Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Zwischen

Dominik Raehs-Dziemba, handelnd unter "DogPhysio Berlin", Brunowstr. 41, 13507 Berlin, Deutschland (nachfolgend "Auftragsverarbeiter" oder "DogPhysio")

und

der Praxis, die die Praxissoftware DogPhysio auf Grundlage der Allgemeinen Geschäftsbedingungen nutzt und diesen Vertrag akzeptiert hat (nachfolgend "Sie" oder "Verantwortliche"). Ihre Identität ergibt sich aus den in Ihrem Nutzerkonto hinterlegten Stammdaten.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten, die DogPhysio im Auftrag der Praxis vornimmt.

§ 1 Gegenstand, Geltungsbereich und Rangfolge

(1) DogPhysio stellt Ihnen eine Software as a Service zur Verwaltung einer hundephysiotherapeutischen Praxis bereit. Im Rahmen der Nutzung verarbeitet DogPhysio personenbezogene Daten, die Sie in das System einstellen oder die über die von Ihnen freigegebenen Funktionen (Kundenportal, Online-Buchungs-Widget, digitale Anamnese) erhoben werden.

(2) Sie sind hinsichtlich dieser Daten Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. DogPhysio ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeitet die Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen.

(3) Dieser Vertrag gilt nicht für Verarbeitungen, bei denen DogPhysio selbst Verantwortlicher ist. Das betrifft insbesondere Ihre eigenen Vertrags-, Abrechnungs- und Kontaktdaten als Kundin bzw. Kunde von DogPhysio, Server-Logfiles und Sicherheitsprotokolle der öffentlichen Website sowie die Verarbeitung von Daten der Besucher von dogphysio.berlin. Darüber informiert die Datenschutzerklärung.

(4) Rangfolge. Es gelten vorrangig (1) dieser Vertrag einschließlich seiner Anlagen, danach (2) die Allgemeinen Geschäftsbedingungen in ihrer jeweils gültigen Fassung. Regelungen der AGB, die den Pflichten aus diesem Vertrag oder aus Art. 28 DSGVO widersprechen, treten insoweit zurück.

(5) Dieser Vertrag wird mit Ihrer elektronischen Zustimmung wirksam. DogPhysio dokumentiert Zeitpunkt und Fassung der Zustimmung; den jeweils aktuellen Vertragstext können Sie jederzeit unter /avv abrufen und speichern.

§ 2 Art, Umfang, Zweck und Dauer der Verarbeitung

(1) Art und Zweck. DogPhysio verarbeitet die Daten ausschließlich, um Ihnen die vertraglich vereinbarten Funktionen bereitzustellen:

• Speicherung, Ordnung, Anzeige und Auswertung Ihrer Kunden-, Patienten- und Termindaten,
• Erstellung, Speicherung und Bereitstellung von Behandlungsdokumentation, Befundberichten und Trainingsplänen,
• Erstellung, Speicherung, Versand und Archivierung von Rechnungen und Gutschriften,
• Versand transaktionaler E-Mails in Ihrem Namen (Terminbestätigung, Terminerinnerung, Rechnungsversand, Portal-Einladung),
• Bereitstellung des Kundenportals für Ihre Endkunden,
• Bereitstellung des Online-Buchungs-Widgets und der digitalen Anamnese,
• Verwaltung der Nutzerkonten Ihrer Mitarbeitenden einschließlich Zugriffsrechten und Tätigkeitsprotokoll,
• Bereitstellung KI-gestützter Assistenzfunktionen, soweit Sie diese nutzen,
• technischer Betrieb, Fehlerbehebung, Wartung und Absicherung gegen Missbrauch.

(2) Kein Eigengebrauch. DogPhysio verarbeitet die Daten nicht zu eigenen Zwecken. Insbesondere findet keine Nutzung für Werbung, kein Profiling, keine Weitergabe an Dritte zu kommerziellen Zwecken und keine Verwendung zum Trainieren von KI-Modellen statt. Eine Auswertung über Ihren Mandanten hinaus erfolgt nur in vollständig anonymisierter Form.

(3) Art der Verarbeitung. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die in Anlage 2 genannten Unterauftragsverarbeiter, Einschränken, Löschen und Vernichten — jeweils automatisiert.

(4) Betroffenengruppen und Datenkategorien ergeben sich abschließend aus Anlage 1.

(5) Ort der Verarbeitung. Die Verarbeitung findet in der EU bzw. im EWR statt. Verarbeitungen in Drittländern erfolgen ausschließlich durch die in Anlage 2 ausdrücklich gekennzeichneten Unterauftragsverarbeiter und nur unter den Bedingungen der Art. 44 bis 49 DSGVO.

(6) Dauer. Der Vertrag beginnt mit Ihrer Zustimmung und endet mit Beendigung des zugrunde liegenden Nutzungsvertrages. Er endet nicht vor vollständiger Erfüllung der Pflichten aus § 13.

§ 3 Weisungsgebundenheit und Weisungswege

(1) DogPhysio verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und nach Ihren dokumentierten Weisungen. Übermittlungen an Drittländer erfolgen nur nach Ihrer Weisung oder aufgrund gesetzlicher Verpflichtung; im letzteren Fall informiert DogPhysio Sie vorher, sofern das Recht dies nicht verbietet.

(2) Die Grundweisung ergibt sich aus diesem Vertrag, seinen Anlagen und der bestimmungsgemäßen Nutzung. Jede Konfiguration, die Sie in der Anwendung vornehmen, gilt als Einzelweisung — insbesondere:

• Aktivierung des Kundenportals und Auswahl der für Endkunden sichtbaren Datenkategorien (Rechnungen, Dokumentation, Befundberichte),
• Aktivierung des Buchungs-Widgets und der Pflicht zur Adressangabe,
• Aktivierung der digitalen Anamnese und Gestaltung des Fragenkatalogs,
• Einladung, Berechtigung und Deaktivierung von Mitarbeitenden, Kalender-Datenisolation,
• Aktivierung der Mitarbeiter-Statistiken,
• Aktivierung oder Deaktivierung KI-gestützter Funktionen,
• Erzeugung, Weitergabe und Widerruf des privaten Kalender-Feed-Tokens.

(3) Weisungswege. Weitergehende Weisungen erteilen Sie in Textform (§ 126b BGB) an info@dogphysio.berlin. Mündliche Weisungen bestätigt DogPhysio in Textform. Weisungsberechtigt ist die Praxisinhaberin bzw. der Praxisinhaber oder eine benannte Person; weisungsempfangsberechtigt ist Dominik Raehs-Dziemba.

(4) DogPhysio dokumentiert Weisungen und bewahrt sie für die Vertragsdauer sowie drei Jahre darüber hinaus auf.

