Auftragsverarbeitungsvertrag

Die praktizierende Person ist Verantwortlicher im Sinne von Artikel 4 Nr. 7 DSGVO. Sie bestimmt die Zwecke und Mittel der Verarbeitung der Daten ihrer Patientinnen und Patienten und bleibt allein verantwortlich für die klinischen Inhalte, die therapeutischen Entscheidungen und die Einhaltung ihrer Berufsordnung.

Playfield SRL (Unternehmensnummer 0833.702.033) mit Sitz in Chemin de Toune 4, 1325 Chaumont-Gistoux, Belgien, Herausgeberin von Theramate, ist Auftragsverarbeiter im Sinne von Artikel 4 Nr. 8. Sie verarbeitet diese Daten im Auftrag und nach Weisung der praktizierenden Person.

Dieser Vertrag ist der nach Artikel 28 Absatz 3 DSGVO erforderliche Rechtsakt. Er ist den Allgemeinen Nutzungsbedingungen beigefügt und wird gemeinsam mit ihnen angenommen. Eine gegengezeichnete Ausfertigung wird auf Anfrage übermittelt.

Gegenstand: die Bereitstellung von Theramate, einem Werkzeug für die Praxisverwaltung, die Führung der klinischen Akte und die Schreibunterstützung. Dauer: die des Hauptvertrags, danach die Fristen aus Artikel 8.

Playfield SRL verarbeitet die Daten ausschließlich nach dokumentierter Weisung der praktizierenden Person. Diese Bedingungen, dieser Vertrag und die Nutzung der Funktionen bilden diese Weisungen.

Playfield SRL informiert die praktizierende Person ohne unangemessene Verzögerung, wenn sie der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen belgisches Recht verstößt, und kann deren Ausführung bis zur Klärung aussetzen.

Verlangt eine gesetzliche Pflicht eine Verarbeitung außerhalb dieser Weisungen, wird die praktizierende Person vorab informiert, sofern das Gesetz dies nicht untersagt.

Jede zur Verarbeitung befugte Person ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet; diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus fort.

Zusage, nicht zu lesen: Das Theramate-Team liest keine klinischen Inhalte. Technische Zugriffe, die für Betrieb, Support oder Sicherheit erforderlich sind, sind auf einen namentlich begrenzten Personenkreis beschränkt, werden protokolliert und dienen nicht dem Lesen von Akten, außer auf Ihre ausdrückliche Bitte hin, etwa wenn Sie uns zu einer bestimmten Akte um Hilfe bitten, oder aufgrund einer wirksamen gesetzlichen Verpflichtung.

Playfield SRL setzt die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen gemäß Artikel 32 DSGVO um.

Anhang II beschreibt den aktuellen Stand dieser Maßnahmen. Sie entwickeln sich mit der Technik und der Infrastruktur weiter und können durch andere Maßnahmen ersetzt werden, die ein mindestens gleichwertiges Schutzniveau bieten.

Die praktizierende Person erteilt eine allgemeine Genehmigung für die in Anhang III aufgeführten weiteren Auftragsverarbeiter.

Ergänzung oder Ersetzung: Playfield SRL informiert die praktizierende Person mindestens 30 Tage vor der Inbetriebnahme per E-Mail und durch Aktualisierung der auf dieser Seite veröffentlichten Liste. Sie verpflichtet sich darüber hinaus, jeden neuen Auftragsverarbeiter anzukündigen, der klinische Inhalte verarbeitet, auch wenn die Änderung geringfügig erscheint.

Dringende Ersetzung: Wird ein Auftragsverarbeiter nicht mehr verfügbar oder besteht ein bestätigtes Sicherheitsrisiko, kann Playfield SRL ihn ohne Vorankündigung ersetzen, um den Dienst aufrechtzuerhalten oder die Daten zu schützen. Die praktizierende Person wird unverzüglich informiert; das Widerspruchsrecht gilt dann nachträglich, zu denselben Bedingungen.

Widerspruch: Die praktizierende Person kann innerhalb von 30 Tagen begründet widersprechen. Die Parteien suchen dann nach Treu und Glauben eine Lösung. Andernfalls kann die praktizierende Person ohne Vertragsstrafe kündigen, mit anteiliger Erstattung des gezahlten und nicht genutzten Zeitraums.

Weitergabe der Pflichten: Playfield SRL erlegt jedem weiteren Auftragsverarbeiter vertraglich gleichwertige Pflichten auf und bleibt für deren Erfüllung voll verantwortlich.

