Zum Inhalt springen

AVV

Fassung: 2026-10-28 · Art. 28 DSGVO für RehabPilot-Praxen

Dieser AVV ist das vertragliche Angebot nach Art. 28 DSGVO (englische Fassung inhaltlich gleich: DPA). Die USA werden derzeit nicht bedient; ein Angebot für US-Praxen besteht nicht.

1. Parteien und Rollen

Verantwortlicher: die Physiotherapie-Praxis / Klinik mit RehabPilot-Konto („Praxis“).
Auftragsverarbeiter: Josef Kirchhofer & Phillip Rosenheinrich GbR, Destouchesstr. 3, 80803 München („RehabPilot“, „wir“).

Mit Annahme dieses AVV (Clickwrap bei Testzugang oder Checkout) weist die Praxis uns an, personenbezogene Daten wie unten beschrieben zur Erbringung des Cloud-Dienstes zu verarbeiten.

2. Gegenstand, Dauer, Art und Zweck (Anlage A)

  • Gegenstand: Hosting und Betrieb der RehabPilot-Cloud-Funktionen (Konten, Pläne, Medien, Nachrichten, Einladungen, Push-Tokens soweit aktiv).
  • Dauer: Laufzeit von Abo/Testzugang bis Löschung/Rückgabe nach Ziff. 8.
  • Art: Speichern, Übermitteln, Anzeigen, Sichern, Löschen und zugehörige IT-Betriebsvorgänge (einschließlich der Erzeugung verschlüsselter Vorschaubilder für Medien).
  • Zweck: Erbringung des vereinbarten RehabPilot-Dienstes auf Weisung der Praxis.
  • Betroffene: Praxismitarbeiter; Patienten der Praxis (ggf. Erziehungsberechtigte).
  • Datenarten: Identitäts- und Kontaktdaten; Therapiepläne, Übungen, Sitzungsnotizen, Fortschritt; In-App-Nachrichten; Medien; Authentifizierungsdaten; Geräte-/Push-Tokens; technische Logs.
  • Besondere Kategorien: Gesundheitsdaten können enthalten sein (Art. 9 DSGVO). Die Praxis ist für ihre Art.-9-Rechtsgrundlage verantwortlich.
  • Speicherdauer und Löschung: Personenbezogene Daten werden nur so lange verarbeitet, wie dies für die vereinbarten Funktionen erforderlich ist, und entsprechend den dokumentierten Weisungen der Praxis. Im Produkt sind derzeit folgende automatische Löschfristen umgesetzt: Patienten- und Therapiedaten werden 10 Jahre nach der letzten Aktivität des Patienten gelöscht; In-App-Nachrichten werden nach 30 Tagen gelöscht; Erledigungen und Workout-Bewertungen (Trainingsverlauf) werden nach 180 Tagen gelöscht; Support-Anfragen werden 12 Monate nach ihrem Abschluss gelöscht; Geräte- und Push-Tokens werden nach 180 Tagen Inaktivität gelöscht; Aufträge zum PDF-Versand von Wochenplänen werden nach 30 Tagen gelöscht. Eine Einstellung dieser Fristen durch die Praxis im Produkt ist derzeit nicht vorhanden; die Praxis kann über den Support eine abweichende Frist für Patienten- und Therapiedaten (1 bis 50 Jahre), die Ausnahme einzelner Patienten von der automatischen Löschung oder eine Löschung anweisen. RehabPilot setzt rechtmäßige und technisch umsetzbare Weisungen innerhalb angemessener Frist um. Im Übrigen erfolgen Löschung und Aufbewahrung auf Weisung der Praxis (manuell im Produkt oder in Textform); die Praxis bleibt für ihre eigenen Aufbewahrungspflichten verantwortlich. RehabPilot ist kein Archivsystem zur Erfüllung gesetzlicher Dokumentations- und Aufbewahrungspflichten der Praxis. Nach Vertragsende erfolgen Rückgabe oder Löschung nach Ziff. 8.