(5) Rechtswidrige Weisungen. Hält DogPhysio eine Weisung für datenschutzwidrig, wird DogPhysio Sie unverzüglich in Textform informieren und darf die Ausführung bis zu Ihrer Bestätigung aussetzen. Bestätigen Sie die Weisung, liegt die Verantwortlichkeit bei Ihnen. Bei offensichtlichem und schwerwiegendem Verstoß darf DogPhysio die Ausführung verweigern und aus wichtigem Grund kündigen.

(6) Verarbeitet DogPhysio Daten außerhalb Ihrer Weisungen zu eigenen Zwecken, gilt DogPhysio insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

§ 4 Allgemeine Pflichten von DogPhysio

DogPhysio verpflichtet sich,

• die Verarbeitung ausschließlich innerhalb der Grenzen dieses Vertrages vorzunehmen und die Grundsätze des Art. 5 DSGVO zu beachten,
• ein Verzeichnis nach Art. 30 Abs. 2 DSGVO zu führen und Ihnen die für Ihr Verzeichnis erforderlichen Angaben bereitzustellen,
• Sie unverzüglich zu informieren, wenn eine Aufsichtsbehörde eine Kontrolle einleitet, die Ihre Daten betreffen kann,
• Sie unverzüglich zu informieren, wenn eine Behörde oder ein Gericht Zugriff auf Ihre Daten verlangt, sofern keine rechtliche Geheimhaltungspflicht besteht, und sich im zulässigen Rahmen gegen die Herausgabe zu wenden,
• die Einhaltung dieses Vertrages mindestens jährlich zu überprüfen und die Maßnahmen nach Anlage 3 dem Stand der Technik anzupassen, ohne das Schutzniveau abzusenken.

Datenschutzbeauftragter. DogPhysio ist ein Einzelunternehmen ohne Beschäftigte; die Voraussetzungen des Art. 37 DSGVO, § 38 BDSG liegen derzeit nicht vor. Ansprechpartner: Dominik Raehs-Dziemba, Brunowstr. 41, 13507 Berlin, info@dogphysio.berlin, +49 172 4510755.

§ 5 Vertraulichkeit

(1) DogPhysio verarbeitet die Daten vertraulich; die Pflicht besteht nach Vertragsende fort.

(2) Alle zur Verarbeitung befugten Personen werden vor Aufnahme ihrer Tätigkeit auf das Datengeheimnis (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO) verpflichtet und über die Anforderungen des Datenschutzes unterrichtet. Die Verpflichtungen werden dokumentiert und sind auf Anfrage nachzuweisen.

(3) Da DogPhysio als Einzelunternehmen ohne Beschäftigte betrieben wird, ist derzeit ausschließlich der Inhaber zur Verarbeitung befugt. Weitere Personen werden nur nach vorheriger Verpflichtung nach Absatz 2 einbezogen.

(4) DogPhysio greift auf Inhaltsdaten Ihres Mandanten nur zu, soweit erforderlich — insbesondere zur Behebung eines von Ihnen gemeldeten Fehlers, zur Wiederherstellung nach einer Störung oder zur Abwehr eines Sicherheitsvorfalls. Support-Zugriffe erfolgen grundsätzlich nur auf Ihre Aufforderung und werden protokolliert.

(5)Soweit DogPhysio berufsrechtlich geschützte Geheimnisse Ihrer Praxis verarbeitet, gilt § 203 Abs. 4 StGB entsprechend: DogPhysio ist "sonstige mitwirkende Person" und wird auf die Geheimhaltung besonders hingewiesen.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) DogPhysio trifft die in Anlage 3 beschriebenen Maßnahmen. Sie sind vor Beginn der Verarbeitung umgesetzt und werden während der Vertragslaufzeit aufrechterhalten.

(2) Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten der betroffenen Personen.

(3) DogPhysio darf die Maßnahmen weiterentwickeln, ohne das Schutzniveau zu unterschreiten. Wesentliche Änderungen werden dokumentiert; die aktuelle Fassung der Anlage 3 steht unter /avv bereit.

(4) Sie haben die Maßnahmen zur Kenntnis genommen und halten sie für das von Ihnen verarbeitete Datenmaterial für angemessen. Wollen Sie darüber hinausgehend besonders schutzbedürftige Daten verarbeiten, ist dies vorher abzustimmen.

(5) Sie nutzen die Ihnen zur Verfügung stehenden Sicherheitsfunktionen — insbesondere ein starkes, nicht anderweitig verwendetes Passwort, die vertrauliche Behandlung von Zugangsdaten und Kalender-Feed-Token und die zeitnahe Deaktivierung ausgeschiedener Mitarbeitender.

§ 7 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Sie erteilen DogPhysio die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die zum Vertragsschluss eingesetzten ergeben sich aus Anlage 2; Sie genehmigen deren Einsatz mit Abschluss dieses Vertrages.

(2) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Ihre Daten (Telekommunikation, Reinigung, Post, Wartung ohne Datenzugriff).

(3) Weitergabe der Pflichten. DogPhysio schließt mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO, der im Wesentlichen dieselben Pflichten auferlegt — Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32, Unterstützung bei Betroffenenrechten, Meldepflichten, Löschung bzw. Rückgabe. Die Eignung wird vor Beauftragung und danach in angemessenen Abständen geprüft und dokumentiert.

(4) Drittlandsübermittlung. Bei Verarbeitung außerhalb der EU bzw. des EWR stellt DogPhysio einen zulässigen Mechanismus nach Kapitel V DSGVO sicher (Angemessenheitsbeschluss, Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c oder ein anderer zulässiger Mechanismus) und ergreift erforderliche zusätzliche Maßnahmen. Der Mechanismus ist in Anlage 2 ausgewiesen.

(5) Änderungen und Widerspruchsrecht. DogPhysio informiert Sie über die Hinzuziehung eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters mindestens vier Wochen vorher in Textform an die in Ihrem Nutzerkonto hinterlegte E-Mail-Adresse und durch Aktualisierung der Anlage 2.

Sie können innerhalb von 14 Tagen nach Zugang aus einem datenschutzrechtlich begründeten Sachgrund in Textform widersprechen. Im Fall eines begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Ist die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unzumutbarem Aufwand erbringbar, sind beide Parteien berechtigt, den Nutzungsvertrag mit einer Frist von einem Monat zum Monatsende zu kündigen; im Voraus gezahlte Entgelte werden anteilig zurückerstattet. Ohne Widerspruch gilt die Änderung als genehmigt.

