Da Wellnerapy personenbezogene Daten deiner Patient:innen in deinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag vor. Bitte lies ihn und bestätige unten. Du bist der oder die Verantwortliche, Hayek Digital Consulting, Inhaber: Timm Vincent Hayek ist Auftragsverarbeiter.
§ 1 Gegenstand, Dauer und Rangverhältnis
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus der Nutzung von Wellnerapy. Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter (Hayek Digital Consulting, „Anbieter“) personenbezogene Daten im Auftrag des Verantwortlichen (die nutzende Praxis bzw. Einrichtung, „Praxis“) verarbeitet.
Der Vertrag wird mit der Annahme im Onboarding wirksam und läuft für die Dauer des Nutzungsverhältnisses (einschließlich Testphase). Er endet mit dessen Beendigung; die Pflichten zur Löschung und Rückgabe (§ 10) sowie zur Vertraulichkeit bestehen fort.
Bestandteil dieses Vertrags sind die Anlagen: Anlage 1 (Beschreibung der Verarbeitung, §§ 2–3), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Unterauftragsverarbeiter). Bei Widersprüchen geht dieser Vertrag den allgemeinen Nutzungsbedingungen vor.
§ 2 Art und Zweck der Verarbeitung
Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der vereinbarten Leistungen: Verwaltung von Patient:innen, Erstellung und Zuweisung von Übungs- und Gewohnheitsplänen, Erfassung von Check-ins, Fortschritten und Wohlbefindensangaben, sichere Kommunikation zwischen Praxis und Patient:innen einschließlich Datei- und Videoanhängen, Versand von Erinnerungen und Benachrichtigungen sowie KI-gestützte Vorschlagsfunktionen (§ 8).
Eine Verarbeitung zu anderen Zwecken findet nicht statt. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Praxis, sofern er nicht nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet ist; in diesem Fall teilt er der Praxis die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.
Die Nutzung der Anwendung durch die Praxis (z. B. Anlegen von Patient:innen, Zuweisen von Plänen) gilt als Weisung. Weitergehende Weisungen erteilt die Praxis in Textform an die in § 4 genannte Kontaktadresse.
§ 3 Art der Daten und Kreis der Betroffenen
Verarbeitet werden insbesondere: Stammdaten (Name, E-Mail-Adresse, Konto- und Anmeldedaten), Plan- und Übungsdaten, Check-in- und Fortschrittsdaten (u. a. erledigte Übungen, Schmerz- und Belastungsangaben, Wohlbefinden/Stimmung, Therapietreue), Nachrichteninhalte, Datei- und Videoanhänge (einschließlich Videoaufnahmen der Übungsausführung) sowie technische Nutzungsdaten.
Ein wesentlicher Teil dieser Daten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Die Praxis stellt sicher, dass eine Rechtsgrundlage für deren Verarbeitung besteht (insbesondere ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder Behandlungszweck nach Art. 9 Abs. 2 lit. h DSGVO) und holt bei Minderjährigen die Einwilligung der Sorgeberechtigten ein.
Betroffene Personen sind die Patient:innen der Praxis sowie die Mitarbeitenden der Praxis, die die Anwendung nutzen.
§ 4 Pflichten des Anbieters, Vertraulichkeit und § 203 StGB
Der Anbieter verarbeitet Daten ausschließlich im Rahmen der Weisungen der Praxis. Hält er eine Weisung für rechtswidrig, informiert er die Praxis unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit; die Verpflichtung besteht nach Ende der Tätigkeit fort.
Die Praxis ist als Angehörige eines Heilberufs regelmäßig Berufsgeheimnisträgerin im Sinne des § 203 StGB. Der Anbieter wird als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 und 4 StGB tätig. Er verpflichtet sich zur Geheimhaltung der ihm bekannt werdenden Geheimnisse, wurde über die Strafbarkeit einer unbefugten Offenbarung nach § 203 Abs. 4 StGB belehrt und verpflichtet seine Mitarbeitenden sowie Unterauftragsverarbeiter, die Zugang zu Geheimnissen erhalten können, in gleicher Weise. Er nimmt Geheimnisse nur zur Kenntnis, soweit dies zur Leistungserbringung erforderlich ist.
Der Anbieter unterstützt die Praxis mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung (Art. 32), bei Datenschutz-Folgenabschätzungen (Art. 35) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36). Anfragen betroffener Personen, die direkt beim Anbieter eingehen, leitet er unverzüglich an die Praxis weiter.
