CloudCare Pro
Online-Speicher und Datenaustausch für Praxis und Pflege
Angebot CCP-2610-07
Auszug · Allgemeine Vertragsbedingungen
Drei fiktive Angebote für Software, Cloud und KI, jedes mit Haken im Kleingedruckten. Finden Sie die Warnzeichen und nehmen Sie Ihre eigene Fragenliste für das nächste Angebot mit.
01ort → eu-rechenzentrum? avv nach art. 28 dsgvo?02daten → export jederzeit, offenes format?03ki → training mit ihren daten? wo läuft das modell?04betrieb → backup, wiederherstellung, reaktionszeit?05vertrag → laufzeit, verlängerung, änderungen?06ergebnis → ihre fragenliste ✓
Ob Dokumentationssoftware, Cloud-Speicher oder KI-Assistent: Angebote für Praxis und Pflege klingen sich zum Verwechseln ähnlich. Den Unterschied machen die Vertragsbedingungen, und die liest im Alltag kaum jemand ganz. Dabei entscheidet sich genau dort, wo Ihre Daten liegen, wer sie sehen darf und wie Sie wieder herauskommen.
„DSGVO-konform“ und „sicher in der Cloud“ steht auf jeder Produktseite. Was tatsächlich gilt, steht in den Vertragsbedingungen, im AVV und in den Anlagen.
Befunde, Wundbilder und Pflegeberichte gehören zu den besonderen Kategorien nach Art. 9 DSGVO, und für Ärztinnen, Ärzte und Pflegekräfte gilt die Schweigepflicht. Ein loser Satz im Vertrag kann beides berühren.
Laufzeit, Exportweg und Datenformat legen fest, ob Sie in ein paar Wochen wechseln können oder für Jahre gebunden sind. Später nachzuverhandeln ist schwer.
„Weltweit“, „auf Anfrage“, „regelmäßig“, „nach eigenem Ermessen“: Gefährlich ist selten, was dasteht, sondern was offen bleibt.
Vereinfacht und ohne Gewähr: Dieses Werkzeug schärft den Blick, es ersetzt keine Rechtsberatung. Für einen konkreten Vertrag ziehen Sie Ihre Datenschutzbeauftragten und, wo nötig, juristischen Rat hinzu.
Drei fiktive Anbieter, drei Auszüge aus dem Kleingedruckten. Markieren Sie, was Sie stutzig macht. Nicht jeder Satz ist ein Haken, und auch das harmlose Kleingedruckte hat eine Erklärung. Jedes gefundene Warnzeichen landet als Frage in Ihrer Liste.
Tippen Sie auf jeden Satz, der Sie stutzig macht. In jedem Angebot stecken vier bis fünf Warnzeichen.
Tastatur: Tab von Satz zu Satz, Enter markiert · Maus: die Lupe folgt
Jedes Warnzeichen wird zu einer Frage für das nächste Angebot. 0 von 14 Fragen freigelegt.
Die Warnzeichen lassen sich fünf Bereichen zuordnen. Wer jedes Angebot entlang dieser Bereiche liest, übersieht weniger, und am Ende zählen Nachweise mehr als schöne Sätze.
Wo liegen die Daten, auch Sicherungen? Liegt der AVV nach Art. 28 DSGVO bei? Welche Unterauftragnehmer sind beteiligt, und wie erfahren Sie von Änderungen?
„weltweit“ · „AVV auf Anfrage“ · „nach eigenem Ermessen“
Können Sie jederzeit selbst exportieren, vollständig und in offenen Formaten? Was passiert nach Vertragsende, und wann wird mit Nachweis gelöscht?
„auf Anfrage“ · „nach Aufwand“ · „im eigenen Format“
Werden Ihre Eingaben zum Training genutzt? Welches Modell läuft wo, und wer betreibt es? Wer beim Anbieter kann mitlesen?
