Zurück zur Sicherheitsseite · Als PDF speichern / Drucken

Bestätigung zur datenschutzrechtlichen Einordnung von Praxido

Es gibt zwei Varianten. Variante A ist der Regelfall: Sie bestätigt, dass deine Klient:innendaten den Anbieter gar nicht erreichen. Variante B ist für den Fall gedacht, dass deine Datenschutzberatung zusätzlich ein förmliches Dokument sehen möchte.

Variante A — Bestätigung „keine Auftragsverarbeitung" (Regelfall)

Aussteller (Software-Anbieter): Praxido Ortner e.U., Ligistberg 20, 8563 Ligist, Österreich · FN 681348 h · hallo@praxido.at

Gegenüber (Verantwortliche:r / Kund:in): [Name, Anschrift der Praxis]

Gegenstand

Diese Bestätigung betrifft die Nutzung der Praxisverwaltungssoftware Praxido.

Erklärung

  1. Local-First-Architektur. Praxido speichert alle von dir eingegebenen Klient:innen- und Patient:innendaten (Stammdaten, Sitzungsdokumentation, Diagnosen und sonstige Gesundheitsdaten gemäß Art. 9 DSGVO) ausschließlich lokal und verschlüsselt auf deinem Endgerät. Es findet keine automatische Cloud-Synchronisierung und keine Übermittlung an Server des Anbieters statt. Koppelst du die Handy-App, gehen Daten über dein lokales Netzwerk an dein eigenes Handy, nicht an den Anbieter. Was du exportierst, druckst oder per E-Mail verschickst, verlässt die App auf deine Veranlassung.
  2. Kein Zugriff des Anbieters. Der Anbieter hat zu keinem Zeitpunkt Zugriff auf diese Daten und verarbeitet sie nicht.
  3. Keine Auftragsverarbeitung. Der Anbieter ist daher in Bezug auf deine Klient:innen-/ Patient:innendaten kein Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) ist zwischen dir und dem Anbieter nicht erforderlich. Du bleibst alleinige:r Verantwortliche:r im Sinne des Art. 4 Z 7 DSGVO.

  4. Was der Anbieter sieht. Der Anbieter verarbeitet ausschließlich deine eigenen Vertrags- und Lizenzdaten als eigener Verantwortlicher:

    Einzelheiten in der Datenschutzerklärung.

  5. Optionale Online-Dienste. Drei Funktionen verbinden sich mit fremden Diensten, alle nur, wenn du sie einschaltest: die Übernahme von Terminen aus deinem Google-Kalender (nur lesend), das Herunterladen von Sprach- und KI-Modellen (Hugging Face; dabei werden keine Praxisdaten übertragen) und in der Handy-App die Adress-Auflösung im Fahrtenbuch (OpenStreetMap/Nominatim, Koordinaten von Start und Ziel). In diesen Fällen bist weiterhin du Verantwortliche:r und der jeweilige Dienst dein Empfänger; der Anbieter ist hieran nicht beteiligt. Die Texterkennung von Belegen läuft lokal auf deinem Gerät.
  6. Sicherheitsarchitektur. Die technischen und organisatorischen Schutzmaßnahmen sind im Dokument „Sicherheitsarchitektur & technisch-organisatorische Maßnahmen" beschrieben und können von dir für deine eigene Dokumentation (Art. 30/32 DSGVO) herangezogen werden.

[Ort], am [Datum]

Praxido Ortner e.U., Alexander Ortner

Variante B — Einseitige Selbstverpflichtungserklärung (nur Komfort-Fall)

Für den Fall, dass deine Datenschutzberatung trotz Variante A ein förmliches Dokument sehen möchte. Die Erklärung ist auf die wenigen tatsächlichen Berührungspunkte beschränkt (deine Vertrags- und Lizenzdaten, Support), nicht auf Patient:innendaten, die der Anbieter nicht erhält. Ob du sie brauchst, entscheidest du mit deiner Beratung; eine rechtliche Einordnung gibt der Anbieter nicht.

Selbstverpflichtungserklärung des Anbieters (Praxido Ortner e.U., „Anbieter") gegenüber der/dem Verantwortlichen [Name/Praxis].

Präambel. Der Anbieter stellt mit Praxido eine Local-First-Software bereit. Patientendaten werden ausschließlich lokal beim Verantwortlichen verarbeitet; der Anbieter erhält sie nicht. Soweit der Anbieter im Rahmen von Vertragsabwicklung und Support überhaupt mit personenbezogenen Daten des Verantwortlichen (nicht: dessen Patient:innen) in Berührung kommt, gibt er folgende einseitige Erklärung ab. Den Verantwortlichen treffen hierdurch keine Pflichten.

  1. Gegenstand & Datenkategorien. Vertrags-, Kauf- und Lizenzdaten des Verantwortlichen (Name, Anschrift, E-Mail, Paket, Zahlungsstatus) sowie die Lizenzmeldung (E-Mail-Adresse, Paket, Lizenzschlüssel, Version, Betriebssystem, zufällige Installationskennung). Keine Klient:innen- oder Gesundheitsdaten.
  2. Weisungsbindung & keine Zweckänderung. Diese Daten werden ausschließlich zu Lizenzverwaltung, Rechnungslegung und vertraglicher Kommunikation verarbeitet, nicht für andere Zwecke.
  3. Vertraulichkeit. Der Anbieter und etwaige beauftragte Personen sind zur Vertraulichkeit verpflichtet, auch über das Vertragsende hinaus.
  4. Sicherheit (Art. 32). Der Anbieter trifft die im Dokument „Sicherheitsarchitektur & TOM" beschriebenen Maßnahmen.
  5. Subunternehmer. Der Anbieter setzt für Hosting und Mailversand die hosttech GmbH (Salzburg) ein, mit einem Auftragsverarbeitungsvertrag (Verarbeitungsort laut Vertrag Schweiz oder EU/EWR), und für die Zahlungsabwicklung Stripe Payments Europe, Limited (Irland). Die aktuelle Liste steht im Dokument „Eingesetzte Dienstleister (Subprozessoren)".
  6. Unterstützung & Information. Der Anbieter unterstützt den Verantwortlichen bei Betroffenenrechten (Art. 12–22) und informiert unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betreffen (Art. 33).
  7. Beendigung. Nach Vertragsende werden die Vertrags-/Lizenzdaten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht (z.B. § 132 BAO, 7 Jahre) entgegensteht.
  8. Aufsichtsbehörde. Zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien.

[Ort], am [Datum] — Praxido Ortner e.U., Alexander Ortner