Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird zwischen dem Kunden (nachfolgend „Verantwortlicher"), der den Dienst von Nurelis abonniert, und
Nurelis
[Vollständige Anschrift einsetzen]
vertreten durch: Levi Bender Gomes
E-Mail: contact@nurelis.app
(nachfolgend „Auftragsverarbeiter")
geschlossen. Der AVV wird wirksam in dem Moment, in dem der Verantwortliche beim Abschluss des Abonnements die entsprechende Checkbox akzeptiert. Datum und Uhrzeit der Akzeptanz werden automatisch gespeichert und gelten als verbindliche Unterzeichnung im Sinne des Art. 28 DSGVO.
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet im Rahmen der Bereitstellung der Nurelis-Plattform personenbezogene Daten der Patienten des Verantwortlichen. Die Verarbeitung erfolgt für die Dauer des Abonnementvertrags.
Zwecke der Verarbeitung:
Verwaltung von Patientenprofilen und Nutzerkonten
Versand von Push-Benachrichtigungen und personalisierten Angeboten
Verwaltung von Mitgliedschaften, Rewards und Guthaben
Verarbeitung von Geburtsdaten für Geburtstags-Aktionen
Abwicklung von Zahlungen
§ 2 Art der Daten und Betroffene
Verarbeitete Datenkategorien:
Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum
Nutzungsdaten: App-Aktivitäten, Buchungsverhalten, Kaufhistorie
Zahlungsdaten: Zahlungsmethode, Transaktionshistorie
Kommunikationsdaten: Push-Benachrichtigungen, In-App-Nachrichten
Mitgliedschafts- und Punktedaten
Kreis der Betroffenen: Patienten und Kunden der Klinik bzw. Praxis des Verantwortlichen.
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (insbesondere Gesundheitsdaten im engeren Sinne) werden vom Auftragsverarbeiter nicht aktiv erhoben. Die Verantwortung für die Einholung der erforderlichen Patienteneinwilligungen liegt beim Verantwortlichen.
§ 3 Weisungsrecht
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen. Weisungen können per E-Mail an contact@nurelis.app erteilt werden. Verstößt eine Weisung nach Einschätzung des Auftragsverarbeiters gegen geltendes Datenschutzrecht, wird der Verantwortliche unverzüglich informiert.
§ 4 Technische und organisatorische Maßnahmen
Die technische Infrastruktur wird durch den Unterauftragsverarbeiter Patient App Ltd. betrieben, der vertraglich zur Einhaltung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO verpflichtet ist. Die Zahlungsabwicklung erfolgt über Stripe Ireland Ltd., das nach PCI-DSS-Standard zertifiziert ist. Auf Anfrage werden entsprechende Nachweise zur Verfügung gestellt.
Die Maßnahmen umfassen insbesondere:
Verschlüsselung der Datenübertragung (TLS/SSL)
Verschlüsselte Datenspeicherung
Zugangskontrollen und Zwei-Faktor-Authentifizierung
Regelmäßige Datensicherungen
Vertraulichkeitsverpflichtung aller Mitarbeiter
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
Daten ausschließlich im Rahmen dieses AVV und nach Weisung des Verantwortlichen zu verarbeiten
Alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten
Den Verantwortlichen bei Datenpannen unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, zu informieren
Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen
Den Verantwortlichen bei Datenschutz-Folgenabschätzungen zu unterstützen, sofern erforderlich
§ 6 Pflichten des Verantwortlichen
Der Verantwortliche verpflichtet sich:
Die erforderlichen Rechtsgrundlagen für die Datenverarbeitung sicherzustellen, insbesondere die Einwilligung der Patienten für die App-Nutzung und den Empfang von Push-Benachrichtigungen einzuholen und zu dokumentieren
Patienten in der eigenen Datenschutzerklärung der Klinik über die Weitergabe ihrer Daten an Nurelis als Auftragsverarbeiter zu informieren
Den Auftragsverarbeiter unverzüglich zu informieren, wenn Unregelmäßigkeiten bei der Datenverarbeitung festgestellt werden
§ 7 Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:
Unternehmen Sitz Zweck Patient App Ltd, Gonnet Enterprises LLC, 1562, 1007 N Orange St. 4th Floor, Wilmington, DE, New Castle, US, 19801. Bereitstellung der App-Infrastruktur Stripe Ireland Ltd. Dublin, Irland, Zahlungsabwicklung
Über die Hinzuziehung neuer Unterauftragsverarbeiter wird der Verantwortliche mindestens 14 Tage im Voraus per E-Mail informiert. Der Verantwortliche kann innerhalb dieser Frist Widerspruch einlegen. Allen Unterauftragsverarbeitern werden datenschutzrechtliche Pflichten auferlegt, die denen dieses AVV entsprechen.
§ 8 Datenübermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU oder des EWR findet grundsätzlich nicht statt. Stripe Ireland Ltd. verarbeitet Daten innerhalb der Europäischen Union. Patient App Ltd. verarbeitet Daten auf EU-Servern. Sollte in Ausnahmefällen eine Drittlandübermittlung erforderlich sein, erfolgt diese ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO und nach vorheriger Information des Verantwortlichen.
§ 9 Löschung nach Vertragsende
Nach Beendigung des Abonnements stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage alle personenbezogenen Daten in einem gängigen maschinenlesbaren Format (CSV) zur Verfügung. Die Anfrage muss innerhalb von 30 Tagen nach Vertragsende gestellt werden. Anschließend werden alle Daten des Verantwortlichen unwiderruflich gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anfrage schriftlich bestätigt.
§ 10 Kontrollrechte
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch Anforderung von Nachweisen oder Fragebögen zu überprüfen. Vor-Ort-Kontrollen sind nach vorheriger Ankündigung mit einer Frist von mindestens 14 Tagen möglich, dürfen jedoch die Betriebsgeheimnisse des Auftragsverarbeiters und die Rechte anderer Kunden nicht beeinträchtigen.
§ 11 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schäden, die durch nachweislich schuldhafte Verstöße gegen diesen AVV oder gegen die DSGVO entstehen. Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags.
§ 12 Schlussbestimmungen
Dieser AVV unterliegt deutschem Recht. Änderungen werden dem Verantwortlichen per E-Mail mit einer Frist von mindestens 14 Tagen vor Inkrafttreten mitgeteilt. Die weitere Nutzung des Dienstes nach Ablauf der Frist gilt als Zustimmung zur geänderten Fassung. Sollte eine Bestimmung unwirksam sein, bleibt der AVV im Übrigen wirksam.
Wirksamkeit dieses AVV
Dieser AVV wird wirksam durch Aktivierung der folgenden Checkbox beim Abschluss des Abonnements:
☐ Ich akzeptiere die AGB**, Datenschutzerklärung und den Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO und bestätige, dass ich befugt bin, diese Vereinbarung im Namen meiner Klinik / Praxis zu schließen.
Datum und Uhrzeit der Akzeptanz sowie die IP-Adresse werden automatisch gespeichert und sind auf Anfrage abrufbar.
Kontakt bei Fragen zu diesem AVV:
Nurelis – info@nurelis.app
Zuletzt aktualisiert: 21. Juli 2026