Vertrag zur Auftragsverarbeitung

Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil des Hauptvertrags über die Nutzung der Software Psymira und regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Auftraggebers verarbeitet.

1. Vertragsparteien und Einbeziehung

Auftragsverarbeiter: Laudien Ventures GmbH, Kolonnenstr. 8, 10827 Berlin, Deutschland, vertreten durch den Geschäftsführer Ronny Laudien (nachfolgend „Anbieter"). Kontakt in Datenschutzangelegenheiten: support@psymira.de (Datenschutzbeauftragte: datenschutz@psymira.de).

Auftraggeber: die im Hauptvertrag bzw. bei der Registrierung bezeichnete psychotherapeutische Praxis oder Einrichtung mit den dort hinterlegten Unternehmens- und Kontaktdaten (nachfolgend „Kunde"). Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in Psymira verarbeiteten Patienten- und Behandlungsdaten.

Dieser AVV wird bei der Registrierung (Bestätigung per Checkbox im Registrierungsprozess) einbezogen und akzeptiert. Die akzeptierte Fassung wird mit Version und Zeitpunkt gespeichert und dem Kunden vor Annahme zum Abruf und Download bereitgestellt.

2. Gegenstand, Art, Zweck und Dauer

(1) Gegenstand ist die Bereitstellung der webbasierten Praxissoftware Psymira. Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Erbringung dieser Leistung und nach dokumentierter Weisung des Kunden.

(2) Zwecke der Verarbeitung: Sitzungsdokumentation, Audioaufnahme und Transkription, Texterkennung (OCR) auf hochgeladenen Dokumenten, KI-gestützte Zusammenfassungen und Antragsentwürfe, Krisenprotokoll, Klinikfinder, Patienten- und Praxisverwaltung sowie Export- und Löschfunktionen.

(3) Die Laufzeit entspricht dem Hauptvertrag. Pflichten zu Vertraulichkeit, Rückgabe, Löschung, Unterstützung und Nachweis gelten über das Vertragsende hinaus fort, soweit erforderlich.

3. Datenkategorien und betroffene Personen

(1) Datenkategorien: Patientenstammdaten bzw. Chiffren, Gesundheits- und Diagnosedaten, Sitzungsnotizen, Audioaufnahmen, Transkripte, Zusammenfassungen, Antrags- und Berichtsinhalte, Krisendokumentation, hochgeladene Dokumente sowie technische Verarbeitungs- und Protokolldaten. Es werden auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheitsdaten) verarbeitet.

(2) Betroffene Personen: Patienten und Klienten des Kunden sowie Benutzer und Mitarbeiter des Kunden.

4. Weisungen und Verantwortungsbereiche

(1) Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, sofern nicht eine Rechtsvorschrift eine Verarbeitung erfordert; in diesem Fall teilt der Anbieter dies vor der Verarbeitung mit, soweit rechtlich zulässig. Die initiale Weisung ergibt sich aus dem Hauptvertrag und der Nutzung der Software; weitergehende Weisungen erfolgen über berechtigte Ansprechpartner des Kunden nachweisbar (auch per E-Mail an support@psymira.de). Erscheint eine Weisung rechtswidrig, informiert der Anbieter den Kunden und darf die Ausführung bis zur Klärung aussetzen.

(2) Rechtsgrundlagen: Der Kunde bestimmt und dokumentiert die Rechtsgrundlagen der von ihm veranlassten Verarbeitung. Er holt Einwilligungen nur ein, soweit für den jeweiligen Verarbeitungsvorgang eine Einwilligung erforderlich ist; die Verarbeitung von Gesundheitsdaten im Behandlungskontext kann insbesondere auf Art. 6 Abs. 1 lit. b i. V. m. Art. 9 Abs. 2 lit. h DSGVO (sowie, soweit einschlägig, § 22 BDSG) gestützt werden; für gesetzliche Dokumentations- und Aufbewahrungspflichten kommt insbesondere Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 9 Abs. 2 lit. h DSGVO in Betracht. Der Anbieter gibt nicht vor, jede Gesundheitsdatenverarbeitung beruhe auf Einwilligung.

