Auftragsverarbeitungsvertrag

Verantwortlicher ist die Praxis, die PhysioVoice nutzt. Sie entscheidet über Zwecke und Mittel der Verarbeitung ihrer Patientendaten.

Auftragsverarbeiter ist Fabian Lehmann, 70567 Stuttgart, Deutschland, Smartwelcome@gmx.de.

Eine Ausnahme, die man kennen muss. Legt ein Patient sich selbst ein Konto in der App an, ist PhysioVoice für dessen Kontodaten eigener Verantwortlicher und nicht Auftragsverarbeiter — er registriert sich bei uns, nicht bei der Praxis. Dieser Vertrag gilt dafür nicht; dafür gilt die Datenschutzerklärung für Patienten. Für alles, was die Praxis über ihre Patienten einträgt, gilt dieser Vertrag.

(1) Gegenstand ist der Betrieb der App PhysioVoice: Erfassung, Strukturierung, Speicherung und Bereitstellung von Behandlungsdokumentation und Übungsprogrammen für die Praxis.

(2) Zweck ist ausschließlich die Erbringung dieser Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt — insbesondere keine Auswertung zu Werbe-, Analyse- oder Trainingszwecken.

(3) Die Verarbeitung findet auf Servern innerhalb der Europäischen Union statt, Standort Frankfurt am Main. Eine Ausnahme regelt § 6.

Der Vertrag läuft, solange der Hauptvertrag läuft. Er endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 8 gelten darüber hinaus.

Kategorien betroffener Personen: Patienten der Praxis; Beschäftigte der Praxis, soweit sie Konten führen; Personen, die eine Übung vorführen und dafür eingewilligt haben.

Arten von Daten:

— Stammdaten: Name, Geburtsdatum, Telefonnummer, E-Mail-Adresse
— Gesundheitsdaten nach Art. 9 DSGVO: Diagnose, Befunde, Behandlungseinträge, Schmerzangaben, markierte Körperregionen, Übungsprogramme
— Aufnahmen: Video- und Fotoaufnahmen von Patienten, soweit eingewilligt
— Nutzungsdaten: Anmeldezeitpunkte, Zugriffsprotokolle nach Art. 30 DSGVO

Nicht verarbeitet werden: Versichertennummer, Krankenkasse, verordnender Arzt, Abrechnungsdaten. Diese Felder gibt es in der App bewusst nicht.

Sprachaufnahmen werden nach der Umwandlung in Text sofort verworfen und nicht gespeichert. Die Spracherkennung läuft auf dem Gerät des Therapeuten.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der App in ihrem bestimmungsgemäßen Umfang gilt als Weisung.

(2) Weitergehende Weisungen bedürfen der Textform. Eine E-Mail genügt.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(4) Verpflichtet ihn Unionsrecht oder mitgliedstaatliches Recht zu einer Verarbeitung, informiert er vorher darüber, sofern das Recht dies nicht verbietet.

(1) Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) § 203 StGB. Der Auftragsverarbeiter ist sonstige mitwirkende Person im Sinne des § 203 Abs. 3 StGB. Er und alle von ihm eingesetzten Personen sind zur Verschwiegenheit über die ihnen bekannt gewordenen Patientengeheimnisse verpflichtet. Er verpflichtet auch seine Unterauftragnehmer entsprechend.

(3) Der Auftragsverarbeiter greift nicht auf Inhalte von Patientenakten zu. Ein Zugriff zu Wartungszwecken erfolgt nur, wenn er zur Störungsbeseitigung unvermeidbar ist, und wird protokolliert.

(1) Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragnehmer zu (Art. 28 Abs. 2 DSGVO):

Supabase Inc. — Datenbank, Anmeldung, Dateispeicher. Verarbeitung in Frankfurt am Main (eu-central-1). Vertrag zur Auftragsverarbeitung geschlossen.

