Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Version: 2026-03-28
Stand: 28.03.2026

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch Terminlücke als Auftragsverarbeiter im Auftrag der Praxis als Verantwortlicher im Rahmen der Nutzung der SaaS-Plattform „Terminlücke“.

1. Vertragsparteien

(A) Verantwortlicher (Praxis)
Name/Firma:
Anschrift:
E-Mail:

(B) Auftragsverarbeiter (Terminlücke)
Terminlücke Inhaber: David Persin
Moltkestraße 19, 75179 Pforzheim, Deutschland
E-Mail: kontakt@terminluecke.de

Praxis und Terminlücke sind gemeinsam die „Parteien“.

2. Gegenstand, Geltungsbereich (Scope) und Dauer

2.1 Gegenstand

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Terminlücke als Auftragsverarbeiter im Rahmen der Bereitstellung und Nutzung der Plattformfunktionen für Praxen, insbesondere zur strukturierten Übermittlung, Verwaltung und Bearbeitung von Terminanfragen einschließlich ggf. übermittelter Dokumente (z. B. Foto/Scan einer Heilmittelverordnung) sowie zur sicheren Bereitstellung zugriffsberechtigter Links/Funktionen, soweit diese Verarbeitung im Auftrag der Praxis erfolgt.

2.2 Geltungsbereich dieses AVV (Scope – Auftragsverarbeitung)

Dieser AVV gilt ausschließlich für die folgenden Verarbeitungsszenarien, soweit die Praxis Verantwortlicher ist und Terminlücke als Auftragsverarbeiter handelt.

Auftragsverarbeitung liegt dabei nur vor, soweit Terminlücke personenbezogene Daten ausschließlich im praxisbezogenen Kontext verarbeitet (z. B. über Praxisformulare/-seiten, im Praxis-Dashboard, in praxisbezogenen Speicherbereichen oder über praxisbezogene Links/Funktionen) und die Verarbeitung der konkreten Praxis zugeordnet ist bzw. ihr zur Bearbeitung bereitgestellt wird.

a) Praxis-eigene Erhebung/Verarbeitung über Praxisfunktionen: Verarbeitung von personenbezogenen Daten, die die Praxis über eigene Praxis-Seiten, Praxisformulare, QR-Codes, Dashboard-Funktionen oder vergleichbare praxisbezogene Funktionen innerhalb der Plattform erhebt oder verwaltet.

b) Speicherung/Hosting und Bereitstellung praxisbezogener Daten: Technisches Hosting, Speicherung und Bereitstellung der durch die Praxis veranlassten Daten innerhalb der Plattform, einschließlich Bereitstellung von zugriffsberechtigten Links/Funktionen (z. B. Verwaltungslinks), soweit diese sich auf praxisbezogene Verarbeitungen beziehen.

c) Praxisveranlasste Kommunikation/Automatisierung: Versand praxisbezogener Nachrichten an Betroffene (z. B. Status-/Hinweismails), soweit Auslösung und/oder Inhalt durch die Praxis oder eine Praxis-Konfiguration bestimmt wird und Terminlücke hierbei als technischer Dienstleister im Auftrag der Praxis tätig wird.

d) Support zur Vertragsdurchführung (auftragsbezogen): Bearbeitung von Supportfällen, soweit Terminlücke hierbei personenbezogene Daten verarbeitet, die dem Scope dieses AVV unterfallen.

e) Dokumente im Rahmen einer Anfrage (optional): Technische Entgegennahme, kurzzeitig vorbereitende Upload-Intent-Verarbeitung, Speicherung/Hosting (z. B. Storage), Bereitstellung/Anzeige, Ersetzen sowie Löschung von durch Betroffene übermittelten Dokumenten (z. B. Foto/Scan), auch über personenbezogene Self-Service-/Verwaltungslinks (z. B. Bereich /mein-eintrag), soweit die Praxis diese Inhalte im Rahmen der Anfrage erhält und Terminlücke hierfür die technische Infrastruktur bereitstellt.

