Vertrag zur Auftragsverarbeitung

gemäß Art. 28 Abs. 3 DSGVO

Stand: 1. August 2026 · Version 3.1

zwischen

der Hebamme / Hebammenpraxis, die die App Alma nutzt – nachfolgend „Verantwortliche" –

und

CHYLD GmbH, Adelungstraße 3, 55131 Mainz – nachfolgend „Auftragsverarbeiterin" –

– gemeinsam die „Parteien" –

Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Nutzung der App Alma nach Maßgabe der B2B-AGB (nachfolgend „Hauptvertrag"). Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor.

---

1. Gegenstand, Dauer und Weisungsberechtigung

(1) Die Auftragsverarbeiterin stellt der Verantwortlichen die App Alma zur Verfügung. Im Rahmen dieses Dienstes verarbeitet sie personenbezogene Daten ausschließlich im Auftrag und nach Weisung der Verantwortlichen.

(2) Dauer. Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus Ziffer 10 gelten über das Vertragsende hinaus fort.

(3) Weisungen. Weisungen erteilt die Verantwortliche grundsätzlich in Textform an datenschutz@alma.app. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Die Nutzung der Funktionen der App durch die Verantwortliche gilt als Weisung im Rahmen des vertraglich vereinbarten Leistungsumfangs. Weisungen werden von der Auftragsverarbeiterin dokumentiert und für die Dauer der Vertragslaufzeit sowie drei Jahre darüber hinaus aufbewahrt.

(4) Weisungsberechtigte und Ansprechpartner.

• Weisungsberechtigt aufseiten der Verantwortlichen: die im Alma-Konto hinterlegte Inhaberin bzw. gesetzliche Vertreterin sowie von ihr in Textform benannte Personen.
• Ansprechpartnerin aufseiten der Auftragsverarbeiterin: die/der Datenschutzbeauftragte, datenschutz@alma.app.

(5) Hinweispflicht bei rechtswidrigen Weisungen (Art. 28 Abs. 3 Satz 3 DSGVO). Ist die Auftragsverarbeiterin der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert sie die Verantwortliche unverzüglich. Sie ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(6) Ort der Verarbeitung. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des EWR statt, soweit in Ziffer 6 nichts anderes geregelt ist.

---

2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

(1) Zweck. Bereitstellung einer Plattform zur Kommunikation (Chat, Videobetreuung), zur digitalen Dokumentation der Behandlung, zur Terminverwaltung, zur Vorbereitung und Übermittlung der Abrechnung von Hebammenleistungen sowie zur Verwaltung von Kursangeboten. Die Auftragsverarbeiterin stellt der Verantwortlichen dabei auch einen Videodienst zur Erbringung von Leistungen der Hebammenhilfe im Wege der Videobetreuung nach § 134a Abs. 1d Satz 1 Nr. 2 SGB V zur Verfügung; maßgeblich sind die technischen Voraussetzungen der Anlage 4 zum Vertrag über die Versorgung mit Hebammenhilfe nach § 134a SGB V sowie die Anforderungen der Anlage 31b BMV-Ä in der jeweils gültigen Fassung.

(2) Art der Verarbeitung. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten.

(3) Datenkategorien.

• Stammdaten (Name, Geburtsdatum, Anschrift)
• Kontaktdaten (E-Mail, Telefonnummer)
• Gesundheitsdaten (Schwangerschaftswoche, errechneter Termin, Anamnese, Befunde, Diagnosen, Behandlungsverlauf, Wochenbett- und Stilldokumentation, hochgeladene Befunde und Bilder)
• Versicherungs- und Abrechnungsdaten (Krankenkasse, Versichertennummer, Leistungsziffern)
• Kommunikationsdaten (Chat-Inhalte, Sprachnachrichten, Verbindungsmetadaten der Videobetreuung; Inhalte der Audio-/Videoübertragung sind Ende-zu-Ende verschlüsselt und für die Auftragsverarbeiterin nicht einsehbar)
• Termin- und Nutzungsdaten
• Vertragsdaten zu Kursbuchungen

(4) Kategorien betroffener Personen. Patientinnen (Schwangere, Mütter) der Verantwortlichen, deren Partner:innen und Angehörige, Neugeborene sowie Kursteilnehmerinnen.

(5) Besondere Kategorien. Den Parteien ist bewusst, dass es sich weit überwiegend um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO handelt. Die Auftragsverarbeiterin trifft daher die zusätzlichen Maßnahmen nach § 22 Abs. 2 BDSG (siehe Anlage 1).

(6) Verantwortung für die Rechtmäßigkeit. Die Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage und für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen, allein verantwortlich.

