Vertrag zur Auftragsverarbeitung (AVV)

Stand: August 2026

zwischen der nutzenden Praxis bzw. dem/der Nutzer:in (nachfolgend „Verantwortlicher“)

und

Marc Päpper
Cognition Pixels
c/o Impressumservice Dein-Impressum
Stettiner Straße 41
35410 Hungen
(nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

1. Gegenstand, Umfang und Dauer

Der Auftragsverarbeiter stellt die Softwaredienste BerichtBiber und DokuDachs bereit. Soweit der Auftragsverarbeiter im Rahmen der Nutzung dieser Softwaredienste durch den Verantwortlichen personenbezogene Daten mit Bezug auf dessen Patient:innen, Mitarbeitende oder sonstige betroffene Personen verarbeitet (im Folgenden: „Auftragsdaten“), erfolgt die Verarbeitung im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO auf Basis dieses AVV.
Gegenstand und Umfang der Auftragsverarbeitung ergeben sich aus dem Hauptvertrag, der konkreten Nutzung und Anlage 1. Der AVV gilt für die Dauer des Hauptvertrags und bis zur abgeschlossenen Rückgabe oder Löschung der Auftragsdaten.
Für Registrierungs-, Vertrags-, Abrechnungs- und allgemeine Supportdaten handelt der Anbieter grundsätzlich als eigener Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieses AVV. Eine Supportleistung fällt nur dann unter diesen AVV, wenn der Verantwortliche dem Anbieter ausdrücklich Zugriff auf konkrete Patientendaten oder einen verschlüsselten Support-Snapshot gewährt.

2. Weisungen

Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung des Auftragsverarbeiters nach dem Recht der EU oder der Mitgliedstaaten entgegensteht. Bedienhandlungen und Einstellungen in der Software gelten als Weisungen.
Zusätzliche Weisungen sollen in Textform erteilt werden. Ist eine Weisung nach Auffassung des Auftragsverarbeiters rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für Rechtsgrundlagen, Informationspflichten, Einwilligungen bei Audioaufnahmen sowie die Wahrung von Berufsgeheimnissen, verantwortlich.

3. Vertraulichkeit und Berufsgeheimnisse

Produktive administrative Zugriffe sind personenbezogen zugeordnet und auf das erforderliche Maß beschränkt. Personen werden erst eingesetzt, nachdem sie vor dem Zugriff auf Vertraulichkeit verpflichtet und zu Datenschutz und Informationssicherheit unterwiesen wurden.
Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit. Sie umfasst insbesondere Gesundheitsdaten und Inhalte, die dem Berufsgeheimnis nach § 203 StGB unterliegen können.
Soweit § 203 StGB anwendbar ist, setzt der Auftragsverarbeiter weitere mitwirkende Personen im Sinne des § 203 Abs. 3 Satz 2 StGB nur ein, soweit dies für die Leistungserbringung erforderlich ist und die notwendigen vertraglichen Geheimhaltungs- und Schutzpflichten sichergestellt sind. Die Auswahl- und Organisationspflichten des Verantwortlichen als Berufsgeheimnisträger bleiben unberührt.