Adacor Hosting GmbH, Emmastraße 70A, 63067 Offenbach am Main — Erstellung des Befundtextes aus dem Diktat. Verarbeitung auf Servern in Deutschland; eine Übermittlung in ein Drittland findet nicht statt. Übermittelt wird ausschließlich zuvor maskierter Text: Name, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Anschrift und IBAN werden auf dem Gerät durch Platzhalter ersetzt und erst danach übertragen. Die Daten werden nicht zum Training von Modellen verwendet.

Apple Inc. — Vertrieb der App und Zustellung von Mitteilungen. Apple erhält keine Patientendaten.

(2) Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten, die ihn selbst treffen (Art. 28 Abs. 4 DSGVO).

(3) Weitere Unterauftragnehmer teilt er mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann widersprechen; im Fall eines Widerspruchs kann jede Seite den Vertrag zum vorgesehenen Zeitpunkt der Änderung kündigen.

Nach Art. 32 DSGVO sind insbesondere umgesetzt:

Verschlüsselung. Alle Verbindungen über TLS. Daten im Ruhezustand verschlüsselt. Passwörter ausschließlich als Hash.

Zugriffskontrolle. Die Trennung nach Praxen ist in der Datenbank selbst erzwungen (Row Level Security), nicht erst in der Anwendung. Eine Praxis kann technisch nur ihre eigenen Daten lesen — auch dann, wenn die App einen Fehler hätte. Zwei-Faktor-Anmeldung verfügbar. Automatische Sperre der App nach zwei Minuten ohne Eingabe.

Trennungsgebot. Kontodaten von Patienten liegen getrennt von Behandlungsdaten. Aufnahmen von Patienten sind technisch von Übungs- und Demomaterial getrennt und können nicht geteilt werden.

Speicherbegrenzung. Aufnahmen von Patienten werden 90 Tage nach der Aufnahme automatisch gelöscht. Der Ablauf läuft täglich und ist nicht von einer Handlung des Nutzers abhängig.

Nachvollziehbarkeit. Zugriffe auf Patientendaten werden protokolliert. Das Protokoll kann nachträglich weder geändert noch gelöscht werden.

Verfügbarkeit. Tägliche Sicherung, Wiederherstellung auf einen Zeitpunkt (Point-in-Time-Recovery) über den Betreiber der Datenbank.

Datenminimierung. Abrechnungs- und Verwaltungsfelder werden nicht erhoben. Zur KI-Verarbeitung geht ausschließlich maskierter Text.

(1) Nach Ende des Vertrages löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten (Art. 28 Abs. 3 lit. g DSGVO).

(2) Vorher erhält der Verantwortliche 30 Tage Gelegenheit zum Export.

(3) Eine Aufbewahrung über diesen Zeitpunkt hinaus findet nicht statt. Die Aufbewahrungspflicht nach § 630f Abs. 3 BGB trifft den Verantwortlichen und ist von ihm in seiner eigenen Dokumentation zu erfüllen. Der Auftragsverarbeiter übernimmt sie ausdrücklich nicht.

(4) Löscht ein Therapeut sein Konto in der App, werden die Daten seiner Praxis unmittelbar gelöscht. Die App weist vorher darauf hin.

(1) Betroffenenrechte. Der Auftragsverarbeiter unterstützt bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er sie unverzüglich an den Verantwortlichen weiter und antwortet nicht selbst in der Sache.

(2) Datenschutzverletzungen. Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die dieser für seine Meldung nach Art. 33 DSGVO braucht.

(3) Weitere Unterstützung bei Datenschutz-Folgenabschätzung und vorheriger Konsultation nach Art. 35 und 36 DSGVO, soweit dem Verantwortlichen die dafür nötigen Angaben ohne den Auftragsverarbeiter nicht zugänglich sind.

(1) Der Auftragsverarbeiter stellt auf Anfrage alle Angaben zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

(2) Er ermöglicht Überprüfungen und trägt zu ihnen bei. Die Überprüfung erfolgt nach Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

(3) Der Nachweis kann auch durch Zertifikate, Prüfberichte oder Berichte der Unterauftragnehmer geführt werden.

(1) Änderungen bedürfen der Textform.

(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

(3) Es gilt das Recht der Bundesrepublik Deutschland.