Unterauftragsverarbeiter

Sitz

38 Avenue John F. Kennedy, 1855 Luxemburg

Zweck

Betrieb der gesamten Anwendungs-, Datenbank- und Speicherinfrastruktur, Auslieferung öffentlicher Inhalte, Versand transaktionaler E-Mails

Verarbeitungsort

Deutschland, Region Frankfurt am Main (eu-central-1). Eine zweite Datenregion besteht nicht.

Betroffene Daten

Sämtliche Kern- und Patientendaten

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; C5-Typ-2-Testat nach ISAE 3000 (Revised) mit Basis- und Zusatzkriterien für Vertraulichkeit und Verfügbarkeit; Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB

Sitz

70 Sir John Rogerson’s Quay, Dublin 2, Irland

Zweck

KI-Verarbeitung: verwalteter Sprachmodell-Dienst sowie Rechenkapazität für unsere eigenen, selbst trainierten Sprach- und Machine-Learning-Modelle

Verarbeitungsort

Deutschland, Region Frankfurt am Main (europe-west3)

Betroffene Daten

Inhalte der an die Modelle übergebenen Anfragen. Eine dauerhafte Speicherung findet nicht statt, eine Nutzung zum Training von Modellen ebenfalls nicht.

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; C5-Typ-2-Testat; Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB

Sitz

2nd Floor, Stephen Court, 18-21 Saint Stephen’s Green, Dublin 2, Irland

Zweck

Support- und Kundenkommunikation innerhalb der Anwendung

Verarbeitungsort

EU-Region des Anbieters (Irland). Nutzungsmetadaten des Dienstes sowie einzelne Supportzugriffe können auch bei aktiviertem EU-Hosting außerhalb der EU erfolgen.

Betroffene Daten

Kommunikationsdaten der Anwenderinnen und Anwender: Name, dienstliche Kontaktdaten und Inhalt der Supportanfrage. Die Übermittlung von Patientendaten über diesen Weg ist durch eine verbindliche interne Supportregel untersagt.

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für die außerhalb der EU erfolgenden Vorgänge EU-U.S. Data Privacy Framework und Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO

Geplante Ablösung

Dieser Dienst wird bis zum ersten Quartal 2027 durch eine selbst betriebene Lösung in unserer eigenen Infrastruktur in Deutschland ersetzt.

Sitz

Robert-Schuman-Straße 16-20, 44263 Dortmund

Zweck

Anbindung an die Telematikinfrastruktur, Versichertenstammdatenmanagement, Zugriff auf die elektronische Patientenakte

Verarbeitungsort

Deutschland (Berlin und Dortmund)

Betroffene Daten

Versichertenstammdaten. Karten, Heilberufs- und Praxisausweise sowie die zugehörigen PIN-Eingaben verbleiben vollständig bei der Einrichtung.

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit ausdrücklicher Verpflichtung auf die Schweigepflicht nach § 203 StGB, die auch für die Unterauftragsverarbeiter des Anbieters gilt

Sitz

One Cambridge Square, Milton Avenue, Cambridge CB4 0AE, Vereinigtes Königreich

Zweck

Umwandlung ärztlicher Diktate von Sprache in Text

Verarbeitungsort

EU-Region

Betroffene Daten

Audiodaten mit Gesundheitsbezug

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich, ergänzend Standardvertragsklauseln

Sitz

169 Madison Ave #2484, New York, NY 10016, USA

Zweck

Sprachsynthese und Konversations-KI der Telefonassistenz

Verarbeitungsort

EU-Region

Betroffene Daten

Gesprächsinhalte, Terminanliegen

Garantien

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; EU-U.S. Data Privacy Framework, Standardvertragsklauseln

Entfallen

Cloudflare, Inc.

Nur noch autoritativer DNS und DNS-basierte Validierung bei der Zertifikatsausstellung, ohne Verarbeitung personenbezogener Daten. Damit kein Unterauftragsverarbeiter, siehe Abschnitt „Keine Auftragsverarbeitung”.

Zweck berichtigt

Amazon Web Services EMEA SARL

Die Namensauflösung war irrtümlich hier aufgeführt, sie erfolgt nicht über diesen Anbieter.

Einordnung berichtigt

Intercom R&D Unlimited Company

War irrtümlich als optionales Modul geführt. Der Dienst ist dauerhaft im Einsatz und gehört zu den Grundfunktionen. Kein neuer Anbieter, keine neue Verarbeitung.

Angaben ergänzt

Intercom R&D Unlimited Company

Verarbeitungsort und Garantien sind jetzt vollständig beschrieben: Nutzungsmetadaten und einzelne Supportzugriffe können auch bei aktiviertem EU-Hosting außerhalb der EU erfolgen, abgesichert über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die betroffenen Datenarten sind präzisiert; die Übermittlung von Patientendaten über diesen Weg ist durch eine verbindliche interne Regel untersagt.

Anbieter berichtigt

Cantab Research Ltd (t/a Speechmatics)

Vertragspartei ist ausweislich des Auftragsverarbeitungsvertrages die Cantab Research Ltd, die unter der Marke Speechmatics auftritt. Gesellschaft und Anschrift sind jetzt vollständig genannt.

Anbieter berichtigt

Eleven Labs Inc.

Die Gesellschaft firmiert als Eleven Labs Inc. und tritt unter der Marke ElevenLabs auf. Gesellschaft und Anschrift sind jetzt vollständig genannt.

Entfallen

Adept Labs Inc. dba Junction (vormals Vital und tryVital)

Die Wearable- und Vitaldatenanbindung ist bei keiner Einrichtung freigeschaltet. Der Anbieter wird erst wieder aufgenommen, wenn er tatsächlich eingesetzt wird.

Anbieter ausgeschrieben

eHealth Experts GmbH (easyTI)

Bisher war nur der Produktname genannt. Ergänzt wurden Gesellschaft, Anschrift und die Verpflichtung auf die Schweigepflicht nach § 203 StGB.

Neu aufgenommen

—

Abschnitte „Keine Auftragsverarbeitung” und „Geplante Änderungen”.

Intercom R&D Unlimited Company

Ablösung durch eine selbst betriebene Lösung in unserer eigenen Infrastruktur in Deutschland

bis Q1 2027