Auftragsverarbeitungsvertrag.

Inhalt: 1 Vertragsparteien & Zustandekommen · 2 Gegenstand & Dauer · 3 Art & Zweck der Verarbeitung · 4 Pflichten der Praxis · 5 Pflichten von Ceremaris · 6 Technische & organisatorische Maßnahmen · 7 Subprozessoren · 8 Betroffenenrechte & Vorfälle · 9 Löschung & Aufbewahrung · 10 Vergütung, Haftung, Sonstiges

1. Vertragsparteien und Zustandekommen

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (im Folgenden „AVV") wird geschlossen zwischen der Praxis, die sich für die Nutzung von Medivian registriert — nachfolgend „die Praxis" — und der

• Ceremaris GmbH, Augsburger Str. 13, 86368 Gersthofen, eingetragen im Handelsregister unter HRB 42670, vertreten durch den Geschäftsführer Dr. Robert Ivancic — nachfolgend „Ceremaris".
• Datenschutz-Kontakt: datenschutz@ceremaris.com

Die Praxis ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, Ceremaris ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Zustandekommen. Der Vertrag kommt elektronisch mit dem Abschluss der Registrierung zustande. Die Praxis wird dabei durch die Person vertreten, die die Registrierung vornimmt und dabei bestätigt, hierzu bevollmächtigt zu sein. Als Praxisangaben gelten die bei der Registrierung gemachten Angaben (Name der Praxis, Anschrift, verantwortliche Person, Kontaktadresse) sowie die von Ceremaris vergebene Mandantenkennung. Ceremaris dokumentiert den Vertragsschluss mit Zeitpunkt, IP-Adresse und einer Prüfsumme der zu diesem Zeitpunkt geltenden Vertragsfassung; die Praxis kann diesen Nachweis jederzeit anfordern.

Dieser AVV ergänzt den Nutzungsvertrag (AGB) und geht diesem für die Verarbeitung personenbezogener Daten vor. Änderungen bedürfen der Textform; E-Mail genügt.

2. Gegenstand und Dauer

Gegenstand. Ceremaris stellt der Praxis die Plattform Medivian für die medizinische Dokumentation, Sprachtranskription und KI-gestützte Formulierungsunterstützung zur Verfügung. Medivian trifft keine diagnostischen oder therapeutischen Entscheidungen; die fachliche Verantwortung für jede Ausgabe verbleibt bei der behandelnden Ärztin oder dem behandelnden Arzt.

Betriebsmodus. Die Verarbeitung erfolgt in einem von zwei Modi, den die Praxis wählt und jederzeit wechseln kann:

• Cloud (pseudonym): Ceremaris speichert ausschließlich pseudonyme Daten auf eigener Infrastruktur. Direkte Identifikatoren — Name, Geburtsdatum, Anschrift, Versichertennummer, Telefonnummer, E-Mail-Adresse — werden bereits durch das Datenschema abgewiesen und gelangen nicht in die Cloud. Dies ist der Modus, in dem jede Registrierung startet.
• Praxis-lokal (hybrid): Die Praxis betreibt einen lokalen Medivian-Server, auf dem sämtliche Patientendaten verbleiben. Ceremaris speichert keine Patientendaten; klinische Inhalte werden ausschließlich während der Bearbeitung übertragen und nicht dauerhaft abgelegt.

Dauer. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und endet automatisch mit dessen Beendigung.

3. Art und Zweck der Verarbeitung

Zwecke. Unterstützung der medizinischen Dokumentation durch KI-gestützte Formulierungsvorschläge; Transkription und Strukturierung von Konsultationsnotizen; Recherche- und Syntheseunterstützung in medizinischer Fachliteratur; Speicherung der klinischen Dokumentation; Sicherung und Wiederherstellung; Protokollierung zur Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Art der Verarbeitung. Erheben, Speichern, Strukturieren, Verändern, Abfragen, Übermitteln an genehmigte Subprozessoren nach vorheriger Anonymisierung, Löschen. Automatisierte Verarbeitung findet statt in Form von KI-gestützter Textgenerierung, automatischer Anonymisierung und manipulationsgeschützter Protokollierung. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Datenarten.