4. Sicherheit der Verarbeitung

Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO ein. Die Maßnahmen dürfen technisch weiterentwickelt werden, sofern das Schutzniveau nicht abgesenkt wird.
Ergänzend beschreibt der Auftragsverarbeiter die Maßnahmen in einer ausführlichen, versionierten Darstellung der technischen und organisatorischen Maßnahmen. Er stellt sie dem Verantwortlichen auf Anfrage in der jeweils geltenden Fassung zur Verfügung. Diese Darstellung erläutert und konkretisiert Anlage 2; sie begründet keine über Anlage 2 hinausgehenden Zusagen. Bei Abweichungen ist Anlage 2 maßgeblich.
Hetzner verfügt für die eingesetzten und vom Testat erfassten Dedicated-Server- und Storage-Leistungen, Microsoft für die jeweils eingesetzten und vom Testat erfassten Azure-Leistungen über ein C5:2020-Typ-2-Testat. Für den eingesetzten Dienst zur Spracherkennung wird der Nachweis nach § 393 Abs. 3 SGB V über den Gleichwertigkeitsweg der C5-Gleichwertigkeitsverordnung geführt: Es liegen ein Testat nach einem dort zugelassenen alternativen Standard (ISO/IEC 27001:2022) sowie eine dokumentierte Gap-Analyse mit Meilensteinplanung zur Erlangung eines C5-Testats vor. Der Auftragsverarbeiter hält beide Unterlagen auf Verlangen vorlagefähig.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 3 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert vor einer beabsichtigten Hinzuziehung oder Ersetzung. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen widersprechen.
Unterauftragsverarbeiter werden vertraglich mindestens zu den für sie einschlägigen Pflichten dieses AVV verpflichtet. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für deren Leistung verantwortlich.
Anlage 3 enthält nur Subdienstleister des Anbieters, die im Rahmen der Auftragsverarbeitung Patientendaten oder andere Auftragsdaten verarbeiten können. Subdienstleister, die der Anbieter im Rahmen der eigenverantwortlichen Verarbeitung für Vertragszwecke einsetzt – etwa zur Zahlungsabwicklung oder für allgemeinen Kundensupport ohne Patientendaten – sind deshalb nicht automatisch Unterauftragsverarbeiter nach diesem AVV.

6. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen gemäß Art. 28 Abs. 3 lit. f DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen angemessen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere:

bei der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und der Benachrichtigung betroffener Personen nach Art. 33 und 34 DSGVO,
bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 35 und 36 DSGVO sowie
durch Bereitstellung der für diese Pflichten erforderlichen, beim Auftragsverarbeiter verfügbaren Informationen.

Darüber hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen gemäß Art. 28 Abs. 3 lit. e DSGVO unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Bereitstellung von Informationen zum Nachweis der Einhaltung dieses AVV und der Pflichten aus Art. 28 DSGVO richtet sich ergänzend nach Abschnitt 9.

Anfragen betroffener Personen zu Auftragsdaten leitet der Auftragsverarbeiter an den Verantwortlichen weiter und beantwortet sie ohne Weisung nicht selbst, soweit keine gesetzliche Pflicht besteht.

7. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten, im Regelfall innerhalb von 24 Stunden und spätestens innerhalb von 48 Stunden ab Kenntnisnahme, damit dem Verantwortlichen für seine Entscheidung nach Art. 33 und 34 DSGVO der überwiegende Teil der dortigen Frist verbleibt. Die Information erfolgt auch dann, wenn der Sachverhalt noch nicht vollständig aufgeklärt ist; fehlende Angaben werden als offen gekennzeichnet. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, mögliche Folgen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen. Neue Erkenntnisse können nachgereicht werden.

8. Rückgabe und Löschung

Während der Vertragslaufzeit kann der Verantwortliche die vorgesehenen Export- und Löschfunktionen nutzen.
Nach Ende der Leistungen löscht oder gibt der Auftragsverarbeiter Auftragsdaten nach Wahl des Verantwortlichen zurück und löscht die vorhandenen Kopien, soweit keine Aufbewahrungspflicht nach dem Recht der EU oder der Mitgliedstaaten besteht. In Sicherungskopien verbleibende Daten werden bis zur turnusmäßigen Überschreibung gesperrt und nicht produktiv verarbeitet.
Bei der Live-Transkription wird Audio an Soniox gestreamt und nicht als dauerhafte Audiodatei in der Anwendung gespeichert. Bei der präzisen Transkription wird die Aufnahme über den temporären Upload-Speicher des Anwendungsservers an Soniox übertragen. Die hierfür bei Soniox angelegten Datei- und Transkriptionsressourcen werden nach Abschluss der Verarbeitung gelöscht.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt alle zur Nachweisführung erforderlichen Informationen bereit. Geeignete Zertifikate, Testate, Prüfberichte und dokumentierte Kontrollen können berücksichtigt werden.
Audits sind mit angemessener Vorankündigung, grundsätzlich während üblicher Geschäftszeiten und unter Wahrung der Vertraulichkeit anderer Kunden durchzuführen. Zunächst sind vorhandene Nachweise und Remote-Prüfungen zu nutzen. Anlassbezogene Prüfungen, insbesondere nach einem erheblichen Sicherheitsvorfall, bleiben möglich.
Kosten außerordentlicher, nicht durch einen Pflichtverstoß veranlasster Prüfungen trägt der Verantwortliche.