2.3 Abgrenzung (Non-Scope – keine Auftragsverarbeitung)

Nicht Gegenstand dieses AVV sind Verarbeitungen, die Terminlücke als eigenständig Verantwortlicher durchführt. Hierzu zählen insbesondere:

a) Plattform-eigene Verarbeitungen außerhalb der Praxis-Auftragsverarbeitung: Verarbeitungen, die nicht im Auftrag der Praxis erfolgen, insbesondere Verarbeitungen im Zusammenhang mit einem allgemeinen Plattform-/Anfragepool, einer neutralen Verteilung von Anfragen an mehrere Praxen oder sonstigen plattformweiten Funktionen, bei denen Terminlücke Zwecke und Mittel eigenständig bestimmt.

b) Vertrags-, Abrechnungs- und Zahlungsdaten der Praxis: Daten der Praxis zur Vertragsverwaltung, Abrechnung, Zahlungsabwicklung, Forderungsmanagement, Buchhaltung und Steuer, soweit es sich nicht um Daten aus dem Scope gemäß Ziffer 2.2 handelt.

c) Eigene Unternehmensverwaltung und -sicherheit: Interne Administration, interne Berichte sowie rein aggregierte oder anonymisierte Auswertungen ohne Zugriff auf patientenbezogene Inhalte.

d) Marketing-Kommunikation von Terminlücke: Eigenständige Marketingkommunikation von Terminlücke gegenüber Dritten.

e) Plattform- und Sicherheitskommunikation: Versand von reinen System- und Sicherheitsnachrichten zur Plattformintegrität (z. B. technische Warnungen, Missbrauchs-/Sicherheitsbenachrichtigungen), soweit diese nicht praxisbezogen im Sinne von Ziffer 2.2 c) sind.

Soweit im Einzelfall eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) zwischen den Parteien einschlägig sein sollte, wird diese nicht durch diesen AVV geregelt, sondern ausschließlich durch eine gesonderte Vereinbarung.

2.4 Dauer

Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsverhältnisses zwischen Praxis und Terminlücke. Die Auftragsverarbeitung endet mit der wirksamen Beendigung des Nutzungsverhältnisses. Löschung bzw. Rückgabe richtet sich nach Ziffer 11.

3. Art, Umfang, Zweck der Verarbeitung

3.1 Art der Verarbeitung (je nach Nutzung)

Erheben, Erfassen, Speichern, Organisieren, Strukturieren, Verändern, Auslesen, Abfragen, Übermitteln an die Praxis, Bereitstellen, Abgleichen, Einschränken, Löschen.

3.2 Zwecke der Verarbeitung im Auftrag der Praxis

a) Bereitstellung der Plattformfunktionen im Scope gemäß Ziffer 2.2 (Dashboard, Verwaltung, Status- und Terminprozesse).

b) Technische Übermittlung/Anzeige praxisbezogener Daten und Bereitstellung zugriffsberechtigter Links/Funktionen.

c) Betriebssicherheit, Fehleranalyse, Missbrauchs-/Spamprävention, soweit dies zur sicheren Erbringung der beauftragten Leistung erforderlich ist.

d) Support/Kommunikation zur Vertragsdurchführung, soweit dabei Daten im Auftrag verarbeitet werden.

e) Betrieb des dokumentbezogenen Self-Service-Teilprozesses fuer bestehende Anfragen, einschließlich tokengebundener Verwaltungslinks, kurzlebiger Upload-Intents, Ersetz-/Loeschlogik und versionsbezogener Nachweise erneuter Rechtsbestaetigungen, soweit dieser Prozess im Auftrag der Praxis erfolgt.

4. Kategorien betroffener Personen und Daten

4.1 Betroffene Personen

a) Anfragende Personen/Patienten/Interessenten der Praxis (je nach Nutzung im Scope).

b) Nutzer der Praxis (Praxisinhaber, Mitarbeitende), die die Plattform verwenden.

4.2 Datenkategorien (je nach Formular/Prozess)

a) Stammdaten/Kontaktdaten: Vorname, Nachname, E-Mail, Telefonnummer, PLZ/Ort.

b) Anfrage-/Terminangaben: Behandlungsart/Fachgebiet, Verfügbarkeiten, organisatorische Angaben.

c) Freitext-/Hinweise (soweit durch Betroffene angegeben).

d) Dokumentdaten (optional): hochgeladene Dokumente/Dateiinhalte (z. B. Bilder/Scans) im Rahmen einer Anfrage oder des zugehörigen Self-Service-Prozesses sowie zugehörige Metadaten (z. B. Dateityp, Dateigröße, Upload-Intent, Upload-/Bereitstellungs-, Ersetz- und Löschzeitpunkte), soweit im Scope erforderlich.

e) Nutzungs- und Metadaten: Zeitstempel, Sicherheits-/Audit-Logs (z. B. Zugriff/Anzeige von Dokumenten im Rahmen berechtigter Praxiszugriffe), technische Kennungen (z. B. Session-/Token-Daten, Upload-Intent-IDs) sowie Status-, Ersetzungs- und Löschmarker, soweit im Scope erforderlich.

