Der AV-Vertrag für Therapiepraxen

Sobald ein externer Dienst Patientendaten Ihrer Praxis speichert, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Diese Seite sagt, wann das zutrifft und wann nicht, was drinstehen muss – und woran Sie einen unvollständigen erkennen, bevor Sie ihn unterschreiben.

Von Achim Krämer, Entwickler von Mirwena · Stand: 8. November 2026

Diese Seite beschreibt, wie wir den AV-Vertrag für Mirwena aufgebaut haben, und nennt die Quellen dazu. Sie ist kein Rechtsrat; für Ihre Praxis entscheidet Ihr Datenschutzbeauftragter oder eine Fachanwältin.

Wann eine Praxis einen AV-Vertrag braucht – und wann nicht

Die Frage wird oft an der falschen Stelle gestellt. Es kommt nicht darauf an, wie sensibel die Daten sind oder ob Geld fließt, sondern auf eine einzige Unterscheidung: Wer entscheidet über Zweck und Mittel der Verarbeitung?

Entscheidet der Dienstleister das selbst, ist er eigener Verantwortlicher und es gibt keinen AV-Vertrag. Führt er nur aus, was die Praxis vorgibt, ist er Auftragsverarbeiter und der Vertrag ist Pflicht. Das gilt auch dann, wenn die Datenverarbeitung gar nicht der Schwerpunkt seiner Leistung ist.

Was nach Art. 28 Abs. 3 DSGVO drinstehen muss

Die Vorschrift zählt die Pflichtinhalte auf. Als Prüfliste für einen Vertrag, den Ihnen ein Anbieter vorlegt:

1. Gegenstand und Dauer. Welche Software, welche Leistung, und dass der Vertrag mit dem Hauptvertrag endet.
2. Art und Zweck der Verarbeitung. Hier gehört auch hin, was der Anbieter nicht tut – etwa keine Nutzung der Daten für eigene Analyse-, Trainings- oder Werbezwecke.
3. Art der Daten und Kreis der Betroffenen. Bei einer Therapiepraxis namentlich die Gesundheitsdaten nach Art. 9 DSGVO, feldweise aufgezählt.
4. Weisungsbindung. Verarbeitung nur auf dokumentierte Weisung, mit einem benannten Weg für Weisungen.
5. Vertraulichkeit. Alle eingesetzten Personen verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.
6. Technische und organisatorische Maßnahmen nach Art. 32 – in der Praxis als eigene Anlage, siehe unten.
7. Unterauftragsverarbeiter. Namentlich, mit Leistung und Ort der Verarbeitung, dazu eine Frist für Wechsel und ein Widerspruchsrecht.
8. Unterstützungspflichten. Bei Betroffenenanfragen nach Art. 15–22, bei Meldungen nach Art. 33/34 und bei einer Folgenabschätzung nach Art. 35.
9. Meldefrist für Datenschutzverletzungen. Die Praxis hat 72 Stunden gegenüber der Aufsicht – der Anbieter muss deutlich früher melden.
10. Löschung und Rückgabe nach Vertragsende, mit Frist, einschließlich der Sicherungskopien, und mit Bestätigung in Textform.
11. Nachweise und Kontrollen. Das Recht der Praxis, die Einhaltung zu überprüfen oder prüfen zu lassen.
12. Drittlandübermittlung. Entweder sie findet nicht statt, oder der Vertrag nennt die Garantien nach Art. 46.

Die TOM-Anlage ist der Teil, der am häufigsten fehlt

Ziffer 6 verweist auf eine Anlage, und in dieser Anlage steht, was der Anbieter tatsächlich tut. Sie ist der einzige Teil des Vertrags mit überprüfbarem Inhalt – und deshalb der, an dem sich die Spreu trennt.

Eine brauchbare Anlage ist nach Vertraulichkeit, Integrität, Verfügbarkeit und Überprüfungsverfahren gegliedert und wird konkret: welches Verfahren die Daten verschlüsselt und welche Felder, wie Passwörter gespeichert werden, wie das Rollenkonzept aussieht, in welchem Intervall gesichert wird, wann zuletzt eine Wiederherstellung getestet wurde. Eine unbrauchbare Anlage schreibt „Daten werden nach dem Stand der Technik geschützt" und ist damit eine Absichtserklärung, keine Zusicherung.

