Version 2.6 · Stand: 08.11.2026
1. Parteien, Geltung und Vertragsbestandteile
Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird zwischen der jeweils als Auftraggeberin handelnden Hebamme, Praxis oder Organisation als Verantwortlicher und der folgenden Auftragsverarbeiterin geschlossen:
Twofold GmbH
Alstertwiete 1 A
20099 Hamburg, Deutschland
Vertreten durch die Geschäftsführer Alexander Kerber und Justin Miehle
E-Mail: kontakt@midwifely.de
MIDWIFELY ist der Marken- und Produktname der Twofold GmbH.
Der AVV wird separat akzeptiert und ergänzt die zwischen den Parteien geltenden Nutzungsbedingungen. Er gilt während einer kostenlosen Testphase ebenso wie im Rahmen eines kostenpflichtigen Abonnements. Ein Tarifwechsel beendet die Auftragsverarbeitung nicht.
Die Verantwortliche bestätigt, dass sie für ihre eigene berufliche Tätigkeit oder im Namen der vertretenen Praxis beziehungsweise Organisation handelt und hierzu berechtigt ist. Die datenschutzrechtliche Zuordnung richtet sich nach der jeweiligen Tätigkeit und Organisationsform. Die Nutzung desselben Benutzerkontos für mehrere Tätigkeitsbereiche ändert diese Zuordnung nicht.
Die Datenflussübersicht ist hinsichtlich der beschriebenen Auftragsverarbeitung Bestandteil dieses AVV. Maßgeblich ist die bei Vertragsschluss einbezogene oder später nach dem vereinbarten Änderungsverfahren wirksam gewordene Fassung. Sie konkretisiert die Datenarten, Unterauftragsverarbeiter, Verarbeitungswege, Verarbeitungsorte und Speicherregeln.
Bei Widersprüchen geht dieser AVV der Datenflussübersicht und den Nutzungsbedingungen vor.
Für Verarbeitungen von Konto-, Vertrags-, Sicherheits- und bestimmten Supportdaten in eigener Verantwortlichkeit gilt die Datenschutzerklärung: Verantwortlicher, Website und Benutzerkonto.
2. Gegenstand, Umfang und Dauer
MIDWIFELY verarbeitet personenbezogene Daten zur Bereitstellung, Absicherung und Unterstützung der für den jeweiligen Tätigkeitsbereich freigeschalteten und genutzten Praxissoftware.
Die Verarbeitung umfasst insbesondere die Verwaltung von Kontakten, Betreuung, Dokumentation, Terminen, Leistungen, Abrechnung, Kursen und Kommunikation sowie Speicherung, Sicherung, Export, Löschung und genutzte Assistenzfunktionen.
Betroffen sein können Patientinnen, betreute Personen, Kinder, Angehörige, Kontaktpersonen, Praxisinhaberinnen, Beschäftigte und weitere Personen, deren Daten die Verantwortliche im Rahmen ihrer Tätigkeit verarbeitet.
Verarbeitet werden insbesondere Stamm-, Kontakt-, Schwangerschafts-, Geburts-, Kinder-, Gesundheits-, Dokumentations-, Leistungs-, Versicherungs- und Abrechnungsdaten sowie Termine, Nachrichten, Dokumente, Audio- und Bildinhalte, Assistenz- und Korrekturdaten und zugehörige technische Daten. Die Verarbeitung kann besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO umfassen.
Die konkreten Verarbeitungswege und ergänzenden Speicherregeln beschreibt Datenflussübersicht: Funktionen und Verarbeitungswege.
Die Auftragsverarbeitung beginnt mit der Verarbeitung von Praxisdaten und endet mit ihrer Rückgabe beziehungsweise Löschung nach Abschnitt 8, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
3. Weisungen und Pflichten der Verantwortlichen
MIDWIFELY verarbeitet Praxisdaten ausschließlich nach dokumentierten Weisungen der Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. In diesem Fall informiert MIDWIFELY die Verantwortliche vorab, soweit das betreffende Recht dies nicht untersagt.
