[Therapeut - Name wird bei Signup eingefügt] [Adresse wird bei Signup eingefügt] - nachfolgend "Auftraggeber" oder "Verantwortlicher" -
und
Intermac systems Sendnicher Str. 58a 56072 Koblenz Deutschland E-Mail: nd@intermac.de - nachfolgend "Auftragnehmer" oder "Dienstleister" -
Präambel
Der Auftraggeber ist Psychotherapeut/Psychologe und nutzt die Therapiedokumentations- und KI-Assistenzplattform des Auftragnehmers zur Verwaltung von Therapiesitzungen, Erstellung von Berichten und Anträgen.
Der Auftraggeber ist allein verantwortlich für die Einhaltung datenschutzrechtlicher Vorschriften gegenüber seinen Patienten, insbesondere für die Einholung erforderlicher Einwilligungen.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
§ 1 Gegenstand und Dauer
(1) Vertragsgegenstand
Der Auftragnehmer stellt eine webbasierte Plattform zur Verfügung für:
Transkription von Therapiesitzungen
Speicherung von Sitzungsnotizen und Patientendaten
KI-gestützte Erstellung von Therapieberichten
KI-gestützte Erstellung von Kostenerstattungsanträgen
Verwaltung von Patientendaten
(2) Vertragsdauer
Dieser AVV gilt für die Dauer der Nutzung der Plattform durch den Auftraggeber.
§ 2 Art und Zweck der Datenverarbeitung
(1) Verarbeitungszweck
Die Verarbeitung dient ausschließlich der Bereitstellung der Plattformfunktionen zur Therapiedokumentation.
(2) Art der Daten
Patientendaten (Name, Vorname, optional weitere vom Auftraggeber eingegebene Daten)
Therapiesitzungsnotizen und Transkriptionen
Diagnosen und Behandlungsinhalte
KI-generierte Berichte und Anträge
Therapeutendaten (Account-Verwaltung)
(3) Kategorien betroffener Personen
Patienten des Auftraggebers
Der Auftraggeber selbst (als Nutzer)
§ 3 Weisungsrecht des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet.
(2) Weisungen werden erteilt durch:
Diese Vereinbarung
Die Nutzung der Plattformfunktionen durch den Auftraggeber
Schriftliche oder elektronische Einzelweisungen
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 4 Verantwortlichkeiten des Auftraggebers
(1) Patienteneinwilligung
Der Auftraggeber versichert, dass er die erforderlichen Einwilligungen seiner Patienten zur Datenverarbeitung gemäß Art. 6, 9 DSGVO eingeholt hat.
(2) Rechtmäßigkeit
Der Auftraggeber ist allein verantwortlich für:
Die Rechtmäßigkeit der Datenerhebung
Die Einhaltung therapeutischer Schweigepflichten
Die Information der Patienten über die Datenverarbeitung
Die Erfüllung von Betroffenenrechten (Auskunft, Löschung, etc.)
(3) Eingabe korrekter Daten
Der Auftraggeber ist verantwortlich für die Richtigkeit und Aktualität der eingegebenen Daten.
§ 5 Pflichten des Auftragnehmers
(1) Vertraulichkeit
Der Auftragnehmer verpflichtet alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit.
(2) Technische und organisatorische Maßnahmen
Der Auftragnehmer implementiert angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:
AES-256 Verschlüsselung aller sensiblen Daten (at rest)
Per-User Verschlüsselungsschlüssel
TLS/SSL Verschlüsselung bei Datenübertragung
IP-beschränkter Serverzugang mit 2FA
Regelmäßige Sicherheitsupdates
Audit-Logging aller Zugriffe
Firewall-geschützte Server in deutschen Rechenzentren
Eine detaillierte Beschreibung der TOMs ist in Anlage 1 aufgeführt.
(3) Datenschutzverletzungen
Der Auftragnehmer meldet Datenschutzverletzungen unverzüglich (spätestens 24h) an den Auftraggeber mit allen relevanten Informationen gemäß Art. 33 DSGVO.
§ 6 Unterauftragnehmer (Subprocessors)
(1) Genehmigte Unterauftragnehmer
Der Auftraggeber stimmt hiermit der Beauftragung folgender Unterauftragnehmer zu:
Unterauftragnehmer
Leistung
Standort
Besonderheit
Hetzner Online GmbH
Server-Hosting, Rechenzentrum
Deutschland (EU)
AVV vorhanden
OpenAI LLC
KI-Textverarbeitung für Berichte
EU-Server
Business Associate Agreement (BAA) vorhanden
(2) Änderungen
Bei geplanter Hinzunahme oder Änderung von Unterauftragnehmern informiert der Auftragnehmer den Auftraggeber mindestens 14 Tage im Voraus per E-Mail. Der Auftraggeber kann aus datenschutzrechtlichen Gründen binnen 14 Tagen widersprechen.