(6) Dringender Wechsel. Ist ein sofortiger Wechsel zur Aufrechterhaltung der Betriebs- oder Datensicherheit erforderlich (Ausfall, Insolvenz, akute Sicherheitslücke), darf DogPhysio ihn ohne Vorlauffrist vornehmen und informiert Sie unverzüglich danach; Ihr Widerspruchsrecht beginnt mit dieser Information.

(7) Haftung. DogPhysio haftet Ihnen gegenüber für die Einhaltung der Datenschutzpflichten durch die Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).

(8) Ihre Mitarbeitenden, die über die Multi-User-Funktion Zugang erhalten, sind berechtigte Nutzer Ihrer Praxis und keine Unterauftragsverarbeiter; Ihre Pflichten ergeben sich aus § 11.

§ 8 Unterstützung bei Betroffenenrechten (Art. 12 bis 22 DSGVO)

(1) Die Erfüllung der Betroffenenrechte obliegt Ihnen. DogPhysio unterstützt Sie im Rahmen des Zumutbaren.

(2) Selbstbedienung. Den überwiegenden Teil können Sie selbst in der Anwendung erfüllen:

• Auskunft (Art. 15): vollständige Einsicht über Kunden- und Hundeakte, Kalender, Dokumentation, Befundberichte, Trainingspläne und Rechnungsliste,
• Berichtigung (Art. 16): Bearbeitung in allen genannten Bereichen,
• Löschung (Art. 17): endgültige Löschung von Hunden, Dokumenten, Tagebucheinträgen, Befunden, Trainingsplänen und Terminen. Bei Kundendatensätzen bewirkt die Archivierung zunächst nur eine Einschränkung; die endgültige Löschung erfolgt auf Weisung nach § 13 Abs. 2,
• Einschränkung (Art. 18): Archivierung von Kunden, Deaktivierung von Portal-Zugängen,
• Datenübertragbarkeit (Art. 20): ZUGFeRD-XML zu jeder Rechnung und iCal-Export der Termine als strukturierte, maschinenlesbare Formate; für die übrigen Daten der Auszug nach § 13 Abs. 5. Die PDF-Exporte (Trainingsplan, Befundbericht, Rechnung) dienen der Auskunft nach Art. 15, nicht der Übertragbarkeit.

(3) Soweit ein Recht nicht über die Anwendung erfüllbar ist, unterstützt DogPhysio Sie auf Anfrage in Textform — insbesondere durch technische Auskünfte zu Speicherorten, Datenkategorien, Empfängern und Speicherfristen, durch Löschung, Sperrung oder Herausgabe auf Weisung und durch Bereitstellung eines strukturierten Datenauszugs.

(4) Fristen. DogPhysio reagiert unverzüglich, in der Regel innerhalb von fünf Werktagen, und so rechtzeitig, dass Sie die Fristen des Art. 12 Abs. 3 DSGVO einhalten können. Als eilbedürftig gekennzeichnete Anfragen werden vorrangig bearbeitet.

(5) Direktanfragen. Wendet sich eine betroffene Person unmittelbar an DogPhysio, leitet DogPhysio den Antrag unverzüglich an Sie weiter und beantwortet ihn nicht selbst.

(6) Vergütung. Die Unterstützung nach Absatz 3 erfolgt unentgeltlich, soweit sie einen Aufwand von einer Stunde je Vorgang nicht übersteigt oder auf einem Fehler von DogPhysio beruht. Für weiteren Aufwand kann eine angemessene Vergütung verlangt werden; DogPhysio weist vorher darauf hin. Ein konkreter Stundensatz ist nicht festgeschrieben; DogPhysio nennt den Aufwand vor Entstehung der Kosten. Als Kleinunternehmer nach § 19 UStG wird keine Umsatzsteuer ausgewiesen.

(7) DogPhysio prüft die Berechtigung eines Antrags nicht; das obliegt Ihnen.

§ 9 Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO)

(1) DogPhysio informiert Sie unverzüglich, in der Regel innerhalb von 24 Stunden, nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft oder betreffen kann — in Textform an die im Nutzerkonto hinterlegte E-Mail-Adresse, bei Dringlichkeit zusätzlich telefonisch. Die Meldung erfolgt in jedem Fall so rechtzeitig, dass Sie Ihre Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten können.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung; betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze; Zeitpunkt oder Zeitraum sowie Zeitpunkt der Entdeckung; wahrscheinliche Folgen; ergriffene oder vorgeschlagene Maßnahmen; Name und Kontaktdaten der Ansprechperson. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt.

(3) DogPhysio dokumentiert alle Verletzungen samt Abhilfemaßnahmen und stellt die Dokumentation für Ihre Nachweispflicht nach Art. 33 Abs. 5 DSGVO bereit.

(4) DogPhysio unterstützt Sie bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen, insbesondere durch die technische Sachverhaltsdarstellung und, auf Weisung, durch Ermittlung der betroffenen Datensätze.

(5) Meldungen an Aufsichtsbehörde oder betroffene Personen nimmt ausschließlich der Verantwortliche vor, soweit DogPhysio nicht selbst gesetzlich verpflichtet ist.

(6) DogPhysio ergreift unverzüglich die erforderlichen Sicherungs- und Minderungsmaßnahmen und informiert über deren Wirksamkeit.

(7) Auch Sie informieren DogPhysio unverzüglich bei Feststellung oder begründetem Verdacht einer Verletzung im Verantwortungsbereich von DogPhysio — insbesondere bei fremden Datensätzen in Ihrer Ansicht oder kompromittierten Zugangsdaten.

§ 10 Datenschutz-Folgenabschätzung (Art. 35, 36 DSGVO)

(1) Prüfung und Durchführung obliegen Ihnen.

(2) DogPhysio unterstützt auf Anfrage in Textform, insbesondere durch Angaben zu Art, Umfang, Umständen und Zwecken der Verarbeitung, die Beschreibung der Maßnahmen (Anlage 3), die Liste der Unterauftragsverarbeiter samt Verarbeitungsort und Übermittlungsmechanismus (Anlage 2), Angaben zu Speicherfristen, Löschroutinen, Protokollierung und Zugriffsrechten sowie zur Funktionsweise KI-gestützter Funktionen einschließlich der dabei übermittelten Datenkategorien.

(3) Entsprechendes gilt für eine Vorabkonsultation nach Art. 36 DSGVO und für behördliche Auskunftsverlangen.

(4) Die Bereitstellung bestehender Dokumentation erfolgt unentgeltlich; für mandantenspezifische Ausarbeitungen gilt § 8 Abs. 6.

§ 11 Pflichten der Praxis als Verantwortliche

(1) Sie sind für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art. 6 und ggf. Art. 9 DSGVO, sowie für die Wahrung der Betroffenenrechte verantwortlich.

