Unterauftragsverarbeiter
Stand: 13. Oktober 2026
Für den Betrieb von ClinicOS setzen wir die nachfolgend aufgeführten Unterauftragsverarbeiter ein. Diese Liste ist Anlage 2 unseres Vertrages zur Auftragsverarbeitung und wird hier in der jeweils aktuellen Fassung veröffentlicht.
Anbieter, die als optional gekennzeichnet sind, kommen ausschließlich zum Einsatz, wenn die zugehörige Funktion für Ihre Einrichtung freigeschaltet ist. Ist die Funktion nicht aktiviert, findet an diesen Anbieter keine Übermittlung statt. Welche Funktionen aktiv sind, können Sie in Ihrer Mandantenkonfiguration jederzeit einsehen und ändern.
Jede beabsichtigte Änderung an dieser Liste kündigen wir mindestens 30 Tage im Voraus an, per E-Mail oder als Hinweis in ClinicOS. Sie können innerhalb von 14 Tagen mit sachlicher Begründung widersprechen.
Grundfunktionen
Diese Anbieter sind immer im Einsatz.
1. Amazon Web Services EMEA SARL
Sitz | 38 Avenue John F. Kennedy, 1855 Luxemburg |
Zweck | Betrieb der gesamten Anwendungs-, Datenbank- und Speicherinfrastruktur, Namensauflösung, Auslieferung öffentlicher Inhalte, Versand transaktionaler E-Mails |
Verarbeitungsort | Deutschland, Region Frankfurt am Main (eu-central-1). Eine zweite Datenregion besteht nicht. |
Betroffene Daten | Sämtliche Kern- und Patientendaten |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; C5-Typ-2-Testat nach ISAE 3000 (Revised) mit Basis- und Zusatzkriterien für Vertraulichkeit und Verfügbarkeit; Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB |
2. Google Cloud EMEA Limited
Sitz | 70 Sir John Rogerson’s Quay, Dublin 2, Irland |
Zweck | KI-Verarbeitung: verwalteter Sprachmodell-Dienst sowie Rechenkapazität für unsere eigenen, selbst trainierten Sprach- und Machine-Learning-Modelle |
Verarbeitungsort | Deutschland, Region Frankfurt am Main (europe-west3) |
Betroffene Daten | Inhalte der an die Modelle übergebenen Anfragen. Eine dauerhafte Speicherung findet nicht statt, eine Nutzung zum Training von Modellen ebenfalls nicht. |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; C5-Typ-2-Testat; Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB |
3. Cloudflare, Inc.
Sitz | 101 Townsend Street, San Francisco, CA 94107, USA |
Zweck | Autoritativer DNS für die ClinicOS-Domänen sowie DNS-basierte Validierung bei der Zertifikatsausstellung |
Verarbeitungsort | Global (Anycast-Netz des Anbieters) |
Betroffene Daten | Ausschließlich technische Metadaten in Form von Auflösungsanfragen. Der Datenverkehr der Anwendung läuft nicht über diesen Dienst, Patientendaten sind nicht betroffen. |
Garantien | EU-U.S. Data Privacy Framework, Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, verbindliche interne Datenschutzvorschriften |
Optionale Module
Diese Anbieter kommen nur zum Einsatz, wenn Sie die jeweilige Funktion freischalten.