(3) Audioaufnahmen: Vor Beginn prüft der Kunde eigenverantwortlich sowohl die datenschutzrechtliche als auch die straf- und berufsrechtliche Zulässigkeit (insbesondere § 201 StGB zur Vertraulichkeit des nichtöffentlich gesprochenen Wortes) und dokumentiert erforderliche Zustimmungen. Die Mikrofonfreigabe des Browsers ersetzt diese Prüfung nicht. Ein Widerruf führt nicht in jedem Fall zur sofortigen Löschung bereits entstandener Behandlungsdokumentation; gesetzliche Dokumentations- und Aufbewahrungspflichten sowie andere Rechtsgrundlagen bleiben unberührt.

5. Pflichten des Anbieters

Der Anbieter verpflichtet sich insbesondere zu: Verarbeitung nur im Auftrag; Verpflichtung der zugriffsberechtigten Personen auf Vertraulichkeit; Umsetzung und regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2); Unterstützung des Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzung und vorheriger Konsultation; Meldung von Verletzungen des Schutzes personenbezogener Daten (Ziffer 11); Bereitstellung angemessener Nachweise (Ziffer 12); Umgang mit behördlichen Auskunftsverlangen nach Anlage 6.

6. Vertraulichkeit und Berufsgeheimnis (§ 203 StGB)

(1) Der Anbieter verpflichtet alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit; die Verpflichtung besteht über die Tätigkeit hinaus fort.

(2) Wegen der besonderen Sensibilität psychotherapeutischer Inhalte, die dem Berufsgeheimnis nach § 203 StGB unterliegen, bindet der Anbieter die mitwirkenden Personen und die einschlägigen Unterauftragnehmer als „sonstige mitwirkende Personen" im Sinne von § 203 Abs. 3 StGB in die Verschwiegenheitskette ein, begrenzt den Zugriff auf das erforderliche Maß, protokolliert administrative Zugriffe und unterstützt den Kunden bei dessen berufsrechtlicher Prüfung.

7. Technische und organisatorische Maßnahmen (Kurzfassung; Details Anlage 2)

Der Anbieter setzt dem Risiko angemessene Maßnahmen um. Aussagen entsprechen dem tatsächlich umgesetzten Stand:

• Übertragung: Anwendungsdaten werden ausschließlich über TLS 1.2 oder höher übertragen; HTTPS-Zwang (HSTS). Verbindungsversuche mit älteren TLS-Versionen werden von der Anwendung abgewiesen.
• Speicherung: Verschlüsselung ruhender Daten durch den Cloud-Anbieter nach dessen Standard (Google-verwaltete Schlüssel, AES-256).
• Authentifizierung: E-Mail/Passwort über Firebase Authentication; Mindestpasswortlänge 8 Zeichen mit Komplexitätsanforderung (Groß-/Kleinbuchstaben und Sonderzeichen); Schutzmechanismen gegen automatisierte Anmeldeversuche.
• Autorisierung: rollenbasiertes Berechtigungsmodell (Administrator, Praxisleitung, Therapeut) nach dem Least-Privilege-Prinzip; administrative Zugriffe auf Produktivdaten nur im Ausnahmefall und protokolliert.
• Mandantentrennung: auf Anwendungsebene durchgesetzte, praxisbezogene Zugriffskontrolle (Autorisierung anhand der Praxiszugehörigkeit).
• Identifikatorenfilterung/Datenreduktion: vor KI-Aufrufen werden konfigurierbare Regeln zur Ersetzung erkannter Identifikatoren angewandt; Freitext (z. B. Notizen, Transkripte) kann weiterhin identifizierende Angaben enthalten, deren Kontrolle beim Kunden liegt.
• Verfügbarkeit/Sicherung: regelmäßige, verschlüsselte Backups mit Point-in-Time-Recovery (Aufbewahrung 7 Tage); die Wiederherstellbarkeit wird geprüft.
• Protokollierung/Überwachung: automatisiertes Monitoring mit Alarmierung; Protokollierung von Zugriffen auf Patientendaten (Aufbewahrung 12 Monate, anschließend Löschung).
• Netzwerksicherheit: Schutz über die Edge-Infrastruktur des Cloud-Anbieters sowie anwendungsseitiges Rate-Limiting.
• Löschung: sichere Löschverfahren nach Anlage 4.

