Subprozessorenliste

Eingesetzte Unterauftragsverarbeiter und Verarbeitungskette (Anlage 2 zum AVV)

Stand: 20. September 2026Fassung: v1.0.10Anbieterin: Praxis-Clara GmbH, Berlin

Diese Übersicht nennt alle Dienste, die bei der Nutzung von PraxisClara personenbezogene Daten verarbeiten, sowie Art und Ort der Verarbeitung. Sie ist Anlage 2 zum Auftragsverarbeitungsvertrag. Änderungen werden mit mindestens 30 Tagen Vorlauf angekündigt (AVV § 6 Abs. 2); der Verantwortliche kann widersprechen.

1. Verarbeitungskette

Die Praxis-Clara GmbH ist Inhaberin der Plattform und Vertragspartnerin der Praxis (Auftragsverarbeiterin). Den gesamten technischen Betrieb – Entwicklung, Hosting, Administration, Schlüssel- und Zugangsverwaltung, E-Mail-Versand, KI-Dienst, Fehlerdiagnose, Sicherung und Löschung – führt die portamedia.com GmbH (technische Dienstleisterin) als weitere Auftragsverarbeiterin auf dokumentierte Weisung der Praxis-Clara GmbH aus. Sie hält auch die Kundenkonten der eingesetzten Cloud-Anbieter. Für Beschäftigtendaten der Praxis gilt damit die Kette Praxis → Praxis-Clara GmbH → portamedia.com GmbH → Cloud-Anbieter. Die portamedia.com GmbH ist durch einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 4 DSGVO mit denselben Datenschutzpflichten belegt (AVV § 6 Abs. 3); sie verarbeitet Auftragsdaten ausschließlich für den vereinbarten Betrieb und zu keinen eigenen Zwecken.

Unternehmen	Leistung	Verarbeitete Daten	Ort
portamedia.com GmbH, Trinidadstraße 15a, 27356 Rotenburg (Wümme), Amtsgericht Walsrode HRB 206925	Vollständiger Infrastrukturbetrieb, Entwicklung und Wartung, Verwaltung der Anbieterkonten, KI-Dienst, E-Mail-Versand, Fehler-Monitoring, Sicherung, Wiederherstellung, Löschung	alle im Auftrag verarbeiteten Daten; persönliche Einsichtnahme nur mit dokumentiertem Anlass und Weisung	DE Eigenbetrieb Rotenburg (Wümme); Cloud-Leistungen an den in Ziffer 3 genannten Orten

2. Eigenbetriebene Dienste – Rotenburg (Wümme), Deutschland

Diese Dienste laufen auf eigener Hardware der portamedia.com GmbH in eigenen Räumen. Für sie gibt es keinen externen Anbieter, keine Drittlandübermittlung und keine weitere Subunternehmerkette.

Dienst	Leistung	Verarbeitete Daten
KI-Dienst (Spracherkennung, Textgenerierung, Vektorsuche)	Transkription von Besprechungsaufzeichnungen, Erstellung von Dokumentenentwürfen, semantische Suche	Ton der Aufzeichnung (flüchtig, wird nicht gespeichert), Transkripttext, QM-Texte
E-Mail-Versand	Einladungen, Benachrichtigungen, Erinnerungen	Empfängeradresse, Name, Nachrichtentext; Zustellprotokolle 14 Tage
Fehler-Monitoring (GlitchTip/Sentry-kompatibel)	Erfassung technischer Fehler	Fehlertyp und Zähler – keine Inhalte, keine Namen

Was das bedeutet: Die sensibelsten Inhalte der Plattform – das Roh-Audio einer Teambesprechung und der vollständige Transkripttext – verlassen zu keinem Zeitpunkt die eigene Infrastruktur in Deutschland. Es ist kein Anbieter für Spracherkennung oder Sprachmodelle aus einem Drittland eingebunden; die Inhalte werden nicht für das Training von Modellen genutzt.

3. Cloud-Anbieter (von der portamedia.com GmbH beauftragt)

Dienst	Leistung	Verarbeitete Daten	Verarbeitungsort / Transfer
Supabase (juristische Person gemäß geltendem Kundenvertrag)	Datenbank, Anmeldung, Dateispeicher	alle QM- und Beschäftigtendaten im Ruhezustand	EU Projektregion Frankfurt am Main; Support-/Funktionszugriffe des Anbieters gemäß Anbieter-DPA
Vercel Inc.	Hosting, Serverfunktionen, zeitgesteuerte Aufträge	alle Daten in Übertragung; Ton flüchtig im Arbeitsspeicher, ohne Ablage	EU Serverfunktionen Frankfurt (fra1); Anbieter-DPA, EU-U.S. Data Privacy Framework für Support-Zugriffe
Cloudflare, Inc. (Turnstile)	Schutz der Anmeldeseiten vor automatisierten Zugriffen	technische Signale des Browsers auf den Anmeldeseiten; keine Inhalte	Globales Netzwerk (USA); Anbieter-DPA, EU-U.S. Data Privacy Framework / Standardvertragsklauseln