4.3 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Soweit über die Plattform Angaben verarbeitet werden, die Gesundheitsdaten darstellen können (z. B. Behandlungswunsch, Hinweise), umfasst der Auftrag auch die Verarbeitung besonderer Kategorien personenbezogener Daten.

5. Weisungsrecht der Praxis

5.1 Terminlücke verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Praxis, sofern keine gesetzliche Verpflichtung zur Verarbeitung besteht.

5.2 Weisungen erfolgen regelmäßig durch die Nutzung der Plattformfunktionen (Grundweisung durch Abschluss dieses AVV; Einzelweisungen durch konkrete Nutzung, Konfiguration oder Supportanfragen). Darüberhinausgehende Weisungen bedürfen der Textform (z. B. E-Mail).

5.3 Hält Terminlücke eine Weisung für rechtswidrig, informiert Terminlücke die Praxis unverzüglich und ist berechtigt, die Umsetzung bis zur Klärung auszusetzen.

6. Pflichten von Terminlücke

6.1 Vertraulichkeit: Terminlücke stellt sicher, dass alle zur Verarbeitung befugten Personen auf Vertraulichkeit verpflichtet sind.

6.2 Technische und organisatorische Maßnahmen (TOM): Terminlücke ergreift geeignete TOM gemäß Art. 32 DSGVO. Die konkret vereinbarten TOM ergeben sich aus Anlage 1 und sind Bestandteil dieses AVV.

6.3 Unterstützungspflichten: Terminlücke unterstützt die Praxis angemessen bei (i) Sicherheit der Verarbeitung (Art. 32), (ii) Meldungen von Datenschutzverletzungen (Art. 33, 34), (iii) Datenschutz-Folgenabschätzungen und Konsultationen (Art. 35, 36), soweit die Verarbeitung durch Terminlücke betroffen ist und die Unterstützung im Rahmen der Plattformleistungen technisch möglich ist. Aufwändige Sonderleistungen können gesondert vergütet werden.

6.4 Betroffenenrechte: Terminlücke unterstützt die Praxis bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO) durch geeignete Maßnahmen. Soweit Terminlücke direkt von Betroffenen kontaktiert wird, verweist Terminlücke diese grundsätzlich an die Praxis, sofern keine gesetzliche Verpflichtung zur direkten Antwort besteht.

6.5 Berufsgeheimnisse (§ 203 StGB), soweit anwendbar:

Soweit die Praxis Berufsgeheimnisträger ist und im Rahmen der Nutzung Geheimnisse i. S. d. § 203 StGB betroffen sein können, verpflichtet sich Terminlücke, alle zur Verarbeitung befugten Personen zur Verschwiegenheit zu verpflichten und auf die strafrechtliche Relevanz hinzuweisen.

Soweit Unterauftragsverarbeiter Zugriff auf solche Inhalte erhalten können, stellt Terminlücke sicher, dass diese – soweit einschlägig – als mitwirkende Personen im Sinne der gesetzlichen Vorgaben vertraglich eingebunden und entsprechend verpflichtet werden. Zugriffe auf solche Inhalte werden organisatorisch und technisch auf das erforderliche Maß beschränkt.

Nachweise über entsprechende Verpflichtungen stellt Terminlücke der Praxis auf Anfrage in angemessenem Umfang zur Verfügung.

7. Pflichten der Praxis

7.1 Die Praxis ist Verantwortlicher und gewährleistet die Rechtmäßigkeit der Verarbeitung, insbesondere Rechtsgrundlagen, Informationspflichten sowie ggf. erforderliche Einwilligungen (einschließlich Art. 9 DSGVO).

7.2 Die Praxis ist für die Inhalte und Richtigkeit der durch sie veranlassten Verarbeitungen innerhalb der Plattform verantwortlich, soweit dies in ihrem Einflussbereich liegt.

7.3 Die Praxis erteilt Weisungen nur in rechtmäßiger Weise und informiert Terminlücke, wenn Betroffene Rechte geltend machen, soweit hierfür Unterstützung durch Terminlücke erforderlich ist.

