Auftragsverarbeitungsvertrag
nach Art. 28 DSGVO · Stand: 10. November 2026 · Version 1 · Version française
zwischen dem Kunden (Verantwortlicher) und der DuOh Corporation UG (haftungsbeschränkt), Krefelder Straße 4, 52146 Würselen, Amtsgericht Aachen, HRB 25328 (Auftragsverarbeiter). Der Vertrag ist Bestandteil der AGB und gilt mit deren Annahme.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Praxissoftware Medivia. Dieser Vertrag gilt, solange der Nutzungsvertrag läuft, und darüber hinaus, bis alle Daten gelöscht oder zurückgegeben sind.
2. Art der Daten und Betroffene
| Betroffene | Daten |
|---|---|
| Patienten der Praxis | Name, Kontaktdaten, Adresse, Geburtsdatum, Termine, Leistungen, Zahlungen, Gesundheitsdaten (Befunde, Fußkarte, Risiken, Fragebogen, Fotos, Dokumente) |
| Mitarbeiter der Praxis | Name, E-Mail, Rolle, Arbeitszeiten (Zeiterfassung), Anmeldedaten |
| Interessenten (Online-Buchung, Warteliste) | Name, E-Mail, Telefon, Terminwünsche |
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Der Auftragsverarbeiter verarbeitet sie nur zum Betrieb von Medivia.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisung ergibt sich aus dem Nutzungsvertrag und der Bedienung von Medivia. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit und Sicherheit
- Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Speicherung in Rechenzentren in der EU (Frankfurt am Main); verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung; strikte Trennung der Praxen in der Datenbank; Rollen und Rechte je Mitarbeiter, Bildschirmsperre mit PIN, Protokoll wichtiger Änderungen; tägliche, verschlüsselte Datensicherung mit 30 Tagen Aufbewahrung.
- Der Auftragsverarbeiter greift auf Patientendaten nur zu, wenn es für Support oder Fehlerbehebung nötig ist und der Verantwortliche zugestimmt hat.
5. Unterauftragsverarbeiter
Der Verantwortliche ist mit diesen Unterauftragsverarbeitern einverstanden. Über neue informiert der Auftragsverarbeiter mindestens 30 Tage vorher; der Verantwortliche kann widersprechen.
| Dienst | Zweck | Ort |
|---|---|---|
| Supabase Inc. | Datenbank, Dateien, Anmeldung | EU (Frankfurt) |
| Cloudflare Inc. | Auslieferung der App und Webseite | weltweit, EU-Standardvertragsklauseln |
| Resend Inc. | Versand der E-Mails an Patienten und Mitarbeiter | EU (Irland), EU-Standardvertragsklauseln |
| HeiGIT gGmbH (openrouteservice) | Fahrzeitberechnung für Hausbesuche (nur Adressen) | Deutschland |
| GitHub Inc. | Ablage der Datensicherung, nur verschlüsselt, ohne Schlüssel | USA, EU-Standardvertragsklauseln / Data Privacy Framework |
Stripe verarbeitet nur die Abrechnungsdaten der Praxis selbst und ist kein Unterauftragsverarbeiter für Patientendaten. SumUp nutzt die Praxis auf Grundlage eines eigenen Vertrags mit SumUp.
6. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt bei Auskunfts-, Berichtigungs- und Löschanfragen von Patienten (Medivia bietet dafür einen Datenexport je Patient), bei Datenschutz-Folgenabschätzungen und bei Meldungen von Datenpannen. Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
7. Kontrollen
Der Verantwortliche darf die Einhaltung dieses Vertrags prüfen, vorrangig durch Auskünfte und Unterlagen, nach Anmeldung mit angemessener Frist auch vor Ort.
8. Löschung und Rückgabe
Nach Vertragsende gibt der Auftragsverarbeiter die Daten auf Wunsch als Export heraus und löscht sie danach, spätestens 30 Tage nach Vertragsende (nach einem nicht verlängerten Test: 90 Tage nach Testende). Die Löschung kündigt er mindestens 7 Tage vorher per E-Mail an. Datensicherungen werden mit Ablauf ihrer Aufbewahrung (30 Tage) gelöscht.