Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen:

Dieser AVV ergänzt die zwischen den Parteien geschlossenen Allgemeinen Geschäftsbedingungen (abrufbar unter speaklogiq.de/agb) und ist Bestandteil des Hauptvertrags.

§ 2 Gegenstand und Dauer der Verarbeitung

Gegenstand: Der Auftragsverarbeiter erbringt im Auftrag des Verantwortlichen Leistungen im Bereich KI-gestützter Dokumentations- und Verwaltungssoftware für Arztpraxen. Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen.

Dauer: Die Verarbeitung erfolgt für die Dauer des bestehenden Nutzungsvertrags. Nach Vertragsende gelten die Regelungen zur Löschung und Rückgabe gemäß § 9 dieses AVV.

§ 3 Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:

• Bereitstellung der SpeaklogIQ-Softwareplattform einschließlich Nutzer- und Praxisverwaltung
• Speicherung und Verwaltung von Praxis- und Mitarbeiterdaten
• KI-gestützte Sprachverarbeitung und Dokumentation von Konsultationen (sofern vom Auftraggeber genutzt)
• Abrechnung und Zahlungsabwicklung
• Terminverwaltung sowie Verwaltung von Ausfallhonoraren und zugehörige Zahlungskommunikation im Namen des Auftraggebers (sofern vom Auftraggeber genutzt)
• Erhebung von Termin- und Anamnesedaten der Patienten über die Online-Formulare der Praxis (Online-Terminanfrage und Anamnesebogen, einschließlich Gesundheitsangaben; sofern vom Auftraggeber genutzt)
• Einholung digitaler Patienten-Unterschriften auf Dokumenten über einen sicheren Link per QR-Code oder E-Mail (sofern vom Auftraggeber genutzt)
• Kundensupport und technischer Betrieb
• Übermittlung transaktionaler E-Mails (z. B. Einladungen, Passwort-Reset)

§ 4 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:

§ 5 Kategorien betroffener Personen

• Mitarbeitende und Inhaber der Praxis des Auftraggebers
• Patienten der Praxis (sofern deren Daten im Rahmen der Dokumentationsfunktion verarbeitet werden)
• Sonstige Kontaktpersonen, die vom Auftraggeber in das System eingepflegt werden

§ 6 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, er ist nach dem Recht der EU oder eines EU-Mitgliedstaats zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung und bei Vorliegen geeigneter Garantien nach Kapitel V DSGVO.
2. Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Da der Verantwortliche als Angehöriger eines Heilberufs der Schweigepflicht nach § 203 StGB unterliegt, ist der Auftragsverarbeiter eine „sonstige mitwirkende Person" im Sinne des § 203 Abs. 3 StGB. Der Auftragsverarbeiter und alle von ihm eingesetzten Personen sind zur Geheimhaltung der ihnen hierdurch bekannt gewordenen fremden Geheimnisse verpflichtet und über die Strafbarkeit einer unbefugten Offenbarung (§ 203 StGB) belehrt; diese Verpflichtung besteht auch nach Beendigung des Vertrags fort.
3. Alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO zum Schutz der Daten zu ergreifen (vgl. § 8).
4. Den Verantwortlichen unverzüglich zu informieren, wenn eine erteilte Weisung nach Einschätzung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
5. Den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32-36 DSGVO zu unterstützen, soweit möglich und zumutbar.
6. Nach Abschluss der Erbringung von Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (vgl. § 9).
7. Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen, einschließlich Inspektionen, zu ermöglichen (vgl. § 10).

§ 7 Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

1. Dem Auftragsverarbeiter unverzüglich und vollständig mitzuteilen, wenn er in den Prüfergebnissen Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt.
2. Den Auftragsverarbeiter über etwaige Störungen, Verletzungen oder Sanktionen gegen den Verantwortlichen zu unterrichten, die die Auftragsverarbeitung berühren können.
3. Sicherzustellen, dass die Übermittlung von Patientendaten (insbesondere Sprachaufnahmen und Transkripten) nur erfolgt, wenn die erforderliche Rechtsgrundlage nach Art. 9 DSGVO vorliegt und ggf. eine Schweigepflichtentbindung des Patienten eingeholt wurde.
4. Die Mitarbeitenden über die Weitergabe ihrer Daten an den Auftragsverarbeiter im Rahmen des Beschäftigungsverhältnisses zu informieren.
5. Den Auftragsverarbeiter (SpeaklogIQ) in seiner eigenen Datenschutzerklärung bzw. Patienteninformation als Auftragsverarbeiter aufzuführen.
6. Die Verarbeitung durch den Auftragsverarbeiter, insbesondere die KI-gestützte Dokumentation, in sein eigenes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO aufzunehmen.
7. Die betroffenen Patientinnen und Patienten nach Art. 13 DSGVO über die Verarbeitung ihrer Daten zu informieren, insbesondere bei Terminbuchung, Online-Anamnese und Konsultation.