---

3. Pflichten der Auftragsverarbeiterin

(1) Sie verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern sie nicht durch das Unionsrecht oder das Recht eines Mitgliedstaates zur Verarbeitung verpflichtet ist. In diesem Fall teilt sie der Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit. Sie stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Alle Beschäftigten werden vor Aufnahme der Tätigkeit auf das Datengeheimnis und – soweit einschlägig – auf die Geheimhaltungspflicht nach § 203 Abs. 4 StGB verpflichtet und regelmäßig geschult. Die Verpflichtungen wirken über das Ende des jeweiligen Beschäftigungsverhältnisses hinaus fort.

(3) Technische und organisatorische Maßnahmen. Sie trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 beschrieben. Sie dürfen im Laufe des Vertragsverhältnisses angepasst und weiterentwickelt werden, dürfen dabei jedoch das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und der Verantwortlichen auf Anfrage mitgeteilt.

(4) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO). Sie unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO. Wenden sich betroffene Personen unmittelbar an die Auftragsverarbeiterin, leitet sie das Anliegen unverzüglich, spätestens innerhalb von fünf Werktagen, an die Verantwortliche weiter und beantwortet es nicht selbst. Die Unterstützung ist mit dem Entgelt aus dem Hauptvertrag abgegolten, soweit sie über die bereitgestellten Selbstbedienungsfunktionen erfolgt; darüber hinausgehender, außergewöhnlicher Aufwand wird nach vorheriger Abstimmung nach Aufwand vergütet.

(5) Meldung von Datenschutzverletzungen (Art. 28 Abs. 3 lit. f, Art. 33 Abs. 2 DSGVO). Sie meldet der Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit verfügbar:

a) eine Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze, b) den Namen und die Kontaktdaten der/des Datenschutzbeauftragten, c) eine Beschreibung der wahrscheinlichen Folgen, d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensminderung.

Sie unterstützt die Verantwortliche bei deren Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert alle Vorfälle.

(6) Unterstützung bei Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f, Art. 35, 36 DSGVO). Sie unterstützt die Verantwortliche bei der Durchführung einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, indem sie die erforderlichen Informationen zu Verarbeitungsvorgängen, Risiken und Schutzmaßnahmen bereitstellt.

(7) Verzeichnis von Verarbeitungstätigkeiten. Sie führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Verantwortlichen auf Anfrage zur Verfügung.

(8) Datenschutzbeauftragte:r. Die Auftragsverarbeiterin hat eine:n Datenschutzbeauftragte:n bestellt, erreichbar unter datenschutz@alma.app.

(9) Behördliche Anfragen. Erhält die Auftragsverarbeiterin von einer Behörde oder einem Gericht eine Anordnung zur Herausgabe von Daten der Verantwortlichen, informiert sie diese unverzüglich, sofern dies rechtlich zulässig ist, prüft die Rechtmäßigkeit und schöpft zumutbare Rechtsbehelfe aus. Auskünfte an Behörden aus Drittländern erteilt sie nur, wenn eine völkerrechtliche Übereinkunft nach Art. 48 DSGVO oder eine andere zulässige Rechtsgrundlage vorliegt.

---

4. Unterauftragsverhältnisse

(1) Allgemeine Genehmigung. Die Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Änderungen und Widerspruchsrecht (Art. 28 Abs. 2 DSGVO). Die Auftragsverarbeiterin informiert die Verantwortliche über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vorab in Textform bzw. per In-App-Benachrichtigung. Die Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen. Im Fall eines berechtigten Widerspruchs suchen die Parteien eine einvernehmliche Lösung; kommt eine solche nicht innerhalb von 30 Tagen zustande, ist die Verantwortliche berechtigt, den Hauptvertrag außerordentlich mit einer Frist von 14 Tagen zu kündigen, mit anteiliger Erstattung im Voraus gezahlter Entgelte. Die Verantwortliche kann eine Benachrichtigungsliste unter datenschutz@alma.app abonnieren; eine tagesaktuelle Übersicht steht unter alma.app/de/legal/subprozessoren bereit.

(3) Weitergabe der Pflichten (Art. 28 Abs. 4 DSGVO). Die Auftragsverarbeiterin wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen aus und verpflichtet sie vertraglich zu denselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet die Auftragsverarbeiterin gegenüber der Verantwortlichen für dessen Pflichtverletzung.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, die die Auftragsverarbeiterin bei Dritten in Anspruch nimmt und die keinen Bezug zu den im Auftrag verarbeiteten Daten haben (z. B. Telekommunikationsleistungen, Reinigung, Wartung ohne Datenzugriff). Für Fernwartung und vergleichbare Leistungen mit möglichem Datenzugriff werden entsprechende Vereinbarungen getroffen.