4. Dienste für die Kundenbeziehung (eigene Verantwortung der Praxis-Clara GmbH)

Dienst	Leistung	Verarbeitete Daten	Verarbeitungsort / Transfer
Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc.)	Abonnementverwaltung, Zahlungen	Praxis-Stammdaten, Kontaktdaten und Abrechnungsreferenzen – keine Beschäftigten-, QM- oder Gesundheitsdaten	EU / USA; EU-U.S. Data Privacy Framework, Standardvertragsklauseln. Stripe handelt für die Zahlungsabwicklung als eigenständiger Zahlungsdienstleister; die Praxis-Clara GmbH führt diese Verarbeitung getrennt von den QM-Vorgängen der Praxis.
HubSpot (HubSpot, Inc., Cambridge/USA; Vertragspartner für den EWR: HubSpot Ireland Ltd., Dublin)	CRM: Verwaltung von Interessenten- und Kundenkontakten, Vertrags- und Betreuungsvorgänge, Kommunikation mit der Praxis	Praxis-Stammdaten, Namen und geschäftliche Kontaktdaten der Ansprechpartner, Vertragsstatus, Kommunikationsverlauf – keine Beschäftigten-, QM- oder Gesundheitsdaten, keine Inhalte aus der Plattform	EU Datenhaltung in Deutschland (HubSpot-Rechenzentrum EU); Support- und Analysezugriffe durch HubSpot, Inc. (USA). EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln (HubSpot Data Processing Agreement). HubSpot handelt als Auftragsverarbeiter der Praxis-Clara GmbH für die Kundenbeziehung; die Praxis-Clara GmbH führt diese Verarbeitung getrennt von den QM-Vorgängen der Praxis.

5. Was nicht übermittelt wird

Empfänger	Ausschluss
Fehler-Monitoring	keine Transkriptinhalte, keine Namen, keine Kennungen – Erfassung auf Fehlertyp und Zähler beschränkt, vor dem Versand bereinigt
Stripe	keine Beschäftigten-, QM- oder Gesundheitsdaten; ausschließlich Praxis-Stammdaten und Abonnementstatus
HubSpot (CRM)	keine Beschäftigten-, QM- oder Gesundheitsdaten, keine Inhalte aus der Plattform; ausschließlich Praxis-Stammdaten, Ansprechpartner und Vertragsstatus
Cloudflare Turnstile	keine QM-Inhalte, keine Beschäftigtendaten; nur technische Signale der Anmeldeseiten
Anwendungsprotokolle	keine Transkriptinhalte, keine Namen
Dauerhafte Tonablage	Roh-Audio wird verarbeitet und verworfen, nicht gespeichert

Bei fehlgeschlagener Übertragung legt der Browser Audioabschnitte vorübergehend auf dem Gerät der aufzeichnenden Person ab; sie werden nach drei erfolglosen Versuchen oder nach 30 Minuten beim nächsten Aufnahmestart entfernt.

6. Pflege und Information

Die Praxis-Clara GmbH führt dieses Register und informiert die Praxen. Die portamedia.com GmbH liefert die Anbieterunterlagen und gleicht Datenflüsse und Konfiguration quartalsweise sowie vor neuen Integrationen ab. Geplante Hinzuziehungen oder Ersetzungen teilt sie der Praxis-Clara GmbH mindestens 45 Tage vorher mit, damit die 30-tägige Information und Widerspruchsmöglichkeit der Praxen eingehalten wird.

7. Änderungen

Datum	Änderung
2026-08-04	Erstfassung (Plattform-Compliance-Paket)
2026-08-24	Übernahme in das Kundendokumentations-Paket; Firmierung und Registerdaten (HRB 290471)
2026-09-08	Verarbeitungskette mit portamedia.com GmbH als Infrastrukturbetreiberin; Anbieter, Orte und Transfermechanismen für Cloudflare und Stripe ergänzt; Stripe als eigenständiger Zahlungsdienstleister eingeordnet
2026-09-10	Upstash entfernt (nie produktiv genutzt; Zugriffsbegrenzung in der eigenen Datenbank)
2026-09-17	HubSpot als CRM für die Kundenbeziehung aufgenommen (Abschnitt 4 und 5; Datenhaltung EU, Data Privacy Framework und Standardvertragsklauseln)