Vertragsunterlagen für Ihre Praxis

§ 1 Geltung und Vertragsunterlagen

Diese Bedingungen gelten zwischen der Medi-Echo GmbH, Robert-Bosch-Straße 32 A, 63303 Dreieich (MediEcho), und der in der Anmeldung genannten Praxis oder Einrichtung (Kunde). Das Angebot richtet sich ausschließlich an Unternehmer bei Ausübung ihrer beruflichen Tätigkeit.

Vertragsbestandteile sind die Anmeldung mit ihrer Leistungsübersicht sowie die separat überlassenen Allgemeinen Nutzungsbedingungen und die Vereinbarung zur Auftragsverarbeitung (AVV) mit Anlagen, jeweils Fassung ME-2026-10-11.1. Individuelle Vereinbarungen gehen vor. Bei Widersprüchen gehen konkrete Preis-, Mengen- und Leistungsangaben in Anmeldung und Leistungsübersicht allgemeinen Angaben vor; die AVV geht in Datenschutzfragen vor. Fremde Geschäftsbedingungen gelten nur bei ausdrücklicher Zustimmung. Die Datenschutzhinweise informieren und stellen keine pauschale Einwilligung dar.

§ 2 Leistungen und Grenzen

Maßgeblich ist die Leistungsübersicht der jeweiligen Anmeldung, nicht eine später geänderte Website. Die folgenden Leistungsregeln gelten nur, soweit die betreffende Leistung im gebuchten Tarif vereinbart ist; sie erweitern dessen Umfang nicht. MediEcho erbringt die vereinbarten Analyse-, Bewertungs-, Profil-, KI- und Betreuungsleistungen. Enthalten sind Einrichtung, Zielabstimmung, Dashboard, laufende persönliche Begleitung, regelmäßige Berichte und Gespräche sowie Schulungen per Videocall und Telefon. Bestimmte Reaktionszeiten oder eine unterbrechungsfreie Verfügbarkeit werden nicht zugesagt.

Als „In Planung“ bezeichnete Funktionen sind noch nicht verfügbar, gehören nicht zum derzeit geschuldeten Umfang und haben keinen zugesagten Einführungstermin. Leistungen gegen Zuzahlung erfordern einen gesonderten Auftrag. Richtlinien-Anfechtung und öffentliche Stellungnahme kosten jeweils 50 € netto je Bewertung. Anwaltliche Anfechtungen erfolgen durch eine externe Kanzlei mit gesonderter Mandatierung und Abrechnung, beispielsweise MediVeto. „Ab 50 € netto“ ist ausschließlich eine unverbindliche Orientierung zu MediVeto; maßgeblich ist deren aktuelles Angebot. MediEcho erbringt keine Rechtsberatung.

MediEcho ist unabhängig von Bewertungsportalen, Suchmaschinen und KI-Anbietern. Deren Entscheidungen, Bewertungen und Ergebnisse werden nicht beherrscht. Geschuldet ist die sorgfältige Leistung, nicht eine bestimmte Bewertungszahl, Platzierung, KI-Empfehlung, Veröffentlichung, Löschung oder ein wirtschaftlicher Erfolg. Analysen sind zeitpunkt- und quellenabhängig und keine medizinische Beratung.

Soweit Profilpflege im gebuchten Tarif enthalten ist, umfasst sie insgesamt bis zu zehn abgestimmte Portaleinträge einschließlich Google und MediWertung. Neuanlage, Optimierung und einfache Datenänderungen nutzen gemeinsam diesen Umfang. Aufwendige Dubletten-, Inhaberschafts- und Verifizierungsfälle sowie externe Portalgebühren sind nur nach gesonderter Abstimmung und Freigabe umfasst.

KI-Abfragen und Google-Maps-Rankings beziehen sich auf dieselben bis zu drei gemeinsam festgelegten Behandlungsthemen und werden wöchentlich aktualisiert. Die Wettbewerbsbeobachtung umfasst bis zu drei Wettbewerber. Enthalten sind Ersteinrichtung und normale Pflege von LaunchSite, Antwortprofilen und vereinbarten Praxisprofilen; grundlegende Neugestaltungen und Neukonfigurationen erfordern eine gesonderte Vereinbarung.

§ 3 Anmeldung und Vertragsschluss

Der Kunde macht vollständige, zutreffende Angaben und handelt durch eine berechtigte Person. Die Anmeldung ist sein Vertragsangebot. MediEcho nimmt es durch Bestätigung in Textform, Rechnung oder Beginn der Leistung an. Dies gilt für Online- und PDF-Anmeldungen gleichermaßen. Der Kunde erhält die Vertragsunterlagen vor Abgabe seiner Anmeldung in speicherbarer Form.

§ 4 Zugang und Nutzungsrechte

Der Kunde erhält für die Vertragsdauer ein einfaches, nicht übertragbares Nutzungsrecht für die vereinbarte Praxis. Berechtigte Mitarbeitende dürfen vorgesehene persönliche Zugänge und Rollen nutzen. Zugangsdaten sind zu schützen; Verdachtsfälle und ausgeschiedene Berechtigte sind unverzüglich zu melden. Eine Verantwortlichkeit für fremde Zugriffe besteht nur nach den gesetzlichen Voraussetzungen.

Urheberrechte und Quellcode werden nicht übertragen. Unbefugte Weitergabe, Umgehung von Zugangssperren und Vervielfältigung der Software sind untersagt; zwingende gesetzliche Nutzungsrechte bleiben bestehen.