Playfield SRL stellt der praktizierenden Person die Funktionen bereit, mit denen sie die Anfragen ihrer Patientinnen und Patienten auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch beantworten kann.

Lässt sich eine Anfrage über diese Funktionen nicht erfüllen, unterstützt Playfield SRL die praktizierende Person in angemessener Frist und kostenfrei. Gemäß Artikel 12 Absatz 5 DSGVO kann für offenkundig unbegründete oder exzessive Anfragen sowie für Anfragen, deren Umfang eine übliche Unterstützung offensichtlich übersteigt, ein Kostenbeitrag verlangt werden.

Eine unmittelbar an Playfield SRL gerichtete Anfrage einer betroffenen Person wird unverzüglich an die praktizierende Person weitergeleitet; Playfield SRL beantwortet sie nicht selbst.

Playfield SRL benachrichtigt die praktizierende Person innerhalb von 48 Stunden, nachdem sie Gewissheit über das Vorliegen einer Verletzung erlangt hat. Diese Frist läuft ab der Bestätigung, nicht ab dem ersten Hinweis.

Die Benachrichtigung enthält, soweit möglich: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen Maßnahmen. Fehlende Angaben werden nachgereicht, ohne ein vollständiges Bild abzuwarten.

Playfield SRL unterstützt die praktizierende Person bei deren eigenen Pflichten nach den Artikeln 32 bis 36, insbesondere bei der Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden.

Nach Kündigung behält die praktizierende Person zwölf (12) Monate lang kostenfreien Lese- und Exportzugriff auf sämtliche Daten. Erfolgt die Kündigung wegen einer schweren Pflichtverletzung ihrerseits, kann dieser Zeitraum verkürzt werden, niemals jedoch unter die Zeit, die für den Export der Akten vernünftigerweise erforderlich ist; sie wird darüber informiert. Der Zugriff umfasst ausschließlich Lesen und Exportieren: Anlegen, Audioaufnahme, künstliche Intelligenz, Online-Terminbuchung und Abrechnung sind deaktiviert.

Vorzeitige Löschung: Die praktizierende Person kann jederzeit und ohne Angabe von Gründen die sofortige Löschung verlangen. Dieses Verlangen geht der Zwölfmonatsfrist vor.

Erinnerungen: Playfield SRL informiert die praktizierende Person 60 Tage und dann 7 Tage vor der endgültigen Löschung.

Was „gelöscht" genau bedeutet. Im laufenden System erfolgt die Löschung sofort: Die Daten sind nicht mehr zugänglich und werden nicht mehr verarbeitet. Sie bestehen anschließend in den vor der Löschung erstellten verschlüsselten Sicherungen fort, für die Dauer von deren Rotationszyklus, derzeit dreißig Tage, nach deren Ablauf sie endgültig verschwinden. Es wird niemals eine Sicherung wiederhergestellt, um daraus gelöschte Daten zu gewinnen. Eine Löschbescheinigung wird auf Anfrage ausgestellt.

Buchhaltungsunterlagen: Rechnungen, Gutschriften und Zahlungen bleiben gespeichert, um die gesetzlich geforderte lückenlose buchhalterische Nummerierung zu wahren. Sie enthalten weder klinische Inhalte noch personenbezogene Angaben: Der Name der Patientin oder des Patienten wird dort nie gespeichert. Bei Löschung einer Akte wird der praktizierenden Person ein Archiv dieser Unterlagen, ergänzt um den Namen der Patientin oder des Patienten, übergeben, das sie gemäß ihren buchhalterischen und steuerlichen Pflichten aufbewahrt.

Hinweis: In Belgien ist die Patientenakte mindestens 30 Jahre ab dem letzten Kontakt mit der Patientin oder dem Patienten aufzubewahren (Gesetz vom 22. April 2019 über die Qualität der Gesundheitsversorgung, Artikel 35). Es obliegt der praktizierenden Person, ihre Akten vor der Löschung zu exportieren.

Stufe 1, auf schriftliche Anfrage, kostenfrei, innerhalb von 30 Tagen: Playfield SRL stellt die Unterlagen bereit, die zum Nachweis der Einhaltung von Artikel 28 erforderlich sind, nämlich Anhang II, die Zertifikate und Bescheinigungen der Hosting-Anbieter, die aktuelle Liste der weiteren Auftragsverarbeiter sowie schriftliche Antworten auf einen Sicherheitsfragebogen.

