Fassung 0.10 — Psymora

Fassung 0.10 · Stand 13.09.2026

# Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

**Fassung 0.10 — 2026-09-13**

> **Entwurf. Stand 13. September 2026 anwaltlich NICHT geprüft.** Dieses
> Dokument ist ein Arbeitsentwurf. Es ist von Robert Strecher inhaltlich zu
> prüfen und **vor der Verwendung gegenüber Kunden anwaltlich freizugeben**. Es
> ersetzt keine Rechtsberatung. Alle mit
> `[[OFFEN: …]]` markierten Stellen sind vor der Freigabe zu klären; sie sind
> am Ende unter „Offene Punkte" gesammelt. Mit
> `[[ENTSCHEIDUNG ROBERT: …]]` markierte Stellen verlangen keine
> Rechtsauskunft, sondern eine unternehmerische Festlegung.

## Änderungshistorie

| Fassung | Datum | Änderungen |
|---|---|---|
| 0.10 | 2026-09-13 | **Nachzug auf die Selbstregistrierung** (`docs/recht/AGB.md` Fassung 0.7). Der Vertrag wird nicht mehr handschriftlich unterschrieben, sondern **per Klick im Bestellvorgang** angenommen — der bisherige Unterschriftenblock ist ersetzt durch eine Beschreibung dieses Mechanismus samt Verweis auf die Aufzeichnung nach § 3.8 der `AGB.md`. Neue **Ziffer 1.9** stellt klar, dass die elektronische Annahme des AVV samt allen drei Anlagen zusammen mit dem Hauptvertrag im selben Bestellvorgang erfolgt und der Schriftform nach Ziffer 1.8 gleichsteht. Der Kopf „Vertragsparteien" verweist jetzt darauf, dass die Kundendaten aus dem Bestellvorgang stammen, nicht aus einem individuell verhandelten Vertrag. Inhaltlich sonst **unverändert** — Weisungsrecht, Vertraulichkeit, TOM, Unterauftragsverarbeiter, Löschung und Haftung sind vom Vertriebsweg unabhängig. |
| 0.9 | 2026-09-10 | **Nachzug auf die Abschaltung der Telemetriezentrale.** Ziffer 3.6 nannte als Empfänger der beiden Meldungen die „Zentrale von RSTCode" — ein System, das es nicht mehr gibt: Die Zentrale (`erpzentrale.rstcode.at`) ist abgeschaltet, ihre Aufgabe hat der **Lizenzserver** (`admin.psymora.at`) übernommen. Genannt ist jetzt der Lizenzserver, und damit für beide Verbindungen dasselbe System. **Inhaltlich ist keine Verarbeitung erweitert worden:** Es wird Feld für Feld dasselbe gemeldet wie zuvor, die Aufzählung in Ziffer 3.6 bleibt unverändert. Was sich ändert, ist die Absicherung — die Instanz weist sich mit ihrem eigenen Lizenzschlüssel aus statt mit einem Geheimnis, das auf jeder Instanz dasselbe war; das ist eine Verbesserung des Schutzes und keine Änderung des Umfangs (Anlage 1 Ziffer 1.5). Zwei Angaben sind ergänzt: die **Aufbewahrungsfrist der gemeldeten Klickpfad-Kürzel bei RSTCode von 90 Tagen** (Anlage 1 Ziffer 1.7, Löschkonzept Abschnitt 3.6) — sie war bisher gar nicht geregelt und in Anlage 1 als offener Punkt geführt —, und dass die Meldung neben dem eingerichteten Meldeziel den eingetragenen Lizenzschlüssel voraussetzt. |
| 0.8 | 2026-09-10 | **Support-Zugang durch die Anwendung und Ersteinrichtung** als neue Ziffer 6.9 aufgenommen. Die befristete Freischaltung durch den Kunden, die Aufzeichnung jedes Seitenaufrufs und die passwortlose Anmeldung des Support-Konto über einen einmaligen, signierten und an die Instanz gebundenen Nachweis waren im Vertrag bisher **gar nicht beschrieben** — Ziffer 6.6 sprach nur allgemein von „Anforderung oder Zustimmung". Neu offengelegt und damit der eigentliche Anlass dieser Fassung: die **Ausnahme Ersteinrichtung** (Ziffer 6.9.3). Bis zur ersten Anmeldung eines Benutzerkontos des Kunden kann sich RSTCode auf einer neu bereitgestellten Instanz auch ohne Freischaltung anmelden; die Möglichkeit endet endgültig mit dieser ersten Anmeldung, spätestens nach vierzehn Tagen, und lebt nicht wieder auf. Solche Anmeldungen sind in der Aufzeichnung, die der Kunde einsieht, als Ersteinrichtung gekennzeichnet (Ziffer 6.9.4); der sachliche Grund — niemand kann vor der ersten Anmeldung freischalten, die Einrichtung ist beauftragt, und es liegen noch keine Patientendaten vor — steht in Ziffer 6.9.5. Anlage 1 Ziffer 2.7 ist gleichlautend gefasst und in Ziffer 2.5 verwiesen; Anlage 1 Ziffer 8 hält die Grenze fest. Ziffer 6.9.3 hält ausserdem fest, dass eine laufende Sitzung mit dem Ende der Ausnahme endet und eine solche Sitzung die Ausnahme nie überdauert; die neue Ziffer **6.9.3a** zieht die Grenze, auf der das ganze Modell steht — **der Nachweis öffnet keinen Zugang**, und eine ohne Freischaltung entstandene Sitzung gilt für einen weiteren Nachweis nicht als Freischaltung. Inhaltlich ist damit keine Befugnis erweitert worden: Beschrieben ist, was die Software tut. |
| 0.1 | 2026-09-09 | Erstentwurf |
| 0.2 | 2026-09-09 | Juristische Durchsicht. Vollständigkeitsprüfung gegen Art. 28 Abs. 3 lit. a–h DSGVO: Weisungsbindung auf Drittlandsübermittlungen erstreckt (Ziffer 3.7), Pflichten und Rechte des Verantwortlichen als eigener Regelungsgegenstand aufgenommen (Ziffer 1.7, Art. 28 Abs. 3 Satz 1), Formvorschrift des Art. 28 Abs. 9 ergänzt (Ziffer 1.8). Begriffsklausel ergänzt (Ziffer 1.6). Vorrangregel in Ziffer 1.4 präzisiert. Vertraulichkeit (Ziffer 7) auf die tatsächlich geltenden Rechtsgrundlagen gestellt: § 6 DSG (Datengeheimnis) und § 45 Abs. 1 bis 3 Psychotherapiegesetz 2024; Schutz vor Umgehung des Berufsgeheimnisses über den Auftragsverarbeiter ergänzt (Ziffer 6.7, § 6 Abs. 5 DSG). Haftungsziffer 13 neu gefasst: Trennung von Außenhaftung nach Art. 82 DSGVO und Innenverhältnis, Grenzen nach § 879 Abs. 3 ABGB, Freistellungen mit Verschuldensvorbehalt. Widerspruch in Ziffer 2.3 (Kündigung) aufgelöst. Verbot eines Zurückbehaltungsrechts an personenbezogenen Daten ausdrücklich aufgenommen (Ziffer 12.7). Drei falsche Querverweise auf Ziffer 6 statt Ziffer 7 berichtigt. Zitierweise des Psychotherapiegesetzes durchgehend auf **PThG 2024** umgestellt. |
| 0.4 | 2026-09-09 | **Selbstverpflichtung zum unmittelbaren Zugriff auf Datenbank und Dateisystem** als neue Ziffer 6.8 aufgenommen (Entscheidung Robert Strecher vom 9. September 2026: Der Umzug auf einen eigenen Server unterbleibt vorerst; stattdessen bindet sich RSTCode vertraglich). Bewusst **keine** Nie-Zusage: Wartung kann einen unmittelbaren Zugriff erfordern, und ein Versprechen, das nicht zu halten ist, wäre wertlos und nach § 879 Abs. 3 ABGB angreifbar. Zugesagt sind stattdessen vier belastbare Punkte: Zugriff auf Kundendaten grundsätzlich nur über die Anwendung; unmittelbarer Zugriff auf Datenbank oder Dateisystem nur bei technischer Störung oder Rechtspflicht, die anders nicht zu erfüllen ist; keine Kenntnisnahme von Inhalten über das dafür Nötige hinaus; schriftliche Aufzeichnung jedes solchen Zugriffs mit Anlass, Zeitpunkt, Person und betroffenen Datenbeständen, die dem Kunden auf Verlangen offengelegt wird. Anlage 1 Ziffer 2.5 ist gleichlautend gefasst; der dortige offene Punkt Nr. 2 ist damit geschlossen. Ziffer 6.6 unterscheidet dazu passend zwischen Zugriffen durch die Anwendung hindurch (Leseprotokoll, Anlage 1 Ziffer 3.3) und unmittelbaren Zugriffen auf Datenbank oder Dateisystem (keine technische Protokollierung, dafür Ziffer 6.8) — die bisherige pauschale Aussage „ein technisches Protokoll dieser Zugriffe besteht derzeit nicht" traf beides und war insoweit zu weit. |
| 0.5 | 2026-09-10 | **Der Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter liegt vor** (Robert Strecher, 2026-09-10). Der Vorbehalt zu Ziffer 9.5 ist damit nicht mehr pauschal, sondern auf den **einen** noch offenen Fall eingegrenzt: die Serverkapazität des Videoservers (Anlage 2 Ziffer 1.5, Prepaid-Host). Für Hosting, Datenbank, Dateien, Sicherungen und Mailserver ist die Zusage der Ziffer 9.5 eingelöst; Anlage 2 weist den Vertrag unter den Ziffern 1.1 und 1.2 aus und führt unter der neuen Ziffer 1.1a die weiteren Glieder der Kette bis zum Rechenzentrum auf (Neue Medien Münnich GmbH, YASDA Online GmbH — beide Sitz Deutschland, keine Drittlandsübermittlung). Die Folge für die Verwendbarkeit ist entsprechend eingegrenzt: Der Vertrag darf einem Kunden vorgelegt werden, solange das Modul „Videotermine" für dessen Instanz abgeschaltet bleibt. Die Entscheidungsmarke nennt nur noch den Vertrag mit Prepaid-Host. |
| 0.6 | 2026-09-10 | **Der Auftragsverarbeitungsvertrag mit Prepaid-Host liegt vor** (Robert Strecher, 2026-09-10) — damit besteht für jeden in Anlage 2 geführten Unterauftragsverarbeiter ein Vertrag nach Art. 28 DSGVO. Der Vorbehalt zu Ziffer 9.5 ist **ersatzlos entfallen**, nicht weiter eingegrenzt: Er hing allein an diesem fehlenden Vertrag und hat keinen Anwendungsfall mehr. Der Vertragstext der Ziffer 9.5 selbst bleibt unverändert — die dortige Zusage ist jetzt für alle Unterauftragsverarbeiter eingelöst und gilt für jeden künftig hinzukommenden über Ziffer 9.2 fort. Die Entscheidungsmarke zum Abschluss des Vertrags ist damit gegenstandslos und entfernt. Inhaltlich ist keine Pflicht geändert, keine neue Zusage gegeben. |
| 0.3 | 2026-09-09 | Auflösung der im internen Prüfbericht `PRUEFBERICHT-WIDERSPRUECHE.md` festgehaltenen Widersprüche. **K-1:** Die Protokollierungszusage in Ziffer 6.6 zurückgenommen — es gibt kein technisches Zugriffsprotokoll, Anlage 1 Ziffer 2.5 und Ziffer 8 halten das ausdrücklich fest; der Vertrag sagt es jetzt gleichlautend. **K-3:** Aufbewahrungsgrundlage berichtigt — § 212 UGB ist nach **§ 189 Abs. 4 UGB** auf Angehörige der freien Berufe nicht anzuwenden; tragend ist **§ 132 Abs. 1 BAO** (sieben Jahre ab Schluss des **Kalenderjahres**, verlängert für anhängige Abgabenverfahren mit Parteistellung). § 212 UGB steht überall nur noch bedingt, für den Fall der Rechnungslegungspflicht nach § 189 Abs. 1 UGB. Beide Bestimmungen am RIS im Wortlaut geprüft. **K-5/S-2:** Ziffer 9.5 hält jetzt ausdrücklich fest, dass Anlage 2 den Stand der Verträge nach Art. 28 Abs. 4 DSGVO je Unterauftragsverarbeiter ausweist, und trägt einen sichtbaren Vorbehalt: Solange dort ein Vertrag fehlt, darf der AVV keinem Kunden vorgelegt werden. Der Abschluss der Verträge ist als Entscheidung von Robert markiert. **S-1:** Ziffer 3.6 beschreibt die Meldungen an RSTCode jetzt vollständig und am Code — nächtliche Zählwertmeldung samt Hostname, Kontenzahlen, Mengengerüst, Technikstand und Sicherungsstand, dazu der zweimal tägliche Lizenzabgleich und, sofern eingeschaltet, die Klickpfad-Kürzel. Das Wort „ausschließlich" ist gefallen; die irreführende Aussage, die Meldung unterbleibe ohne konfiguriertes Ziel, ist durch den tatsächlichen Bereitstellungsvorgang ersetzt. **S-5:** Der Hinweiskasten zu Ziffer 10.3 gab eine eigene DSFA-Prognose ab („starkes Indiz", Art. 35 Abs. 3 lit. b DSGVO), die der Zuarbeit `Kunde-DSFA-Zuarbeit.md` widersprach — diese kommt über die Ausnahme DSFA-A12 der DSFA-AV und deren Vorrang nach § 2 Abs. 1 DSFA-V zum gegenteiligen Ergebnis. Der AVV verzichtet jetzt auf eine eigene Einschätzung und verweist auf die Zuarbeit. **G-1:** Ziffer 1.6 ordnet zusätzlich „Klientin bzw. Klient", „Patientin bzw. Patient" und „betroffene Person" einander zu und verweist auf § 1.6 der AGB. |
| 0.7 | 2026-09-10 | **Neue Ziffer 3.8 — Support-Verlauf.** Der Nachrichtenaustausch im Support-Postfach ist als das eingetragen, was er ist: eine Verarbeitung, für die **RSTCode selbst Verantwortlicher** ist (Art. 4 Z 7 DSGVO), nicht Auftragsverarbeiter, und die deshalb **nicht Gegenstand dieses Vertrags** ist. Genannt sind Rechtsgrundlagen (Art. 6 Abs. 1 lit. b und lit. f DSGVO), betroffene Personen (die für den Kunden tätigen Personen, nicht dessen Klientel), Datenarten einschließlich der **internen Notizen und der internen Einordnung**, die dem Kunden nicht übermittelt werden, und die Aufbewahrung (Verweis auf Abschnitt 3.5 des Löschkonzepts). Ausdrücklich festgehalten ist, dass der Kunde gesendete Nachrichten **nicht selbst löschen** kann und **warum das nur wegen der eigenen Verantwortlichkeit trägt**: Als Auftragsverarbeiter müsste RSTCode einer Weisung folgen und dürfte die Löschung nicht verweigern (Art. 17 Abs. 3 lit. e DSGVO). **Widerspruch in Ziffer 3.1 aufgelöst:** Der Satz „ein eigener Zweck von RSTCode besteht nicht" galt seinem Wortlaut nach für alle Daten und wäre auf die eigenen Vertrags- und Supportunterlagen bezogen unrichtig gewesen; er ist jetzt ausdrücklich auf die **im Auftrag** verarbeiteten Daten bezogen. An den Pflichten zu den Auftragsdaten ändert sich nichts. **Offener Punkt Nr. 8 erweitert:** Das fehlende Verarbeitungsverzeichnis braucht neben dem Teil nach Art. 30 Abs. 2 DSGVO auch einen nach **Art. 30 Abs. 1** — für die Verarbeitungen mit eigener Verantwortlichkeit, zu denen der Support-Verlauf jetzt ausdrücklich zählt. |