Die Nutzung vorgesehener Benutzeroberflächen, Funktionen und Schnittstellen sowie durch befugte Personen vorgenommene Freigaben und Einstellungen gelten als dokumentierte Weisungen im Rahmen dieses AVV. Dies umfasst vorgesehene Übermittlungen an externe Dienste oder in Drittländer.
Die Verantwortliche stellt insbesondere sicher, dass:
- geeignete Rechtsgrundlagen bestehen und betroffene Personen informiert werden;
- erforderliche Einwilligungen und Nachweise vorliegen;
- eingegebene Daten rechtmäßig verarbeitet werden;
- Zugriffsrechte und zugriffsrelevante Einstellungen angemessen vergeben und regelmäßig geprüft werden;
- Patientinnen- und Gesundheitsdaten erst nach Annahme dieses AVV verarbeitet werden;
- Ergebnisse von Assistenzfunktionen vor ihrer Verwendung fachlich geprüft werden.
Die Annahme dieses AVV ersetzt keine erforderliche Rechtsgrundlage gegenüber betroffenen Personen.
Hält MIDWIFELY eine Weisung für rechtswidrig, informiert MIDWIFELY die Verantwortliche unverzüglich. Die betroffene Verarbeitung darf bis zur Klärung ausgesetzt werden, soweit dies erforderlich und zumutbar ist.
Bei selbst beauftragten Kalender- oder Kommunikationsdiensten verantwortet die Praxis die rechtmäßige Nutzung sowie die dortigen Zugriffsrechte, Freigaben und Löschmaßnahmen. MIDWIFELY verantwortet die sichere und weisungsgemäße Durchführung der eigenen Verarbeitung. Den übermittelten Datenumfang beschreibt Datenflussübersicht: Kommunikation und Kalenderverbindungen.
4. Vertraulichkeit und Berechtigungen
MIDWIFELY verpflichtet befugte Mitarbeitende und weitere eingesetzte Personen auf Vertraulichkeit, soweit nicht bereits eine angemessene gesetzliche Verschwiegenheitspflicht besteht. Soweit Berufsgeheimnisse betroffen sind, werden die erforderlichen Verschwiegenheitspflichten auch gegenüber weiteren Mitwirkenden sichergestellt.
Tätigkeitsbereiche und Praxiszugriffe
MIDWIFELY ermöglicht getrennte Tätigkeitsbereiche für die eigene freiberufliche Tätigkeit und die Zusammenarbeit in einer Praxis. Die Praxismitgliedschaft begründet keinen Zugriff auf die im eigenen Tätigkeitsbereich anderer Mitglieder geführten Patientinnen- und Behandlungsdaten.
Innerhalb einer Praxis richten sich Zugriffs- und Bearbeitungsrechte nach Rollen, Berechtigungen und Praxiseinstellungen. Die Praxisleitung verwaltet die hierfür vorgesehenen administrativen Einstellungen im Rahmen ihrer Befugnisse. Eine technische Rolle ersetzt keine erforderliche Vertretungsberechtigung.
Externe Hebammen
Die Praxis kann benannten externen Hebammen zur Vertretung oder Mitbetreuung zeitlich begrenzten Zugriff auf ausgewählte Patientinnenakten gewähren.
Im freigegebenen Umfang können diese Daten einsehen und, soweit freigeschaltet, eigene Dokumentationseinträge erstellen, selbst erbrachte Leistungen erfassen sowie im eigenen Namen abrechnen. Eigene Dokumentationseinträge sind für berechtigte Personen der Gastgeberpraxis sichtbar.
Die externe Hebamme wird dadurch nicht Mitglied der Gastgeberpraxis. Die Freigabe eröffnet keinen allgemeinen Zugriff auf Rechnungen, Zahlungen oder Umsätze der jeweils anderen Praxis. Die eigenständige Verantwortung der beteiligten Hebammen beziehungsweise Praxen für ihre Behandlung bleibt bestehen.
Die zugehörigen Datenflüsse beschreibt Datenflussübersicht: Zusammenarbeit und Datenaustausch zwischen Tätigkeitsbereichen.
5. Unterauftragsverarbeiter und Drittlandübermittlungen
Die Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO. Die einbezogenen Unterauftragsverarbeiter und ihre Aufgaben sind in Datenflussübersicht: Funktionen, Daten und Unterauftragsverarbeiter aufgeführt.