3. Weisungen

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung der Praxis — einschließlich dieses AVV, der Produktkonfiguration durch die Praxis und Support-Anfragen berechtigter Praxis-Administratoren — es sei denn, Unions- oder Mitgliedstaatenrecht verlangt etwas anderes (dann Information der Praxis vor der Verarbeitung, soweit rechtlich zulässig).

Ist RehabPilot der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informieren wir die Praxis unverzüglich. Wir sind berechtigt, die Ausführung der Weisung bis zur Bestätigung oder Änderung durch die Praxis auszusetzen.

3a. Zugriff auf Inhaltsdaten; keine Eigennutzung

(1) Die Praxis nimmt zur Kenntnis, dass RehabPilot als Betreiber der Systeme technisch in der Lage ist, auf gespeicherte Daten einschließlich Gesundheitsdaten und — nach Entschlüsselung — Medien zuzugreifen.

(2) RehabPilot greift auf personenbezogene Inhaltsdaten durch Personen nur zu
a) auf ausdrückliche, dokumentierte Weisung eines berechtigten Praxis-Administrators im Einzelfall (z. B. Support-Anfrage) und nur im dafür erforderlichen Umfang, oder
b) ausnahmsweise ohne vorherige Weisung, soweit dies zur Abwehr einer akuten Gefahr für die Sicherheit oder Verfügbarkeit des Dienstes zwingend erforderlich ist; die Praxis wird in diesem Fall unverzüglich nachträglich informiert.
Automatisierte Verarbeitungen, die zur Erbringung des Dienstes gehören (z. B. Speicherung, Sicherung, Erzeugung verschlüsselter Vorschaubilder), sind von der Weisung durch diesen AVV umfasst und beinhalten keine Kenntnisnahme durch Personen.

(3) Support-Anfragen, auf deren Grundlage ein Zugriff nach Abs. 2 lit. a erfolgt, werden in unserem Support-Ticketsystem bzw. im E-Mail-Verlauf dokumentiert.

(4) RehabPilot verwendet Praxis- und Patientendaten zu keinem Zeitpunkt für eigene Zwecke. Insbesondere werden sie nicht ausgewertet, analysiert, für Werbung, Profilbildung, Statistik oder das Training von KI-Modellen genutzt und nicht an Dritte weitergegeben, verkauft oder anderweitig offengelegt — ausgenommen an die nach Ziff. 6 genehmigten Unterauftragsverarbeiter im Rahmen ihres Auftrags sowie bei einer gesetzlichen Pflicht nach Ziff. 3.

(5) Anfragen von Behörden oder Dritten auf Herausgabe von Daten leiten wir, soweit rechtlich zulässig, an die Praxis weiter; Daten geben wir nur bei zwingender gesetzlicher Verpflichtung heraus.

4. Vertraulichkeit und Berufsgeheimnis (§ 203 StGB)

(1) Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet und werden angemessen geschult. Zugang zu Produktionssystemen und Zugangsdaten ist auf das notwendige Minimum beschränkt.

(2) RehabPilot wirkt als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB an der beruflichen Tätigkeit der Praxis mit. Soweit wir dabei Daten verarbeiten, die dem Berufsgeheimnis der Praxis (insbes. ärztliche bzw. therapeutische Schweigepflicht nach § 203 StGB) unterliegen, verpflichten wir uns zur strengen Verschwiegenheit und offenbaren solche Daten nur, soweit dies für die Erbringung des Dienstes erforderlich ist.

(3) Wir verpflichten alle Personen, die bei der Durchführung dieses Vertrags mitwirken und Kenntnis von solchen Daten erlangen können, vor Aufnahme ihrer Tätigkeit schriftlich zur Verschwiegenheit und belehren sie über die Strafbarkeit einer Verletzung von Privatgeheimnissen (§ 203 Abs. 4 StGB). Diese Pflicht gilt auch nach Ende ihrer Tätigkeit fort.