§ 5 Mitwirkung, Inhalte und Veröffentlichungen

Der Kunde liefert richtige Praxisdaten, benennt Ansprechpartner und ermöglicht notwendige Freigaben und Berechtigungen. Er räumt MediEcho die für den Auftrag benötigten Rechte an bereitgestellten Inhalten ein. Die Praxis bleibt Hauptinhaberin ihres Google-Profils; MediEcho erhält nur erforderliche Verwaltungsrechte.

Die Praxis verantwortet die rechtmäßige Patientenansprache, den Einsatz von Einladungstexten im konkreten Fall und den Versand bereitgestellter Bewertungslinks über eigene Systeme. Patienten bewerten selbst. Öffentliches Bewerten darf nicht von einer positiven Einschätzung abhängig gemacht werden.

KI-Antworten sind Entwürfe, die das Praxisteam selbst erstellt, prüft und verwaltet. Fachliche Richtigkeit, Rechte Dritter und Schweigepflicht sind vor Veröffentlichung zu prüfen. Google-Veröffentlichungen benötigen eine verfügbare Funktion, Verbindung und ausdrückliche Autorisierung; Antworten für andere Portale veröffentlicht die Praxis manuell. Patientengeheimnisse, Krankenakten und nicht erforderliche Gesundheitsangaben dürfen nicht in Eingaben oder Antworten übernommen werden. MediEchos eigene Leistungspflichten bleiben unberührt.

Bei vereinbarter Beitragserstellung erstellt MediEcho monatlich einen Beitrag mit KI-Unterstützung, prüft ihn manuell und überarbeitet ihn bei Bedarf vor Bereitstellung. Enthalten ist ein Beitrag, nicht jeweils ein zusätzlicher Beitrag je Kanal; individuelle Foto-, Video- oder aufwendige Grafikproduktion ist nicht umfasst. Die Praxis bearbeitet und prüft den bereitgestellten Beitrag im Dashboard selbst. Zusätzliche redaktionelle Korrekturrunden durch MediEcho auf Kundenwunsch sind nicht enthalten; die Behebung eigener Leistungsfehler bleibt unberührt. Bei ordnungsgemäßer Bereitstellung entsteht durch Nichtnutzung oder Veröffentlichungsstopp kein zusätzlicher Beitragsanspruch in Folgemonaten.

Freigabe von Beiträgen: Die Praxis kann einen Beitrag im Dashboard bearbeiten, speichern, ausdrücklich freigeben oder seine Veröffentlichung stoppen. MediEcho benachrichtigt sie per E-Mail über die Bereitstellung, verlinkt den Beitrag und weist auf das konkrete Fristende sowie die Folge ausbleibender Reaktion besonders hin. Erfolgt innerhalb von sieben Kalendertagen nach Zugang dieser Benachrichtigung weder eine ausdrückliche Freigabe noch ein Veröffentlichungsstopp, gilt der Beitrag als freigegeben. Voraussetzung ist, dass der Beitrag während der Frist zugänglich ist. Bei einer nachträglichen inhaltlichen Änderung durch MediEcho beginnt die Frist mit erneuter Benachrichtigung neu.

Konkrete medizinische Aussagen über Methoden, Behandlungsergebnisse oder Risiken, Preisangaben, Patientenfälle und kritische Bewertungsantworten benötigen abweichend hiervon eine ausdrückliche Freigabe. Veröffentlichungen setzen jeweils eine verfügbare und eingerichtete Anbindung sowie die erforderliche Autorisierung voraus. Die Beitragserstellung allein sagt keine bestimmten Kanäle oder automatische Veröffentlichung zu. MediEchos eigene Qualitäts- und Leistungspflichten bleiben auch bei Freigabe bestehen.

Soweit die Website-Veröffentlichung als verfügbare Leistung vereinbart ist, stellt MediEcho eine technische Möglichkeit zur Veröffentlichung freigegebener Beiträge auf einer News- oder Blog-Seite bereit. Die Bereitstellungsform bestimmt MediEcho. Die Praxis oder ihr Dienstleister übernimmt die Einbindung in die eigene Website; individuelle Website-Programmierung ist nicht enthalten. Der Leistungsstatus der Übersicht bleibt maßgeblich.

§ 6 Entgelt und Zahlung

Es gelten die Monats- und Einrichtungsentgelte der Anmeldung, jeweils zuzüglich gesetzlicher Umsatzsteuer. Die laufenden Entgelte werden für dreimonatige Vertragsabschnitte im Voraus per SEPA-Lastschrift abgerechnet. Die einmalige Einrichtungspauschale ist mit der ersten Quartalsrechnung fällig.

Ein Vertragsquartal beginnt am vereinbarten Starttag und endet mit Ablauf des Vortags des entsprechenden Tages drei Monate später, beispielsweise vom 21.01. bis einschließlich 20.04. Für fehlende Monatstage gelten die gesetzlichen Fristregeln. Es handelt sich nicht um Kalenderquartale.

Der Kunde erteilt ein gültiges SEPA-Mandat, sorgt für Deckung und meldet Kontoänderungen. Ein für SEPA erreichbares Konto genügt; ein deutsches Konto ist nicht erforderlich. Die Vorabinformation über Betrag und Belastungstermin erfolgt grundsätzlich mindestens 14 Kalendertage vorher, sofern nicht gesondert eine kürzere Frist vereinbart wird. Bei der ersten Rechnung wird der Einzugstermin entsprechend gewählt. Vom Kunden schuldhaft verursachte Rücklastschriftkosten sind in tatsächlich angefallener Höhe zu ersetzen. Gesetzliche Verzugsansprüche bleiben bestehen.

