Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

CHYLD GmbH

• Stand: [●] (Fassung 4.0, Entwurf zur anwaltlichen Prüfung)

Fassung 4.0 · Stand [●] · gilt ab [●]

zwischen der Hebamme oder Praxis, die Alma nutzt („Verantwortliche"), und der CHYLD GmbH, Adelungstraße 3, 55131 Mainz („Auftragsverarbeiterin").

Dieser Vertrag gehört zu den AGB für Hebammen („Hauptvertrag"). Er geht dem Hauptvertrag in allen Fragen der Verarbeitung personenbezogener Daten im Auftrag vor.

Entwurf zur anwaltlichen Prüfung.

1. Gegenstand und Abgrenzung

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten im Auftrag der Verantwortlichen, soweit die Verantwortliche folgende Module nutzt: Dokumentation und Patientinnenverwaltung, Ende-zu-Ende-verschlüsselte Kommunikation nach Zustandekommen eines Behandlungsvertrags, Terminverwaltung, Videobetreuung, Abrechnungsschnittstelle, Teamverwaltung, Freigaben zur Vertretung und, soweit aktiviert, KI-gestützte Funktionen.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die die Auftragsverarbeiterin selbst verantwortlich ist: Konto- und Vertragsdaten der Verantwortlichen, Vermittlungsanfragen bis zum Zustandekommen eines Behandlungsvertrags, Betrieb des Marktplatzes einschließlich Buchungsabwicklung, Meldungen nach dem PStTG, Moderation nach dem Digital Services Act sowie Verarbeitungen, die Nutzerinnen außerhalb eines Behandlungsverhältnisses in eigener Sache vornehmen.

(3) Die Laufzeit entspricht der des Hauptvertrags einschließlich Übergangs-, Datenabruf- und Archivzeiträumen nach Anlage 2 zum Hauptvertrag. Ziffern 8, 11 und 12 gelten über das Vertragsende hinaus.

2. Art, Zweck, Daten und Betroffene

(1) Zweck: Unterstützung der Verantwortlichen bei der Betreuung ihrer Patientinnen, bei der Dokumentation, der Kommunikation, der Videobetreuung nach § 134a Abs. 1d Satz 1 Nr. 2 SGB V und der Vorbereitung und Übermittlung der Abrechnung.

(2) Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Verwenden, Übermitteln an von der Verantwortlichen bestimmte Empfänger, Einschränken, Löschen.

(3) Datenkategorien:

Stammdaten (Name, Geburtsdatum, Anschrift)
Kontaktdaten
Gesundheitsdaten (Schwangerschaftswoche, errechneter Termin, Anamnese, Befunde, Behandlungsverlauf, Geburts-, Wochenbett- und Stilldokumentation, hochgeladene Befunde und Bilder)
Versicherungs- und Abrechnungsdaten (Kostenträger, Versichertennummer, Gebührenpositionen, Versichertenbestätigungen)
Kommunikationsdaten (Metadaten; Inhalte nur verschlüsselt, siehe Ziffer 6)
Verbindungsmetadaten der Videobetreuung
Einwilligungs- und Freigabenachweise
Nutzungs- und Protokolldaten der Verantwortlichen und ihrer Teammitglieder

(4) Betroffene: Patientinnen, Neugeborene, Partner:innen und Angehörige, soweit dokumentiert, Teammitglieder und Vertretungen der Verantwortlichen.

(5) Es handelt sich überwiegend um Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, die zugleich dem Berufsgeheimnis nach § 203 StGB unterliegen.

3. Weisungen

(1) Die Auftragsverarbeiterin verarbeitet Daten nur auf dokumentierte Weisung der Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, soweit sie nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt sie der Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Nutzung der Funktionen von Alma, die Aktivierung von Modulen (insbesondere KI-Funktionen und Abrechnungsschnittstelle) und Freigaben im Konto sind Weisungen. Weitere Weisungen erteilt die Kontoinhaberin oder eine von ihr in Textform benannte Person in Textform an datenschutz@alma.app.

(3) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Weisungen werden für die Vertragsdauer und drei Jahre darüber hinaus dokumentiert.