(2) Sie erfüllen die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber Ihren Endkunden, den Halterinnen und Haltern der behandelten Hunde, Besuchern Ihres Buchungs-Widgets und Ihren Mitarbeitenden — einschließlich des Hinweises auf DogPhysio als Auftragsverarbeiter.

(3) Sie führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO; die Anlagen 1 bis 3 können Sie dafür verwenden.

(4) Besondere Kategorien. Gesundheitsdaten von Tieren sind keine personenbezogenen Daten und unterfallen nicht Art. 9 DSGVO. Die Freitextfelder der Software (Kundennotizen, Anamnese- und Behandlungsfreitexte, das Feld für den Bericht der Halterin bzw. des Halters, Medikationsänderungen, Diagnose- und Verordnungsfelder auf Rechnungen, die frei gestaltbaren Fragen der digitalen Anamnese sowie das Begründungsfeld für gesperrte Kalenderzeiten) erlauben technisch beliebige Inhalte.

Sie verpflichten sich, dort keine Gesundheits- oder sonstigen besonderen Daten von Menschen nach Art. 9 Abs. 1 DSGVO einzutragen, es sei denn, Sie verfügen über eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und haben die betroffene Person informiert. Das gilt ebenso für Gesundheitsdaten Ihrer Mitarbeitenden. Verarbeiten Sie solche Daten dennoch, tragen Sie die datenschutzrechtliche Verantwortung; DogPhysio schuldet insoweit keine über Anlage 3 hinausgehenden Maßnahmen.

(5) Mitarbeitende. Bei Nutzung der Multi-User-Funktion verpflichten Sie Ihre Mitarbeitenden vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit, unterrichten sie über den Datenschutz, gewähren nur erforderliche Zugriffe, informieren über das Tätigkeitsprotokoll und etwaige Statistiken (Art. 88 DSGVO, § 26 BDSG) und deaktivieren ausgeschiedene Mitarbeitende unverzüglich.

(6) Kundenportal, Buchungs-Widget, digitale Anamnese. Sie sind für die datenschutzkonforme Einbindung und Nutzung verantwortlich, einschließlich einer eigenen Datenschutzerklärung auf Ihrer Website und der Information Ihrer Endkunden.

(7) Zugangsdaten und Token. Sie behandeln Zugangsdaten und den privaten Kalender-Feed-Token vertraulich. Der Kalender-Feed ist über einen geheimen Link ohne weitere Authentifizierung erreichbar; bei Verdacht auf Kompromittierung erzeugen Sie unverzüglich einen neuen Token.

(8) Eigene Datensicherung. Sie sind gehalten, die für Ihre Praxis erforderlichen Aufzeichnungen zusätzlich außerhalb der Software zu sichern. Die Aufbewahrungspflichten nach § 257 HGB und § 147 AO treffen Sie und werden durch die Nutzung der Software nicht auf DogPhysio übertragen.

(9) Sie informieren DogPhysio unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellen.

§ 12 Nachweis- und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

(1) DogPhysio weist Ihnen auf Anfrage die Einhaltung der Pflichten nach.

(2) Nachweisstufen.

• Stufe 1 — Selbstauskunft. Die aktuelle Beschreibung der Maßnahmen (Anlage 3), die Liste der Unterauftragsverarbeiter (Anlage 2) und eine ausgefüllte Selbstauskunft sind unter /avv abrufbar bzw. werden auf Anfrage innerhalb von zehn Werktagen bereitgestellt. Bis zu einmal je Kalenderjahr können Sie eine schriftliche Selbstauskunft anhand eines angemessenen Fragenkatalogs verlangen; DogPhysio antwortet innerhalb von 20 Werktagen.
• Stufe 2 — Nachweise der Unterauftragsverarbeiter.Verfügbare Zertifikate, Testate und Prüfberichte (z. B. ISO 27001, SOC 2) bzw. Verweise auf die öffentliche Compliance-Dokumentation, soweit DogPhysio zur Weitergabe berechtigt ist.
• Stufe 3 — Prüfung. Unabhängig von den Stufen 1 und 2 können Sie einmal je Kalenderjahr eine Prüfung verlangen. Bei konkretem Anlass — insbesondere einer Datenschutzverletzung, einer behördlichen Anordnung oder einem begründeten Verdacht — auch darüber hinaus.

(3) Ausgestaltung der Prüfung. Ankündigung mindestens vier Wochen vorher in Textform, Beschränkung auf den Prüfgegenstand, Durchführung innerhalb der üblichen Geschäftszeiten ohne unangemessene Beeinträchtigung des Geschäftsbetriebs. Da DogPhysio ein Einzelunternehmen ist, erfolgen Prüfungen grundsätzlich per Videokonferenz oder auf Basis eines schriftlichen Fragenkatalogs; eine Prüfung in den Geschäftsräumen ist nur zulässig, wenn der Prüfzweck anders nicht erreichbar ist.

Sie dürfen einen zur Berufsverschwiegenheit verpflichteten Sachverständigen einsetzen, der kein Wettbewerber sein darf; DogPhysio kann ihn aus sachlichem Grund ablehnen. Prüfpersonen sind vorher zur Vertraulichkeit zu verpflichten. Der Prüfumfang unterliegt der Wahrung von Geschäfts- und Betriebsgeheimnissen und dem Schutz der Daten anderer Mandanten; ein Zugriff darauf ist ausgeschlossen.

(4) Häufigkeit und Kosten. Die Mitwirkung von DogPhysio an der Prüfung nach Absatz 2 Stufe 3 ist einmal je Kalenderjahr unentgeltlich; Ihre eigenen Kosten (insbesondere für einen beauftragten Sachverständigen) tragen Sie. Für jede weitere anlasslose Prüfung im selben Kalenderjahr kann DogPhysio eine angemessene Aufwandsentschädigung verlangen und teilt deren Höhe vor Beginn der Prüfung mit. Ergibt eine Prüfung eine erhebliche Pflichtverletzung von DogPhysio, trägt DogPhysio die Kosten der Prüfung. Die Höhe wird vor Beginn der Prüfung einvernehmlich festgelegt; als Kleinunternehmer nach § 19 UStG wird keine Umsatzsteuer ausgewiesen.

(5) DogPhysio erteilt die erforderlichen Auskünfte, gewährt Einsicht in die relevante Dokumentation und wirkt an der Prüfung mit.

(6) Sie dokumentieren das Ergebnis und teilen es DogPhysio mit. Festgestellte Mängel werden unverzüglich, spätestens innerhalb einer einvernehmlich festgelegten Frist behoben.

§ 13 Löschung, Rückgabe und Beendigung

(1) Während der Vertragslaufzeit löschen oder berichtigen Sie Daten selbstständig über die Anwendung. DogPhysio führt Löschungen auf Weisung durch, soweit sie über die Anwendung nicht möglich sind.