MIDWIFELY verpflichtet sie vertraglich auf die einschlägigen Datenschutzpflichten und bleibt gegenüber der Verantwortlichen für deren vertragsgemäße Erfüllung verantwortlich.
Vor einer erstmaligen Einbindung oder Ersetzung informiert MIDWIFELY die Verantwortliche so rechtzeitig, dass sie den beabsichtigten Einsatz prüfen und innerhalb einer angemessenen Frist aus wichtigen datenschutzrechtlichen Gründen widersprechen kann.
Bei einem Widerspruch prüfen die Parteien eine geeignete Alternative. Bis zur Klärung werden betroffene Daten nicht an den beanstandeten Unterauftragsverarbeiter übermittelt. Ist keine geeignete Alternative möglich, kann die betroffene Funktion oder Leistung eingeschränkt oder beendet werden. Rechte auf Rückgabe, Export und Löschung bleiben bestehen.
Drittlandübermittlungen erfolgen nur unter den Anforderungen der DSGVO und mit den jeweils erforderlichen Garantien, insbesondere einem anwendbaren Angemessenheitsbeschluss oder geeigneten Standardvertragsklauseln und erforderlichen ergänzenden Maßnahmen.
Verarbeitungsorte und besondere Speicherbedingungen stehen in Datenflussübersicht: Dienstleister, Verarbeitungsorte und Speicherregeln.
6. Sicherheit, Datenminimierung und KI-Verarbeitung
MIDWIFELY trifft risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:
- Trennung von Praxis- und Patientinnendaten verschiedener Praxen und Tätigkeitsbereiche;
- rollen- und aufgabenbezogene Zugriffskontrollen;
- Authentifizierung, Berechtigungsprüfung und Schutz administrativer Zugänge;
- verschlüsselte Übertragung und Schutz von Zugangsdaten;
- Protokollierung sicherheitsrelevanter Vorgänge und Maßnahmen gegen Missbrauch und Betriebsstörungen;
- Verfahren für Sicherung, Wiederherstellung, Export, Löschung und Sicherheitsvorfälle;
- Beschränkung zugelassener KI-Dienste, Modelle und Verarbeitungsgebiete sowie Kontrolle ihrer Speicher- und Protokollierungseinstellungen;
- kein automatischer Wechsel zu einem nicht freigegebenen KI-Dienst.
MIDWIFELY beschränkt die Verarbeitung auf das für den jeweiligen Zweck erforderliche Maß und setzt geeignete Maßnahmen zur Anonymisierung oder Pseudonymisierung ein, soweit dies mit dem Zweck vereinbar und technisch umsetzbar ist.
Für die reguläre KI-Verarbeitung gelten die EU-Verarbeitungsstandorte und Zero-Data-Retention-Regeln nach Datenflussübersicht: KI-Verarbeitungsorte und Speicherregeln.
Eine Verwendung von Praxis-, Patientinnen- oder Gesundheitsdaten für eigene Werbung, Profilbildung oder das Training allgemeiner KI-Modelle findet nicht statt. Nutzerbezogene Korrekturdaten werden ausschließlich im beschriebenen Auftragszweck verarbeitet und nicht zu einem gemeinsamen Trainingsbestand verschiedener Nutzerinnen oder Praxen zusammengeführt; Einzelheiten regelt Datenflussübersicht: Gespeicherte Ergebnisse und Korrekturdaten.
Die Maßnahmen werden regelmäßig risikoorientiert überprüft und weiterentwickelt. Eine bestimmte Zertifizierung, ein Audit oder eine bestimmte Verschlüsselung der Live-Datenbank wird mit diesem AVV nicht zugesichert, sofern dies nicht ausdrücklich gesondert vereinbart ist.
7. Unterstützung und Sicherheitsvorfälle
MIDWIFELY unterstützt die Verantwortliche unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei:
- der Bearbeitung von Betroffenenanträgen;
- der Sicherheit der Verarbeitung;
- der Bewertung und Meldung von Datenschutzverletzungen;
- Datenschutz-Folgenabschätzungen und erforderlichen vorherigen Konsultationen.
