Datenschutzinformation

Stand: 30. Oktober 2026

Mit dieser Information erfüllt die Universität Bielefeld ihre Pflichten nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) für die Website virtualsp.de: welche personenbezogenen Daten beim Besuch der Seiten und bei der Live-Demo verarbeitet werden, wozu, auf welcher Rechtsgrundlage, wie lange und welche Rechte Sie haben. Für die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“ und „Auftragsverarbeiter“ gelten die Definitionen in Art. 4 DSGVO.

Sie gilt für die öffentliche Website unter virtualsp.de in beiden Sprachen und für deren Vorschau unter stage.virtualsp.de. Sie gilt nicht für die Anwendung VirtualSP, die Lehrende und Studierende nach der Anmeldung nutzen; dafür gibt es eine eigene Datenschutzerklärung, die Sie auf der Anmeldeseite Ihrer Einrichtung und in der Anwendung finden.

1. Verantwortliche Stelle

Verantwortlich im Sinne der DSGVO ist die Universität Bielefeld, eine vom Land Nordrhein-Westfalen getragene, rechtsfähige Körperschaft des öffentlichen Rechts, vertreten durch die Rektorin.

Universität Bielefeld
Universitätsstraße 25
33615 Bielefeld
Telefon: +49 521 106-00
E-Mail: post@uni-bielefeld.de

Fachlich zuständige Stelle

Medizinische Fakultät OWL, Simulation and Communication Lab (SCoLa)
Dr. med. Anja Bittner
E-Mail: anja.bittner@uni-bielefeld.de
Telefon: +49 521 106-67420

Datenschutzbeauftragte

Behördliche Datenschutzbeauftragte der Universität Bielefeld
Postalisch über die Anschrift der Universität
Telefon: +49 521 106-5225
E-Mail: datenschutzbeauftragte@uni-bielefeld.de

2. Grundsätze

Diese Website informiert über VirtualSP, ein Übungsangebot der Medizinischen Fakultät OWL für die ärztliche Gesprächsführung, und lässt Sie das Gespräch mit einer virtuellen Simulationsperson in einer kurzen Demo selbst ausprobieren. Für das Bereitstellen der Seiten ist die Rechtsgrundlage Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 Abs. 1 Datenschutzgesetz Nordrhein-Westfalen (DSG NRW) und § 3 Hochschulgesetz Nordrhein-Westfalen (HG NRW): die Information der Öffentlichkeit über Forschung und Lehre der Hochschule. Die Live-Demo nutzen Sie nur mit Ihrer Einwilligung.

Die Website setzt keine Analyse-, Tracking- oder Werbedienste ein und lädt keine Inhalte von Drittanbietern nach: keine Schriften, Skripte, Karten oder Videos von fremden Servern. Die Seiten werden beim Bauen der Website fertig erzeugt und sind ohne JavaScript lesbar. Es gibt keine Registrierung und keinen Verteiler für Nachrichten. Es findet kein Profiling statt, und es werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Daten werden nur an die unten genannten Dienstleister weitergegeben, und nur, soweit dort beschrieben.

3. Aufruf der Website

Zugriffsdaten

Bei jedem Aufruf einer Seite verarbeitet der Server technisch bedingt Verbindungsdaten: die IP-Adresse Ihres Geräts, Datum und Uhrzeit, die aufgerufene Adresse, die Adresse der zuvor besuchten Seite, sofern Ihr Browser sie mitschickt (Referrer), die Kennung Ihres Browsers (User-Agent), den Statuscode der Antwort, die übertragene Datenmenge und die Dauer der Bearbeitung. Diese Angaben stehen im Systemprotokoll des Servers und dienen der Betriebssicherheit, der Fehlersuche und der Abwehr von Angriffen. Sie werden nicht ausgewertet, um Ihr Verhalten nachzuvollziehen, und nach spätestens 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 DSG NRW und die Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.

Zum Schutz vor Überlastung zählt der Server Anfragen je IP-Adresse für kurze Zeit im Arbeitsspeicher; für die Live-Demo sind das höchstens 20 Bestätigungen und drei Gesprächsstarts je Stunde. Gespeichert wird von dieser Zählung nichts.

Cookie und lokaler Speicher

Zum Lesen der Seiten setzt die Website kein Cookie. Wenn Sie in der Fußzeile ein Farbschema (hell, dunkel, wie das System) wählen, merkt sich Ihr Browser diese Wahl im lokalen Speicher (localStorage) unter dem Namen „vsp-theme“; der Eintrag verlässt Ihr Gerät nicht. Die Sprache steht in der Adresse der Seite und wird nicht gespeichert.