(2) Löschverhalten der Anwendung — vereinbartes Löschkonzept:

• Hundedatensätze samt zugehöriger Dokumentation, Befunden und Dokumenten werden endgültig gelöscht.
• Kundendatensätze werden zunächst archiviert und aus dem operativen Zugriff entfernt; künftige Termine werden storniert. Die endgültige Entfernung erfolgt auf Ihre ausdrückliche Weisung, sofern keine Aufbewahrungspflicht entgegensteht.
• Rechnungen werden als gelöscht markiert und aus der operativen Anzeige entfernt, wegen der handels- und steuerrechtlichen Aufbewahrungspflichten aber nicht physisch entfernt.
• Zugänge von Portal-Nutzern und Mitarbeitenden werden bei Deaktivierung sofort entzogen; bei Portal-Nutzern wird zusätzlich die Verknüpfung zum Nutzerkonto gelöst. Die Stammdaten deaktivierter Mitarbeitender (Anzeigename, E-Mail-Adresse, Rolle, Zeitstempel, Abrechnungsbeginn) bleiben zu Beweis- und Abrechnungszwecken erhalten, solange der Nutzungsvertrag besteht, und werden mit ihm nach Absatz 3 gelöscht. Eine automatisierte Anonymisierung nach einer festen Frist findet nicht statt; auf Ihre Weisung in Textform löscht DogPhysio den Datensatz vorher.
• Tätigkeitsprotokolle werden nach sechs Monaten automatisiert pseudonymisiert.

(3) Nach Beendigung löscht DogPhysio alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen einschließlich Kopien, sofern keine gesetzliche Speicherpflicht besteht. Innerhalb dieser 30 Tage stehen die Daten weiterhin zum Export bereit. Ist Ihr Zugang aus Sicherheitsgründen gesperrt, stellt DogPhysio den Export auf Anforderung auf anderem Weg bereit. Ein Zurückbehalten der Daten wegen offener Entgelte findet nicht statt (§ 16 Abs. 4). Auf Ihre Weisung in Textform erfolgt die Löschung unverzüglich; sie wird auf Anfrage in Textform bestätigt.

(4) Testphase. Endet ein Testzugang ohne Übergang in ein Abonnement, werden die Daten 30 Tage nach Ende der Testphase gelöscht.

(5) Rückgabe oder Löschung — Ihr Wahlrecht. Sie entscheiden nach Art. 28 Abs. 3 lit. g DSGVO, ob DogPhysio die Daten löscht oder sie Ihnen vorher herausgibt.

In der Anwendung stehen bereit: Rechnungen als PDF und als ZUGFeRD-XML, Trainingspläne und Befundberichte als PDF, Termine als iCal-Datei. Ein maschinenlesbarer Gesamtexport der Kunden-, Hunde- und Dokumentationsdaten ist nicht Bestandteil der Anwendung. Einen solchen Auszug können Sie bis zum Ende der Löschfrist nach Absatz 3 in Textform anfordern; DogPhysio stellt ihn innerhalb von 14 Tagen in einem gängigen, maschinenlesbaren Format (CSV oder JSON) bereit. AGB § 11 Abs. 8 ist entsprechend gefasst.

(6) Gesetzliche Aufbewahrung. Daten, die DogPhysio aufgrund gesetzlicher Pflichten weiter speichern muss — insbesondere die Abrechnungsdaten des Vertragsverhältnisses nach § 257 HGB und § 147 AO — werden nach Zweckerreichung gesperrt und ausschließlich zu Aufbewahrungszwecken vorgehalten; danach gelöscht.

(7) Datenträger und Ausdrucke werden nach Vertragsende datenschutzgerecht vernichtet oder Ihnen ausgehändigt; die Vernichtung wird dokumentiert.

(8) Kündigung aus datenschutzrechtlichem Grund. Verletzt eine Partei ihre Pflichten erheblich und behebt sie die Verletzung nicht innerhalb einer angemessenen, in Textform gesetzten Frist, kann die andere Partei den Nutzungsvertrag aus wichtigem Grund kündigen.

§ 14 Haftung und Verhältnis zu den AGB

(1) Für die Haftung im Verhältnis der Parteien gelten die Haftungsregelungen der AGB, insbesondere deren § 8, entsprechend, soweit dieser Vertrag nichts anderes bestimmt.

(2) Im Außenverhältnis gegenüber betroffenen Personen und Aufsichtsbehörden gilt Art. 82 DSGVO; Haftungsbeschränkungen entfalten insoweit keine Wirkung und gelten ausschließlich für den internen Ausgleich.

(3) Im internen Verhältnis trägt jede Partei die Folgen einer Verletzung, die ihrem Verantwortungsbereich zuzurechnen ist. Beruht eine Inanspruchnahme ausschließlich auf einer Pflichtverletzung von DogPhysio, stellt DogPhysio Sie im Rahmen von Absatz 1 frei. Beruht eine Inanspruchnahme von DogPhysio auf Ihrer Weisung, auf einer unrechtmäßigen Verarbeitung durch Sie oder auf einem Verstoß gegen § 11, stellen Sie DogPhysio frei.

(4) Bußgelder nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt werden; eine Weiterbelastung erfolgt nur, soweit die andere Partei den Verstoß schuldhaft verursacht hat.

(5) Regelungen der AGB, die die datenschutzrechtliche Verantwortlichkeit abschließend auf Sie verlagern, schränken die eigenen Pflichten von DogPhysio nach Art. 28 und 32 DSGVO und nach diesem Vertrag nicht ein.

§ 15 Vertragsdauer und Änderungen

(1) Der Vertrag ist an den Nutzungsvertrag gekoppelt; er beginnt mit Ihrer Zustimmung und endet mit dessen Beendigung, jedoch nicht vor Erfüllung der Pflichten aus § 13.

(2) Änderungen bedürfen der Textform. Änderungen der Anlagen 2 und 3 kann DogPhysio nach § 7 Abs. 5 bzw. § 6 Abs. 3 vornehmen.

(3) Ändert DogPhysio den Vertragskörper (§§ 1 bis 16), erfolgt die Information mindestens sechs Wochen vor Inkrafttreten in Textform, verbunden mit einem Hinweis auf Ihr Widerspruchsrecht.

Änderungen, die Ihre Rechte und Pflichten inhaltlich betreffen, werden nur mit Ihrer ausdrücklichen Zustimmung wirksam; ohne Zustimmung gilt die bisherige Fassung weiter. Stimmen Sie nicht zu und ist DogPhysio die Fortführung zu den bisherigen Bedingungen nicht zumutbar, kann jede Partei den Nutzungsvertrag zum geplanten Inkrafttreten kündigen.