(4) Setzen wir Unterauftragsverarbeiter ein, die Kenntnis von solchen Daten erlangen können, verpflichten wir sie in Textform in gleicher Weise zur Verschwiegenheit, zur Belehrung ihrer Personen über die Strafbarkeit und zur Weitergabe dieser Pflichten an weitere Unterauftragsverarbeiter.

5. Sicherheit — TOMs (Anlage B)

Wir unterhalten technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind. Die umgesetzten Maßnahmen und ihre Geltungsbereiche sind in dieser Anlage B (Stand 28.10.2026) dokumentiert; wesentliche Änderungen werden in einer neuen, datierten Fassung dokumentiert. Wir überprüfen die Wirksamkeit der Maßnahmen regelmäßig und passen sie bei Bedarf an; das Schutzniveau darf dabei nicht unterschritten werden.

Stand der produktiven Konfiguration (Auszug; Details auch unter Trust & Security):

  • Zugriffskontrolle: Zugriff nur im nötigen Umfang; die Apps verwenden keine Passwörter (Anmeldung per E-Mail-Link oder Login-Code, optional Google Sign-In oder Sign in with Apple, Praxis-PIN); ein Passwort gibt es nur für das Web-Kundenportal; Login-Codes, PINs und Portal-Passwörter werden nur in nicht umkehrbarer Form gespeichert; geschützte Sitzungs-Cookies im Web-Kundenportal. Nicht enthalten: Zwei-Faktor-Authentifizierung (2FA), automatischer Logout bei Inaktivität, separates Lizenz-Audit-Log.
  • Transport: TLS/HTTPS für öffentliche Endpunkte. Medien werden vor dem Upload verschlüsselt und nur verschlüsselt übertragen; Upload-Berechtigungen sind zeitlich begrenzt.
  • Medien-Speicher und Verschlüsselung: Medienspeicher bei Cloudflare, Speicherregion Westeuropa. Übungsmedien (Bilder, Videos, Avatare) werden vor dem Upload in der App mit einem anerkannten, modernen Verschlüsselungsverfahren verschlüsselt, mit eigenem Schlüssel pro Datei; bei Cloudflare liegen nur verschlüsselte Daten. Die Verschlüsselung der Medien ist immer aktiv und kann weder von der Praxis noch von Nutzern abgeschaltet werden. Die Schlüssel werden ausschließlich auf unseren Servern in Deutschland (Amazon Web Services, Frankfurt) verwaltet. Entschlüsselt wird in autorisierten Apps nach Anmeldung sowie kurzzeitig auf unseren Servern in Deutschland, um verschlüsselte Vorschaubilder zu erzeugen. RehabPilot kann Schlüssel technisch entschlüsseln; ein Zugriff durch Personen erfolgt nur nach Ziff. 3a.
  • Medien-Auslieferung & Pseudonymisierung: Medien werden erst nach serverseitiger Prüfung von Praxiszugehörigkeit und Rolle über HTTPS ausgeliefert, und zwar nur verschlüsselt. Mediendateien werden über pseudonyme, zufällige Kennungen abgelegt und enthalten keine Namen oder Diagnosen; die Zuordnung zu Personen erfolgt ausschließlich in den Datenbanken bei Amazon Web Services in Frankfurt, Deutschland.
  • Strukturdaten: Anwendungsdatenbanken auf von uns betriebenen Servern bei Amazon Web Services in Frankfurt; Trennung der Daten je Praxis.
  • Standard-Webserver-Logs (Rotation); kein separates Lizenz-Audit-Log.
  • Automatisierte Datenbank-Backups (AWS RDS, Aufbewahrung 7 Tage) und Wiederherstellungsverfahren.
  • Regelmäßige Sicherheitsupdates von Betriebssystem, Laufzeitumgebung und Abhängigkeiten.

Hinweis zu Anmeldung und Sitzungen: Die Praxis nimmt zur Kenntnis, dass in der aktuellen Produktversion keine Zwei-Faktor-Authentifizierung (2FA) sowie kein automatischer Logout bei Inaktivität integriert sind. Der Praxis obliegt die eigenverantwortliche Absicherung der verwendeten Endgeräte und Zugangslinks (z. B. Geräte-Sperrbildschirm, Praxis-PIN, sorgfältiger Umgang mit E-Mail-Anmeldelinks und Login-Codes).