---

5. Datensicherheit und Verschlüsselung

(1) Ende-zu-Ende-Verschlüsselung. Die Chat-Kommunikation zwischen der Verantwortlichen und ihren Patientinnen ist Ende-zu-Ende-verschlüsselt. Die Auftragsverarbeiterin bestätigt, dass sie technisch keinen Zugriff auf die Klartextinhalte hat. Auf Servern der Auftragsverarbeiterin werden insoweit lediglich Metadaten verarbeitet. Die Verantwortliche nimmt zur Kenntnis, dass bei Verlust der Endgeräte und Schlüssel eine Wiederherstellung dieser Inhalte technisch ausgeschlossen ist, und trifft entsprechende organisatorische Vorkehrungen (regelmäßiger Export).

(2) Alle übrigen Daten werden bei der Übertragung (TLS 1.2/1.3) und im Ruhezustand („at rest") verschlüsselt.

(3) Die Mandantentrennung zwischen verschiedenen Verantwortlichen erfolgt auf Datenbankebene durch logische Trennung mit zeilenbasierten Zugriffsregeln.

---

6. Drittlandtransfer

(1) Eine Verarbeitung außerhalb des EWR findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die betroffenen Unterauftragsverarbeiter und die jeweiligen Garantien sind in Anlage 2 ausgewiesen.

(2) Grundlage sind vorrangig die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), ergänzt um eine dokumentierte Prüfung der Rechtslage im Empfängerland (Transfer Impact Assessment) sowie um technische Zusatzmaßnahmen (Verschlüsselung, Pseudonymisierung, Datenminimierung). Kopien der Garantien stellt die Auftragsverarbeiterin auf Anfrage bereit.

(3) Gesundheitsdaten der Patientinnen (Behandlungsdokumentation, Chat-Inhalte, Abrechnungsdaten) werden nicht in Drittländer übermittelt.

---

7. Besondere Verschwiegenheitspflicht (§ 203 StGB)

(1) Die Auftragsverarbeiterin ist sich bewusst, dass die Verantwortliche als Hebamme der beruflichen Schweigepflicht nach § 203 Abs. 1 StGB unterliegt und dass sie selbst als mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig wird.

(2) Sie verpflichtet sich, alle ihr im Rahmen der Auftragsverarbeitung bekannt werdenden fremden Geheimnisse geheim zu halten, ihre Beschäftigten und alle weiteren mitwirkenden Personen nach § 203 Abs. 4 Satz 2 Nr. 1 StGB entsprechend zu verpflichten und dies zu dokumentieren.

(3) Sie stellt sicher, dass auch Unterauftragsverarbeiter zur Geheimhaltung in gleichem Umfang verpflichtet werden, und wählt sie unter besonderer Berücksichtigung der Anforderungen des § 203 StGB aus.

(4) Ein Zugriff auf Klartextinhalte durch Beschäftigte der Auftragsverarbeiterin erfolgt nur, soweit dies für die Störungsbeseitigung zwingend erforderlich ist, und nur nach dem Vier-Augen-Prinzip, dokumentiert und – soweit möglich – nach vorheriger Information der Verantwortlichen.

---

8. Kontrollrechte

(1) Die Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren – selbst oder durch von ihr beauftragte, nicht in Wettbewerb zur Auftragsverarbeiterin stehende Prüfer:innen.

(2) Die Auftragsverarbeiterin stellt der Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen sowie vorhandene Testate, Zertifikate oder Prüfberichte. <!-- TODO: Konkrete Testate benennen (z. B. ISO/IEC 27001, TISAX, C5, SOC 2), sobald vorhanden. -->

(3) Reichen Auskünfte und Nachweise nicht aus, ermöglicht die Auftragsverarbeiterin Überprüfungen einschließlich Inspektionen vor Ort. Diese sind mit angemessener Vorlaufzeit von mindestens 14 Tagen anzukündigen, auf die üblichen Geschäftszeiten zu legen und dürfen den Betriebsablauf nicht unangemessen beeinträchtigen. Sie finden in der Regel höchstens einmal jährlich statt; bei konkreten Anhaltspunkten für einen Datenschutzverstoß oder auf Verlangen einer Aufsichtsbehörde auch anlassbezogen. Prüfende Personen sind zur Verschwiegenheit zu verpflichten.

(4) Aufwendungen für Vor-Ort-Prüfungen, die über eine jährliche Prüfung hinausgehen und nicht durch ein Verschulden der Auftragsverarbeiterin veranlasst sind, kann die Auftragsverarbeiterin nach vorheriger Ankündigung angemessen berechnen.