Redaktionelle Änderungen ohne inhaltliche Auswirkung — etwa berichtigte Verweise, Aktualisierungen von Anschriften oder sprachliche Klarstellungen — gelten ohne Widerspruch innerhalb von sechs Wochen als angenommen.

(4) Ist eine Änderung aufgrund geänderter Rechtslage, behördlicher Anordnung oder gerichtlicher Entscheidung zwingend, tritt sie ohne Vorlauffrist in Kraft; DogPhysio informiert unverzüglich.

§ 16 Schlussbestimmungen

(1) Textform. Dieser Vertrag, Änderungen, Weisungen, Widersprüche und Kündigungen bedürfen der Textform (§ 126b BGB). Die elektronische Form, insbesondere E-Mail und die dokumentierte Zustimmung in der Anwendung, genügt (Art. 28 Abs. 9 DSGVO).

(2) Rangfolge nach § 1 Abs. 4.

(3) Salvatorische Klausel. Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht; unwirksame Bestimmungen werden durch wirksame Regelungen ersetzt, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommen. Entsprechendes gilt für Regelungslücken.

(4) Zurückbehaltung. Ein Zurückbehaltungsrecht an den im Auftrag verarbeiteten Daten kann DogPhysio nicht geltend machen; § 273 BGB ist insoweit abbedungen.

(5) Anwendbares Recht. Es gelten die Rechtswahl- und Gerichtsstandsregelungen der AGB; ergänzend deutsches Recht unter Anwendung der DSGVO.

(6) Zuständige Aufsichtsbehörde für DogPhysio: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstr. 219, 10969 Berlin.

(7) Anlagen: Anlage 1 Verarbeitungsübersicht, Anlage 2 Unterauftragsverarbeiter, Anlage 3 Technische und organisatorische Maßnahmen.

Fassung 1.0, Stand: 9. August 2026

Anlage 1 — Verarbeitungsübersicht

1.1 Kategorien betroffener Personen

• Endkundinnen und Endkunden der Praxis (Halterinnen und Halter der behandelten Hunde)
• Interessentinnen und Interessenten, die über das Buchungs-Widget anfragen oder buchen
• Nutzerinnen und Nutzer des Kundenportals
• Mitarbeitende der Praxis (Multi-User-Funktion)
• Dritte, deren Daten die Praxis in Freitextfeldern oder Dokumenten erfasst (insbesondere behandelnde Tierärztinnen und Tierärzte, Versicherungen, Angehörige)
• die Praxisinhaberin bzw. der Praxisinhaber, soweit ihre bzw. seine Daten in Kundendokumenten erscheinen

1.2 Kategorien personenbezogener Daten

1.3 Besondere Kategorien (Art. 9 DSGVO)

Die Verarbeitung besonderer Kategorien ist nicht Gegenstand dieses Vertrages. Gesundheitsdaten von Hunden sind keine personenbezogenen Daten. Die Software enthält jedoch Freitextfelder, in denen die Eingabe von Gesundheitsdaten von Menschen technisch möglich ist: Kundennotizen, das Feld für den Bericht der Halterin bzw. des Halters, Medikationsänderungen, die frei gestaltbaren Fragen und Antworten der digitalen Anamnese, Diagnose- und Verordnungstexte auf Rechnungen, Behandlungs- und Anamnesefreitexte sowie das Begründungsfeld für gesperrte Mitarbeiterzeiten. Die Praxis verpflichtet sich nach § 11 Abs. 4, solche Angaben zu unterlassen oder eigenständig zu legitimieren.

1.4 Zwecke

Praxisverwaltung (Kunden-, Patienten-, Termin-, Ressourcen- und Standortverwaltung); Behandlungsdokumentation und Befunderhebung; Trainingsplanerstellung; Fakturierung und Rechnungsarchivierung einschließlich elektronischer Rechnungsformate; Kommunikation mit Endkunden im Namen der Praxis; Kundenportal; Online-Terminbuchung und digitale Anamnese; Verwaltung von Mitarbeitendenzugängen, Berechtigungen und Tätigkeitsprotokoll; KI-gestützte Assistenzfunktionen bei entsprechender Nutzung; Betrieb, Wartung, Fehleranalyse, Verfügbarkeit und Missbrauchsabwehr.

1.5 Speicherfristen

Anlage 2 — Unterauftragsverarbeiter

Stand: 9. August 2026

2.1 Eingesetzte Unterauftragsverarbeiter

2.2 Unterauftragsverarbeiter des Zusatzmoduls FENRIS und des Betreiber-Briefings

Wichtige Einschränkung zu Nr. 7: Hetzner ist nicht ausschließlich optional. Der auf Hetzner betriebene Dienst ruft für das tägliche Betreiber-Briefing plattformweite Kennzahlen ab — auch zu Praxen, die FENRIS nicht aktiviert haben. Übermittelt werden dabei ausschließlich Datensatz-Kennungen, Status und Zeitstempel (clients: id/status/created_at; dogs: id; invoices: id/status/total; profiles: id/role/created_at; practitioners: id/created_at), keine Namen, Anschriften, Kontaktdaten, Diagnosen oder Dokumentationsinhalte. Hetzner ist damit für diesen Zweck ein regulärer Unterauftragsverarbeiter im Sinne von § 7 und in Abschnitt 2.1 mitzulesen.

2.3 Nicht als Unterauftragsverarbeitung geführt

• Übungsvideos über youtube-nocookie.com (Google Ireland Limited): keine Kunden- oder Patientendaten; beim Abspielen verarbeitet Google technische Daten des Geräts; Einbettung nur nach Einwilligung.
• Übungsbilder und -videos aus Altbeständen über das Wix-CDN (static.wixstatic.com, video.wixstatic.com): ausschließlich Inhalte von DogPhysio, keine Kunden- oder Patientendaten; beim Abruf verarbeitet der Anbieter die IP-Adresse des Geräts. Betrifft aktuell 28 der 29 mitgelieferten Übungen (85 Dateien, 117 MB); nach Migration nach Supabase Storage entfällt dieser Punkt.

2.4 Nachweis der Auftragsverarbeitungsverträge (§ 7 Abs. 3)

Mit jedem eingesetzten Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO. Stand der Prüfung: 9. August 2026. Die Vertragsdokumente liegen bei DogPhysio vor und werden Ihnen auf Anfrage nach § 12 Abs. 2 Stufe 1 zur Einsicht bereitgestellt.

