Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien und Abschluss

Dieser Vertrag wird geschlossen zwischen der registrierten Praxis bzw. Therapeut:in als Verantwortlicher im Sinne der DSGVO („Auftraggeber") — maßgeblich sind die bei der Registrierung angegebenen Kontodaten (Name, Praxisname, E-Mail-Adresse) — und Logopädie Apel, Stephan Apel, Luisenstraße 51a, 63067 Offenbach am Main als Auftragsverarbeiter („Auftragnehmer", siehe Impressum).

Der Abschluss erfolgt elektronisch (Art. 28 Abs. 9 DSGVO) durch die entsprechende Bestätigung bei der Registrierung oder beim Login. Die Zustimmung wird mit Version und Zeitstempel im Nutzerkonto dokumentiert.

2. Vertragsgegenstand und Standardvertragsklauseln

Der Auftragnehmer betreibt die webbasierte Therapie-Plattform deinelogobox.de („Plattform"). Soweit der Auftraggeber bei der Nutzung der Plattform personenbezogene Daten von Patient:innen erfasst, verarbeitet der Auftragnehmer diese im Auftrag des Auftraggebers (Art. 28 DSGVO). Grundlage der Nutzung sind die Nutzungsbedingungen der Plattform.

Für dieses Auftragsverarbeitungsverhältnis gelten die Standardvertragsklauseln gemäß dem Anhang des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 („Klauseln"), die unverändert übernommen werden und deren amtliche deutsche Fassung hier abrufbar ist: Durchführungsbeschluss (EU) 2021/915 – Standardvertragsklauseln (PDF). Maßgeblich ist der Anhang des Beschlusses (Abschnitte I–III, Klauseln 1–10). Die Anhänge I–IV zu den Klauseln sind in der unten stehenden Fassung Vertragsbestandteil (Klausel 1 Buchst. d).

3. In den Klauseln getroffene Auswahlen (Optionen)

Die Klauseln enthalten an einzelnen Stellen Optionen bzw. auszufüllende Angaben. Es gilt:

4. Ergänzende Bestimmungen (Klausel 2 Buchst. b)

Ergänzend — und ohne den Klauseln zu widersprechen — gilt:

4.1 Pseudonymisierungsgebot (Testphase): Der Auftraggeber verwendet für Patient:innen ausschließlich Pseudonyme oder Spitznamen und erfasst keine Klarnamen, Kontaktdaten oder über die Übungsinhalte hinausgehende Gesundheitsdaten (Diagnosen, Befunde, Berichte). Die Zuordnung der Pseudonyme zu realen Personen verbleibt allein beim Auftraggeber; der Auftragnehmer hat keine Kenntnis dieser Zuordnung.

4.2 Weisungen (zu Klausel 7.1): Die Nutzung der Plattform-Funktionen durch den Auftraggeber gilt als dokumentierte Weisung. Weitergehende Weisungen erfolgen in Textform an kontakt[at]deinelogobox.de.

4.3 Löschung und Sicherungskopien: Löscht der Auftraggeber Daten in der Plattform oder endet die Nutzung, werden die Daten aus dem Produktivsystem entfernt; in den rollierenden Sicherungskopien verbleiben sie bis zum Ablauf des Sicherungszyklus von maximal 30 Tagen und werden dann automatisch überschrieben. Auf Wunsch stellt der Auftragnehmer vor der Löschung einen Export der Patientendaten bereit.

4.4 Laufzeit: Dieser Vertrag gilt für die Dauer der Plattformnutzung (Bestehen des Nutzerkontos) und endet automatisch mit dessen Löschung.

4.5 Kosten: Die Auftragsverarbeitung erfolgt im Rahmen der (in der Testphase kostenlosen) Plattformnutzung; eine gesonderte Vergütung fällt nicht an.

4.6 Es gilt das Recht der Bundesrepublik Deutschland.

Anhang I – Liste der Parteien

Verantwortlicher: die registrierte Praxis bzw. Therapeut:in gemäß den Kontodaten des Nutzerkontos (Name, Praxisname, E-Mail-Adresse); Beitrittsdatum = Zeitpunkt der dokumentierten Zustimmung.

Auftragsverarbeiter: Logopädie Apel, Stephan Apel, Luisenstraße 51a, 63067 Offenbach am Main; Kontakt: kontakt[at]deinelogobox.de.

Anhang II – Beschreibung der Verarbeitung

Kategorien betroffener Personen: Patient:innen des Verantwortlichen (ausschließlich pseudonymisiert, Ziff. 4.1).

Kategorien personenbezogener Daten:

Besondere Datenkategorien (Art. 9 DSGVO) und Garantien: Aus der Zuweisung logopädischer Übungen kann sich mittelbar ergeben, dass eine betroffene Person logopädische Therapie erhält (Gesundheitsbezug). Garantien: verpflichtende Pseudonymisierung (Zuordnungswissen nur beim Verantwortlichen), Verbot der Erfassung von Diagnosen/Befunden, strikte Mandantentrennung und Zugriffsbeschränkung (Anhang III), Transportverschlüsselung.

Art der Verarbeitung: Speicherung, Anzeige, Übermittlung an den Endgeräte-Browser der betroffenen Person, Sicherung (Backups), Löschung.

Zwecke: Bereitstellung digitaler logopädischer Übungen; Zuweisung von Übungen an Patient:innen; Anzeige von Übungsfortschritt und -ergebnissen für den Verantwortlichen; plattforminterne Kommunikation.

Dauer: für die Dauer der Plattformnutzung (Ziff. 4.4); Sicherungskopien rollierend max. 30 Tage (Ziff. 4.3).

