← Zurück

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO

Vertragsparteien

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer zur Erstellung von Entwürfen der Dokumente für die Neukundenaufnahme im Rahmen der kostenfreien Testnutzung von Spido (Testnutzungsbedingungen).

(2) Der Vertrag beginnt mit seiner elektronischen Annahme bei der Einrichtung des Zugangs (Art. 28 Abs. 9 DSGVO). Er gilt für die Dauer der Testnutzung und endet mit der vollständigen Löschung der Daten nach § 7 oder mit ihrer Überführung in das Realsystem auf Wunsch des Auftraggebers.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Zweck: Erstellung von SIS, Maßnahmenplan, Beratungsprotokoll Risikoberatung, ausgefülltem Erstgespräch und interner Dokumentationsauswertung sowie die Verbesserung dieser Erstellung anhand der vom Auftraggeber hinterlegten finalen Fassungen und seiner Antworten (Testnutzungsbedingungen § 4). In Verbesserungen fließen nur Erkenntnisse und Regeln ohne Personenbezug ein.

(2) Art der Verarbeitung: Entgegennahme, Speicherung, Auslesen (auch mittels Texterkennung), Transkription von Gesprächsaufnahmen, automatisierte Auswertung mittels lokal betriebener Sprachmodelle, Erzeugung von Dokumenten, Bereitstellung an den Auftraggeber, Löschung.

(3) Kategorien betroffener Personen: Klientinnen und Klienten des Auftraggebers, deren Angehörige und Bezugspersonen, Mitarbeitende des Auftraggebers.

(4) Kategorien personenbezogener Daten: Stammdaten, Kontaktdaten, Angaben zur Pflege- und Versorgungssituation, Sprachaufnahmen – und damit besondere Kategorien nach Art. 9 Abs. 1 DSGVO (Gesundheitsdaten).

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung von Spido und dieser Vertrag stellen die Erstweisung dar.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.

§ 4 Pflichten des Auftragnehmers

(1) Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

(2) Sicherheit: Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Keine Cloud-Verarbeitung: Gesundheitsdaten, Aufnahmen, Transkripte und Zwischenprodukte werden ausschließlich auf Servern in Deutschland verarbeitet, die der Auftragnehmer selbst betreibt oder die ihm von den in Anlage 2 genannten Unterauftragsverarbeitern bereitgestellt werden. Eine Übermittlung an Anbieter von Cloud-Sprach- oder Sprachmodelldiensten findet nicht statt; ein Drittlandtransfer dieser Daten findet nicht statt.

(4) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen (Art. 12–23), bei der Sicherheit der Verarbeitung, bei Meldepflichten (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36).

(5) Meldung: Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(6) Nachweise: Der Auftragnehmer stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach Ankündigung mit angemessener Frist.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Weitere Unterauftragsverarbeiter teilt der Auftragnehmer vorab mit; der Auftraggeber kann innerhalb von 14 Tagen widersprechen.

(3) Unterauftragsverarbeiter werden auf gleichwertige Pflichten verpflichtet.

§ 6 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich.

(2) Er stellt sicher, dass die erforderlichen Einwilligungen vorliegen, für Gesprächsaufnahmen die Einwilligung aller Sprechenden (§ 201 StGB).

(3) Er informiert den Auftragnehmer unverzüglich über einen Widerruf; Spido löscht dann die betroffenen Aufnahmen und nimmt keine neuen an.

§ 7 Löschung und Rückgabe

(1) Gesprächsaufnahmen werden sieben Tage nach dem Hochladen automatisiert vom Speicher gelöscht. Das Transkript ist eine Unterlage des Falls und bleibt mit den übrigen Unterlagen verfügbar.

(2) Unterlagen, von Spido erstellte Dokumente und hinterlegte finale Fassungen bleiben für den Auftraggeber abrufbar, solange die Testnutzung besteht; er kann sie jederzeit exportieren und ihre Löschung verlangen.

(3) Mit dem Ende der Testnutzung werden sie gelöscht, spätestens drei Monate danach – es sei denn, der Auftraggeber hat die Überführung in das Realsystem gewünscht. In verschlüsselten Sicherungen bleiben Daten bis zum Ablauf ihrer Aufbewahrung (höchstens sechs Monate) enthalten.