Infrastruktur: Application-Hosting (einschließlich Auslieferung der Web-App), Datenbanken, Schlüsselverwaltung und E-Mail-Versand bei Amazon Web Services (Frankfurt), Medienspeicher und Netzwerkschutz bei Cloudflare, jeweils Anbieter mit BSI-C5-Testat; Hosting in Deutschland/EU. Die Website rehabpilot.org wird bei der Hetzner Online GmbH in Deutschland gehostet; dieser Anbieter verarbeitet keine Praxis- oder Patientendaten der App und hat keinen Zugriff darauf. Das Testat gilt nur für diese Dienste der Anbieter, nicht für RehabPilot selbst und nicht für weitere Dienste wie Push oder Zahlungen. Testate: AWS BSI-C5-Testat, Cloudflare BSI-C5-Testat.

§ 393 SGB V: Ob § 393 SGB V für die Praxis gilt, prüft die Praxis selbst. RehabPilot sichert nicht zu, dass die Nutzung die Anforderungen des § 393 SGB V erfüllt.

6. Unterauftragsverarbeiter (Anlage C)

Die Praxis genehmigt die bei Vertragsschluss auf der Seite Unterauftragsverarbeiter genannten Unterauftragsverarbeiter (Stand bei Vertragsschluss maßgeblich; RehabPilot stellt diesen Stand auf Anfrage als datierte Fassung mit Firma, Sitz, Funktion, verarbeiteten Datenkategorien und Verarbeitungsort bereit). RehabPilot verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV gleichwertig sind (Art. 28 Abs. 4 DSGVO), und bleibt der Praxis für deren Einhaltung verantwortlich.

Änderungen (Hinzuziehung oder Ersetzung) kündigen wir mindestens 14 Tage vorab in Textform durch Aktualisierung der Unterauftragsverarbeiter-Liste und per E-Mail an die Kontaktadresse der Praxis an; die Mitteilung enthält Angaben zum betroffenen Dienst und zu den wesentlichen Änderungen. Die Praxis kann innerhalb dieser Frist aus wichtigem, berechtigtem Grund (insbesondere bei berechtigten Zweifeln an der Einhaltung des Datenschutzes oder der Informationssicherheit) an [email protected] in Textform widersprechen. Die Parteien bemühen sich dann um eine zumutbare Lösung. Können wir dem Widerspruch nicht abhelfen, ist die Praxis berechtigt, den Vertrag außerordentlich zum Zeitpunkt des Inkrafttretens der Änderung zu kündigen; bereits gezahlte Entgelte für den nicht genutzten Zeitraum werden anteilig erstattet. Ohne Widerspruch gilt die Änderung als genehmigt.

7. Drittlandtransfers (Anlage D)

Das Application-Hosting erfolgt in Deutschland (Amazon Web Services, Frankfurt). Mediendateien werden verschlüsselt in Westeuropa gespeichert. Soweit Unterauftragsverarbeiter mit Sitz außerhalb EWR/UK/CH (z. B. Cloudflare, Stripe, Google) Daten verarbeiten oder Support/Metadaten außerhalb des EWR verarbeiten, stützen sich Übermittlungen auf geeignete Garantien (EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, bzw. EU-Standardvertragsklauseln) sowie die Maßnahmen der Anlage B.