---

## Vertragsparteien

**Verantwortlicher** (im Folgenden „Kunde")

| | |
|---|---|
| Name / Firmenwortlaut | `[[OFFEN: wird aus den Angaben des Bestellvorgangs auf signup.psymora.at eingesetzt]]` |
| Anschrift | `[[OFFEN: wird aus den Angaben des Bestellvorgangs auf signup.psymora.at eingesetzt]]` |
| Vertretungsbefugte Person | `[[OFFEN: wird aus den Angaben des Bestellvorgangs auf signup.psymora.at eingesetzt]]` |
| E-Mail für datenschutzrechtliche Mitteilungen | `[[OFFEN: wird aus den Angaben des Bestellvorgangs auf signup.psymora.at eingesetzt, sofern der Kunde keine gesonderte Adresse angibt — sonst die bei der Bestellung angegebene Kontakt-E-Mail]]` |

**Auftragsverarbeiter** (im Folgenden „RSTCode")

| | |
|---|---|
| Firmenwortlaut | RSTCode — Robert Strecher, Einzelunternehmer (kein Firmenbucheintrag) |
| Anschrift | Hitzendorf 92, 8151 Hitzendorf, Österreich |
| UID-Nummer | ATU79507936 |
| GISA-Zahl | 32319019 |
| Gewerbebehörde | Bezirkshauptmannschaft Graz-Umgebung |
| E-Mail | office@rstcode.at |
| Telefon | +43 681 10543866 |

Produktname der Software: **Psymora**.

`[[OFFEN: Datenschutzbeauftragter — RSTCode hat als Einzelunternehmer nach derzeitiger
Einschätzung keinen Datenschutzbeauftragten zu bestellen (Art. 37 DSGVO). Ob die
Verarbeitung von Gesundheitsdaten in „umfangreicher" Weise im Sinne des Art. 37 Abs. 1
lit. c DSGVO vorliegt, ist anwaltlich zu prüfen und hier zu vermerken.]]`

---

## 1. Gegenstand, Grundlage und Rollen

1.1 RSTCode stellt dem Kunden die Software Psymora als betriebsbereite,
eigenständige Instanz zur Verfügung und betreibt diese für den Kunden. Die
Einzelheiten der Leistung ergeben sich aus dem Hauptvertrag (Allgemeine
Geschäftsbedingungen samt Leistungsbeschreibung).

1.2 Verarbeitet RSTCode dabei personenbezogene Daten, für die der Kunde
Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist, geschieht dies
ausschließlich im Auftrag des Kunden. Dieser Vertrag konkretisiert die
Pflichten beider Seiten nach Art. 28 DSGVO.

1.3 Der Kunde ist Verantwortlicher. Er entscheidet allein über Zweck und Mittel
der Verarbeitung, über die Rechtmäßigkeit der Datenerhebung und über die
Erfüllung der Betroffenenrechte. RSTCode ist Auftragsverarbeiter.

1.4 **Vorrang.** In allen datenschutzrechtlichen Fragen geht dieser Vertrag samt
Anlagen dem Hauptvertrag vor. Widersprechen sich Regelungen des Hauptvertrags
und dieses Vertrags in einer datenschutzrechtlichen Frage, gilt dieser Vertrag.
Zwingende Rechte der betroffenen Personen und zwingende Vorschriften der DSGVO
bleiben von jeder Regelung dieses Vertrags unberührt; eine Vereinbarung der
Parteien kann sie weder einschränken noch erweitern.

> *Anmerkung zur Fassung 0.2:* Die frühere Formulierung „gilt die für die
> betroffenen Personen günstigere" ist gestrichen. Sie war als Auslegungsregel
> nicht handhabbar — bei einer Haftungs- oder Fristenfrage lässt sich nicht
> feststellen, welche von zwei Regelungen für eine betroffene Person
> „günstiger" ist, und die Klausel hätte im Streitfall jede Regelung des
> Hauptvertrags in Frage stellen können. An ihre Stelle tritt die klare
> Vorrangregel oben, die dem Punkt 14.3 der AGB entspricht.

1.5 Es gilt österreichisches Recht, insbesondere die DSGVO, das
Datenschutzgesetz (DSG), das Unternehmensgesetzbuch (UGB), die
Bundesabgabenordnung (BAO) und das ABGB. Zusätzlich sind, soweit der Kunde
Psychotherapeutin oder Psychotherapeut ist, die berufsrechtlichen Pflichten
nach dem **Psychotherapiegesetz 2024 (PThG 2024), BGBl. I Nr. 49/2024**, zu
beachten — insbesondere die Dokumentationspflicht nach § 44 PThG 2024 und die
Verschwiegenheitspflicht nach § 45 PThG 2024 (dazu Ziffer 7).

1.6 **Begriffe.** „Verantwortlicher" und „Kunde" bezeichnen dieselbe
Vertragspartei; „Auftragsverarbeiter" und „RSTCode" bezeichnen dieselbe
Vertragspartei. Die Begriffe „personenbezogene Daten", „Verarbeitung",
„betroffene Person", „Verletzung des Schutzes personenbezogener Daten",
„Auftragsverarbeiter" und „Aufsichtsbehörde" haben die Bedeutung des Art. 4
DSGVO. „Klientin bzw. Klient", „Patientin bzw. Patient" (so das PThG 2024) und
„betroffene Person" (so die DSGVO) bezeichnen dieselbe Person. „Textform"
bedeutet eine lesbare, dauerhaft speicherbare Erklärung, in der die Person des
Erklärenden genannt ist; E-Mail genügt. Dieselbe Zuordnung enthält § 1.6 der
`AGB.md`.

1.7 **Pflichten und Rechte des Verantwortlichen** (Art. 28 Abs. 3 Satz 1
DSGVO). Der Kunde

1. ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für
das Vorliegen einer Rechtsgrundlage nach Art. 6 DSGVO und — bei
Gesundheitsdaten — nach Art. 9 Abs. 2 DSGVO;
2. informiert die betroffenen Personen nach Art. 13 und 14 DSGVO und erfüllt
deren Rechte nach Art. 15 bis 22 DSGVO;
3. erteilt seine Weisungen nach Ziffer 6 und ist dafür verantwortlich, dass sie
rechtmäßig sind;
4. führt sein eigenes Verzeichnis der Verarbeitungstätigkeiten nach Art. 30
Abs. 1 DSGVO und, soweit erforderlich, eine Datenschutz-Folgenabschätzung
nach Art. 35 DSGVO;
5. trifft die technischen und organisatorischen Maßnahmen in seinem eigenen
Verantwortungsbereich (Ziffer 8.4 und Anlage 1, Ziffer 7);
6. meldet Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO
an die Aufsichtsbehörde und benachrichtigt betroffene Personen nach Art. 34
DSGVO;
7. ist berechtigt, RSTCode nach Ziffer 11 zu überprüfen und die Einhaltung
dieses Vertrags nachweisen zu lassen;
8. ist berechtigt, nach Ziffer 12 über Rückgabe oder Löschung zu entscheiden.

1.8 **Form.** Dieser Vertrag ist nach Art. 28 Abs. 9 DSGVO schriftlich
abgefasst; die Abfassung und der Abschluss in einem elektronischen Format
stehen der Schriftform gleich.

1.9 **Abschluss im Bestellvorgang.** Der Kunde nimmt diesen Vertrag samt allen
drei Anlagen im elektronischen Bestellvorgang auf `signup.psymora.at` durch
eine eigene, nicht vorausgewählte Checkbox an, gemeinsam mit den Allgemeinen
Geschäftsbedingungen und im selben Augenblick wie den Hauptvertrag
(§ 3.3 und § 3.4 der `AGB.md`). Eine gesonderte händische Unterschrift ist
dafür **nicht** erforderlich; die elektronische Annahme genügt der Form nach
Ziffer 1.8. RSTCode hält fest, welche Fassung dieses Vertrags samt Anlagen der
Kunde dabei tatsächlich vor sich hatte — mit Fassungsnummer, Fassungsdatum,
einer Prüfsumme sowie Zeitpunkt und Person der Annahme — und bewahrt eine
Kopie der gezeigten Fassung auf (§ 3.8 der `AGB.md`); Einzelheiten der
technischen Umsetzung stehen in `NACHWEISE-INTERN.md`.