(3) Verpflichtung der Unterauftragnehmer
Der Auftragnehmer verpflichtet Unterauftragnehmer zu denselben Datenschutzpflichten wie er selbst.
§ 7 Rechte betroffener Personen
(1) Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, etc.).
(2) Direkte Anfragen
Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird diese unverzüglich an den Auftraggeber verwiesen.
(3) Technische Unterstützung
Die Plattform bietet folgende Funktionen zur Erfüllung von Betroffenenrechten:
Datenexport (Art. 20 DSGVO - Datenportabilität)
Datenlöschung (Art. 17 DSGVO - Recht auf Löschung)
§ 8 Datenlöschung und Rückgabe
(1) Bei Vertragsende
Nach Beendigung der Nutzung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
(2) Datenexport
Der Auftraggeber kann vor Vertragsende alle Daten über die Exportfunktion herunterladen.
(3) Backups
Daten in verschlüsselten Backups werden nach regulärem Backup-Zyklus (max. 90 Tage) gelöscht.
§ 9 Kontroll- und Prüfrechte
(1) Nachweise
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage Informationen zur Verfügung, die die Einhaltung der Pflichten nachweisen:
Aktuelle TOMs (technische und organisatorische Maßnahmen)
Kopien von Unterauftragnehmer-AVVs
Sicherheitszertifikate (soweit vorhanden)
(2) Audits
Der Auftraggeber hat das Recht, einmal jährlich eine Überprüfung durchzuführen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Dritten durchführen zu lassen. Kosten trägt der Auftraggeber.
(3) Anlassbezogene Prüfungen
Bei konkretem Verdacht auf Datenschutzverstöße sind zusätzliche Prüfungen zulässig.
§ 10 Haftung und Schadensersatz
(1) Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO.
(2) Der Auftragnehmer haftet nur für Schäden, die durch Verletzung seiner Pflichten aus diesem AVV entstehen.
(3) Der Auftraggeber haftet für alle Schäden, die durch rechtswidrige Weisungen oder mangelnde Patienteneinwilligungen entstehen.
§ 11 Vertraulichkeit
Beide Parteien verpflichten sich, alle im Rahmen dieses Vertrages bekannt gewordenen Informationen vertraulich zu behandeln.
§ 12 Schlussbestimmungen
(1) Änderungen
Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform (auch elektronisch zulässig).
(2) Salvatorische Klausel
Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Anwendbares Recht
Es gilt deutsches Recht.
(4) Gerichtsstand
Gerichtsstand ist Koblenz, Deutschland.
Zustimmung
☐
Ich habe den Auftragsverarbeitungsvertrag gelesen und akzeptiere die Bedingungen.
☐
Ich bestätige, dass ich die erforderlichen Einwilligungen meiner Patienten zur Datenverarbeitung gemäß DSGVO eingeholt habe bzw. einholen werde.
☐
Ich verstehe, dass ich als Verantwortlicher im Sinne der DSGVO für die Rechtmäßigkeit der Datenverarbeitung verantwortlich bin.
Datum: [Automatisch bei Signup]
Therapeut: [Name bei Signup]
Akzeptiert durch: Elektronische Zustimmung bei Account-Erstellung
ANLAGE 1: Technische und Organisatorische Maßnahmen (TOMs)
Regelmäßige Penetrationstests (geplant bei Wachstum)
Monitoring von Sicherheitsvorfällen
Update-Management für alle Systemkomponenten
Incident Response:
Definierter Meldeprozess bei Datenschutzverletzungen
Benachrichtigung betroffener Therapeuten binnen 24h
Dokumentation aller Sicherheitsvorfälle
6. Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) wurde durchgeführt mit Ergebnis:
Hohes Schutzniveau durch Verschlüsselung
Risikominimierung durch technische Maßnahmen
Residualrisiko: Gering bei ordnungsgemäßer Nutzung
Hinweis: Dieser Vertrag wird bei der Registrierung elektronisch abgeschlossen. Die Zustimmung erfolgt durch Aktivierung der Checkboxen während des Signup-Prozesses.