Für die Live-Demo gibt es ein Cookie: „__Host-vsp_demo“. Es wird erst gesetzt, wenn Sie den Hinweistext vor dem Gespräch bestätigen, nicht beim Aufruf der Startseite. Es enthält eine zufällige, vom Server signierte Kennung ohne Bezug zu Ihrer Person, ist vor dem Zugriff durch Skripte geschützt, wird nur verschlüsselt übertragen und erlischt zwei Stunden nach dem Setzen. Der Server braucht es, um Ihre Bestätigung dem Gespräch zuzuordnen, das Sie gleich darauf beginnen, und um sicherzustellen, dass je Gast nur ein Gespräch zugleich läuft.

Ein zweites Cookie gibt es für die Präsentation für Hochschulen unter „/praesentation“, die sich nur mit einem PIN öffnen lässt: „__Host-vsp_praesentation“. Es wird erst gesetzt, wenn Sie den richtigen PIN eingeben. Es enthält den Zeitpunkt, zu dem es erlischt, und eine Signatur des Servers, aber keine Kennung und keinen Bezug zu Ihrer Person; es ist vor dem Zugriff durch Skripte geschützt, wird nur verschlüsselt übertragen und erlischt zwölf Stunden nach dem Setzen. Damit erkennt der Server, dass in Ihrem Browser der PIN eingegeben wurde. Gegen das Durchprobieren zählt er die Eingaben je IP-Adresse eine Viertelstunde lang im Arbeitsspeicher; gespeichert wird von dieser Zählung nichts. Wählen Sie in der Übersicht der Präsentation Folien ab, merkt sich Ihr Browser deren Namen im lokalen Speicher unter „vsp-praesentation-folien“, bis Sie „Alle zeigen“ wählen; auch dieser Eintrag verlässt Ihr Gerät nicht.

Das Farbschema, die Auswahl der Folien und beide Cookies sind für die Funktion unbedingt erforderlich, die Sie ausdrücklich verlangt haben (§ 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG); eine Einwilligung ist dafür nicht nötig, und deshalb gibt es keinen Cookie-Hinweis.

4. Was in der Live-Demo geschieht

Auf der Startseite können Sie ein kurzes Gespräch mit einer virtuellen Simulationsperson führen, sofern die Demo freigeschaltet ist. Sie übernehmen die Rolle der Ärztin oder des Arztes; die Simulationsperson wird von einem KI-Sprachmodell gespielt, das in Echtzeit zuhört und mit synthetischer Stimme antwortet. Der Fall ist erfunden und enthält keine Daten realer Personen. Ein Gespräch dauert höchstens zwei Minuten und endet auch dann von selbst, wenn 20 Sekunden lang niemand spricht; beides setzt der Server durch. Sie sprechen mit einer künstlichen Intelligenz, nicht mit einem Menschen; darauf weist die Website vor jedem Gespräch hin (Art. 50 der KI-Verordnung, Verordnung (EU) 2024/1689).

Ablauf

Wer auf „KI-Gespräch testen“ oder „Anrufen“ tippt, sieht zuerst den Hinweistext „Bevor es losgeht“. Erst mit „Einverstanden“ beginnt eine Verarbeitung: Der Server setzt das genannte Cookie, Ihr Browser fragt Sie um die Freigabe des Mikrofons, und danach baut er die Verbindung auf. Mit „Abbrechen“ kehren Sie zur Seite zurück, ohne dass etwas übermittelt wurde.

Ihre Stimme und das Transkript

Ihre Stimme wird über eine direkte, verschlüsselte Verbindung (WebRTC) von Ihrem Browser an OpenAI übertragen, wo das Sprachmodell zuhört, ein Transkript erzeugt und antwortet. Weil die Verbindung direkt ist, erhält OpenAI dabei die IP-Adresse Ihres Geräts und technische Verbindungsdaten. Unser Server übermittelt OpenAI das Rollenskript der Simulationsperson und Anweisungen zur Gesprächsführung; über Sie weiß er nichts und übermittelt nichts. Was Sie im Gespräch sagen, wird allerdings übertragen. Nennen Sie deshalb keine echten Namen, keine Angaben zu Ihrer Person und keine eigenen Gesundheitsdaten; das Gespräch braucht nichts davon. Ihre Stimme wird nicht dazu verwendet, Sie zu erkennen oder wiederzuerkennen.

Über eine zweite Verbindung erhält unser Server von OpenAI das Transkript und Ereignisse zum Ablauf. Er braucht sie, um die Simulationsperson zu steuern und Ihnen den Gesprächsverlauf als Text anzuzeigen. Transkript und Ereignisse hält er nur im Arbeitsspeicher, solange das Gespräch läuft, und verwirft sie eine Minute nach dessen Ende. Sie werden nicht in der Datenbank gespeichert; wer die Seite verlässt, hat den Verlauf nicht mehr. Das Serverprotokoll vermerkt Beginn, Ende und Fehler eines Gesprächs, aber keinen gesprochenen Inhalt. Eine Aufzeichnung des Tons findet nicht statt, weder bei uns noch bei OpenAI (siehe „Dienstleister und Empfänger“).