---

## 2. Dauer und Beendigung

2.1 Dieser Vertrag beginnt mit dem Beginn des Hauptvertrags und läuft, solange
RSTCode für den Kunden personenbezogene Daten verarbeitet.

2.2 Er endet automatisch mit dem Hauptvertrag. Über das Vertragsende hinaus
bestehen fort: die Pflichten nach Ziffer 12 (Löschung und Rückgabe), die
Aufbewahrung nach Ziffer 12.5 und die Vertraulichkeit nach **Ziffer 7**; die
Vertraulichkeitspflicht ist unbefristet.

2.3 **Keine isolierte Beendigung.** Dieser Vertrag kann nicht getrennt vom
Hauptvertrag beendet werden. Ohne Datenverarbeitung lässt sich die Leistung
nicht erbringen; eine Kündigung nur dieses Vertrags ginge daher ins Leere und
würde eine Verarbeitung ohne vertragliche Grundlage zurücklassen — genau den
Zustand, den Art. 28 Abs. 3 DSGVO verhindern soll.

2.4 **Außerordentliche Kündigung des Hauptvertrags aus datenschutzrechtlichem
Grund.** Verstößt RSTCode gegen wesentliche Pflichten aus diesem Vertrag und
behebt den Verstoß nicht innerhalb von **14 Tagen** nach einer Aufforderung in
Textform, kann der Kunde den Hauptvertrag und damit zugleich diesen Vertrag
außerordentlich kündigen. Ist der Verstoß so schwer, dass dem Kunden die
Fortsetzung nicht zumutbar ist — etwa bei einer Verarbeitung entgegen einer
ausdrücklichen Weisung oder bei einer verschwiegenen Verletzung des Schutzes
personenbezogener Daten —, entfällt die Frist. Ziffer 12 gilt auch in diesem
Fall; die Rückgabe der Daten wird durch die Kündigung nicht berührt.

2.5 RSTCode kann diesen Vertrag nicht kündigen, ohne zugleich den Hauptvertrag
nach dessen Regeln zu beenden.

`[[OFFEN: Ziffern 2.3 bis 2.5 mit § 9 der AGB abstimmen. Der AVV darf keine
Kündigungsfristen enthalten, die von denen der AGB abweichen; er regelt allein,
dass die Beendigung beider Verträge zusammenfällt und dass ein
datenschutzrechtlicher Verstoß ein wichtiger Grund ist.]]`

---

## 3. Art und Zweck der Verarbeitung

3.1 **Zweck.** RSTCode verarbeitet die **im Auftrag** verarbeiteten Daten
ausschließlich, um dem Kunden die Software Psymora bereitzustellen und zu
betreiben. Ein eigener Zweck von RSTCode besteht insoweit nicht.
Insbesondere verwendet RSTCode diese Daten nicht für eigene Auswertungen,
nicht für Werbung und nicht zum Training von Modellen der künstlichen
Intelligenz.

Davon zu unterscheiden sind Verarbeitungen, die **nicht** im Auftrag
erfolgen und für die RSTCode selbst Verantwortlicher ist: die eigenen
Vertrags-, Rechnungs- und Zahlungsunterlagen (Abschnitt 4.2 des
Löschkonzepts) und der **Support-Verlauf** nach Ziffer 3.8. Sie betreffen
den Kunden und die für ihn tätigen Personen als Vertragspartner, nicht
dessen Klientinnen und Klienten, und sind nicht Gegenstand dieses
Vertrags. Der Satz „ein eigener Zweck besteht nicht" gilt für die
Auftragsdaten; auf diese Unterlagen bezogen wäre er unrichtig.

3.2 **Art der Verarbeitung.** Erheben, Erfassen, Organisieren, Ordnen,
Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (an die vom
Kunden bestimmten Empfänger, etwa per E-Mail-Versand), Einschränken, Löschen
und Vernichten — jeweils in automatisierter Form innerhalb der Software.

3.3 **Konkret umfasst die Verarbeitung:**

- Betrieb der Anwendung und der zugehörigen Datenbank
- Erstellung, Speicherung und Versand kaufmännischer Belege
- Speicherung hochgeladener Dateien und Anhänge
- Versand von System- und Benachrichtigungs-E-Mails im Namen des Kunden
- Erstellung und Aufbewahrung von Sicherungskopien
- Fehleranalyse, Wartung und Weiterentwicklung, soweit dafür ein Zugriff auf
die Instanz erforderlich ist
- bei aktivem Modul „Praxis / Therapie": Führung der Behandlungsdokumentation
im Sinne des § 44 PThG 2024
- bei aktivem Modul „Videotermine": Vermittlung verschlüsselter Videogespräche
- bei aktivem Modul „Online-Terminbuchung": Entgegennahme von Terminanfragen

3.4 **Ort der Verarbeitung.** Die Verarbeitung findet ausschließlich innerhalb
der Europäischen Union statt. Eine Ausnahme besteht allein dann, wenn der Kunde
die optionale KI-Belegerkennung mit einem eigenen Zugang aktiviert; dazu
Ziffer 3.5.

3.5 **KI-Belegerkennung (optional, ab Werk ausgeschaltet).** Psymora kann
Eingangsrechnungen automatisch auslesen. In der Werkseinstellung geschieht das
ausschließlich auf dem Server in der EU (strukturierte E-Rechnungen wie ZUGFeRD,
Factur-X, XRechnung und ebInterface, PDFs mit Textebene, lokale Texterkennung);
in dieser Einstellung verlässt kein Beleg das Rechenzentrum. Zusätzlich lässt
sich ein Cloud-Anbieter einrichten. Das geschieht nicht von selbst: Die Funktion
wird erst wirksam, wenn der Kunde in den Einstellungen ausdrücklich einen
Anbieter wählt und einen **eigenen** Zugangsschlüssel hinterlegt. Tut er das,
wird die betreffende Rechnungsdatei an den gewählten Anbieter übermittelt —
derzeit wahlweise Anthropic oder OpenAI, beide mit Sitz in den Vereinigten
Staaten. Damit findet eine Übermittlung in ein Drittland im Sinne der
Art. 44 ff. DSGVO statt.

Für diese Übermittlung ist **der Kunde selbst verantwortlich**: Der Zugang
lautet auf seinen Namen, die vertragliche Beziehung besteht zwischen ihm und
dem Anbieter, und dieser Anbieter wird sein Auftragsverarbeiter, nicht der von
RSTCode. RSTCode weist ausdrücklich darauf hin, dass der Kunde vor der
Aktivierung die Vertragsbedingungen des Anbieters zu prüfen (insbesondere
Verarbeitungsort, Speicherdauer und Ausschluss vom Modelltraining), die
Verarbeitung in sein Verarbeitungsverzeichnis aufzunehmen und seine eigenen
Datenschutzinformationen zu ergänzen hat. Beim erstmaligen Hinterlegen eines
solchen Zugangs verlangt Psymora eine ausdrückliche Bestätigung und hält diese
mit Person und Zeitpunkt im Aktivitätsprotokoll fest.

Betroffen sind ausschließlich Eingangsrechnungen, also Belege von Lieferanten
des Kunden. Daten von Klientinnen und Klienten, Behandlungsdokumentation und
Diagnosen werden zu keinem Zeitpunkt an einen KI-Dienst übermittelt. Übermittelt
werden das Beleg-Dokument selbst und ein fester Anweisungstext — nicht Betreff
und Text der E-Mail, nicht die Absenderadresse, nicht die Stamm-, Firmen- und
Bankdaten des Kunden und keine Anhänge, die kein Beleg sind. Der Vollständigkeit
halber: Was im Beleg selbst steht, geht mit. Trägt etwa eine Supervisions- oder
Laborrechnung einen Klientennamen im Text, erreicht dieser Name den Anbieter.
Das lässt sich nur am Beleg steuern, nicht in der Software.

> **Hinweis für psychotherapeutische Praxen:** Ein Beleg, aus dem sich ein
> Klientenname und der Umstand einer Behandlung ergeben, fällt unter die
> Verschwiegenheitspflicht des § 45 PThG 2024. Wer die Funktion aktiviert,
> übermittelt solche Belege an einen Anbieter in einem Drittland. RSTCode
> empfiehlt psychotherapeutischen Praxen, die Cloud-Belegerkennung nicht zu
> aktivieren und bei der lokalen Verarbeitung in der EU zu bleiben.

3.6 **Meldungen der Instanz an RSTCode.** Von der Instanz des Kunden laufen zwei
Verbindungen zum **Lizenzserver** von RSTCode (`admin.psymora.at`). Sie dienen
der Lizenz- und Wartungsverwaltung und erfolgen ausschließlich über eine
transportverschlüsselte Verbindung. Sie enthalten **keine** Namen, E-Mail-Adressen, IP-Adressen und
keine Inhalte der Behandlungsdokumentation.

| Verbindung | Zeitpunkt | Inhalt |
|---|---|---|
| **Zählwertmeldung (Telemetrie)** | nächtlich | Kennung und **Hostname** der Instanz, Programmversion, gebuchter Tarif und Platzzahl, Zahl der Benutzerkonten sowie der in den letzten 7 und 30 Tagen angemeldeten Konten, Mengengerüst der Datenbestände, eingeschaltete Module, Technikstand (PHP-, Rahmen- und Datenbankversion, Migrationsstand, offene und gescheiterte Hintergrundaufträge), Zeitpunkt und Größe der letzten Sicherung. **Keine** Namen, E-Mail-Adressen, IP-Adressen oder Inhalte |
| **Lizenzabgleich** | zweimal täglich | Abgleich von gebuchten Modulen, Benutzerplätzen und Vertragsstatus mit dem Lizenzserver |
| **Klickpfade** (nur wenn eingeschaltet) | mit der Zählwertmeldung | Reihenfolge angeklickter Bedienelemente als Kürzel, unter einem tageweise wechselnden Pseudonym, ohne Benutzerkennung und ohne Beschriftungen |

Die Klickpfad-Erfassung ist für neu bereitgestellte Kundeninstanzen **ab Werk
ausgeschaltet** (`config/telemetry.php`, Voreinstellung `false`). Ist sie
eingeschaltet, verlassen die Kürzel die Instanz und liegen anschließend bei
RSTCode. Dort werden sie **90 Tage** nach dem Tag, den sie betreffen, gelöscht;
die 30-Tage-Frist der Instanz betrifft nur deren eigene Kopie. Anlage 1
Ziffer 1.7 beschreibt die Pseudonymisierung und die Frist, Abschnitt 3.6 des
Löschkonzepts den Ablauf.

Bei der Bereitstellung einer Kundeninstanz wird das Meldeziel eingerichtet, und
die Meldung setzt zusätzlich den eingetragenen Lizenzschlüssel voraus, ohne den
die Instanz ohnehin nicht nutzbar ist; es gibt daher im Regelfall **keine**
Instanz, die nicht meldet. Wünscht der Kunde die Abschaltung einzelner
Meldungen, ist das eine Vereinbarung im Hauptvertrag.

