Bündelversion: 2026-09-20 · Dokumentversion: 2026-09-20
Stand: · Gültig ab:
341aa9344e49b0daeacae07cca8a6f145bb98520a8162d07a61857d86535b238eda3ad4743d2899809d94edf533075588020c5121620c6f23b57231f8800eac7Click-Wrap-Fassung nach Art. 28 Abs. 9 DSGVO – Praxis (Verantwortliche) ↔ Praxis-Clara GmbH (Auftragsverarbeiterin)
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen der jeweiligen Praxis (Verantwortlicher) und der Praxis-Clara GmbH (Auftragsverarbeiter) für die Nutzung der Plattform PraxisClara.
Die im Konto registrierte Praxis/Einrichtung.
Name, Anschrift und vertretungsberechtigte Person ergeben sich aus den bei der Registrierung hinterlegten Stammdaten; diese gelten als Vertragsangaben des Verantwortlichen.
Praxis-Clara GmbH, Kolonnenstraße 8, 10827 Berlin
Vertreten durch: Boris Braun, Stefan Fischer
E-Mail: info@praxis-clara.de · Telefon: +49 30 233 24 546
Handelsregister: Amtsgericht Charlottenburg, HRB 290471 B
Externer DSB: HeyData GmbH, Schützenstraße 5, 10117 Berlin, datenschutz@heydata.eu
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software-as-a-Service-Plattform PraxisClara zur Verfügung. Sie unterstützt das einrichtungsinterne Qualitätsmanagement nach § 135a SGB V und der G-BA-Qualitätsmanagement-Richtlinie und umfasst insbesondere: Verwaltung von QM-Dokumenten, Prozessbeschreibungen (SOPs), Hygiene- und Notfallplänen; Geräteverwaltung mit Prüf- und Wartungsfristen; Einweisungen und Unterweisungen mit Signaturnachweis; Gefährdungsbeurteilung nach § 5 ArbSchG; Selbstauskunfts-Checks (IT-Sicherheit, Datenschutz, Brandschutz); Teambesprechungen mit Protokollierung, auf Wunsch mit Audio-Aufzeichnung und automatischer Transkription; ein internes Fehlermeldesystem (CIRS) einschließlich eines anonymen Meldewegs; ein internes Rückmelde- und Beschwerderegister; die Dokumentation extern durchgeführter Befragungen in aggregierter Form; Maßnahmenverwaltung, Erinnerungen und Nachweisexporte sowie die KI-gestützte Erstellung von Dokumentenentwürfen.
(2) Der Vertrag läuft für die Dauer der Nutzung der Plattform. Bei Beendigung gilt § 8 in Verbindung mit Anlage 3 (Speicherfristen).
(1) Zweck ist ausschließlich die Organisation, Dokumentation und Nachweisführung des einrichtungsinternen Qualitätsmanagements des Verantwortlichen.
(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erbringung dieser Leistung. Eine Verarbeitung zu eigenen Zwecken, insbesondere zur Erstellung von Profilen, zur Weitergabe an Dritte oder zum Training von KI-Modellen, findet nicht statt.
(3) Keine Patientendaten. Die Plattform ist darauf ausgelegt, keine identifizierenden Patientendaten zu verarbeiten. Nicht vorgesehen sind insbesondere: identifizierte oder identifizierbare Patienten, Behandlungsfälle, Diagnosen, individuelle Medikation oder Befunde, Versicherungs-, Patienten- oder Fallnummern sowie patienten-identifizierende Dokumente und Uploads. Die Plattform stellt keine von Patienten selbst bedienbare Fläche bereit.
(4) Verbleibendes Risiko in Freitextfeldern. Der Verantwortliche verpflichtet sich, in Freitextfeldern, Datei-Uploads und Audio-Aufzeichnungen keine patientenidentifizierenden Angaben zu erfassen. Der Auftragsverarbeiter setzt hierfür Hinweise in der Benutzeroberfläche sowie eine automatische Maskierung typischer Muster ein (Anrede-Namens-Kombinationen, Versichertennummern, Geburtsdaten). Diese Maskierung ist ein Sicherheitsnetz gegen versehentliche Nennungen und ausdrücklich keine Anonymisierung; sie erkennt keine frei formulierten Sachverhaltsschilderungen. Die Verantwortung für die Eingabeinhalte verbleibt beim Verantwortlichen.
(1) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen, dessen Inhaber und Leitungspersonen sowie benannte Beauftragte; punktuell externe Dritte (Notfallkontakte, Geräteprüfer, IT-Dienstleister).