(5) Die Auftragsverarbeiterin unterstützt die Verantwortliche bei Kontrollen der zuständigen Aufsichtsbehörde.

---

9. Haftung

(1) Für Schäden betroffener Personen haften die Parteien nach Art. 82 DSGVO. Der Innenausgleich richtet sich nach Art. 82 Abs. 5 DSGVO nach dem jeweiligen Verantwortungsanteil.

(2) Im Übrigen gilt die Haftungsregelung des Hauptvertrages. Ein vollständiger Haftungsausschluss für Datenverlust wird ausdrücklich nicht vereinbart; die Auftragsverarbeiterin haftet für die Verletzung ihrer Pflichten aus diesem Vertrag nach den gesetzlichen Vorschriften und den Haftungsbeschränkungen des Hauptvertrages.

(3) Die Erfüllung der gesetzlichen Aufbewahrungspflicht für die Behandlungsdokumentation (§ 630f Abs. 3 BGB) obliegt allein der Verantwortlichen. Die Auftragsverarbeiterin schuldet insoweit lediglich die Bereitstellung einer funktionsfähigen Exportfunktion nach Ziffer 10.

---

10. Löschung, Rückgabe und Archivierung

(1) Export. Die Auftragsverarbeiterin stellt der Verantwortlichen dauerhaft eine Funktion zum Export sämtlicher verarbeiteter personenbezogener Daten (Patientinnenakten, Chat-Protokolle, Dokumentationen, Abrechnungsdaten) in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung.

(2) Wahlrecht der Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht die Auftragsverarbeiterin alle personenbezogenen Daten oder gibt sie zurück – nach Wahl der Verantwortlichen. Die Verantwortliche teilt ihre Wahl spätestens mit Wirksamwerden der Kündigung mit. Trifft sie keine Wahl, gilt Absatz 3.

(3) Übergangsfrist. Endet der Hauptvertrag, sperrt die Auftragsverarbeiterin den aktiven Zugang, hält jedoch den Zugang zur Exportfunktion für drei Monate aufrecht. Auf den bevorstehenden Fristablauf weist sie mindestens 30 Tage vorher gesondert in Textform hin. Nach Ablauf der Frist werden die Daten unwiderruflich gelöscht; eine Wiederherstellung ist dann ausgeschlossen. Auf schriftliches Verlangen der Verantwortlichen verlängert die Auftragsverarbeiterin die Frist gegen ein angemessenes Entgelt um bis zu weitere drei Monate.

(4) Ausnahmen. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht der Auftragsverarbeiterin besteht – insbesondere Abrechnungs- und Buchhaltungsdaten zwischen den Parteien (§§ 147 AO, 257 HGB) sowie Meldedaten nach dem PStTG. Diese Daten werden für die weitere Verarbeitung gesperrt und nach Fristablauf gelöscht.

(5) Nachweis. Die Löschung wird dokumentiert und der Verantwortlichen auf Anfrage in Textform bestätigt.

(6) Hinweis zur Archivierungspflicht. Die Verantwortliche wird ausdrücklich darauf hingewiesen, dass sie die Behandlungsdokumentation nach § 630f Abs. 3 BGB mindestens 10 Jahre nach Abschluss der Behandlung aufbewahren muss und dass im Hinblick auf die 30-jährige Verjährungshöchstfrist des § 199 Abs. 2 BGB eine längere Aufbewahrung dringend zu empfehlen ist.

---

11. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Abbedingung dieser Klausel.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem beabsichtigten Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

(4) Der Vertragsschluss erfolgt elektronisch durch Bestätigung im Registrierungsprozess. Die Auftragsverarbeiterin dokumentiert Zeitpunkt und Fassung; die Verantwortliche kann den Vertragstext jederzeit im Konto abrufen und herunterladen.

---

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

<!-- TODO: Anlage 1 vor Veröffentlichung mit dem tatsächlichen Ist-Stand abgleichen; nur umgesetzte Maßnahmen beschreiben. -->

1. Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung erfolgt in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter (AWS, Region eu-central-1 Frankfurt) mit Zutrittskontrolle, Videoüberwachung, Sicherheitspersonal und protokolliertem Zutritt. Eigene Büroräume sind durch Schließsystem und Besucherregelung gesichert.

Zugangskontrolle. Persönliche Benutzerkonten, Passwortrichtlinie mit Mindestlänge und Komplexitätsanforderungen, verpflichtende Mehr-Faktor-Authentifizierung für administrative Zugänge, automatische Bildschirmsperre, Festplattenverschlüsselung aller Arbeitsgeräte, zentrale Geräteverwaltung, Sperrung von Zugängen bei Ausscheiden innerhalb eines Werktages.

