Auftragsverarbeitung (AVV)

1. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

dem Kunden, der diesen Vertrag in Textform mit uns abschließt („Auftraggeber“, Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)

und

via now UG (haftungsbeschränkt), Tegernseer Landstraße 36, 81541 München, Amtsgericht München HRB 314380, vertreten durch den Geschäftsführer („Auftragnehmer“, Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO).

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt die Diktier-App SpeechDone für iPhone und iPad samt Tastatur, Server und Website (die „Leistung“). Nutzt der Auftraggeber oder nutzen von ihm benannte Personen die Leistung für seine berufliche Tätigkeit, verarbeitet der Auftragnehmer dabei personenbezogene Daten im Auftrag des Auftraggebers.

(2) Der Vertrag gilt, solange der Auftraggeber oder von ihm benannte Personen die Leistung nutzen. Er endet ohne Kündigung mit der Löschung des letzten Kontos, das der Auftraggeber dem Vertrag zugeordnet hat, und kann von jeder Seite mit einer Frist von einem Monat in Textform gekündigt werden. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

(3) Grundlage der Leistung sind die Nutzungsbedingungen (speechdone.com/de/agb/) und die Datenschutzerklärung (speechdone.com/de/datenschutz/). Bei Widersprüchen geht für den Datenschutz dieser Vertrag vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Umwandlung gesprochener Sprache in Text, Aufräumen, Umformulieren, Übersetzen und Beantworten diktierter Texte, Abgleich von Wörterbuch und Textbausteinen zwischen den Geräten eines Kontos, Zustellung von Notizen an die eigenen Geräte (Inbox), Kontoverwaltung, Fehleranalyse.

(2) Art der Verarbeitung: Erheben (Aufnahme in der App), Übermitteln an den Server des Auftragnehmers und an die Unterauftragnehmer nach Anlage 2, Verarbeiten im Arbeitsspeicher, befristetes Speichern nach Absatz 4, Löschen.

(3) Art der Daten:

• Sprachaufnahmen und daraus erkannte Texte, die Angaben über Patienten, Mandanten oder Dritte enthalten können, auch besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsdaten),
• Wörterbuch-Einträge und Textbausteine,
• Notizen in der Inbox,
• Kontodaten der Nutzer (E-Mail-Adresse, gegebenenfalls Name, Apple-Kennung, Einstellungen, Tarif),
• Gerätedaten (zufällige Gerätekennung, Gerätename, Plattform, App-Version, Push-Token),
• technische Protokolle ohne Diktat-Inhalt.

(4) Speicherdauer auf dem Server des Auftragnehmers:

• Sprachaufnahmen: keine Speicherung. Sie werden nur während der Erkennung im Arbeitsspeicher verarbeitet und danach verworfen.
• Ergebnistexte: höchstens 24 Stunden in einem Zwischenspeicher gegen doppelte Verarbeitung bei abgebrochener Verbindung.
• Stil-Profil (nur wenn ein Nutzer es einschaltet): die letzten 100 überarbeiteten Texte, jeweils höchstens 30 Tage.
• Inbox: bis zur Abholung durch die Geräte, höchstens 7 Tage.
• Wörterbuch, Textbausteine, Konto- und Gerätedaten: bis zur Löschung durch den Nutzer oder des Kontos.
• Fehlerprotokolle der App: 30 Tage; Ablaufereignisse ohne Inhalt: 90 Tage.
• Der Verlauf der Diktate liegt in der iCloud des Nutzers bei Apple, nicht beim Auftragnehmer.

(5) Betroffene Personen: Nutzer der Leistung beim Auftraggeber sowie Personen, über die in Diktaten gesprochen wird (Patienten, Mandanten, Geschäftspartner, Dritte).

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber oder seine Nutzer in der App wählen (etwa Erkennung auf dem Gerät, Stil-Profil, Verlauf). Weitere Weisungen erteilt der Auftraggeber in Textform an [email protected].

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugang zu Server und Datenbank haben nur Personen, die ihn für Betrieb und Fehlerbehebung brauchen.

(2) Für Auftraggeber, die einer beruflichen Schweigepflicht unterliegen (insbesondere Ärzte, Rechtsanwälte, Steuerberater), gilt zusätzlich die Verpflichtung zur Verschwiegenheit nach Teil 4 dieses Dokuments.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss sind die in Anlage 2 genannten Unterauftragnehmer eingesetzt; sie gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag ohne Frist kündigen. Die aktuelle Liste steht unter speechdone.com/de/unterauftragnehmer/.

(3) Der Auftragnehmer erlegt jedem Unterauftragnehmer vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm auferlegt, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung durch den Unterauftragnehmer.

(4) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (etwa EU-US Data Privacy Framework für zertifizierte Empfänger) oder von Standardvertragsklauseln.

