Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftragsverarbeiter: 

Alexander Fillbrandt
Säulengasse 7/3
1090 Wien
Austria

E-Mail: shop@logoPad.app
(im Folgenden: „logoPad” oder „Auftragsverarbeiter”)

Verantwortliche/r: 

Die bei logoPad (logoPad.app) registrierte natürliche Person
(im Folgenden: „Verantwortliche/r”) Dieser Vertrag wird durch aktive Bestätigung im Rahmen der Registrierung auf logoPad.app geschlossen. Er ist Bestandteil der Nutzungsvereinbarung zwischen den Parteien und tritt mit Abschluss der Registrierung in Kraft.

§ 1 Gegenstand und Dauer des Auftrags

(1) Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Nutzung der Plattform logoPad (logoPad.app).

(2) logoPad ist eine digitale Plattform, die Logopädinnen und Logopäden interaktive therapeutische Übungsmaterialien (sogenannte „Mats”) bereitstellt. Im Rahmen der Nutzung ermöglicht logoPad den Verantwortlichen, Patientinnen und Patienten durch personalisierte Links Zugang zu Übungsaufgaben zu gewähren und Ergebnisse dieser Therapiesitzungen einzusehen und auszuwerten.

(3) Die Verarbeitung beginnt mit der Registrierung des Verantwortlichen auf logoPad.app und endet mit der endgültigen Löschung des Nutzerkontos oder der Kündigung der Nutzungsvereinbarung. § 3 Abs. 6 (Löschung nach Vertragsende) bleibt unberührt.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Speicherung, Verarbeitung, Darstellung und Löschung personenbezogener Daten im Rahmen des Plattformbetriebs.

(2) Zweck der Verarbeitung:

• Verwaltung von Nutzerkonten (Therapeutinnen und Therapeuten)
• Bereitstellung und Verwaltung von Patientenlinks
• Aufzeichnung und Auswertung von Therapiesitzungsdaten
• Transaktionale Kommunikation (Bestätigungs- und Systemnachrichten per E-Mail)

(3) Kategorien betroffener Personen:

• Verantwortliche (Logopädinnen und Logopäden) als Nutzerinnen und Nutzer der Plattform
• Patientinnen und Patienten, die über vom Verantwortlichen bereitgestellte Links auf Übungsinhalte zugreifen

(4) Art der verarbeiteten Daten:

• Accountdaten: E-Mail-Adresse, Name sowie verschlüsselte interne Nutzer-ID (pseudonymisiert)
• Sitzungsdaten: Ergebnisse von Therapieübungen (Trefferquoten, Fehlertypen, Hinweisverwendung) – ohne direkte Personenidentifikatoren, gespeichert als verschlüsselte Datensätze
• Verknüpfungsdaten: Patientenlinks – ohne Speicherung des Patientennamens oder sonstiger patientenbezogener Identifikatoren durch logoPad
• Nutzungsanalytik: Pseudonymisierte Zugriffs- und Nutzungsdaten des Verantwortlichen (tagesdatumgenaue Zeitstempel, gehashte Nutzerreferenzen)

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die unter Abs. 4 genannten Sitzungsdaten können, sofern sie im Kontext therapeutischer Behandlungen erhoben werden, Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO darstellen. Der Auftragsverarbeiter verarbeitet diese ausschließlich auf Weisung und im Auftrag des Verantwortlichen. Die rechtliche Grundlage für die Verarbeitung dieser Daten obliegt dem Verantwortlichen (Art. 9 Abs. 2 lit. h DSGVO).

§ 3 Pflichten des Auftragsverarbeiters

3.1 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung im Sinne dieses Vertrags. Weisungen, die über den bestimmungsgemäßen Plattformbetrieb hinausgehen, sind schriftlich zu erteilen.

(3) Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für einen Verstoß gegen die DSGVO oder sonstige anwendbare Datenschutzvorschriften, so hat er den Verantwortlichen unverzüglich darauf hinzuweisen.

3.2 Vertraulichkeit

(1) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Vertraulichkeitspflicht besteht über die Beendigung dieses Vertrags hinaus fort.

3.3 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses geltenden Maßnahmen sind in Anlage 1 zu diesem Vertrag festgelegt. Der Auftragsverarbeiter ist berechtigt, diese Maßnahmen weiterzuentwickeln und anzupassen, sofern das Schutzniveau nicht unterschritten wird. Über wesentliche Änderungen wird der Verantwortliche informiert.