Zugriffskontrolle. Rollenbasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip, dokumentierte Rechtevergabe und regelmäßige Rezertifizierung, Protokollierung administrativer Zugriffe auf Produktivdaten, Vier-Augen-Prinzip bei Zugriffen auf Kundendaten, getrennte Entwicklungs-, Test- und Produktivumgebungen, keine Verwendung von Echtdaten in Test- und Entwicklungsumgebungen.

Trennungskontrolle. Logische Mandantentrennung auf Datenbankebene mit zeilenbasierten Zugriffsregeln; Trennung nach Verarbeitungszwecken.

Pseudonymisierung und Verschlüsselung. Ende-zu-Ende-Verschlüsselung der Chat-Kommunikation; Transportverschlüsselung TLS 1.2/1.3; Verschlüsselung ruhender Daten; Pseudonymisierung in Analyse-, Diagnose- und KI-Kontexten; Filterung direkter Identifikatoren vor Übermittlung an externe Dienstleister.

2. Integrität

Weitergabekontrolle. Verschlüsselte Übertragung sämtlicher Daten; dokumentierte Schnittstellen; Auftragsverarbeitungsverträge mit allen Dienstleistern; Verbot der Datenweitergabe zu eigenen Zwecken.

Eingabekontrolle. Protokollierung von Erstellung, Änderung und Löschung in der Behandlungsdokumentation mit Zeitstempel und Benutzerkennung; Nachvollziehbarkeit von Korrekturen entsprechend § 630f Abs. 1 Satz 2 und 3 BGB.

3. Verfügbarkeit und Belastbarkeit

Regelmäßige automatisierte Backups mit Verschlüsselung; geografisch getrennte Speicherung innerhalb der EU; dokumentierte Wiederherstellungstests mindestens jährlich; definierte Wiederherstellungsziele; <!-- TODO: RTO/RPO eintragen. --> Monitoring und Alarmierung; Schutz vor Schadsoftware; Notfall- und Wiederanlaufplan.

4. Verfahren zur regelmäßigen Überprüfung

Datenschutz-Management mit bestellter/m Datenschutzbeauftragten; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO; dokumentierter Prozess zur Behandlung von Datenschutzverletzungen mit 24-Stunden-Meldekette; Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO); regelmäßige Schulung der Beschäftigten; Auftragskontrolle durch Prüfung und Dokumentation der Dienstleister; regelmäßige Sicherheitsüberprüfungen, insbesondere ein jährlicher Penetrationstest gegen die Risikokategorien des OWASP Top 10 Katalogs in der Fassung von 2021 sowie fortlaufendes Scanning der eingesetzten Abhängigkeiten; Prozess für Sicherheitsupdates.

5. Zusätzliche Maßnahmen bei besonderen Kategorien (§ 22 Abs. 2 BDSG)

Besondere Sensibilisierung und gesonderte Verpflichtung der Beschäftigten nach § 203 StGB; Beschränkung des Personenkreises mit Zugriffsmöglichkeit auf ein Minimum; besondere Protokollierung von Zugriffen auf Gesundheitsdaten; Datenminimierung durch Filterung von Gesundheitsdaten aus Diagnose- und Analyseprozessen; Löschkonzept mit definierten Fristen.

---

Anlage 2 — Unterauftragsverarbeiter

<!-- TODO: Vor Veröffentlichung mit dem tatsächlichen Einsatz abgleichen und laufend aktuell halten. -->

<!-- TODO: Vor Veröffentlichung vertragliche Bestätigung des Übertragungsdienstleisters (Agora) zu Verarbeitungsort und Ausschluss administrativer Zugriffe aus Drittstaaten einholen. --> <!-- TODO: Abrechnungsdienstleister und ggf. KI-Anbieter namentlich ergänzen, sobald Patientinnendaten betroffen und Verträge feststehen. -->

Hinweis zu KI-Diensten: Soweit KI-gestützte Funktionen Daten verarbeiten, die der Verantwortlichkeit der Hebamme unterliegen (z. B. Unterstützung bei der Dokumentation), sind die jeweiligen Anbieter hier zwingend aufzuführen und die Verarbeitung ist auf eine ausdrückliche Weisung der Verantwortlichen zu stützen. Eine Nutzung dieser Daten zu Trainingszwecken der Anbieter ist vertraglich auszuschließen.

Zahlungsdienstleister: Stripe verarbeitet Zahlungsdaten teilweise als eigenständig Verantwortlicher. Insoweit liegt keine Auftragsverarbeitung vor.