Unter-Unterauftragsverarbeiter. Die genannten Anbieter setzen ihrerseits Dienstleister ein und haben diesen nach Art. 28 Abs. 4 DSGVO dieselben Pflichten auferlegt. Die jeweils aktuellen Listen sind öffentlich abrufbar; zum Stand der Prüfung umfassten sie unter anderem: bei Supabase Amazon Web Services, Cloudflare, Google, Fly.io, Vercel, Upstash, OpenAI und Sentry; bei Hostinger Amazon Web Services EMEA, Google Cloud EMEA, Cloudflare, MailChannels, Proofpoint, Anthropic Ireland und spectra tech; bei Hetzner unter anderem Hetzner Finland Oy. Für Serverstandorte in der EU verarbeitet Hetzner ausschließlich innerhalb der EU.

Nicht benötigt. Für Microsoft liegt ebenfalls ein Auftragsverarbeitungsvertrag vor (Products and Services Data Protection Addendum, Stand 1. April 2025). Er wird für die Praxissoftware nicht benötigt: Es ist kein Microsoft-Dienst eingebunden. Outlook wird im Text der Anwendung lediglich als Beispiel für ein Kalenderprogramm genannt, in dem Sie den Kalender-Feed abonnieren können — dabei entsteht keine Verarbeitung im Auftrag von DogPhysio.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 9. August 2026

3.1 Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: alle Verbindungen ausschließlich über TLS; HSTS mit einem Jahr Gültigkeit einschließlich Subdomains.
• Verschlüsselung im Ruhezustand: erbracht durch den Datenbank- und Speicheranbieter (Nr. 1).
• Anwendungsseitige Verschlüsselung sensibler Zugangsdaten: Zugriffs- und Erneuerungstoken externer Schnittstellen werden mit AES-256-GCM verschlüsselt gespeichert.
• Passwörter werden ausschließlich als Hashwert beim Authentifizierungsdienst gespeichert; DogPhysio hat keinen Zugriff auf Klartextpasswörter.
• Pseudonymisierung von Protokolldaten: Tätigkeitsprotokolle werden nach sechs Monaten automatisiert pseudonymisiert.
• Datenminimierung im KI-Kontext: An die KI-Schnittstellen werden die Stammdatenfelder Ihrer Endkunden — Name, Anschrift, E-Mail-Adresse und Telefonnummer — nicht übermittelt. Übertragen werden die von Ihnen eingegebenen Chat-Inhalte, patientenbezogene Sachangaben (Rasse, Alter, Gewicht) sowie die Freitextfelder Diagnose und Anamnese und die Übungsbeschreibungen. Freitextfelder werden dabei unverändert übertragen; ein inhaltlicher Filter besteht nicht. Sie sind deshalb nach § 11 Abs. 4 verpflichtet, dort keine besonderen Daten von Menschen einzutragen — der Auftragsverarbeitungsvertrag mit dem Anbieter (Anlage 2 Nr. 4) schließt besondere Datenkategorien ausdrücklich aus.
• Nicht erratbare Zugriffskennungen für nicht authentifizierte Pfade (Kalender-Feed, Einladungslinks, Buchungs-Widget).

3.2 Vertraulichkeit

Zutrittskontrolle. Die Rechenzentren der Unterauftragsverarbeiter verfügen über zertifizierte physische Zutrittskontrollen; DogPhysio betreibt keine eigenen Server.

Zugangskontrolle. Anmeldung mit E-Mail und Passwort über einen dedizierten Authentifizierungsdienst, Mindestlänge acht Zeichen; Sitzungsverwaltung mit signierten Token; serverseitige Prüfung jeder geschützten Route in einer vorgeschalteten Middleware; Begrenzung der Anfragehäufigkeit; Prüfung der Anfrageherkunft bei allen datenveränderten Zugriffen der Praxis-Anwendung (Origin- und Referer-Prüfung, umgesetzt in 90 der 131 schreibenden Routen); Sicherheits-Header (Einbettungsverbot, Verbot der Inhaltstyp-Erratung, restriktive Referrer-Weitergabe, Deaktivierung von Kamera-, Mikrofon- und Standortzugriff); optionale biometrische Entsperrung in der Android-Anwendung, ohne dass biometrische Merkmale das Gerät verlassen.

Zwei-Faktor-Anmeldung.Für Praxis-Zugänge steht eine Anmeldung in zwei Schritten mit zeitbasiertem Einmalkennwort aus einer Authenticator-App zur Verfügung (Einstellungen → Konto & Daten). Sie ist für jede Person einzeln aktivierbar. Ist sie aktiv, prüft der Server bei jedem Zugriff, dass die Sitzung tatsächlich mit dem zweiten Faktor bestätigt wurde; eine nur mit Passwort angemeldete Sitzung erhält keine Daten. Zu den Grenzen dieser Maßnahme siehe Abschnitt 3.6.

Zugriffskontrolle und Mandantentrennung. Logische Mandantentrennung auf Datenbankebene durch zeilenbasierte Sicherheitsregeln, gebunden an die Praxiszugehörigkeit über eine zentrale, gegen Suchpfad-Manipulation gehärtete Datenbankfunktion. Rollenkonzept mit getrennten Rollen für Praxisinhaber, Mitarbeitende, Portal-Kunden und Verwaltung; die maßgebliche Rollenprüfung erfolgt serverseitig gegen die Datenbank. Datenbankseitige Sperre gegen eigenmächtige Rechteerhöhung. Ausführungsrechte privilegierter Datenbankfunktionen sind für nicht angemeldete und angemeldete Nutzer entzogen. Zugriff auf Dokumentendateien ausschließlich über zeitlich befristete signierte Verweise. Innerhalb einer Praxis kann die Sichtbarkeit von Terminen für Mitarbeitende eingeschränkt und die für Endkunden sichtbaren Datenkategorien einzeln freigegeben werden. Privilegierte Datenbankschlüssel werden ausschließlich serverseitig verwendet.

Trennungskontrolle. Getrennte Umgebungen und Zugangsschlüssel für Entwicklung und Produktion; Betriebsgeheimnisse ausschließlich als Umgebungsvariablen.

Weitergabekontrolle. Übermittlungen an Unterauftragsverarbeiter ausschließlich über verschlüsselte Verbindungen. Dienst-zu-Dienst-Aufrufe des Zusatzmoduls mit HMAC-SHA256-Signatur über Methode, Pfad, Zeitstempel und Nutzlast, laufzeitkonstante Prüfung, Zeitfenster fünf Minuten gegen Wiedereinspielung. Zahlungsdienst-Rückmeldungen werden anhand der Anbietersignatur geprüft und gegen doppelte Verarbeitung abgesichert.

