Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

1. Metanovia verarbeitet im Auftrag der Verantwortlichen personenbezogene Daten von deren Klient:innen im Rahmen des Betriebs der Plattform metanovia.de.
2. Dieser Vertrag gilt für die gesamte Dauer des Kooperationsvertrags zwischen den Parteien. Er endet automatisch mit Beendigung des Kooperationsvertrags.
3. Dieser Vertrag gilt ab der Registrierung und unabhängig davon, welche Leistungsstufe die Verantwortliche gewählt hat und ob ein Entgelt anfällt.

§ 2 Art, Zweck und Umfang der Verarbeitung

Metanovia verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Plattformfunktionen:

• Speicherung und Verwaltung von Klientenprofilen (Name, Kontaktdaten, Buchungshistorie)
• Transkription von Videositzungen (nur mit ausdrücklicher Einwilligung des Klienten)
• KI-gestützte Analyse von Sitzungstranskripten (Zusammenfassung, psychologische Analyse, Interventionen, Sitzungsplan)
• Pseudonymisierung von Transkripten vor der Übermittlung an KI-Dienste
• Speicherung von KI-Analyseergebnissen und Sitzungsdokumentation
• Verschlüsselte Nachrichtenkommunikation zwischen Fachperson und Klient:in
• Pre-Checkin-Daten (Stimmung, Anliegen vor der Sitzung)

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung der Verantwortlichen (konkret: durch Nutzung der Plattformfunktionen). Eine darüber hinausgehende Nutzung findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen

§ 4 Pflichten von Metanovia als Auftragsverarbeiter

1. Weisungsgebundenheit: Metanovia verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen. Ist Metanovia der Auffassung, dass eine Weisung gegen DSGVO oder sonstiges Datenschutzrecht verstößt, informiert Metanovia die Verantwortliche unverzüglich.
2. Vertraulichkeit: Metanovia stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
3. Technische und organisatorische Maßnahmen: Metanovia trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (siehe § 6 dieses Vertrags).
4. Unterstützung bei Betroffenenrechten: Metanovia unterstützt die Verantwortliche bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) soweit technisch möglich.
5. Löschung: Nach Beendigung des Vertrags löscht oder gibt Metanovia alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
6. Nachweise: Metanovia stellt der Verantwortlichen auf Anfrage alle notwendigen Informationen zur Verfügung, um die Einhaltung dieses Vertrags nachzuweisen.
7. Speicherdauer bei Inaktivität: Ruht ein Konto länger als 24 Monate ohne Anmeldung und ohne gehaltene Sitzung, fordert Metanovia die Verantwortliche zur Entscheidung über Löschung oder Rückgabe auf. Erfolgt binnen drei Monaten keine Rückmeldung, löscht Metanovia die im Auftrag verarbeiteten personenbezogenen Daten. Die Verantwortliche wird vor der Löschung erneut informiert.

§ 5 Pflichten der Verantwortlichen

1. Die Verantwortliche stellt sicher, dass eine rechtliche Grundlage für die Verarbeitung der Klientendaten besteht (insb. Einwilligung der Klient:innen gemäß § 7 DSGVO bzw. Art. 9 Abs. 2 DSGVO für Gesundheitsdaten).
2. Die Verantwortliche informiert ihre Klient:innen über die Nutzung von Metanovia und die damit verbundene Datenverarbeitung (Datenschutzhinweispflicht gemäß Art. 13 DSGVO).
3. Die Verantwortliche erteilt Weisungen zur Datenverarbeitung ausschließlich in schriftlicher oder elektronischer Form.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Metanovia hat folgende Maßnahmen zum Schutz personenbezogener Daten implementiert:

• Verschlüsselung der Übertragung: Alle Datenübertragungen erfolgen via TLS/HTTPS
• Verschlüsselung der Speicherung: Nachrichteninhalte werden mit AES-256-GCM serverseitig verschlüsselt
• Videoverschlüsselung: Videositzungen werden via DTLS-SRTP verschlüsselt (Daily.co)
• Pseudonymisierung: Transkripte werden vor der Übermittlung an KI-Dienste pseudonymisiert (Klarnamen durch Rollenbezeichnungen ersetzt)
• Automatische Löschung: Transkripte werden nach Abschluss aller KI-Analysen automatisch gelöscht
• Zugriffskontrolle: Passwörter werden mit bcrypt gehasht; Sitzungsdaten sind nur für die zugehörige Fachperson einsehbar
• Hosting: Plattform gehostet auf Vercel (ISO 27001 zertifiziert)

§ 7 Unterauftragsverarbeiter

Metanovia setzt folgende Unterauftragsverarbeiter ein, denen die Verantwortliche mit Zustimmung zu diesem AVV generell zustimmt:

Alle Drittlandübermittlungen (USA) erfolgen auf Basis von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Metanovia informiert die Verantwortliche rechtzeitig über geplante Änderungen beim Einsatz von Unterauftragsverarbeitern; die Verantwortliche kann widersprechen. Stand dieser Liste: 25. August 2026. Die jeweils aktuelle Fassung mit Angaben dazu, welche Dienste Gesprächsinhalte einsehen können, steht unter metanovia.de/unterauftragsverarbeiter.

§ 8 Datenpannen

1. Metanovia meldet der Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden.
2. Die Meldung erfolgt per E-Mail an die im Konto hinterlegte Adresse der Verantwortlichen.
3. Metanovia unterstützt die Verantwortliche bei der Erfüllung ihrer Meldepflicht gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) sowie der Benachrichtigungspflicht gegenüber betroffenen Personen (Art. 34 DSGVO).

§ 9 Schlussbestimmungen

1. Es gilt das Recht der Bundesrepublik Deutschland.
2. Änderungen dieses AVV werden der Verantwortlichen per E-Mail mit einer Frist von 30 Tagen angekündigt. Bei wesentlichen Änderungen ist eine erneute ausdrückliche Zustimmung erforderlich.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
4. Dieser AVV hat Vorrang vor abweichenden Regelungen im Kooperationsvertrag, soweit es die Verarbeitung personenbezogener Daten betrifft.