Auftragsverarbeitungsvertrag
Vereinbarung gemäß Art. 28 DSGVO zwischen der Denta1 Education GmbH („Auftragnehmer") und dem/der Kund:in („Verantwortliche:r").
Mit Vertragsschluss bei Denta1 Vision wird diese AV-Vereinbarung automatisch zwischen Auftragnehmer und Verantwortliche:m geschlossen.
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten (insbesondere Patient:innen-Stamm- und Behandlungsdaten) im Auftrag des/der Verantwortlichen. Der Vertrag läuft so lange wie der Hauptvertrag über die Nutzung von Denta1 Vision.
§ 2 Art und Zweck der Verarbeitung
Verarbeitet werden:
- Patient:innen-Stammdaten (Name, Adresse, Geburtsdatum, Kontaktdaten)
- Terminhistorie + nächste Termine
- HKP-Daten (Heil- und Kostenpläne, Beträge, Phasen)
- Recall- und Kommunikations-Historie
- Nachrichten an und von Patient:innen (E-Mail, SMS, WhatsApp) samt Zustellstatus
- NPS-Antworten (pseudonymisiert)
Zwecke: Aggregation, Scoring, Recall-Steuerung, Terminerinnerungen und Kommunikation mit Patient:innen, NPS-Auswertung.
§ 3 Pflichten des Auftragnehmers
- Verarbeitung nur auf dokumentierte Weisung der/des Verantwortlichen
- Verpflichtung der Mitarbeitenden zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
- Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO (siehe § 4)
- Unterstützung bei Anfragen Betroffener (Auskunft, Löschung, etc.)
- Meldung von Datenschutzverletzungen unverzüglich, spätestens 24 Std. nach Kenntnis
- Löschung oder Rückgabe aller Daten nach Vertragsende
§ 4 Technisch-organisatorische Maßnahmen (TOM)
- Verschlüsselung at-rest (Postgres bytea + AES-256-GCM für Credentials)
- Verschlüsselung in-transit (TLS 1.2+ via Let's Encrypt)
- Mandanten-Isolierung via Row-Level-Security (Postgres RLS, geprüft per Audit-Script)
- Server-Standort Deutschland (IONOS, Offsite-Backup bei Hetzner)
- Tägliche verschlüsselte Backups mit Restore-Test (monatlich)
- Audit-Log aller Aktionen, Aufbewahrung gemäß Plan (90 Tage Pro, 12 Monate Praxis)
- Zugriff nur per 2FA (WorkOS) oder Mail-OTP
- Logging mit Redaction sensibler Felder (Passwörter, Tokens)
§ 5 Unterauftragsverarbeiter
Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:
| Anbieter | Zweck | Standort |
|---|---|---|
| cinify GmbH | PVS-Datenanbindung — Bereitstellung und Synchronisation der Praxis- und Patientendaten aus dem Praxisverwaltungssystem (inkl. Gesundheitsdaten i. S. v. Art. 9 DSGVO) | Gelsenkirchen, DE |
| IONOS SE | Cloud-Server-Hosting | Deutschland |
| Hetzner Online GmbH | Offsite-Backup | Deutschland |
| Mailjet (Sinch) | Transaktions-E-Mails | Paris, FR (EU) |
| seven communications GmbH & Co. KG (seven.io) | SMS-Versand an Patient:innen (z. B. Terminerinnerungen, Recall, Antworten aus dem Posteingang) | Kiel, DE · Server in Deutschland |
| STRATO GmbH | E-Mail-Postfach für Antworten auf über Denta1 Vision versendete E-Mails, sofern die Praxis keine eigene Antwortadresse hinterlegt hat | Berlin, DE |
| WorkOS Inc. | Authentifizierung (SSO/OAuth) — verarbeitet ausschließlich Mitarbeiter-Logindaten, keine Patientendaten | USA (Drittland) · Übermittlung auf Grundlage der EU-Standardvertragsklauseln (DPA) |
Mit jedem Unterauftragsverarbeiter besteht ein entsprechender AV-Vertrag.
Verbindet der/die Verantwortliche eigene Konten anderer Anbieter mit Denta1 Vision (z. B. Superchat oder 360dialog für WhatsApp, Aircall, Placetel, sipgate oder eine eigene Telefonanlage, Dr-Flex, Doctolib, Nelly oder einen eigenen Mailserver) oder gibt er/sie Daten über die Feedback- oder Kennzahlen-Schnittstelle an Dritte frei, schließt er/sie den Vertrag mit diesen Anbietern selbst. Der Auftragnehmer überträgt Daten an diese Dienste ausschließlich auf Weisung des/der Verantwortlichen; sie sind keine Unterauftragsverarbeiter des Auftragnehmers.
§ 6 Kontrollrechte
Der/die Verantwortliche hat das Recht, die Einhaltung der TOM zu prüfen. Der Auftragnehmer ermöglicht dies auf Anfrage durch Bereitstellung relevanter Nachweise. Ein Vor-Ort-Audit ist mit angemessenem Vorlauf (mind. 14 Tage) einmal jährlich möglich.
Stand: 13. Oktober 2026