Auftragsverarbeitung (AVV)

Vertragsparteien und Rollen

Dieser Vertrag wird geschlossen zwischen der Praxis, die ein Coach-Konto bei Nuhria anlegt (im Folgenden „Verantwortliche“ im Sinne von Art. 4 Nr. 7 DSGVO — das ist die Praxis, die über Zwecke und Mittel der Verarbeitung ihrer Klientendaten entscheidet), und Kaan Özçelik, Lendersbergstraße 89, 53721 Siegburg, Deutschland, Betreiber von Nuhria (ein Produkt von Vondrexa), erreichbar unter hallo@nuhria.de (im Folgenden „Auftragsverarbeiter“ im Sinne von Art. 4 Nr. 8 DSGVO — das ist der Dienstleister, der die Daten nur im Auftrag und nach Weisung der Praxis verarbeitet).

Der Vertrag ergänzt den Nutzungsvertrag über die Software Nuhria (Allgemeine Geschäftsbedingungen, /agb). Bei Widersprüchen zwischen beiden gehen für den Umgang mit personenbezogenen Daten die Regelungen dieses Vertrags vor.

Die Praxis schließt diesen Vertrag per Klick ab: Bei der Registrierung mit E-Mail-Adresse und Passwort ist das Häkchen zu AGB und Auftragsverarbeitungsvertrag Pflicht (Art. 28 Abs. 9 DSGVO: elektronische Form genügt). Nuhria speichert Zeitpunkt und Fassung des Abschlusses beim Praxiskonto.

Ist ein Praxiskonto ohne dieses Häkchen entstanden — etwa über die Anmeldung mit einem Google-Konto oder vor Einführung dieser Fassung —, holt die Praxis den Abschluss auf Anforderung des Auftragsverarbeiters nach; bis dahin gelten für sie die Regelungen dieses Vertrags in der jeweils veröffentlichten Fassung. Ob und wann Ihre Praxis abgeschlossen hat, steht — angemeldet als Coach — oben auf der Seite nuhria.de/avv; der Abschluss lässt sich jederzeit per E-Mail an hallo@nuhria.de nachholen.

§ 1 Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Praxissoftware Nuhria: Verwaltung von Klientenakten, Terminen, Nachrichten, Formularen, Dateien, Speiseplänen, Rechnungen und Videoterminen für die Praxis sowie ein Portal, über das Klientinnen und Klienten der Praxis ihre eigenen Daten einsehen und eingeben können.

Die Verarbeitung dauert so lange wie der Nutzungsvertrag zwischen der Praxis und Nuhria. Nach dessen Ende gilt § 13 (Löschung und Rückgabe innerhalb von 30 Tagen).

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter speichert, ordnet, zeigt an, übermittelt (E-Mails, Videoverbindung), sichert, exportiert und löscht die Daten — ausschließlich, damit die Praxis ihre Klientinnen und Klienten betreuen, Termine und Rechnungen abwickeln und mit ihnen kommunizieren kann.

Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, wertet sie nicht praxisübergreifend aus und gibt sie nicht zu Werbezwecken weiter. Ausgenommen sind technisch notwendige Verarbeitungen zum sicheren Betrieb (Fehlerprotokolle ohne Inhalte, Ratenbegrenzung, Sicherungskopien).

§ 3 Art der personenbezogenen Daten

Verarbeitet werden folgende Datenarten, soweit die Praxis oder ihre Klientinnen und Klienten sie eingeben:

• Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht, Klientenstatus.
• Gesundheitsdaten (besondere Kategorie nach Art. 9 Abs. 1 DSGVO): Beschwerden, Vorerkrankungen und Diagnosen, Familiengeschichte, Klinikaufenthalte, Allergien und Unverträglichkeiten, Körpermaße und Gewicht, Laborwerte, Ernährungs- und Tagebucheinträge, Kalorien- und Nährstoffziele, Speisepläne, Antworten in Formularen und Fragebögen, Gesprächsnotizen der Praxis.
• Kommunikationsdaten: Nachrichten zwischen Praxis und Klientinnen und Klienten, Rundschreiben, Kopien automatischer E-Mails, Signalisierungsdaten des Videoraums.
• Termin- und Vertragsdaten: Termine, Buchungen, Leistungen, Rechnungen, Zahlungsstatus.
• Dateien: von der Praxis oder von Klientinnen und Klienten hochgeladene Dokumente und Bilder.
• Nutzungs- und Sicherheitsdaten: Anmeldezeitpunkte, Gerät und Browser der Sitzung, IP-Adresse in Zugriffsprotokollen, Protokolleinträge über Aktionen in der Praxis.

Für Gesundheitsdaten gilt: Die Praxis holt die ausdrückliche Einwilligung der betroffenen Person ein (Art. 9 Abs. 2 lit. a DSGVO) oder stützt sich auf eine andere Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO. Nuhria unterstützt sie dabei technisch (Einwilligung über den Portal-Zugang oder ein Formular, Vermerk in der Akte mit Zeitpunkt, Quelle und Fassung, Sperre der Gesundheitsfelder ohne Einwilligung), prüft die Rechtsgrundlage aber nicht selbst.

