Vertrag zur Auftragsverarbeitung

Auftragsverarbeiter: Coding Brothers UG (haftungsbeschränkt), Ottstr. 9, 76744 Wörth am Rhein, vertreten durch die Geschäftsführer Carsten Hater und Jürgen Ertel — nachfolgend „Auftragsverarbeiter“.

Verantwortlicher: Die Praxis, die HeilpraxisOS nutzt (Praxisinhaberin bzw. Praxisinhaber laut Registrierung) — nachfolgend „Verantwortlicher“.

Gegenstand dieses Vertrags ist die Bereitstellung der Praxissoftware HeilpraxisOS als Onlinedienst (Software as a Service) durch den Auftragsverarbeiter für den Verantwortlichen. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags über HeilpraxisOS. Endet der Nutzungsvertrag, endet auch dieser Vertrag; die Pflichten zur Löschung und Rückgabe nach Abschnitt 11 bleiben davon unberührt.

Die Verarbeitung dient ausschließlich dem Betrieb der Praxisverwaltung des Verantwortlichen: Verwaltung von Patientenstammdaten, Terminplanung, Behandlungsdokumentation, Anamnese, Rechnungsstellung, Aufgaben, Kommunikation mit Patientinnen und Patienten, Patientenportal sowie den optionalen Zusatzfunktionen (zum Beispiel Videosprechstunde, KI-gestützte Entwürfe, Online-Zahlung).

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Verändern, Abfragen, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Sichern, Exportieren und Löschen dieser Daten. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke, insbesondere nicht zu Werbe- oder Analysezwecken und nicht zum Training von KI-Modellen.

Verarbeitet werden Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten, Versicherungsart), Termin- und Abrechnungsdaten, Kommunikationsdaten sowie Zugangs- und Protokolldaten der Nutzerinnen und Nutzer der Praxis.

Verarbeitet werden ferner Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO, insbesondere Anamnesen, Behandlungsnotizen, Diagnosen, Befunde, Laborwerte, Therapiepläne, Fotos und hochgeladene Dokumente. Der Verantwortliche stellt sicher, dass für die Verarbeitung dieser besonderen Kategorien eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt, in der Regel Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG oder eine ausdrückliche Einwilligung.

Betroffen sind Patientinnen und Patienten des Verantwortlichen einschließlich deren Kontakt- und Notfallpersonen, die Mitglieder des Praxisteams (Inhaber, Behandler, Assistenz, Abrechnung) sowie sonstige Personen, deren Daten der Verantwortliche in HeilpraxisOS erfasst, etwa Ansprechpartner von Versicherern oder Überweisern.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen von HeilpraxisOS durch den Verantwortlichen und seine Nutzerinnen und Nutzer gilt als Weisung; darüber hinausgehende Weisungen sind in Textform (zum Beispiel per E-Mail) zu erteilen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen. Weisungen, die den Funktionsumfang von HeilpraxisOS überschreiten, können als kostenpflichtige Zusatzleistung vereinbart werden.

Der Auftragsverarbeiter ist zur Verarbeitung ohne Weisung verpflichtet, wenn er durch das Recht der Europäischen Union oder eines Mitgliedstaats dazu verpflichtet ist. In diesem Fall informiert er den Verantwortlichen vor der Verarbeitung, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter gewährleistet, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Zugriff von Mitarbeitenden des Auftragsverarbeiters auf Daten des Verantwortlichen (Support-Zugriff) erfolgt nur, soweit dies zur Fehlerbehebung oder auf ausdrückliche Bitte des Verantwortlichen erforderlich ist, und wird protokolliert. Ein Zugriff auf Behandlungsinhalte findet ohne ausdrückliche Freigabe des Verantwortlichen nicht statt.

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten der betroffenen Personen ein dem Risiko angemessenes Schutzniveau gewährleisten.

Die zum Vertragsschluss geltenden Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen“ beschrieben, die unter heilpraxisos.de/sicherheit veröffentlicht ist. Dazu gehören insbesondere: Betrieb von Anwendung, Datenbank und Dateispeicher in Frankfurt am Main, Verschlüsselung der Übertragung (TLS) und der Speicherung, Mandantentrennung auf Datenbankebene, rollenbasierte Zugriffsrechte, Zwei-Faktor-Authentifizierung, Protokollierung sicherheitsrelevanter Vorgänge, Ratenbegrenzung an sensiblen Schnittstellen sowie regelmäßige Sicherungen.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden auf der genannten Seite dokumentiert.

