Version 1.2 · Stand 21. September 2026
Verantwortliche: die nutzende Praxis bzw. Einrichtung (Name, Anschrift und Ansprechperson gemäß Praxis-Konto; Annahme mit Zeitstempel im Onboarding dokumentiert).
Auftragsverarbeiter: Hayek Digital Consulting, Inhaber: Timm Vincent Hayek, Ewaldsweg 14, 20537 Hamburg, Deutschland („Wellnerapy“), Datenschutz-Kontakt: datenschutz@wellnerapy.com
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus der Nutzung von Wellnerapy. Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter (Hayek Digital Consulting, „Anbieter“) personenbezogene Daten im Auftrag des Verantwortlichen (die nutzende Praxis bzw. Einrichtung, „Praxis“) verarbeitet.
Der Vertrag wird mit der Annahme im Onboarding wirksam und läuft für die Dauer des Nutzungsverhältnisses (einschließlich Testphase). Er endet mit dessen Beendigung; die Pflichten zur Löschung und Rückgabe (§ 10) sowie zur Vertraulichkeit bestehen fort.
Bestandteil dieses Vertrags sind die Anlagen: Anlage 1 (Beschreibung der Verarbeitung, §§ 2–3), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Unterauftragsverarbeiter). Bei Widersprüchen geht dieser Vertrag den allgemeinen Nutzungsbedingungen vor.
Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der vereinbarten Leistungen: Verwaltung von Patient:innen, Erstellung und Zuweisung von Übungs- und Gewohnheitsplänen, Erfassung von Check-ins, Fortschritten und Wohlbefindensangaben, sichere Kommunikation zwischen Praxis und Patient:innen einschließlich Datei- und Videoanhängen, Versand von Erinnerungen und Benachrichtigungen sowie KI-gestützte Vorschlagsfunktionen (§ 8).
Eine Verarbeitung zu anderen Zwecken findet nicht statt. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Praxis, sofern er nicht nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet ist; in diesem Fall teilt er der Praxis die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.
Die Nutzung der Anwendung durch die Praxis (z. B. Anlegen von Patient:innen, Zuweisen von Plänen) gilt als Weisung. Weitergehende Weisungen erteilt die Praxis in Textform an die in § 4 genannte Kontaktadresse.
Verarbeitet werden insbesondere: Stammdaten (Name, E-Mail-Adresse, Konto- und Anmeldedaten), Plan- und Übungsdaten, Check-in- und Fortschrittsdaten (u. a. erledigte Übungen, Schmerz- und Belastungsangaben, Wohlbefinden/Stimmung, Therapietreue), Nachrichteninhalte, Datei- und Videoanhänge (einschließlich Videoaufnahmen der Übungsausführung) sowie technische Nutzungsdaten.
Ein wesentlicher Teil dieser Daten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Die Praxis stellt sicher, dass eine Rechtsgrundlage für deren Verarbeitung besteht (insbesondere ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder Behandlungszweck nach Art. 9 Abs. 2 lit. h DSGVO) und holt bei Minderjährigen die Einwilligung der Sorgeberechtigten ein.
Betroffene Personen sind die Patient:innen der Praxis sowie die Mitarbeitenden der Praxis, die die Anwendung nutzen.
Der Anbieter verarbeitet Daten ausschließlich im Rahmen der Weisungen der Praxis. Hält er eine Weisung für rechtswidrig, informiert er die Praxis unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit; die Verpflichtung besteht nach Ende der Tätigkeit fort.
Die Praxis ist als Angehörige eines Heilberufs regelmäßig Berufsgeheimnisträgerin im Sinne des § 203 StGB. Der Anbieter wird als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 und 4 StGB tätig. Er verpflichtet sich zur Geheimhaltung der ihm bekannt werdenden Geheimnisse, wurde über die Strafbarkeit einer unbefugten Offenbarung nach § 203 Abs. 4 StGB belehrt und verpflichtet seine Mitarbeitenden sowie Unterauftragsverarbeiter, die Zugang zu Geheimnissen erhalten können, in gleicher Weise. Er nimmt Geheimnisse nur zur Kenntnis, soweit dies zur Leistungserbringung erforderlich ist.