Stufe 2, Audit: Reicht Stufe 1 nicht aus, kann die praktizierende Person ein Audit durchführen lassen, mit 30 Tagen Vorankündigung, höchstens einmal jährlich, durch einen unabhängigen, nicht konkurrierenden und zur Vertraulichkeit verpflichteten Prüfer, ohne Zugang zu den Daten anderer Praktizierender oder zu technischen Geschäftsgeheimnissen.

Die Kosten trägt die praktizierende Person, es sei denn, das Audit deckt einen erheblichen Verstoß von Playfield SRL auf; dann trägt Playfield SRL sie. Playfield SRL kann einer Auditanfrage auch dadurch nachkommen, dass sie einen aktuellen unabhängigen Prüfbericht über denselben Prüfungsumfang vorlegt oder ein gemeinsames Audit für mehrere anfragende Praktizierende organisiert. Die Begrenzung auf ein Audit pro Jahr gilt nicht nach einer bestätigten Verletzung, die die praktizierende Person betrifft.

Die Daten werden in der Europäischen Union gehostet und verarbeitet. Die Standorte sind in Anhang III aufgeführt. Umfasst eine Verarbeitung eine Übermittlung in ein Drittland, so ist diese durch einen Angemessenheitsbeschluss oder durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.

Dieser Abschnitt betrifft nicht die DSGVO, sondern das Strafrecht, und es ist die Frage, die sich eine Psychologin oder ein Psychologe zuerst stellt.

Eine Akte Theramate anzuvertrauen ist keine Offenbarung. Playfield SRL handelt als technischer Auftragsverarbeiter, allein nach Ihren Weisungen, ohne eigenen Zweck, und ihr Personal ist zur Vertraulichkeit verpflichtet. Nach belgischem Recht gilt ein für die Berufsausübung notwendiger Dienstleister als notwendiger Mitwisser: ihm Daten zu übermitteln, damit er Ihnen das Arbeiten ermöglicht, stellt keinen Verstoß gegen Artikel 458 des Strafgesetzbuchs dar. Das Geheimnis bleibt Ihres, und Sie bleiben sein Hüter.

Was wir uns über die DSGVO hinaus versagen. Wir nehmen niemals von uns aus Kontakt zu Ihren Patientinnen und Patienten auf. Wir beantworten keine Anfrage Dritter zu klinischen Inhalten, sei es von einer Versicherung, einem Arbeitgeber, Angehörigen oder einer Behörde, und verweisen sie an Sie, die allein entscheidungsbefugt sind. Wir stellen niemandem außer Ihnen eine Bescheinigung, einen Auszug oder eine Bestätigung darüber aus, dass eine Akte existiert.

Wenn das Gesetz uns zwingt. Eine wirksame gerichtliche Anordnung bindet uns wie sie Sie binden würde. In diesem Fall informieren wir Sie vor jeder Beantwortung, wann immer das Gesetz es zulässt, damit Sie Ihr eigenes Berufsgeheimnis geltend machen können, das weiter geht als unseres. Wir geben nur das heraus, was strikt verlangt wird.

Ihre klinischen Inhalte dienen einem einzigen Zweck: Ihnen den Dienst bereitzustellen.

Wir verwenden sie nicht, um Modelle künstlicher Intelligenz zu trainieren oder zu verbessern, weder unsere eigenen noch die unserer Anbieter, die vertraglich daran gebunden sind. Wir verwenden sie nicht, um Statistiken, Studien, Forschungsarbeiten oder Werbematerial zu erstellen, auch nicht in aggregierter oder anonymisierter Form. Wir verkaufen sie nicht und teilen sie nicht mit Dritten zu deren eigenen Zwecken.

Ohne Ausnahme. Ihre Inhalte dienen keinem Test, keiner Evaluierung und keiner Messreihe: Diese Arbeiten stützen sich auf synthetische Akten, die eigens zu diesem Zweck erstellt werden.

Was wir hingegen messen. Das Verhalten der Software: Fehler, Antwortzeiten, genutzte Funktionen, verarbeitete Mengen. Diese Messungen betreffen das Werkzeug, nie das, was Sie hineinschreiben.

Sie vertrauen uns Akten an, die Sie gesetzlich dreißig Jahre lang aufbewahren müssen. Sie haben ein Recht darauf zu erfahren, was geschieht, wenn uns etwas zustößt.