§ 7 Materialien und Einladungskontingent

Materialien und Einladungskarten sind nur enthalten, soweit die Leistungsübersicht des gebuchten Tarifs sie vorsieht. Das Jahreskontingent handgeschriebener Einladungskarten ergibt sich aus dieser Übersicht. Weiße Blanko-Karten und im Praxisdesign bedruckte Karten teilen sich dieses Kontingent. Maßgeblich ist die angefertigte und gelieferte Menge. Abrufe und Ausführung stimmen die Parteien ab; eine automatische Gesamtauslieferung findet nicht statt.

Weiße Blanko-Karten sind enthalten. Für bedruckte Karten ist die Anpassung eines vorhandenen Gestaltungstemplates zu einem praxisbezogenen Grunddesign enthalten. Externe Druckkosten werden nach vorheriger Freigabe ohne Aufschlag weiterberechnet. Weitergehende Gestaltungsarbeiten erfolgen nur nach vorheriger Abstimmung und Freigabe von Umfang und Vergütung; bei Abrechnung nach Aufwand werden Stundensatz und voraussichtlicher Aufwand vorab mitgeteilt.

Die im gebuchten Tarif vereinbarten NFC-/QR-Code-Karten, Poster und Aufkleber sind in der Menge laut Leistungsübersicht jeweils einmalig enthalten, nicht jährlich. Weitere Exemplare sind nur nach gesonderter Beauftragung zubuchbar.

Lieferbegrenzung im letzten Vertragsquartal: Im letzten dreimonatigen Vertragsabschnitt eines gekündigten Vertrags werden unabhängig von vorherigen Lieferungen höchstens 200 Einladungen geliefert, jedoch nicht mehr als das verbliebene Jahreskontingent. Ein zuvor nicht ausgeschöpftes Kontingent erhöht diese Grenze nicht. Dadurch kann die Gesamtliefermenge unter dem Jahreskontingent liegen.

§ 8 Laufzeit und Kündigung

Bei Annahme der Anmeldung gilt als Vertragsbeginn das dort eingetragene Datum, andernfalls ihr Eingangsdatum bei MediEcho. Wird die Anmeldung erst nach diesem Datum angenommen, bestätigt MediEcho den rückwirkenden Beginn; für einen Zeitraum, in dem Leistungen aus von MediEcho zu vertretenden Gründen weder erbracht noch bereitgehalten wurden, fällt kein laufendes Entgelt an.

Die Erstlaufzeit beträgt zwölf Monate. Der Vertrag verlängert sich jeweils um zwölf Monate, wenn nicht spätestens drei Monate vor Laufzeitende gekündigt wird. Eine E-Mail genügt, insbesondere an beratung@medi-echo.de. Das Recht beider Parteien zur Kündigung aus wichtigem Grund bleibt bestehen. Soweit gesetzlich erforderlich, muss zuvor eine angemessene Abhilfefrist erfolglos verstreichen oder eine Abmahnung erfolgen.

§ 9 Vertragsende und Daten

Mit Vertragsende enden Betreuung und Dashboard-Zugang. Der Kunde kann vor Vertragsende oder innerhalb von 30 Tagen danach die manuelle Bereitstellung seiner noch vorhandenen Auftragsdaten in einem gängigen elektronischen Format verlangen. Nach Vertragsende bleibt die Bereitstellung auf Anfrage möglich, nicht der laufende Betrieb. Frühere Löschanweisungen und gesetzliche Löschpflichten bleiben maßgeblich.

Für Rückgabe und Löschung gilt die AVV: spätestens 30 Tage nach Vertragsende bzw. früherer Rückgabe werden Auftragsdaten aus aktiven Systemen gelöscht, isolierte Sicherungskopien spätestens 90 Tage nach demselben Ereignis. Ein rechtzeitig angeforderter Export wird vorher bereitgestellt. Gesetzlich aufzubewahrende eigene Geschäftsunterlagen bleiben davon getrennt.

MediEcho beendet eigene Google-Zugriffsberechtigungen unverzüglich; die Praxis kann diese jederzeit entziehen. Ihr Google-Profil und dort veröffentlichte Bewertungen werden nicht allein wegen der Kündigung gelöscht. MediEcho-LaunchSites, QR-/NFC-Weiterleitungen, gehostete MediWertung-Profile und Bewertungssiegel werden nicht weiterbetrieben. Der Kunde entfernt entsprechende Einbindungen und verwendet Materialien mit diesen Diensten nicht weiter. Ein dauerhafter Betrieb oder eine Weiterleitung nach Vertragsende ist nicht geschuldet.

§ 10 Technische Änderungen und Sperrung

Externe Schnittstellen, Plattformregeln und Datenquellen können sich ändern. MediEcho informiert über erhebliche Beeinträchtigungen und bemüht sich um eine zumutbare gleichwertige Lösung. Vereinbarte Kernleistungen dürfen dadurch nicht beliebig entfallen; gesetzliche Minderungs-, Kündigungs- und sonstige Leistungsrechte bleiben bestehen.

Bei akuter Gefahr für Daten oder Systeme oder offensichtlich rechtswidriger Nutzung darf MediEcho betroffene Zugriffe im erforderlichen Umfang vorübergehend sperren und informiert den Kunden unverzüglich. Sonstige Pflichtverletzungen oder Zahlungsverzug berechtigen erst nach erfolgloser angemessener Abhilfefrist und vorheriger Androhung zu einer verhältnismäßigen Sperrung. Sie wird aufgehoben, sobald ihr Grund entfällt. Daten werden nicht als Sanktion gelöscht.

§ 11 Haftung

MediEcho haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei schuldhafter Verletzung von Leben, Körper oder Gesundheit, bei übernommener Garantie oder arglistigem Verschweigen eines Mangels sowie nach dem Produkthaftungsgesetz und sonstigem zwingenden Recht.