4. Pflichten der Verantwortlichen

Die Verantwortliche a) stellt sicher, dass für jede Verarbeitung eine Rechtsgrundlage besteht, insbesondere Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG für die Betreuung und die Vorschriften des SGB V für die Abrechnung, und holt Einwilligungen ein, wo sie erforderlich sind (etwa Videobetreuung, Vertretung ohne gemeinsame Betreuung, Forderungsverkauf bei Privatleistungen), b) informiert Patientinnen nach Art. 13 DSGVO; die Auftragsverarbeiterin stellt eine Mustervorlage bereit, c) legt Teamkonten nur für berechtigte Personen an, verpflichtet Teammitglieder, die keine Berufsgeheimnisträgerinnen sind, zur Verschwiegenheit und entzieht Zugänge unverzüglich bei deren Ausscheiden, d) gibt Behandlungsdaten an andere Hebammen nur unter den Voraussetzungen des § 4 Abs. 3 des Hauptvertrags frei, e) lädt nur Daten hoch, die für die Betreuung erforderlich sind, f) informiert die Auftragsverarbeiterin unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, g) setzt die Kundenkriterien um, die sich aus dem C5-Prüfbericht ergeben und ihr nach Ziffer 5 Abs. 3 bereitgestellt werden.

5. Pflichten der Auftragsverarbeiterin

(1) Vertraulichkeit. Alle Personen, die Zugang zu Daten der Verantwortlichen haben können, sind vor Aufnahme der Tätigkeit zur Vertraulichkeit und nach § 203 Abs. 4 Satz 2 Nr. 1 StGB zur Verschwiegenheit verpflichtet und werden regelmäßig geschult. Die Verpflichtung gilt über das Beschäftigungsende hinaus.

(2) Technische und organisatorische Maßnahmen. Die Auftragsverarbeiterin trifft die Maßnahmen nach Art. 32 DSGVO und § 22 Abs. 2 BDSG, die in Anlage 1 beschrieben sind. Sie darf sie weiterentwickeln, ohne das Schutzniveau zu unterschreiten, und dokumentiert wesentliche Änderungen.

(3) Cloud-Anforderungen nach § 393 SGB V. Die Auftragsverarbeiterin a) verarbeitet Gesundheits- und Sozialdaten der Verantwortlichen im Wege des Cloud-Computing nur in Deutschland, einem Mitgliedstaat der EU, einem Vertragsstaat des EWR, der Schweiz oder einem Drittstaat, für den ein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt; Standardvertragsklauseln oder andere Garantien nach Art. 46 DSGVO genügen hierfür nicht, b) stellt sicher, dass die datenverarbeitende Stelle im Sinne des § 393 Abs. 2 SGB V über eine Niederlassung im Inland verfügt; da der Begriff gesetzlich nicht definiert ist, erfüllt die Auftragsverarbeiterin diese Anforderung sowohl für sich selbst als auch für jeden Unterauftragsverarbeiter, der Cloud-Computing-Dienste mit Zugriff auf diese Daten erbringt, oder weist in Anlage 2 aus, auf welche Auslegung sie sich stützt, c) verfügt über ein aktuelles C5-Testat Typ 2 hinsichtlich der C5-Basiskriterien oder einen nach der C5-Gleichwertigkeitsverordnung anerkannten Nachweis für die eingesetzten Cloud-Systeme und stellt sicher, dass dies auch für Unterauftragsverarbeiter gilt, die Cloud-Computing-Dienste erbringen, d) stellt der Verantwortlichen die Nachweise und die darin enthaltenen Kundenkriterien im Konto bereit, e) informiert die Verantwortliche unverzüglich, wenn ein Nachweis entfällt, und legt dar, bis wann und wie der rechtmäßige Zustand wiederhergestellt wird. Aktueller Stand der Nachweise: [●]

(4) Videobetreuung. Für den Videodienst gelten zusätzlich die Anforderungen der Anlage 4 zum Hebammenhilfevertrag und der Anlage 31b BMV-Ä in der jeweils gültigen Fassung. Die Auftragsverarbeiterin stellt insbesondere sicher, dass nur Server im EWR genutzt werden, Inhalte weder eingesehen noch gespeichert werden können, Metadaten nur für die Abwicklung genutzt und spätestens nach drei Monaten gelöscht werden, keine Werbung angezeigt wird und die erforderlichen Zertifikate und die Bescheinigung beim GKV-Spitzenverband gültig sind. Wird ein Zertifikat entzogen, informiert sie die Verantwortliche unverzüglich.

