Was regelt der DSGVO-AV-Vertrag mit PARITY-Software?
Was regelt der DSGVO-AV-Vertrag mit PARITY-Software?
Der Auftragsverarbeitungsvertrag (AV-Vertrag) hält fest, dass Du als Mandant „Verantwortlicher" im Sinne der DSGVO bleibst und PARITY-Software die Daten nur in Deinem Auftrag verarbeitet (Auftragsverarbeiter, Art. 28 DSGVO). Kurz zusammengefasst regelt er:
- Wer was darf: Du bestimmst, was mit den Daten passiert; PARITY verarbeitet sie weisungsgebunden in Deinem Auftrag.
- Welche Dienstleister PARITY einsetzt und welche Daten an sie fließen — verbindlich aufgelistet.
- Welche Schutzmaßnahmen gelten (technisch-organisatorische Maßnahmen).
Den AV-Vertrag schließt PARITY mit Dir vor jeder produktiven Nutzung ab. Alle Mandanten-Daten bleiben dabei in der EU.
Überblick
PARITY.med verarbeitet personenbezogene Daten Deiner Kunden, Lieferanten und Mitarbeiter — Namen, Adressen, Bankverbindungen, im Fachhandel Medizinprodukte-Kontext zusätzlich Versicherten-Nummern und Hilfsmittel-Informationen. Diese Verarbeitung erfolgt in Deinem Auftrag als Mandant. Du bleibst „Verantwortlicher" im Sinne der DSGVO, PARITY-Software ist Auftragsverarbeiter.
Das regelt Art. 28 DSGVO. Pflichtinstrument ist ein Auftragsverarbeitungsvertrag (AV-Vertrag) zwischen Dir und PARITY-Software. Er hält genau fest, wer was darf und wie weitere Dienstleister eingebunden werden. PARITY schließt ihn mit Dir vor jeder produktiven Nutzung ab.
Dieser Artikel erklärt, was im AV-Vertrag steht und welche weiteren Dienstleister PARITY.med einsetzt.
Wer ist was im DSGVO-Sinne?
| Rolle | Wer? | Verantwortung |
|---|---|---|
| Verantwortlicher | Du / Dein Fachhandel Medizinprodukte | Bestimmt, welche Daten verarbeitet werden, holt Einwilligungen ein, ist gegenüber Patienten und Kunden auskunftspflichtig |
| Auftragsverarbeiter | PARITY-Software GmbH | Speichert und verarbeitet Daten in Deinem Auftrag, weisungsgebunden, mit technisch-organisatorischen Maßnahmen (TOMs) |
| Sub-Auftragsverarbeiter | Hetzner, Brevo (übergangsweise), Microsoft (für System-Alarme der PARITY-Betriebsmannschaft) | Stellen Infrastruktur bereit, in die PARITY-Daten fließen — sind PARITY gegenüber weisungsgebunden |
Welche Daten gehen an welchen Dienstleister?
1. Die PARITY.med-Plattform selbst (Hetzner, EU)
Dienstleister: Hetzner Online GmbH (Gunzenhausen, Bayern, Deutschland)
Was liegt dort: die gesamte Anwendung Deines Mandanten — Deine Geschäftspartner, Aufträge, Rechnungen, Rezepte und Lagerdaten, die zugehörige Datenbank, die Anmeldedaten Deiner Mitarbeiter (Passwörter ausschließlich verschlüsselt gespeichert), Datei-Anhänge wie PDFs und Exporte sowie System-Protokolle (mit IP-Adressen und Benutzer-Kennungen für Nachvollziehbarkeit).
AV-Status: Hetzner ist ein deutscher Anbieter mit Rechenzentren ausschließlich in der EU (Falkenstein, Nürnberg, Helsinki). Hetzners Standard-AV-Vertrag deckt die Verarbeitung ab. PARITY hat ihn unterzeichnet, Du musst dazu nichts tun. Keine Übermittlung in ein Drittland.