(2) Datenarten:
| Kategorie | Inhalte |
|---|---|
| Praxis-Stammdaten | Bezeichnung, Anschrift, Fachrichtung, Räume, Organisationsstruktur |
| Beschäftigten-Stammdaten | Name, dienstliche E-Mail-Adresse, Rolle, Zugangsstatus, QM-Funktionen |
| Qualifikationen und Nachweise | Qualifikationen, Fortbildungen, Zertifikate nebst Ablaufdaten und Dateianhängen |
| Angaben zur arbeitsmedizinischen Vorsorge | Vorsorgeanlässe, Termine, Status – besondere Kategorie nach Art. 9 Abs. 1 DSGVO |
| Nachweis- und Signaturdaten | Einweisungs- und Besprechungssignaturen nebst Zeitpunkt und technischen Begleitdaten |
| QM-Prozessdaten | Dokumente, Maßnahmen, Prüfungen, Meldungen, Protokolle |
| Besprechungstranskripte | Verschriftlichte Team- und Unterweisungsbesprechungen – können mittelbar besondere Kategorien nach Art. 9 berühren |
| Nutzungs- und Protokolldaten | Anmeldungen, Änderungsprotokolle, Nutzungszähler |
(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten beschränkt sich auf Beschäftigtendaten des Verantwortlichen. Der Verantwortliche stellt die Rechtsgrundlage hierfür sicher.
Der Auftragsverarbeiter
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 2).
(1) Weisungen erteilt der Verantwortliche schriftlich oder in Textform; mündliche Weisungen sind unverzüglich in Textform zu bestätigen. (2) Weisungsberechtigt sind die vom Verantwortlichen benannten Personen; Änderungen teilt er unverzüglich mit. (3) Der Auftragsverarbeiter dokumentiert Weisungen und deren Umsetzung.
(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter (Art. 28 Abs. 2). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Dienste sind in Anlage 2 aufgeführt.
(2) Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist widersprechen; widerspricht er, kann der Auftragsverarbeiter den Vertrag mit einer Frist von 30 Tagen kündigen, wenn die Leistung ohne den betreffenden Dienst nicht in gleicher Weise erbracht werden kann.
(3) Pflichtendurchgriff. Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter mit denselben Datenschutzpflichten, die ihn selbst nach diesem Vertrag treffen. Kommt der weitere Auftragsverarbeiter diesen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen gegenüber für dessen Einhaltung (Art. 28 Abs. 4).
(4) Der Auftragsverarbeiter prüft vor der Beauftragung und danach in angemessenen Abständen, ob der weitere Auftragsverarbeiter hinreichende Garantien im Sinne des Art. 28 Abs. 1 bietet, und dokumentiert das Ergebnis.
(1) Die Speicherung und die inhaltliche Verarbeitung der Auftragsdaten finden in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des EWR statt (Datenbank und Dateispeicher Frankfurt am Main, Serverfunktionen Frankfurt am Main, eigenbetriebener KI-Dienst, E-Mail-Versand und Fehler-Monitoring in Rotenburg (Wümme), Deutschland).
(1a) Datenübermittlungen in Drittländer erfolgen nur unter den Voraussetzungen des Kapitels V DSGVO – je nach Anbieter auf Grundlage eines Angemessenheitsbeschlusses einschließlich des EU-U.S. Data Privacy Framework oder geeigneter Garantien, insbesondere EU-Standardvertragsklauseln. Sie betreffen ausschließlich technische Signale (Anmeldeschutz) und Support-Zugriffe der Cloud-Anbieter; QM-Inhalte, Transkripte und Beschäftigtendaten werden nicht in Drittländer übermittelt. Die Transfermechanismen je Dienst sind in Anlage 2 dokumentiert.
(2) Die konkreten Verarbeitungsorte je eingesetztem Dienst sind in Anlage 2 benannt (für das Verzeichnis des Verantwortlichen nach Art. 30 Abs. 1 lit. e).
(3) Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
(1) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht eine Rechtsvorschrift die Speicherung vorschreibt.
(2) Der Verantwortliche teilt seine Wahl vor Vertragsende mit; trifft er keine Wahl, löscht der Auftragsverarbeiter nach Ablauf von 30 Tagen ab Vertragsende.
(3) Fristen und Mechanismen der laufenden Löschung ergeben sich aus Anlage 3 (Speicherfristen, Datenschutzerklärung Ziffer 4).