Sollten wir beschließen, den Betrieb einzustellen, würden Sie mindestens 90 Tage vor Einstellung des Dienstes informiert, und der vollständige Export Ihrer Akten bliebe während dieses gesamten Zeitraums verfügbar. Wir würden vor dessen Ablauf nichts löschen.

Im Insolvenzverfahren, bei Konkurs oder gerichtlicher Reorganisation, ändert sich eines nicht: Der Export Ihrer Akten bleibt garantiert. Das ist eine Verpflichtung, kein Bemühen. Die Akten gehören Ihnen, sie lassen sich mit einem Handgriff aus der Anwendung exportieren, und wir bringen diese Pflicht jeder Person zur Kenntnis, die die Kontrolle über den Betrieb übernimmt, sei es ein Insolvenzverwalter, ein Sachwalter oder eine Erwerberin. Das Exportfenster beträgt in keinem Fall weniger als dreißig Tage, und Sie werden benachrichtigt, sobald wir von der Lage Kenntnis erlangen.

Was in diesem Fall nachgeben kann, ist die Dauer der zwölf Monate Lesezugriff aus Artikel 8: Sie setzt einen laufenden Dienst voraus, und darüber entscheiden dann nicht mehr wir. Der Export gibt nicht nach.

Bei Veräußerung oder Kontrollwechsel gehen dieser Vertrag und sämtliche darin enthaltenen Zusagen auf die Erwerberin oder den Erwerber über, die sie nicht abschwächen dürfen. Sie werden informiert und können, wenn Sie das nicht wünschen, ohne Vertragsstrafe mit anteiliger Erstattung kündigen.

Ihre Daten sind niemals ein für sich veräußerbarer Vermögenswert. Sie können nur im Rahmen der Übernahme des Dienstes und zu denselben Bedingungen übertragen und niemals gesondert verkauft werden.

Jede Seite haftet für das, was sie beherrscht. Sie entscheiden über Zwecke, Inhalte und Aufbewahrungsfristen; wir führen Ihre Weisungen aus und sichern das Werkzeug. Die Haftung folgt dieser Aufteilung.

Was die Verordnung sagt, und daran halten wir uns: Nach Artikel 82 Absatz 2 DSGVO haftet ein Auftragsverarbeiter für einen durch eine Verarbeitung verursachten Schaden nur dann, wenn er den speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder wenn er außerhalb Ihrer rechtmäßigen Weisungen oder gegen diese gehandelt hat. In diesen Fällen tragen wir unseren Anteil, ohne zu versuchen, ihn auf Sie abzuwälzen.

Was wir nicht an Ihrer Stelle tragen können: die Richtigkeit und Sachdienlichkeit der klinischen Inhalte, die therapeutischen Entscheidungen, die Einhaltung Ihrer Berufsordnung, die Information Ihrer Patientinnen und Patienten sowie das Einholen der bei ihnen erforderlichen Einwilligungen. Das sind Handlungen eines Verantwortlichen und einer Gesundheitsfachperson.

Beschränkung: Die in den Allgemeinen Nutzungsbedingungen vorgesehenen Haftungsbeschränkungen und -ausschlüsse gelten für diesen Vertrag. Sie beschränken weder Haftungen, die das Gesetz für nicht beschränkbar erklärt, noch die Haftung bei Vorsatz oder grober Fahrlässigkeit.

Betroffene Personen: die Patientinnen und Patienten der praktizierenden Person, Begleitpersonen, sofern sie an einer Sitzung teilnehmen, und die praktizierende Person selbst.

Datenkategorien: Identität (Name, Vorname, Geburtsdatum, Sprache)
• Kontaktdaten (E-Mail, Telefon, soweit angegeben)
• Termine (Daten, Uhrzeiten, kurze Anlässe, Anwesenheit)
• Gesundheitsdaten im Sinne von Artikel 9 (Sitzungsnotizen, Transkripte, Zusammenfassungen, klinische Synthese, Fragebögen und Werte, zur Akte hinzugefügte Dokumente, handschriftliche Notizen)
• Sitzungsaudio, soweit vorhanden, nach der Integration gelöscht
• Videosprechstunde, live, nie aufgezeichnet
• Abrechnung (Honorare, Zahlungen, buchhalterische Daten)
• technische Daten (Verbindungsprotokolle, beschränkt auf Support und Sicherheit).