(5) Betroffenenrechte. Die Auftragsverarbeiterin unterstützt die Verantwortliche bei Anträgen nach Kapitel III DSGVO durch Selbstbedienungsfunktionen (Auskunft, Export, Berichtigung, Einschränkung, Löschung). Anträge, die direkt bei ihr eingehen, leitet sie innerhalb von fünf Werktagen weiter und beantwortet sie nicht selbst. Verlangt eine Patientin Löschung, obwohl eine Aufbewahrungspflicht besteht, ermöglicht Alma die Einschränkung der Verarbeitung statt der Löschung. Außergewöhnlicher Aufwand über die Selbstbedienungsfunktionen hinaus wird nach vorheriger Abstimmung nach Preisverzeichnis vergütet.

(6) Datenschutzverletzungen. Die Auftragsverarbeiterin meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, in Textform an die hinterlegte Adresse und in das Konto. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden unverzüglich nachgereicht. Sie unterstützt die Verantwortliche bei Meldung und Benachrichtigung nach Art. 33 und 34 DSGVO.

(7) Datenschutz-Folgenabschätzung. Die Auftragsverarbeiterin stellt eine Musterbeschreibung der Verarbeitung, der Risiken und der Schutzmaßnahmen bereit, die die Verantwortliche für eine Datenschutz-Folgenabschätzung verwenden kann, und unterstützt bei einer vorherigen Konsultation.

(8) Verzeichnis und Datenschutzbeauftragte:r. Die Auftragsverarbeiterin führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO und hat eine:n Datenschutzbeauftragte:n bestellt: [Name oder Dienstleister ●], datenschutz@alma.app.

(9) Arbeitsorte. Die Auftragsverarbeiterin darf Beschäftigte im Homeoffice und im mobilen Arbeiten einsetzen. Sie stellt dabei durch verbindliche Vorgaben und technische Maßnahmen sicher, dass Unbefugte keine Kenntnis von Daten der Verantwortlichen erlangen können, insbesondere durch Festplattenverschlüsselung, gesicherte Verbindungen, Bildschirmsperren, das Verbot der Nutzung privater Geräte und das Verbot von Ausdrucken. Der Einsatz außerhalb des in Ziffer 5 Abs. 3 lit. a genannten Gebiets ist unzulässig.

(10) Behördliche Anfragen. Verlangt eine Behörde oder ein Gericht Daten der Verantwortlichen, informiert die Auftragsverarbeiterin diese unverzüglich, soweit rechtlich zulässig, prüft die Rechtmäßigkeit und nutzt zumutbare Rechtsbehelfe. Ersuchen von Stellen aus Drittländern kommt sie nur unter den Voraussetzungen des Art. 48 DSGVO nach.

6. Verschlüsselung und Zugriff

(1) Inhalte der Chat-Kommunikation und der Videobetreuung sind Ende-zu-Ende-verschlüsselt. Die Schlüssel liegen ausschließlich auf den Endgeräten der Beteiligten. Die Auftragsverarbeiterin und ihre Unterauftragsverarbeiter haben auf diese Inhalte keinen Zugriff. Gehen Endgeräte und Schlüssel verloren, können diese Inhalte nicht wiederhergestellt werden; die Verantwortliche nutzt deshalb die Exportfunktion in der App.

(2) Alle übrigen Daten sind bei der Übertragung und im Ruhezustand verschlüsselt. Die Trennung zwischen Verantwortlichen erfolgt logisch auf Datenbankebene mit zeilenbasierten Zugriffsregeln.