4. Speechmatics Ltd. — Diktat-Transkription
Sitz | Vereinigtes Königreich |
Zweck | Umwandlung ärztlicher Diktate von Sprache in Text |
Verarbeitungsort | EU-Region |
Betroffene Daten | Audiodaten mit Gesundheitsbezug |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich, ergänzend Standardvertragsklauseln |
5. ElevenLabs, Inc. — KI-gestützte Telefonie
Sitz | USA |
Zweck | Sprachsynthese und Konversations-KI der Telefonassistenz |
Verarbeitungsort | EU-Region |
Betroffene Daten | Gesprächsinhalte, Terminanliegen |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; EU-U.S. Data Privacy Framework, Standardvertragsklauseln |
6. Tryvital, Inc. — Wearable- und Vitaldaten
Sitz | USA |
Zweck | Aggregation von Wearable- und Vitaldaten |
Verarbeitungsort | EU-Region |
Betroffene Daten | Vitaldaten |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; EU-U.S. Data Privacy Framework, Standardvertragsklauseln |
7. Intercom R&D Unlimited Company — In-App-Support
Sitz | 2nd Floor, Stephen Court, 18-21 Saint Stephen’s Green, Dublin 2, Irland |
Zweck | Support- und Kundenkommunikation innerhalb der Anwendung |
Verarbeitungsort | EU (Irland) |
Betroffene Daten | Kommunikationsdaten der Anwender. Patientenbezogene Inhalte können enthalten sein, soweit die Einrichtung sie im Rahmen einer Störungsmeldung selbst übermittelt. |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
8. EasyTI — Anbindung an die Telematikinfrastruktur
Sitz | Deutschland |
Zweck | Anbindung an die Telematikinfrastruktur, Versichertenstammdatenmanagement, Zugriff auf die elektronische Patientenakte |
Verarbeitungsort | Deutschland |
Betroffene Daten | Versichertenstammdaten. Karten, Heilberufs- und Praxisausweise sowie die zugehörigen PIN-Eingaben verbleiben vollständig bei der Einrichtung. |
Garantien | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
Was wir selbst betreiben
Die folgenden Komponenten laufen ausschließlich in unserer eigenen Infrastruktur in Deutschland. Es handelt sich deshalb nicht um Unterauftragsverarbeiter, und es findet insoweit keine Übermittlung an Dritte statt:
Authentifizierung (Hanko)
Betriebsüberwachung (Grafana mit Loki, VictoriaMetrics und Tempo)
Beobachtbarkeit der KI-Verarbeitung (Langfuse)
Sitzungsaufzeichnung zur Fehlermeldung
Medienvermittlung der Videosprechstunde
Änderungen gegenüber der Fassung vom 3. Juni 2026
Änderung | Anbieter | Grund |
|---|---|---|
Entfallen | Functional Software, Inc. (Sentry) | Fehler-Monitoring auf eine selbst betriebene Grafana-Umgebung und die eigene Sitzungsaufzeichnung umgestellt |
Entfallen | Vercel Inc. | Auslieferung des Web-Frontends auf unsere eigene Kubernetes-Infrastruktur in Deutschland umgestellt |
Zweck erweitert | Amazon Web Services EMEA SARL | Nicht mehr nur E-Mail-Versand, sondern Betrieb der gesamten Anwendungs-, Datenbank- und Speicherinfrastruktur (Migration nach eu-central-1, Frankfurt) |
Zweck geändert | Google Cloud EMEA Limited | Nicht mehr Betreiber der Anwendungs- und Datenebene; verbleibende Nutzung für die KI-Verarbeitung |
Zweck geändert | Cloudflare, Inc. | Nicht mehr Reverse-Proxy und DDoS-Schutz im Datenpfad; verbleibende Nutzung ausschließlich als autoritativer DNS und für die Zertifikatsvalidierung |
Neu aufgenommen | Speechmatics Ltd. | Diktat-Transkription |
Neu aufgenommen | ElevenLabs, Inc. | KI-gestützte Telefonie |
Neu aufgenommen | Tryvital, Inc. | Wearable-Anbindung |
Neu aufgenommen | Intercom R&D Unlimited Company | In-App-Support |
Neu aufgenommen | EasyTI | Anbindung an die Telematikinfrastruktur |
Fragen
Datenschutzbeauftragter der NoscAi GmbH:
Anosch Aziz-Koch
E-Mail: datenschutz@nosc.ai
Telefon: 040 238301490
Made in Germany