Auftragsverarbeitungsvertrag

§ 1 Gegenstand & Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software-as-a-Service-Lösung Jofi zur Verfügung. Diese Vereinbarung gilt für die Dauer des Abonnements.

§ 2 Art & Zweck der Verarbeitung

Art: Erhebung, Speicherung, Veränderung, Übermittlung, Bereitstellung, Löschung.

Zweck:

• Klient:innen-Verwaltung (Stammdaten)
• Sitzungsdokumentation (manuell + KI-gestützte Audio-/Foto-Transkription)
• Termin- und Kalenderverwaltung
• Rechnungsstellung (inkl. Honorarnote)
• KI-gestützte Fachreflexion (Reflexionsraum)
• Wissensbasis-Verwaltung
• Tagesabschluss / Psychohygiene

§ 3 Betroffene Personen & Daten

Kategorien betroffener Personen: Klient:innen / Patient:innen des Verantwortlichen; optional Bezugspersonen.

Datenkategorien:

• Stammdaten (Name, Adresse, Geburtsdatum, Kontakt)
• Sozialversicherungsdaten (SV-Nr., Versicherung)
• Besondere Kategorien Art. 9 DSGVO: Gesundheitsdaten, ICD-10 Diagnose, Sitzungsverläufe, Audio-Aufnahmen (transient), Foto-Mitschriften (transient), therapeutische Notizen
• Termin- und Behandlungsdaten
• Abrechnungsdaten

§ 4 Pflichten des Auftragsverarbeiters

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
2. Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
3. Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe § 5)
4. Unterstützung bei Betroffenenrechten (Art. 15–22 DSGVO)
5. Meldung von Datenpannen unverzüglich (spätestens 24 Std. nach Bekanntwerden)
6. Nach Vertragsende: Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen — außer bei gesetzlicher Aufbewahrungspflicht
7. Duldung von Audits (max. 1× jährlich mit angemessener Ankündigung)

§ 5 Technisch-organisatorische Maßnahmen (TOMs)

• TLS 1.3 in transit, AES-256 at rest
• Row Level Security in Postgres (Mandantentrennung)
• PII-Anonymisierung vor jeder KI-Verarbeitung
• Audit-Log für sensitive Operationen
• Tägliche + wöchentliche verschlüsselte Backups
• BCrypt-Passwort-Hashing
• HSTS, CSP, X-Frame-Options aktiv
• Subprozessoren SOC 2 / ISO 27001 zertifiziert

§ 6 Subprozessoren

Der Verantwortliche stimmt dem Einsatz folgender Subprozessoren zu:

Änderungen an Subprozessoren werden vorab (mind. 30 Tage) angekündigt. Widerspruchsrecht mit außerordentlichem Kündigungsrecht.

§ 7 Drittlandtransfer

Klient:innen-Gesundheitsdaten werden ausschließlich in der EU verarbeitet (Supabase Frankfurt, Mistral Frankreich). USA-Anbieter sehen keine Klient:innen-Gesundheitsdaten. Es gelten Standardvertragsklauseln (SCCs) + EU-US Data Privacy Framework.

§ 8 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt bei Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21). Funktionen: Datenexport (CSV/PDF), DSGVO-konforme Account-Löschung.

§ 9 Beendigung

• Daten werden auf Wunsch exportiert (CSV/PDF)
• Löschung spätestens 30 Tage nach Vertragsende — außer bei gesetzlicher Aufbewahrungspflicht
• Löschbestätigung auf Anfrage

§ 10 Sonstiges

• Anwendbares Recht: Österreich
• Änderungen der Schriftform (elektronisch genügt)
• Haftung: nach Art. 82 DSGVO