3.4 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 dieses Vertrags aufgelistet.

(2) Sollen weitere Unterauftragsverarbeiter eingesetzt oder bestehende ersetzt werden, unterrichtet der Auftragsverarbeiter den Verantwortlichen rechtzeitig vorab, mindestens vier (4) Wochen vor dem geplanten Einsatz. Der Verantwortliche kann gegen einen neuen Unterauftragsverarbeiter aus datenschutzrechtlich begründeten Gründen innerhalb dieser Frist Widerspruch einlegen. Kommt keine Einigung zustande, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht zur nächstmöglichen Gelegenheit zu.

(3) Der Auftragsverarbeiter stellt vertraglich sicher, dass Unterauftragsverarbeiter denselben datenschutzrechtlichen Verpflichtungen unterliegen wie der Auftragsverarbeiter gegenüber dem Verantwortlichen.

3.5 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und wirtschaftlich Zumutbaren: (a) bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) gemäß Art. 15–22 DSGVO; (b) bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, Vorabkonsultation).

3.6 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung der Nutzungsvereinbarung löscht der Auftragsverarbeiter alle im Rahmen des Auftrags verarbeiteten personenbezogenen Daten oder gibt sie auf Verlangen des Verantwortlichen zurück, sofern nicht eine gesetzliche Verpflichtung zur weiteren Aufbewahrung besteht.

(2) Die Löschung erfolgt spätestens dreißig (30) Tage nach Ablauf des Nutzerkontos, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

3.7 Nachweispflicht und Kontrollrecht

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und trägt zu diesen bei, soweit diese Kontrollen für den Auftragsverarbeiter rechtlich und tatsächlich möglich sind und nicht gegen Verträge mit Infrastrukturanbietern verstoßen. Inspektionen vor Ort setzen eine schriftliche Ankündigung von mindestens zehn (10) Werktagen voraus.

(3) Anstelle einer Inspektion vor Ort kann die Einhaltung der Pflichten durch Vorlage einschlägiger Zertifizierungen oder Prüfberichte Dritter nachgewiesen werden.

§ 4 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein für die Rechtmäßigkeit der Datenverarbeitung in seinem Verantwortungsbereich zuständig, insbesondere für das Vorliegen einer geeigneten Rechtsgrundlage nach Art. 6 DSGVO sowie, bei Verarbeitung besonderer Kategorien personenbezogener Daten, nach Art. 9 DSGVO.

(2) Der Verantwortliche stellt sicher, dass Patientinnen und Patienten über die Verarbeitung ihrer Daten im Rahmen der Nutzung von logoPad informiert werden und – soweit erforderlich – ihre Einwilligung erteilt haben oder eine andere Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt.

(3) Der Verantwortliche teilt dem Auftragsverarbeiter unverzüglich mit, wenn er bei der Prüfung von Verarbeitungsergebnissen Fehler oder Unregelmäßigkeiten feststellt, die auf eine mögliche Verletzung des Datenschutzes hindeuten.

(4) Der Verantwortliche verpflichtet sich, seine Zugangsdaten vertraulich zu behandeln und den Auftragsverarbeiter unverzüglich zu informieren, wenn ein Verdacht auf unbefugten Zugriff auf das Nutzerkonto besteht.

§ 5 Meldung von Datenpannen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO, die im Rahmen der auftragsgemäßen Verarbeitung eingetreten sind.

(2) Die Meldung enthält mindestens:

• eine Beschreibung der Art der Verletzung
• die betroffenen Kategorien und die ungefähre Anzahl betroffener Personen und Datensätze
• die wahrscheinlichen Folgen der Verletzung
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung

(3) Die Pflicht zur Meldung einer Datenpanne gegenüber der zuständigen Aufsichtsbehörde und ggf. gegenüber betroffenen Personen obliegt dem Verantwortlichen.

§ 6 Haftung

Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gilt: Hat eine Partei eine Verletzung der datenschutzrechtlichen Pflichten verursacht, ist sie im Verhältnis zur anderen Partei in dem Umfang allein verantwortlich, in dem sie an dieser Verletzung schuld ist.

