Auftragsbearbeitungsvertrag (AVV)
Nach Art. 9 DSG · Bestandteil der AGB · Version 2026-10 · Stand: 27. Oktober 2026
Dieser Vertrag regelt die Bearbeitung von Personendaten durch die Accspert Software GmbH i.Gr. («Auftragsbearbeiterin») im Auftrag der registrierten Praxis («Verantwortliche») bei der Nutzung von theradesk24.ch. Er wird mit der Registrierung abgeschlossen und gilt, solange die Auftragsbearbeiterin Daten der Praxis bearbeitet.
1. Gegenstand, Art und Zweck
Die Auftragsbearbeiterin stellt die Software für Patientendossiers, Rechnungen nach Tarif 590 und offene Posten bereit und speichert die darin erfassten Daten. Zweck ist die Dokumentation der Behandlungen und die Abrechnung der Praxis.
2. Betroffene Personen und Datenkategorien
- Patientinnen und Patienten der Praxis: Name, Geburtsdatum, Geschlecht, Adresse, Telefon, E-Mail, Versicherung, Versicherten- und AHV-Nummer, Datum der Einwilligung, Anamnese, Behandlungsverlauf, Rechnungen und Zahlungsstatus.
- Inhaberin oder Inhaber des Kontos: Name, E-Mail-Adresse, Praxisdaten.
Anamnese, Behandlungsverlauf und Rechnungspositionen sind Gesundheitsdaten und damit besonders schützenswerte Personendaten (Art. 5 lit. c Ziff. 2 DSG).
3. Weisungen
Die Auftragsbearbeiterin bearbeitet die Daten nur nach den Weisungen der Verantwortlichen und nicht für eigene Zwecke. Die Weisungen ergeben sich aus den AGB und der Nutzung der Software. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie das der Verantwortlichen mit.
4. Vertraulichkeit und Berufsgeheimnis
Personen, die für die Auftragsbearbeiterin tätig sind, sind schriftlich zur Verschwiegenheit verpflichtet, auch über das Vertragsende hinaus. Die Auftragsbearbeiterin ist sich bewusst, dass die Verantwortliche einem Berufsgeheimnis unterstehen kann, und wahrt dieses wie die Verantwortliche selbst. Auf Inhalte der Dossiers greift sie nur zu, wenn die Verantwortliche sie im Supportfall ausdrücklich darum bittet oder wenn es zur Behebung einer Störung unumgänglich ist.
5. Datensicherheit (Art. 8 DSG, Art. 1–6 DSV)
- Verschlüsselte Übertragung (HTTPS/TLS) und verschlüsselte Speicherung von Gesundheitsdaten, Kontaktangaben, Versicherten- und AHV-Nummern.
- Strikte Trennung der Daten pro Praxis, Zugriff nur nach Anmeldung, automatische Abmeldung nach 60 Minuten Inaktivität.
- Verlaufseinträge und ausgestellte Rechnungen sind nicht veränderbar; Korrekturen erfolgen als Nachtrag bzw. Storno.
- Protokollierung der Zugriffe auf Dossiers ohne Inhalte, Aufbewahrung ein Jahr (Art. 4 DSV).
- Tägliche verschlüsselte Datensicherungen (AES-256), Schlüssel getrennt aufbewahrt.
6. Unterstützung und Meldepflichten
- Die Auftragsbearbeiterin unterstützt die Verantwortliche bei Auskunftsbegehren und weiteren Rechten betroffener Personen. Dossiers kann die Verantwortliche selbst als PDF ausdrucken.
- Verletzungen der Datensicherheit meldet die Auftragsbearbeiterin der Verantwortlichen so rasch wie möglich (Art. 24 Abs. 3 DSG).
7. Unterauftragsbearbeiter
Die Verantwortliche genehmigt den Beizug folgender Unterauftragsbearbeiter:
- Hostinger International Ltd., Zypern – Hosting, Datenbank und E-Mail-Versand auf Servern in der Europäischen Union.
- Stripe Payments Europe Ltd., Irland – Abwicklung des Abos (nur Praxisname und E-Mail-Adresse des Kontos, keine Patientendaten).
Die Auftragsbearbeiterin verpflichtet Unterauftragsbearbeiter zu einem gleichwertigen Datenschutz. Über neue Unterauftragsbearbeiter informiert sie vorab per E-Mail. Die Verantwortliche kann innerhalb von 30 Tagen widersprechen und in diesem Fall den Vertrag kündigen.
8. Ort der Bearbeitung
Die Daten werden in der Schweiz oder in der Europäischen Union bearbeitet, deren Staaten gemäss Anhang 1 DSV ein angemessenes Datenschutzniveau haben. Eine Übermittlung in andere Staaten erfolgt nur mit geeigneten Garantien gemäss Art. 16 DSG.
9. Aufbewahrung, Rückgabe und Löschung
Die Software löscht keine Dossiers oder Rechnungen automatisch; die Aufbewahrungsfristen legt die Verantwortliche fest (siehe AGB Ziffer 8). Die Verantwortliche kann Dossiers und Rechnungen jederzeit als PDF bzw. XML herunterladen, auch ohne aktives Abo. Auf Anfrage löscht die Auftragsbearbeiterin das Konto mit allen Daten innert 30 Tagen. Datensicherungen werden nach höchstens 30 Tagen überschrieben.
10. Kontrolle
Die Auftragsbearbeiterin stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.
11. Schlussbestimmungen
Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt Schweizer Recht, Gerichtsstand ist Basel.