Entsprechende Anliegen können über kontakt@midwifely.de eingereicht werden. MIDWIFELY stellt die verfügbaren Informationen bereit und führt erforderliche Maßnahmen im eigenen Verantwortungsbereich nach dokumentierter Weisung durch.
MIDWIFELY informiert die Verantwortliche ohne unangemessene Verzögerung über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten in der Auftragsverarbeitung und stellt verfügbare Informationen zur Bewertung und Bearbeitung bereit.
Die gesetzlich erforderliche Bewertung und Meldung an Aufsichtsbehörden oder betroffene Personen bleibt Aufgabe der Verantwortlichen.
8. Rückgabe und Löschung
Nach Ende der Auftragsverarbeitung entscheidet die Verantwortliche, ob ihre Praxisdaten zurückgegeben oder gelöscht werden.
Für die Anforderung beziehungsweise Durchführung der Rückgabe steht grundsätzlich ein Zeitraum von 30 Tagen nach Beendigung zur Verfügung, sofern nichts anderes vereinbart oder eine frühere Löschung verlangt wird.
Die Rückgabe erfolgt über den vorgesehenen Export. Soweit dieser einzelne Daten oder Dateien nicht umfasst, stellt MIDWIFELY sie auf angemessene Anforderung ergänzend bereit, soweit dies technisch möglich und zumutbar ist.
Nach Ablauf des Zeitraums löscht MIDWIFELY aktive Kopien, sofern keine Rückgabe verlangt wurde und keine gesetzliche Aufbewahrungspflicht oder dokumentierte Weisung zur weiteren Aufbewahrung entgegensteht. Weitere Kopien werden nach Abschluss der Rückgabe ebenfalls gelöscht, soweit keine solche Ausnahme besteht. Sicherungskopien werden nach den geltenden Sicherungs- und Löschfristen überschrieben oder gelöscht.
Für Korrekturdaten gelten zusätzlich die kürzeren beziehungsweise besonderen Löschregeln nach Datenflussübersicht: Gespeicherte Ergebnisse und Korrekturdaten.
Das Ende einer Aktenfreigabe beendet den Zugriff der externen Hebamme. Rechtmäßig aufzubewahrende eigene Dokumentations- und Abrechnungsnachweise der beteiligten Praxen bleiben davon unberührt.
9. Nachweise und Prüfungen
MIDWIFELY stellt die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereit und ermöglicht die gesetzlich vorgesehenen Prüfungen durch die Verantwortliche oder eine von ihr beauftragte Prüfstelle.
Vorhandene Dokumentationen und Prüfungen aus der Ferne werden vorrangig genutzt, soweit sie ausreichen. Erforderliche Vor-Ort-Prüfungen erfolgen mit angemessener Vorankündigung und unter Wahrung der Sicherheit, Vertraulichkeit und Rechte anderer Kunden.
Angemessene Kosten für zusätzliche individuelle Prüfungen können vorab vereinbart werden, soweit dies gesetzlich zulässig ist. Gesetzliche Prüfungsrechte dürfen dadurch nicht verhindert oder unangemessen erschwert werden. Bei dringenden Anlässen werden Ankündigung und Ablauf entsprechend angepasst.
10. Änderungen und Schlussbestimmungen
Änderungen dieses AVV und der einbezogenen Datenflussübersicht werden versioniert und nachvollziehbar dokumentiert. Rein redaktionelle Anpassungen ohne Änderung des Regelungsgehalts erfordern keine erneute Zustimmung. Wesentliche Vertragsänderungen werden der Verantwortlichen zur Zustimmung vorgelegt. Für Änderungen bei Unterauftragsverarbeitern gelten die in diesem AVV vereinbarten Informations- und Widerspruchsrechte.
Eine Änderung der öffentlich abrufbaren Datenflussübersicht allein ersetzt nicht die vertraglich einbezogene Fassung oder das vereinbarte Änderungsverfahren.
Es gilt deutsches Recht, soweit zwingende Vorschriften nichts anderes verlangen. Ergänzend gelten die vereinbarten Nutzungsbedingungen; für die Auftragsverarbeitung geht dieser AVV vor. Änderungen und Ergänzungen bedürfen der Textform, soweit keine strengere Form vorgeschrieben ist.