3.7 **Keine Übermittlung in Drittländer ohne Weisung** (Art. 28 Abs. 3 lit. a
DSGVO). RSTCode übermittelt die im Auftrag verarbeiteten Daten nicht in ein
Drittland oder an eine internationale Organisation, es sei denn, der Kunde
weist RSTCode dazu an oder Unionsrecht oder österreichisches Recht verpflichten
RSTCode dazu. Im Fall einer solchen Rechtspflicht unterrichtet RSTCode den
Kunden vor der Übermittlung über die rechtliche Anforderung, sofern das Gesetz
diese Unterrichtung nicht wegen eines wichtigen öffentlichen Interesses
verbietet. Weist der Kunde eine Übermittlung in ein Drittland an, hat er für die
Rechtsgrundlage nach Art. 44 ff. DSGVO zu sorgen. Die vom Kunden selbst
aktivierte KI-Belegerkennung nach Ziffer 3.5 ist keine Übermittlung durch
RSTCode.

3.8 **Support-Verlauf — eigene Verantwortlichkeit von RSTCode.** Psymora
enthält ein Support-Postfach: Eine Person des Kunden schreibt aus der
laufenden Instanz an RSTCode, RSTCode antwortet, beide Seiten sehen
denselben Verlauf. Die Vorgänge werden auf dem Lizenzserver von RSTCode
gespeichert; die Instanz holt sich ihre eigenen Vorgänge signiert ab.

Für diese Verarbeitung ist **RSTCode selbst Verantwortlicher** im Sinne des
Art. 4 Z 7 DSGVO und **nicht** Auftragsverarbeiter des Kunden. Sie ist
nicht Gegenstand dieses Vertrags. Rechtsgrundlagen sind Art. 6 Abs. 1
lit. b DSGVO (Durchführung des Vertrags mit dem Kunden, in dessen Rahmen
Support geschuldet ist) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis der
erbrachten Leistung sowie Geltendmachung, Ausübung und Verteidigung von
Rechtsansprüchen).

- **Betroffene Personen** sind die für den Kunden tätigen Personen, die
schreiben oder angeschrieben werden — nicht die Klientinnen und Klienten
des Kunden.
- **Daten:** Name und dienstliche E-Mail-Adresse der schreibenden Person,
Betreff und Text der Nachrichten mit Zeitpunkt, die Kennung der Instanz,
dazu bei RSTCode **interne Notizen** und eine **interne Einordnung** des
Vorgangs. Beides ist ausschließlich für RSTCode bestimmt und wird der
Instanz nicht übermittelt; Näheres in Ziffer 5 der Anlage 1.
- **Aufbewahrung:** sechs Monate nach Deaktivierung der Instanz; Frist,
auslösender Statuswert und die Abgrenzungen dazu in Abschnitt 3.5 des
Löschkonzepts (Anlage 3).
- **Der Kunde kann gesendete Nachrichten nicht selbst löschen.** Der
Verlauf ist auch der Nachweis darüber, was gemeldet und was zugesagt
wurde; könnte eine Seite ihn nachträglich verändern, wäre er als Nachweis
wertlos. Ein Löschbegehren nach Art. 17 DSGVO greift insoweit nicht, als
die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von
Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO).
**Diese Zusage trägt nur wegen der eigenen Verantwortlichkeit:** Wäre
RSTCode auch hier Auftragsverarbeiter, müsste er einer Weisung des Kunden
nach Ziffer 6 folgen und dürfte die Löschung nicht verweigern. Einzelne
Nachrichten und ganze Vorgänge löscht RSTCode auf eigene Entscheidung,
insbesondere auf Meldung des Kunden hin.
- **Keine Patientendaten.** Über jedem Eingabefeld des Postfachs steht,
dass gesendete Nachrichten nicht mehr entfernt werden können und deshalb
niemals Patientendaten anzugeben sind. Gerät dennoch etwas hinein, gilt
Ziffer 7.3 dieses Vertrags (Verschwiegenheit nach § 45 PThG 2024) für die
dann bei RSTCode liegenden Angaben sinngemäß, und RSTCode löscht sie auf
Meldung des Kunden.
- **Getrennt vom Weg über die Sperrseite.** Ist die Lizenz einer Instanz
ungültig, bleibt das bisherige Kontaktformular der Sperrseite erreichbar.
Es kann sich naturgemäß nicht ausweisen, erzeugt keinen Vorgang und wird
nur als E-Mail weitergeleitet.

---

## 4. Kategorien betroffener Personen

Von der Verarbeitung sind — je nach den vom Kunden genutzten Modulen — betroffen:

1. **Klientinnen und Klienten des Kunden** (bei aktivem Therapiemodul:
Patientinnen und Patienten), einschließlich der von ihnen benannten
Kontaktpersonen
2. **Kundinnen und Kunden sowie Geschäftspartner des Kunden** (Auftraggeber,
Interessenten aus dem Vertriebsmodul)
3. **Lieferanten des Kunden** und deren Ansprechpersonen
4. **Beschäftigte und Mitarbeitende des Kunden**, die die Software benutzen
(Benutzerkonten) oder deren Arbeits- und Fahrtzeiten erfasst werden
5. **Personen, die eine Online-Terminanfrage stellen**
6. **Teilnehmerinnen und Teilnehmer von Videoterminen**

---

## 5. Arten der verarbeiteten Daten

### 5.1 Allgemeine Kategorien

- Stammdaten: Name, Anrede, Anschrift, Geburtsdatum, Kundennummer
- Kontaktdaten: E-Mail-Adresse, Telefonnummer
- Vertrags- und Abrechnungsdaten: Angebote, Rechnungen, Mahnungen, Zahlungen,
Leistungspositionen, Zahlungsziele
- Zahlungsdaten: IBAN, BIC, Bankumsätze aus dem Bankabgleich
- Steuerliche Kennzeichen: UID-Nummer, Steuernummer
- Sozialversicherungsnummer
- Kommunikationsdaten: Notizen, E-Mail-Verkehr aus den Importpostfächern,
Aktivitäten und Wiedervorlagen
- Termindaten: Buchungen, Terminarten, Kalendereinträge
- Beschäftigtendaten des Kunden: Benutzerkonto, Rolle und Berechtigungen,
Arbeitszeiten (AZG), Fahrtenbuch, Projektzeiten
- Dokumente und Anhänge, die der Kunde hochlädt
- Protokolldaten: Aktivitätsprotokoll über Änderungen sowie Protokoll über
Lesezugriffe auf Akten

### 5.2 Besondere Kategorien nach Art. 9 DSGVO

Bei aktivem Modul **„Praxis / Therapie"** verarbeitet RSTCode
**Gesundheitsdaten** im Sinne des Art. 9 Abs. 1 DSGVO:

- Diagnosen einschließlich ihrer zeitlichen Historie
- Dokumentation von Therapieeinheiten (Sitzungsnotizen, interne
Behandlungsdokumentation)
- Begründungen für die Archivierung von Therapieeinheiten
- an Therapieeinheiten und Akten hochgeladene Dokumente (etwa Befunde, Fotos)
- der Umstand der Behandlung als solcher, einschließlich Terminen und
abgerechneten Einheiten

Diese Daten sind zugleich Geheimnisse im Sinne des § 45 Abs. 1 PThG 2024 und
unterliegen der Verschwiegenheitspflicht des Kunden. **Ziffer 7** trägt dem
Rechnung.

Auch bei nicht aktivem Therapiemodul kann sich aus dem Zusammenhang ein
Gesundheitsbezug ergeben (etwa daraus, dass eine Person Klientin einer
psychotherapeutischen Praxis ist). RSTCode behandelt daher die Daten aller
Instanzen psychotherapeutischer Praxen durchgehend als besonders schutzwürdig.

---

## 6. Weisungsrecht und Weisungsbindung

6.1 RSTCode verarbeitet die Daten ausschließlich auf dokumentierte Weisung des
Kunden. Dieser Vertrag samt Hauptvertrag ist die Grunddokumentation der
Weisungen; die bestimmungsgemäße Nutzung der Softwarefunktionen durch den Kunden
gilt als Weisung.

6.2 Einzelweisungen sind in Textform zu erteilen (E-Mail genügt) an
office@rstcode.at. Mündlich erteilte Weisungen sind unverzüglich in Textform zu
bestätigen. RSTCode dokumentiert erteilte Weisungen und bewahrt die
Dokumentation nach Ziffer 12.5 auf.

6.3 Weisungsberechtigt sind ausschließlich die vom Kunden benannten Personen.
`[[OFFEN: Weisungsberechtigte Personen des Kunden namentlich benennen — Anlage
zum Vertrag oder Feld im Vertragskopf.]]`

6.4 **Hinweispflicht** (Art. 28 Abs. 3 letzter Satz DSGVO). Ist RSTCode der
Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere
Datenschutzbestimmungen der Union oder Österreichs verstößt, teilt RSTCode dies
dem Kunden **unverzüglich** mit und darf die Ausführung bis zur Klärung
aussetzen. Ist die Weisung offensichtlich rechtswidrig, ist RSTCode zur
Ausführung nicht verpflichtet. Hält der Kunde die Weisung nach dem Hinweis
aufrecht, ist RSTCode berechtigt, die Ausführung zu verweigern; führt RSTCode
sie dennoch aus, trägt der Kunde die Verantwortung nach Ziffer 13.4.

6.5 Eine Verarbeitung außerhalb der Weisungen des Kunden findet nur statt, wenn
Unionsrecht oder österreichisches Recht RSTCode dazu verpflichtet. In diesem
Fall unterrichtet RSTCode den Kunden vor der Verarbeitung über die rechtliche
Anforderung, sofern das Gesetz dies nicht wegen eines wichtigen öffentlichen
Interesses verbietet.

6.6 RSTCode wird ohne ausdrückliche Weisung des Kunden nicht auf Inhalte der
Behandlungsdokumentation zugreifen. Ist ein Zugriff zur Fehlerbehebung
unvermeidbar, erfolgt er nur nach Anforderung oder Zustimmung des Kunden und
wird auf das notwendige Maß beschränkt. Zugriffe, die **durch die Anwendung
hindurch** erfolgen, hält deren Leseprotokoll fest (Anlage 1 Ziffer 3.3); wie
der Zugang des Supports zur Anwendung technisch begrenzt ist und welche
Ausnahme für die Ersteinrichtung gilt, regelt Ziffer 6.9. Ein
technisches Protokoll über Zugriffe **unmittelbar auf Datenbank oder
Dateisystem** besteht dagegen nicht; Anlage 1 Ziffer 2.5 und Ziffer 8 halten
das ausdrücklich fest, und eine solche technische Protokollierung wird mit
diesem Vertrag nicht zugesagt. Für diese Zugriffe gilt stattdessen die
Selbstverpflichtung samt schriftlicher Aufzeichnung nach Ziffer 6.8. Ein
Zugriff auf die Server und die Datenbank der Instanz zu Wartungs- und
Betriebszwecken bleibt von Satz 1 unberührt; er umfasst technisch auch
Behandlungsdaten und ist deshalb an die Vertraulichkeitspflichten dieses
Vertrags und an Ziffer 6.8 gebunden.

6.7 **Behördliche Anfragen, Sicherstellung und Beschlagnahme.** Verlangt eine
Behörde oder ein Gericht von RSTCode Zugang zu den im Auftrag verarbeiteten
Daten, unterrichtet RSTCode den Kunden unverzüglich, sofern das Gesetz dies
nicht verbietet, und gibt keine Daten heraus, bevor die Rechtsgrundlage geprüft
ist. RSTCode weist die Behörde auf **§ 6 Abs. 5 DSG** hin: Ein zugunsten des
Kunden bestehendes gesetzliches Aussageverweigerungsrecht — bei
psychotherapeutischen Praxen die Verschwiegenheitspflicht nach § 45 PThG 2024 —
darf nicht dadurch umgangen werden, dass auf den für ihn tätigen
Auftragsverarbeiter zugegriffen wird, insbesondere nicht durch die
Sicherstellung oder Beschlagnahme automationsunterstützt verarbeiteter
Dokumente. RSTCode erhebt die ihm zustehenden Rechtsbehelfe und ermöglicht dem
Kunden, eigene Rechtsbehelfe zu ergreifen.