„zur Verbesserung unserer Modelle“ · „nach Auslastung“
Wie oft wird gesichert, und wie schnell ist eine Wiederherstellung zugesagt? Welche Reaktionszeiten gelten bei Störungen, und wie erreichen Sie im Notfall einen Menschen?
„regelmäßig“ · „per E-Mail“ · „gängige Standards“
Wie lange ist die Mindestlaufzeit, um wie viel verlängert sie sich, und bis wann müssen Sie kündigen? Darf der Anbieter einseitig ändern? Sind alle Beteiligten zur Verschwiegenheit verpflichtet?
„verlängert sich automatisch“ · „gilt als angenommen“
Lassen Sie sich vorlegen, was behauptet wird: den AVV mit technischen und organisatorischen Maßnahmen, die Liste der Unterauftragnehmer und für Gesundheitsdaten in der Cloud ein aktuelles C5-Testat.
Papier vor Unterschrift
Lock-in entsteht selten durch eine einzelne Klausel, sondern durch das Zusammenspiel: lange Laufzeit, Export nur auf Anfrage, ein Format, das nur der Anbieter lesen kann, und eine knappe Löschfrist nach Vertragsende. Jede für sich klingt harmlos, zusammen machen sie aus einem Wechsel ein Projekt über Jahre.
Ziehen Sie den Zeitpunkt Ihrer Entscheidung über die Zeitachse. Schalten Sie Klauseln zwischen Kleingedrucktem und fairer Fassung um.
„24 Monate, verlängert sich um 24, Frist 6 Monate“
„Auf Anfrage, bis zu 8 Wochen, gegen Gebühr“
„Eigenes MediDok-Format“
„Gelöscht nach 14 Tagen“
Tipp: Schieben Sie die Entscheidung von Monat 18 auf Monat 19.
Dokumentationen müssen oft viele Jahre aufbewahrt werden, Patientenakten in der Regel zehn Jahre und länger. Ein Anbieterwechsel darf daran nichts ändern. Klären Sie deshalb vor der Unterschrift, wie Sie Ihre Daten vollständig und in offenen Formaten zurückbekommen, und lassen Sie sich die Löschung am Ende nachweisen.
Bei KI-Werkzeugen kommen eigene Fragen dazu. Die wichtigste: Was passiert mit dem, was Ihr Team eingibt? Ein Arztbrief im Eingabefeld ist kein anonymer Text, sondern ein Gesundheitsdatum mit Namen.
Steht im Vertrag, nicht nur in einer Einstellung, die sich mit dem nächsten Update ändern kann. Fragen Sie auch nach „anonymisierter“ Nutzung.
Welches Modell, welcher Betreiber, welches Rechenzentrum? Ein Modell, das „nach Auslastung“ irgendwo rechnet, nimmt Ihre Texte mit.
Sobald Ihr Team Namen, Befunde oder Geburtsdaten eingibt, sind es personenbezogene Daten. Der Modellbetreiber gehört dann als Unterauftragnehmer in den AVV.
Mitlesen „zur Qualitätssicherung“ ist für Berufsgeheimnisträger heikel. Wer Einblick bekommt, muss zur Verschwiegenheit verpflichtet sein, und jede Einsicht wird protokolliert.
KI-Texte sind Entwürfe. Gut ist, wenn das Werkzeug sie kennzeichnet und Ihr Ablauf die fachliche Prüfung vorsieht.
Der Anbieter sollte sagen können, wie sein System eingestuft ist. Als Betreiber fördern Sie unter anderem die KI-Kompetenz Ihres Teams.
Mehr dazu, wie Sie den Einsatz im Team regeln, steht im Leitfaden KI-Richtlinie.
Dieselben Fragen stellen wir uns selbst. Unsere Antworten:
Betrieb in europäischen Rechenzentren oder On-Premises in Ihrem Haus. Keine Datenflüsse außerhalb der EU, auch nicht über Support oder Sicherungen.