Zwecke: Führung der klinischen Akte, Terminverwaltung, unterstützte Transkription und Zusammenfassung, Durchführung von Fragebögen, Videosprechstunde, Abrechnung sowie Kommunikation mit der Patientin oder dem Patienten auf Initiative der praktizierenden Person.

Automatisierte Entscheidungen: keine. Von künstlicher Intelligenz erzeugte Inhalte sind Vorschläge, die der Durchsicht und Freigabe durch die praktizierende Person unterliegen.

Verschlüsselung: Klinische und personenbezogene Daten werden vor der Speicherung mit AES-256-GCM verschlüsselt, mit einem für jede praktizierende Person eigenen Schlüssel, zusätzlich zur Verschlüsselung der Hosting-Plattform. Die Schlüssel werden serverseitig mit beschränktem Zugriff verwaltet. Die Übertragungen sind verschlüsselt (TLS).

Zugriffskontrolle: Authentifizierung der praktizierenden Person, Eigentumsprüfung bei jedem Zugriff auf Patientendaten, Integritätsnachweis der Client-Anwendung, namentliche Beschränkung der technischen Zugriffe.

Protokollierung: Zugriffs- und Änderungsereignisse werden protokolliert. Die technischen Protokolle enthalten keine klinischen Inhalte.

Sicherungen: automatische verschlüsselte Datenbanksicherungen, täglich und wöchentlich, 30 Tage aufbewahrt, innerhalb der Europäischen Union.

Audio: Die von der praktizierenden Person übergebene Datei wird vom Server in ein mit ihrem Schlüssel verschlüsseltes Objekt umgewandelt, und die ursprüngliche Ablage wird sofort vernichtet. Das entstehende Transkript wird mit demselben Schlüssel verschlüsselt, bevor es in die Akte geschrieben wird. Die für Transkription und Zusammenführung erforderlichen Arbeitsdateien liegen an privaten Orten, die weder auflistbar noch zwischenspeicherbar sind, und werden automatisch innerhalb von 24 Stunden gelöscht, höchstens 3 Tage für die ursprüngliche Ablage, auch wenn die Verarbeitung fehlgeschlagen ist. Das Audio wird nach der Integration in die Akte gelöscht.

Videosprechstunde: Der Server wird von Playfield SRL auf einer dedizierten Maschine in Paris betrieben. Bild und Ton der Sitzungen laufen live darüber und werden nie aufgezeichnet. Raum- und Teilnehmerkennungen sind kryptografische Prüfwerte. Der Anzeigename ist der, den die praktizierende Person ihrem Gegenüber zeigen möchte. Administration, Patches und Protokolle dieser Maschine liegen bei Playfield SRL.

Künstliche Intelligenz: Die Anbieter sind vertraglich verpflichtet, die übermittelten Inhalte nicht aufzubewahren und nicht darauf zu trainieren.

Fortbestand: Redundanz des Hostings und Überwachung der automatisierten Verarbeitungen.

Google Cloud / Firebase: Hosting, Datenbank, Serverfunktionen, Authentifizierung, Speicher. Europäische Union: Datenbank repliziert in Belgien (Saint-Ghislain) und in den Niederlanden, Verarbeitungen in Frankfurt, Dateien in der EU-Multiregion. Nach HDS v2.0 zertifizierte Infrastruktur (Zertifikat Nr. 2022-013, Tätigkeiten 1 bis 5).

Scaleway: Versand der transaktionalen E-Mails und Hosting des Videosprechstunden-Servers. Paris, Frankreich.

OpenAI: Schreibunterstützung, Zusammenfassungen, kontextbezogene Antworten. Nichtaufbewahrung und kein Training vertraglich zugesichert.

Google (Gemini): Schreibunterstützung, Zusammenfassungen, klinische Analysen. Nichtaufbewahrung und kein Training vertraglich zugesichert.

Soniox: Audiotranskription, europäischer Endpunkt. Nichtaufbewahrung und kein Training vertraglich zugesichert.

Stripe: Zahlungsabwicklung, wenn die praktizierende Person über Theramate abrechnet. Irland.

Jeder von ihnen ist Playfield SRL durch einen DSGVO-konformen Auftragsverarbeitungsvertrag verbunden. Die aktuelle Liste wird auf dieser Seite veröffentlicht; jede Änderung unterliegt der in Artikel 5 vorgesehenen vorherigen Information.