• Cloud-Modus: synthetische Patientennummer, Alter, Anrede, Geschlecht sowie klinische Inhalte (Anamnese, Befund, Beurteilung, Testwerte, Transkripte, KI-Ausgaben). Keine direkten Identifikatoren.
• Praxis-lokal: zusätzlich Klarname, Geburtsdatum, Anschrift, Versichertennummer und Kontaktdaten — diese verbleiben ausschließlich auf der Infrastruktur der Praxis.

Betroffene Personen. Patientinnen und Patienten der Praxis sowie das Praxispersonal (Anmelde- und Protokolldaten der Anwender).

Ort der Verarbeitung. Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein, Deutschland. Im Modus Praxis-lokal zusätzlich die Infrastruktur der Praxis.

Drittlandübermittlung. Der KI-Anbieter Anthropic PBC (USA) wird ausschließlich nach vorheriger Anonymisierung eingesetzt. Anthropic ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (Module 2 und 3). Alle übrigen Subprozessoren sitzen in der Europäischen Union.

4. Pflichten der Praxis

Die Praxis bleibt alleiniger Verantwortlicher für die Daten ihrer Patientinnen und Patienten. Ihr obliegt insbesondere:

• die Festlegung von Zweck und Mitteln der Verarbeitung;
• die Sicherstellung der Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO sowie die Information der Patienten nach Art. 13 und 14 DSGVO;
• die Führung des eigenen Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO;
• die Beantwortung von Anfragen betroffener Personen nach Art. 15–22 DSGVO; Ceremaris unterstützt nach Abschnitt 8;
• im Modus Praxis-lokal die Sicherheit, Verschlüsselung und Sicherung der lokalen Infrastruktur einschließlich der Verwahrung des Wiederherstellungsschlüssels;
• die Bestellung einer oder eines Datenschutzbeauftragten, sofern nach Art. 37 DSGVO verpflichtend;
• die Erteilung von Weisungen in Textform. Weisungen erteilt die Praxis über die vertretungsberechtigte Person oder die von ihr benannten Administratoren.

5. Pflichten von Ceremaris

Ceremaris verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Praxis. Insbesondere gilt:

• Weisungsbindung: Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Praxisdaten nicht zum Training von KI-Modellen verwendet — weder durch Ceremaris noch durch die eingesetzten KI-Anbieter. Hält Ceremaris eine Weisung für rechtswidrig, wird die Praxis unverzüglich informiert.
• Vertraulichkeit: Alle Personen, die Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet.
• Verzeichnis: Ceremaris führt ein eigenes Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es auf Anfrage vor.
• Unterstützung bei der DSFA: Ceremaris unterstützt die Praxis bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und stellt die hierfür erforderlichen Angaben zur Verfügung.
• Kontrollrechte: Die Praxis kann jährlich sowie anlassbezogen Auskunft über die Einhaltung dieses Vertrags verlangen. Ceremaris stellt hierzu aktuelle Prüfberichte, Architektur- und Verfahrensunterlagen bereit. Kontrollen vor Ort sind nach Ankündigung mit einer Frist von 30 Tagen möglich.

6. Technische und organisatorische Maßnahmen

Ceremaris trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der jeweils aktuelle Stand wird auf Anfrage vollständig übermittelt; wesentliche Maßnahmen sind:

