Vertrag zur Auftragsverarbeitung

Präambel

Der Verantwortliche nutzt die Software „HeilPraxisAssistent“ zur digitalen Verwaltung einer Heilpraktiker- oder Naturheilpraxis. Soweit hierbei Praxis- und Patientendaten über Cloud-Synchronisation, Backup, technische Bereitstellung oder Supportprozesse auf Systemen des Auftragsverarbeiters verarbeitet werden, erfolgt diese Verarbeitung im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien. Er ist Bestandteil des Nutzungsvertrages über HeilPraxisAssistent und wird elektronisch geschlossen, insbesondere durch Registrierung, Zustimmung zu den AGB oder Nutzung der Cloud-Funktionen.

Die Verarbeitung beruht auf einer Zero-Knowledge-Architektur: Praxis- und Patientendaten werden grundsätzlich auf dem Endgerät des Verantwortlichen verschlüsselt, bevor sie an Systeme des Auftragsverarbeiters übermittelt werden. Der Auftragsverarbeiter verarbeitet diese Inhaltsdaten im Regelfall nur als verschlüsselten Ciphertext.

Technische Metadaten, Accountdaten, Zahlungsdaten, Protokolldaten und Supportkommunikation können hiervon gesondert betroffen sein und werden, soweit der Auftragsverarbeiter dafür selbst Zwecke und Mittel festlegt, außerhalb dieses AVV als eigene Verantwortlichkeit nach der Datenschutzerklärung verarbeitet.

1. Gegenstand und Dauer der Auftragsverarbeitung

(1) Gegenstand der Auftragsverarbeitung ist die technische Bereitstellung, der Betrieb, die Wartung, Sicherung und Synchronisation der Software „HeilPraxisAssistent“ einschließlich Backend, Datenbank, Cloud-Synchronisation, verschlüsselter Backups, Wiederherstellungsfunktionen und technischer Supportleistungen.

(2) Die Auftragsverarbeitung beginnt mit Abschluss des Nutzungsvertrages bzw. mit erstmaliger Aktivierung einer auftragsbezogenen Cloud-, Synchronisations-, Backup- oder Supportfunktion. Sie endet mit Beendigung des Nutzungsvertrages und vollständiger Löschung oder Rückgabe der auftragsbezogenen Daten nach Maßgabe dieses Vertrages.

(3) Gesetzliche Aufbewahrungspflichten, die den Auftragsverarbeiter in eigener Verantwortlichkeit betreffen, insbesondere handels- oder steuerrechtliche Aufbewahrungspflichten für Abrechnungsunterlagen, bleiben unberührt.

2. Art und Zweck der Verarbeitung

(1) Art der Verarbeitung ist insbesondere das Speichern, Ordnen, Synchronisieren, Übermitteln, Bereitstellen, Sichern, Wiederherstellen, Löschen und Protokollieren von Daten. Bei verschlüsselten Praxis- und Patientendaten beschränkt sich die Verarbeitung serverseitig regelmäßig auf verschlüsselte Datenpakete und technische Begleitdaten.

(2) Zweck der Verarbeitung ist die Erbringung der Software- und Cloud-Leistungen für den Verantwortlichen, insbesondere:

• digitale Patienten- und Praxisverwaltung
• Terminverwaltung und Kalenderfunktionen
• Abrechnung, Dokumentation und Exportfunktionen
• Cloud-Synchronisation zwischen Endgeräten
• verschlüsselte Datensicherung und Wiederherstellung
• technische Fehleranalyse, Sicherheitsbetrieb und Missbrauchsvermeidung
• Unterstützung des Verantwortlichen bei Export-, Lösch- und Datenschutzprozessen

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Rahmen der dokumentierten Weisungen des Verantwortlichen, dieses AVV, des Nutzungsvertrages und der über die Software ausgelösten Bedienhandlungen.

