Vereinbarung zur Auftragsverarbeitung und Vertraulichkeit

Parteien und Gegenstand

Diese Vereinbarung gilt zwischen der im geschützten Dateieingang bezeichneten Praxis als Verantwortlicher und der Valeria GmbH, Frohnhofstraße 4, 50765 Köln, vertreten durch Valeria Berndt, als Auftragsverarbeiterin. Kontakt für Weisungen, Datenschutz und Vorfälle: info@got-kompass.de. Sie wird bei der Bestätigung der Ergebnisadresse vor dem Upload elektronisch vereinbart; Version und Zeitpunkt werden zum Vorgang dokumentiert.

Der Auftrag umfasst die geschützte Annahme, technische Prüfung, manuelle Bereinigung und Analyse der von der Praxis bestimmten Abrechnungsdaten für den Gratis-Check sowie gegebenenfalls die zusätzlich bestellte professionelle Analyse. Die Vereinbarung selbst bestellt keine kostenpflichtige Leistung. Sie endet mit Abschluss und Löschung bzw. Rückgabe der Auftragsdaten; fortbestehende Vertraulichkeitspflichten bleiben bestehen.

Daten und Weisungen

Verarbeitet werden Abrechnungspositionen, Beträge, Leistungskennzeichen, Zeiträume und gegebenenfalls mitenthaltene Daten von Praxisinhabern, Beschäftigten und Tierhaltern, etwa Namen, Kontakte, Rechnungsreferenzen und Freitext. Angaben über die Gesundheit von Menschen sind nicht Gegenstand des Auftrags und sollen nicht übermittelt werden. Die Praxis bestimmt die Daten und den Zweck, beschränkt den Export auf Erforderliches und bleibt für die Zulässigkeit ihrer Bereitstellung sowie erforderliche Informationen an Betroffene verantwortlich.

Die bestätigte Einsendung ist die dokumentierte Weisung zur vorgenannten Bearbeitung. Weitere Weisungen, Auskunfts-, Berichtigungs-, Rückgabe- oder Löschwünsche können per E-Mail erteilt werden. Auf eine aus unserer Sicht rechtswidrige Weisung weisen wir die Praxis hin und setzen die betroffene Verarbeitung bis zur Klärung aus. Personenbezogene Inhalte werden weder verkauft noch für Werbung, Training eigener Modelle oder andere eigene Zwecke genutzt. Zum Launch gibt es keine Übernahme personenbezogener Auftragsdaten in andere Produkte.

Vertraulichkeit und Schutzmaßnahmen

Valeria verpflichtet sich zur Geheimhaltung auch beruflich geschützter Informationen. Zugriff erhält ausschließlich das für die Aufgabe erforderliche, zur Vertraulichkeit verpflichtete Personal. Weitere mitwirkende Personen werden nur nach entsprechender Verpflichtung eingebunden. Dies gilt über das Ende der Zusammenarbeit hinaus.

Die technischen Maßnahmen umfassen TLS-Übertragung, private Storage-Buckets, zufällige Objektpfade, praxisgebundene Codesitzungen mit acht Stunden Laufzeit, Sperrbarkeit, serverseitige Berechtigungsprüfung, Anfragelimits, Trennung der Kunden von internen Supabase-Zugängen und Protokollierung wichtiger Bearbeitungsschritte. Originale werden Kunden nicht als Downloadarchiv angeboten. Bearbeitung auf freigegebenen Geräten, geschützte Ablagen und die Löschung eigener Arbeitskopien sind Bestandteil der organisatorischen Maßnahmen. Es gibt keine automatische Analyse- oder KI-Pipeline.

Technische Dienstleister und Standorte

Die Praxis genehmigt die Einbindung von Supabase für Datenbank und privaten Uploadspeicher, Vercel für App-Hosting und Google Workspace für erforderliche Kommunikation. Weitere Unterauftragnehmer dieser Anbieter ergeben sich aus deren veröffentlichten Listen. Die Hauptspeicherung der App-Daten und Dateien sowie die App-Funktionen sind für Frankfurt konfiguriert. Betriebsdaten, Support und Übermittlungen können weitere Länder betreffen; es wird keine ausschließlich deutsche Gesamtverarbeitung zugesagt.

