Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO, Version 2026-11)

1. Gegenstand und Dauer

Alltagy verarbeitet im Auftrag des Kunden personenbezogene Daten seiner Klienten, Angehörigen und Mitarbeiter für die Dauer des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Speicherung, Anzeige, Auswertung und Übermittlung (an Pflegekassen, Druck- und E-Mail-Dienstleister) von Stammdaten, Gesundheitsdaten (Pflegegrad, Versichertennummer), Einsatz- und Abrechnungsdaten.

3. Kategorien betroffener Personen

Klienten (pflegebedürftige Personen), deren Angehörige und Bevollmächtigte, Mitarbeiter des Kunden.

4. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeitsverpflichtung aller Beschäftigten; technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Verschlüsselung in Transit und at Rest, mandantengetrennte Datenbank mit Zeilen-Zugriffsregeln, Protokollierung, tägliche Backups, Rechenzentrum in Frankfurt am Main); Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzung; Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung.

5. Unterauftragsverarbeiter

Supabase Inc. (Datenbank/Dateispeicher, Region Frankfurt), Resend Inc. (E-Mail-Versand, Region EU), LetterXpress GmbH (Briefversand, Deutschland), Netlify Inc. (Auslieferung der Web-App, ohne Speicherung von Firmendaten), Anthropic PBC (KI-Hilfe, nur wenn genutzt; übermittelt wird nur der eingegebene Fragetext). Änderungen werden mit 30 Tagen Vorlauf angekündigt; der Kunde kann aus wichtigem Grund widersprechen.

6. Löschung und Rückgabe

Nach Vertragsende werden alle Daten nach Wahl des Kunden herausgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

7. Kontrollrechte

Der Kunde kann die Einhaltung dieses Vertrags durch Einsichtnahme in Zertifikate und Berichte der Unterauftragsverarbeiter sowie durch Auskunft überprüfen.