Was von einem Gespräch bleibt

Zu jedem Gespräch speichert der Server eine Buchführung: das gezeigte Szenario mit Titel und Version, die Kennung der Sitzung beim Anbieter, die Version des bestätigten Hinweistexts mit dem Zeitpunkt der Bestätigung, Beginn und Ende, die abgerechneten Sekunden und den Grund des Endes; dazu die zufällige Kennung aus dem Cookie, damit je Gast nur ein Gespräch zugleich läuft. Am Ende entsteht außerdem ein Eintrag im internen Protokoll mit Grund und Dauer, ohne Bezug zu einer Person. Keine IP-Adresse, kein Name, kein Transkript, kein Audio. Aus dieser Buchführung zählt der Server das Tagesbudget der Demo und den Verbrauch beim Anbieter; sie ist nur der Plattform-Administration der Universität zugänglich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 DSG NRW (Kostenkontrolle und Sicherheit des Angebots). Sobald das Cookie erloschen ist, lässt sich ein Eintrag keiner Person mehr zuordnen. Die Buchführung wird spätestens im Rahmen des Löschkonzepts gelöscht, das mit der Aufnahme des regulären Betriebs verbindlich wird.

5. Ihre Einwilligung zur Live-Demo

Die Verarbeitung Ihrer Stimme und des Transkripts in der Live-Demo, einschließlich der Übermittlung an OpenAI in die Vereinigten Staaten (siehe „Dienstleister und Empfänger“), beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 Buchstabe a DSGVO). Sie erteilen sie, indem Sie den Hinweistext „Bevor es losgeht“ mit „Einverstanden“ bestätigen. Der Text nennt in drei Sätzen, was geschieht; alles Weitere steht hier. Version und Zeitpunkt Ihrer Bestätigung hält der Server in der Buchführung des Gesprächs fest (Art. 7 Abs. 1 DSGVO).

Die Einwilligung ist freiwillig. Ohne sie können Sie die Demo nicht nutzen; sonst hat ein Nein keine Folgen, und die übrige Website steht Ihnen genauso offen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), im einfachsten Fall, indem Sie auflegen oder die Seite verlassen: Damit endet die Verarbeitung, und weil vom Gespräch nichts aufbewahrt wird, bleibt danach nichts zu löschen. Die Freigabe des Mikrofons können Sie außerdem in Ihrem Browser widerrufen. Die Demo richtet sich an Erwachsene und ist nicht für Kinder bestimmt.

6. Kontakt über die Formulare

Auf der Seite „Lehre“ können Sie einen Testzugang anfragen, auf der Seite „Forschung“ eine Zusammenarbeit. Beide Formulare erheben dieselben Angaben: Name, E-Mail-Adresse, Hochschule oder Einrichtung, Fach beziehungsweise Fachgebiet und Ihre Beschreibung des Anliegens. Niemand muss anfragen; wer es tut, muss diese Angaben machen, weil wir sonst weder antworten noch etwas Passendes einrichten können. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 DSG NRW und § 3 HG NRW: Die Anbahnung von Kooperationen in Lehre und Forschung gehört zu den Aufgaben der Hochschule. Anders als bei der Live-Demo bitten wir Sie dafür nicht um eine Einwilligung — Sie entscheiden durch das Absenden selbst, ob Sie uns schreiben.

Ihre Angaben gehen in zwei E-Mails: eine Benachrichtigung an unsere Kontaktadresse und eine Bestätigung an Sie. Ein Konto entsteht dabei nicht, und die Anfrage wird nicht in einer Datenbank gespeichert. Sie liegt als versandte Nachricht in unserem Mailausgang, bis dieser sie nach der Zustellung verwirft, und danach in den Postfächern der Beteiligten — also solange, wie E-Mails dort üblicherweise aufbewahrt werden.

Die Formulare enthalten ein für Sie unsichtbares Feld, das Menschen nicht ausfüllen können. Wird es dennoch ausgefüllt, verwerfen wir die Anfrage, ohne eine Mail zu verschicken; das erkennt automatisierte Einsendungen, ohne dass wir Daten an einen Dienst Dritter geben. Zusätzlich begrenzen wir die Zahl der Anfragen je IP-Adresse; gezählt wird im Arbeitsspeicher, gespeichert wird dabei nichts.

7. Kontakt per E-Mail

Die Website enthält E-Mail-Adressen der Ansprechpersonen. Schreiben Sie uns direkt, werden Ihre Adresse, der Inhalt Ihrer Nachricht und der Zeitpunkt im E-Mail-System der Universität Bielefeld verarbeitet, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 DSG NRW und § 3 HG NRW. Die Nachrichten werden so lange aufbewahrt, wie es für die Bearbeitung Ihres Anliegens nötig ist, und nach den Aufbewahrungsregeln der Universität gelöscht.