§ 4 Kategorien betroffener Personen

• Klientinnen und Klienten der Praxis, einschließlich Interessentinnen und Interessenten, die über die Buchungsseite einen Termin anfragen.
• Der Coach der Praxis und gegebenenfalls weitere von der Praxis benannte Personen.
• Kontaktpersonen, die in Notizen, Nachrichten oder Dateien der Praxis genannt werden.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich nach Art. 28 Abs. 3 DSGVO,

• die Daten nur auf dokumentierte Weisung der Praxis zu verarbeiten (§ 6) — auch bei der Übermittlung in ein Drittland, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet ihn dazu; in diesem Fall informiert er die Praxis vorab, soweit das rechtlich zulässig ist;
• sicherzustellen, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind (§ 7);
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO einzuhalten (§ 8, Anlage 1);
• Unterauftragsverarbeiter nur nach den Regeln in § 9 einzusetzen;
• die Praxis mit geeigneten Mitteln dabei zu unterstützen, Anfragen betroffener Personen zu beantworten (§ 10);
• die Praxis bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen zu unterstützen (§ 11);
• nach Ende der Verarbeitung alle Daten nach Wahl der Praxis zu löschen oder zurückzugeben (§ 13);
• der Praxis alle Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 12);
• die Praxis unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) bei einem Einzelunternehmen nicht vorliegen. Ansprechpartner für alle Datenschutzfragen ist der Auftragsverarbeiter selbst unter hallo@nuhria.de.

§ 6 Weisungsrecht der Praxis

Die Praxis erteilt ihre Weisungen in erster Linie durch die Nutzung der Software: Anlegen, Ändern, Exportieren und Löschen von Daten in der Oberfläche sind dokumentierte Weisungen im Sinne von Art. 28 Abs. 3 lit. a DSGVO.

Darüber hinausgehende Weisungen (zum Beispiel Löschung außerhalb der Oberfläche, Auskunft aus Sicherungskopien, Herausgabe an eine Behörde) erteilt die Praxis in Textform per E-Mail an hallo@nuhria.de. Der Auftragsverarbeiter bestätigt den Eingang und setzt die Weisung um oder erklärt, warum er sie für rechtswidrig hält.

Weisungsberechtigt ist der Coach, dem das Praxiskonto gehört; Empfänger von Weisungen ist der Auftragsverarbeiter.

§ 7 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet sich zur Vertraulichkeit über alle Daten der Praxis. Zugang zu Produktionsdaten hat ausschließlich der Auftragsverarbeiter persönlich; setzt er künftig Mitarbeitende oder Dienstleister mit Datenzugang ein, verpflichtet er diese vor Aufnahme der Tätigkeit schriftlich auf die Vertraulichkeit und unterrichtet sie über die datenschutzrechtlichen Pflichten.

Ein Zugriff auf Inhalte einer Praxisakte durch den Auftragsverarbeiter erfolgt nur, wenn die Praxis dies zur Fehlerbehebung ausdrücklich verlangt oder eine Weisung nach § 6 es erfordert.

§ 8 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Die aktuelle Fassung ist jederzeit unter nuhria.de/tom einsehbar; sie ist Bestandteil dieses Vertrags.

Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unter das der vereinbarten Fassung sinkt. Wesentliche Änderungen werden mit neuem Stand-Datum unter nuhria.de/tom veröffentlicht.

§ 9 Unterauftragsverarbeiter

Die Praxis genehmigt allgemein den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag dem Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Bei Anbietern mit Sitz oder Muttergesellschaft außerhalb der EU stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (SCC).

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er die Praxis mindestens 30 Tage vorher per E-Mail an die Adresse des Praxiskontos und aktualisiert Anlage 2 unter nuhria.de/avv. Die Praxis kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann die Praxis den Nutzungsvertrag außerordentlich kündigen; bis dahin bleibt der bisherige Stand maßgeblich.

Unterauftragsverarbeiter, die nur bei einer von der Praxis oder den Nutzern selbst gewählten Anbindung tätig werden (Zahlungen über Stripe, Anmeldung mit Google, Vermittlungsserver für Videotermine), sind in Anlage 2 entsprechend gekennzeichnet.

§ 10 Unterstützung bei den Rechten der betroffenen Personen

Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an die Praxis weiter und beantwortet sie nicht selbst — es sei denn, die Praxis weist ihn dazu an.

Der Auftragsverarbeiter unterstützt die Praxis mit den Funktionen der Software: Auskunft und Datenübertragbarkeit (Export der Klientenakte als Datei durch die Praxis; Export der eigenen Daten durch Klientinnen und Klienten im Portal), Berichtigung (Bearbeiten in der Akte und im Portal), Löschung (Löschen der Akte durch die Praxis), Einschränkung (Sperren des Portal-Zugangs, Vermerk in der Akte) sowie Widerruf einer Einwilligung (Vermerk mit Zeitpunkt in der Akte).