3. Datenkategorien und betroffene Personen

Im Rahmen der Auftragsverarbeitung können insbesondere folgende Datenkategorien betroffen sein:

• Patientenstammdaten, z. B. Name, Adresse, Geburtsdatum, Kontaktdaten
• Gesundheitsdaten im Sinne von Art. 9 DSGVO, z. B. Diagnosen, Behandlungsnotizen, Anamnesen, Dokumentationen, ICD-10-Codes und sonstige Behandlungsinformationen
• Abrechnungs- und Leistungsdaten, z. B. GebüH-Leistungen, Rechnungsdaten, Zahlungsstatus innerhalb der Praxisdokumentation
• Termindaten und Kalendereinträge
• Praxis- und Mitarbeiterdaten, soweit diese in der Software verwaltet werden
• Dokumente, Vorlagen, Signaturen und Intake-Unterlagen
• technische Synchronisations-, Audit-, Backup- und Protokolldaten
• verschlüsselte Tokens oder Zugangsdaten für vom Verantwortlichen aktiv eingerichtete optionale Integrationen

Betroffene Personengruppen sind insbesondere Patienten und Interessenten der Praxis, Praxisinhaber, Nutzerkonten, Mitarbeiter, Rechnungsempfänger, Kontaktpersonen und sonstige Dritte, die der Verantwortliche in der Software erfasst.

Soweit Praxis- und Patientendaten clientseitig verschlüsselt werden, liegen dem Auftragsverarbeiter diese Daten grundsätzlich nicht im Klartext vor. Die Einordnung als personenbezogene Daten und besondere Kategorien personenbezogener Daten bleibt hiervon unberührt.

4. Verantwortung und Weisungen

(1) Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, die Auswahl der Daten, die Konfiguration der Software, die Vergabe von Zugriffsrechten sowie die Einhaltung berufsrechtlicher und gesetzlicher Aufbewahrungs- und Dokumentationspflichten verantwortlich.

(2) Weisungen ergeben sich aus diesem AVV, dem Nutzungsvertrag, der Nutzung der Softwarefunktionen und ergänzenden Weisungen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Verantwortliche ist für die sichere Aufbewahrung seines Master-Passworts, Recovery-Keys und sonstiger Zugriffsmittel verantwortlich. Aufgrund der Zero-Knowledge-Architektur kann der Auftragsverarbeiter verschlüsselte Praxis- und Patientendaten ohne die kundenseitigen Schlüssel nicht entschlüsseln oder im Klartext wiederherstellen.

(4) Der Verantwortliche stellt sicher, dass optionale Drittintegrationen, insbesondere Kalender- oder CalDAV-Anbindungen, nur aktiviert werden, wenn hierfür eine geeignete datenschutzrechtliche Grundlage besteht.

5. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.

(2) Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenrechten, Sicherheitspflichten, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Maßgabe der Art, des Umfangs und der technischen Möglichkeiten der Verarbeitung.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

(6) Der Auftragsverarbeiter führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO, soweit gesetzlich erforderlich, und kooperiert auf Anfrage mit der zuständigen Aufsichtsbehörde.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau. Die Maßnahmen berücksichtigen insbesondere, dass der Verantwortliche Gesundheitsdaten und sonstige besonders schutzbedürftige Praxisdaten verarbeiten kann.

• clientseitige Verschlüsselung von Praxis- und Patientendaten mit AES-256-GCM
• lokale Schlüsselableitung mittels PBKDF2 mit 600.000 Iterationen
• Zero-Knowledge-Architektur ohne planmäßigen Klartextzugriff des Auftragsverarbeiters auf verschlüsselte Patientendaten
• TLS-verschlüsselte Übertragung
• logische Mandantentrennung
• rollen- und schlüsselbasierte administrative Zugriffsbeschränkungen
• Firewall- und Server-Hardening
• verschlüsselte Backups und Wiederherstellungsprozesse
• Protokollierung sicherheitsrelevanter Vorgänge
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Aktualisierung der Maßnahmen

Der Auftragsverarbeiter darf technische und organisatorische Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht wesentlich unterschritten wird.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Aktueller Unterauftragsverarbeiter ist Hetzner Online GmbH.

(2) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV im Wesentlichen entsprechen. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch Unterauftragsverarbeiter verantwortlich.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Kalendertage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in geeigneter Weise.

(4) Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Kalendertagen nach Zugang der Information widersprechen.

