Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO · Fassung 2026-08-26
Dieser Vertrag wird zwischen dem Kunden (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) und der Nexari GmbH, Im Zollhafen 12, 50678 Köln (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO) geschlossen. Er ergänzt die Allgemeinen Geschäftsbedingungen und gilt für deren gesamte Laufzeit.
§ 1 Gegenstand und Dauer
- Gegenstand der Verarbeitung ist die Bereitstellung der Software „KI Abrechnungshilfe" zur Erkennung diktierter Behandlungstexte und zur Ermittlung von Abrechnungsziffern.
- Die Verarbeitung dauert so lange wie der zugrunde liegende Hauptvertrag. Endet dieser, endet auch dieser Vertrag.
- Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich.
§ 2 Art, Zweck und Umfang der Verarbeitung
| Zweck | Spracherkennung, Vorschlag von Abrechnungsziffern, Erstellung von Rechnungsentwürfen und Auswertungen für die Praxis |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Auslesen, Verwenden, Übermitteln an den in § 6 genannten Unterauftragsverarbeiter, Löschen |
| Betroffene Personen | Beschäftigte des Verantwortlichen (Nutzerkonten) sowie, soweit der Verantwortliche solche Angaben eingibt, Patientinnen und Patienten |
| Datenarten | Kontaktdaten und Anmeldedaten der Nutzerkonten; diktierte oder eingegebene Behandlungstexte; von der Praxis vergebene pseudonyme Patientennummern; freiwillig hochgeladene, anonymisierte Rechnungsdokumente |
| Besondere Kategorien | Behandlungstexte können Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO enthalten. Der Verantwortliche gibt keine Angaben ein, die eine Patientin oder einen Patienten identifizieren, insbesondere keine Namen und Geburtsdaten. |
§ 3 Weisungen
- Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die vollständige Weisung dar; weitere Weisungen erteilt der Verantwortliche in Textform.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
- Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Zur Verbesserung der Software verwendet der Auftragsverarbeiter ausschließlich anonymisierte oder aggregierte Daten, die keinen Bezug zu einer bestimmbaren Person mehr zulassen.
§ 4 Vertraulichkeit
- Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind.
- Der Auftragsverarbeiter ist sich bewusst, dass die verarbeiteten Daten der ärztlichen Schweigepflicht nach § 203 StGB unterliegen können, und verpflichtet die eingesetzten Personen entsprechend.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der derzeitige Stand:
| Zutrittskontrolle | Betrieb in einem Rechenzentrum in Deutschland mit Zutrittsschutz |
|---|---|
| Zugangskontrolle | Persönliche Konten, Passwörter nur als Hash gespeichert, Sitzungen mit Ablauf, verschlüsselte Übertragung (TLS, HSTS) |
| Zugriffskontrolle | Rollentrennung zwischen Praxis- und Verwaltungskonten, Trennung der Daten nach Praxis, Zugriff auf Behandlungstexte durch Verwaltungskonten wird protokolliert |
| Weitergabekontrolle | Übertragung ausschließlich verschlüsselt, Bankverbindungen verschlüsselt gespeichert |
| Eingabekontrolle | Protokollierung verändernder Vorgänge in der Verwaltung mit Person, Zeitpunkt und Objekt, Aufbewahrung 365 Tage |
| Verfügbarkeit | Regelmäßige Sicherungen, Wiederherstellung geprüft |
| Trennungskontrolle | Getrennte Datenbestände je Praxis, getrennte Umgebungen für Betrieb und Entwicklung |
| Überprüfung | Regelmäßige Sicherheitsprüfungen der Anwendung, Behebung erkannter Schwachstellen |
Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
- Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Anthropic PBC, San Francisco, USA | Auswertung des erkannten Behandlungstextes zur Ermittlung der Abrechnungsziffern (Claude-Schnittstelle) | Verarbeitung auf Grundlage der EU-Standardvertragsklauseln |
| Lettermint B.V., Niederlande | Versand von System- und Vertrags-E-Mails | Europäische Union |
| Cloudflare Germany GmbH | Schutz vor Angriffen, Auslieferung der Website | Europäische Union |
- Der Auftragsverarbeiter teilt jeden beabsichtigten Wechsel oder jede Hinzunahme mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall darf er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
- Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen.
- Die Spracherkennung diktierter Aufnahmen läuft auf eigenen Servern des Auftragsverarbeiters in Deutschland. Audioaufnahmen werden an keinen Unterauftragsverarbeiter übermittelt.
§ 7 Unterstützungspflichten
- Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO.
- Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich weiter.
- Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit ihm die erforderlichen Angaben vorliegen.
§ 8 Verletzungen des Schutzes personenbezogener Daten
- Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.
- Die Meldung beschreibt die Art der Verletzung, die betroffenen Datenarten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.
- Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.
§ 9 Nachweise und Kontrollen
- Der Auftragsverarbeiter weist die Einhaltung dieses Vertrages auf Anforderung in Textform nach, insbesondere durch aktuelle Angaben zu den Maßnahmen nach § 5.
- Der Verantwortliche darf sich nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten vom Stand der Maßnahmen überzeugen. Beide Seiten stimmen den Umfang so ab, dass der Betrieb nicht beeinträchtigt wird und Daten anderer Kunden geschützt bleiben.
- Für Kontrollen, die über den Aufwand einer Auskunft in Textform hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, darf der Auftragsverarbeiter eine angemessene Vergütung verlangen.
§ 10 Löschung und Rückgabe
- Nach Ende des Hauptvertrages stellt der Auftragsverarbeiter die Daten für 30 Tage zum Abruf bereit.
- Danach löscht er die Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen gelöscht, spätestens nach 90 Tagen.
- Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.
§ 11 Schlussbestimmungen
- Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten geht.
- Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
- Es gilt deutsches Recht.
Siehe auch: Allgemeine Geschäftsbedingungen · Datenschutzerklärung · Impressum