Bei einfacher Fahrlässigkeit haftet MediEcho nur bei Verletzung einer wesentlichen Vertragspflicht, auf deren Erfüllung der Kunde zur ordnungsgemäßen Vertragsdurchführung regelmäßig vertrauen darf. Die Haftung ist dann auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Im Übrigen ist die Haftung für einfache Fahrlässigkeit ausgeschlossen. Diese Regelung gilt für alle Schadensersatzansprüche und entsprechend zugunsten der gesetzlichen Vertreter, Mitarbeitenden und Erfüllungsgehilfen.

Dieselben Maßstäbe gelten insbesondere für Systemfehler, falsche Weiterleitungen, Datenverlust, Einladungstexte und Unterstützung bei Kritik. Es gibt daneben keine pauschalen Haftungsausschlüsse für diese Leistungen. Fremde Patientenbewertungen und eigenständige Plattformentscheidungen werden MediEcho nicht allein wegen ihrer Einbindung zugerechnet; eigenes Auswahl-, Organisations- oder Leistungsverschulden wird nach den vorstehenden Regeln beurteilt.

Der Kunde sichert ihm bereitgestellte, für ihn wichtige Exporte und Unterlagen im zumutbaren Umfang. Eigene Datensicherungs- und Schutzpflichten von MediEcho bleiben bestehen. Ein Mitverschulden richtet sich nach dem Gesetz. Zwingende Ansprüche betroffener Personen, insbesondere nach Art. 82 DSGVO, werden nicht eingeschränkt.

§ 12 Freistellung bei Ansprüchen Dritter

Der Kunde stellt MediEcho von berechtigten Ansprüchen Dritter frei, soweit sie auf einer von ihm zu vertretenden Verletzung seiner Vertragspflichten oder von Rechten Dritter beruhen, insbesondere durch rechtswidrige Kundeninhalte, unzulässige Patientenansprache, unbefugte Datenübermittlung oder Veröffentlichung. Die Freistellung umfasst erforderliche, angemessene Rechtsverteidigungskosten, auch zur Abwehr unbegründeter Ansprüche, soweit die Inanspruchnahme durch eine solche Pflichtverletzung verursacht wurde. Eine eigene Mitverursachung von MediEcho ist entsprechend ihrem Anteil zu berücksichtigen.

MediEcho informiert unverzüglich, ermöglicht die Mitwirkung an der Abwehr und stimmt kostenwirksame Maßnahmen ab, soweit Eilbedürftigkeit nicht entgegensteht. Der Kunde stellt erforderliche Informationen bereit. Anerkenntnisse und Vergleiche zulasten des Kunden bedürfen seiner Zustimmung, die nicht unbillig verweigert werden darf. Die Freistellung begründet keine verschuldensunabhängige Haftung des Kunden für Fehler von MediEcho.

§ 13 Datenschutz und KI

Die Verarbeitung personenbezogener Daten im Auftrag der Praxis richtet sich nach der beigefügten AVV. Für eigene Vertrags- und Kontaktdatenverarbeitung gelten die beigefügten Datenschutzhinweise. Jede Partei erfüllt ihre gesetzlichen Pflichten. Die Praxis verantwortet die Rechtsgrundlagen, erforderlichen Patienteninformationen und die rechtmäßige Erteilung von Weisungen; MediEcho seine eigenen Auftragsverarbeiterpflichten.

Direktes Patientenfeedback wird nicht an KI-Anbieter weitergegeben. Für die KI-Verarbeitung von Bewertungen werden nur erforderliche Texte, keine gesonderten Bewertendennamen oder Profilkennungen übermittelt. Personenbezüge im Text bleiben gesondert zu berücksichtigen. Personenbezogene Inhalte dürfen nur an Anbieter übermittelt werden, für die der konkrete Datenfluss einschließlich erforderlicher AV-Verträge und Übermittlungsgarantien abgesichert ist. Dies ist keine Erlaubnis, vereinbarte Leistungen ohne Ausgleich auf unbestimmte Zeit auszusetzen.

Kundenübergreifende Benchmarks dürfen ausschließlich auf tatsächlich anonymisierten, zusammengefassten Kennzahlen beruhen, nicht auf identifizierbaren Bewertungstexten oder internem Patientenfeedback. Die AVV regelt die vorgelagerte Aufbereitung. Eine Nutzung personenbezogener Auftragsdaten zum eigenen Modelltraining ist nicht gestattet.

§ 14 Gebietsschutz und Aufrechnung

Gebietsschutz ist nur bei ausdrücklicher Vereinbarung enthalten; dann gelten deren Umfang und Dauer. Der Kunde darf mit unbestrittenen oder rechtskräftig festgestellten Forderungen sowie mit Gegenansprüchen aus demselben Vertragsverhältnis aufrechnen. Gesetzliche Zurückbehaltungsrechte bleiben bestehen.

§ 15 Änderungen

Änderungen von Preisen, Hauptleistungen und diesen Vertragsbedingungen bedürfen einer Vereinbarung. Schweigen gilt bei solchen Vertragsänderungen nicht als Zustimmung; die Beitragsfreigabe nach § 5 ist davon getrennt. Technische Weiterentwicklungen sind zulässig, soweit der vereinbarte Leistungsumfang erhalten bleibt und dem Kunden keine unzumutbaren Nachteile entstehen. Für Unterauftragnehmer gilt das gesonderte Verfahren der AVV.

§ 16 Schlussbestimmungen

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts; zwingende gesetzliche Vorschriften bleiben unberührt. Ausschließlicher Gerichtsstand ist der Sitz von MediEcho, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder eine Vereinbarung sonst gesetzlich zulässig ist. Im Übrigen gelten die gesetzlichen Gerichtsstände. Bei unwirksamen Bestimmungen treten die gesetzlichen Regelungen an ihre Stelle; der übrige Vertrag bleibt nach Maßgabe des Gesetzes bestehen.