(3) Beschäftigte der Auftragsverarbeiterin greifen auf nicht Ende-zu-Ende-verschlüsselte Behandlungsdaten nur zu, wenn dies zur Behebung einer Störung oder zur Erfüllung eines Supportauftrags zwingend erforderlich ist, die Verantwortliche den Zugriff im Einzelfall im Konto freigegeben hat, der Zugriff nach dem Vier-Augen-Prinzip erfolgt und protokolliert wird. Ohne Freigabe ist ein Zugriff nur zur Abwehr einer unmittelbaren Gefahr für die Sicherheit der Daten zulässig; die Verantwortliche wird dann unverzüglich informiert.

7. Unterauftragsverarbeitung

(1) Die Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter und erteilt die allgemeine Genehmigung, weitere hinzuzuziehen.

(2) Die Auftragsverarbeiterin informiert mindestens 30 Tage vor der Hinzuziehung oder Ersetzung in Textform und im Konto. Die Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Kommt innerhalb von 30 Tagen keine Einigung zustande, kann die Verantwortliche den Hauptvertrag mit einer Frist von 14 Tagen kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.

(3) Die Auftragsverarbeiterin wählt Unterauftragsverarbeiter nach der Eignung ihrer Schutzmaßnahmen, den Anforderungen des § 393 SGB V und des § 203 StGB aus, verpflichtet sie vertraglich zu gleichwertigen Datenschutz- und Verschwiegenheitspflichten und haftet für deren Pflichtverletzungen wie für eigene.

(4) Nebenleistungen ohne Zugriff auf Daten der Verantwortlichen (Telekommunikation, Reinigung) sind keine Unterauftragsverarbeitung.

(5) Der Abrechnungsdienstleister, mit dem die Verantwortliche nach § 10 Abs. 2 des Hauptvertrags einen eigenen Vertrag schließt, ist nicht Unterauftragsverarbeiter der Auftragsverarbeiterin. Die Auftragsverarbeiterin übermittelt ihm Daten auf Weisung der Verantwortlichen.

8. Verschwiegenheit nach § 203 StGB

(1) Die Auftragsverarbeiterin wird für die Verantwortliche als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig. Sie ist darüber belehrt, dass sie sich nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn sie ein fremdes Geheimnis unbefugt offenbart, das ihr bei der Mitwirkung bekannt geworden ist.

(2) Sie verpflichtet sich, alle fremden Geheimnisse geheim zu halten und nur insoweit Kenntnis davon zu nehmen, wie dies zur Erfüllung dieses Vertrags erforderlich ist.

(3) Sie verpflichtet ihre Beschäftigten und Unterauftragsverarbeiter, die bei der Mitwirkung Kenntnis von fremden Geheimnissen erlangen können, in gleicher Weise in Textform zur Verschwiegenheit, belehrt sie über die Strafbarkeit und weist dies auf Anfrage nach.

(4) Die Erklärung in Anlage 3 ist Bestandteil dieses Vertrags und dient der Verantwortlichen als Nachweis nach § 203 Abs. 4 Satz 2 Nr. 1 StGB.

9. Drittlandbezug

(1) Behandlungsdaten werden nicht in Drittländer übermittelt und nicht aus Drittländern abgerufen, soweit nicht für den jeweiligen Empfänger ein Angemessenheitsbeschluss nach Art. 45 DSGVO gilt und die Voraussetzungen der Ziffer 5 Abs. 3 erfüllt sind. Für Anbieter in den USA setzt dies eine aktive Zertifizierung nach dem EU-US Data Privacy Framework voraus.

(2) Für sonstige Daten nach Ziffer 2 Abs. 3 (etwa Nutzungs- und Protokolldaten der Teammitglieder) können zusätzlich Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 mit dokumentierter Transferfolgenabschätzung genutzt werden. Die Auftragsverarbeiterin stellt Kopien der Garantien auf Anfrage bereit.

(3) Die Auftragsverarbeiterin stellt technisch sicher, dass Push-Benachrichtigungen, Fehlerberichte und Analysedaten keine Behandlungsdaten enthalten.