8. Verweise auf andere Websites und Angaben zu Personen

Die Seiten verweisen auf Angebote Dritter, etwa das Personenverzeichnis der Universität und Veröffentlichungen über doi.org. Beim Lesen wird von dort nichts geladen. Folgen Sie einem Verweis, erfährt die Zielseite höchstens, dass Sie von virtualsp.de kommen, nicht, von welcher Seite; es gilt dann die Datenschutzinformation des jeweiligen Anbieters.

Auf der Seite „Team“ und in der Fußzeile stehen Name, Funktion, dienstliche E-Mail-Adresse und Telefonnummer der Mitarbeitenden, gegebenenfalls mit Porträt. Diese Angaben stammen aus dem Personenverzeichnis der Universität, werden dort von den Personen selbst gepflegt und beim Bauen der Website übernommen; ein Porträt erscheint nur, wenn die Person es im Verzeichnis freigegeben hat. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 3 DSG NRW und § 18 DSG NRW.

9. Dienstleister und Empfänger

Hosting

Die Website und der Server der Demo laufen auf einer virtuellen Maschine der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, im Rechenzentrum Berlin. Die Datenbank ist nur von der Maschine selbst erreichbar; alle Verbindungen nach außen sind verschlüsselt. Von der Datenbank, und damit von der Buchführung der Demo, wird täglich eine Sicherung angelegt und sieben Tage aufbewahrt. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Mailversand

Die Mails dieser Website verschicken wir über AhaSend, einen Dienst der Aha Labs Inc. mit Servern in der Europäischen Union. Übermittelt werden dabei die Empfängeradresse, der Betreff und der Inhalt der Nachricht sowie technische Zustellmeldungen; AhaSend verarbeitet sie ausschließlich zur Zustellung. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Den Inhalt einer versandten Nachricht löschen wir nach der Zustellung aus unserem Mailausgang; erhalten bleibt der Vermerk, dass und wann sie zugestellt wurde.

Sprachmodell (nur Live-Demo)

Für die Live-Demo nutzen wir die Programmierschnittstelle von OpenAI; Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Die Verarbeitung findet auf Servern in den Vereinigten Staaten statt, also in einem Drittland ohne Angemessenheitsbeschluss der Europäischen Kommission für diesen Anbieter. Grundlage der Übermittlung ist der Auftragsverarbeitungsvertrag von OpenAI mit den Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchstabe c DSGVO); eine Kopie erhalten Sie über die fachlich zuständige Stelle, oben genannt. Wir weisen darauf hin, dass in den Vereinigten Staaten ein Zugriff staatlicher Stellen auf die Daten nicht ausgeschlossen werden kann und dass Ihnen dort nicht dieselben Rechtsbehelfe zustehen wie in der Europäischen Union.

An OpenAI gelangen Ihre Stimme, das daraus erzeugte Transkript, die IP-Adresse Ihres Geräts, das Rollenskript der Simulationsperson und die Anweisungen zur Gesprächsführung; Namen oder Kontaktdaten gelangen nicht dorthin, weil wir keine kennen. Demo-Gespräche werden bei OpenAI nicht gespeichert (Einstellung „store: false“); es gibt dort keine Aufzeichnung und keine abrufbare Sitzung. Nach den Angaben von OpenAI werden Ein- und Ausgaben der Schnittstelle bis zu 30 Tage zur Missbrauchskontrolle aufbewahrt und nicht zum Training von Modellen verwendet.

Sonstige Empfänger

Eine Weitergabe an sonstige Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

10. Ihre Rechte

Sie haben gegenüber der Universität Bielefeld das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Soweit die Verarbeitung auf Art. 6 Abs. 1 Buchstabe e DSGVO beruht, können Sie ihr aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich dafür an die fachlich zuständige Stelle oder an die Datenschutzbeauftragte, beide oben genannt.

Beim Besuch der Website und in der Demo speichern wir nichts, was Sie als Person ausweist: Die Zugriffsdaten tragen nur eine IP-Adresse und sind nach 14 Tagen gelöscht, die Buchführung der Demo nur eine zufällige Kennung. Wir können Sie darin nicht identifizieren (Art. 11 DSGVO). Wollen Sie Ihre Rechte dennoch ausüben, teilen Sie uns mit, was eine Zuordnung erlaubt, etwa Ihre IP-Adresse und den Zeitpunkt Ihres Besuchs.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für die Universität Bielefeld ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Internet: www.ldi.nrw.de

11. Änderungen dieser Information

Diese Information beschreibt den Stand der Website zum oben genannten Datum. Kommen Funktionen hinzu, die personenbezogene Daten verarbeiten, wird sie vor deren Freischaltung ergänzt. Die jeweils geltende Version finden Sie an dieser Stelle.