Für Anfragen, die sich mit diesen Funktionen nicht erledigen lassen, unterstützt der Auftragsverarbeiter die Praxis innerhalb von 10 Werktagen nach Eingang einer Weisung nach § 6.

§ 11 Meldung von Verletzungen des Schutzes personenbezogener Daten

Stellt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten fest (zum Beispiel unbefugten Zugriff, Verlust oder unbeabsichtigte Offenlegung), meldet er sie der Praxis unverzüglich, spätestens 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Praxiskontos. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie einen Ansprechpartner. Fehlende Angaben werden nachgereicht.

Der Auftragsverarbeiter unterstützt die Praxis bei ihrer Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO) sowie, soweit erforderlich, bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und einer vorherigen Konsultation (Art. 36 DSGVO).

§ 12 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt der Praxis auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind — insbesondere die aktuelle Beschreibung der Maßnahmen (nuhria.de/tom), die Liste der Unterauftragsverarbeiter (Anlage 2) sowie Nachweise der Anbieter (Zertifizierungen, Vertragsunterlagen), soweit er sie selbst erhält.

Die Praxis darf die Einhaltung dieses Vertrags einmal jährlich sowie bei konkretem Anlass überprüfen, in der Regel durch schriftliche Auskunft. Eine Überprüfung vor Ort ist nach Ankündigung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten möglich; die Rechenzentren der Anbieter sind davon ausgenommen und werden über deren Nachweise abgedeckt.

Die Praxis führt das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO) selbst; der Auftragsverarbeiter führt sein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO.

§ 13 Löschung und Rückgabe nach Vertragsende

Nach Ende des Nutzungsvertrags kann die Praxis ihre Daten innerhalb von 30 Tagen vollständig als Datei ausgeben (Export der Praxis in den Einstellungen bzw. auf Weisung nach § 6). Danach löscht der Auftragsverarbeiter alle Daten der Praxis einschließlich der Sicherungskopien, soweit sie ihm zugänglich sind; Sicherungen der Anbieter mit fester Aufbewahrungsdauer laufen von selbst ab.

Von der Löschung ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss (zum Beispiel Rechnungen der Praxis an Nuhria). Diese Daten werden gesperrt und nach Ablauf der Frist gelöscht.

Löscht die Praxis ihr Konto selbst in der Software, gilt das als Weisung zur sofortigen Löschung; die Datei-Ausgabe ist dann vorher vorzunehmen.

Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 14 Haftung

Für Schäden aus einer Verletzung dieses Vertrags oder der DSGVO haften die Parteien nach Art. 82 DSGVO. Der Auftragsverarbeiter haftet danach nur für Schäden, die durch eine Verarbeitung entstanden sind, bei der er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder gegen rechtmäßige Weisungen der Praxis gehandelt hat.

Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags (AGB § 6). Bußgelder, die gegen eine Partei wegen ihres eigenen Verstoßes verhängt werden, trägt diese Partei selbst.

§ 15 Laufzeit, Kündigung und Änderungen

Dieser Vertrag beginnt mit dem Klick-Abschluss bei der Registrierung und endet mit dem Nutzungsvertrag. Eine gesonderte Kündigung ist nicht nötig; die Kündigung des Nutzungsvertrags beendet auch diesen Vertrag, § 13 gilt fort.

Änderungen dieses Vertrags erhalten eine neue Fassungsnummer (Datum) und werden unter nuhria.de/avv veröffentlicht. Der Auftragsverarbeiter bittet die Praxis per E-Mail an die Adresse des Praxiskontos um Zustimmung zur neuen Fassung; bis zur Zustimmung gilt die zuletzt abgeschlossene Fassung. Stimmt die Praxis nicht zu, bleibt die alte Fassung in Kraft, solange der Nutzungsvertrag läuft.

§ 16 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen bedürfen der Textform; das gilt auch für die Aufhebung dieser Klausel.

Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, die dem Zweck der DSGVO am nächsten kommt.

Fassung 2026-09-05 (Stand 05.09.2026).

Anlage 1 — Technische und organisatorische Maßnahmen

Die Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO steht unter nuhria.de/tom; die PDF-Fassung dieses Vertrags enthält sie im Wortlaut. Sie ist nach den üblichen Kategorien gegliedert (Zutritt, Zugang, Zugriff, Trennung, Verschlüsselung, Weitergabe, Eingabe, Verfügbarkeit, Löschung, Auftragskontrolle) und nennt zu jeder Maßnahme die Fundstelle im Programmcode oder die Zusage des jeweiligen Anbieters.

Anlage 2 — Unterauftragsverarbeiter

Genehmigte Unterauftragsverarbeiter mit Sitz, Zweck, Datenarten, Verarbeitungsort und Rechtsgrundlage der Übermittlung. Einträge mit einer Bedingung gelten nur, wenn die Praxis bzw. die Nutzer den jeweiligen Weg selbst wählen.