10. Drittlandübermittlungen

Die reguläre Verarbeitung ist auf die in Anlage 3 genannten Regionen innerhalb der EU beziehungsweise des EWR ausgerichtet. Ein Zugriff aus oder eine Übermittlung in ein Drittland erfolgt nur nach dokumentierter Prüfung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln einschließlich der erforderlichen Transferfolgenprüfung und ggf. ergänzenden Schutzmaßnahmen. Anlage 3 bezeichnet die regelmäßig genutzte Region; weitergehende Zugriffsorte und Garantien ergeben sich aus dem jeweils anwendbaren Dienstleister- und Unterauftragsverarbeitervertrag.

11. Schlussbestimmungen

Bei Widersprüchen geht dieser AVV für die Verarbeitung von Auftragsdaten den allgemeinen Regelungen des Hauptvertrags vor. Redaktionelle Klarstellungen sowie technische oder organisatorische Weiterentwicklungen ohne Absenkung des vereinbarten Schutzniveaus können in einer versionierten Fassung auf der Website veröffentlicht werden. Über die beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen vorab per E-Mail oder über eine vergleichbare dauerhafte elektronische Mitteilung und räumt eine angemessene Widerspruchsmöglichkeit ein. Sonstige wesentliche Änderungen und Ergänzungen bedürfen der Textform, soweit nicht zwingendes Recht eine andere Form verlangt.

Anlage 1 – Beschreibung der Verarbeitung

Betroffene Personen

Patient:innen, ehemalige Patient:innen und Interessent:innen des Verantwortlichen,
Sorgeberechtigte, Angehörige, Bezugspersonen und Teilnehmende an Gruppen- oder Mehrpersonensitzungen,
Mitarbeitende und Teammitglieder, soweit deren Daten Bestandteil der Auftragsdaten sind.

Datenarten

Identifikations-, Kontakt-, Stamm- und Zuordnungsdaten,
Angaben aus Anamnese, Diagnostik, Behandlung, Lebensgeschichte und Berichterstellung,
Gesundheitsdaten und sonstige besondere Kategorien personenbezogener Daten,
Audioinhalte, Transkripte, Sprecherzuordnungen, Notizen und Zusammenfassungen,
Dokumente und Bilddateien für Texterkennung,
technische Metadaten, soweit sie den Auftragsdaten zugeordnet sind.

Art der Verarbeitung

Softwaregestützte technische Verarbeitung, insbesondere Erheben, Entgegennehmen, Strukturieren, Verschlüsseln, Speichern, Übertragen, Transkribieren, Texterkennen, KI-gestütztes Formulieren und Zusammenfassen, Anzeigen, Exportieren, Berichtigen und Löschen.

Zweck der Verarbeitung

Bereitstellung einer Software zur psychotherapeutischen Dokumentation, Sitzungsnachbereitung und Erstellung von Gutachterberichten. Eine medizinische oder rechtliche Entscheidung wird nicht automatisiert getroffen.