Zur Erleichterung stellt der Auftragsverarbeiter für die Ziffern 4 bis 6 unverbindliche Textbausteine in der Anlage am Ende dieses Vertrags bereit.

§ 8 Technische und organisatorische Maßnahmen (TOMs)

SpeaklogIQ hat gemäß Art. 32 DSGVO konkrete Sicherheitsmaßnahmen implementiert, die speziell auf die Anforderungen medizinischer Dokumentation ausgelegt sind. Die folgenden Maßnahmen sind aktiv in Betrieb und werden regelmäßig überprüft.

§ 9 Löschung und Rückgabe von Daten

Nach Beendigung des Nutzungsvertrags werden alle im Auftrag verarbeiteten personenbezogenen Daten vollständig und endgültig gelöscht. SpeaklogIQ ist als Auftragsverarbeiter gemäß Art. 28 Abs. 3 lit. g DSGVO nicht berechtigt, nach Vertragsende weiterhin personenbezogene Daten des Verantwortlichen zu speichern. Die gesetzliche Aufbewahrungspflicht nach § 630f BGB obliegt dem Verantwortlichen selbst und ist von ihm eigenständig durch geeignete Maßnahmen (z. B. lokale Datensicherung) zu erfüllen.

Ablauf nach Vertragsbeendigung

Export-Fenster (60 Tage): Unmittelbar nach Vertragsbeendigung wird ein 60-tägiges Export-Fenster aktiviert. Ausschließlich der Verantwortliche (die Praxisinhaberin bzw. der Praxisinhaber) kann sich während dieser Zeit weiterhin einloggen, mit auf Lesezugriff und die Exportfunktion beschränktem Zugang. Der Zugang der übrigen Teammitglieder endet mit der Vertragsbeendigung. Alle Praxisdaten, einschließlich Patientenakten, Konsultationen, Notizen, Dokumente, Termine und Aufgaben, können vollständig als maschinenlesbares Archiv (ZIP-Format) heruntergeladen werden.

Endgültige Löschung (nach 60 Tagen): Nach Ablauf des Export-Fensters werden sämtliche Daten des Verantwortlichen vollautomatisch und unwiderruflich aus allen Systemen des Auftragsverarbeiters gelöscht. Dies umfasst Patientendaten, Behandlungsaufzeichnungen, Notizen, Dokumente, Nutzerkonten sowie alle Protokoll- und Betriebsdaten. Eine Wiederherstellung ist danach ausgeschlossen.

Benachrichtigungen und Fristen

• Unmittelbar nach Kündigung: E-Mail mit Löschdatum und Hinweis auf die Exportfunktion
• 7 Tage vor Fristablauf: Letzte Erinnerung an alle aktiven Teammitglieder
• Am Tag der Löschung: Automatische endgültige Löschung aller Daten
• Nach der Löschung: Schriftliches Löschprotokoll per E-Mail (Datum, Datenkategorien, Rechtsgrundlage)

Der Verantwortliche kann die Löschung bis zum Fristablauf durch Abschluss eines neuen Abonnements jederzeit abbrechen; in diesem Fall bleiben alle Daten vollständig erhalten.

Backup-Snapshots (rollierend, 30 Tage Vorhaltung) werden nach der endgültigen Löschung im Zuge des regulären Sicherungszyklus überschrieben, spätestens innerhalb von 90 Tagen nach Vertragsbeendigung.

Eigene Geschäftsunterlagen des Auftragsverarbeiters (Rechnungen, Vertragsdaten gemäß §§ 238 ff. HGB) sind von dieser Löschung ausgenommen und werden nach den handels- und steuerrechtlichen Aufbewahrungsfristen verwaltet. Sie enthalten keine Patientendaten.

Für laufende Verträge gelten zusätzlich folgende automatische Löschfristen: KI-Anfragemetadaten (Modell, Token-Anzahl, Antwortdauer) werden nach 30 Tagen gelöscht. Zugriffsprotokolle zu Lesevorgängen werden nach 12 Monaten gelöscht.