Zwei Dinge, auf die zu achten sich lohnt:

• Das Stand-Datum. Die Anlage beschreibt einen Zustand. Ist das Datum älter als die letzte größere Änderung an der Software, datiert sie ihre Aussage auf einen Tag, an dem sie so noch nicht galt.
• Was der Anbieter nicht zusichert. Ein Anbieter, der im Rechenzentrum eines Dritten hostet, hat selbst keinen Zutritt und kann zur Zutrittskontrolle nichts zusagen. Richtig ist dann ein Verweis auf den Nachweis des Rechenzentrums, mit Version und Abrufdatum – nicht eine beigelegte Momentaufnahme, die nach der nächsten Änderung still falsch wird.

Drei Fehler, die man vor der Unterschrift sieht

• Kein einziger Unterauftragnehmer genannt. Eine Cloud-Software läuft auf fremden Servern. Steht in Ziffer 7 niemand, ist der Vertrag entweder unvollständig oder der Anbieter hat seine eigene Infrastruktur nicht durchdacht.
• Offene Platzhalter. Ein Vertrag mit einem verbliebenen [Platzhalter] darf nicht hinausgehen – und wird trotzdem regelmäßig so verschickt. Das betrifft meist genau die Felder, die Arbeit machen: Sicherungsintervall, Datum des letzten Wiederherstellungstests, Firmierung des Hosters.
• Eine Haftungsklausel, die zu viel will. Sie ist eine Formularklausel und unterliegt der Inhaltskontrolle nach §§ 305 ff. BGB. Eine zu weit gefasste Begrenzung ist nicht teilweise, sondern vollständig unwirksam – dann haftet der Anbieter unbeschränkt. Das schadet am Ende beiden Seiten.

Das Muster zum Nachlesen

So sieht das Ganze ausformuliert aus. Das ist der AV-Vertrag, den eine Praxis mit uns schließt – vollständig, mit der TOM-Anlage, aber als Beispielfassung ohne die Angaben der jeweiligen Praxis.

Keine Anmeldung, keine E-Mail-Adresse. Es ist kein Blanko-Muster zum Weiterverwenden: der Text bildet ab, was diese Software tatsächlich tut – bis hin zu den 29 verschlüsselten Datenbankspalten und dem Namen des Rechenzentrums. Für einen anderen Anbieter wären die Hälfte der Angaben schlicht falsch. Als Vergleichsmaßstab für den Vertrag, den Ihnen Ihr Anbieter vorlegt, taugt er dagegen gut.

Wie wir das bei Mirwena handhaben

Der AV-Vertrag ist im Preis enthalten und wird geschlossen, bevor die Installation entsteht – ohne Signatur gibt es keine Zugänge. Unterauftragnehmer ist allein der Hoster in Deutschland; ein gesonderter E-Mail-Versanddienst kommt nicht hinzu, weil die Benachrichtigungen denselben Server verlassen, auf dem die Anwendung läuft.

Die TOM-Anlage ist gegen den Quelltext geprüft, nicht frei formuliert: welche Felder verschlüsselt sind und welche im Klartext bleiben, steht dort so, wie es in der Software steht. Deshalb gilt bei uns auch die Regel, dass eine Änderung an dieser Aufteilung die Anlage mitändert – eine Zusicherung, die der Code überholt hat, ist keine mehr.

Dazu gehört, dass jede Praxis eine eigene Datenbank mit eigenem Schlüssel bekommt. Das steht in der Anlage unter Trennungskontrolle und ist damit vertraglich zugesichert, nicht nur gut gemeint. Was sonst noch für die digitale Anamnese gilt – Rechtsgrundlage, Aufbewahrung, die sieben Fragen an einen Anbieter – steht unter Digitale Anamnese und DSGVO.

Häufige Fragen