(4) Aufbewahrungspflichten des Verantwortlichen. Die Plattform ist kein revisionssicheres Archivsystem. Der Verantwortliche exportiert Dokumente, die er nach berufs-, arbeitsschutz- oder handelsrechtlichen Vorschriften aufbewahren muss, rechtzeitig und archiviert sie außerhalb der Plattform; der Auftragsverarbeiter stellt hierfür Exportfunktionen bereit.
(5) Der Auftragsverarbeiter weist die Löschung auf Verlangen in geeigneter Form nach. Sicherungskopien werden im Rahmen ihres Sicherungszyklus überschrieben; der Zyklus ist in Anlage 1 beschrieben.
(1) Der Auftragsverarbeiter stellt auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
(2) Der Verantwortliche kann sich von der Einhaltung überzeugen – durch Auskünfte, Einsichtnahme in Nachweise oder eigene Überprüfungen. Überprüfungen erfolgen einmal jährlich nach Ankündigung mit angemessener Frist sowie anlassbezogen, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten.
(3) Überprüfungen dürfen den Betriebsablauf nicht unverhältnismäßig beeinträchtigen und müssen die Rechte anderer Kunden wahren. Beauftragte Dritte können zur Vertraulichkeit verpflichtet werden und dürfen nicht in Wettbewerb zum Auftragsverarbeiter stehen.
(1) Betroffene wenden sich mit Anträgen nach Art. 15 bis 22 DSGVO an den Verantwortlichen. Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich weiter und beantwortet ihn nicht selbst.
(2) Der Auftragsverarbeiter unterstützt insbesondere durch: eine Selbstauskunftsfläche in der Anwendung, über die jede beschäftigte Person ihren gespeicherten Bestand einsehen kann (Art. 15); Funktionen zur Berichtigung und Löschung durch den Verantwortlichen (Art. 16, 17); Funktionen zur gezielten Löschung von Besprechungstranskripten.
(3) Der Auftragsverarbeiter unterstützt bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 35, 36 DSGVO) durch Bereitstellung der ihm vorliegenden Informationen.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden (Art. 33 Abs. 2).
(2) Die Meldung enthält, soweit verfügbar: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldung an die Aufsichtsbehörde (Art. 33) und bei der Benachrichtigung betroffener Personen (Art. 34).
(4) Der Auftragsverarbeiter dokumentiert Verletzungen einschließlich der ergriffenen Abhilfemaßnahmen.
(1) Der Auftragsverarbeiter behandelt alle im Rahmen dieses Vertrags erlangten Kenntnisse vertraulich, auch über das Vertragsende hinaus. (2) Er verpflichtet die eingesetzten Personen entsprechend und weist die Verpflichtung auf Verlangen nach. (3) Die Plattform ist nicht zur Verarbeitung von Patientendaten bestimmt (§ 2 Abs. 3). Soweit über Freitexte oder Transkripte dennoch Patientengeheimnisse berührt werden, beachten der Auftragsverarbeiter, die von ihm eingesetzten Personen und die weiteren Auftragsverarbeiter die Anforderungen an mitwirkende Personen nach § 203 Abs. 3 und 4 StGB; die Verpflichtung wird in der Dienstleisterkette weitergegeben.
(1) Es gilt Art. 82 DSGVO. (2) Im Übrigen richtet sich die Haftung nach dem zugrunde liegenden Hauptvertrag (AGB).
(1) Dieser Vertrag geht dem Hauptvertrag vor, soweit er die Verarbeitung personenbezogener Daten betrifft. (2) Änderungen und Ergänzungen bedürfen der Textform; das gilt auch für die Änderung dieser Klausel. (3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. (4) Es gilt deutsches Recht.
(5) Fortschreibung der technischen und organisatorischen Maßnahmen. Anlage 1 beschreibt einen technischen Stand, der sich mit jeder Softwareversion ändert. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen fortzuschreiben, solange das Schutzniveau nicht sinkt. Eine Absenkung des Schutzniveaus kündigt er mindestens 30 Tage im Voraus an; der Verantwortliche kann in diesem Fall widersprechen und den Vertrag kündigen. Wesentliche Änderungen der Anlagen 1 und 3 führen zu einer neuen Vertragsfassung mit erneuter Zustimmung; Änderungen der Anlage 2 folgen § 6 Abs. 2.
Die Anlagen werden im versionierten Dokumentenbestand des Auftragsverarbeiters vorgehalten und der Praxis auf Anfrage zugänglich gemacht.