8. Unterauftragsverarbeiter (Subunternehmer)

8.1 Terminlücke setzt zur Erbringung der Leistungen Unterauftragsverarbeiter ein. Die zum Zeitpunkt dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Die Praxis erteilt hierfür eine allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 DSGVO.

8.2 Terminlücke stellt sicher, dass mit Unterauftragsverarbeitern Verträge gemäß Art. 28 DSGVO abgeschlossen werden, die im Wesentlichen gleichwertige Datenschutzpflichten enthalten.

8.3 Änderungen / Widerspruch: Terminlücke informiert die Praxis über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Die Praxis kann aus wichtigen datenschutzrechtlichen Gründen innerhalb von 30 Tagen ab Mitteilung widersprechen. Kann Terminlücke die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht erbringen, kann die Praxis das Nutzungsverhältnis außerordentlich kündigen.

9. Drittlandübermittlungen (Art. 44 ff. DSGVO)

9.1 Eine Verarbeitung in Drittländern (außerhalb EU/EWR) erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch Standardvertragsklauseln (SCC) der EU-Kommission und/oder einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework (DPF)), soweit anwendbar, und/oder weitere geeignete Garantien.

9.2 Details zu Verarbeitungsorten und Transfermechanismen ergeben sich aus Anlage 2 sowie den jeweils zugrundeliegenden Vereinbarungen mit Unterauftragsverarbeitern.

9.3 Terminlücke informiert die Praxis – soweit rechtlich zulässig – über behördliche Zugriffsersuchen von Drittstaatbehörden, die Daten der Auftragsverarbeitung betreffen.

10. Meldung von Datenschutzverletzungen

10.1 Terminlücke meldet der Praxis Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Bewertung erforderlichen Informationen bereit.

10.2 Die Meldung enthält – soweit verfügbar – insbesondere: Art der Verletzung, betroffene Datenkategorien, betroffene Personengruppen, voraussichtliche Folgen, bereits ergriffene oder vorgeschlagene Gegenmaßnahmen sowie eine Kontaktstelle für Rückfragen.

10.3 Kontaktstelle für Sicherheits-/Datenschutzvorfälle bei Terminlücke: kontakt@terminluecke.de.

11. Löschung und Rückgabe nach Ende der Verarbeitung

11.1 Nach Ende der Auftragsverarbeitung löscht Terminlücke personenbezogene Daten aus der Auftragsverarbeitung innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11.2 Die Praxis kann vor Löschung die Rückgabe der Daten verlangen. Die Bereitstellung erfolgt in einem gängigen maschinenlesbaren Format (z. B. CSV/JSON), soweit technisch möglich.

11.3 Backup- und sicherheitsrelevante Protokolldaten werden nur so lange gespeichert, wie dies aus IT-Sicherheits- und Wiederherstellungsgründen erforderlich ist.

Gelöschte Daten können in technischen Backups noch für eine begrenzte Zeit enthalten sein (derzeit typischerweise bis zu ca. 7 Tage), bis Backups überschrieben/rotiert werden. Backups werden nicht für produktive Zwecke genutzt, sondern ausschließlich zur Wiederherstellung im Störungs-/Notfallfall.

Sicherheits- und Missbrauchsereignisse sowie vergleichbare sicherheitsrelevante Protokolldaten werden in der Regel bis zu 30 Tage gespeichert, außer bei einem konkreten Sicherheitsvorfall; in diesem Fall Speicherung bis Abschluss der Untersuchung/Abwehr sowie zur Rechtsdurchsetzung, soweit erforderlich und zulässig.

11.4 Terminlücke bestätigt die Löschung auf Anfrage in Textform.

12. Kontrollrechte / Audits

12.1 Die Praxis ist berechtigt, die Einhaltung dieses AVV in angemessenem Umfang zu kontrollieren.

12.2 Terminlücke ermöglicht Kontrollen primär durch geeignete Nachweise (z. B. TOM-Übersicht, Subunternehmerliste, Bestätigungen bestehender Art-28-Verträge in angemessenem Umfang, Sicherheitsdokumentation, Auditberichte/Zertifizierungen der Infrastruktur-Anbieter, soweit verfügbar).