Vereinbarung nach Art. 28 DSGVO zwischen der in der Anmeldung bezeichneten Praxis bzw. Einrichtung als Verantwortlichem und der Medi-Echo GmbH, Robert-Bosch-Straße 32 A, 63303 Dreieich, als Auftragsverarbeiter. Sie wird mit der Anmeldung angeboten und mit deren Annahme geschlossen; eine weitere Unterschrift ist nicht erforderlich.

§ 1 Gegenstand und Dauer

Gegenstand ist die personenbezogene Datenverarbeitung für die gebuchten MediEcho-Leistungen: Erhebung und Abruf öffentlicher Bewertungen, Speicherung, Zuordnung, Analyse und Anzeige im Praxisdashboard, KI-gestützte Textanalyse und Antwortvorbereitung, Erstellung und Freigabeverwaltung praxisbezogener Beiträge, autorisierte Profilverwaltung und Veröffentlichung sowie Entgegennahme und Anzeige direkten Patientenfeedbacks. Nicht gebuchte oder als „In Planung“ bezeichnete Funktionen werden nicht allein durch diese AVV beauftragt.

Die Verarbeitung dauert während des Hauptvertrags und der anschließenden Rückgabe und Löschung an. Sie umfasst Erheben, Ordnen, Speichern, Auswerten, Bereitstellen, Berichtigung und Löschung sowie auf Weisung Übermittlung oder Veröffentlichung.

§ 2 Betroffene Personen und Datenarten

Betroffen sind Bewertende und Feedbackgebende, in Texten erwähnte Personen sowie Praxisinhaber, Behandler, Ansprechpartner und berechtigte Mitarbeitende. Verarbeitet werden öffentliche Bewertendennamen, Bewertungstexte und -noten, Quellen- und Zeitangaben, gegebenenfalls Quellenkennungen, Antwort- und Beitragsentwürfe, Praxis- und Profildaten sowie Berechtigungsinformationen und Freigabestatus mit Zeitangaben.

Direktes Feedback umfasst freiwilligen Text, gegebenenfalls Zufriedenheitsangaben und den Zeitstempel. Ein Name wird dabei nicht abgefragt. Dennoch können Inhalt oder zeitlicher Zusammenhang einen Personenbezug ermöglichen. Technisch anfallende Zugriffs- und Sitzungsdaten werden nur im für Betrieb und Sicherheit erforderlichen Umfang verarbeitet und vor Aktivierung im Datenflussverzeichnis konkretisiert.

Texte können besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsangaben, enthalten. Sie werden nicht pauschal als anonym behandelt. Krankenakten, Patientenlisten, Diagnosedokumente und andere nicht erforderliche Behandlungsunterlagen sind nicht Gegenstand dieses Auftrags.

§ 3 Weisungen und Rechtmäßigkeit

MediEcho verarbeitet ausschließlich auf dokumentierte Weisung der Praxis, einschließlich dieser AVV, vereinbarter Einstellungen und nachfolgender Weisungen per E-Mail an beratung@medi-echo.de. Weisungsberechtigt ist die vertretungsberechtigte Person oder ein von ihr benannter Ansprechpartner. Gesetzlich vorgeschriebene Verarbeitungen werden vorab mitgeteilt, soweit dies rechtlich zulässig ist.

Die Praxis prüft Rechtsgrundlagen, Informationspflichten und gegebenenfalls erforderliche Einwilligungen, insbesondere bei Gesundheitsangaben. MediEcho informiert unverzüglich über nach seiner Auffassung rechtswidrige Weisungen und setzt deren betroffenen Teil bis zur Klärung aus. Erkennbare unzulässige Datenübermittlungen sind zu unterbinden. Gesetzliche Mitwirkungspflichten und Leistungsrechte bleiben unberührt.

§ 4 Besondere Datenbegrenzungen

Direktes Patientenfeedback bleibt im Praxisdashboard und wird weder an KI-Anbieter übermittelt noch für Benchmarks verwendet. Zur Bewertungsanalyse erhalten KI-Anbieter nur erforderliche Bewertungstexte, keine gesonderten Bewertendennamen oder Profilkennungen. Zur Beitragserstellung werden erforderliche Praxisinformationen und Arbeitsanweisungen verarbeitet; nicht erforderliche Personen- oder Gesundheitsangaben sind ausgeschlossen. Identifizierende oder sensible Inhalte im Text müssen vor Übermittlung entfernt werden, soweit sie nicht für einen konkret rechtmäßig abgesicherten Verarbeitungszweck erforderlich und vom Anbieter-Vertrag erfasst sind. Bloßes Weglassen des Namens ist keine Anonymisierung.

Die Praxis weist MediEcho an, im Rahmen der Auswertung auch anonyme statistische Kennzahlen bilden zu dürfen. Kundenübergreifend verwendet werden dürfen erst Ergebnisse, die unter Berücksichtigung vernünftigerweise verfügbarer Mittel keine Rückschlüsse auf Personen oder einzelne Praxen zulassen. Keine Originaltexte, individuellen Textausschnitte, Namen oder Einzelbewertungen; zu kleine Gruppen werden unterdrückt oder zusammengefasst. Die Anonymisierung selbst bleibt Auftragsverarbeitung und setzt eine zulässige Ausgangsverarbeitung voraus. Personenbezogene Daten werden nicht für eigene Werbung, Handel oder Modelltraining genutzt.

