Ihre Daten bleiben in der EU und in Ihrer Hand.

Andere Anbieter, etwa OpenAI, lassen sich ebenfalls anbinden. Dann weisen wir Sie auf die Folgen für Datenschutz und Sicherheit hin.

Rechte entstehen in drei Ebenen. Jede wird dort verwaltet, wo sie heute schon liegt.

Welche Benutzerverwaltung können wir anbinden?

Jede, die LDAP, OIDC oder SAML spricht, zum Beispiel Active Directory, Entra ID oder WSO2. Die Anmeldung läuft über Keycloak in basebox, Passwörter sieht basebox nie. Ein zweiter Faktor ist möglich.

Wer darf welche App nutzen?

Wer die App gebaut hat, gibt sie frei: für Gruppen aus Ihrer Benutzerverwaltung oder für einzelne Personen, nur zum Nutzen oder auch zum Bearbeiten.

Wer sieht welche Daten?

Jede Person sieht nur, was sie im jeweiligen System ohnehin sehen darf. Sie meldet sich dort über die Verbindung mit ihrem eigenen Zugang an, basebox nutzt kein gemeinsames Konto.

Wie meldet sich eine Person bei einem System an?

Über OAuth mit ihrem eigenen Konto im jeweiligen System. basebox erhält dafür eine Freigabe, kein Passwort. Ein gemeinsames Dienstkonto gibt es nicht.

Woher kommen die Gruppen?

Aus Ihrer Benutzerverwaltung, zum Beispiel Active Directory. Ändert sich dort etwas, gilt es auch in basebox.

Was passiert, wenn jemand eine App teilt?

Geteilt wird die Aufgabe, nicht der Zugriff. Wer eine geteilte App nutzt, sieht darin trotzdem nur die eigenen Daten.

Wer darf welches KI-Modell nutzen?

Modelle schaltet Ihr Administrator frei, wie Verbindungen zu Systemen. In einer App lässt sich nur ein freigeschaltetes Modell auswählen.

Was darf ein automatischer Ablauf?

Nur, was die Person darf, die ihn startet. Auch der Workflow Builder kann ausschließlich Verbindungen und Modelle einbinden, die Ihr Administrator freigeschaltet hat.

Können wir Regeln für alle verbindlich vorgeben?

Ja. Ihr Administrator stellt Nutzungsrichtlinien und Systemvorgaben zentral ein. Sie gelten für alle Apps in Ihrer Organisation.

Ärztinnen und Ärzte, Psychotherapeuten und andere Berufsgeheimnisträger dürfen Dienstleister nur einbinden, wenn diese zur Verschwiegenheit verpflichtet sind. Die Vereinbarung nach § 203 StGB ist eine Anlage zum Lizenzvertrag. Sie wird einbezogen, wenn Sie oder Ihre Beschäftigten Berufsgeheimnisträger sind.

Für Kunden in der Schweiz ergänzen zwei Anlagen den Lizenzvertrag und die AVV: eine Ergänzung nach dem Datenschutzgesetz (DSG) und eine Vereinbarung zur Geheimhaltung nach dem Strafgesetzbuch. Für kantonale und kommunale Stellen gilt das Datenschutzgesetz ihres Kantons; die Ergänzung zur AVV berücksichtigt das.

• Cloud: läuft heute in Deutschland, einem Staat mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung (DSV).
• Schweizer Rechenzentrum: für die Cloud in Arbeit, spätestens 2027.
• Server: Unser Hardware-Partner FAST LTA liefert ihn in die Schweiz.
• Auftragsbearbeitung: Ergänzung zur AVV nach Art. 9 DSG, mit Meldung von Verletzungen der Datensicherheit nach Art. 24 DSG.
• Geheimhaltung: basebox und alle eingesetzten Beschäftigten sind als Hilfspersonen schriftlich verpflichtet, für Berufsgeheimnis (Art. 321 StGB) und Amtsgeheimnis (Art. 320 StGB).

Wer eine KI außerhalb des eigenen Hauses nutzt, entfernt oft vorher Namen und Kennungen. Das schützt nur begrenzt:

Bei basebox bleiben die Daten in Ihrem Rahmen. Die KI arbeitet mit den vollständigen Unterlagen, niemand schwärzt vorher etwas.

C5 ist der Kriterienkatalog des BSI für Cloud-Dienste. Nach § 393 SGB V brauchen Cloud-Anbieter, die Gesundheitsdaten verarbeiten, ein aktuelles C5-Testat. Vorprüfung und Testierung für unsere Cloud sind terminiert. Beim Server ist C5 nicht nötig, dort gelten Ihre Vorgaben als Betreiber.

ISO 13485 regelt das Qualitätsmanagement von Herstellern von Medizinprodukten. Medizinprodukt ist eine Anwendung mit medizinischer Zweckbestimmung, etwa ein Diagnosevorschlag für eine Patientin. basebox ist eine Plattform für allgemeine Aufgaben wie Briefentwürfe oder die Suche in Leitlinien. Für sie zählt die Informationssicherheit: ISO 27001 und C5.

Bauen Sie selbst ein Medizinprodukt und binden darüber Modelle aus basebox ein, sind Sie der Hersteller. Für Ihre technische Dokumentation liefern wir die Angaben eines Zulieferers: Modellregister mit Version und Lizenz, Software-Stückliste und ISO-27001-Zertifikat.

IT-Grundschutz gilt für den Informationsverbund des Betreibers, nicht für ein einzelnes Produkt. Ein Produkt kann deshalb nicht nach Grundschutz zertifiziert sein. Für Ihre Modellierung liefern wir Architektur, Datenflüsse, Schnittstellen, Rollen und Protokolle.