6.8 **Unmittelbarer Zugriff auf Datenbank und Dateisystem.**

6.8.1 RSTCode greift auf die im Auftrag verarbeiteten Daten **grundsätzlich nur
über die Anwendung und deren Berechtigungssystem** zu.

6.8.2 Ein **unmittelbarer Zugriff auf die Datenbank oder das Dateisystem** der
Instanz — also ein Zugriff unter Umgehung der Anwendung — erfolgt
ausschließlich, soweit er zur Behebung einer technischen Störung oder zur
Erfüllung einer gesetzlichen Pflicht erforderlich ist **und das Ziel auf
anderem Weg nicht erreicht werden kann**.

6.8.3 Bei einem solchen Zugriff nimmt RSTCode von Inhalten nur in dem Umfang
Kenntnis, der für den jeweiligen Zweck unvermeidbar ist. Eine darüber
hinausgehende Einsichtnahme, Auswertung, Vervielfältigung oder Weitergabe
unterbleibt.

6.8.4 **Jeder Zugriff nach Ziffer 6.8.2 wird schriftlich festgehalten**, und
zwar mit Anlass, Datum und Uhrzeit, der handelnden Person und den betroffenen
Datenbeständen. Der Kunde kann jederzeit Auskunft über die ihn betreffenden
Einträge verlangen; RSTCode erteilt sie unverzüglich, spätestens binnen zehn
Werktagen, in Textform. Die Aufzeichnung wird drei Jahre aufbewahrt und danach
gelöscht.

6.8.5 Diese Selbstverpflichtung ist bewusst **nicht als Ausschluss** gefasst.
Psymora läuft auf gemeinsam genutztem Webhosting (Anlage 1 Ziffer 0); Betrieb,
Auslieferung und Störungsbehebung setzen administrativen Zugang voraus. Eine
Zusage, niemals unmittelbar auf Datenbank oder Dateisystem zuzugreifen, wäre
nicht einzuhalten und deshalb wertlos. Zugesagt sind daher die Beschränkung auf
den Ausnahmefall, die Beschränkung des Umfangs und die Nachvollziehbarkeit
jedes einzelnen Zugriffs.

6.8.6 Die Aufzeichnung nach Ziffer 6.8.4 wird von RSTCode geführt; sie ist eine
**organisatorische** Maßnahme. Eine technische, gegen Veränderung durch RSTCode
gesicherte Aufzeichnung auf Server- oder Datenbankebene besteht nicht; Anlage 1
Ziffer 2.5 und Ziffer 8 halten das ausdrücklich fest.

6.9 **Support-Zugang durch die Anwendung und Ersteinrichtung.**

6.9.1 Für Zugriffe **durch die Anwendung** unterhält RSTCode ein
Support-Konto, das sich **nur anmelden kann, wenn der Kunde den Zugang
freigeschaltet hat**. Die Freischaltung erfolgt durch den Kunden in der
Anwendung, ist **stets befristet** und endet von selbst; der Kunde kann sie
jederzeit vorzeitig beenden. Solange eine Support-Sitzung läuft, wird **jeder
Seitenaufruf** von RSTCode aufgezeichnet; der Kunde kann die Aufzeichnung
jederzeit selbst einsehen. Die technische Ausgestaltung beschreibt Anlage 1
Ziffer 2.7.

6.9.2 **Anmeldung ohne Passwort.** Die Anmeldung des Support-Konto erfolgt
über einen einmaligen, kryptographisch signierten Nachweis, der auf einem
Server von RSTCode ausgestellt wird, an die Instanz des Kunden gebunden ist
und binnen einer Minute verfällt. Das Support-Konto trägt auf der Instanz des
Kunden **kein Passwort**. Aus welcher Person bei RSTCode der Nachweis stammt,
wird auf der Instanz des Kunden aufgezeichnet und ist für ihn einsehbar.

6.9.3 **Ausnahme Ersteinrichtung.** **Bis zur ersten Anmeldung eines
Benutzerkontos des Kunden** kann sich RSTCode auf der neu bereitgestellten
Instanz **auch ohne Freischaltung nach Ziffer 6.9.1 anmelden**, um die
beauftragte Einrichtung durchzuführen. Diese Möglichkeit endet **endgültig
und unwiderruflich**

a) mit der ersten Anmeldung eines Benutzerkontos des Kunden, spätestens

b) **vierzehn Tage** nach Bereitstellung der Instanz —

je nachdem, was zuerst eintritt. Ein Wiederaufleben ist ausgeschlossen. Eine
zu diesem Zeitpunkt **noch laufende Sitzung endet mit**, und eine nach dieser
Ziffer entstandene Sitzung endet **nie später** als die Ausnahme selbst.

6.9.3a **Der Nachweis öffnet keinen Zugang.** Die Einmaligkeit des Nachweises,
seine Bindung an die Instanz des Kunden und seine Verfallsfrist von einer
Minute schützen ihn auf dem Weg zur Instanz; sie ersetzen die Freischaltung
nicht. Eine Sitzung, die nach Ziffer 6.9.3 ohne Freischaltung entstanden ist,
gilt für einen **weiteren** Nachweis nicht als Freischaltung im Sinne der
Ziffer 6.9.1. RSTCode kann sich mit einer Anmeldung nach Ziffer 6.9.3 also
nicht die Grundlage für weitere Anmeldungen selbst schaffen.

6.9.4 Anmeldungen nach Ziffer 6.9.3 werden **als Ersteinrichtung
gekennzeichnet** und erscheinen als solche in der Aufzeichnung nach Ziffer
6.9.1, die der Kunde einsieht — mitsamt Zeitraum, ausstellender Person und
jedem Seitenaufruf. Ob die Ausnahme auf einer Instanz noch offen ist, ist dort
jederzeit abfragbar.

6.9.5 Sachlicher Grund für Ziffer 6.9.3: Vor der ersten Anmeldung des Kunden
gibt es **niemanden, der die Freischaltung erteilen könnte**; der Kunde hat
die Einrichtung ausdrücklich beauftragt; und im System liegen zu diesem
Zeitpunkt **keine personenbezogenen Daten von Patientinnen und Patienten** —
diese entstehen erst durch die Nutzung. Die Ausnahme ist auf diesen Zeitraum
begrenzt und wird hier offengelegt, statt als technische Möglichkeit
unerwähnt zu bleiben.

---

## 7. Vertraulichkeit und Verschwiegenheit

### 7.1 Grundpflicht nach Art. 28 Abs. 3 lit. b DSGVO

RSTCode setzt zur Verarbeitung nur Personen ein, die sich zur Vertraulichkeit
verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht
unterliegen. Die Verpflichtung besteht auch nach dem Ende der Tätigkeit fort.

### 7.2 Datengeheimnis nach § 6 DSG

RSTCode unterliegt als Auftragsverarbeiter dem **Datengeheimnis nach § 6 Abs. 1
DSG** und hält die im Auftrag verarbeiteten Daten geheim, soweit kein rechtlich
zulässiger Grund für eine Übermittlung besteht. RSTCode verpflichtet eingesetzte
Mitarbeitende nach **§ 6 Abs. 2 DSG** vertraglich, personenbezogene Daten nur
aufgrund einer ausdrücklichen Anordnung zu übermitteln und das Datengeheimnis
auch nach dem Ende des Dienstverhältnisses einzuhalten, und belehrt sie nach
**§ 6 Abs. 3 DSG** über die geltenden Übermittlungsanordnungen und über die
Folgen einer Verletzung des Datengeheimnisses.

### 7.3 Verschwiegenheit nach dem Psychotherapiegesetz 2024

7.3.1 Der Kunde unterliegt, soweit er Psychotherapeutin oder Psychotherapeut
ist, der Verschwiegenheitspflicht nach **§ 45 Abs. 1 PThG 2024** über alle ihm
in Ausübung seines Berufes oder im Rahmen der psychotherapeutischen Leistung
anvertrauten oder bekannt gewordenen Geheimnisse. Diese Pflicht erfasst nach
dem Wortlaut des § 45 Abs. 1 PThG 2024 ausdrücklich auch die **Hilfspersonen**
des Berufsangehörigen. § 4 Abs. 1 Z 7 PThG 2024 umschreibt die Hilfsperson mit
einer offenen Aufzählung und erfasst neben Dolmetschern, Raumpflegekräften und
bei der Leistungserbringung anwesenden Personen auch „weitere im beruflichen
Umfeld von psychotherapeutischen Leistungen tätige Personen".

7.3.2 **Vertragliche Gleichstellung.** RSTCode kann bei Betrieb, Wartung und
Fehlerbehebung technisch auf die Behandlungsdokumentation zugreifen (Anlage 1,
Ziffer 2.5). RSTCode verpflichtet sich deshalb — unabhängig davon, ob RSTCode
rechtlich als Hilfsperson im Sinne des § 4 Abs. 1 Z 7 PThG 2024 einzustufen ist
— vertraglich zur Verschwiegenheit **im selben Umfang, wie sie den Kunden nach
§ 45 PThG 2024 trifft**, und verpflichtet jede eingesetzte Person entsprechend.
Die Verpflichtung gilt über das Ende dieses Vertrags und über das Ende der
Tätigkeit der eingesetzten Person hinaus; sie gilt nach § 45 Abs. 1 letzter
Satz PThG 2024 auch über den Tod hinaus.

> **Warum die Gleichstellung vertraglich erfolgt:** Ob ein IT-Dienstleister,
> der die Praxissoftware betreibt, unter den Auffangtatbestand des § 4 Abs. 1
> Z 7 PThG 2024 fällt, ist eine Auslegungsfrage; die ausdrücklich genannten
> Beispiele beschreiben Personen, die räumlich anwesend sind. Diese Frage
> muss nicht entschieden werden, wenn RSTCode sich vertraglich ohnehin auf
> denselben Umfang verpflichtet. Die Klausel ist bewusst so gebaut, dass sie
> unabhängig vom Ausgang der Einordnung trägt.
> `[[OFFEN: Anwaltlich bestätigen lassen, ob RSTCode zusätzlich als
> Hilfsperson nach § 4 Abs. 1 Z 7 PThG 2024 einzuordnen ist. Trifft das zu,
> greift die Belehrungspflicht nach § 45 Abs. 2 PThG 2024 unmittelbar kraft
> Gesetzes und die Belehrung ist vom Kunden vorzunehmen und schriftlich zu
> dokumentieren.]]`

7.3.3 **Belehrung und schriftliche Dokumentation** (§ 45 Abs. 2 PThG 2024).
Hilfspersonen sind über die gesetzliche Verpflichtung zur Verschwiegenheit zu
belehren; **die Belehrung ist schriftlich zu dokumentieren**. RSTCode belehrt
jede eingesetzte Person vor dem ersten Zugriff auf Daten einer
psychotherapeutischen Instanz und dokumentiert die Belehrung schriftlich mit
Name, Datum und Umfang. RSTCode legt dem Kunden diese Dokumentation auf
Anforderung vor.

7.3.4 **Entbindung.** Von der Verschwiegenheitspflicht kann nach § 45 Abs. 3
PThG 2024 nur die entscheidungsfähige Patientin oder der entscheidungsfähige
Patient höchstpersönlich entbinden. **Eine Weisung des Kunden nach Ziffer 6
entbindet RSTCode nicht von der Verschwiegenheit.** Verlangt der Kunde eine
Offenlegung gegenüber Dritten, hat er RSTCode nachzuweisen, dass eine
wirksame Entbindung vorliegt oder ein gesetzlicher Ausnahmetatbestand (§ 45
Abs. 4 bis 8 PThG 2024) greift.

7.3.5 **Folgen einer Verletzung.** Ein Verstoß gegen § 45 PThG 2024 ist nach
§ 55 Abs. 4 Z 3 PThG 2024 eine Verwaltungsübertretung und mit einer Geldstrafe
bis zu 5 000 Euro bedroht, nach § 55 Abs. 5 PThG 2024 mindestens 250 Euro.
Beiden Parteien ist bekannt, dass ein solcher Verstoß zugleich die
Berufsberechtigung des Kunden gefährden kann.