§ 10 Auskunfts- und Prüfrechte

Der Auftraggeber hat das Recht, sich von der Einhaltung der in diesem AVV festgelegten Pflichten zu überzeugen. Zu diesem Zweck kann er:

• schriftlich Auskunft beim Auftragsverarbeiter einholen,
• nach schriftlicher Ankündigung mit einer Frist von mindestens 14 Tagen Prüfungen oder Inspektionen durchführen oder durch einen beauftragten Dritten durchführen lassen,
• Nachweise über die Einhaltung der Datenschutzpflichten anfordern (z. B. Zertifikate, Berichte von Sicherheitsprüfungen).

Der Auftragsverarbeiter kann seine Nachweispflicht vorrangig durch Vorlage geeigneter Dokumentation (z. B. TOM, Zertifikate, Prüfberichte) erfüllen; Vor-Ort-Prüfungen kommen nur in Betracht, soweit dies zum Nachweis nicht ausreicht. Prüfungen dürfen den Betrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen und finden während der üblichen Geschäftszeiten statt. Die zum Nachweis nach Art. 28 DSGVO erforderlichen Informationen stellt der Auftragsverarbeiter ohne gesondertes Entgelt bereit. Die Kosten einer vom Verantwortlichen veranlassten Vor-Ort-Prüfung, insbesondere für einen von ihm beauftragten Dritten, trägt der Verantwortliche; für einen darüber hinausgehenden, erheblichen Aufwand kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 11 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein. Der Verantwortliche erteilt hiermit seine generelle Genehmigung zur Einschaltung dieser Unterauftragsverarbeiter:

Hinweis: Die eingesetzte Datenbank- und Authentifizierungssoftware (Supabase Open Source) wird ausschließlich selbst gehostet auf Servern der IONOS SE in Deutschland betrieben. Supabase Inc. (USA) hat keinen Zugriff auf Kundendaten und ist daher kein Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen über geplante Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern rechtzeitig (mind. 30 Tage vor Inkrafttreten) schriftlich zu informieren. Der Verantwortliche hat das Recht, gegen solche Änderungen innerhalb von 14 Tagen schriftlich Einspruch zu erheben.

Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

§ 12 Meldepflicht bei Datenschutzvorfällen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 33 und 34 DSGVO genannten Pflichten. Im Falle einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich nach Bekanntwerden des Vorfalls (in der Regel innerhalb von 24 Stunden).

Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Schadensminimierung

Meldungen richten Sie bitte an: info@speaklogiq.de

§ 13 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen soweit möglich und zumutbar bei der Erfüllung von Anfragen betroffener Personen hinsichtlich ihrer Rechte nach Art. 15-22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet. Der Auftragsverarbeiter beantwortet solche Anfragen nicht eigenständig, sofern der Verantwortliche ihn nicht ausdrücklich dazu bevollmächtigt.

§ 14 Haftung und Schadensersatz

Die Haftung der Parteien für Verstöße gegen datenschutzrechtliche Vorschriften richtet sich nach den allgemeinen Haftungsregelungen der DSGVO, insbesondere Art. 82 DSGVO.

Der Auftragsverarbeiter haftet nicht für Schäden, die dadurch entstehen, dass der Verantwortliche seine Pflichten aus diesem AVV oder der DSGVO nicht erfüllt hat oder der Auftragsverarbeiter weisungsgemäß gehandelt hat.

§ 15 Schlussbestimmungen

Anwendbares Recht: Es gilt das Recht der Bundesrepublik Deutschland.

Vorrang: Im Falle von Widersprüchen zwischen diesem AVV und anderen vertraglichen Vereinbarungen hat dieser AVV im Hinblick auf datenschutzrechtliche Fragen Vorrang.

Änderungen: Änderungen dieses AVV bedürfen der Textform (§ 126b BGB, insbesondere E-Mail). Dies gilt auch für die Abbedingung dieses Textformerfordernisses.

Salvatorische Klausel: Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, berührt dies nicht die Gültigkeit der übrigen Bestimmungen.

Kontakt Datenschutz: info@speaklogiq.de

Anlage: Textbausteine für den Verantwortlichen

Die folgenden Textbausteine sind unverbindliche Muster zur Erleichterung der Pflichten aus § 7 (insbesondere Ziffern 4 bis 6). Bitte passen Sie sie an die Verhältnisse Ihrer Praxis an.