12.3 Vor-Ort-Audits bei Terminlücke sind nur bei berechtigtem Anlass zulässig (z. B. schwerwiegender Sicherheitsvorfall, behördliche Anordnung) und bedürfen einer angemessenen Vorankündigung von mindestens 4 Wochen, unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie in Abstimmung zur Minimierung von Betriebsstörungen. Anlasslose Vor-Ort-Audits sind ausgeschlossen.

12.4 Soweit ein Audit nicht durch einen konkreten Anlass gerechtfertigt ist, trägt die Praxis die dadurch entstehenden angemessenen Kosten.

12.5 Die Praxis kann sich durch sachkundige Dritte unterstützen lassen, die zur Vertraulichkeit verpflichtet sind.

13. Haftung

Es gelten die Haftungsregelungen des Nutzungsverhältnisses (AGB/Vertrag) sowie die gesetzlichen Bestimmungen. Dieser AVV begründet keine darüberhinausgehenden eigenständigen Haftungszusagen.

14. Schlussbestimmungen

14.1 Änderungen/Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieses Textformerfordernisses.

14.2 Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1 – Technische und organisatorische Massnahmen (TOM)

gemäß Art. 32 DSGVO
Stand: 28.03.2026

Terminlücke trifft – unter Berücksichtigung des Stands der Technik, Implementierungskosten, Art/Umfang/Umstände/Zwecke der Verarbeitung sowie der Risiken – insbesondere folgende Maßnahmen:

Zutrittskontrolle (physisch)

Betrieb in professionellen Rechenzentren der eingesetzten Cloud-Dienstleister mit Zutrittskontrollen nach deren Standards/Zertifizierungen. Eigene Arbeitsumgebungen sind vor unbefugtem Zugriff geschützt (z. B. Geräteverschlüsselung, Sperrmechanismen).

Zugangskontrolle (logisch)

Zugang zu Administrationsbereichen nur für berechtigte Personen („Need-to-know“). Starke Authentifizierung für Admin-Zugriffe (z. B. MFA). Regelmäßige Überprüfung und Entzug nicht mehr benötigter Zugänge.

Zugriffskontrolle / Berechtigungskonzept

Rollen- und Rechtekonzept (z. B. Mandantentrennung, least privilege). Administrative Zugriffe auf Produktionsdaten werden auf das erforderliche Maß beschränkt und – soweit technisch implementiert – protokolliert.

Trennungsgebot / Mandantentrennung

Logische Trennung der Daten verschiedener Praxen (z. B. datenbankseitige Zugriffskontrollen/RLS). Getrennte Umgebungen (Entwicklung/Staging/Produktion) mit separaten Secrets.

Weitergabekontrolle / Transportverschlüsselung

Verschlüsselte Übertragung (TLS/HTTPS). Token-/Link-Mechanismen werden mit ausreichend starken, nicht erratbaren Kennungen umgesetzt; Zugriff ist funktional begrenzt. Personenbezogene Self-Service-Links für /mein-eintrag sind tokengebunden, zeitlich/funktional begrenzt und nur für den jeweils zugeordneten Anfragekontext vorgesehen.

Speicherverschlüsselung / Schutz ruhender Daten

Schutzmechanismen der eingesetzten Datenbank-/Cloud-Dienste (Verschlüsselung „at rest“ nach Anbieterstandard, soweit verfügbar). Secrets/Keys werden sicher verwaltet (z. B. Environment-Secrets, kein Hardcoding).

Eingabekontrolle / Nachvollziehbarkeit (Logging)

Protokollierung sicherheitsrelevanter Ereignisse und systemkritischer Aktionen im angemessenen Umfang (z. B. Login/Token-Events, sicherheitsrelevante Fehler-/Sicherheitslogs) sowie – soweit implementiert und erforderlich – von Dokumentabrufen/Ansichten im Rahmen berechtigter Zugriffe (Audit-Nachweise), zur Nachvollziehbarkeit und Missbrauchsprävention. Dies umfasst auch Self-Service-Dokumentvorgaenge wie Upload-Vorbereitung, Ersetzen und Loeschung, soweit diese Nachweise fuer Sicherheit und Integritaet erforderlich sind.

Aufbewahrungsdauer: Sicherheits- und Missbrauchsereignisse werden in der Regel bis zu 30 Tage gespeichert, außer bei konkretem Sicherheitsvorfall; in diesem Fall Speicherung bis Abschluss der Untersuchung/Abwehr sowie zur Rechtsdurchsetzung, soweit erforderlich und zulässig. Audit-Nachweise zu Dokumentabrufen/Ansichten werden anfragebezogen und pseudonymisiert nur für eine begrenzte Zeit gespeichert, soweit erforderlich; regelmäßige Prüfung und Löschung.