§ 5 Sicherheit, Vertraulichkeit und Unterstützung

MediEcho setzt vor der jeweiligen Verarbeitung die in Anlage 1 vereinbarten Schutzmaßnahmen um, erhält sie aufrecht und passt sie an das Risiko an. Das Schutzniveau darf nicht abgesenkt werden. Zugriffsberechtigte Personen werden zur Vertraulichkeit verpflichtet. Soweit Berufsgeheimnisse betroffen sind, umfasst dies die erforderliche Verpflichtung mitwirkender Personen nach § 203 StGB, auch entlang der Dienstleisterkette.

MediEcho unterstützt die Praxis nach Art der Verarbeitung und verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzung und Behördenkonsultationen. Betroffenenanfragen werden unverzüglich weitergeleitet und nur auf Weisung oder bei gesetzlicher Pflicht selbst beantwortet.

Datenschutzverletzungen meldet MediEcho unverzüglich mit verfügbaren Angaben zu Art, betroffenen Daten und Personen, Folgen, Kontakt und Abhilfemaßnahmen. Fehlende Angaben werden nachgereicht, ohne die Erstmeldung zu verzögern. MediEcho unterstützt Eindämmung, Dokumentation und Meldungen der Praxis.

§ 6 Unterauftragnehmer und Auslandsverarbeitung

Die Praxis genehmigt die Anbieter der Anlage 2 in deren Umfang und unter deren Einsatzvoraussetzungen. Vor Datenzugriff muss MediEcho einen wirksamen Vertrag mit den erforderlichen Datenschutzpflichten schließen bzw. dessen Einbeziehung dokumentieren. Die Genehmigung ersetzt weder diesen Vertrag noch die Datenflussprüfung.

Neue oder ausgetauschte Anbieter teilt MediEcho mindestens 30 Tage vor Einsatz mit Identität, Aufgabe, Datenarten, Orten und Transfergarantien in Textform mit. Die Praxis kann binnen dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Der neue Zugriff unterbleibt bis zur Klärung. Ohne zumutbare Alternative kann jede Partei den betroffenen Leistungsteil, bei Untrennbarkeit den Vertrag, zum Änderungszeitpunkt beenden. Nicht erbrachte, vorausbezahlte Leistungen werden erstattet.

Außerhalb des EWR müssen zusätzlich Art. 44 ff. DSGVO erfüllt sein. MediEcho dokumentiert Transfergarantien, erforderliche Prüfungen und ergänzende Maßnahmen und bleibt der Praxis für die Datenschutzpflichten seiner Unterauftragnehmer verantwortlich.

§ 7 Rückgabe, Löschung und Aufbewahrung

Während der Laufzeit löscht oder berichtigt MediEcho Daten auf rechtmäßige Weisung; nicht mehr erforderliche personenbezogene Inhalte sind zu löschen. Eine pauschale zehnjährige Aufbewahrung aller Bewertungen und Feedbacks wird nicht vereinbart. Die Praxis kann einen Export auf Anfrage in einem gängigen elektronischen Format erhalten.

Nach Vertragsende werden nach Wahl der Praxis sämtliche Auftragsdaten zurückgegeben und vorhandene Kopien gelöscht oder unmittelbar gelöscht. Die Praxis kann ihre Wahl vor Vertragsende oder binnen 30 Tagen danach mitteilen. Ohne andere rechtzeitige Weisung gilt die Löschung als angewiesen. Sie erfolgt in aktiven Systemen spätestens 30 Tage nach Vertragsende; bei früherer Rückgabe spätestens 30 Tage nach dieser. Ein rechtzeitig angeforderter Export wird unverzüglich vor der Löschung bereitgestellt. Unions- oder mitgliedstaatliche gesetzliche Aufbewahrungspflichten bleiben ausgenommen.

Die Frist für isolierte Sicherungskopien beträgt höchstens 90 Tage ab Vertragsende bzw. früherer Rückgabe. Bis dahin werden sie gesperrt, nicht anderweitig genutzt und nur für eine erforderliche Wiederherstellung zugänglich. Bei Wiederherstellung werden Löschanweisungen erneut angewandt. MediEcho bezieht Unterauftragnehmer ein und bestätigt den Abschluss auf Anfrage. Gesetzlich aufbewahrungspflichtige Daten werden zweckgebunden gesperrt und nach Fristablauf gelöscht. Vertraulichkeit und Schutzpflichten gelten bis zur vollständigen Löschung fort.

§ 8 Nachweise und Kontrolle

MediEcho weist die Einhaltung der AVV durch erforderliche Informationen nach und ermöglicht Prüfungen und Inspektionen durch die Praxis oder einen verpflichteten Prüfer. Geeignete Nachweise werden vorrangig genutzt, ersetzen aber nicht das Prüfungsrecht. Prüfungen werden mit angemessenem Vorlauf, bei begründetem Anlass kurzfristig, koordiniert. Rechte anderer Kunden und Betriebsgeheimnisse sind zu schützen. Behördenrechte bleiben unberührt.

Diese AVV einschließlich Anlagen 1 und 2 ist Bestandteil der Anmeldung. Erforderliche datenschutzrechtliche Unterstützung und ein regulärer Datenexport sind nicht von einer zusätzlichen Buchung abhängig. Anfragen und Weisungen: beratung@medi-echo.de, Telefon 06103 502 7117.

Anlage 1 zur AVV · Verbindliche Mindestmaßnahmen für die jeweilige Auftragsverarbeitung. Die Umsetzung ist vor deren Beginn sicherzustellen und intern zu dokumentieren; diese Anlage ist kein Zertifikat über bereits geprüfte Systeme.