§ 7 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

(2) Nutzer können ihre Daten selbst exportieren (App, Konto, Datenexport) und ihr Konto mit allen Daten auf dem Server selbst löschen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter, soweit er ihn zuordnen kann.

§ 8 Unterstützung, Meldung von Verletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung, Benachrichtigung, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Auftraggebers betrifft, meldet er sie dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, in Textform an die zuletzt mitgeteilte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Vertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten Daten, soweit nicht eine gesetzliche Pflicht zur Aufbewahrung besteht (Art. 28 Abs. 3 lit. g DSGVO). Vorher kann der Auftraggeber die Daten über den Datenexport der App abrufen.

(2) Datensicherungen werden nicht einzeln bereinigt. Sie laufen turnusgemäß ab und sind spätestens vier Monate nach der Löschung überschrieben. Bis dahin sind sie gegen Zugriff geschützt und werden nicht für andere Zwecke verwendet.

(3) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

(2) Inspektionen vor Ort werden mit angemessener Frist, in der Regel 14 Tage, angekündigt, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Server steht in einem Rechenzentrum der Hetzner Online GmbH; dort richtet sich der Zugang nach deren Regeln, der Auftragnehmer legt stattdessen deren Nachweise vor.

§ 11 Ort der Verarbeitung

(1) Der Server des Auftragnehmers steht in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Die Spracherkennung und die Textverarbeitung laufen ausschließlich auf Servern in der Europäischen Union (Anlage 2).

(2) Spracherkennung und Textverarbeitung finden nicht außerhalb der Europäischen Union statt, auch nicht als Ausweichweg bei einer Störung. Fällt ein Anbieter aus, schlägt der Schritt fehl oder liefert den unbearbeiteten Text; die App versucht die Erkennung später erneut. Wählt ein Nutzer in der App „Auf diesem Gerät“, findet die Spracherkennung auf dem Gerät statt.

(3) Netzwerk- und Schutzdienste (Cloudflare) und der E-Mail-Versand (Resend) werden von Anbietern mit Sitz in den USA erbracht; die Grundlage der Übermittlung nennt Anlage 2.

§ 12 Haftung, Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

(4) Der Vertrag kommt zustande, wenn der Auftraggeber ihn per E-Mail an [email protected] anfordert und der Auftragnehmer ihn gegengezeichnet in Textform zurückschickt.

2. Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand Oktober 2026. Jede Maßnahme ist im Betrieb belegt (Konfiguration, Code oder Test).

Vertraulichkeit

• Zutritt: Der Server steht in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Zutrittskontrolle durch Hetzner (zertifiziert nach ISO/IEC 27001).
• Zugang: Anmeldung am Server nur mit SSH-Schlüssel, Passwort-Anmeldung und Root-Anmeldung abgeschaltet. Verwaltungsoberflächen nur über ein privates Netz (Tailscale), nicht aus dem Internet.
• Zugriff: Datenbank und Zwischenspeicher haben keine öffentlich erreichbaren Ports, nur der Anwendungs-Container erreicht sie in einem eigenen Netz. Der Anwendungs-Container läuft ohne Root-Rechte, mit schreibgeschütztem Dateisystem und ohne zusätzliche Kernel-Rechte. Schlüssel und Zugangsdaten liegen in einer nur für den Betriebsnutzer lesbaren Datei, nicht im Quellcode.
• Trennung: SpeechDone läuft in eigenen Containern mit eigener Datenbank, getrennt von anderen Anwendungen auf demselben Server.
• Datensparsamkeit: Sprachaufnahmen werden auf dem Server nicht gespeichert, nur im Arbeitsspeicher verarbeitet; ein automatischer Test hält das fest. Fehlerprotokolle und Ablaufereignisse enthalten keine Diktat-Inhalte und sind keinem Konto zugeordnet. Absturzberichte (Sentry) werden vor dem Senden um Name, E-Mail und IP-Adresse bereinigt.

Integrität

• Weitergabe: Verbindungen zwischen App und Server und zwischen Server und Unterauftragnehmern sind mit TLS verschlüsselt. Der vorgeschaltete Netzwerkdienst (Cloudflare) verbindet sich mit dem Server ebenfalls über TLS mit geprüftem Zertifikat. HSTS auf speechdone.com.
• Ausgehende Mails: Inhalt und Empfänger liegen bis zum Versand verschlüsselt in der Datenbank (Fernet), danach bleibt nur ein Protokoll ohne Inhalt und ohne Empfänger.
• Eingabekontrolle: Änderungen an Code und Konfiguration laufen über eine Versionsverwaltung mit Prüfschritten vor der Auslieferung.