8. Unterauftragnehmer

(1) Der Kunde erteilt die allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragnehmer. Anlage 3 führt die Dienstleister, die Auftragsdaten im Auftrag verarbeiten. Die Authentifizierung der Praxis-Nutzer (Firebase Authentication) erfolgt im Auftrag des Verantwortlichen; der Dienst ist als Unterauftragnehmer in Anlage 3 aufgeführt. Weitere Dienstleister, die der Anbieter in eigener oder gemischter Verantwortlichkeit einsetzt (z. B. Zahlungs-, Karten- und E-Mail-Dienste), sind in der Datenschutzerklärung dargestellt und nicht Gegenstand dieser Anlage.

(2) Der Anbieter legt jedem Unterauftragnehmer durch Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht eines Mitgliedstaats dieselben Datenschutzpflichten auf, die diesem AVV gemäß Art. 28 Abs. 3 DSGVO zugrunde liegen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragnehmer seinen Datenschutzpflichten nicht nach, bleibt der Anbieter gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragnehmers verantwortlich (Art. 28 Abs. 4 DSGVO).

(3) Änderungen teilt der Anbieter mindestens 30 Tage vor Wirksamwerden nachweisbar mit. Der Kunde kann aus einem konkret begründeten datenschutzrechtlichen Grund innerhalb von 14 Tagen widersprechen. Kann der Anbieter den Einspruch nicht ausräumen (alternative Leistung, Deaktivierung der betroffenen Funktion), steht dem Kunden ein außerordentliches Kündigungsrecht zu.

9. Drittlandübermittlungen

Die Verarbeitung der Auftragsdaten durch die Unterauftragnehmer nach Anlage 3 erfolgt grundsätzlich in der EU (Region europe-west3 Frankfurt bzw. EU-Mehrregion). Ausnahme: Firebase Authentication (Konto-/Login-Daten der Praxis-Nutzer, keine Patientendaten) wird ausschließlich aus US-Rechenzentren betrieben; Transfergrundlage ist das EU-U.S. Data Privacy Framework (Googles Alternative Transfer Solution seit Sept 2023; Google LLC gelistet); EU-Standardvertragsklauseln gemäß Google Cloud DPA, Appendix 3 – European Data Protection Law, § 4.1 Restricted Transfers als Fallback (Art. 44 ff.). Etwaige anbieterseitige Support-, Sicherheits- oder Unterauftragnehmerzugriffe aus Drittländern erfolgen nur nach Maßgabe der geltenden Google-Cloud-Vertragsunterlagen; soweit erforderlich sind EU-Standardvertragsklauseln (SCC) einbezogen. Übermittlungen außerhalb des EWR finden nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

10. Betroffenenrechte

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs-, Übertragbarkeits- und Widerspruchsrechten, insbesondere durch Export- und Löschfunktionen.

11. Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden Verletzungen ohne unangemessene Verzögerung, mit dem internen Ziel einer ersten Meldung innerhalb von 24 Stunden nach Bekanntwerden, soweit operativ erfüllbar. Die Erstmeldung enthält mindestens Art und Umfang, betroffene Datenkategorien, wahrscheinliche Folgen und ergriffene bzw. vorgeschlagene Maßnahmen; sie wird fortlaufend ergänzt. Meldekanal und Eskalationskontakte enthält Anlage 5.

12. Kontrollen und Nachweise

Der Anbieter stellt auf Anfrage angemessene Informationen und Nachweise bereit; Prüfungen erfolgen vorrangig durch Auskünfte und Remote-Nachweise, mit angemessener Vorankündigung, unter Wahrung von Sicherheit, Vertraulichkeit und den Rechten anderer Kunden. Soweit Remote-Nachweise für die Prüfung nicht ausreichen oder ein konkreter Anlass besteht, bleiben Audits einschließlich angemessener Vor-Ort-Prüfungen unberührt (Art. 28 Abs. 3 lit. h DSGVO). Kosten trägt der Kunde, sofern die Prüfung nicht durch eine Pflichtverletzung des Anbieters veranlasst ist.

13. Rückgabe, Wechsel und Löschung

(1) Der Kunde steuert die fachlich erforderliche Aufbewahrung seiner Patientendokumentation; die zehnjährige Frist nach § 630f BGB ist eine Pflicht des Kunden, keine eigene Speicherentscheidung des Anbieters. Der Anbieter stellt Exportfunktionen bereit.