10. Nachweise und Kontrollen

(1) Die Auftragsverarbeiterin weist die Einhaltung ihrer Pflichten vorrangig nach durch aktuelle Testate und Zertifikate (C5 nach Ziffer 5 Abs. 3, Zertifikate für den Videodienst nach Ziffer 5 Abs. 4, [ISO/IEC 27001 oder Zertifizierung auf Basis von IT-Grundschutz ●]), durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO oder eine Zertifizierung nach Art. 42 DSGVO, durch Berichte oder Berichtsauszüge unabhängiger Prüfinstanzen sowie durch eine Zusammenfassung des jährlichen Penetrationstests.

(2) Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht sie Überprüfungen einschließlich Inspektionen durch die Verantwortliche oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete und nicht im Wettbewerb stehende Prüferin. Inspektionen sind mindestens 14 Tage vorher anzukündigen, finden während der Geschäftszeiten und in der Regel höchstens einmal jährlich statt; bei konkreten Anhaltspunkten für einen Verstoß oder auf Verlangen einer Aufsichtsbehörde auch anlassbezogen.

(3) Aufwand für Inspektionen, die über eine jährliche Prüfung hinausgehen und nicht durch einen Verstoß der Auftragsverarbeiterin veranlasst sind, kann nach Preisverzeichnis berechnet werden.

11. Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei den Schaden entsprechend ihrem Anteil an der Verantwortung (Art. 82 Abs. 5 DSGVO).

(2) Im Übrigen gilt § 27 des Hauptvertrags. Die Verletzung von Pflichten aus diesem Vertrag ist eine Verletzung wesentlicher Vertragspflichten im Sinne von § 27 Abs. 2 des Hauptvertrags.

12. Beendigung, Rückgabe und Löschung

(1) Die Verantwortliche kann jederzeit alle Daten nach Anlage 2 zum Hauptvertrag exportieren.

(2) Nach Vertragsende gibt die Auftragsverarbeiterin die Daten nach Wahl der Verantwortlichen zurück (Export) oder löscht sie. Übergangszeitraum, Datenabrufzeitraum, Hinweisfrist und Löschung richten sich nach Anlage 2 zum Hauptvertrag; ohne ausdrückliche Wahl gilt dieses Verfahren. Während eines Archivtarifs werden die Daten schreibgeschützt weiter im Auftrag gespeichert.

(3) Von der Löschung ausgenommen sind Daten, die die Auftragsverarbeiterin aufgrund eigener gesetzlicher Pflichten aufbewahren muss (insbesondere Rechnungs- und Buchhaltungsdaten zwischen den Parteien sowie PStTG-Meldedaten). Diese sind keine Behandlungsdaten.

(4) Im Fall des Todes oder der dauerhaften Berufsunfähigkeit der Verantwortlichen gilt § 20 Abs. 5 des Hauptvertrags.

(5) Die Löschung einschließlich Backups wird dokumentiert und auf Anfrage in Textform bestätigt.

(6) Kein Zurückbehaltungsrecht an Daten. Die Auftragsverarbeiterin verzichtet auf die Einrede des Zurückbehaltungsrechts nach § 273 BGB hinsichtlich der personenbezogenen Daten der Verantwortlichen und der zugehörigen Datenträger. Herausgabe, Export und Löschung dieser Daten dürfen insbesondere nicht von der Begleichung offener Forderungen abhängig gemacht werden.

13. Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform; § 31 des Hauptvertrags gilt entsprechend. Änderungen der Anlage 2 richten sich nach Ziffer 7 Abs. 2.

(2) Der Vertrag wird elektronisch im Konto geschlossen. Die Auftragsverarbeiterin dokumentiert Zeitpunkt und Fassung; die Verantwortliche kann den Text jederzeit herunterladen.

(3) Die Kommunikation zwischen den Parteien sowie zwischen der Auftragsverarbeiterin und Aufsichtsbehörden oder Prüfstellen erfolgt in deutscher Sprache.