Zu jedem Modul liefern wir AVV, TOMs und, wo nötig, die Vorlagen für eine Datenschutz-Folgenabschätzung mit. Unterauftragnehmer sind benannt.
Wir verbinden Systeme über Standards wie FHIR und HL7 und planen den Export in offenen Formaten von Anfang an mit. Ein Ausstieg soll möglich sein, ohne dass Daten verloren gehen.
Ihre Daten werden nicht zum Training von KI-Modellen verwendet, es sei denn, Sie stimmen ausdrücklich zu. Modelle wählen wir nach dem Schutzbedarf Ihrer Daten.
Wir ersetzen Ihre Praxis- oder Pflegesoftware nicht, sondern bauen um sie herum. Bietet Ihr Hersteller einen Cloud-Betrieb an, prüfen wir dessen Bedingungen mit.
Wer bei uns an Ihren Systemen mitwirkt, ist zur Verschwiegenheit verpflichtet. Das steht im Vertrag, nicht nur in einer Absichtserklärung.
Wir nehmen Ihre bestehenden Systeme und Verträge auf: Was läuft wo, mit welchem AVV, welcher Laufzeit, welcher Kündigungsfrist und welchem Exportweg? So sehen Sie, wo Sie gebunden sind und wo Lücken klaffen.
Wo ein Wechsel sinnvoll ist, ziehen Daten schrittweise in die EU-Cloud oder auf Ihre Server, mit dem Einverständnis und der Akzeptanz Ihrer Mitarbeitenden. Exporte kommen in offenen Formaten, Altdaten werden archiviert und erst mit Nachweis gelöscht.
Erst dann kommen KI-Werkzeuge dazu, deren Klauseln zum Schutzbedarf passen: kein Training mit Ihren Daten, Modell in der EU oder bei Ihnen, Mensch entscheidet.
Nein. Die Angebote sind fiktiv und die Erklärungen vereinfacht. Für einen konkreten Vertrag ziehen Sie Ihre Datenschutzbeauftragten und, wo nötig, juristischen Rat hinzu. Die Fragenliste hilft, das Gespräch mit dem Anbieter gut vorbereitet zu führen.
Nicht automatisch. Eine Übermittlung in ein Drittland braucht aber eine eigene Rechtsgrundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und eine zusätzliche Prüfung. Bei Gesundheitsdaten ist das aufwendig. Wir planen deshalb so, dass Daten die EU gar nicht erst verlassen.
C5 ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Cloud-Dienste. Ein Testat bestätigt nach einer Prüfung, dass ein Anbieter die Kriterien erfüllt. Verarbeiten Leistungserbringer der gesetzlichen Krankenversicherung oder Kassen Gesundheits- und Sozialdaten in der Cloud, verlangt § 393 SGB V ausdrücklich ein solches Testat oder einen Nachweis mit vergleichbarem Sicherheitsniveau. Fragen Sie nach dem aktuellen Testat und nach dem Bericht dazu.
Erst sichten, dann handeln: Laufzeit, Kündigungsfrist, AVV und Exportweg notieren. Manches lässt sich nachverhandeln, etwa ein fehlender AVV. Für einen Wechsel planen Sie rückwärts vom frühesten Vertragsende, wie im Exit-Test oben.
Mit Gesundheitsdaten sollten Sie das nicht tun. Viele Anbieter haben Tarife, in denen Eingaben nicht zum Training genutzt werden. Wichtig ist, dass das im Vertrag steht und nicht nur in einer Einstellung.
In der Analyse nehmen wir Ihre bestehenden Systeme und Verträge auf und zeigen, wo Sie gebunden sind. Bei der Migration achten wir auf EU-Hosting, AVV und Export in offenen Formaten, bei KI auf Modelle, die zum Schutzbedarf passen. Ihre Fachsoftware bleibt.
Ein Angebot liegt auf dem Tisch, und Sie möchten eine zweite Meinung? Erstgespräch vereinbaren