Auftrags­verarbeitungs­vertrag (AVV/DPA)

1. Geltungsbereich und Rollen

Dieser AVV gilt für alle Therapeutenkonten von Echilibru International unter global.echilibru.app, unabhängig vom Tarif, und ergänzt die bei der Kontoerstellung akzeptierten Nutzungsbedingungen.

Der Therapeut ist Verantwortlicher für die eingegebenen Klientendaten. SC Arta Monumentală SRL ist Auftragsverarbeiter und verarbeitet Daten nur auf dokumentierte Weisung und zur Bereitstellung des Dienstes.

2. Gegenstand, Dauer und Art der Verarbeitung

Die Verarbeitung umfasst die Verwaltung von Klienten, Terminen, Dokumenten, Vereinbarungen, privaten Notizen, Aufgaben, Fragebögen, Kommunikation und Rechnungen im International-Bereich.

Die Daten werden während des aktiven Kontos sowie innerhalb gesetzlicher oder angewiesener Aufbewahrungsfristen verarbeitet. Vorgänge umfassen Erhebung, Speicherung, Organisation, Anzeige, weisungsgebundene Übermittlung, Sicherung, Export und Löschung.

Verarbeitet werden können Identifikations-, Kontakt- und Verwaltungsdaten, Termin- und Dokumentdaten sowie Gesundheitsdaten gemäß Art. 9 DSGVO. Betroffene sind volljährige oder minderjährige Klienten und gegebenenfalls ihre gesetzlichen Vertreter.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung nur nach dokumentierter Weisung und Verpflichtung befugter Personen auf Vertraulichkeit;
• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO;
• Unterstützung bei Betroffenenrechten, Vorfällen, Folgenabschätzungen und Audits;
• Hinweis auf rechtswidrig erscheinende Weisungen und Meldung von Vorfällen ohne unangemessene Verzögerung;
• Löschung oder Rückgabe nach Vertragsende, soweit keine gesetzliche oder dokumentiert angewiesene Aufbewahrung gilt.

4. Genehmigte Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die folgenden Anbieter, soweit der jeweilige Dienst genutzt wird. Der Anbieter verpflichtet sie zu gleichwertigem Datenschutz und informiert mindestens 14 Tage vor einer Ergänzung oder Ersetzung.

5. Vom Therapeuten gewählte optionale Integrationen

Google Calendar und Google Meet. Bei Verbindung des Google-Kontos übermittelt Echilibru Klientenname, Datum und Uhrzeit, Dauer, Zeitzone, Terminart/-ort und gegebenenfalls den Konferenzlink. Echilibru speichert das OAuth-Token verschlüsselt sowie Ereignis-ID und Meet-Link.

Zoom. Bei Verbindung des Zoom-Kontos übermittelt Echilibru Klientenname, Datum und Uhrzeit, Dauer und Zeitzone zur Erstellung oder Aktualisierung des Meetings. OAuth-Token, Meeting-ID und Teilnahme-Link werden verschlüsselt beziehungsweise technisch erforderlich gespeichert.

Die Integrationen sind standardmäßig deaktiviert und werden durch ausdrückliche Weisung des Therapeuten in dessen eigenem Konto aktiviert. Der Therapeut prüft die für sein Google- oder Zoom-Konto geltenden Bedingungen, Datenschutzeinstellungen und Auftragsverarbeitungsvereinbarungen. Je nach Vertrag und Datenkategorie kann der externe Anbieter Auftragsverarbeiter oder für bestimmte Dienstdaten eigenständig Verantwortlicher sein.

Offizielle Dokumente: Google Cloud Data Processing Addendum · Zoom Privacy & Global DPA.

6. Datenstandort und internationale Übermittlungen

Plattform und Datenbanken werden in Rumänien innerhalb der EU gehostet. Diese Aussage betrifft die Echilibru-Infrastruktur, nicht die Infrastruktur der optionalen Anbieter Google und Zoom.

Für mögliche Verarbeitungen außerhalb des EWR gelten die Mechanismen des Kapitels V DSGVO, einschließlich Angemessenheitsbeschlüssen und/oder Standardvertragsklauseln nach dem jeweiligen Vertrag. Die Aktivierung von Google oder Zoom ist die Weisung, die erforderlichen Daten an den gewählten Anbieter zu übermitteln; der Verantwortliche prüft die passende Vertragskonfiguration.

7. Pflichten des Therapeuten

• Rechtsgrundlage und Informationen nach Art. 13–14 DSGVO sicherstellen;
• Voraussetzungen für Gesundheitsdaten und Daten Minderjähriger erfüllen;
• nur erforderliche Daten eingeben und Kontozugriff schützen;
• externe Integrationen erst nach Anbieterprüfung und Information der Klienten aktivieren;
• Betroffenenanfragen mit Unterstützung von Echilibru beantworten.

8. Technische und organisatorische Maßnahmen

• HTTPS/TLS 1.2+ bei der Übertragung;
• primäres Hosting und Speicherung in Rumänien/EU, Sicherungen und Zugriffskontrollen;
• getrennte Authentifizierung und Bereiche für Therapeut und Klient;
• AES-256-GCM-Verschlüsselung der Google- und Zoom-OAuth-Token;
• HttpOnly-, Secure- und SameSite-Sitzungen sowie technische Auditprotokolle;
• private Notizen bleiben vom Klientenportal getrennt und werden nicht an Videodienste übertragen.

9. Vorfälle, Unterstützung und Audit

Der Anbieter informiert ohne unangemessene Verzögerung nach Kenntnis einer Datenschutzverletzung und unterstützt die Pflichten nach Art. 33–34 DSGVO. Angemessene Audits sind mit 30 Arbeitstagen Vorankündigung möglich, ohne Zugriff auf Daten anderer Verantwortlicher.

10. Vertragsende und Daten

Bei Vertragsende kann der Verantwortliche den Export verfügbarer Daten verlangen. Anschließend werden Daten nach dokumentierter Weisung gelöscht oder zurückgegeben, soweit keine gesetzliche oder rechtmäßig angeordnete Aufbewahrung erforderlich ist.

11. Änderungen und Widerspruch

Wesentliche Änderungen und Änderungen der Unterauftragsverarbeiter werden vor Inkrafttreten mitgeteilt. Der Verantwortliche kann begründet widersprechen; ist keine angemessene Lösung möglich, darf er den betroffenen Dienst beenden.

12. Kontakt

Fragen zum AVV oder zur Verarbeitung: contact@echilibru.app · +40 760 676 990. Klienten üben ihre Rechte grundsätzlich gegenüber ihrem Therapeuten als Verantwortlichem aus.