Die aktuelle Fassung der Maßnahmen finden Sie im Sicherheitszentrum.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in der Anlage „Unterauftragsverarbeiter“ aufgeführten weiteren Auftragsverarbeiter einzusetzen. Die Anlage ist Bestandteil dieses Vertrags und unter heilpraxisos.de/avv sowie heilpraxisos.de/sicherheit jeweils in ihrer aktuellen Fassung abrufbar.

Beabsichtigt der Auftragsverarbeiter, einen neuen Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vor der Änderung in Textform (per E-Mail an die hinterlegte Adresse des Praxisinhabers). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, kann jede Partei den Nutzungsvertrag mit Wirkung zum Zeitpunkt der Änderung kündigen.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diesem Vertrag. Bei Unterauftragsverarbeitern in Drittländern stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher, insbesondere über einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework) oder EU-Standardvertragsklauseln.

Optionale Dienste (SMS, Videosprechstunde, KI-Funktionen, Transkription, Online-Zahlung) werden nur eingesetzt, wenn der Verantwortliche die jeweilige Funktion in HeilpraxisOS aktiviert. Ohne Aktivierung werden keine Daten an den betreffenden Unterauftragsverarbeiter übermittelt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO nachzukommen. HeilpraxisOS stellt dafür insbesondere den vollständigen Export der Daten einer Patientin oder eines Patienten (Art. 15 und 20 DSGVO), die Berichtigung von Stammdaten und die Löschung einzelner Patientenakten als Funktionen bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche hat ihn dazu angewiesen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, meldet er dies dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, damit der Verantwortliche seine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) erfüllen kann. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Datenkategorien und Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

Der Verantwortliche kann seine Daten jederzeit während der Vertragslaufzeit selbst exportieren, Patientenakten einzeln in einem maschinenlesbaren Format (Art. 20 DSGVO) und Rechnungs- sowie Kassenbuchdaten als CSV- oder DATEV-Export.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich hochgeladener Dateien unwiderruflich, sobald der Verantwortliche die Löschung des Praxiskontos in HeilpraxisOS auslöst, spätestens jedoch 90 Tage nach Vertragsende. Die Löschung über die Kontofunktion erfasst sämtliche Datenbanktabellen, den Dateispeicher und das Nutzerkonto beim Anmeldedienst.

Gesetzliche Aufbewahrungspflichten, denen der Auftragsverarbeiter selbst unterliegt (zum Beispiel für Rechnungsdaten des Abonnements), bleiben unberührt. Daten in Sicherungskopien werden mit dem regulären Sicherungszyklus, spätestens nach 30 Tagen, überschrieben. Der Verantwortliche ist selbst dafür verantwortlich, seinen berufsrechtlichen Aufbewahrungspflichten durch rechtzeitigen Export nachzukommen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Dazu gehören insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und auf Anfrage vorliegende Zertifizierungen oder Prüfberichte der eingesetzten Infrastrukturanbieter.

Der Verantwortliche kann Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, auf das Erforderliche zu beschränken und so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters und die Daten anderer Praxen nicht beeinträchtigt werden. Der Auftragsverarbeiter kann für den Aufwand, der über die Bereitstellung vorhandener Unterlagen hinausgeht, eine angemessene Vergütung verlangen.

Für die Haftung der Parteien gelten Art. 82 DSGVO und die Haftungsregelungen des Nutzungsvertrags (Allgemeine Geschäftsbedingungen). Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen nur für Schäden, die durch eine Verarbeitung entstanden sind, bei der er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder entgegen rechtmäßig erteilten Weisungen gehandelt hat.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Datenschutz betreffen. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Stand 24.09.2026. Mit „optional“ gekennzeichnete Anbieter werden nur beteiligt, wenn Ihre Praxis die jeweilige Funktion aktiviert.

Die verlinkten Dokumente sind die Auftragsverarbeitungsbedingungen der jeweiligen Anbieter. Änderungen an dieser Liste kündigen wir 30 Tage im Voraus an (§ 8).

Der Vertrag gilt mit Annahme der Allgemeinen Geschäftsbedingungen bei der Registrierung als geschlossen. Benötigen Sie ein gegengezeichnetes Exemplar für Ihre Unterlagen, laden Sie das PDF herunter, unterschreiben es und senden es an info@codingbrothers.de — Sie erhalten es gegengezeichnet zurück.

AVV als PDF herunterladen · Fragen zum Datenschutz beantworten wir über das Kontaktformular.