3.3 Integrität

• Eingabekontrolle: Änderungen an Kunden-, Hunde-, Termin-, Rechnungs-, Trainingsplan- und Befunddatensätzen durch Mitarbeitende werden mit Aktion, Zeitstempel, handelnder Person, Objekttyp, Objektkennung und Änderungsdetails protokolliert; einsehbar nur für die Praxisinhaberin bzw. den Praxisinhaber. Verwaltungshandlungen von DogPhysio werden gesondert protokolliert.
• Datenintegrität: Fremdschlüsselbeziehungen und Prüfbedingungen auf Datenbankebene; Auslöser zur Verhinderung von Terminüberlappungen; atomare, kollisionsfreie Erzeugung von Rechnungsnummern über eine ausschließlich der Dienstrolle zugängliche Funktion; unveränderliche Momentaufnahmen der Empfänger- und Patientendaten auf ausgestellten Rechnungen.
• Server-Wahrheit: sicherheitsrelevante Entscheidungen (Rolle, Praxiszugehörigkeit, Berechtigung) ausschließlich serverseitig.

3.4 Verfügbarkeit und Belastbarkeit

• Betrieb auf redundanter Infrastruktur der Unterauftragsverarbeiter Nr. 1 und 2 mit unterbrechungsfreier Stromversorgung, Brandschutz und Klimatisierung.
• Verwaltete, hochverfügbare Datenbank beim Unterauftragsverarbeiter Nr. 1.
• Schutz vor Überlastung durch Begrenzung der Anfragehäufigkeit.
• Getrennte Ausführung ressourcenintensiver Verarbeitungen (Dokumentenerzeugung, Medienkonvertierung).
• Automatisierte Überwachung des E-Mail-Versands mit Protokollierung fehlgeschlagener Übermittlungen.

Datensicherung. Die Datensicherung wird durch den Datenbankanbieter (Unterauftragsverarbeiter Nr. 1) im Rahmen des gebuchten Tarifs erbracht: Das Projekt läuft im Tarif Pro, der Anbieter erstellt automatisierte tägliche Sicherungen. Das Zusatzmodul für punktgenaue Wiederherstellung (Point-in-Time-Recovery) ist nicht gebucht; die Aufbewahrungsdauer der Sicherungen richtet sich nach dem Tarifumfang des Anbieters. Was daraus folgt, ist in Abschnitt 3.6 als nicht zugesagte Maßnahme benannt. DogPhysio unterhält kein zusätzliches eigenes Sicherungsverfahren und sagt weder bestimmte Sicherungsintervalle noch Wiederherstellungszeitpunkte oder Aufbewahrungsdauern zu. AGB § 11 Abs. 7 ist entsprechend gefasst.

3.5 Verfahren zur regelmäßigen Überprüfung

• Auftragskontrolle: schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, dokumentierte Prüfung vor Beauftragung, Weisungsdokumentation.
• Sicherheitsprüfungen: strukturierte Prüfungen von Quellcode und Datenbankberechtigungen werden durchgeführt und dokumentiert; Befunde werden nachverfolgt und über nachvollziehbare Datenbankmigrationen behoben, die Wirksamkeit wird gegen die Produktionsumgebung verifiziert.
• Änderungsverwaltung: alle Änderungen an Anwendung und Datenbankschema versionskontrolliert; Datenbankänderungen fortlaufend numeriert und dokumentiert.
• Statische Codeprüfung und automatisierte Tests für sicherheitsrelevante Prüffunktionen.
• Aktualisierung von Fremdkomponenten in regelmäßigen Abständen.
• Löschkonzept nach § 13 Abs. 2 implementiert; Pseudonymisierung der Tätigkeitsprotokolle automatisiert und zeitgesteuert.
• Datenschutz durch Voreinstellung: Auswertungen zu Mitarbeitenden standardmäßig deaktiviert; externe Medien nur nach Einwilligung; Weitergabe von Endkundendaten an das KI-Zusatzmodul ausgeschlossen.
• Jährliche Überprüfung der Wirksamkeit der Maßnahmen dieser Anlage.

3.6 Nicht umgesetzte Maßnahmen (ausdrücklich nicht zugesagt)

• Die Zwei-Faktor-Anmeldung (Abschnitt 3.2) ist freiwillig: Sie kann von der Praxisleitung für Mitarbeitende nicht erzwungen werden, und DogPhysio setzt sie nicht voraus. Wiederherstellungscodes gibt es nicht — geht das Gerät verloren, entfernt DogPhysio den Faktor nach Identitätsprüfung auf Anfrage. Für Portal-Zugänge von Endkunden steht die Zwei-Faktor-Anmeldung nicht zur Verfügung.
• Über die Mindestlänge von acht Zeichen hinausgehende Passwortanforderungen (Komplexitätsregeln, Prüfung gegen bekannte Datenlecks, Passworthistorie) werden nicht erzwungen; die Prüfung erfolgt überwiegend clientseitig.
• Eine anwendungsseitige Verschlüsselung der Inhaltsdaten über die Verschlüsselung des Datenbankanbieters hinaus erfolgt nicht.
• Ein Zertifikat nach Art. 42 DSGVO oder eine ISO-27001-Zertifizierung auf Ebene von DogPhysio liegt nicht vor; entsprechende Zertifizierungen bestehen auf Ebene der Unterauftragsverarbeiter.
• Die Content-Security-Policy der Anwendung erreicht den Browser derzeit nicht, weil der Hosting-Anbieter den Header ersetzt; sie kann daher nicht als wirksame Maßnahme geführt werden.
• Das Rate Limiting greift nur, solange der Dienst zur Anfragebegrenzung erreichbar ist; fällt er aus, lassen die Lese-Endpunkte der Online-Buchung bewusst durch, damit das Buchungs-Widget der Praxen nicht stillsteht. Der Schreib-Pfad bleibt in diesem Fall gesperrt. Die Absender-Kennung stammt aus einer vom Aufrufer nicht beeinflussbaren Kopfzeile des vorgelagerten Servers.
• Einladungstoken für Kundenportal und Mitarbeitende werden im Klartext gespeichert.
• Ein Wiederherstellungspunkt unterhalb eines Tages ist nicht zugesagt: Das Zusatzmodul für punktgenaue Wiederherstellung (Point-in-Time-Recovery) ist beim Datenbankanbieter nicht gebucht, der früheste Wiederherstellungspunkt ist damit der letzte automatische Tagesstand. Ein Wiederherstellungstest wurde bisher nicht durchgeführt.
• Behandlungsfotos würden über öffentlich adressierbare, aber nicht erratbare Verweise ausgeliefert. Der Speicherbereich ist derzeit leer und kein Dokumentationseintrag enthält Bilder — die Funktion ist bisher nicht genutzt. Vor der ersten Nutzung ist auf befristete signierte Verweise umzustellen (wie bei Dokumentendateien).

Fassung 1.0 — Stand: August 2026