(5) Vom Verantwortlichen selbst aktiv angebundene Drittanbieter, insbesondere eigene Kalender-, CalDAV-, iCloud-, Google-, Microsoft- oder sonstige Integrationskonten, sind grundsätzlich keine Unterauftragsverarbeiter des Auftragsverarbeiters im Sinne dieses AVV, soweit der Verantwortliche diese Dienste eigenständig auswählt, aktiviert und kontrolliert.

(6) Zahlungsdienstleister, die zur Abwicklung des Vertrags- und Abonnementverhältnisses eingesetzt werden, verarbeiten Zahlungs- und Abrechnungsdaten regelmäßig außerhalb dieses AVV nach gesonderten datenschutzrechtlichen Rollen.

8. Drittlandübermittlungen

(1) Der Auftragsverarbeiter betreibt die Kerninfrastruktur für Cloud-Synchronisation und Speicherung derzeit in Deutschland bei Hetzner Online GmbH. Eine Übermittlung verschlüsselter Praxis- und Patientendaten in Drittländer durch den Auftragsverarbeiter findet im Regelbetrieb nicht statt.

(2) Soweit der Verantwortliche optionale Drittintegrationen aktiviert, kann es abhängig vom Drittanbieter zu Übermittlungen in Drittländer kommen. Diese Übermittlungen erfolgen auf Veranlassung und nach Konfiguration des Verantwortlichen.

(3) Beauftragt der Auftragsverarbeiter künftig selbst Unterauftragsverarbeiter mit Drittlandbezug für auftragsbezogene Verarbeitungen, stellt er sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

9. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren und technisch Möglichen bei Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch.

Da verschlüsselte Praxis- und Patientendaten dem Auftragsverarbeiter regelmäßig nicht im Klartext vorliegen, erfolgt die Unterstützung insbesondere durch Exportfunktionen, Löschfunktionen, technische Dokumentation der Cloud-Synchronisation, Unterstützung bei Account- und Cloud-Löschungen sowie Information über technische Metadaten, soweit verfügbar.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter und ist erkennbar, dass die Anfrage eine Verarbeitung im Auftrag betrifft, leitet der Auftragsverarbeiter die Anfrage an den Verantwortlichen weiter oder verweist die betroffene Person an diesen, sofern keine gesetzliche Pflicht zur unmittelbaren Bearbeitung besteht.

10. DSFA und Sicherheitspflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage angemessene Informationen über die technische und organisatorische Absicherung der Verarbeitung bereit, soweit dies zur Durchführung einer Datenschutz-Folgenabschätzung oder zur Bewertung der Sicherheit der Verarbeitung erforderlich ist.

Die Unterstützung kann insbesondere durch TOM-Dokumentation, Beschreibungen der Zero-Knowledge-Architektur, Unterauftragnehmerinformationen, Angaben zu Hostingstandorten, Löschkonzepten und Sicherheitsprozessen erfolgen.

11. Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft.

(2) Die Information erfolgt möglichst innerhalb von 24 Stunden nach Bekanntwerden und enthält, soweit verfügbar, Art der Datenschutzverletzung, betroffene Daten- und Personenkategorien, voraussichtliche Folgen, Gegenmaßnahmen und Ansprechpartner.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

12. Löschung und Rückgabe nach Auftragsende

(1) Nach Beendigung des Nutzungsvertrages stellt der Auftragsverarbeiter dem Verantwortlichen für einen angemessenen Zeitraum die Möglichkeit bereit, die in der Software verfügbaren Daten über Exportfunktionen zu sichern, soweit dies technisch möglich und vertraglich vorgesehen ist.

(2) Nach Ablauf der vertraglichen Übergangsfrist, derzeit 30 Kalendertage nach Vertragsende, löscht der Auftragsverarbeiter die auftragsbezogenen Cloud-Daten des Verantwortlichen, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Sicherungsinteressen entgegenstehen.

(3) Backups werden nach dem dokumentierten Backup- und Rotationskonzept überschrieben oder gelöscht. Eine gezielte Wiederherstellung einzelner vom Verantwortlichen gelöschter Patientendatensätze aus Backups erfolgt im Regelbetrieb nicht.

(4) Aufgrund der Zero-Knowledge-Architektur kann die Rückgabe entschlüsselter Praxis- und Patientendaten nur über die kundenseitigen Exportfunktionen und mit den kundenseitigen Schlüsseln erfolgen.