(2) Ablauf bei Vertrags- bzw. Testphasenende: Der Kunde hat zunächst 30 Tage Read-only-Zugriff mit Exportmöglichkeit (Erinnerungen an Tag 7, 14 und 28). Der weitere Ablauf richtet sich danach, ob ein kostenpflichtiges Abonnement bestand:

a) Reine Testphase (kein kostenpflichtiges Abonnement gebucht): Auch hier wählt der Kunde zwischen (i) Export/Rückgabe (über die Exportfunktion während der 30-tägigen Read-only-Frist) mit anschließender Löschung und (ii) unmittelbarer Löschung (Wahlrecht nach Art. 28 Abs. 3 lit. g DSGVO). Ohne abweichende Weisung werden Konto und zugehörige Produktivdaten nach Ablauf der 30 Tage automatisch gelöscht (kein Abschluss-Archiv). Die Löschung wird sofort wirksam; technisch bleibt sie durch die Wiederherstellungsfunktion des Objektspeichers sieben Tage lang umkehrbar, danach ist sie endgültig (Einzelheiten in Anlage 4). Eine vorzeitige (beschleunigte) Löschung kann jederzeit durch Weisung an support@psymira.de (nach Identitätsprüfung) verlangt werden.

b) Ehemals kostenpflichtiges Abonnement: Nach Ablauf der 30 Tage wird der Zugang deaktiviert und automatisch ein verschlüsselter Abschluss-Export erstellt und sicher verwahrt. Der Kunde wählt bei Vertragsende zwischen (a) Rückgabe — Bereitstellung des Abschluss-Exports mit anschließender Löschung — und (b) unmittelbarer Löschung ohne Bereitstellung (Wahlrecht nach Art. 28 Abs. 3 lit. g DSGVO). Bei Option (b) wird der Abschluss-Export ohne Bereitstellung unverzüglich gelöscht. Die Ausübung der Option (b) sowie jede gegenüber den Standardfristen beschleunigte Löschung erfolgt durch Weisung an support@psymira.de und wird nach Identitätsprüfung (Absatz 3) ausgeführt. Bei Option (a) bzw. ohne abweichende Weisung wird der Abschluss-Export für weitere 90 Tage vorgehalten und dem Kunden auf identitätsgeprüfte Anfrage nach Absatz 3 bereitgestellt. Nach Ablauf der 90 Tage werden Produktivdaten und Abschluss-Export gelöscht; die Löschung wird sofort wirksam und ist nach Ablauf von sieben Tagen endgültig (Anlage 4); die Löschung wird durch eine interne Freigabe kontrolliert, um versehentliche Löschungen auszuschließen, und zeitnah nach Fristablauf vollzogen. Sicherungskopien werden im Rahmen der Backup-Rotation (7 Tage) bereinigt.

(3) Herausgabe des Abschluss-Exports (Rückgabepflicht, Art. 28 Abs. 3 lit. g DSGVO). Die Bereitstellung des Abschluss-Exports nach Absatz 2 lit. b setzt eine Identitätsprüfung der anfragenden Praxis voraus. Der Export wird als passwortgeschütztes, verschlüsseltes Archiv übergeben; das Passwort wird über einen vom Download-Link getrennten Kanal übermittelt. Jede Bereitstellung wird protokolliert. Der Anbieter kann den Zugang der Praxis auf deren Wunsch vor Ablauf der Löschfristen reaktivieren; die Daten bleiben dabei unverändert erhalten, da bis zur bestätigten Löschung nichts entfernt wird.

(4) Der Export erfolgt in strukturierten, gängigen, maschinenlesbaren Formaten; Einzelheiten (Kategorien, Formate, Ausnahmen) regelt das Datenexport- und Formatregister im Einklang mit dem EU Data Act. Die Bereitstellung erfolgt als AES-256-verschlüsseltes Archiv; das Passwort wird getrennt vom Archiv übergeben. Zum Öffnen ist ein Programm erforderlich, das AES-verschlüsselte ZIP-Archive unterstützt (z. B. 7-Zip, Keka); die im Betriebssystem enthaltenen Standardwerkzeuge genügen dafür nicht. Für den Anbieter-Wechsel gelten die entsprechenden Regelungen der AGB.

14. Rangfolge und Änderungen

In datenschutzrechtlichen Fragen der Auftragsverarbeitung geht dieser AVV den AGB vor. Änderungen bedürfen der Textform mit angemessener Vorankündigung; die jeweils akzeptierte Fassung wird versioniert nachgehalten. Eine Änderung überschreibt nicht stillschweigend eine bereits akzeptierte Vertragsfassung.

