Vertragsparteien
Verantwortlicher: die Fachperson bzw. Praxis, die den Nutzungsvertrag abgeschlossen hat, mit den im Vetrivia-Konto hinterlegten Angaben zu Name, Anschrift und Praxisbezeichnung („Verantwortlicher").
Auftragsverarbeiter: Vetrivia UG (haftungsbeschränkt), Europa-Allee 2, 60327 Frankfurt am Main, eingetragen im Handelsregister des Amtsgerichts Frankfurt am Main unter HRB 143741, vertreten durch die Geschäftsführerin Barbara Auer („Auftragsverarbeiter" oder „Vetrivia").
§ 1 Gegenstand, Dauer und Weisungen
1.1 Vetrivia verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Vetrivia-SaaS-Plattform. Gegenstand, Dauer, Art, Zweck, Kategorien betroffener Personen und Datenarten ergeben sich aus Anlage 1.
1.2 Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Der AVV endet nicht vor vollständiger Rückgabe oder Löschung der Auftragsdaten nach § 8.
1.3 Vetrivia verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht. In diesem Fall informiert Vetrivia den Verantwortlichen vorab, soweit das Gesetz dies zulässt. Weisungen sind in Textform zu erteilen.
1.4 Hält Vetrivia eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich.
§ 2 Pflichten des Verantwortlichen
2.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte betroffener Personen, die Erteilung zulässiger Weisungen und die Auswahl der Rechtsgrundlagen verantwortlich.
2.2 Der Verantwortliche informiert betroffene Personen über die Verarbeitung und holt erforderliche Einwilligungen ein, soweit dies nicht auf einer anderen Rechtsgrundlage erfolgt.
2.3 Der Verantwortliche stellt sicher, dass nur berechtigte Nutzer:innen Zugriff auf das Konto erhalten und dass eigene Zugangsdaten sowie Endgeräte angemessen geschützt werden.
§ 3 Pflichten von Vetrivia
3.1 Vetrivia trifft die in Anlage 2 beschriebenen angemessenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt diese unter Berücksichtigung des technischen Fortschritts weiter. Wesentliche Änderungen dürfen das vereinbarte Sicherheitsniveau nicht unterschreiten.
3.2 Vetrivia gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3.3 Vetrivia unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei Betroffenenanfragen, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Der Aufwand ist nur geschuldet, soweit der Verantwortliche ihn nicht selbst erbringen kann und eine angemessene Unterstützung erforderlich ist.
3.4 Vetrivia informiert den Verantwortlichen unverzüglich, nachdem sie eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, und stellt die zur Bewertung und Erfüllung gesetzlicher Meldepflichten verfügbaren Informationen bereit.
§ 4 Unterauftragsverarbeiter
4.1 Der Verantwortliche erteilt Vetrivia die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen. Vetrivia schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der mindestens die Datenschutzpflichten dieses AVV auferlegt. Bei Einschaltung eines Unterauftragsverarbeiters ist sicherzustellen, dass dieser sorgfältig ausgewählt wurde, die Beachtung der Datenschutzvorschriften durch ihn gewährleistet ist, er die geeigneten technischen und organisatorischen Maßnahmen getroffen hat oder bis zur Aufnahme der Tätigkeit treffen wird, die Erfüllung der Pflichten von Vetrivia aus diesem Vertrag hierdurch nicht beeinträchtigt wird und die zuständige Datenschutzaufsichtsbehörde ihr Kontrollrecht auch gegenüber dem Unterauftragsverarbeiter ausüben kann.
4.2 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu zählen Nebenleistungen (z. B. Telekommunikations-, Post- oder Transportdienstleistungen) sowie sonstige Maßnahmen zur Sicherstellung von Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der eingesetzten Hard- und Software; Vetrivia trifft jedoch auch insoweit angemessene, gesetzeskonforme vertragliche und technische Vorkehrungen.
4.3 Vetrivia informiert den Verantwortlichen unverzüglich nach eigener Kenntniserlangung, in der Regel mindestens 30 Tage vor beabsichtigtem Einsatz oder Austausch eines Unterauftragsverarbeiters, in Textform. Setzt ein bereits eingesetzter Unterauftragsverarbeiter seinerseits einen weiteren Unterauftragnehmer ein und räumt er Vetrivia dafür eine kürzere Ankündigungsfrist ein, verkürzt sich die vorgenannte Frist entsprechend; Vetrivia informiert in diesem Fall unverzüglich nach Kenntniserlangung und weist auf die verkürzte Frist hin. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen ab Zugang der Information widersprechen; ist die Ankündigungsfrist von Vetrivia gegenüber dem Unterauftragsverarbeiter kürzer, gilt die jeweils verbleibende Frist. Ein wichtiger datenschutzrechtlicher Grund liegt insbesondere vor, wenn der neue Unterauftragsverarbeiter kein angemessenes Datenschutzniveau nach Kapitel V DSGVO gewährleistet oder in einem Staat ohne geeignete Garantien ansässig ist, ohne dass ein zulässiges Übermittlungsinstrument (z. B. Standardvertragsklauseln) besteht. Die Weitergabe personenbezogener Daten an einen neuen Unterauftragsverarbeiter und dessen erstmaliges Tätigwerden erfolgen erst, wenn alle Voraussetzungen für dessen Beauftragung vorliegen. Die Parteien bemühen sich um eine Lösung; ist diese nicht möglich, kann Vetrivia die betroffene Leistung mit angemessener Frist kündigen.