13. Nachweise, Audits und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich und verfügbar sind.

(2) Nachweise können insbesondere durch aktuelle AVV-Fassung, TOM-Dokumentation, Unterauftragnehmerliste, Sicherheitsdokumentation, Zertifikate oder geeignete Bestätigungen erbracht werden.

(3) Audits und Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie Sicherheitsinteressen durchzuführen. Vor-Ort-Prüfungen kommen nur in Betracht, wenn dokumentenbasierte Nachweise zur Klärung berechtigter Datenschutzfragen nicht ausreichen.

14. Vertraulichkeit und Support

Supportzugriffe auf Systeme oder Daten des Verantwortlichen erfolgen nur, soweit dies zur Bearbeitung einer Supportanfrage, zur Fehleranalyse, zur Sicherheit der Dienste oder zur Vertragserfüllung erforderlich ist.

Der Auftragsverarbeiter wird den Verantwortlichen nicht zur Offenlegung seines Master-Passworts oder Recovery-Keys auffordern. Der Verantwortliche darf diese geheimen Zugriffsmittel nicht an den Auftragsverarbeiter übermitteln.

Supportkommunikation kann personenbezogene Daten enthalten. Der Verantwortliche soll keine Klartext-Gesundheitsdaten in Supportnachrichten übermitteln, soweit dies nicht zwingend erforderlich ist.

15. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie den Regelungen des Nutzungsvertrages und der AGB, soweit diese wirksam einbezogen sind.

16. Änderungen dieses AVV

(1) Der Auftragsverarbeiter kann diesen AVV anpassen, soweit dies wegen technischer, rechtlicher oder organisatorischer Änderungen erforderlich ist und das Datenschutzniveau nicht unangemessen zulasten des Verantwortlichen abgesenkt wird.

(2) Wesentliche Änderungen werden dem Verantwortlichen mindestens 30 Kalendertage vor ihrem Wirksamwerden mitgeteilt. Widerspricht der Verantwortliche aus wichtigem datenschutzrechtlichem Grund, bemühen sich die Parteien um eine angemessene Lösung.

(3) Die jeweils gültige Fassung wird mit Versionsstand veröffentlicht. Frühere Fassungen werden zu Nachweiszwecken archiviert.

17. Schlussbestimmungen

(1) Es gilt deutsches Recht, soweit keine zwingenden datenschutzrechtlichen Vorschriften entgegenstehen.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Bei Widersprüchen zwischen diesem AVV und sonstigen vertraglichen Regelungen gehen die datenschutzrechtlichen Regelungen dieses AVV für die Auftragsverarbeitung vor.

Anlage 1: Technische und organisatorische Maßnahmen

Wesentliche Maßnahmen sind Zero-Knowledge-Architektur, clientseitige Verschlüsselung, TLS-Transportverschlüsselung, administrative Zugriffsbeschränkungen, Mandantentrennung, verschlüsselte Backups, Wiederherstellungsprozesse, Sicherheitsupdates, Code-Reviews, dokumentierte Datenschutz-Folgenabschätzung sowie ein Support- und Datenpannenprozess.

Für Hetzner Online GmbH sind ein konkreter AVV/DPA zwischen HeilPraxisAssistent und Hetzner mit Vertragsdatum 19.04.2026, Referenz K0499963726, sowie Hetzner-TOMs Version 1.2 vom 16.02.2026 archiviert. Nachweise werden auf Anfrage in geeigneter Form bereitgestellt.

Anlage 2: Unterauftragsverarbeiter

Anlage 3: Abgrenzung eigener Verantwortlichkeit

Nicht Gegenstand dieses AVV sind Verarbeitungen, bei denen der Anbieter selbst Zwecke und Mittel festlegt. Dazu können insbesondere Vertragsverwaltung, Kundenkonto, Abonnementverwaltung, Zahlungsabwicklung, steuerliche Abrechnungsunterlagen, Websitebetrieb, allgemeine Kontaktanfragen, allgemeine Supportkommunikation, Missbrauchsvermeidung, IT-Sicherheit, Rechtsverteidigung und gesetzliche Aufbewahrungspflichten des Anbieters gehören.

Einzelheiten hierzu ergeben sich aus der jeweils aktuellen Datenschutzerklärung.