### 7.4 Eingesetzte Personen

7.4.1 RSTCode wird derzeit ausschließlich durch den Einzelunternehmer Robert
Strecher persönlich erbracht. Er ist nach Art. 29 DSGVO an die Weisungen des
Kunden gebunden, unterliegt dem Datengeheimnis nach § 6 DSG und ist nach
Ziffer 7.3.2 zur Verschwiegenheit verpflichtet.

7.4.2 Werden künftig weitere Personen eingesetzt (Angestellte, freie
Mitarbeitende, Werkunternehmer), verpflichtet RSTCode sie **vor** dem ersten
Zugriff schriftlich auf das Datengeheimnis nach § 6 DSG und auf die
Verschwiegenheit nach Ziffer 7.3 und belehrt sie nach Ziffer 7.3.3.

`[[OFFEN: Vorlage für die Verschwiegenheits- und Datengeheimnisverpflichtung
samt Belehrungsprotokoll erstellen. Sie fehlt bislang. Solange sie fehlt, darf
RSTCode niemanden außer Robert Strecher an einer Kundeninstanz arbeiten lassen —
Ziffer 7.3.3 wäre sonst eine Zusage ohne Deckung.]]`

7.4.3 RSTCode schult die eingesetzten Personen im gebotenen Umfang zum
Datenschutz und zur Datensicherheit und hält die Schulung mit Datum und Inhalt
fest.

`[[OFFEN: Schulungsnachweis — bislang existiert keine dokumentierte Schulung.
Vor der Freigabe entweder eine dokumentierte Selbstschulung anlegen oder
Ziffer 7.4.3 streichen. Eine Zusage ohne Nachweis ist bei einer Prüfung
schlechter als gar keine Zusage.]]`

---

## 8. Maßnahmen nach Art. 32 DSGVO

8.1 RSTCode trifft die technischen und organisatorischen Maßnahmen, die
erforderlich sind, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die Maßnahmen sind in **Anlage 1 — Technische und organisatorische Maßnahmen**
(`AVV-Anlage-TOM.md`) beschrieben. Die Anlage ist Bestandteil dieses Vertrags.

8.2 Der Kunde hat die in Anlage 1 beschriebenen Maßnahmen zur Kenntnis genommen
und hält sie für angemessen. Er hat insbesondere den Abschnitt „Was diese Anlage
bewusst nicht behauptet" zur Kenntnis genommen.

8.3 Die Maßnahmen unterliegen dem technischen Fortschritt. RSTCode darf sie
weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
Wesentliche Änderungen teilt RSTCode dem Kunden in Textform mit. Eine Änderung,
die das Schutzniveau senkt, bedarf der Zustimmung des Kunden in Textform.

8.4 Der Kunde ist für die Maßnahmen in seinem eigenen Verantwortungsbereich
zuständig — insbesondere für die Vergabe und den Entzug von Benutzerkonten, für
die Zuweisung von Rollen und Berechtigungen, für die Aktivierung der
Zwei-Faktor-Authentifizierung und für die Sicherheit der Endgeräte, mit denen
seine Beschäftigten auf Psymora zugreifen. Anlage 1 benennt diese Punkte
gesondert.

---

## 9. Unterauftragsverarbeiter

9.1 Der Kunde erteilt RSTCode die allgemeine Genehmigung, weitere
Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum
Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in
**Anlage 2 — Unterauftragsverarbeiter**
(`AVV-Anlage-Unterauftragsverarbeiter.md`) aufgeführt. Der Kunde genehmigt diese
mit Abschluss dieses Vertrags.

9.2 RSTCode teilt dem Kunden jede beabsichtigte Änderung — Hinzuziehung eines
neuen oder Austausch eines bestehenden Unterauftragsverarbeiters —
**mindestens vier Wochen vor Wirksamwerden** in Textform mit. Die Mitteilung
nennt Name, Sitz, Zweck und die verarbeiteten Datenarten sowie bei einem
Drittlandsbezug die Rechtsgrundlage der Übermittlung.

9.3 Der Kunde kann der Änderung innerhalb von **zwei Wochen ab Zugang der
Mitteilung** aus einem datenschutzrechtlich begründeten Anlass in Textform
widersprechen. Der Widerspruch ist zu begründen.

9.4 Widerspricht der Kunde, suchen die Parteien zunächst eine einvernehmliche
Lösung. Kommt keine zustande und kann RSTCode die Leistung ohne den betroffenen
Unterauftragsverarbeiter nicht zu wirtschaftlich zumutbaren Bedingungen
erbringen, ist jede Partei berechtigt, den Hauptvertrag zum beabsichtigten
Zeitpunkt der Änderung zu kündigen. Bereits im Voraus bezahlte, nicht genutzte
Entgelte werden anteilig zurückerstattet. **Solange der Widerspruch nicht
ausgeräumt und der Vertrag nicht beendet ist, setzt RSTCode den betroffenen
Unterauftragsverarbeiter für die Instanz des Kunden nicht ein.** Ist das
technisch nicht möglich, unterbleibt die Änderung für diese Instanz oder der
Vertrag endet nach Satz 3.

9.5 RSTCode verpflichtet jeden Unterauftragsverarbeiter vertraglich auf
Datenschutzpflichten, die denen dieses Vertrags entsprechen, insbesondere auf
hinreichende Garantien nach Art. 28 Abs. 4 DSGVO. Kommt ein
Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet
RSTCode gegenüber dem Kunden für die Einhaltung von dessen Pflichten
(Art. 28 Abs. 4 Satz 2 DSGVO). **Den Stand dieser Verträge weist Anlage 2 für
jeden Unterauftragsverarbeiter einzeln aus.**

> **Redaktioneller Hinweis — der Vorbehalt zu dieser Ziffer ist entfallen.**
> Bis zum 10. September 2026 stand hier eine Einschränkung: Der Vertrag durfte
> einem Kunden nur vorgelegt werden, wenn das Modul „Videotermine" für seine
> Instanz abgeschaltet blieb, weil für die Serverkapazität des Videoservers der
> Vertrag nach Art. 28 Abs. 4 DSGVO fehlte. **Dieser Vertrag liegt seit dem
> 10. September 2026 vor** (Anlage 2 Ziffer 1.5); für das Hosting lag er
> seit demselben Tag vor (Anlage 2 Ziffern 1.1, 1.1a und 1.2). Damit besteht für
> **jeden** in Anlage 2 geführten Unterauftragsverarbeiter ein Vertrag, die
> Zusage dieser Ziffer 9.5 ist für alle eingelöst, und der Vorbehalt hat keinen
> Anwendungsfall mehr. Er ist deshalb ersatzlos gestrichen — nicht eingegrenzt.
>
> Das entbindet nicht von der anwaltlichen Freigabe des Gesamtwerks, die über
> diesem Dokument steht, und gilt nur für die in Anlage 2 **aufgeführten**
> Unterauftragsverarbeiter. Kommt einer hinzu, greift Ziffer 9.2: Vertrag vor
> Inbetriebnahme, Eintrag in Anlage 2, Mitteilung an den Kunden mit vier Wochen
> Vorlauf.

9.6 Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten reine
Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten,
etwa Telekommunikationsleistungen oder Post- und Transportdienste. Für die
Verarbeitung durch einen vom Kunden selbst aktivierten KI-Anbieter (Ziffer 3.5)
ist der Kunde Verantwortlicher; dieser Anbieter ist **nicht**
Unterauftragsverarbeiter von RSTCode.

9.7 **Vollständigkeit der Anlage 2.** RSTCode hält Anlage 2 aktuell. Setzt
RSTCode einen Unterauftragsverarbeiter ein, der dort nicht aufgeführt ist,
verstößt das gegen diesen Vertrag; der Kunde kann in diesem Fall nach
Ziffer 2.4 vorgehen.

---

## 10. Unterstützung des Kunden

### 10.1 Betroffenenrechte

10.1.1 Wendet sich eine betroffene Person unmittelbar an RSTCode, leitet
RSTCode das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht
selbst. Der Kunde erfüllt die Betroffenenrechte.

10.1.2 RSTCode unterstützt den Kunden mit geeigneten technischen und
organisatorischen Maßnahmen dabei, Anträgen nach Art. 15 bis 22 DSGVO
nachzukommen. Psymora enthält dafür eine eigene Exportfunktion, mit der der
Kunde die zu einer Person gespeicherten Daten selbst strukturiert (JSON) und
menschenlesbar (PDF) ausgeben kann; sie deckt Auskunft (Art. 15) und
Datenübertragbarkeit (Art. 20) ab.

10.1.3 Kann der Kunde ein Anliegen mit den Funktionen der Software nicht selbst
erfüllen, unterstützt RSTCode ihn auf Anforderung. Aufwand, der über die
Bereitstellung der Softwarefunktionen hinausgeht, wird nach dem im Hauptvertrag
vereinbarten Stundensatz abgerechnet, sofern der Aufwand nicht auf einem
Umstand beruht, den RSTCode zu vertreten hat. **Die Unterstützung darf nicht
davon abhängig gemacht werden, dass der Kunde offene Entgelte begleicht**; die
Fristen des Art. 12 Abs. 3 DSGVO treffen den Kunden und dürfen durch eine
Abrechnungsfrage nicht versäumt werden.

10.1.4 Berichtigung, Einschränkung und Löschung einzelner Daten nimmt RSTCode
nur auf Weisung des Kunden vor.

### 10.2 Verletzungen des Schutzes personenbezogener Daten

10.2.1 RSTCode meldet dem Kunden jede Verletzung des Schutzes personenbezogener
Daten (Art. 4 Z 12 DSGVO), die die im Auftrag verarbeiteten Daten betrifft,
**unverzüglich, spätestens jedoch innerhalb von 24 Stunden ab Kenntnis**. Die
Meldung erfolgt in Textform an die vom Kunden benannte Adresse und zusätzlich
telefonisch, wenn die Verletzung ein hohes Risiko erwarten lässt.

`[[ENTSCHEIDUNG ROBERT: 24 Stunden ist eine Selbstverpflichtung, die über Art. 33
Abs. 2 DSGVO („unverzüglich") hinausgeht. Empfehlung: beibehalten. Begründung:
Der Kunde hat nach Art. 33 Abs. 1 DSGVO nur 72 Stunden ab eigener Kenntnis; wer
ihm 24 Stunden zusagt, lässt ihm 48 Stunden zum Handeln. Kürzer wäre für einen
Einzelunternehmer nicht durchhaltbar, länger macht die Frist des Kunden
unhaltbar. Voraussetzung ist, dass ein Vorfall überhaupt bemerkt wird — das
setzt eine funktionierende Fehler-Benachrichtigung voraus (Anlage 1,
Ziffer 4.4).]]`

10.2.2 Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der
Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und
Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen
Gegenmaßnahmen sowie eine Ansprechperson. Sind nicht alle Angaben sofort
verfügbar, meldet RSTCode zunächst den bekannten Stand und ergänzt unverzüglich.

10.2.3 Die Meldung an die Datenschutzbehörde nach Art. 33 DSGVO und die
Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem
Kunden. RSTCode unterstützt ihn dabei und stellt die erforderlichen
Informationen bereit.

10.2.4 RSTCode ergreift unverzüglich die zur Eindämmung erforderlichen
Maßnahmen und dokumentiert den Vorfall samt Ursache, Verlauf und Abhilfe.

### 10.3 Datenschutz-Folgenabschätzung

RSTCode unterstützt den Kunden auf Anforderung bei einer
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer vorherigen Konsultation
nach Art. 36 DSGVO, soweit die dafür nötigen Informationen ausschließlich RSTCode
vorliegen. RSTCode stellt dazu insbesondere die Beschreibung der Verarbeitung
und die Angaben aus Anlage 1 zur Verfügung. Die Durchführung der
Folgenabschätzung obliegt dem Kunden.