4.4 Soweit Daten in ein Drittland übermittelt werden, stellt Vetrivia ein geeignetes Schutzniveau nach Kapitel V DSGVO sicher und dokumentiert die dafür eingesetzten Übermittlungsinstrumente im Verzeichnis der Unterauftragsverarbeiter.
4.5 Eine Weiterauslagerung durch einen Unterauftragsverarbeiter an weitere Unterauftragnehmer bedarf der vorherigen ausdrücklichen Zustimmung von Vetrivia in Textform. Der Verantwortliche wird über eine solche Weiterauslagerung im Rahmen der Mitteilung nach Ziffer 4.3 informiert. Sämtliche in diesem AVV geregelten Pflichten sind auch dem weiteren Unterauftragnehmer aufzuerlegen.
4.6 Vetrivia haftet gegenüber dem Verantwortlichen für Datenschutzverstöße der von ihr eingesetzten Unterauftragsverarbeiter im Rahmen der in § 9 dieses AVV sowie im Hauptvertrag vorgesehenen Haftungsbegrenzung.
§ 5 Kontrollrechte
5.1 Der Verantwortliche kann die Einhaltung dieses AVV vor Beginn und während der Verarbeitung durch geeignete Nachweise, Unterlagen, Zertifikate, Berichte unabhängiger Prüfer oder Audits überprüfen.
5.2 Vor-Ort-Audits sind nur bei begründetem Anlass, nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Beachtung von Betriebs- und Geschäftsgeheimnissen zulässig. Vetrivia darf einen unabhängigen zur Verschwiegenheit verpflichteten Prüfer verlangen.
§ 6 Betroffenenrechte und Behördenanfragen
6.1 Gehen Anfragen betroffener Personen oder Behörden unmittelbar bei Vetrivia ein und betreffen sie die Auftragsverarbeitung, leitet Vetrivia sie unverzüglich an den Verantwortlichen weiter, soweit dies rechtlich zulässig ist. Vetrivia beantwortet solche Anfragen nicht eigenständig, es sei denn, sie ist hierzu gesetzlich verpflichtet oder vom Verantwortlichen angewiesen.
§ 7 Datengeheimnis und Berichtigung/Löschung
7.1 Vetrivia berichtigt, löscht oder beschränkt Daten nur nach dokumentierter Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung entgegensteht. Technische Protokolle und Sicherungskopien werden nach dem jeweils vorgesehenen Lösch- und Überschreibzyklus behandelt.
§ 8 Rückgabe und Löschung nach Vertragsende
8.1 Nach Beendigung der Auftragsverarbeitung stellt Vetrivia die Auftragsdaten nach Maßgabe des Hauptvertrags zur Rückgabe bereit und löscht sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im regulären Sicherungszyklus überschrieben. Vetrivia bestätigt die Löschung auf Anforderung in Textform.
§ 9 Haftung und Schlussbestimmungen
9.1 Die Haftung der Parteien richtet sich nach dem Hauptvertrag und den gesetzlichen Vorschriften. Soweit dieser AVV nichts anderes regelt, gelten die Bestimmungen des Hauptvertrags.
9.2 Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Im Fall eines Widerspruchs zwischen Hauptvertrag und AVV gehen die datenschutzrechtlichen Bestimmungen dieses AVV vor.