8. Unterstützung, Meldepflichten, Löschung und Rückgabe

  • Wir unterstützen die Praxis mit geeigneten technischen und organisatorischen Maßnahmen bei Anfragen Betroffener (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) sowie bei Anfragen von Aufsichtsbehörden. Anfragen von Patienten, die uns direkt erreichen, leiten wir an die Praxis weiter.
  • Verletzungen des Schutzes personenbezogener Daten melden wir der Praxis unverzüglich nach Kenntniserlangung, spätestens binnen 48 Stunden, an die Kontaktadresse der Praxis. Die Erstmeldung enthält die zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO, insbesondere zu Art und Umfang des Vorfalls, betroffenen Daten und Personen, möglichen Folgen sowie ergriffenen oder geplanten Abhilfemaßnahmen; fehlende Angaben reichen wir unverzüglich nach. Wir dokumentieren den Vorfall und unterstützen die Praxis bei ihren Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).
  • Notfallsperre: Bei begründetem Verdacht einer akuten Bedrohung der Datensicherheit (z. B. Kompromittierung von Zugangsdaten der Praxis) sind wir berechtigt, den Zugang unverzüglich und im erforderlichen Umfang einzuschränken (Abschnitt „Sperre des Zugangs“ der AGB). Die Praxis wird hierüber unverzüglich informiert; die Sperre wird umgehend nach Beseitigung der Ursache aufgehoben. Daten werden durch die Sperre weder gelöscht noch verändert.
  • Vertragsende: Nach Vertragsende geben wir personenbezogene Daten auf dokumentierte Weisung der Praxis zurück oder löschen sie (Art. 28 Abs. 3 lit. g DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Das Vertragsende löst keine automatische Löschung der Praxisdaten aus; die in Ziff. 2 beschriebenen produktbezogenen Löschfristen bleiben unberührt. Die Rückgabe erfolgt als Export in einem gängigen maschinenlesbaren Format (JSON), den RehabPilot auf Anfrage der Praxis über den Support bereitstellt (Abschnitt „Datenexport und Vertragsende“ der AGB); Mediendateien nach Absprache. Ist eine Löschung angewiesen, werden die Daten in den Produktivsystemen gelöscht; in Sicherungskopien enthaltene Daten werden im Rahmen der dokumentierten Backup-Rotation (7 Tage) überschrieben. Werden Daten aus einer Sicherungskopie wiederhergestellt, werden bereits angewiesene Löschungen erneut umgesetzt, soweit keine rechtliche Verpflichtung zur weiteren Speicherung besteht. Patienten können ihre eigenen Daten (Profil, Pläne, Übungen, Wochenpläne, Sitzungsnotizen, Nachrichten, Medien-Metadaten, Erledigungen) zusätzlich selbst in der Patienten-App exportieren.
  • Den Nachweis über Abschluss und Fassung dieses AVV (Annahmeprotokoll) bewahren wir zur Erfüllung unserer Rechenschaftspflicht getrennt von den Praxisdaten auf, solange er als Nachweis des Vertrags benötigt wird.
  • Muster für Patienten-Datenschutzhinweise (Art. 13 DSGVO): Muster-Datenschutzhinweis für Patienten.

9. Nachweise, Prüfungen und Inspektionen

Wir stellen der Praxis auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung (u. a. diesen AVV, TOM-Beschreibung, Unterauftragsverarbeiterliste, Nachweise des Hosters). Die Praxis oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von RehabPilot ist, kann nach angemessener Vorankündigung (in der Regel 30 Tage) Überprüfungen einschließlich Inspektionen während der üblichen Geschäftszeiten durchführen, ohne den Betrieb unverhältnismäßig zu stören. Vorrangig genügen aktuelle Nachweise; Inspektionen sind möglich, wenn diese nicht ausreichen, nach einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde. Rechte der Aufsichtsbehörden bleiben unberührt.

10. UK und Schweiz

Praxen im Vereinigten Königreich akzeptieren zusätzlich das UK-GDPR-Addendum. Praxen in der Schweiz zusätzlich das CH-nDSG-Addendum. EU/EWR-Praxen akzeptieren diesen AVV allein.

11. Haftung

Für den Haftungsumfang gelten die Regelungen der AGB. Die gesetzliche Haftung der Parteien gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt hiervon unberührt.

12. Kontakt

Josef Kirchhofer & Phillip Rosenheinrich GbR · Destouchesstr. 3 · 80803 München · Deutschland · [email protected]