Der Anbieter benennt als datenschutzrechtliche Kontaktstelle: datenschutz@wellnerapy.com. Die Praxis benennt im Praxis-Konto eine verantwortliche Ansprechperson.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält diese auf dem Stand der Technik. Dazu gehören insbesondere: verschlüsselte Übertragung und Speicherung, rollenbasierte Berechtigungen, Mandantentrennung je Praxis auf Datenbankebene (Row-Level-Security), abgesicherter Datei-Speicher mit serverseitiger Berechtigungsprüfung, Upload-Prüfung, regelmäßige Sicherungen, Protokollierung von Support-Zugriffen sowie der Betrieb ausschließlich in Rechenzentren in Frankfurt am Main.
Die Maßnahmen dürfen weiterentwickelt werden, soweit das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Anbieter der Praxis mit.
§ 6 Unterauftragsverarbeiter und Verarbeitungsort
Die Praxis genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Der Anbieter schließt mit ihnen Verträge, die ihnen dieselben Datenschutzpflichten auferlegen, die für ihn nach diesem Vertrag gelten, und überprüft die Einhaltung.
Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der EU (Frankfurt am Main). Soweit die in Anlage 3 genannten Unterauftragsverarbeiter Resend (E-Mail-Versand) und Stripe (Abrechnung der Praxis, keine Patientendaten) Daten in den USA verarbeiten, geschieht dies auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-Standardvertragsklauseln und, soweit zertifiziert, EU-U.S. Data Privacy Framework). Erinnerungs-E-Mails an Patient:innen enthalten keine Gesundheitsinformationen.
Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er die Praxis mindestens vier Wochen vorab in Textform (E-Mail an die Praxis-Administration und Hinweis in der Anwendung). Die Praxis kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, steht der Praxis ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.
§ 7 Support-Zugriff des Anbieters
Der Anbieter greift auf Daten der Praxis nur zu, soweit dies zur Fehleranalyse, zur Unterstützung auf Anforderung der Praxis oder zur Abwehr von Sicherheitsvorfällen erforderlich ist. Ein Zugriff über die Oberfläche des Praxis-Kontos (Support-Modus) wird vollständig protokolliert (Zeitpunkt, handelnde Person, betroffene Praxis, Anlass) und der Praxis auf Anfrage offengelegt.
Der Anbieter nimmt dabei ausschließlich die Daten zur Kenntnis, die für den jeweiligen Anlass erforderlich sind, und speichert keine Kopien außerhalb der Anwendung.
§ 8 KI-gestützte Funktionen und Protokolle
Zur Bereitstellung der KI-Funktionen (Übungsplan-Vorschläge, Antwortvorschläge für Nachrichten, Ergänzung von Übungsbeschreibungen, Strukturierung von Kontaktdaten beim Import) übermittelt der Anbieter die jeweils erforderlichen Inhalte an Amazon Web Services (AWS Bedrock, Region Frankfurt) zur Verarbeitung durch ein Sprachmodell. Die Inhalte werden nicht zum Training von KI-Modellen verwendet und von AWS nicht über die Verarbeitung hinaus gespeichert.
Die KI erstellt ausschließlich Vorschläge. Fachliche und therapeutische Entscheidungen trifft ausschließlich die Praxis. Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt.
Zur Qualitätssicherung und Fehleranalyse speichert der Anbieter die an die KI übermittelten Eingaben und die erzeugten Vorschläge für 90 Tage; danach werden sie automatisch gelöscht. Zugriff hat ausschließlich die Plattform-Administration des Anbieters; eine Nutzung zu anderen Zwecken ist ausgeschlossen.
§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Anbieter meldet der Praxis Verletzungen des Schutzes personenbezogener Daten, die Daten der Praxis betreffen, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, an die Praxis-Administration. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.
Der Anbieter unterstützt die Praxis bei der Erfüllung ihrer Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert Vorfälle einschließlich der getroffenen Abhilfemaßnahmen.
§ 10 Löschung, Rückgabe und Export
Die Praxis kann Patient:innen samt ihrer Daten jederzeit selbst über die Anwendung löschen und ihre Daten (Patient:innen, Pläne, Check-ins, Nachrichten) in einem maschinenlesbaren Format exportieren.