Anlage 2 – Technische und organisatorische Maßnahmen

Übertragungsschutz (Transportverschlüsselung): TLS-verschlüsselte Verbindungen; verschlüsselte Verbindungen zu Unterauftragsverarbeitern.
Inhaltsverschlüsselung: besonders schutzbedürftige Inhaltsdaten werden anwendungsseitig verschlüsselt. Nutzerbezogene Schlüssel und das Zero-Knowledge-Schlüsselkonzept begrenzen reguläre Klartextzugriffe. Klartext entsteht, soweit für eine vom Nutzer ausgelöste Verarbeitung technisch erforderlich, im Browser oder kurzzeitig im Arbeitsspeicher des zuständigen Dienstes.
Schlüssel- und Postfachkonzept: patientenbezogene Eingänge werden über verschlüsselte Umschläge dem Nutzerkonto zugeordnet und können erst nach Freigabe des nutzerbezogenen Schlüssels entschlüsselt werden.
Berechtigungen: rollen- und mandantenbezogene Zugriffskontrollen, Authentisierung, geschützte Administrationszugänge und minimale betriebliche Berechtigungen. Administrative Serverzugriffe erfolgen über ein privates Tailscale-Netz mit personenbezogenem Konto, Mehrfaktor-Authentisierung und zusätzlicher Re-Authentifizierung; öffentliches SSH ist gesperrt.
Supportzugriff: kein allgemeiner Klartextzugriff auf Patientendaten. Zugriff nur nach ausdrücklicher Freigabe beziehungsweise über einen eigens erzeugten, verschlüsselten und zeitlich begrenzten Support-Snapshot. Zum Öffnen sind zusätzlich eine berechtigte Administratoranmeldung und der im Link enthaltene Zugriffsschlüssel erforderlich; Zugriffe werden auf das Erforderliche beschränkt.
Mandantentrennung: Kunden- und Patientendaten werden durch serverseitige objektbezogene Berechtigungsprüfungen und nutzerbezogene Anwendungsverschlüsselung getrennt. Jeder Nutzer verfügt über eigene kryptografische Schlüssel; mit dem Schlüssel eines Nutzers können die verschlüsselten Inhaltsdaten eines anderen Nutzers nicht entschlüsselt werden. Auch innerhalb eines Teams erfolgt keine Freigabe von Patientendaten. Konto-, Vertrags-, Abrechnungs- und allgemeine Supportdaten werden zweckbezogen von Auftragsdaten abgegrenzt.
Protokollierung: sicherheits- und betriebsrelevante Ereignisse werden zweckgebunden protokolliert; keine externe Produktanalyse. Protokolle sollen keine Behandlungsinhalte enthalten.
Verfügbarkeit und Sicherungen: Betrieb auf einem Hetzner Dedicated Server in Deutschland im testierten C5:2020-Typ-2-Leistungsumfang; clientseitig verschlüsselte Borg-Sicherungen in einer vom Produktivserver geografisch getrennten Hetzner-Speicherregion in Helsinki, Finnland, innerhalb des EWR. Der Speicheranbieter erhält ausschließlich verschlüsselte Sicherungsdaten. Schlüssel beziehungsweise Passphrasen werden getrennt vom Sicherungsspeicher verwaltet. Systemzustände und Sicherungsläufe werden überwacht; Fehlerzustände werden gemeldet und unverzüglich bewertet. Ein isolierter Wiederherstellungstest wurde erfolgreich durchgeführt. Eine unterbrechungsfreie Verfügbarkeit oder automatische Hochverfügbarkeit wird nicht zugesichert.
Temporäre Daten: Bei der präzisen Transkription wird die Audiodatei im Rahmen des HTTPS-Uploads kurzfristig im temporären Upload-Speicher des Anwendungsservers verarbeitet und anschließend an Soniox übertragen. Eine dauerhafte Audioablage in der Anwendung ist nicht vorgesehen. Die hierfür bei Soniox angelegten Datei- und Transkriptionsressourcen werden nach Abschluss der Verarbeitung gelöscht.
Softwarebetrieb: Patch- und Abhängigkeitsmanagement, Code-Reviews, automatisierte Tests, Trennung von Entwicklungs- und Produktivumgebung sowie datensparsame Testdaten.
Kontrollverfahren: regelmäßige Wiederherstellungsprüfungen sowie mindestens jährliche und zusätzlich anlassbezogene Überprüfung der TOMs, der einschlägigen KBV-Anforderungen, der Anbieter und Berechtigungen. Sicherheitsvorfälle und daraus folgende Maßnahmen werden dokumentiert. Einzelheiten und interne Wiederherstellungsziele ergeben sich aus dem fortgeschriebenen Betriebskonzept.