Anlage 1 – Beschreibung der Verarbeitung
| Merkmal | Beschreibung |
| Gegenstand | Bereitstellung, Betrieb, Support und technische Sicherung der Vetrivia-SaaS-Plattform einschließlich Funktionen für digitale Tierakten, Termin- und Praxisorganisation, Kommunikation sowie KI-gestützte Dokumentation. |
| Dauer | Für die Laufzeit des Hauptvertrags zuzüglich Rückgabe- und Löschfristen. |
| Zweck | Digitale Verwaltung und Organisation der Tätigkeit des Verantwortlichen, Kommunikation und Dokumentation im Rahmen der durch den Verantwortlichen bestimmten Zwecke. |
| Kategorien betroffener Personen | Tierhalter:innen, Kontaktpersonen, Beschäftigte und sonstige Nutzer:innen des Verantwortlichen; gegebenenfalls Bevollmächtigte oder Interessent:innen. |
| Datenarten | Stammdaten, Kontaktdaten, Termin- und Kommunikationsdaten, Rechnungs- und Zahlungsreferenzen des Verantwortlichen, tierbezogene Dokumentationsdaten und weitere vom Verantwortlichen eingegebene Inhalte. Personenbezogene Daten besonderer Kategorien nur, soweit sie vom Verantwortlichen rechtmäßig eingegeben werden und die Verarbeitung im Einzelfall erforderlich ist. |
| Verarbeitungsvorgänge | Erheben, Erfassen, Organisieren, Speichern, Auslesen, Übermitteln auf Weisung, Abgleichen, Einschränken, Löschen, Sicherung und Wiederherstellung. |
Anlage 2 – Technische und organisatorische Maßnahmen
| Bereich | Maßnahmen |
| Zutrittskontrolle | Physischer Zugang zu Rechenzentren ausschließlich über beauftragte Infrastruktur- und Hostingdienstleister; keine eigene Serverinfrastruktur von Vetrivia. |
| Zugangskontrolle | Authentifizierung für Systemzugang; Passwörter werden verschlüsselt gespeichert; neue Passwörter werden gegen bekannte Datenlecks abgeglichen. |
| Zugriffskontrolle | Datenbankseitige Row Level Security; rollenbasierte Rechte; jede Praxis erhält ausschließlich Zugriff auf eigene Daten. |
| Eingabekontrolle | Sicherheitsrelevante Ereignisse und Anwendungsfehler werden protokolliert und automatisiert überwacht. |
| Trennungsgebot | Daten verschiedener Praxen werden logisch getrennt verarbeitet. |
| Weitergabekontrolle | Verschlüsselte Datenübertragung über TLS; Zugriff auf KI-Funktionen mit nutzerindividuellen Sitzungs-Token anstelle eines für alle Nutzer identischen Schlüssels. |
| Verfügbarkeitskontrolle | Regelmäßige automatisierte Datensicherungen beim Datenbankanbieter und redundant ausgelegte Hosting-Infrastruktur. |
| Auftragskontrolle | Verträge zur Auftragsverarbeitung beziehungsweise geeignete Datenschutzgarantien mit eingesetzten Unterauftragsverarbeitern; dokumentierte Weisungs- und Kontrollprozesse. |
Anlage 3 – Genehmigte Unterauftragsverarbeiter
| Dienstleister | Leistung | Verarbeitungsort / Drittlandtransfer |
| Supabase Inc. | Datenbank, Authentifizierung, Dateispeicher | Datenspeicherung in der EU-Region Frankfurt laut gebuchter Konfiguration. Da Supabase Inc. als Mutterkonzern ein US-Unternehmen ist, stützt sich die Übermittlung zusätzlich auf EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, unabhängig vom EU-Serverstandort der Datenbank selbst. Auftragsverarbeitungsvertrag besteht. |
| Netlify, Inc. | Hosting und Auslieferung von Website und App | Netlify ist unter dem EU-US Data Privacy Framework zertifiziert; die Datenübermittlung stützt sich primär hierauf. Für den Fall einer Ungültigerklärung des Data Privacy Framework greifen ergänzend EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO als Rückfallebene. Auftragsverarbeitungsvertrag besteht (Bestandteil der Netlify-Nutzungsbedingungen). |
| Anthropic PBC | KI-gestützte Text- und Sprachverarbeitung | Auftragsverarbeitungsvertrag besteht (Data Processing Addendum, Stand 24.02.2025, automatisch Bestandteil der Commercial Terms of Service). Drittlandübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln, Modul 2 (Verantwortlicher an Auftragsverarbeiter), per Verweis einbezogen; Rechtswahl Irland. Technische und organisatorische Maßnahmen sind in Schedule 2 des DPA dokumentiert (u. a. AES-256 im Ruhezustand, TLS 1.2+ bei der Übertragung, jährliche externe Prüfung). Meldung von Sicherheitsverletzungen innerhalb von 48 Stunden. Eingesetzte Unterauftragnehmer: anthropic.com/subprocessors, Widerspruchsfrist 15 Tage. |
| Stripe Payments Europe Ltd. | Abwicklung der Abo-Zahlungen der Fachpersonen an Vetrivia (Softwarelizenz). Keine Zahlungsabwicklung zwischen Tierbesitzer:in und Fachperson. | Irland/EU. Datenschutzrechtliche Rolle (regelmäßig eigene Verantwortlichkeit für Zahlungsdienste) und Informationspflichten vor Einsatz dokumentieren. |
| Resend | Versand von Transaktions-E-Mails | Drittlandübermittlungen, soweit sie stattfinden, erfolgen auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO; Auftragsverarbeitungsvertrag besteht. |
Hinweis zur Anlage 3: Die aufgeführten Angaben beruhen auf der technischen Planung. Vor Vertragsabschluss und bei jeder Änderung sind die tatsächlich abgeschlossenen DPA/AVV, Datenstandorte, eingesetzten Subprozessoren, Übermittlungsinstrumente und gegebenenfalls Transfer Impact Assessments gegen die aktuelle Anbieter-Dokumentation zu prüfen und nachzuhalten.
Von IHK-Rechtsberatung und Datenschutz-Fachperson geprüft. § 3 (Vernetzungsfunktion) beschreibt den aktuellen Funktionsumfang zutreffend; vor Einführung einer Zahlungsfunktion zwischen Nutzer:innen sollte dieser Paragraf zusätzlich anwaltlich geprüft werden.