2. E-Mail-Versand (übergangsweise Brevo, langfristig selbst gehostet)
Aktueller Dienstleister: Brevo (Paris, Frankreich)
Welche E-Mails laufen über Brevo: Bestätigungsmails zur Registrierung, Mitarbeiter-Einladungen, Rechnungen und Mahnungen sowie technische Rückmeldungen darüber, ob eine Mail zugestellt werden konnte oder zurückkam (damit PARITY gesperrte Adressen pflegen kann).
Was Brevo sieht: die Empfänger-Adresse, den Betreff, den Mail-Inhalt und die Anhänge (zum Beispiel PDF-Rechnungen). Keine Patientendaten in strukturierter Form — sie kommen allenfalls als PDF-Anhang in einer Rechnung vor, nicht als gesondert auswertbarer Datensatz.
AV-Status: Brevo ist ein französischer Anbieter mit Rechenzentren in Frankreich. Der AV-Vertrag steht bei Brevo bereit, PARITY hat ihn unterzeichnet. Keine Übermittlung in ein Drittland.
Geplante Umstellung: PARITY baut parallel einen eigenen, selbst gehosteten Mail-Versand auf eigener Infrastruktur auf. Sobald dieser einen guten Versand-Ruf aufgebaut hat (etwa drei bis sechs Monate nach dem Pilot-Start), wird der Versand darauf umgestellt. Dann entfällt Brevo als Dienstleister komplett — alle Daten bleiben dann in der PARITY-eigenen Infrastruktur.
3. Backups (Hetzner, EU)
Dienstleister: Hetzner Online GmbH
Was wird gesichert: verschlüsselte Sicherungen der Datenbank. Der Schlüssel liegt ausschließlich bei PARITY — Hetzner sieht nur verschlüsselte Daten, keine lesbaren Inhalte.
AV-Status: identisch zur Plattform bei Hetzner; der Standard-AV-Vertrag deckt auch den Backup-Speicher ab.
4. System-Überwachung (Alarme an die PARITY-Betriebsmannschaft — kein Mandanten-Datenfluss)
Was kommt dazu: Die PARITY.med-Betriebsmannschaft bekommt System-Alarme über Microsoft Teams. Diese Alarme enthalten keine Mandanten-Daten — nur technische Health-Werte, etwa Hinweise auf einen Rückstau in der Verarbeitung oder eine erhöhte Fehlerrate.
AV-Status: Microsoft Teams gehört zu einem US-Konzern (Rechenzentren in der EU verfügbar, Konzernsitz USA). Da hierüber keine personenbezogenen Daten der Mandanten fließen, ist für diesen Pfad kein AV-Vertrag zwischen Dir und PARITY nötig. PARITY nutzt Teams für die eigene interne Kommunikation, die mandantenneutral ist.
Hinweis: Sobald Mandanten eigene Alarmkanäle einrichten können (geplant für eine spätere Ausbaustufe), wird das ein eigener AV-Punkt, weil dann Dein eigener Teams-Zugang eingebunden würde.
5. SEPA, DATEV, GKV §300 — was nicht an PARITY geht
Wichtig: Die SEPA-Datei, der DATEV-Export und die §300-Krankenkassen-Datei werden von PARITY.med erzeugt, aber nicht von PARITY versandt. Du erhältst die Datei und schickst sie selbst an Deine Bank, Deinen Steuerberater oder die Krankenkasse. Diese Dritten sind keine Sub-Auftragsverarbeiter von PARITY — sie sind direkte Vertragspartner von Dir.
Verlassen meine Daten die EU?
Nein. PARITY.med ist so aufgebaut, dass alle Mandanten-Daten in der EU bleiben:
- Plattform-Infrastruktur: Hetzner (Deutschland / Finnland)
- E-Mail: Brevo (Frankreich, übergangsweise) → später selbst gehostet
- Backups: Hetzner-Speicher (Deutschland / Finnland)
Es findet keine Datenübermittlung in die USA oder andere Drittländer statt, die im Licht des Schrems-II-Urteils problematisch wäre.
Einzige Ausnahme: Microsoft Teams als internes Werkzeug der PARITY-Betriebsmannschaft — dort fließen aber keine Mandanten-Daten durch. Wenn Dir das nicht reicht, melde Dich bei uns; in Härtefällen können wir einen alternativen Alarm-Pfad bereitstellen.
Was muss ich als Mandant tun?