§ 7 Schlussbestimmungen

(1) Dieser Vertrag unterliegt österreichischem Recht.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Die unwirksame oder undurchführbare Bestimmung ist durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Änderungen dieses Vertrags werden dem Verantwortlichen mit angemessener Vorlauffrist von mindestens vier (4) Wochen mitgeteilt. Eine fortgesetzte Nutzung der Plattform nach Ablauf dieser Frist gilt als Zustimmung zu den geänderten Bedingungen. Der Verantwortliche hat das Recht, den Vertrag vor Inkrafttreten der Änderungen außerordentlich zu kündigen.

(4) Als Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag wird, sofern gesetzlich zulässig, das für den Sitz des Auftragsverarbeiters sachlich zuständige Gericht vereinbart.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO – gültig zum Zeitpunkt des Vertragsschlusses

1. Pseudonymisierung und Verschlüsselung

• Sitzungsdaten werden serverseitig mit AES-256-GCM verschlüsselt gespeichert.
• Nutzer-IDs werden mittels SHA-256 und einem internen Salt pseudonymisiert; eine Rückidentifizierung ist ohne Kenntnis des Salts ausgeschlossen.
• Patientendaten werden ausschließlich als verschlüsselte Sitzungsreferenzen ohne direkte Personenidentifikatoren gespeichert. Kein Klarname, keine Anschrift, keine Patientennummer wird in der logoPad-Datenbank abgelegt.
• Alle Datenübertragungen erfolgen ausschließlich über TLS 1.2 oder höher (HTTPS). Unverschlüsselte Verbindungen werden abgewiesen.

2. Vertraulichkeit

• Zutrittskontrolle: Die Serverinfrastruktur wird durch die Hetzner Online GmbH in einem zertifizierten Rechenzentrum in Bayern (Deutschland) betrieben. Physischer Zugang ist auf autorisiertes Rechenzentrumspersonal beschränkt.
• Zugangskontrolle: Administrativer Zugang zu Servern erfolgt ausschließlich über SSH-Schlüsselauthentifizierung. Passwörter werden nicht im Klartext gespeichert.
• Zugriffskontrolle: Datenbankzugriffe sind auf das betrieblich notwendige Minimum beschränkt (Least-Privilege-Prinzip).
• Trennungskontrolle: Patientenbezogene Sitzungsdaten werden von Accountdaten der Therapeutinnen und Therapeuten technisch getrennt verarbeitet. Der patientenseitige Bereich der Plattform (/player/) ist vollständig von jeglicher Nutzungsanalytik ausgeschlossen.

3. Integrität

• Übertragungsintegrität: Datenverschlüsselung via TLS bei allen Übertragungen.
• Eingabekontrolle: Alle Nutzereingaben werden serverseitig validiert und bereinigt.

4. Verfügbarkeit und Belastbarkeit

• Hosting auf managed Servern bei Hetzner Online GmbH, Bayern (Deutschland).
• Regelmäßige Datensicherungen durch den Infrastrukturanbieter.
• Monitoring und Wiederherstellungsmöglichkeiten gemäß Hetzner-Service-Level.

5. Datensparsamkeit

• Patientenseitig werden keine personenbezogenen Identifikatoren erhoben oder gespeichert.
• Analysedaten enthalten ausschließlich tagesgenaue Zeitstempel (keine sekundengenaue Erfassung) sowie pseudonymisierte Nutzerreferenzen.

6. Verfahren zur Überprüfung

• Technische Maßnahmen werden im Rahmen regulärer Plattformentwicklung überprüft und bei Bedarf angepasst.
• Sicherheitsrelevante Updates der eingesetzten Software werden zeitnah eingespielt.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Stand: 03. Juli 2026

Unternehmen / Anschrift	Sitz	Zweck / verarbeitete Daten	Drittlandtransfer
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Deutschland (Bayern)	Serverhosting; Speicherung aller Plattformdaten	Entfällt (EU/EWR)
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	Luxemburg (EU)	Transaktionaler E-Mail-Versand (AWS SES); verarbeitet E-Mail-Adressen der Verantwortlichen. Die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der EU (Region Frankfurt).	Entfällt (EU/EWR)

Änderungen an der Liste genehmigter Unterauftragsverarbeiter werden dem Verantwortlichen gemäß § 3 Abs. 4 dieses Vertrags vorab mitgeteilt.

Dieser Vertrag wird mit Bestätigung durch Anklicken der entsprechenden Checkbox im Rahmen der Registrierung auf logoPad.app verbindlich abgeschlossen. Eine Kopie dieses Vertrags wird dem Verantwortlichen als PDF an die angegebene E-Mail-Adresse übermittelt.