• Verschlüsselung gespeicherter Daten: Verschlüsselung auf Datenbankebene (AES-256) über einer zusätzlich verschlüsselten Speicherschicht.
• Verschlüsselung bei der Übertragung: TLS 1.2 oder höher nach außen, gegenseitig authentifizierte Verbindungen zwischen den internen Diensten.
• Mandantentrennung: getrennte Datenbanken je Praxis, zusätzlich auf Anwendungsebene erzwungen und durch automatisierte Prüfungen in der Entwicklungskette abgesichert.
• Anonymisierung vor externer KI-Verarbeitung: Klinische Inhalte durchlaufen vor jeder Übermittlung an einen externen KI-Anbieter einen Anonymisierungsdienst auf eigener Infrastruktur in Deutschland. Ausnahme Sprachdiktate: Audioaufnahmen lassen sich technisch nicht anonymisieren, da die Stimme selbst personenbezogen ist; sie gehen ausschließlich an den EU-Anbieter Mistral AI.
• Verhalten bei Ausfall des Anonymisierungsdienstes: Fällt der Dienst aus, wird die Anfrage mit einer Warnung fortgeführt und der Vorgang in der manipulationsgeschützten Protokollkette festgehalten, statt die Verarbeitung abzubrechen. Empfänger sind auch in diesem Fall ausschließlich die in Abschnitt 7 genannten, vertraglich gebundenen Subprozessoren. Diese Betriebsart ist eine bewusste, dokumentierte und jederzeit umkehrbare Entscheidung zugunsten der Verfügbarkeit; Ceremaris teilt der Praxis auf Anfrage mit, ob und wie oft sie im Berichtszeitraum gegriffen hat.
• Zugriffskontrolle: rollenbasierte Rechtevergabe, Mehr-Faktor-Authentisierung für administrative Zugänge.
• Protokollierung mit Manipulationserkennung: Zugriffe und Änderungen werden in einer verketteten Protokollkette festgehalten, deren Unversehrtheit täglich automatisiert geprüft wird; die Protokolle werden zusätzlich außerhalb des Produktivsystems mit Schutz gegen vorzeitiges Löschen archiviert.
• Sicherung und Wiederherstellung: mehrstufige Sicherung mit monatlich automatisiertem Wiederherstellungstest und jährlicher Wiederherstellungsübung.
• Begrenzte Anbieterauswahl: Als KI-Anbieter sind ausschließlich die in Abschnitt 7 genannten zugelassen; die Beschränkung ist technisch in der Entwicklungskette abgesichert.

7. Subprozessoren

Die Praxis erteilt mit Abschluss dieses Vertrags ihre Genehmigung zum Einsatz der nachfolgend genannten Subprozessoren:

• Hetzner Online GmbH (Nürnberg und Falkenstein, Deutschland) — Betrieb der Server, Speicher, Sicherungen und des E-Mail-Versands.
• Mistral AI SAS (Paris, Frankreich) — KI-Textverarbeitung anonymisierter Inhalte, Transkription von Sprachdiktaten, Texterkennung. Keine Verwendung der Inhalte zum Training von Modellen.
• Anthropic PBC (USA) — KI-Textverarbeitung anonymisierter Inhalte, soweit fachlich überlegen. Data Privacy Framework und EU-Standardvertragsklauseln. Keine Verwendung der Inhalte zum Training von Modellen.

Ceremaris kündigt Änderungen an dieser Liste mindestens 30 Tage vor Wirksamwerden in Textform an. Widerspricht die Praxis nicht innerhalb dieser Frist, gilt der Subprozessor als genehmigt. Im Fall des Widerspruchs kann jede Partei diesen Vertrag mit angemessener Übergangsfrist beenden. Ceremaris verpflichtet Subprozessoren auf dieselben Schutzpflichten und haftet für deren Einhaltung.

8. Betroffenenrechte und Sicherheitsvorfälle

Unterstützung bei Betroffenenrechten. Ceremaris unterstützt die Praxis bei Anfragen nach Art. 15–22 DSGVO:

• Auskunft und Datenübertragbarkeit (Art. 15, 20) — Ausgabe der gespeicherten Daten in einem strukturierten, maschinenlesbaren Format;
• Berichtigung (Art. 16) — über die Bearbeitungsmasken der Praxis;
• Einschränkung (Art. 18) — über die Sperrfunktion;
• Löschung (Art. 17) — Ceremaris löscht auf Weisung der Praxis; entgegenstehende gesetzliche Aufbewahrungspflichten nach Abschnitt 9 bleiben unberührt und werden der Praxis benannt. Im Cloud-Modus enthält die Cloud keine direkten Identifikatoren, sodass dort keine Identität zu löschen ist.