Verfügbarkeitskontrolle / Belastbarkeit

Maßnahmen gegen Ausfälle und Angriffe (z. B. Rate-Limiting, Bot-/DDoS-Schutz). Backups und Wiederherstellungsmechanismen nach Standard der eingesetzten Plattformdienste.

Integrität / Schutz vor Missbrauch

Bot-/Spam-Schutz (z. B. Challenge-/WAF-Mechanismen, Rate-Limits). Minimierung sensibler Inhalte in E-Mails; keine Übermittlung umfangreicher Gesundheitsdaten per E-Mail. Für Self-Service-Rezeptvorgänge werden zusätzlich kurzlebige Upload-Intents, Statusprüfungen, Dateityp-/Größenprüfungen und versionsbezogene Re-Consent-Prüfungen eingesetzt.

Incident-Management / Datenschutzvorfälle

Prozess zur Erkennung, Bewertung, Eindämmung und Meldung von Datenschutzvorfällen; definierte Eskalations- und Kontaktwege.

Regelmäßige Überprüfung / Verbesserung

Regelmäßige Reviews sicherheitsrelevanter Einstellungen und Abhängigkeiten im Rahmen der betrieblichen Möglichkeiten; Anpassung der TOM bei technischen/organisatorischen Änderungen.

Anlage 2 – Unterauftragsverarbeiter (Subunternehmerliste)

Stand: 28.03.2026

Diese Liste benennt Unterauftragsverarbeiter, die bei der Erbringung der Plattformleistungen personenbezogene Daten im Auftrag der Praxis verarbeiten können. Terminlücke hält Nachweise über zugrunde liegende Art-28-Vereinbarungen sowie Informationen zu Verarbeitungsorten und Transfermechanismen intern vor und stellt diese der Praxis auf Anfrage in angemessenem Umfang zur Verfügung. Soweit ein Unterauftragsverarbeiter nur für einzelne optionale Produktfunktionen eingesetzt wird, ist der Scope im jeweiligen Eintrag gesondert ausgewiesen.

A) Hosting / Infrastruktur / Datenbank

Vercel (Hosting / Compute / Edge Functions / Analytics)

Leistung: Hosting der Web-Applikation, Serverless-Compute (inkl. Edge Functions), Auslieferung über das Edge-Netzwerk, Web Analytics, Speed Insights sowie technische Betriebs- und Zugriffsdaten (Logs). Hierzu gehören auch serverseitige Endpunkte für tokenbasierte Self-Service-Verwaltungslinks und den dokumentbezogenen Upload-/Löschprozess im Bereich /mein-eintrag.

Betroffene Daten (typisch): IP-Adresse, Request-Header, Zeitstempel, technische Nutzungs- und Performance-Daten; Inhalte nur, soweit sie technisch über Requests verarbeitet werden.

Verarbeitungsorte / Region: EU (Serverless/Functions derzeit Frankfurt am Main); für Auslieferung/Edge- und Analyse-Komponenten sowie Support/Administrationszwecke kann eine Verarbeitung über globale Netzkomponenten bzw. außerhalb der EU/des EWR nicht vollständig ausgeschlossen werden.

Drittlandübermittlung möglich: Ja

Transfermechanismus (falls Drittland): EU-Standardvertragsklauseln (SCC); zusätzlich Teilnahme am EU-US Data Privacy Framework (DPF), soweit anwendbar.

Weitere Hinweise / Link zum DPA: Vercel Data Processing Addendum (DPA), abrufbar über das Vercel Trust Center.

Supabase (Datenbank / Backend / Auth / Storage)

Leistung: Managed PostgreSQL-Datenbank, Authentifizierungsdienste, Storage sowie technische Betriebs- und Sicherheitslogs, einschließlich patientengebundener Upload-Intents und Lösch-/Ersetzmarkierungen für Self-Service-Dokumente.

Betroffene Daten: Praxis- und Patientendaten, Anfragedaten, Dokument- und Storage-Metadaten (z. B. Upload-Intent, Dateityp, Dateigröße, Lösch-/Ersetzzeitpunkte), Auth-Daten (z. B. E-Mail-Adresse) sowie technische Metadaten.

