Auftragsverarbeitungsvertrag (AVV)
Art. 28 DSGVO — ENTWURF für Kliniken
Parteien
Verantwortliche: die Praxis bzw. Klinik, die DocPilot AI einsetzt.
Auftragsverarbeiter: Artificians (Einzelunternehmen), Korsörer Str. 12, 10437 Berlin, Deutschland.
Gegenstand und Dauer
Bereitstellung einer Software zur Online-Terminbuchung mit KI-gestütztem Chat-Assistenten. Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrages.
Art der Daten und Kreis der Betroffenen
Betroffene: Patientinnen und Patienten der Praxis sowie deren Beschäftigte als Nutzerinnen und Nutzer der Anwendung.
Datenarten: Name, Telefonnummer, E-Mail-Adresse, Notizen, Termindaten sowie frei formulierte Chat-Nachrichten, die Gesundheitsdaten im Sinne des Art. 9 DSGVO enthalten können.
Unterauftragsverarbeiter
Die Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Anbieter | Zweck | Ort |
|---|---|---|
| Supabase (Supabase Inc.) | Datenbank, Authentifizierung und Storage. Speichert Kliniken, Benutzerkonten, Termine, Patientenstammdaten und Chat-Verläufe. | AWS ap-southeast-1 (Singapur)Drittland |
| Anthropic (Anthropic PBC) | KI-gestützte Beantwortung von Patientenanfragen im Buchungs-Widget. Die Nachricht der Patientin oder des Patienten wird zur Erzeugung der Antwort an die Claude-API übermittelt. | USADrittland |
| Resend (Resend, Inc.) | Versand von Transaktions-E-Mails: Terminbestätigungen an Patientinnen und Patienten sowie Benachrichtigungen an die Klinik. | USADrittland |
| Hostinger (VPS) | Hosting der Anwendung; Verarbeitung von Server-Logdaten. | Deutschland/EU |
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Derzeit umgesetzt:
- Transportverschlüsselung (TLS) für alle Verbindungen
- Verschlüsselung der Daten im Ruhezustand durch den Datenbankanbieter
- Mandantentrennung über Row Level Security je Klinik
- Rollenbasierte Zugriffskontrolle; Administrationsbereich gesondert geschützt
- Protokollierung administrativer Änderungen im Audit-Log
- Keine Patientenkennzeichen in den Anwendungsprotokollen
Weitere zu regelnde Pflichten
- Weisungsbindung und Dokumentation der Weisungen
- Vertraulichkeitsverpflichtung der eingesetzten Personen
- Unterstützung bei Betroffenenrechten (Art. 12 bis 23 DSGVO)
- Meldung von Datenschutzverletzungen an die Verantwortliche
- Kontroll- und Auditrechte der Verantwortlichen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Standardvertragsklauseln für die Drittlandtransfers