Stand: Oktober 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO) und gilt für alle Tätigkeiten, bei denen der Auftragnehmer im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.

1. Verantwortlicher

DREI.Psychotherapie – Pia Eichstädter, Droysenstr. 12, 10629 Berlin (im Folgenden „Verantwortlicher").

2. Auftragnehmer / Subunternehmer

Zur Erbringung der vereinbarten Leistung setzt der Verantwortliche folgende technische Dienstleister ein:

Supabase Inc. (Hosting Datenbank & Authentifizierung, Server-Standort Frankfurt/EU). Vertragsgrundlage: SCC + DPA von Supabase.
Mailjet S.A.S. (Transaktionaler E-Mail-Versand, Server-Standort EU).
Cloudflare Inc. (CDN / DDoS-Schutz, Anonymisierung der IP-Adressen). Vertragsgrundlage: SCC.
Lokale Spracherkennung (Whisper WebGPU) — läuft vollständig im Browser; Audiodaten verlassen das Endgerät nicht. Kein externer Sprach-API-Dienst.

3. Gegenstand und Dauer

Gegenstand der Verarbeitung sind die im Rahmen der psychotherapeutischen Behandlung, Terminkoordination und Abrechnung anfallenden Daten. Die Verarbeitung erfolgt für die Dauer der zugrundeliegenden Geschäftsbeziehung sowie für die gesetzlichen Aufbewahrungsfristen (PsychThG, AO).

4. Art und Zweck der Verarbeitung

Speicherung, Erhebung, Übermittlung, Veränderung und Löschung personen- bezogener Daten zum Zwecke der psychotherapeutischen Versorgung, Patientenkommunikation, Abrechnung und gesetzlichen Dokumentation.

5. Art der personenbezogenen Daten

Stammdaten (Name, Adresse, Geburtsdatum, Kontaktdaten)
Gesundheitsdaten (Diagnose, Therapieverlauf, Berichte – Art. 9 DSGVO)
Abrechnungsdaten (IBAN, Rechnungen, GOÄ-/GOP-Ziffern)
Termin- und Kommunikationsdaten

6. Kategorien betroffener Personen

Patient:innen (Kinder, Jugendliche, junge Erwachsene)
Sorgeberechtigte / Bezugspersonen
Zuweisende Ärzt:innen / Therapeut:innen
Mitarbeiter:innen der Praxis

7. Technisch-organisatorische Maßnahmen (TOM)

Transportverschlüsselung (TLS 1.2+) für alle Datenübertragungen
Verschlüsselung sensibler Patientendaten at-rest (AES-256)
Row-Level-Security auf Datenbankebene, rollenbasiertes Berechtigungssystem
Audit-Log aller Zugriffe und Änderungen sensibler Daten
Tägliche automatisierte Backups, regelmäßige Wiederherstellungstests
Passwortrichtlinie (Mindestlänge, Komplexität), optionale Zwei-Faktor-Authentifizierung
Automatischer Logout bei Inaktivität
Trennung von Produktiv-, Test- und Backup-Daten

8. Rechte der betroffenen Personen

Betroffene können ihre Rechte gemäß Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) jederzeit gegenüber dem Verantwortlichen geltend machen. Anfragen werden unverzüglich, spätestens innerhalb eines Monats, bearbeitet.

9. Meldepflichten bei Datenschutzverletzungen

Der Auftragnehmer informiert den Verantwortlichen unverzüglich (in der Regel innerhalb von 24 Stunden) nach Bekanntwerden einer Datenschutz- verletzung. Der Verantwortliche kommt seinen Meldepflichten gemäß Art. 33, 34 DSGVO nach.

10. Löschung / Rückgabe

Nach Ende der Verarbeitungstätigkeit werden alle personenbezogenen Daten unter Beachtung der gesetzlichen Aufbewahrungsfristen gelöscht oder auf Wunsch zurückgegeben.

Bei Fragen oder zum Abschluss eines individuellen AVV wenden Sie sich an kontakt@drei-psychotherapie.de.

Auftragsverarbeitungsvertrag (AVV)