Gemäß Art. 28 DSGVO — Stand: 2026
Präambel
Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen der nutzenden Physiotherapie-Praxis (Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO) und Praxly, betrieben von Sanna Lena Gottschalk, Wagenweg 6, 6780 Schruns, Österreich (Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO) geschlossen.
Mit der Registrierung und Nutzung von Praxly erklärt der Verantwortliche sein Einverständnis mit den Bedingungen dieses AVV gemäß Art. 28 DSGVO.
1. Gegenstand und Dauer der Verarbeitung
Praxly erbringt im Auftrag des Verantwortlichen Leistungen im Bereich der Praxisverwaltungssoftware (SaaS). Im Rahmen dieser Leistungserbringung verarbeitet Praxly personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Dauer der Verarbeitung entspricht der Vertragslaufzeit.
2. Art und Zweck der Verarbeitung
Verarbeitete Datenkategorien:
- Patientenstammdaten (Name, Adresse, Geburtsdatum, Kontaktdaten)
- Gesundheitsdaten (Behandlungsverläufe, Diagnosen, Verordnungen) — besondere Kategorie gemäß Art. 9 DSGVO
- Termindaten (Termine, Buchungen, Erinnerungen)
- Abrechnungsdaten (Rechnungen, Zahlungen)
- Nutzerkonten der Praxismitarbeiter (Name, E-Mail, Rolle)
Betroffene Personen: Patienten der Praxis, Mitarbeiter der Praxis.
Zweck: Verwaltung der Physiotherapie-Praxis, Terminplanung, Patientendokumentation, Rechnungsstellung sowie alle weiteren in der Leistungsbeschreibung genannten Funktionen.
3. Pflichten des Auftragsverarbeiters
Praxly verpflichtet sich:
- Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
- Vertraulichkeit der Daten zu gewährleisten; alle Personen mit Datenzugang sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO)
- Alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO umzusetzen (Art. 28 Abs. 3 lit. c DSGVO)
- Den Verantwortlichen unverzüglich zu informieren, falls eine Weisung gegen die DSGVO oder nationales Datenschutzrecht verstößt
- Nach Wahl des Verantwortlichen alle Daten zurückzugeben oder zu löschen nach Abschluss der Verarbeitungsleistungen (Art. 28 Abs. 3 lit. g DSGVO)
4. Technische und organisatorische Maßnahmen (TOMs)
Praxly setzt folgende Maßnahmen zum Schutz der verarbeiteten Daten ein:
- Verschlüsselung in Transit: TLS 1.3
- Verschlüsselung at-rest: AES-256 (Supabase-Datenbankebene)
- Zugriffskontrolle: Row-Level-Security auf Datenbankebene — jede Praxis sieht ausschließlich eigene Daten (Mandantentrennung)
- Authentifizierung: Passwort-Hashing via bcrypt (Supabase Auth)
- Datenspeicherung ausschließlich in der EU (Supabase EU-Region, Frankfurt)
- Regelmäßige automatisierte Backups (Supabase)
- Rollenbasiertes Zugriffsmodell (Inhaber / Mitarbeiter)
5. Unterauftragsverarbeiter
Praxly setzt folgende Unterauftragsverarbeiter ein. Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter mit Vertragsschluss zu:
- Supabase Inc., 970 Toa Payoh North, Singapur — Datenbankhosting und Authentifizierung (Daten in EU-Region Frankfurt); AVV mit Supabase abgeschlossen
- Vercel Inc., 340 Pine Street, Suite 1501, San Francisco, CA — Anwendungshosting (Serverless Functions in EU-Region verfügbar); AVV mit Vercel abgeschlossen
- Resend Inc. — transaktionale E-Mail-Zustellung (Terminerinnerungen, Systembenachrichtigungen); Datenverarbeitungsvereinbarung abgeschlossen
- Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA — KI-Sprachmodelle (AI-Assistent); USA (EU-Standardvertragsklauseln gemäß Art. 46 DSGVO)
Praxly wird den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Unterauftragsverarbeiter informieren, sodass der Verantwortliche Einwände erheben kann (Art. 28 Abs. 2 DSGVO).
6. Aufbewahrung und Löschung
- Rechnungs- und Buchhaltungsunterlagen: 7 Jahre gemäß Bundesabgabenordnung (BAO §132)
- Therapeutische Dokumentation: mindestens 10 Jahre gemäß §11a MTD-Gesetz
- Nach Vertragsende: Datenexport auf Anfrage (JSON-Format); danach Löschung nach Ablauf gesetzlicher Aufbewahrungsfristen
7. Unterstützung bei Betroffenenrechten
Praxly unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten gemäß Art. 28 Abs. 3 lit. e DSGVO:
- Auskunftsrecht (Art. 15 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) — JSON-Export verfügbar
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO) soweit keine gesetzlichen Fristen entgegenstehen
8. Meldepflicht bei Datenpannen
Praxly meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 72 Stunden, damit der Verantwortliche seiner Meldepflicht gemäß Art. 33 DSGVO nachkommen kann.