> **Hinweis für den Kunden:** Ob eine Datenschutz-Folgenabschätzung
> durchzuführen ist, **beurteilt der Kunde**. Dieser Vertrag trifft dazu keine
> eigene Einschätzung. RSTCode stellt dem Kunden mit der Zuarbeit
> `Kunde-DSFA-Zuarbeit.md` die Angaben zur Verfügung, die für diese Beurteilung
> auf der Seite der Software gebraucht werden — dort sind auch die
> österreichischen Sonderregelungen (DSFA-V und die Ausnahmeverordnung
> DSFA-AV) und ihr Verhältnis zueinander dargestellt. Die Zuarbeit ersetzt
> weder die Beurteilung noch eine Rechtsberatung.

### 10.4 Weitere Unterstützung

RSTCode unterstützt den Kunden bei der Einhaltung der Pflichten nach den
Art. 32 bis 36 DSGVO und stellt ihm die für sein Verarbeitungsverzeichnis nach
Art. 30 Abs. 1 DSGVO erforderlichen Angaben zur Verfügung. RSTCode führt ein
eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO.
`[[OFFEN: Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO ist
noch nicht erstellt. Vor der ersten Verwendung dieses AVV anlegen. Solange es
fehlt, ist dieser Satz eine unrichtige Zusage — die Ausnahme des Art. 30 Abs. 5
DSGVO für Unternehmen unter 250 Beschäftigten greift bei der Verarbeitung
besonderer Kategorien nach Art. 9 DSGVO gerade nicht.]]`

---

## 11. Kontroll- und Nachweisrechte

11.1 RSTCode stellt dem Kunden alle Informationen zur Verfügung, die zum
Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und
**ermöglicht Überprüfungen einschließlich Inspektionen und trägt zu ihnen bei**
(Art. 28 Abs. 3 lit. h DSGVO). Grundlage ist zunächst dieser Vertrag samt
Anlagen.

11.2 Der Kunde ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Die
Prüfung erfolgt vorrangig durch Einholung von Auskünften, durch Einsicht in die
Dokumentation und durch Selbstauskunft von RSTCode.

11.3 Genügt das nicht, kann der Kunde eine Überprüfung vor Ort durchführen oder
durch einen von ihm beauftragten Prüfer durchführen lassen. Die Überprüfung
ist mit einer Frist von **mindestens zwei Wochen** anzukündigen, auf die
üblichen Geschäftszeiten zu legen und auf das erforderliche Maß zu beschränken.
Sie darf den Betriebsablauf nicht unverhältnismäßig stören. Ohne besonderen
Anlass ist eine Überprüfung höchstens einmal im Kalenderjahr zulässig; bei
einem konkreten Anlass — etwa nach einer Verletzung des Schutzes
personenbezogener Daten oder auf Anordnung der Datenschutzbehörde — auch
darüber hinaus und mit verkürzter Frist.

11.4 Ein vom Kunden beauftragter Prüfer darf kein Wettbewerber von RSTCode sein
und ist vor der Prüfung zur Vertraulichkeit zu verpflichten.

11.5 RSTCode kann Einsicht verweigern, soweit dadurch Geschäftsgeheimnisse
Dritter oder personenbezogene Daten anderer Kunden offengelegt würden. Der
Nachweis ist dann auf andere geeignete Weise zu führen. **Der Nachweis der
Einhaltung des Art. 28 DSGVO darf auf diesem Weg nicht vereitelt werden**; die
Beschränkung erfasst nur den Einblick in fremde Daten, nicht die Prüfung als
solche.

11.6 Der Kunde trägt die Kosten seiner Überprüfung. Aufwand von RSTCode, der
über einen halben Personentag je Kalenderjahr hinausgeht, wird nach dem im
Hauptvertrag vereinbarten Stundensatz abgerechnet — es sei denn, die Prüfung
deckt einen Verstoß von RSTCode auf; dann trägt RSTCode den eigenen Aufwand
selbst. **Die Erteilung von Auskünften nach Ziffer 11.1 und 11.2 ist stets
unentgeltlich**; sie ist eine Pflicht aus Art. 28 Abs. 3 lit. h DSGVO und kann
nicht von einer Zahlung abhängig gemacht werden.

11.7 RSTCode duldet Kontrollen der zuständigen Aufsichtsbehörde und wirkt daran
mit. Der Kunde wird über behördliche Maßnahmen, die die im Auftrag
verarbeiteten Daten betreffen, unverzüglich unterrichtet. Ziffer 6.7 bleibt
unberührt.

---

## 12. Löschung und Rückgabe

12.1 Nach Beendigung der Erbringung der Verarbeitungsleistungen gibt RSTCode
nach Wahl des Kunden alle im Auftrag verarbeiteten personenbezogenen Daten
zurück oder löscht sie und löscht die vorhandenen Kopien (Art. 28 Abs. 3 lit. g
DSGVO). Der Kunde teilt seine Wahl in Textform mit.

12.2 Trifft der Kunde bis zum Ende der Karenzfrist nach dem Lösch- und
Rückgabekonzept keine Wahl, gibt RSTCode die Daten zurück und löscht sie
anschließend nach den Fristen der Ziffer 12.4. **Die Rückgabe ist der
Rückfall, nicht die Löschung** — eine Löschung ohne Wahl des Kunden würde ihm
Unterlagen nehmen, die er nach § 44 Abs. 3 PThG 2024 und § 132 Abs. 1 BAO —
bei Rechnungslegungspflicht nach § 189 Abs. 1 UGB zusätzlich nach § 212 UGB —
selbst aufbewahren muss.

12.3 Die Rückgabe erfolgt als vollständiger, verschlüsselter Datenexport; die
Einzelheiten zu Format, Umfang und Übergabe regelt das **Lösch- und
Rückgabekonzept** (`Loeschkonzept.md`), das als Anlage 3 Bestandteil dieses
Vertrags ist.

12.4 Die Löschung — einschließlich der Löschung aus Sicherungskopien nach den
dort beschriebenen Fristen — richtet sich ebenfalls nach dem Lösch- und
Rückgabekonzept.

12.5 Eine Löschung unterbleibt, soweit Unionsrecht oder österreichisches Recht
RSTCode zur Aufbewahrung verpflichtet. In diesem Fall werden die betroffenen
Daten für jede weitere Verarbeitung gesperrt und ausschließlich zum
Aufbewahrungszweck vorgehalten. Welche Fristen das sind, steht im Lösch- und
Rückgabekonzept, Abschnitt 4.2. **Die Aufbewahrungspflichten für die Daten der
Klientinnen und Klienten treffen den Kunden, nicht RSTCode**; RSTCode beruft
sich auf diese Ziffer nicht, um Klientendaten über das Vertragsende hinaus
vorzuhalten.

12.6 RSTCode bestätigt dem Kunden die Löschung auf Anforderung in Textform.

12.7 **Kein Zurückbehaltungsrecht an personenbezogenen Daten.** RSTCode macht
die Rückgabe der Daten, die Bereitstellung des Exports und den für den Export
erforderlichen Zugang **nicht** von der Zahlung offener Entgelte abhängig. Ein
Zurückbehaltungsrecht an personenbezogenen Daten (§ 471 ABGB) besteht nicht und
wird nicht ausgeübt. Das gilt auch während einer Sperre des Zugangs wegen
Zahlungsverzugs nach dem Hauptvertrag: Solange der Vertrag läuft, stellt
RSTCode dem Kunden auf Anforderung **innerhalb von fünf Werktagen** einen
vollständigen Export bereit oder hebt die Sperre in dem für den Export
erforderlichen Umfang auf. Die Entgeltforderung von RSTCode bleibt davon
unberührt und ist gesondert zu verfolgen.

> **Warum diese Klausel nicht verhandelbar ist:** Der Kunde muss jederzeit
> seine Betroffenenrechte nach Art. 15 bis 20 DSGVO erfüllen und seine
> Dokumentationspflicht nach § 44 PThG 2024 einhalten können. Beides hängt am
> Zugang zu den Daten. Ein Zurückbehaltungsrecht daran würde die Rechte
> Dritter — der Klientinnen und Klienten — als Druckmittel in einem
> Entgeltstreit einsetzen, an dem sie nicht beteiligt sind.

`[[OFFEN: Ziffer 12.7 mit Punkt 7.3.3 bis 7.3.5 der AGB abstimmen. Die AGB
sehen ein Sperrrecht bei Zahlungsverzug vor und stellen klar, dass die Daten
während der Sperre gespeichert bleiben — sie enthalten aber keine Ausnahme für
den Datenexport und für die Erfüllung von Betroffenenrechten. Diese Ausnahme
gehört in beide Dokumente.]]`

---

## 13. Haftung

### 13.1 Außenverhältnis — zwingend

Für die Haftung gegenüber betroffenen Personen gilt **Art. 82 DSGVO**. Diese
Haftung ist zwingend und kann durch diesen Vertrag weder ausgeschlossen noch
beschränkt werden. Insbesondere gilt:

- RSTCode haftet als Auftragsverarbeiter nach Art. 82 Abs. 2 DSGVO für einen
Schaden nur dann, wenn RSTCode den speziell den Auftragsverarbeitern
auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung oder
entgegen einer rechtmäßig erteilten Weisung des Kunden gehandelt hat.
- Sind beide Parteien für denselben Schaden verantwortlich, haften sie nach
Art. 82 Abs. 4 DSGVO gesamtschuldnerisch gegenüber der betroffenen Person.
- Der Ausgleich zwischen den Parteien richtet sich nach Art. 82 Abs. 5 DSGVO
nach dem jeweiligen Anteil an der Verantwortung für den Schaden.

**Die nachstehenden Ziffern 13.2 bis 13.6 gelten ausschließlich im
Innenverhältnis der Parteien.** Sie ändern nichts an den Ansprüchen betroffener
Personen.

### 13.2 Innenverhältnis

13.2.1 Jede Partei haftet der anderen für Schäden, die aus einer schuldhaften
Verletzung der eigenen Pflichten aus diesem Vertrag entstehen, nach den
allgemeinen Regeln des ABGB.

13.2.2 **Verhältnis zur Haftungsklausel des Hauptvertrags.** Die im Hauptvertrag
vereinbarten Haftungsbeschränkungen gelten auch für Ansprüche aus diesem
Vertrag, soweit sie nach zwingendem Recht wirksam sind. Ziffer 13.2.1 setzt
diese Beschränkungen nicht außer Kraft; die Vorrangregel der Ziffer 1.4 erfasst
datenschutzrechtliche Regelungsfragen, nicht die schuldrechtliche
Haftungsbegrenzung des Hauptvertrags.

`[[OFFEN: Ziffer 13.2.2 mit § 13 der AGB abstimmen, insbesondere mit der dort
offenen summenmäßigen Beschränkung bei leichter Fahrlässigkeit. Der AVV soll
keine eigene Obergrenze setzen, sondern auf die des Hauptvertrags verweisen —
zwei unterschiedliche Obergrenzen in zwei Dokumenten sind im Streitfall der
schlechteste Fall.]]`

### 13.3 Grenzen jeder Haftungsbeschränkung

Eine Haftungsbeschränkung — gleich ob in diesem Vertrag oder im Hauptvertrag —
gilt **nicht**

1. für **Vorsatz**; eine Freizeichnung dafür wäre nach § 879 Abs. 1 ABGB
nichtig;
2. für **krasse grobe Fahrlässigkeit**;
3. für Schäden aus der Verletzung des **Lebens, des Körpers oder der
Gesundheit**;
4. für Ansprüche nach dem Produkthaftungsgesetz;
5. für das Fehlen ausdrücklich zugesicherter Eigenschaften;
6. soweit sie einen Teil unter Berücksichtigung aller Umstände **gröblich
benachteiligt**; eine solche Bestimmung ist nach **§ 879 Abs. 3 ABGB** in
einem Vertragsformblatt jedenfalls nichtig.

