← ki-abrechnungshilfe.de

Vertrag zur Auftragsverarbeitung

Nach Art. 28 DSGVO · Fassung 2026-08-26

Dieser Vertrag wird zwischen dem Kunden (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO) und der Nexari GmbH, Im Zollhafen 12, 50678 Köln (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO) geschlossen. Er ergänzt die Allgemeinen Geschäftsbedingungen und gilt für deren gesamte Laufzeit.

§ 1 Gegenstand und Dauer

  1. Gegenstand der Verarbeitung ist die Bereitstellung der Software „KI Abrechnungshilfe" zur Erkennung diktierter Behandlungstexte und zur Ermittlung von Abrechnungsziffern.
  2. Die Verarbeitung dauert so lange wie der zugrunde liegende Hauptvertrag. Endet dieser, endet auch dieser Vertrag.
  3. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich.

§ 2 Art, Zweck und Umfang der Verarbeitung

ZweckSpracherkennung, Vorschlag von Abrechnungsziffern, Erstellung von Rechnungsentwürfen und Auswertungen für die Praxis
Art der VerarbeitungErheben, Speichern, Auslesen, Verwenden, Übermitteln an den in § 6 genannten Unterauftragsverarbeiter, Löschen
Betroffene PersonenBeschäftigte des Verantwortlichen (Nutzerkonten) sowie, soweit der Verantwortliche solche Angaben eingibt, Patientinnen und Patienten
DatenartenKontaktdaten und Anmeldedaten der Nutzerkonten; diktierte oder eingegebene Behandlungstexte; von der Praxis vergebene pseudonyme Patientennummern; freiwillig hochgeladene, anonymisierte Rechnungsdokumente
Besondere KategorienBehandlungstexte können Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO enthalten. Der Verantwortliche gibt keine Angaben ein, die eine Patientin oder einen Patienten identifizieren, insbesondere keine Namen und Geburtsdaten.

§ 3 Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die vollständige Weisung dar; weitere Weisungen erteilt der Verantwortliche in Textform.
  2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
  3. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Zur Verbesserung der Software verwendet der Auftragsverarbeiter ausschließlich anonymisierte oder aggregierte Daten, die keinen Bezug zu einer bestimmbaren Person mehr zulassen.

§ 4 Vertraulichkeit

  1. Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind.
  2. Der Auftragsverarbeiter ist sich bewusst, dass die verarbeiteten Daten der ärztlichen Schweigepflicht nach § 203 StGB unterliegen können, und verpflichtet die eingesetzten Personen entsprechend.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der derzeitige Stand:

ZutrittskontrolleBetrieb in einem Rechenzentrum in Deutschland mit Zutrittsschutz
ZugangskontrollePersönliche Konten, Passwörter nur als Hash gespeichert, Sitzungen mit Ablauf, verschlüsselte Übertragung (TLS, HSTS)
ZugriffskontrolleRollentrennung zwischen Praxis- und Verwaltungskonten, Trennung der Daten nach Praxis, Zugriff auf Behandlungstexte durch Verwaltungskonten wird protokolliert
WeitergabekontrolleÜbertragung ausschließlich verschlüsselt, Bankverbindungen verschlüsselt gespeichert
EingabekontrolleProtokollierung verändernder Vorgänge in der Verwaltung mit Person, Zeitpunkt und Objekt, Aufbewahrung 365 Tage
VerfügbarkeitRegelmäßige Sicherungen, Wiederherstellung geprüft
TrennungskontrolleGetrennte Datenbestände je Praxis, getrennte Umgebungen für Betrieb und Entwicklung
ÜberprüfungRegelmäßige Sicherheitsprüfungen der Anwendung, Behebung erkannter Schwachstellen

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

  1. Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu:
UnternehmenLeistungOrt
Anthropic PBC, San Francisco, USA Auswertung des erkannten Behandlungstextes zur Ermittlung der Abrechnungsziffern (Claude-Schnittstelle) Verarbeitung auf Grundlage der EU-Standardvertragsklauseln
Lettermint B.V., Niederlande Versand von System- und Vertrags-E-Mails Europäische Union
Cloudflare Germany GmbH Schutz vor Angriffen, Auslieferung der Website Europäische Union
  1. Der Auftragsverarbeiter teilt jeden beabsichtigten Wechsel oder jede Hinzunahme mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall darf er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
  2. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die diesem Vertrag entsprechen.
  3. Die Spracherkennung diktierter Aufnahmen läuft auf eigenen Servern des Auftragsverarbeiters in Deutschland. Audioaufnahmen werden an keinen Unterauftragsverarbeiter übermittelt.

§ 7 Unterstützungspflichten

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO.
  2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich weiter.
  3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit ihm die erforderlichen Angaben vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform.
  2. Die Meldung beschreibt die Art der Verletzung, die betroffenen Datenarten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.
  3. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

§ 9 Nachweise und Kontrollen

  1. Der Auftragsverarbeiter weist die Einhaltung dieses Vertrages auf Anforderung in Textform nach, insbesondere durch aktuelle Angaben zu den Maßnahmen nach § 5.
  2. Der Verantwortliche darf sich nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten vom Stand der Maßnahmen überzeugen. Beide Seiten stimmen den Umfang so ab, dass der Betrieb nicht beeinträchtigt wird und Daten anderer Kunden geschützt bleiben.
  3. Für Kontrollen, die über den Aufwand einer Auskunft in Textform hinausgehen und nicht durch einen konkreten Anlass veranlasst sind, darf der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 10 Löschung und Rückgabe

  1. Nach Ende des Hauptvertrages stellt der Auftragsverarbeiter die Daten für 30 Tage zum Abruf bereit.
  2. Danach löscht er die Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
  3. Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen gelöscht, spätestens nach 90 Tagen.
  4. Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.

§ 11 Schlussbestimmungen

  1. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten geht.
  2. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
  3. Es gilt deutsches Recht.

Siehe auch: Allgemeine Geschäftsbedingungen · Datenschutzerklärung · Impressum