# Datenverarbeitungsvertrag -- Vorlage - PappAI

> Übersicht über die DPA-Struktur von PappAI, wichtige technische Maßnahmen und die Liste der Unterauftragsverarbeiter.

Source: https://pappai.it/de/dpa-template

Dies ist eine technisch-operative Vorlage. Sie erfordert eine rechtliche Prüfung und Anpassung, bevor sie in einem vertraglichen Kontext verwendet wird.

## DPA-Struktur

- Parteien (Verantwortlicher und Auftragsverarbeiter).
- Gegenstand und Zwecke der Verarbeitung.
- Dauer, Datenkategorien und betroffene Personen.
- Dokumentierte Weisungen des Verantwortlichen.
- Pflichten des Auftragsverarbeiters.
- Unterauftragsverarbeiter und Transfers außerhalb des EWR/UK.
- Sicherheitsmaßnahmen und Datenschutzverletzungsverfahren.
- Rechte betroffener Personen, Prüfungsrechte und Beendigung.

## Wichtige technische Maßnahmen

- Rollenbasierte Zugriffskontrolle und Prinzip der minimalen Rechtevergabe.
- Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand, soweit anwendbar.
- Umgebungstrennung: Entwicklung / Staging / Produktion.
- Operative und KI-Prüfprotokolle.
- Sicherung, Wiederherstellung und kontinuierliche Überwachung.
- Geheimnisverwaltung über einen dedizierten Secret Manager.

## Aktuelle Unterauftragsverarbeiter

PappAI greift zur Bereitstellung des Dienstes auf die folgenden Unterauftragsverarbeiter zurück. Jeder Eintrag gibt den primären Zweck, das Verarbeitungsland und die Rechtsgrundlage für eine etwaige Datenübermittlung außerhalb der EU/des EWR an. Die Liste wird aktuell gehalten, und jede wesentliche Änderung wird den Verantwortlichen im Voraus mitgeteilt.

Anbieter | Zweck | Verarbeitungsland | Datenkategorien | Übermittlung / Garantien
Google Cloud Platform (Google LLC) | Cloud-Hosting (Cloud Run, Cloud SQL), Objektspeicher (GCS), Protokollierung und Überwachung. | EU regions (europe-west1), corporate USA | Alle Dienstdaten: klinische Daten, Kontodaten, Abrechnungsdaten, Betriebsprotokolle. | EU SCC + DPA
Google Vertex AI (Google LLC) | Generative KI-Inferenz für die Erstellung von Diätplanentwürfen und die Unterstützung der klinischen Analyse. | EU multi-region, corporate USA | Pseudonymisierte Eingaben, die an das Modell übergeben werden; keine PII; kein Opt-in für das Training. | EU SCC + DPA · no training opt-in
Firebase (Google LLC) | Authentifizierung (Identitätstoken) und Zustellung von Push-Benachrichtigungen (FCM/APNs). | USA, multi-region | Nutzeridentität (E-Mail, Telefon), Geräte-Push-Token. | EU SCC + DPA
Stripe Payments Europe Ltd | Abonnement-Abrechnung, Rechnungsstellung, Zahlungsabwicklung. | Ireland (EU) | Konto- und Abrechnungsdaten, Transaktionsverlauf. Keine klinischen Daten. | Intra-EU
Brevo (Sendinblue SAS) | Zustellung transaktionaler E-Mails (Konto- und Abrechnungsbenachrichtigungen, professionelle Vorlagen). | France (EU) | Empfänger-E-Mail, Nachrichteninhalt, Zustellstatus. | Intra-EU
Twilio Ireland Ltd | SMS-/WhatsApp-Zustellung (Legacy-Kanal). | Ireland (EU), corporate USA | Telefonnummer des Empfängers, Nachrichteninhalt, Zustellungsmetadaten. | EU SCC + DPA
Meta Platforms Ireland Ltd | WhatsApp Business Cloud API für vorlagenbasierte Patientenkommunikation. | Ireland (EU), corporate USA | Telefonnummer des Empfängers, Vorlagenvariablen, Zustellungsmetadaten. | EU SCC + DPA
Google Analytics 4 (Google LLC) | Aggregierte Nutzungsanalysen auf der öffentlichen Website und in der authentifizierten App. | USA, corporate | Pseudonyme Identifikatoren, Seitenaufrufe, Interaktionsereignisse. Keine klinischen Daten. | EU SCC + DPA · consent-gated
Microsoft Clarity (Microsoft Corporation) | Anonymisierte UX-Analysen (Heatmaps, Sitzungswiederholungen). | USA, corporate | Pseudonyme Identifikatoren, Interaktionsereignisse. Keine klinischen Daten; sensible Felder maskiert. | EU SCC + DPA · consent-gated

Alle aufgeführten Unterauftragsverarbeiter verarbeiten Daten auf Grundlage schriftlicher Vereinbarungen mit DSGVO-konformen Garantien (DPAs, EU-Standardvertragsklauseln, soweit anwendbar). Klinische Patientendaten werden von keinem Unterauftragsverarbeiter zum Trainieren, Feinabstimmen oder Bewerten von KI-Modellen verwendet.

## Geplante Anhänge

- Anhang A: Verarbeitungsdetails (Art. 28(3) GDPR).
- Anhang B: aktuelle Liste der Unterauftragsverarbeiter.
- Anhang C: technische und organisatorische Maßnahmen (TOMs).