(4) Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Anlage 1 · Technische und organisatorische Maßnahmen

Diese Anlage darf nur Maßnahmen enthalten, die zum Stand des Vertragsschlusses tatsächlich umgesetzt sind. Die Gliederung folgt Art. 32 DSGVO und § 22 Abs. 2 BDSG. Die inhaltliche Beschreibung aus Fassung 3.1 kann übernommen werden, nachdem sie mit dem Ist-Stand abgeglichen wurde. Neu aufzunehmen bzw. zu konkretisieren sind die unten mit [●] markierten Punkte.

1. Vertraulichkeit – Zutritt (Rechenzentren und Büro), Zugang (MFA für alle Beschäftigten mit Produktivzugang [●], Passwortrichtlinie, Geräteverwaltung), Zugriff (Rollen, Vier-Augen-Prinzip, Freigabe durch Verantwortliche nach Ziffer 6 Abs. 3, Protokollierung), Trennung (Mandantentrennung, getrennte Umgebungen, keine Echtdaten in Test), Verschlüsselung (E2E für Chat und Video mit Beschreibung des Verfahrens [●], TLS 1.2/1.3, Verschlüsselung ruhender Daten mit Angabe des Schlüsselmanagements [●]).

2. Integrität – Weitergabe (verschlüsselt, dokumentierte Schnittstellen, technische Filter gegen Behandlungsdaten in Push, Sentry und Analyse [●]), Eingabe (revisionssicheres Änderungsprotokoll nach § 630f Abs. 1 Satz 2 und 3 BGB).

3. Verfügbarkeit und Belastbarkeit – Backups (Häufigkeit [●], Aufbewahrung [●], Speicherort EU), Wiederherstellungstests (Frequenz [●]), RTO [●] Stunden, RPO [●] Stunden, Monitoring, Notfallplan.

4. Regelmäßige Überprüfung – Datenschutzmanagement, Informationssicherheitsmanagement [ISO/IEC 27001 oder C5 ●], jährlicher Penetrationstest nach aktuellem OWASP-Katalog [Fassung ●], Abhängigkeits-Scanning, Schulungen, Auftragskontrolle der Unterauftragsverarbeiter, Vorfallprozess mit 24-Stunden-Meldekette.

5. Zusätzliche Maßnahmen für Gesundheitsdaten (§ 22 Abs. 2 BDSG) – Verpflichtung nach § 203 StGB, minimaler Personenkreis mit Zugriffsmöglichkeit, gesonderte Protokollierung von Zugriffen auf Gesundheitsdaten, Löschkonzept mit Fristen.

6. Kundenkriterien nach § 393 SGB V – Liste der Kriterien aus dem C5-Prüfbericht, die die Verantwortliche selbst umsetzen muss (typischerweise: sichere Verwaltung von Zugangsdaten, Rechtevergabe an Teammitglieder, Schutz der Endgeräte) [●].

Anlage 2 · Unterauftragsverarbeiter

Diese Liste enthält ausschließlich Dienstleister, die Daten nach Ziffer 2 Abs. 3 im Auftrag der Verantwortlichen verarbeiten oder darauf zugreifen können. Dienstleister, die nur für eigene Verarbeitungen der CHYLD GmbH eingesetzt werden (etwa RevenueCat, TelemetryDeck, Stripe, Mapbox für die öffentliche Suche), stehen in der Datenschutzerklärung und in den Datenschutzhinweisen für Hebammen, nicht hier. Ausnahme: Werden Adressen von Patientinnen geokodiert, etwa zur Routenplanung von Hausbesuchen oder zur Berechnung von Wegegeld nach § 301a Abs. 1 SGB V, wird der Kartendienst insoweit Unterauftragsverarbeiter und ist hier aufzunehmen.