Anlage 3 – Genehmigte Unterauftragsverarbeiter für Auftragsdaten

Anbieter	Leistung und betroffene Auftragsdaten	Regelmäßige Region	Absicherung / Einordnung
Hetzner Online GmbH, Deutschland	Hosting von Anwendung, Datenbank, temporären Upload-Dateien, verschlüsselten Inhaltsdaten, Backups und Support-Snapshots	Deutschland; verschlüsselte Sicherungen zusätzlich in Helsinki, Finnland	AVV; C5:2020 Typ 2 für den testierten Leistungsumfang
Microsoft Ireland Operations Limited / Microsoft Azure	KI-Funktionen in BerichtBiber und DokuDachs sowie E-Mail-Versandfunktionen in BerichtBiber; dabei insbesondere Prompts, Transkripte, Notizen, Dokumente beziehungsweise Bilder, erzeugte Ausgaben, Empfängeradressen und E-Mail-Inhalte	konfigurierte EU-Region beziehungsweise EU Data Zone	Microsoft DPA; Azure C5:2020 Typ 2; Modelle arbeiten zustandslos, Eingaben und Ausgaben werden nicht zum Training oder zur Verbesserung der Modelle verwendet; beim standardmäßigen Abuse Monitoring werden Inhalte automatisiert geprüft. Als möglicherweise missbräuchlich eingestufte Eingaben oder Ausgaben können in einem getrennten, logisch isolierten Speicher innerhalb der Azure-Geografie gespeichert und erforderlichenfalls von besonders autorisierten Microsoft-Mitarbeitenden geprüft werden; bei EWR-Bereitstellung befinden sich diese Mitarbeitenden nach Microsofts Dokumentation im EWR
Soniox, Inc., 1045 Helm Lane, Foster City, CA 94404, USA	Spracherkennung; bei Live-Nutzung Audiodaten und Transkriptions-Tokens, bei präziser Transkription Audiodatei und Transkriptionsressource, in BerichtBiber die optionale Spracheingabe	EU-Region. Die Anwendung ruft ausschließlich die regionalen EU-Endpunkte des Anbieters auf. Der Anbieter sichert für diese Konfiguration zu, dass sämtliche Audio- und Transkriptdaten des Projekts sowohl für die Verarbeitung als auch für die Speicherung in der gewählten Region verbleiben. Nicht erfasst sind Systemdaten wie Konto- und Projektmetadaten, Nutzungsstatistiken und Abrechnungsdaten; diese betreffen ausschließlich das Konto des Auftragsverarbeiters und enthalten keine Patientendaten	Auftragsverarbeitungsvertrag vom 22.12.2025. Da der Anbieter seinen Sitz in den USA hat und für ihn kein Angemessenheitsbeschluss vorliegt, ist ein Zugriff aus dem Drittland — etwa im Rahmen von Administration oder Fehlerbehebung — zusätzlich über die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), abgesichert; sie sind in den Auftragsverarbeitungsvertrag einbezogen und von beiden Seiten unterzeichnet, einschließlich der Anhänge I bis III, ergänzender Schutzmaßnahmen und der Unterstützung bei der Transferfolgenabschätzung. ISO/IEC 27001:2022 und SOC 2 Typ 2; Nachweis nach § 393 Abs. 3 SGB V über den Gleichwertigkeitsweg der C5-Gleichwertigkeitsverordnung (alternativer Standard und dokumentierte Gap-Analyse mit Meilensteinplanung); keine Nutzung zum Modelltraining. Die für einen Auftrag angelegten Datei- und Transkriptionsressourcen werden unmittelbar nach Abschluss der Verarbeitung gelöscht; eine längere Aufbewahrung wird vom Auftragsverarbeiter nicht beauftragt

Nicht Teil dieser Unterauftragskette: Stripe verarbeitet Zahlungsdaten für den Vertrag mit dem Nutzer, Mailjet versendet allgemeine transaktionale E-Mails und der eingebundene Support-Chat dient dem allgemeinen Kundensupport. Diese Dienste sollen keine Patientendaten oder Behandlungsinhalte erhalten. Der eigens erzeugte, verschlüsselte und zeitlich begrenzte Link zu einem Support-Snapshot darf zur Bearbeitung eines konkreten Supportfalls übermittelt werden; der Chat-Anbieter erhält dadurch keinen berechtigten Klartextzugriff auf den Snapshot. Ein ausdrücklich angeforderter Zugriff auf Patientendaten im Support wird als Auftragsverarbeitung nach diesem AVV behandelt und erfolgt über die hierfür vorgesehenen internen Verfahren.