Verfügbarkeit und Belastbarkeit

• Datensicherung: tägliche Sicherung der Datenbank mit automatischem Wiederherstellungstest, lokal 14 Tage; zusätzlich tägliche, clientseitig verschlüsselte Sicherung außer Haus (Hetzner Storage Box) mit 7 täglichen, 4 wöchentlichen und 3 monatlichen Ständen.
• Ausfallsicherheit: Gespiegelte Festplatten (RAID 1). Auslieferung neuer Versionen ohne Unterbrechung (Blue-Green mit Gesundheitsprüfung), automatischer Neustart, regelmäßige Gesundheitsprüfungen.
• Schutz vor Angriffen: vorgeschalteter Netzwerk- und Schutzdienst (Cloudflare), Begrenzung von Anfragen je IP-Adresse und Konto.

Verfahren zur regelmäßigen Überprüfung

• Sicherheitsprüfung von Änderungen an Anmeldung, Daten und Benachrichtigungen durch ein zweites, unabhängiges Prüfverfahren vor der Auslieferung.
• Automatische Tests für Löschfristen, Datenexport, Kontolöschung und „kein Audio auf dem Server“ als Teil der Prüfkette vor der Auslieferung; nach jeder Auslieferung eine automatische Prüfung des laufenden Dienstes.
• Überprüfung dieser Anlage mindestens jährlich und bei wesentlichen Änderungen.

Grenzen (zur Transparenz)

• Die Festplatten des Servers und die lokalen Datenbank-Sicherungen sind nicht zusätzlich verschlüsselt; Schutz durch Zugangs- und Zugriffskontrolle. Die Sicherung außer Haus ist verschlüsselt.
• Verlauf und Aufnahmen auf dem Gerät liegen beim Nutzer (Gerät, iCloud) und unterliegen dessen Schutzmaßnahmen und denen von Apple.

4. Verpflichtung zur Verschwiegenheit für Berufsgeheimnisträger

Verpflichtung der via now UG (haftungsbeschränkt) als mitwirkende Person nach § 203 Abs. 3 und 4 StGB, § 43e BRAO, § 62a StBerG

(1) Geltung. Diese Verpflichtung gilt gegenüber Auftraggebern, die einer beruflichen Schweigepflicht nach § 203 Abs. 1 StGB unterliegen, insbesondere Ärzten und anderen Heilberufen, Rechtsanwälten und Steuerberatern, und ist Teil des AVV.

(2) Verschwiegenheit. Die via now UG (haftungsbeschränkt) verpflichtet sich, über alle fremden Geheimnisse, die ihr bei der Erbringung der Leistung bekannt werden, insbesondere Inhalte von Diktaten über Patienten und Mandanten, Verschwiegenheit zu wahren. Die Pflicht gilt über das Ende des Vertrags hinaus.

(3) Belehrung. Der via now UG (haftungsbeschränkt) ist bekannt, dass sich mitwirkende Personen nach § 203 Abs. 4 Satz 1 StGB strafbar machen, wenn sie unbefugt ein fremdes Geheimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist. Die Strafe ist Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, bei Handeln gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht bis zu zwei Jahren (§ 203 Abs. 6 StGB).

(4) Erforderlichkeit. Die via now UG (haftungsbeschränkt) verschafft sich nur insoweit Kenntnis von fremden Geheimnissen, als dies zur Erbringung der Leistung erforderlich ist. Diktat-Inhalte werden technisch verarbeitet, nicht gelesen; Einsicht nimmt sie nur, wenn der Auftraggeber oder ein Nutzer sie ausdrücklich zur Fehlerbehebung darum bittet, und nur im erforderlichen Umfang.

(5) Beschäftigte. Personen, die für die via now UG (haftungsbeschränkt) tätig sind und Zugang zu Daten der Auftraggeber haben können, werden vor Aufnahme der Tätigkeit in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen nach § 203 Abs. 4 StGB belehrt.

(6) Weitere Personen. Die via now UG (haftungsbeschränkt) ist befugt, die in Anlage 2 genannten Unterauftragnehmer heranzuziehen. Sie verpflichtet jeden Unterauftragnehmer, der Kenntnis von fremden Geheimnissen erlangen kann, in Textform zur Verschwiegenheit unter Hinweis auf die strafrechtlichen Folgen (Schreiben nach Abschnitt 5), und hält die Verpflichtungen zum Nachweis bereit.

(7) Ausland. Dienstleistungen im Ausland nimmt die via now UG (haftungsbeschränkt) für diese Auftraggeber nur in Anspruch, soweit der Schutz der Geheimnisse dort dem Schutz im Inland vergleichbar ist (§ 43e Abs. 4 BRAO, § 62a Abs. 4 StBerG). Spracherkennung und Textverarbeitung finden ausschließlich in Mitgliedstaaten der Europäischen Union statt (§ 11 AVV).

(8) Mitteilung. Die via now UG (haftungsbeschränkt) teilt dem Auftraggeber unverzüglich mit, wenn sie von einer Verletzung dieser Verpflichtung erfährt oder eine Behörde die Herausgabe von Daten des Auftraggebers verlangt, soweit das Gesetz dies nicht verbietet.