ANAMNESIS · AIAgens

Auftragsverarbeitungsvertrag (DPA)

v1.0 Stand: 29. April 2026 PDF herunterladen
Dieser Auftragsverarbeitungsvertrag (DPA) regelt die Verarbeitung personenbezogener Daten zwischen Ihnen (Verantwortlicher: Arzt / Klinik) und AIAgens, eine Marke der Exatoshi AG (Auftragsverarbeiter) im Rahmen der Anamnesis Medical-Scribe-Lösung. Er erfüllt die Anforderungen von Art. 28 DSGVO und Art. 9 nDSG.

1. Vertragsparteien

Verantwortlicher und Auftragsverarbeiter

Verantwortlicher: der Arzt, die Ärztin oder die medizinische Einrichtung, die Anamnesis im klinischen Alltag einsetzt.

Auftragsverarbeiter: Exatoshi AG, Piazza Cioccaro 4, 6900 Lugano TI, Schweiz · CHE-266.634.159

2. Gegenstand und Dauer

Verarbeitungstätigkeiten

Anamnesis erfasst und transkribiert Sprachaufnahmen einer ärztlichen Konsultation und erstellt daraus einen strukturierten Dokumentationsentwurf (SOAP) zur abschliessenden Validierung durch den Verantwortlichen. Es werden keine Diagnosecodes, keine Therapievorschläge und keine Abrechnungscodes erzeugt. Die Verarbeitung erfolgt für die Dauer des Abonnements und wird beim Vertragsende gemäss Abschnitt 12 beendet.

3. Kategorien personenbezogener Daten

Verarbeitete Datentypen (Art. 9 DSGVO besondere Kategorien)
  • Audioaufzeichnungen der Konsultation
  • Klinische Transkripte (anamnese, Symptome, Befunde)
  • Im Gespräch genannte Medikamente und Untersuchungsaufträge
  • Patientennamen, soweit im Gespräch erwähnt

Es werden keine biometrischen Identifikatoren (Voiceprint) ausserhalb der direkten ASR-Pipeline gespeichert.

4. Kategorien betroffener Personen

Patienten und Ärzte
  • Patienten der Praxis / Klinik
  • Behandelnde Ärzte und medizinisches Personal

5. Pflichten des Auftragsverarbeiters

Vertraulichkeit, Sicherheit, Sub-Auftragsverarbeiter
  • Verarbeitung ausschliesslich auf dokumentierte Weisung des Verantwortlichen.
  • Vertraulichkeitsverpflichtung aller mit der Verarbeitung betrauten Personen.
  • Geeignete technische und organisatorische Massnahmen (Abschnitt 7).
  • Unterstützung des Verantwortlichen bei DSGVO Art. 32-36 (Sicherheit, DPIA, Verletzungsmeldung).
  • Sub-Auftragsverarbeiter ausschliesslich gemäss Liste (Abschnitt 8) mit Vorabinformation.

6. Rechte der betroffenen Person

Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch

Der Auftragsverarbeiter unterstützt den Verantwortlichen unverzüglich bei Anfragen nach Art. 15-21 DSGVO. Self-Service-Endpunkte unter /anamnesis/privacy. SLA: Tombstone innerhalb 24h, physische Löschung innerhalb 7 Tagen.

7. Technische und organisatorische Massnahmen

Verschlüsselung, Zugriffskontrolle, Audit
  • Verschlüsselung der Daten im Ruhezustand: AES-256-GCM mit MultiFernet-Rotation.
  • Übertragung: TLS 1.3 ausschliesslich.
  • Server in der Schweiz (eu-central-2, Zürich) als Standardregion.
  • Unveränderliches Audit-Log mit Hash-Chain.
  • PostgreSQL Row-Level Security (RLS) für Multi-Tenant-Isolation.
  • MFA für Mitarbeiterzugriff, Just-in-Time-Privilegien, Audit-Trail.

8. Liste der Sub-Auftragsverarbeiter

Aktuelle und genehmigte Sub-Auftragsverarbeiter

Die jeweils aktuelle Liste finden Sie auf /legal/anamnesis/subprocessors. Änderungen werden mit 30-tägigem Vorlauf per E-Mail mitgeteilt.

9. Internationale Datentransfers

CH/EU-Standard, SCC bei Ausnahmen

Standardmässig erfolgt die Verarbeitung ausschliesslich in der Schweiz und der Europäischen Union. Etwaige Übermittlungen an Sub-Auftragsverarbeiter ausserhalb des EWR erfolgen ausschliesslich auf Basis aktueller EU-Standardvertragsklauseln (SCC 2021) und CH-FDPIC-Anhang; die jeweils geltenden Empfänger und Standorte sind in der Sub-Auftragsverarbeiterliste aufgeführt.

10. Meldung von Datenschutzverletzungen

72-Stunden-SLA, FDPIC und Aufsichtsbehörden

Bei einer personenbezogenen Datenschutzverletzung benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung (Art. 33 DSGVO). Für die Schweiz gilt zusätzlich die Meldepflicht an den EDÖB nach nDSG. Die operative Eskalation folgt dem Runbook docs/anamnesis_breach_response_sop.md.

11. Audit-Recht des Verantwortlichen

Selbstauskunft, Drittauditberichte, Vor-Ort-Audit

Der Verantwortliche kann jährlich einen Audit verlangen. Standardmässig stellt AIAgens, eine Marke der Exatoshi AG, aktuelle SOC-2-Type-II- bzw. ISO-27001-Drittberichte sowie ein dokumentiertes Sicherheitsdossier bereit. Vor-Ort-Audits sind nach 30-tägiger Voranmeldung und auf Kosten des Verantwortlichen zulässig.

12. Rückgabe und Löschung der Daten

Vertragsende-Verfahren

Bei Beendigung des Vertrages gibt der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen zurück oder löscht sie auf Wahl des Verantwortlichen, sofern keine Aufbewahrungspflicht entgegensteht. Eine schriftliche Löschbescheinigung wird bereitgestellt.

13. Anwendbares Recht und Gerichtsstand

Schweizer Recht, Lugano TI

Es gilt schweizerisches Recht. Ausschliesslicher Gerichtsstand ist Lugano TI, Schweiz.