Wendet sich eine betroffene Person unmittelbar an Ceremaris, leitet Ceremaris die Anfrage unverzüglich an die Praxis weiter und beantwortet sie nicht selbst.

Sicherheitsvorfälle. Ceremaris informiert die Praxis unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnisnahme, über Verletzungen des Schutzes personenbezogener Daten und stellt alle Angaben bereit, welche die Praxis für ihre eigene Meldung nach Art. 33 DSGVO und gegebenenfalls die Benachrichtigung nach Art. 34 DSGVO benötigt.

9. Löschung, Rückgabe und Aufbewahrung

Nach Vertragsende löscht Ceremaris die der Praxis zugeordneten personenbezogenen Daten oder gibt sie zurück — nach Wahl der Praxis:

• Cloud-Modus: Löschung der pseudonymen Daten binnen 30 Tagen. Protokolldaten werden bis zum Ablauf der gesetzlichen Aufbewahrungsfrist aufbewahrt und danach gelöscht.
• Praxis-lokal: Auf der Infrastruktur von Ceremaris befinden sich keine Patientendaten. Die Löschung der lokalen Daten obliegt der Praxis nach den Vorgaben ihrer Berufsordnung.
• Verschlüsselte Sicherungen werden durch Vernichtung des praxisspezifischen Schlüssels unlesbar gemacht. Der verschlüsselte Datenbestand selbst bleibt bis zum Ablauf der Aufbewahrungsfrist physisch bestehen, ist dann aber dauerhaft nicht mehr entschlüsselbar.

Aufbewahrungsfristen während der Vertragslaufzeit:

• Medizinische Aufzeichnungen: 10 Jahre nach der letzten Behandlung, in Psychiatrie und Forensik bis zu 30 Jahre (§ 630f BGB, § 10 MBO-Ä, Berufsordnung).
• Protokolldaten der Anwendung: 3 Jahre (Art. 6 Abs. 1 lit. f DSGVO).
• Protokolldaten zur Rechenschaftspflicht: 7 Jahre (Art. 5 Abs. 2 DSGVO).
• Einwilligungserklärungen: Dauer der Behandlung zuzüglich 3 Jahre (Nachweispflicht).
• Verschlüsselte Sicherungen: 7 Jahre, mit einem Löschschutz von 90 Tagen gegen vorzeitige Vernichtung.
• Vorübergehende Transkripte: automatische Löschung spätestens nach 12 Stunden. Die zugrunde liegende Audioaufnahme wird unmittelbar nach der Transkription gelöscht.

10. Vergütung, Haftung und Sonstiges

Vergütung. Die Auftragsverarbeitung ist mit dem Entgelt nach dem Nutzungsvertrag abgegolten. Für Aufwände, die über die vertraglich geschuldete Unterstützung hinausgehen und von der Praxis veranlasst werden, kann Ceremaris eine angemessene Vergütung verlangen; sie wird vorher angekündigt.

Haftung. Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere nach Art. 82 DSGVO.

Schriftform, Salvatorische Klausel, Recht und Gerichtsstand. Änderungen und Ergänzungen bedürfen der Textform; E-Mail genügt. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist — soweit gesetzlich zulässig — Augsburg.

Fassungen. Ceremaris archiviert jede Fassung dieses Vertrags mit Prüfsumme. Die Praxis kann jederzeit die Fassung anfordern, der sie zugestimmt hat. Bei Änderungen wird die Praxis in Textform informiert.

Stand: 26. August 2026 · Ceremaris GmbH, Augsburger Str. 13, 86368 Gersthofen — Impressum · Datenschutz · AGB