Der Anbieter unterstützt die Praxis mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung (Art. 32), bei Datenschutz-Folgenabschätzungen (Art. 35) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36). Anfragen betroffener Personen, die direkt beim Anbieter eingehen, leitet er unverzüglich an die Praxis weiter.
Der Anbieter benennt als datenschutzrechtliche Kontaktstelle: datenschutz@wellnerapy.com. Die Praxis benennt im Praxis-Konto eine verantwortliche Ansprechperson.
Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält diese auf dem Stand der Technik. Dazu gehören insbesondere: verschlüsselte Übertragung und Speicherung, rollenbasierte Berechtigungen, Mandantentrennung je Praxis auf Datenbankebene (Row-Level-Security), abgesicherter Datei-Speicher mit serverseitiger Berechtigungsprüfung, Upload-Prüfung, regelmäßige Sicherungen, Protokollierung von Support-Zugriffen sowie der Betrieb ausschließlich in Rechenzentren in Frankfurt am Main.
Die Maßnahmen dürfen weiterentwickelt werden, soweit das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Anbieter der Praxis mit.
Die Praxis genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Der Anbieter schließt mit ihnen Verträge, die ihnen dieselben Datenschutzpflichten auferlegen, die für ihn nach diesem Vertrag gelten, und überprüft die Einhaltung.
Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der EU (Frankfurt am Main). Soweit die in Anlage 3 genannten Unterauftragsverarbeiter Resend (E-Mail-Versand) und Stripe (Abrechnung der Praxis, keine Patientendaten) Daten in den USA verarbeiten, geschieht dies auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-Standardvertragsklauseln und, soweit zertifiziert, EU-U.S. Data Privacy Framework). Erinnerungs-E-Mails an Patient:innen enthalten keine Gesundheitsinformationen.
Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er die Praxis mindestens vier Wochen vorab in Textform (E-Mail an die Praxis-Administration und Hinweis in der Anwendung). Die Praxis kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, steht der Praxis ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.
Der Anbieter greift auf Daten der Praxis nur zu, soweit dies zur Fehleranalyse, zur Unterstützung auf Anforderung der Praxis oder zur Abwehr von Sicherheitsvorfällen erforderlich ist. Ein Zugriff über die Oberfläche des Praxis-Kontos (Support-Modus) wird vollständig protokolliert (Zeitpunkt, handelnde Person, betroffene Praxis, Anlass) und der Praxis auf Anfrage offengelegt.
Der Anbieter nimmt dabei ausschließlich die Daten zur Kenntnis, die für den jeweiligen Anlass erforderlich sind, und speichert keine Kopien außerhalb der Anwendung.
Zur Bereitstellung der KI-Funktionen (Übungsplan-Vorschläge, Antwortvorschläge für Nachrichten, Ergänzung von Übungsbeschreibungen, Strukturierung von Kontaktdaten beim Import) übermittelt der Anbieter die jeweils erforderlichen Inhalte an Amazon Web Services (AWS Bedrock, Region Frankfurt) zur Verarbeitung durch ein Sprachmodell. Die Inhalte werden nicht zum Training von KI-Modellen verwendet und von AWS nicht über die Verarbeitung hinaus gespeichert.
Die KI erstellt ausschließlich Vorschläge. Fachliche und therapeutische Entscheidungen trifft ausschließlich die Praxis. Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt.
Zur Qualitätssicherung und Fehleranalyse speichert der Anbieter die an die KI übermittelten Eingaben und die erzeugten Vorschläge für 90 Tage; danach werden sie automatisch gelöscht. Zugriff hat ausschließlich die Plattform-Administration des Anbieters; eine Nutzung zu anderen Zwecken ist ausgeschlossen.
Der Anbieter meldet der Praxis Verletzungen des Schutzes personenbezogener Daten, die Daten der Praxis betreffen, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, an die Praxis-Administration. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.
Der Anbieter unterstützt die Praxis bei der Erfüllung ihrer Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert Vorfälle einschließlich der getroffenen Abhilfemaßnahmen.
Die Praxis kann Patient:innen samt ihrer Daten jederzeit selbst über die Anwendung löschen und ihre Daten (Patient:innen, Pläne, Check-ins, Nachrichten) in einem maschinenlesbaren Format exportieren.