Nach Beendigung des Nutzungsverhältnisses löscht der Anbieter sämtliche im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern die Praxis nicht vorher einen Export vorgenommen oder eine Rückgabe verlangt hat und keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im regulären Sicherungszyklus, spätestens 30 Tage nach der Löschung, überschrieben. Datei-Anhänge und Videos werden unabhängig davon 30 Tage nach dem Hochladen automatisch gelöscht.
Die Löschung wird auf Verlangen schriftlich bestätigt.
§ 11 Nachweis und Kontrollrechte
Der Anbieter stellt der Praxis alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere diesen Vertrag samt Anlagen, Beschreibungen der Maßnahmen und vorhandene Zertifizierungen bzw. Berichte der Rechenzentrumsbetreiber.
Die Praxis oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung nach angemessener Ankündigung (in der Regel vier Wochen) während der üblichen Geschäftszeiten und ohne Störung des Betriebs überprüfen. Der Anbieter darf verlangen, dass zunächst vorhandene Nachweise verwendet werden.
§ 12 Eingebettete Inhalte Dritter
Die Übungsbibliothek enthält Videos, die über YouTube (Google) eingebettet sind. Diese werden im datenschutzfreundlichen Modus und erst nach aktiver Zustimmung der Patientin bzw. des Patienten geladen (Zwei-Klick-Lösung); Vorschaubilder liefert der Anbieter über eigene Server aus. Beim Abspielen verarbeitet Google Verbindungsdaten als eigenständiger Verantwortlicher; die Praxis informiert ihre Patient:innen hierüber (die App-Datenschutzinformation enthält den entsprechenden Hinweis).
§ 13 Schlussbestimmungen
Der Anbieter haftet gegenüber der Praxis im Rahmen der gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die von ihr zu vertretenden Verstöße.
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Anbieter darf den Vertrag zur Anpassung an geänderte Rechtslage oder Leistungen ändern; die Praxis wird über eine neue Version informiert und bestätigt diese in der Anwendung. Es gilt deutsches Recht.
Anlage 2: Technische und organisatorische Maßnahmen
Zutritts- und Zugangskontrolle (Infrastruktur)
- Betrieb ausschließlich in zertifizierten Rechenzentren in Frankfurt am Main (Hostinger, Supabase, AWS) mit physischer Zutrittskontrolle durch den jeweiligen Betreiber.
- Administrativer Zugriff auf Server nur über SSH mit Schlüssel-Authentifizierung; kein Passwort-Login; Zugriff auf einen benannten Personenkreis beschränkt.
- Zugriff auf Datenbank, Speicher und Dienstleister-Konsolen nur mit personalisierten Konten und Zwei-Faktor-Authentifizierung.
Zugriffskontrolle (Anwendung)
- Rollenbasiertes Berechtigungskonzept (Patient:in, Behandler:in, Praxis-Administration, Plattform-Administration) nach dem Prinzip der minimalen Rechte.
- Mandantentrennung auf Datenbankebene durch Row-Level-Security: Jede Abfrage ist technisch auf die eigene Praxis begrenzt; Patient:innen sehen ausschließlich eigene Daten.
- Authentifizierung über Supabase Auth; Passwörter werden ausschließlich gehasht gespeichert; sichere, kurzlebige Sitzungen.
- Datei-Anhänge und Videos liegen in einem nicht öffentlichen Speicher; Auslieferung nur nach serverseitiger Berechtigungsprüfung.
Weitergabe- und Transportkontrolle
- Verschlüsselte Übertragung aller Daten (TLS 1.2+/HTTPS), HSTS.
- Verschlüsselte Speicherung der Datenbank und des Datei-Speichers (AES-256 at rest) durch den Rechenzentrumsbetreiber.
- Schriftarten und Video-Vorschaubilder werden über den eigenen Server ausgeliefert, sodass Endgeräte der Nutzer:innen keine Verbindung zu Drittservern aufbauen müssen.
- Serverseitige Prüfung aller Uploads (Dateityp-Allowlist, Prüfung der Dateisignatur, Größenlimits); ausführbare und aktive Inhalte werden abgelehnt.
Eingabe- und Auftragskontrolle
- Änderungen an Patientendaten sind der handelnden Praxis bzw. Person zugeordnet (Zeitstempel, Urheber).
- Zugriffe des Anbieters auf Praxis-Konten zu Support-Zwecken werden protokolliert (Zeitpunkt, handelnde Person, betroffene Praxis, Anlass).
- Verarbeitung ausschließlich auf dokumentierte Weisung; Unterauftragsverarbeiter sind vertraglich gebunden (Anlage 3).
