Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch die Viali UG (haftungsbeschränkt), Bruder-Klaus-Str. 18, 78467 Konstanz, Deutschland (Auftragsverarbeiter), im Auftrag der Klinik (Verantwortlicher) im Rahmen der Nutzung der Viali.app Plattform. Die Verarbeitung dauert für die gesamte Vertragslaufzeit.

2. Art und Zweck der Verarbeitung

• Speicherung und Verarbeitung klinischer und administrativer Dokumentation (u. a. Patientenakten, Behandlungen, Anästhesie-Dokumentation, Terminplanung, Patienten-CRM, Rechnungsstellung, Personal- und Bewerbermanagement)
• Bereitstellung der webbasierten Anwendung
• Durchführung von Backups und Systemwartung
• Technischer Support und Fehlerbehebung (Zugriff auf Daten der Klinik nur nach Ziffer 6)

3. Art der personenbezogenen Daten

• Patientenstammdaten (Name, Geburtsdatum, Gewicht, Kontaktdaten)
• Gesundheitsdaten (Vitalzeichen, Diagnosen, Medikation, Behandlungs- und Anästhesiedokumentation)
• Benutzer- und Personaldaten (Name, E-Mail, Benutzerrolle, Verträge, Arbeitszeiten, Abwesenheiten)
• Bewerberdaten (Kontaktdaten, Lebenslauf und Bewerbungsunterlagen)
• Audit-Daten (Zugriffsprotokolle, Änderungshistorie) sowie das KI-Protokoll (an KI-Anbieter übermittelte Texte und deren Antworten, Aufrufe über den KI-Connector; siehe Ziffer 6)

4. Kategorien betroffener Personen

• Patienten der Klinik
• Mitarbeiter der Klinik (Benutzer der Anwendung)
• Bewerber (Karriere-/Stellenportal)

5. Pflichten des Auftragsverarbeiters

• Verarbeitung nur nach dokumentierter Weisung des Verantwortlichen
• Gewährleistung der Vertraulichkeit durch alle Mitarbeiter
• Zugriff von Mitarbeitenden des Auftragsverarbeiters auf Daten der Klinik nur mit Zustimmung des Verantwortlichen; ausgenommen ist allein der Notfallzugriff nach Ziffer 6
• Ergreifung angemessener technischer und organisatorischer Maßnahmen
• Unterstützung bei der Erfüllung von Betroffenenrechten
• Meldung von Datenschutzverletzungen innerhalb von 24 Stunden

6. Technische und organisatorische Maßnahmen

• Verschlüsselung aller Daten bei Übertragung (TLS 1.3) und Speicherung
• Zugriffskontrolle durch rollenbasierte Berechtigungen
• Support-Zugriff nur mit Zustimmung: Mitarbeitende von Viali sehen Daten der Klinik nur, solange eine Administratorin oder ein Administrator der Klinik einen Zugang erteilt hat – befristet auf 1 Stunde, 24 Stunden oder 7 Tage, standardmäßig nur lesend und jeweils nur für diese eine Klinik. Viali kann einen Zugang anfragen; ohne Zustimmung entsteht kein Zugang.
• Notfallzugriff: Ohne vorherige Zustimmung darf Viali nur dann auf Daten der Klinik zugreifen, wenn (a) die Versorgung von Patientinnen und Patienten, der laufende Betrieb des Dienstes oder die Sicherheit der Daten gefährdet ist und (b) die Klinik nicht rechtzeitig erreicht werden kann. Ein Notfallzugriff ist nur lesend möglich, dauert höchstens 2 Stunden und setzt eine schriftliche Begründung voraus; alle Administratorinnen und Administratoren der Klinik werden sofort benachrichtigt, und der Zugriff wird protokolliert. Jeder Zugang – auch ein Notfallzugriff – endet automatisch mit Ablauf seiner Dauer und kann von der Klinik jederzeit sofort beendet werden.
• Änderungen durch den Support: Daten der Klinik ändern kann der Support nur, wenn die Klinik ausdrücklich einen Zugang „lesen und bearbeiten“ erteilt hat; jeder andere Zugang ist technisch auf Lesen beschränkt. Die Support-Person arbeitet dabei unter ihrem eigenen, persönlichen Konto bei Viali und nie unter dem Konto einer Mitarbeiterin oder eines Mitarbeiters der Klinik; wo die Anwendung festhält, wer eine Änderung vorgenommen hat, erscheint die Änderung unter dieser Person.
• Protokollierung des Support-Zugriffs: Erteilung, Anfrage, Ablehnung und Beendigung eines Zugangs werden mit Person, Zeitpunkt, Dauer und Umfang festgehalten und sind für die Klinik einsehbar; jeder Zugriff des Supports auf eine Patientenakte wird protokolliert und ist für die Klinik in der Akte im Reiter „Zugriffe“ als „Viali-Support“ mit dem Namen der Person sichtbar. Diese Protokolle und der Verlauf der Zugänge werden so lange aufbewahrt wie die Patientenakten der Klinik.
• Regelmäßige Sicherheitsprüfungen
• Regelmäßige automatische Backups der verwalteten Datenbank durch den Hosting-Anbieter (Exoscale, Schweiz)
• Audit-Trail für alle sicherheitsrelevanten Aktionen
• Eingeschränkte Rollen: Wer in einer Klinik ausschließlich die Rolle „Reinigungspersonal“ oder „Marketing“ (externe Agentur) hat, erhält keinen Zugriff auf Patientendaten; dies wird auf dem Server durchgesetzt. Die Marketing-Rolle sieht in ihren Bereichen nur zusammengefasste Zahlen.
• KI-Protokoll: Jede Anfrage an einen KI-Anbieter wird mit dem übermittelten Text (nach der De-Identifizierung) und der Antwort protokolliert, Bilder nur als Platzhalter (Dateityp, Größe, Prüfsumme); ebenso jeder Aufruf über den KI-Connector (Funktion, lesend oder schreibend, Ergebnis, übergebene Angaben und übermittelte Antwort). Zweck: Nachvollziehbarkeit und Sicherheit. Einsicht in die protokollierten Texte haben die Administratorinnen und Administratoren der Klinik für die eigene Klinik. Viali sieht für Betrieb und Sicherheit nur technische Metadaten (z. B. Zeitpunkt, Funktion, Modell, Status, Kosten); die Texte selbst nur im Rahmen eines von der Klinik erteilten Support-Zugangs nach den vorstehenden Regeln. Da ein protokollierter Text Angaben enthalten kann, die bei der De-Identifizierung nicht erkannt wurden, wird jedes Öffnen eines protokollierten Textes seinerseits protokolliert. Die Einträge werden nach 6 Monaten (183 Tagen) automatisch gelöscht und weder an einen KI-Anbieter noch über den KI-Connector weitergegeben.
• KI-Connector: Verbindet eine Benutzerin oder ein Benutzer der Klinik ein eigenes Konto bei einem KI-Assistenten mit Viali, gibt der Connector keine Patientendaten aus; jede Antwort wird vor dem Versand automatisch auf Patientendaten geprüft und bei einem Treffer zurückgehalten. Die Verbindung handelt nur im Rahmen der aktuellen Rolle der Person, die sie eingerichtet hat, jeder Aufruf wird im KI-Protokoll festgehalten, und die Klinik kann Verbindungen jederzeit widerrufen.

7. Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden eingesetzt:

• Exoscale AG, Schweiz - Server-Hosting und Objektspeicher
• Exoscale (Schweiz) - Datenbank-Hosting
• Stripe Inc. - Zahlungsabwicklung (keine Patientendaten)
• Resend Inc. - E-Mail-Versand (nur Systembenachrichtigungen)
• VADIAN.NET AG (ASPSMS), Schweiz - SMS-Kommunikation (Terminbenachrichtigungen, keine Patientendaten)
• Anthropic PBC, USA - KI-gestützte Verarbeitung (Texte nach De-Identifizierung; Ausnahme Monitorfotos, siehe unten)
• OpenAI, L.L.C., USA - KI-gestützte Verarbeitung (Texte nach De-Identifizierung; Ausnahme Monitorfotos, siehe unten)
• Mistral AI SAS, Frankreich - KI-gestützte Verarbeitung (Texte nach De-Identifizierung; Ausnahme Monitorfotos, siehe unten)
• Functional Software, Inc. (Sentry), USA - Fehler- und Absturzprotokolle
• Google Ireland Limited - Auslieferung von Schriftarten (Übertragung der IP-Adresse)

Bei Unterauftragsverarbeitern außerhalb der Schweiz/des EWR (z. B. den US-amerikanischen KI-Anbietern) wird die Übermittlung durch die EU-Standardvertragsklauseln (SCC) samt Schweizer Zusatz abgesichert.

Übermittlung an KI-Anbieter: Vor der Übermittlung werden personenbezogene Daten in Texten durch Platzhalter ersetzt – bekannte Angaben (z. B. Namen, Kontaktdaten) und typische Muster (z. B. Datumsangaben, Telefonnummern, E-Mail-Adressen, AHV-Nummern) sowie weitere Angaben, die ein selbst gehosteter De-Identifizierungsdienst erkennt. Ist dieser Dienst nicht erreichbar, übermitteln einige Funktionen nichts; die übrigen Funktionen übermitteln den Text, nachdem bekannte Angaben und typische Muster entfernt wurden. Funktionen, die keine Patientendaten verarbeiten (z. B. Stellenanzeigen, SOPs, Website- und Marketingtexte, Produktfotos), übermitteln ihre Inhalte ohne diese Schritte. Ausnahme Monitorfotos: Fotografiert das Personal einen Patientenmonitor, um Vitalwerte zu übernehmen, wird das Bild an einen KI-Anbieter übermittelt; der Verantwortliche stellt sicher, dass der Monitor dabei keine Angaben zeigt, die die Patientin oder den Patienten identifizieren (z. B. Name, Geburtsdatum, Patientennummer). Die automatische Erfassung des Monitorbildschirms über HDMI ist ausgeschaltet. Spracheingaben werden auf dem eigenen Server von Viali in Text umgewandelt; die Aufnahme wird nicht an einen KI-Anbieter übermittelt.

KI-Connector: Verbindet eine Benutzerin oder ein Benutzer der Klinik das eigene Konto bei einem KI-Assistenten (z. B. Claude von Anthropic, ChatGPT von OpenAI) mit Viali, gelangt das über diese Verbindung Abgerufene in dieses Konto, unter der Verantwortung des Verantwortlichen bzw. dieser Person und zu den Bedingungen des jeweiligen Anbieters. Der Anbieter des KI-Assistenten ist dafür kein Unterauftragsverarbeiter von Viali. Die technischen Schutzmaßnahmen nennt Ziffer 6.

8. Löschung und Rückgabe von Daten

• Nach Vertragsende: Löschung aller Daten innerhalb von 30 Tagen
• Auf Wunsch stellt Viali dem Verantwortlichen vor der Löschung einen Export der Daten bereit.
• Schriftliche Bestätigung der Löschung auf Anfrage

9. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Dies kann durch Einsichtnahme in Zertifizierungen, Berichte oder nach Vereinbarung durch Vor-Ort-Audits erfolgen.