Vor dem ersten produktiven Einsatz
- AV-Vertrag mit PARITY-Software unterzeichnen. Wir senden Dir den Standard-AV-Vertrag bei Vertragsabschluss zu. Du kannst eigene Anforderungen (zum Beispiel Kontroll-Audits oder abweichende Schutzmaßnahmen) in einer Anlage ergänzen — sprich uns dazu vor der Unterzeichnung an.
- Dienstleister-Liste prüfen. Die Liste aus diesem Artikel ist im AV-Vertrag als Anlage bindend hinterlegt. Wenn PARITY einen neuen Dienstleister hinzufügt, wirst Du mit 30 Tagen Vorlauf informiert und kannst Einspruch erheben. (Die geplante Umstellung des Mail-Versands ist ein Wechsel, kein Hinzufügen.)
- Eigene Datenschutzerklärung anpassen. Deine Datenschutzerklärung gegenüber Endkunden muss PARITY als Auftragsverarbeiter benennen — eine Vorlage stellen wir auf Wunsch bereit.
Im laufenden Betrieb
- Patienten-Auskunft (Art. 15 DSGVO): Wenn ein Patient Auskunft über seine Daten verlangt, kannst Du im Suite-Portal einen Datenexport pro Geschäftspartner ziehen (als CSV-Datei; Self-Service-Export ist geplant). Solange der Self-Service noch nicht verfügbar ist, schreib uns — wir liefern den Export per Mail.
- Patienten-Löschung (Art. 17 DSGVO): Über die Deaktivieren-Funktion setzt Du den Geschäftspartner inaktiv; das endgültige Löschen (DSGVO-Pflicht-Löschung) läuft heute über den PARITY-Support. Ein Self-Service-Pfad für die endgültige Löschung ist geplant.
- Daten-Portabilität (Art. 20 DSGVO): funktioniert wie die Auskunft — CSV-Export pro Geschäftspartner.
- Datenpanne (Art. 33 DSGVO): Wenn PARITY ein Datenleck feststellt, informieren wir Dich innerhalb von 24 Stunden (Pflicht laut AV-Vertrag), damit Du Deine eigene 72-Stunden-Meldepflicht gegenüber der Aufsichtsbehörde einhalten kannst.
Wer ist wofür verantwortlich?
| Wer? | Wofür verantwortlich? |
|---|---|
| Du (Inhaber des Fachhandels Medizinprodukte) | Patienten-Einwilligungen, eigene Datenschutzerklärung, AV-Vertrag mit PARITY abschließen, eigene Mitarbeiter zur Verschwiegenheit verpflichten, Auskunfts- und Lösch-Anfragen Deiner Patienten beantworten |
| PARITY-Software | Technisch-organisatorische Maßnahmen (Verschlüsselung, Zugriffstrennung, Backups, Nachvollziehbarkeit), Dienstleister sauber unterhalten, Datenpannen innerhalb von 24 Stunden an Dich melden, fristgerechte Löschung bei Vertragsende |
| Hetzner / Brevo / Microsoft | DSGVO-konforme Bereitstellung der jeweiligen Infrastruktur, AV-Vertrag mit PARITY |
FAQ
F: Wer ist der Datenschutzbeauftragte von PARITY-Software?
A: Kontakt: info@parity-software.com. Der konkrete Name wird im Vertrag als Anlage genannt; einen Wechsel innerhalb der Vertragslaufzeit teilen wir per Mail mit.
F: Wo finde ich den AV-Vertrag?
A: Bei Vertragsabschluss schicken wir ihn als PDF zur Unterschrift. Die unterschriebene Version liegt bei PARITY und bei Dir. Im Suite-Portal gibt es noch keinen Download-Bereich für vertragliche Dokumente — eine Seite mit Download-Link der aktuellen Vertrags-PDFs ist geplant.
F: Müssen meine Mitarbeiter eine Schweigepflichtserklärung unterschreiben?
A: Aus PARITY-Sicht nicht — PARITY-Mitarbeiter, die im Support-Fall an Deinen Daten arbeiten, sind über ihren Arbeitsvertrag zur Verschwiegenheit verpflichtet (im AV-Vertrag dokumentiert). Deine eigenen Mitarbeiter im Mandanten musst Du nach Deinen internen Prozessen verpflichten — das ist Dein Hoheitsbereich.