Für diese Einbindung sind die datenschutzrechtlichen Vereinbarungen und erforderlichen Transfergarantien der Anbieter maßgeblich. Valeria bleibt für die ordnungsgemäße Weitergabe der Datenschutzpflichten verantwortlich. Änderungen eigener Unterauftragnehmer teilen wir vorab mit; gegen wesentliche Änderungen kann die Praxis binnen 14 Tagen begründet widersprechen. Ist keine geeignete Alternative möglich, kann die betroffene Verarbeitung beendet und der Auftrag vor Versand kostenfrei geschlossen werden.

Supabase DPA · Supabase Unterauftragnehmer · Vercel DPA · Vercel Unterauftragnehmer · Google Workspace Datenverarbeitung

Unterstützung, Nachweise und Vorfälle

Valeria unterstützt die Praxis im erforderlichen Umfang bei Betroffenenrechten, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und Vorfällen. Anfragen zu Auftragsdaten werden an die Praxis weitergeleitet; eigenständige inhaltliche Antworten erfolgen nur nach Weisung oder gesetzlicher Verpflichtung. Über bekannt gewordene Verletzungen des Schutzes der Auftragsdaten informieren wir die Praxis unverzüglich und stellen verfügbare Angaben zu Umfang, Folgen und Maßnahmen bereit.

Auf Anfrage stellen wir erforderliche Informationen zu dieser Verarbeitung und den Schutzmaßnahmen bereit und ermöglichen angemessene Überprüfungen einschließlich erforderlicher Kontrollen. Die Parteien stimmen Umfang und Durchführung so ab, dass Daten anderer Praxen geschützt bleiben. Eine notwendige Kontrolle wird dadurch nicht ausgeschlossen.

Löschung und Rückgabe

Die Praxis kann vor der Löschung die Rückgabe der noch vorhandenen Auftragsdaten verlangen. Nach Abschluss werden die Daten nach den folgenden Regeln gelöscht. Gesetzlich erforderliche eigene Bestell- und Rechnungsunterlagen sind davon getrennt; ihr Inhalt wird auf das Erforderliche beschränkt.

Originale und personenbezogene Arbeitskopien

Nach bestätigter Bereinigung unverzüglich löschen, spätestens 30 Tage nach Eingang. Die manuelle Bereinigung ist innerhalb von drei Arbeitstagen vorgesehen. Die tägliche Löschroutine beginnt die technische Entfernung ab Tag 29; offene Uploadfreigaben und laufende Prüfungen werden berücksichtigt.

Abgebrochene oder nicht bestätigte Uploads

Nach sieben Tagen und Ablauf vorhandener Uploadfreigaben entfernen. Technisch nicht mehr benötigte Eingangskopien bestätigter Dateien werden bereits nach Ablauf der Uploadfreigabe entfernt.

Arbeitsgrundlagen und Berichte

Nur für den beauftragten Check; spätestens 90 Tage nach Lieferung oder kostenfreiem Abschluss löschen. Anonymität wird fachlich geprüft und nicht allein durch Entfernen eines Namens angenommen.

Anfragen ohne nachfolgenden Auftrag

Sechs Monate nach abschließender Bearbeitung löschen. Nicht mehr benötigte Zugangscodes werden gesperrt und aus der Zustellablage entfernt.

Bestell- und Geschäftskorrespondenz

Soweit als Geschäftsbrief erforderlich sechs Jahre ab Ende des betreffenden Kalenderjahres; übrige reine technische Metadaten spätestens 90 Tage nach Abschluss des Vorgangs entfernen.

Rechnungen

Acht Jahre ab Ende des betreffenden Kalenderjahres; weitergehende gesetzliche Aufbewahrung im konkreten Fall bleibt unberührt. Fremde Praxis-Rechnungsoriginale sind keine eigenen Buchungsbelege von GOT Kompass.

Sicherungen

Für notwendige Datensicherungen höchstens 30 Tage Umlaufzeit. Bis zum Auslaufen gesperrt für normale Nutzung; bei Wiederherstellung wird der aktuelle Löschstand erneut angewendet. Lokale Arbeitskopien werden nicht in private Cloud- oder Gerätebackups übernommen.