gemäß Art. 28 DSGVO
Verantwortlicher (Auftraggeber):
Der Kunde, der die Software AISenti nutzt (nachfolgend „Auftraggeber").
Auftragsverarbeiter:
med41 UG (haftungsbeschränkt)
Dr. med. Mesut Özeker (Geschäftsführer)
Sophiastr. 50, 71088 Holzgerlingen, Deutschland
Registergericht: Amtsgericht Stuttgart, HRB 804540
USt-IdNr.: DE461206482
E-Mail: support@aisenti.de
(nachfolgend „Auftragnehmer")
Der Auftragnehmer stellt dem Auftraggeber die Software „AISenti" als Software-as-a-Service (SaaS) zur Verfügung. Im Rahmen dieser Dienstleistung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.
Dieser AVV wird mit der Registrierung und Nutzung von AISenti geschlossen und gilt als Bestandteil der Allgemeinen Geschäftsbedingungen.
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen folgender Tätigkeit:
Dieser Vertrag beginnt mit der Registrierung des Auftraggebers bei AISenti und gilt für die Dauer des Nutzungsvertrages. Er endet automatisch mit Beendigung des Nutzungsvertrages. Da keine personenbezogenen Daten dauerhaft gespeichert werden, bestehen keine Aufbewahrungspflichten über das Vertragsende hinaus (mit Ausnahme von Accountdaten, siehe § 5.7).
Die Verarbeitung umfasst folgende Tätigkeiten:
Die Verarbeitung erfolgt ausschließlich zum Zweck der:
Diese Daten werden ausschließlich während der Verarbeitung temporär im Arbeitsspeicher gehalten und unmittelbar nach Abschluss automatisch gelöscht. Es erfolgt keine dauerhafte Speicherung.
Von der Verarbeitung betroffene Personengruppen:
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragnehmer trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die aktuellen Maßnahmen sind in Anlage 1 (TOM) zu diesem Vertrag beschrieben.
Der Auftragnehmer darf Unterauftragnehmer (weitere Auftragsverarbeiter) nur mit vorheriger schriftlicher Genehmigung des Auftraggebers einsetzen. Die aktuell genehmigten Unterauftragnehmer sind in Anlage 2 aufgeführt.
Bei Wechsel oder Hinzunahme eines Unterauftragnehmers informiert der Auftragnehmer den Auftraggeber vorab in Textform. Der Auftraggeber kann innerhalb von 14 Tagen Einspruch erheben. Erhebt der Auftraggeber aus berechtigten datenschutzrechtlichen Gründen Einspruch, sind die Parteien berechtigt, den Hauptvertrag außerordentlich zu kündigen.
Der Auftragnehmer stellt sicher, dass jedem Unterauftragnehmer dieselben Datenschutzpflichten auferlegt werden.
Der Auftragnehmer unterstützt den Auftraggeber bei:
Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde. Die Meldung enthält mindestens:
Es findet keine dauerhafte Speicherung personenbezogener Daten statt. Sämtliche Daten (Audioaufnahmen, Transkripte, Zusammenfassungen) werden automatisch und unverzüglich nach Abschluss der jeweiligen Verarbeitung gelöscht. Eine Rückgabe von Daten nach Vertragsende ist daher nicht möglich, da keine Daten beim Auftragnehmer vorliegen.
Accountdaten (E-Mail-Adresse, Zugangsdaten) werden innerhalb von 30 Tagen nach Vertragsende gelöscht.
Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO. Er ist verantwortlich für:
Der Auftraggeber erteilt alle Weisungen schriftlich oder in dokumentierter elektronischer Form. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Der Auftraggeber ist berechtigt, sich von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Dies kann erfolgen durch:
Die Haftung richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander haftet jede Partei für den Schaden, den sie durch einen Verstoß gegen die DSGVO oder diesen Vertrag verursacht hat.
Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für eine Änderung dieser Klausel.
Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Es gilt das Recht der Bundesrepublik Deutschland.
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag oder anderen Vereinbarungen hat dieser AVV Vorrang hinsichtlich datenschutzrechtlicher Regelungen.
Dieser AVV wird mit der Registrierung bei AISenti und der Zustimmung zu den AGB elektronisch geschlossen. Die Zustimmung wird mit Zeitstempel dokumentiert.
Zutrittskontrolle
Zugangskontrolle
Zugriffskontrolle
Trennungskontrolle
Pseudonymisierung
Weitergabekontrolle
Eingabekontrolle
Verfügbarkeitskontrolle
Belastbarkeit
Keine dauerhafte Datenspeicherung
Datenschutz-Management
Incident-Response-Management
Auftragskontrolle
| Nr. | Unterauftragnehmer | Anschrift | Verarbeitungstätigkeit | Serverstandort |
|---|---|---|---|---|
| 1 | Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Deutschland | Server-Hosting, Infrastruktur (keine dauerhafte Speicherung personenbezogener Daten) | Deutschland |
| 2 | Soniox, Inc. | 1045 Helm Lane, Foster City, CA 94404, USA (EU-Büro: Ljubljana, Slowenien) | Spracherkennung (Speech-to-Text) – Daten werden nach Verarbeitung sofort gelöscht, keine Speicherung | EU (Region: European Union) |
| 3 | Google Cloud (Vertex AI) | Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Irland | KI-Textverarbeitung (LLM) – Daten werden nach Verarbeitung sofort gelöscht, keine Speicherung | EU (europe-west4, Niederlande) |
| 4 | Sentry (Functional Software, Inc.) | 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA | Fehlererkennung und Stabilitätsüberwachung – ausschließlich technische Fehlerdaten (Stack-Traces, URL, Zeitstempel), keine Patientendaten, keine Anfrageinhalte | EU (ingest.de.sentry.io) |
Keiner der genannten Unterauftragnehmer speichert personenbezogene Daten dauerhaft. Alle Daten werden ausschließlich zur Verarbeitung übermittelt und unmittelbar nach Abschluss automatisch gelöscht.
Für Unterauftragnehmer mit Sitz außerhalb der EU/des EWR gelten die EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission. Mit Soniox besteht ein Data Processing Agreement (DPA) inkl. EU SCCs und EU Processing Enablement Addendum. Soniox ist SOC 2 Type II zertifiziert. Die Datenverarbeitung für AISenti erfolgt ausschließlich in der EU-Region von Soniox. Mit Sentry besteht ein Data Processing Agreement (DPA). Die Datenverarbeitung erfolgt im EU-Rechenzentrum von Sentry. Es werden ausschließlich technische Fehlerdaten übermittelt — keine Patientendaten, Audioinhalte, Transkripte oder Anfrageinhalte.
Stand: April 2026