Verarbeitungsorte / Region: EU (Frankfurt am Main)

Drittlandübermittlung möglich: Ja (z. B. durch Support-/Wartungszugriffe aus Drittstaaten nicht vollständig ausgeschlossen)

Transfermechanismus (falls Drittland): EU-Standardvertragsklauseln (SCC)

Weitere Hinweise / Link zum DPA: Supabase Data Processing Addendum (DPA) gemäß Art. 28 DSGVO.

IONOS (Domain / Registrar)

Leistung: Domain-Registrierung und DNS-Verwaltung.

Verarbeitungsorte / Region: EU (Deutschland)

Drittlandübermittlung möglich: Nein

Transfermechanismus: Nicht erforderlich

Weitere Hinweise / Link zum DPA: IONOS Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

B) Sicherheit / Bot- & Missbrauchsschutz

Cloudflare (Bot-Schutz / Turnstile)

Leistung: Bot- und Missbrauchsschutz (Cloudflare Turnstile).

Betroffene Daten (typisch): IP-Adressen, Request-Metadaten, Sicherheits- und Verifikationsdaten.

Verarbeitungsorte / Region: Global (Anycast-Netzwerk)

Drittlandübermittlung möglich: Ja

Transfermechanismus (falls Drittland): EU-Standardvertragsklauseln (SCC); zusätzlich Teilnahme am EU-US Data Privacy Framework (DPF), soweit anwendbar.

Weitere Hinweise / Link zum DPA: Cloudflare Data Processing Addendum (DPA).

C) E-Mail-Versand

Resend (Transaktions-E-Mail-Versand)

Leistung: Versand von System- und Status-E-Mails an Praxen und Betroffene.

Betroffene Daten: Empfänger-E-Mail-Adresse, Versand-Metadaten; Inhalte abhängig vom jeweiligen E-Mail-Template (minimiert).

Verarbeitungsorte / Region: EU (Irland / EU-West)

Drittlandübermittlung möglich: Ja (z. B. durch administrativen Support-/Wartungszugriff aus Drittstaaten nicht vollständig ausgeschlossen)

Transfermechanismus (falls Drittland): EU-Standardvertragsklauseln (SCC); zusätzlich EU-US Data Privacy Framework (DPF), soweit anwendbar.

Weitere Hinweise / Link zum DPA: Resend Data Processing Addendum (DPA); SOC-2-Nachweis liegt vor.

D) KI-Assistenz im Praxis-Dashboard (optional)

OpenAI (Unterauftragsverarbeiter / Subprozessor fuer den optional aktivierten Manager-AI-Chat im Praxis-Dashboard)

Leistung: Verarbeitung der im optional aktivierten Manager-AI-Chat eingegebenen Inhalte sowie des fuer die Antwortgenerierung erforderlichen Kontexts, um allgemeine Produkt-, Bedienungs- und Supportfragen im Praxis-Dashboard zu beantworten. Der Einsatz ist auf diese Funktion begrenzt; OpenAI wird nicht fuer andere Praxisfunktionen oder allgemeine Plattformprozesse eingesetzt.

Betroffene Daten: Eingegebene Chat-Inhalte des laufenden Dialogs einschliesslich des fuer die Antwortgenerierung erforderlichen Kontexts. Je nach Eingabe koennen dabei auch personenbeziehbare oder besondere Kategorien personenbezogener Daten betroffen sein, obwohl der Chat nicht fuer patientenbezogene oder gesundheitsbezogene Eingaben vorgesehen ist und offensichtliche identifizierende Inhalte serverseitig vor der Weiterleitung blockiert werden sollen.

Verarbeitungsorte / Region: Eine Verarbeitung in den USA kann nicht ausgeschlossen werden; eine ausschliessliche Verarbeitung innerhalb der EU/des EWR wird fuer diesen Dienst derzeit nicht zugesagt.

Drittlanduebermittlung moeglich: Ja

Transfermechanismus (falls Drittland): EU-U.S. Data Privacy Framework (DPF), soweit anwendbar; zusaetzlich EU-Standardvertragsklauseln (SCC), soweit erforderlich.

Weitere Hinweise / Link zum DPA: OpenAI Business Terms / Data Processing Addendum (DPA). OpenAI gibt fuer API-Anfragen an, die uebermittelten Inhalte standardmaessig nicht fuer das Training eigener Modelle zu verwenden.