Nach Beendigung des Nutzungsverhältnisses löscht der Anbieter sämtliche im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern die Praxis nicht vorher einen Export vorgenommen oder eine Rückgabe verlangt hat und keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im regulären Sicherungszyklus, spätestens 30 Tage nach der Löschung, überschrieben. Datei-Anhänge und Videos werden unabhängig davon 30 Tage nach dem Hochladen automatisch gelöscht.
Die Löschung wird auf Verlangen schriftlich bestätigt.
Der Anbieter stellt der Praxis alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag samt Anlagen, Beschreibungen der Maßnahmen und vorhandene Zertifizierungen bzw. Berichte der Rechenzentrumsbetreiber.
Die Praxis oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung nach angemessener Ankündigung (in der Regel vier Wochen) während der üblichen Geschäftszeiten und ohne Störung des Betriebs überprüfen. Der Anbieter darf verlangen, dass zunächst vorhandene Nachweise verwendet werden.
Die Übungsbibliothek enthält Videos, die über YouTube (Google) eingebettet sind. Diese werden im datenschutzfreundlichen Modus und erst nach aktiver Zustimmung der Patientin bzw. des Patienten geladen (Zwei-Klick-Lösung); Vorschaubilder liefert der Anbieter über eigene Server aus. Beim Abspielen verarbeitet Google Verbindungsdaten als eigenständiger Verantwortlicher; die Praxis informiert ihre Patient:innen hierüber (die App-Datenschutzinformation enthält den entsprechenden Hinweis).
Der Anbieter haftet gegenüber der Praxis im Rahmen der gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die von ihr zu vertretenden Verstöße.
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Anbieter darf den Vertrag zur Anpassung an geänderte Rechtslage oder Leistungen ändern; die Praxis wird über eine neue Version informiert und bestätigt diese in der Anwendung. Es gilt deutsches Recht.
Siehe § 2 (Art und Zweck) und § 3 (Datenarten und Betroffene) dieses Vertrags.
| Unternehmen | Zweck | Ort | Garantie |
|---|---|---|---|
| Hostinger International Ltd. (Larnaca, Zypern) / Hostinger Operations UAB (Vilnius, Litauen) | Server-Hosting der Web-Anwendung (virtueller Server, Reverse-Proxy) | Rechenzentrum Frankfurt am Main, Deutschland (EU) | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
| Supabase, Inc. (USA) | Datenbank, Authentifizierung und Datei-Speicher (Anwendungsdaten, Anhänge, Videos) | Rechenzentrum Frankfurt am Main, Deutschland (EU-Region eu-central-1) | Auftragsverarbeitungsvertrag; Verarbeitung ausschließlich in der EU-Region; für etwaigen Support-Zugriff des Anbieters EU-Standardvertragsklauseln |
| Amazon Web Services EMEA SARL (AWS Bedrock, Modell Anthropic Claude) | KI-gestützte Funktionen (Übungsplan-Vorschläge, Antwortvorschläge, Übungstexte, Kontaktimport) | Region Frankfurt (eu-central-1), Deutschland (EU) | AWS Data Processing Addendum; keine Nutzung der Inhalte zum Modelltraining; keine Speicherung der Eingaben durch AWS über die Verarbeitung hinaus |
| Resend, Inc. (USA) | Versand transaktionaler E-Mails (Einladungen, Erinnerungen, Benachrichtigungen) | USA | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Inhalte der Erinnerungs-Mails an Patient:innen enthalten keine Gesundheitsinformationen |
| Stripe Payments Europe, Ltd. (Irland) / Stripe, Inc. (USA) | Zahlungsabwicklung und Rechnungsstellung für das Abonnement der Praxis (keine Patientendaten) | Irland (EU) / USA | EU-Standardvertragsklauseln, EU-U.S. Data Privacy Framework |
Dieses Dokument entspricht der Fassung, die Praxen im Onboarding von Wellnerapy elektronisch annehmen (Art. 28 Abs. 9 DSGVO). Zeitpunkt der Annahme und angenommene Version werden im Praxis-Konto gespeichert.