1. Zuständigkeit und Vertraulichkeit

MediEcho benennt intern eine verantwortliche Person für Datenschutzanfragen und Sicherheitsvorfälle. Personen mit Datenzugriff werden vorab zur Vertraulichkeit und, soweit erforderlich, zum Schutz von Berufsgeheimnissen verpflichtet und zu ihren Aufgaben unterwiesen.

2. Zutritt und Zugang

Server werden bei vertraglich gebundenen Hosting-Anbietern betrieben. Administrative Zugriffe sind auf erforderliche Personen zu begrenzen und durch individuelle Konten, starke Zugangsdaten und Mehrfaktor-Authentifizierung zu sichern. Endgeräte mit Zugriff werden gegen unbefugte Nutzung geschützt und gesperrt; ausscheidenden Berechtigten wird der Zugriff entzogen.

3. Berechtigungen und Mandantentrennung

Eine Praxis erhält nur Zugriff auf ihre eigenen Auftragsdaten. Rollen und Berechtigungen folgen dem Erforderlichkeitsprinzip. Die Trennung der Praxiskonten ist vor Freischaltung und bei relevanten Änderungen zu prüfen. Supportzugriffe werden auf den notwendigen Umfang beschränkt; sensible administrative Änderungen sind nachvollziehbar zu dokumentieren.

4. Übermittlung und Speicherung

Dashboard- und API-Verbindungen mit personenbezogenen Inhalten werden transportverschlüsselt. Geheimnisse, API-Schlüssel und Zugangsdaten sind gegen unbefugten Zugriff geschützt und nicht öffentlich im Quellcode abzulegen. Datenspeicher und Sicherungen sind durch Zugriffsbegrenzung sowie risikogerechte Verschlüsselung zu schützen. Übermittlungen werden auf notwendige Daten begrenzt.

5. Datensicherung und Wiederherstellung

Auftragsdaten werden regelmäßig gesichert; Sicherungen sind vor unbefugtem Zugriff und gemeinsamem Ausfall mit den Produktivdaten zu schützen. Wiederherstellungsmöglichkeiten werden regelmäßig geprüft. Löschfristen gelten auch für Sicherungen; gelöschte Inhalte dürfen bei einer Wiederherstellung nicht dauerhaft erneut produktiv werden.

6. Aktualisierung und Sicherheitsvorfälle

Sicherheitsaktualisierungen werden risikogerecht zeitnah installiert. Erkannte Schwachstellen und unzulässige Zugriffe werden untersucht, eingedämmt und dokumentiert. Ein interner Meldeweg stellt die unverzügliche Information der Praxis nach der AVV sicher. Schutzmaßnahmen werden regelmäßig und anlassbezogen überprüft.

7. Datenminimierung und KI

Direktes Patientenfeedback bleibt außerhalb der KI-Verarbeitung. Gesonderte Bewertendennamen und Profilkennungen werden nicht an KI-Anbieter gesendet. Texte werden auf unnötige Personen- und Gesundheitsangaben begrenzt. Eine personenbezogene KI-Verarbeitung setzt einen für diesen Datenfluss geeigneten Anbieter-Vertrag voraus. Eine Nutzung von Auftragsdaten zum Modelltraining wird nicht freigegeben.

8. Löschung und Dienstleisterkontrolle

MediEcho führt eine aktuelle Übersicht der Datenflüsse, Speicherorte, Berechtigten, Unterauftragnehmer und Löschabläufe. Die Fristen aus AVV § 7 werden technisch oder durch dokumentierte manuelle Abläufe umgesetzt. Vor dem Einsatz eines Dienstleisters werden Vertragsgrundlage, Schutzmaßnahmen und gegebenenfalls Drittlandgarantien geprüft. Eine Anbieteränderung folgt AVV § 6.

Anlage 2 zur AVV · Genehmigter Anbieterkreis mit Einsatzvoraussetzungen. Die Aufnahme ersetzt keine Anbieter-AVV und bestätigt keine bereits abgeschlossene technische oder rechtliche Prüfung.

IONOS SE · Hosting

Elgendorfer Straße 57, 56410 Montabaur, Deutschland; info@ionos.de · Betrieb von Servern und Datenspeichern für Praxisdashboard und Auftragsdaten einschließlich Bewertungen und Feedback. Nur die im Hosting-Vertrag dokumentierten und vor Beginn der Praxis mitgeteilten Verarbeitungsorte sind umfasst. Erforderlich sind die für das konkrete Produkt geltende AVV und die Umsetzung der Anlage 1. Vertragsinformationen: ionos.de/terms-gtc.

STRATO GmbH · Hosting

Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland · Betrieb von Servern und Datenspeichern im gleichen sachlichen Umfang. Erforderlich sind die produktbezogene AVV und die Dokumentation der tatsächlichen Speicher- und Zugriffsorte. Kontakt: impressum@strato.de; strato.de/impressum.

OpenAI Ireland Ltd. · KI-Analyse, Antwort- und Beitragsentwürfe

1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland; Kontakt: help.openai.com · Verarbeitung erforderlicher Bewertungstexte, Praxisinformationen und Arbeitsanweisungen für Analysen, Antwort- und Beitragsentwürfe; kein direktes Patientenfeedback, keine gesonderten Bewertendennamen oder Profilkennungen. Vertragsgrundlage: OpenAI-DPA. Weitere Empfänger und Länder: OpenAI-Unterauftragnehmerliste. Auch Verarbeitung außerhalb des EWR, insbesondere in den USA, ist möglich; eine EU-only-Verarbeitung wird nicht zugesagt.