(4) Ergibt sich, dass der Auftraggeber kein zugelassener Pflegedienst ist, werden sämtliche Daten unverzüglich gelöscht und der Auftraggeber hierüber informiert.

(5) Löschungen werden protokolliert.

§ 8 Haftung

Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Testnutzungsbedingungen.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Der Anwendungsserver steht in einem Rechenzentrum der netcup GmbH in Nürnberg; die physische Sicherheit stellt der Betreiber. Die Modellserver stehen in Deutschland.

Zugangskontrolle: Zugänge entstehen ausschließlich über eine Einladung. Passwörter werden als Argon2id-Hash gespeichert, Anmeldeversuche sind begrenzt, Sitzungen laufen serverseitig ab, ein zweiter Faktor steht jedem Zugang zur Verfügung. Administrativer Zugang nur mit kryptografischen Schlüsseln; der Betriebszugang ist auf feste Befehle begrenzt, keiner gibt Patientenwerte aus. Interne Dienste sind nur über ein VPN erreichbar.

Zugriffskontrolle: Jeder Pflegedienst sieht nur seine eigenen Patientinnen, Patienten und Fälle; fremde Datensätze sind von nicht vorhandenen nicht zu unterscheiden. Freigabelinks öffnen genau ein Dokument, gelten kurz und lassen sich zurücknehmen; jeder Abruf wird angezeigt. Formulare verlangen eine Sitzungsmarke, Eingaben werden zentral escaped. Zugangsdaten und Schlüssel liegen in einem Secret-Manager, nicht im Quellcode.

Trennungskontrolle: Anwendung, Datenbank und Virenprüfung laufen getrennt; die Datenbank ist von außen nicht erreichbar. Die Sprachmodelle sind nur über fest hinterlegte Wege und mit Schlüsseln erreichbar, die auf lokal betriebene Modelle beschränkt sind; in jeder Modellantwort wird geprüft, von welchem Modell sie stammt. Prüfläufe arbeiten ausschließlich mit erfundenen Daten.

2. Integrität

Übertragungskontrolle: Browser zu Server über TLS ohne vorgeschalteten Proxy; die Verschlüsselung endet auf dem Server in Deutschland. Verbindungen zu den Modellservern verschlüsselt (VPN bzw. TLS 1.3 mit eigener Zertifizierungsstelle). E-Mails enthalten keine Gesundheitsdaten. Sicherungen werden clientseitig verschlüsselt übertragen.

Eingabekontrolle: Jede Handlung am Fall steht mit Zeit und Zugang im Protokoll. Protokolle der Auswertung nennen nur Feldnamen, keine Werte. Unterlagen werden vor der Annahme am Inhalt und auf Schadsoftware geprüft.

3. Verfügbarkeit und Belastbarkeit

Datenbank, Unterlagen und Aufnahmen liegen in einem verschlüsselten Container (LUKS2). Zwischenprodukte der Texterkennung werden unmittelbar nach Gebrauch gelöscht. Eine Sicherung wird täglich verschlüsselt abgelegt; die Wiederherstellung wird wöchentlich automatisch geprüft. Für Sprachmodell, Spracherkennung und Texterkennung gibt es Ausfallwege; abgebrochene Verarbeitungen lassen sich wiederholen.

4. Überprüfung und Bewertung

Die Maßnahmen werden vor jedem neuen Stand durch eine automatisierte Abnahme gegen das laufende System geprüft, darunter Verschlüsselung, Mandantentrennung, Schlüsselgrenze der Modelle und Löschlauf.

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
netcup GmbH	Unterbringung und Betrieb des Anwendungsservers (Anwendung, Datenbank, Unterlagen, Aufnahmen – verschlüsselt gespeichert)	Deutschland (Nürnberg)
Brevo SAS	Zustellung der Zugangs-E-Mails – Name und E-Mail-Adresse der Kontaktperson, keine Gesundheitsdaten	EU (Paris)

Die Modellserver für Sprachmodell und Spracherkennung sowie das Sicherungsziel betreibt der Auftragnehmer selbst in Deutschland; sie sind keine Unterauftragsverarbeitung.

Fassung vom 19.09.2026