F: Werden meine Daten zum Trainieren von KI-Modellen genutzt?
A: Nein. PARITY-Software trainiert keine KI-Modelle auf Mandanten-Daten. Der Coding-Assistent, der während der Entwicklung von PARITY.med eingesetzt wird, sieht keine Produktiv-Daten.
F: Was passiert bei Vertragsende?
A: Vertragsende bedeutet das Ende der Auftragsverarbeitung. Du hast 30 Tage für einen finalen, vollständigen Datenexport. Danach werden alle Daten Deines Mandanten DSGVO-konform gelöscht — einschließlich der Backups, die so terminiert sind, dass sie innerhalb dieser Frist automatisch verfallen.
F: Was ist mit Protokollen/Logs?
A: Die System-Protokolle enthalten Benutzer-Kennungen, Mandanten-Kennungen, IP-Adressen und aufgerufene Funktionen — also pseudonymisierte Personenbezüge. Sie werden nach 30 Tagen automatisch gelöscht. Das ist im AV-Vertrag als Schutzmaßnahme dokumentiert. Eine längere Aufbewahrung gibt es nur, wenn Du sie vertraglich vereinbarst (zum Beispiel für eigene Audit-Anforderungen).
F: Mein Rechtsanwalt verlangt zusätzliche Klauseln im AV-Vertrag — geht das?
A: Ja. Wir verhandeln Anlagen zum Standard-AV-Vertrag — typische Punkte sind erweiterte Audit-Rechte, abweichende Lösch-Fristen oder spezifische Schutzmaßnahmen (etwa für Patientendaten). Sprich uns vor der Vertragsunterzeichnung an, dann stimmen wir die Anlage gemeinsam ab.
F: Bin ich als Fachhandel Medizinprodukte besonders streng reguliert?
A: Ja, zusätzlich zur DSGVO gelten Sozialdaten-Regeln nach § 35 SGB I und § 67 SGB X. PARITY.med setzt die fachlich relevanten Anforderungen um (verschlüsselter Versand der GKV-Datei, lückenlose Nachvollziehbarkeit der §300-Abrechnung, Trennung von Patientendaten und Abrechnung). Wenn Du eine Behörden-Anfrage zu konkreten technischen Maßnahmen erhältst, melde Dich — wir liefern das Compliance-Statement schriftlich.
F: Was ist mit der elektronischen Patientenakte (ePA)?
A: Die ePA-Anbindung ist Teil der späteren Roadmap und wird über die gematik-zertifizierte Schnittstelle integriert. Bis dahin findet keine ePA-Anbindung statt — Patientendaten in PARITY.med sind klassische Datenspeicherung nach SGB V im Fachhandel Medizinprodukte-Kontext.
F: Cookies und Tracking auf der Marketing-Seite?
A: Die öffentliche Webseite nutzt keine Tracking-Cookies, kein Google Analytics, kein Facebook-Pixel. Es gibt nur einen rein technischen Cookie für die Sprachauswahl (Deutsch/Englisch). Eigene Tracking-Anforderungen auf einer eigenen Marketing-Domain wären Dein Hoheitsbereich, nicht der von PARITY.
Verwandte Themen
- Modul-Lizenzen verstehen — je nach gebuchtem Modul fließen mehr oder weniger Datenarten (zum Beispiel Versicherten-Nummern nur bei aktivem Handel-GKV-Pfad).
- Mail-Provider-Status verstehen + Bounce aufheben — zeigt, welcher Mail-Dienstleister gerade aktiv ist.
- Mitarbeiter einladen — Rollen und Berechtigungen pro Mitarbeiter; relevant für „wer darf was sehen" innerhalb Deines Mandanten.
Letzte Aktualisierung: 2026-06-26 Pflege: wird aktualisiert, sobald ein Dienstleister wechselt (Umstellung des Mail-Versands), neue Datenflüsse hinzukommen (eigene Alarmkanäle der Mandanten) oder gesetzliche Vorgaben präzisiert werden.