Unterauftragsverarbeiter	Sitz	Leistung	Verarbeitungsort	Zugriff aus Drittland	Nachweis § 393 SGB V	Behandlungsdaten
Supabase, Inc.	USA	Datenbank, Authentifizierung, Speicher	AWS eu-central-1 (Frankfurt)	[Support: nur mit DPF-Zertifizierung und ohne Klartextzugriff ●]	[●]	ja
Amazon Web Services EMEA SARL	Luxemburg	Rechenzentrumsinfrastruktur	Frankfurt	[●]	C5 Typ 2 [Datum ●]	ja (verschlüsselt)
[Videodienst-Übertragung: Agora Lab, Inc. oder Nachfolger ●]	[●]	Audio-/Videoübertragung	[EWR, vertraglich bestätigt ●]	[●]	[●]	nur verschlüsselte Ströme und Metadaten
Vercel, Inc.	USA	Auslieferung der Weboberfläche einschließlich Web-Zugang Videobetreuung	[●]	[DPF ●]	[●]	nur verschlüsselt im Transit
Resend, Inc.	USA	Transaktionale E-Mails an Patientinnen im Auftrag der Hebamme (etwa Terminbestätigung)	[●]	[DPF ●]	–	nein, nur Name und Kontaktdaten; keine Gesundheitsangaben im E-Mail-Text
OneSignal, Inc.	USA	Push-Benachrichtigungen	USA	[DPF ●]	–	nein, technisch ausgeschlossen nach Ziffer 9 Abs. 3
Functional Software, Inc. (Sentry)	USA	Fehlerberichte	[EU-Region ●]	[DPF ●]	–	nein, technisch ausgeschlossen nach Ziffer 9 Abs. 3
[KI-Anbieter für Dokumentationshilfe ●]	[●]	Textverarbeitung nach Aktivierung durch die Verantwortliche	[EU ●]	[●]	[●]	ja, pseudonymisiert; kein Training

Hinweis zur Tabelle: Eintragungen mit [●] sind vor Veröffentlichung verbindlich zu klären. Ein Dienst darf in der Spalte „Behandlungsdaten" nur dann „nein" tragen, wenn der Ausschluss technisch umgesetzt und getestet ist. Ist für einen Anbieter mit Zugriff auf Behandlungsdaten kein Nachweis nach § 393 SGB V vorhanden, darf er für GKV-bezogene Verarbeitungen nicht eingesetzt werden. Die Spalte „Nachweis § 393 SGB V" umfasst das C5-Testat, den Verarbeitungsort und die Niederlassung im Inland nach Ziffer 5 Abs. 3 lit. b. Für US-Anbieter, insbesondere Supabase und Vercel, ist vor Veröffentlichung zu prüfen, ob sie eine Niederlassung in Deutschland haben, und andernfalls zu entscheiden, ob sie als datenverarbeitende Stelle gelten, ob ein Wechsel auf einen Anbieter mit Sitz oder Niederlassung in Deutschland nötig ist oder ob eine gesicherte abweichende Auslegung vertreten wird.

Anlage 3 · Verpflichtung zur Verschwiegenheit nach § 203 StGB

Die CHYLD GmbH erklärt gegenüber der Verantwortlichen:

Wir wirken an der beruflichen Tätigkeit der Verantwortlichen als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB mit.
Uns ist bekannt, dass wir uns nach § 203 Abs. 4 Satz 1 StGB strafbar machen, wenn wir ein fremdes Geheimnis unbefugt offenbaren, das uns bei der Ausübung oder bei Gelegenheit unserer Mitwirkung bekannt geworden ist, und dass dies auch gilt, wenn wir eine weitere mitwirkende Person hinzuziehen, ohne dafür Sorge zu tragen, dass diese zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).
Wir verpflichten uns, fremde Geheimnisse, die uns im Rahmen des Vertrags bekannt werden, geheim zu halten und uns nur insoweit Kenntnis davon zu verschaffen, wie dies für die Vertragserfüllung erforderlich ist.
Wir haben alle Beschäftigten, die an der Vertragserfüllung mitwirken, und alle Unterauftragsverarbeiter nach Anlage 2 in Textform zur Verschwiegenheit verpflichtet und über die Strafbarkeit belehrt. Neue Beschäftigte und Unterauftragsverarbeiter verpflichten wir vor Beginn der Mitwirkung.
Diese Verpflichtung gilt zeitlich unbegrenzt, auch nach Ende des Vertrags.

Mainz, [Datum] · CHYLD GmbH, vertreten durch [Geschäftsführung ●]