Verfügbarkeits- und Belastbarkeitskontrolle
- Tägliche automatisierte Sicherungen der Datenbank durch den Datenbankbetreiber mit zeitlich begrenzter Aufbewahrung; Wiederherstellung getestet.
- Schutz vor Überlastung durch Rate-Limits am Reverse-Proxy und in sicherheitskritischen Endpunkten.
- Trennung von Produktion und Entwicklung; keine Produktivdaten in Entwicklungsumgebungen.
Trennungskontrolle
- Logische Mandantentrennung je Praxis auf Datenbankebene (Row-Level-Security) und im Datei-Speicher (praxis-/patientenbezogene Pfade).
- Zweckgebundene Verarbeitung; keine Zusammenführung von Daten verschiedener Praxen.
Löschung und Aufbewahrung
- Datei-Anhänge und Videos werden automatisch 30 Tage nach dem Hochladen gelöscht.
- Protokolle der KI-Funktionen werden nach 90 Tagen automatisch gelöscht.
- Die Praxis kann Patient:innen samt Daten jederzeit selbst löschen; nach Vertragsende Löschung innerhalb von 30 Tagen (Sicherungskopien im regulären Zyklus).
Organisation und Kontrolle
- Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit und nach § 203 StGB.
- Dokumentierter Prozess für Datenschutzverletzungen (Erkennung, Bewertung, Meldung an die Praxis innerhalb von 24 Stunden).
- Regelmäßige Überprüfung von Berechtigungen, Abhängigkeiten und Sicherheitskonfiguration; Sicherheitsupdates werden zeitnah eingespielt.
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), z. B. keine vorangekreuzten Einwilligungen, Zwei-Klick-Lösung für externe Inhalte.
Anlage 3: Unterauftragsverarbeiter
- Hostinger International Ltd. (Larnaca, Zypern) / Hostinger Operations UAB (Vilnius, Litauen) – Server-Hosting der Web-Anwendung (virtueller Server, Reverse-Proxy) (Rechenzentrum Frankfurt am Main, Deutschland (EU)) · Garantie: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
- Supabase, Inc. (USA) – Datenbank, Authentifizierung und Datei-Speicher (Anwendungsdaten, Anhänge, Videos) (Rechenzentrum Frankfurt am Main, Deutschland (EU-Region eu-central-1)) · Garantie: Auftragsverarbeitungsvertrag; Verarbeitung ausschließlich in der EU-Region; für etwaigen Support-Zugriff des Anbieters EU-Standardvertragsklauseln
- Amazon Web Services EMEA SARL (AWS Bedrock, Modell Anthropic Claude) – KI-gestützte Funktionen (Übungsplan-Vorschläge, Antwortvorschläge, Übungstexte, Kontaktimport) (Region Frankfurt (eu-central-1), Deutschland (EU)) · Garantie: AWS Data Processing Addendum; keine Nutzung der Inhalte zum Modelltraining; keine Speicherung der Eingaben durch AWS über die Verarbeitung hinaus
- Resend, Inc. (USA) – Versand transaktionaler E-Mails (Einladungen, Erinnerungen, Benachrichtigungen) (USA) · Garantie: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Inhalte der Erinnerungs-Mails an Patient:innen enthalten keine Gesundheitsinformationen
- Stripe Payments Europe, Ltd. (Irland) / Stripe, Inc. (USA) – Zahlungsabwicklung und Rechnungsstellung für das Abonnement der Praxis (keine Patientendaten) (Irland (EU) / USA) · Garantie: EU-Standardvertragsklauseln, EU-U.S. Data Privacy Framework
Eingebettete Inhalte Dritter
- YouTube / Google Ireland Ltd. (Google LLC, USA) – Übungsvideos der Bibliothek werden als eingebettete YouTube-Videos im datenschutzfreundlichen Modus (youtube-nocookie.com) bereitgestellt. Das Video wird erst geladen, nachdem die Patientin bzw. der Patient dem Abspielen aktiv zugestimmt hat (Zwei-Klick-Lösung); Vorschaubilder werden über den Server des Anbieters ausgeliefert. Beim Abspielen verarbeitet Google als eigenständiger Verantwortlicher Verbindungsdaten (u. a. IP-Adresse) nach seinen eigenen Datenschutzbestimmungen.
Stand: 21. September 2026 · Version 1.2 · Jederzeit abrufbar und druckbar unter app.wellnerapy.com/avv