speicherdauer |
|---|---|---|---|---|
| Vercel Inc. Sub-Prozessoren ↗ | Hosting der Website, Edge-/Server-Funktionen | US USA (CDN global) | AVV + DPF/SCCs | max. 30 Tage (Standard) |
| Supabase Inc. Sub-Prozessoren ↗ | Authentifizierung, Datenbank (PostgreSQL), Fortschritts-Speicher | EU EU (Frankfurt) | AVV ✓ (EU) | bis Kontolöschung; Sitzungs-Details max. 30 Tage |
| OpenAI Ireland Ltd. (EU) Sub-Prozessoren ↗ | KI-Modell für Patientensimulation, Auswertung, Text-to-Speech | US Irland (Vertrag), Verarbeitung in USA | AVV + DPF/SCCs | API-Inhalte nicht für Modell-Training (per Business Terms); persistentes Abuse-Logging max. 30 Tage |
| Google LLC | Optionaler OAuth-Login (nur wenn aktiv gewählt) | US USA | eig. Verantwortlicher | gemäß Google-Kontodaten; nur Anmelde-Event bei uns |
| netcup GmbH | E-Mail-Hosting für info@ / kontakt@ / support@hpp-bestehen.de | DE Deutschland (Karlsruhe) | AVV ✓ (EU) | bis zur Löschung durch den Betreiber |
AVV = Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. DPF/SCCs bezeichnen die Rechtsgrundlage für Drittlandübermittlungen in die USA — EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) und/oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Über den Sub-Prozessoren-Link können Sie pro Anbieter nachvollziehen, welche Dritten die jeweiligen Dienstleister eingebunden haben; wir werden über Änderungen vertraglich informiert (OpenAI DPA § 2.9, Supabase DPA).
Speicherfristen
- Chat-Transkripte während der Sitzung: ausschließlich im Browser (nicht serverseitig gespeichert). Beim Beenden der Sitzung ohne Auswertung verwerfbar.
- Gespeicherte Auswertungen (Feedback, Transkript): höchstens 30 Tage. Danach werden die freien Textfelder per Cronjob automatisch geleert; Scores/Noten bleiben pseudonym erhalten.
- Rate-Limit-Records (api_usage): max. 30 Tage.
- Konto-Daten: bis zur Kontolöschung — über Profil → Gefahrenzone jederzeit selbst löschbar.
- Vercel Server-Logs: max. 30 Tage (Vercel-Standard).
- E-Mail-Verkehr (Netcup): bis zur manuellen Löschung durch den Betreiber.
Technische & organisatorische Maßnahmen (Kurzfassung)
- TLS-Verschlüsselung aller Verbindungen (HTTPS-only).
- Supabase Row-Level-Security (RLS) — Nutzerdaten sind strikt pro Konto isoliert.
- Passwörter ausschließlich als Hash (bcrypt via Supabase Auth).
- Harte Kostenlimits auf OpenAI-API (Soft- und Hard-Caps), um Missbrauch zu begrenzen.
- Keine Analytics, keine Tracking-Cookies, keine Werbung.
- Geräteübergreifender Fortschritt nur nach Login (serverseitig synchronisiert, nicht öffentlich einsehbar).
Meldeweg bei Datenpannen
Alle eingesetzten Auftragsverarbeiter sind vertraglich verpflichtet, uns „ohne unangemessene Verzögerung" über Datenschutzverletzungen zu informieren (so wörtlich in OpenAI DPA § 2.7, analog bei Supabase, Vercel und Netcup). Tritt bei uns eine meldepflichtige Datenpanne auf, melden wir sie innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Kavalleriestraße 2–4, 40213 Düsseldorf) nach Art. 33 DSGVO. Besteht ein hohes Risiko für Betroffene, werden die betroffenen Nutzer:innen direkt nach Art. 34 DSGVO benachrichtigt.
Wer selbst Auffälligkeiten bemerkt (ungewöhnliche Kontoaktivität, sichtbare Fremddaten, Bug mit Datenleak-Potenzial), bitte sofort an kontakt@hpp-bestehen.de melden — wir reagieren prioritär.
Meldungen & Korrekturen
Datenschutz-Anfragen (Auskunft, Löschung, Widerspruch) und Hinweise auf Fehler im Datenfluss bitte an kontakt@hpp-bestehen.de. Wir reagieren in der Regel innerhalb weniger Tage.