Ort der Verarbeitung: ausschließlich Rechenzentren in der Bundesrepublik Deutschland. Internationale Datenübermittlungen (Klausel 7.8) finden nicht statt.

Anhang III – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 10. Juli 2026. Grundlage: Sicherheits-Härtung und interne Audits Juli 2026.

1. Zutrittskontrolle (physisch)

• Betrieb der Anwendung ausschließlich in professionellen Rechenzentren der Strato AG in Deutschland (ISO-27001-zertifizierter Betreiber); kein Anwendungsbetrieb in Praxisräumen.
• Ausschließlich stark verschlüsselte Sicherungskopien (Ziff. 7) werden zusätzlich auf einem zugriffsbeschränkten System in den Betriebsräumen des Auftragnehmers aufbewahrt; eine Entschlüsselung ist dort technisch nicht möglich, der private Schlüssel wird getrennt von allen beteiligten Systemen verwahrt.

2. Zugangskontrolle (Systeme)

• Zugang nur mit persönlichem Konto (ein Zugang pro Therapeut:in, Weitergabeverbot).
• Passwörter ausschließlich als scrypt-Hashes mit individuellem Salt gespeichert (kein Klartext).
• Session- und Zugangs-Tokens aus kryptografisch sicherem Zufallsgenerator (CSPRNG, 128 Bit).
• Session-Cookies HttpOnly und in Produktion Secure; Sitzungen werden bei Passwort-Zurücksetzung serverseitig invalidiert.
• Rate-Limiting auf Login, Passwort-Reset und PIN-Verifikation; zeitkonstante Vergleiche gegen Seitenkanal-Angriffe.
• Administrativer Serverzugang nur per SSH; neue Konten nur nach manueller Freischaltung.

3. Zugriffskontrolle (Berechtigungen)

• Rollen- und Rechtemodell: Plattform-Administration strikt getrennt von Therapeuten-Konten.
• Mandantentrennung: Patientendaten sind der jeweiligen Praxis zugeordnet; Standard-Sichtbarkeit „nur eigene Patient:innen".
• Serverseitige Autorisierung aller API-Zugriffe; Schutz gegen unberechtigte Objekt-Zugriffe systematisch geprüft und gehärtet (Audit Juli 2026).

4. Übertragungskontrolle

• Sämtliche Verbindungen TLS-verschlüsselt (HTTPS).
• Keine Tracking-, Analyse- oder Marketing-Dienste; Schriftarten/Bibliotheken lokal ausgeliefert (keine CDN-Aufrufe durch Endgeräte).
• Schutz gegen Cross-Site-Request-Forgery (Origin-Prüfung) und offene Weiterleitungen.

5. Eingabekontrolle

• Protokollierung administrativer Aktionen (Audit-Log) und Aktivitätsverlauf.
• Systematische Ausgabe-Kodierung gegen Cross-Site-Scripting (Audit Juli 2026).

6. Auftragskontrolle

• Unterauftragsverarbeiter nur gemäß Anhang IV; Verpflichtung per Auftragsverarbeitungsvertrag.
• Weisungen des Verantwortlichen in Textform dokumentiert.

7. Verfügbarkeitskontrolle

• Automatisierte tägliche Sicherung von Datenbank und Dateibestand mit automatischem Integritäts-Prüflauf.
• Rollierende Aufbewahrung der 30 neuesten Sicherungen (≈ 30 Tage).
• Zusätzliche räumlich getrennte Offsite-Kopie der täglichen Sicherungen: Übertragung und Aufbewahrung ausschließlich asymmetrisch verschlüsselt (GPG); Abholung über einen minimalberechtigten Nur-Lese-Zugang (SFTP mit Chroot); automatische Überwachung auf Aktualität und Vollständigkeit auf beiden Seiten.
• Wiederherstellbarkeit der Sicherungen durch dokumentierten Restore-Test verifiziert (zuletzt 10. Juli 2026).
• Container-Isolation, Health-Checks bei jedem Deployment, versionierte automatische Datenbank-Migrationen.

8. Trennungskontrolle

• Logische Mandantentrennung aller Patientendaten über die Praxis-Zuordnung in der Datenbank.
• Getrennte Produktions- und Testumgebung; Testumgebung ohne Produktiv-Patientendaten.

9. Pseudonymisierung und Datenminimierung

• Vertragliche Pseudonym-Pflicht für Patient:innen (Ziff. 4.1); die Plattform erfragt keine Klarnamen, Adressen oder Diagnosen.
• Zuordnungswissen verbleibt ausschließlich beim Verantwortlichen.

10. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Sicherheits-Audits der Anwendung (zuletzt umfassend Juli 2026; alle Befunde behoben und dokumentiert).
• Laufendes Abhängigkeits-Monitoring und zeitnahes Einspielen von Sicherheitsupdates.
• Dokumentation sicherheitsrelevanter Architektur-Entscheidungen.

Anhang IV – Liste der Unterauftragsverarbeiter

Genehmigte Unterauftragsverarbeiter (Klausel 7.7, Option 2 — Unterrichtungsfrist 4 Wochen):

Informatorischer Hinweis (keine Unterauftragsverarbeiter dieser Auftragsverarbeitung, da ohne Zugriff auf Patientendaten): Für den Versand von Transaktions-E-Mails an Therapeut:innen (Registrierung, Passwort-Reset) wird Brevo (Sendinblue GmbH, Berlin) eingesetzt, für Support-Postfächer Google Workspace (Google Ireland Ltd.) — beides betrifft ausschließlich Konto- und Support-Kommunikation der Therapeut:innen (siehe Datenschutzerklärung).

Fragen zu diesem Vertrag richten Sie bitte an: kontakt[at]deinelogobox.de