---

Anlage 1 – Beschreibung der Verarbeitung

• Produkt/Zweck: Praxissoftware Psymira (Ziffer 2).
• Datenkategorien / betroffene Personen: Ziffer 3.
• Primärregion: europe-west3 (Frankfurt, Deutschland).
• Transkription: Google Cloud Speech-to-Text V2 (EU-Mehrregion).
• Texterkennung (OCR): Google Cloud Document AI (EU-Mehrregion); der erkannte Text wird in die Behandlungsdokumentation übernommen.
• KI-Verarbeitung: Google Vertex AI (europe-west3); Ausgaben sind Entwürfe; keine Verwendung der Inhalte zum Training von Modellen.
• Dauer: Laufzeit des Hauptvertrags zzgl. Rückgabe-/Löschphase (Ziffer 13).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage konkretisiert die in Ziffer 7 genannten Maßnahmen. Es werden ausschließlich tatsächlich umgesetzte Maßnahmen zugesagt. Zu unterscheiden ist zwischen eigenen Maßnahmen des Anbieters (Anwendung, Konfiguration, Organisation) und Maßnahmen des Cloud-Anbieters (physische und Infrastruktursicherheit); der Anbieter betreibt keine eigene Serverhardware. Version und Änderungsstand dieser Anlage werden geführt.

Anlage 3 – Unterauftragnehmer (Auftragsdaten)

Nicht in dieser Anlage (eigene/gemischte Verantwortung, keine Auftragsverarbeitung von Patientendaten; siehe Datenschutzerklärung): Stripe (Zahlung), Google Maps Platform (Klinikfinder), ALL-INKL.COM – Neue Medien Münnich (Website-Kontakt).

Anlage 4 – Aufbewahrung und Löschung

Anlage 5 – Ansprechpartner und Meldekanäle

• Datenschutz-/Betroffenenanfragen: support@psymira.de
• Sicherheits-/Vorfallmeldungen: security@psymira.de
• Datenschutzbeauftragte: erreichbar unter datenschutz@psymira.de
• Support: support@psymira.de

Anlage 6 – Umgang mit behördlichen Auskunftsverlangen

(1) Anwendungsbereich. Diese Anlage beschreibt, wie der Anbieter mit rechtmäßigen Auskunfts- oder Herausgabeverlangen von Behörden umgeht, die an ihn gerichtet sind und Auftragsdaten des Kunden betreffen. Verlangen, die an den Kunden gerichtet sind, bearbeitet dieser als Verantwortlicher; der Anbieter unterstützt ihn dabei im Rahmen von Ziffer 10.

(2) Verfahren. Der Anbieter a) prüft Rechtsgültigkeit und Zuständigkeit der Anfrage, b) beschränkt jede Herausgabe auf den zwingend erforderlichen Umfang (Datenminimierung), c) informiert den betroffenen Kunden vorab, soweit dies rechtlich zulässig ist, d) gibt Daten nur kontrolliert und protokolliert heraus — als gezielten, verschlüsselten Export der betroffenen Datensätze, e) dokumentiert den Vorgang in einem internen Register.

(3) Technische Möglichkeiten. Möglich sind ein mandantenscharfer Export der Daten einer bestimmten Praxis oder eines bestimmten Patienten sowie die Bereitstellung der Zugriffsprotokolle auf Behandlungsdaten (Aufbewahrung 12 Monate, Anlage 4).

(4) Grenzen, die der Anbieter zusagt. Der Anbieter gewährt keinen pauschalen und keinen direkten Datenbank- oder Infrastrukturzugriff. Er leitet nichts heimlich über den unter Absatz 2 lit. b bestimmten Umfang hinaus aus. Auf Daten, die der Kunde bereits gelöscht hat, greift er außerhalb der in Anlage 4 dokumentierten Fristen nicht zu. Die Auftragsdaten liegen verschlüsselt und in den in Anlage 1 genannten EU-Regionen; Drittlandbezüge richten sich ausschließlich nach Ziffer 9.

(5) Pflege. Der Anbieter hält diese Verfahren je Dienst aktuell und überprüft sie mindestens jährlich auf Richtigkeit. Änderungen werden nach Ziffer 14 mitgeteilt.