Voraussetzungen: Dokumentation der geltenden Kontoverträge, eingesetzten API-Funktionen, Speicherfristen und Transfergarantien. Personenbezogene Gesundheitsangaben dürfen nur übermittelt werden, wenn die konkrete Verarbeitung rechtmäßig und vom Anbieter-Vertrag erfasst ist; andernfalls sind sie vorab wirksam zu entfernen oder die Übermittlung muss unterbleiben. Eine Trainingsfreigabe wird nicht erteilt.

HasData · Abruf öffentlicher Bewertungen

Öffentlicher Anbieterauftritt: HasData.com, Mariano Vanderhorst, Las Terrenas 32000, Dominikanische Republik; privacy@hasdata.com. Aufgabe: Abruf öffentlicher Bewertungstexte, -noten, Bewertendennamen und Quellenangaben. Laut Anbieter sind Verarbeitungen unter anderem in der Dominikanischen Republik und den USA möglich. Informationen: hasdata.com/privacy-policy.

Die Genehmigung wird erst wirksam, wenn MediEcho der Praxis den vollständigen rechtlichen Vertragspartner, dessen Kontakt und den konkreten Datenfluss mit Verarbeitungsorten mitgeteilt hat und eine geeignete AVV einschließlich erforderlicher Drittlandgarantien nachgewiesen ist. Bis dahin ist diese Eintragung keine Freigabe für personenbezogene Auftragsdaten.

Weitere Anbieter und Änderungen

TypeSafe/Jev, SerpAPI, Bright Data und Hostnet sind in dieser Fassung nicht als Unterauftragnehmer für personenbezogene Auftragsdaten genehmigt. Ihr späterer Einsatz erfordert das Verfahren nach AVV § 6. Die vollständigen Identitäts- und Kontaktangaben sowie Informationen über nachgelagerte Unterauftragnehmer und tatsächliche Verarbeitungsorte stellt MediEcho vor dem jeweiligen Einsatz und auf Anfrage bereit. Reine Bewertungsportale sind nicht allein durch eine Verlinkung Unterauftragnehmer; für deren eigene Verarbeitung gelten ihre Datenschutzinformationen.

Informationen nach Art. 13/14 DSGVO für Praxisinhaber, Ansprechpartner, Kontoinhaber und berechtigte Teammitglieder. Sie gelten für Anmeldung und Vertragsbetreuung, nicht als vollständige Datenschutzerklärung für alle Websites oder für Patienten.

Verantwortlicher und Kontakt

Medi-Echo GmbH, Robert-Bosch-Straße 32 A, 63303 Dreieich. E-Mail: beratung@medi-echo.de; Telefon: 06103 502 7117. Datenschutzanfragen können über diese Kontaktdaten gestellt werden.

Daten, Herkunft und Zwecke

Wir verarbeiten Anmelde- und SEPA-Angaben, geschäftliche Kontakt-, Praxis-, Vertrags- und Zahlungsdaten sowie notwendige Korrespondenz und Benutzerangaben. Quellen sind Sie, Ihre Praxis und beauftragte Personen, ergänzend öffentliche Praxisverzeichnisse und Ihre Website. Zwecke sind Vertragsanbahnung, Durchführung, Abrechnung, Zugangsverwaltung, Betreuung, Nachweis von Vereinbarungen und gesetzliche Pflichten. Die Unterschrift ist keine Werbeeinwilligung.

Rechtsgrundlagen

Bei natürlichen Personen als Vertragspartner ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich. Für geschäftliche Ansprechpartner und Mitarbeitende sowie die Verwaltung einer beauftragenden Gesellschaft stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an einer geordneten Geschäftsbeziehung, Kommunikation und sicheren Berechtigungsverwaltung. Steuer- und handelsrechtliche Pflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Erforderliche Anspruchsverfolgung und Missbrauchsabwehr beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Empfänger und Auslandsübermittlungen

Zugriff erhalten zuständige Beschäftigte sowie im erforderlichen Umfang gebundene Hosting- und IT-Dienstleister. Zahlungsdaten gehen an beteiligte Banken und Zahlungsstellen; erforderliche Unterlagen an Steuerberatung, gegebenenfalls Rechtsberatung und zuständige Behörden. Diese Informationen erlauben keine pauschale Weitergabe der Anmeldedaten an KI-Anbieter. Eine Übermittlung dieser Vertragsdaten außerhalb des EWR erfolgt nur bei Vorliegen einer gesetzlichen Übermittlungsgrundlage; Informationen zu konkreten Empfängern und Garantien erhalten Sie auf Anfrage.

Speicherdauer

Wir speichern Daten für die Vertragsdurchführung und anschließend nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung bzw. Abwehr von Ansprüchen dies erfordern. Maßgeblich sind die jeweils einschlägigen steuer- und handelsrechtlichen Fristen sowie die Verjährung konkreter Ansprüche. Nicht mehr erforderliche Kontakt- und Zugangsberechtigungen werden gelöscht bzw. aufgehoben. Für im Auftrag verarbeitete Bewertungs- und Feedbackdaten gelten gesondert die AVV und die Weisungen der Praxis, nicht pauschal die Fristen für Rechnungsunterlagen.

Ihre Rechte und Widerspruch

Nach Maßgabe der DSGVO haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Bei einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Gegen Direktwerbung ist ein Widerspruch jederzeit ohne Begründung möglich. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit: datenschutz.hessen.de.

Bereitstellung und Abgrenzung

Erforderliche Vertrags-, Kontakt- und Zahlungsangaben werden für Abschluss und Durchführung benötigt; ohne sie ist dies gegebenenfalls nicht möglich. Freiwillige Angaben sind gekennzeichnet. Es gibt keine ausschließlich automatisierte Entscheidung über den Vertragsabschluss. Für Patientendaten im Auftrag ist die Praxis verantwortlich; MediEcho unterstützt nach der AVV.