Dieser Vertrag wird als Vertragsformblatt verwendet. Die Parteien gehen davon
aus, dass § 879 Abs. 3 ABGB auf alle Nebenbestimmungen dieses Vertrags
anwendbar ist, und legen ihn im Zweifel so aus, dass keine Bestimmung eine
Partei gröblich benachteiligt.

### 13.4 Freistellung durch den Kunden

13.4.1 Der Kunde stellt RSTCode von Ansprüchen betroffener Personen, Dritter und
von Sanktionen der Aufsichtsbehörde frei, die darauf beruhen, dass

- die Verarbeitung ohne ausreichende Rechtsgrundlage erfolgte,
- der Kunde betroffene Personen unzureichend informiert hat, oder
- eine vom Kunden erteilte Weisung rechtswidrig war.

13.4.2 **Verschuldensvorbehalt.** Die Freistellung nach Ziffer 13.4.1 entfällt
oder mindert sich entsprechend, soweit RSTCode den Umstand mitverschuldet hat —
insbesondere, wenn RSTCode die Rechtswidrigkeit einer Weisung erkannt hat oder
hätte erkennen müssen und den Kunden nicht nach Ziffer 6.4 gewarnt hat, oder
soweit RSTCode eigene Pflichten aus diesem Vertrag verletzt hat. Der Ausgleich
richtet sich in diesem Fall nach dem jeweiligen Anteil an der Verantwortung
(Art. 82 Abs. 5 DSGVO).

13.4.3 RSTCode unterrichtet den Kunden unverzüglich über einen geltend gemachten
Anspruch, ergreift keine Anerkenntnisse ohne dessen Zustimmung und gibt ihm
Gelegenheit, sich zu verteidigen.

### 13.5 Freistellung für die KI-Belegerkennung

Der Kunde stellt RSTCode von Ansprüchen frei, die daraus entstehen, dass er die
KI-Belegerkennung nach Ziffer 3.5 mit einem eigenen Zugang aktiviert hat. Der
Verschuldensvorbehalt der Ziffer 13.4.2 gilt entsprechend; insbesondere entfällt
die Freistellung, soweit der Anspruch auf einem Fehler der Software beruht —
etwa darauf, dass die Software entgegen Ziffer 3.5 andere Daten als das
Beleg-Dokument und den festen Anweisungstext übermittelt hat.

### 13.6 Freistellung durch RSTCode

RSTCode stellt den Kunden von Ansprüchen betroffener Personen, Dritter und von
Sanktionen der Aufsichtsbehörde frei, soweit sie darauf beruhen, dass RSTCode
den ihm nach der DSGVO und nach diesem Vertrag obliegenden Pflichten nicht
nachgekommen ist oder entgegen einer rechtmäßig erteilten Weisung des Kunden
gehandelt hat. Die Ziffern 13.2.2, 13.3 und 13.4.3 gelten entsprechend.

> *Anmerkung zur Fassung 0.2:* Ziffer 13.6 ist neu. In der Fassung 0.1 stellte
> nur der Kunde RSTCode frei, in zwei Ziffern und ohne Verschuldensvorbehalt.
> Eine Freistellungsregel, die einseitig zu Lasten der Vertragspartei geht, die
> das Formblatt nicht gestellt hat, ist ein klassischer Anwendungsfall des
> § 879 Abs. 3 ABGB. Die Spiegelklausel beseitigt das Ungleichgewicht.

---

## 14. Schlussbestimmungen

14.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt
auch für die Abbedingung dieses Formerfordernisses. Anlage 1 kann RSTCode nach
Ziffer 8.3 fortschreiben, Anlage 2 nach Ziffer 9.2.

14.2 Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Die
Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem
verfolgten Zweck am nächsten kommt.

14.3 Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und der
Verweisungsnormen des IPRG.

14.4 Gerichtsstand ist das sachlich zuständige Gericht in Graz, soweit dem
keine zwingenden gesetzlichen Vorschriften entgegenstehen. Zwingende
Gerichtsstände zugunsten betroffener Personen — insbesondere Art. 79 Abs. 2
DSGVO — bleiben unberührt.
`[[OFFEN: Gerichtsstand mit § 17 der AGB abstimmen; beide Dokumente müssen
denselben Gerichtsstand nennen. Bei Verbrauchern gelten die zwingenden
Zuständigkeiten des § 14 KSchG.]]`

---

## Anlagen

| Anlage | Dokument |
|---|---|
| Anlage 1 | Technische und organisatorische Maßnahmen — `AVV-Anlage-TOM.md` |
| Anlage 2 | Unterauftragsverarbeiter — `AVV-Anlage-Unterauftragsverarbeiter.md` |
| Anlage 3 | Lösch- und Rückgabekonzept — `Loeschkonzept.md` |

---

## Annahme

Dieser Vertrag kommt **nicht** durch eine händische Unterschrift, sondern nach
Ziffer 1.9 elektronisch im Bestellvorgang zustande — durch Anhaken der dafür
vorgesehenen Checkbox auf `signup.psymora.at` gemeinsam mit dem Hauptvertrag.
Eine Unterschriftenzeile ist deshalb **nicht** vorgesehen; ein
Unterschriftenfeld als einziger Abschlussweg würde dem tatsächlichen
Bestellvorgang widersprechen und wäre für den weit überwiegenden Teil der
Kundschaft, der den Vertrag nie zu Gesicht bekäme, irreführend.

Den Nachweis der Annahme — wer, wann, welche Fassung — führt RSTCode nach
Ziffer 1.9 und § 3.8 der `AGB.md`; das interne Arbeitspapier
`NACHWEISE-INTERN.md` beschreibt die technische Umsetzung.

> `[[HINWEIS (nicht Vertragstext): Wird dieser AVV ausnahmsweise außerhalb der
> Selbstregistrierung verwendet — etwa bei einer individuellen Vereinbarung —,
> tritt an die Stelle dieses Abschnitts eine Unterschriftenzeile oder eine
> andere Form der Textform-Bestätigung. Dieses Dokument regelt nur den
> Regelfall der Selbstregistrierung.]]`

---

## Offene Punkte

1. **Datenschutzbeauftragter** — Prüfen, ob RSTCode angesichts der Verarbeitung
von Gesundheitsdaten einen Datenschutzbeauftragten nach Art. 37 Abs. 1 lit. c
DSGVO zu bestellen hat. (Ziffer „Vertragsparteien")
2. **Kundendaten im Vertragskopf** — Firmenwortlaut, Anschrift,
Vertretungsbefugte und Meldeadresse werden je Vertrag eingesetzt.
3. **Laufzeit- und Kündigungsregeln** der Ziffern 2.3 bis 2.5 mit § 9 der AGB
abstimmen. (2)
4. **Weisungsberechtigte Personen des Kunden** namentlich benennen. (6.3)
5. **Einordnung als Hilfsperson** nach § 4 Abs. 1 Z 7 PThG 2024 anwaltlich
bestätigen lassen. Die Klausel trägt unabhängig davon, die Antwort
entscheidet aber, wer die Belehrung vorzunehmen hat. (7.3.2)
6. **🔴 Vorlage für Verschwiegenheits- und Datengeheimnisverpflichtung** samt
Belehrungsprotokoll nach § 45 Abs. 2 PThG 2024 und § 6 Abs. 2 und 3 DSG
existiert nicht. Bis dahin darf niemand außer Robert Strecher an einer
Kundeninstanz arbeiten. (7.4.2)
7. **Schulungsnachweis** — es gibt keine dokumentierte Datenschutzschulung.
Entweder anlegen oder Ziffer 7.4.3 streichen. (7.4.3)
8. **🔴 Verarbeitungsverzeichnis nach Art. 30 Abs. 2 DSGVO** ist noch nicht
erstellt. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift bei Art.-9-Daten
nicht. Dazu gehört ein **zweiter Teil nach Art. 30 Abs. 1 DSGVO** für die
Verarbeitungen, bei denen RSTCode selbst Verantwortlicher ist — die
eigenen Vertrags- und Rechnungsunterlagen und der **Support-Verlauf**
nach Ziffer 3.8. Dass für ihn eine eigene Rolle gilt, ist seit Fassung
0.7 im Vertrag festgehalten; im Verzeichnis steht er noch nicht. (10.4,
3.8)
9. **Meldefrist von 24 Stunden** — Entscheidung Roberts, Empfehlung
beibehalten. (10.2.1)
10. **Haftungsklausel** mit § 13 der AGB abstimmen; die summenmäßige
Beschränkung gehört in die AGB, nicht in den AVV. (13.2.2)
11. **🔴 Sperrrecht der AGB und Ziffer 12.7** — die AGB brauchen eine Ausnahme
für Datenexport und Betroffenenrechte. (12.7)
12. **Gerichtsstand** mit den AGB abstimmen. (14.4)
13. Die offenen Punkte der Anlagen 1 bis 3 gelten zusätzlich; sie stehen am Ende
des jeweiligen Dokuments.

---

## Verwendete Rechtsgrundlagen und ihre Fundstellen

Die folgenden Bestimmungen wurden am 2026-09-09 am geltenden Gesetzestext im
Rechtsinformationssystem des Bundes (`https://www.ris.bka.gv.at/`) geprüft.

| Bestimmung | Fassung | Inhalt, soweit hier verwendet |
|---|---|---|
| § 44 Abs. 3 PThG 2024 | Psychotherapiegesetz 2024, BGBl. I Nr. 49/2024, in Kraft seit 1. Jänner 2025 | Aufbewahrung der Dokumentation zehn Jahre ab Beendigung der psychotherapeutischen Leistungen; danach umgehende, unwiederbringliche und nachweisliche Vernichtung |
| § 45 Abs. 1 PThG 2024 | wie vor | Verschwiegenheitspflicht der Berufsangehörigen **und ihrer Hilfspersonen**, über den Tod hinaus |
| § 45 Abs. 2 PThG 2024 | wie vor | Belehrung der Hilfspersonen, **schriftlich zu dokumentieren** |
| § 45 Abs. 3 PThG 2024 | wie vor | Entbindung nur höchstpersönlich durch die entscheidungsfähige Patientin bzw. den Patienten |
| § 4 Abs. 1 Z 7 PThG 2024 | wie vor | Offene Umschreibung der „Hilfsperson" |
| § 55 Abs. 4 Z 3, Abs. 5 PThG 2024 | wie vor | Verwaltungsstrafe bis 5 000 Euro, mindestens 250 Euro, für Verstöße gegen §§ 40 bis 50 |
| § 6 DSG | Datenschutzgesetz, BGBl. I Nr. 165/1999 in geltender Fassung | Datengeheimnis; Abs. 2 vertragliche Verpflichtung und Nachwirkung, Abs. 3 Belehrung, **Abs. 5 Verbot der Umgehung eines Aussageverweigerungsrechts über den Auftragsverarbeiter** |
| § 879 Abs. 1 und 3 ABGB | ABGB, JGS Nr. 946/1811 in geltender Fassung | Nichtigkeit sittenwidriger Verträge; Nichtigkeit gröblich benachteiligender Klauseln in Vertragsformblättern |
| § 132 Abs. 1 BAO | siehe Anlage 3, Abschnitt 4 | Aufbewahrungsfrist von sieben Jahren; Fristbeginn **Schluss des Kalenderjahres**, für das die Eintragung vorgenommen wurde bzw. auf das sich der Beleg bezieht; darüber hinaus so lange, als die Unterlagen für ein anhängiges Abgabenverfahren mit Parteistellung von Bedeutung sind |
| § 189 Abs. 4, § 212 UGB | siehe Anlage 3, Abschnitt 4 | Das Dritte Buch des UGB — und damit § 212 UGB — ist auf **Angehörige der freien Berufe nicht anzuwenden**. Für die freiberufliche Praxis gilt allein § 132 Abs. 1 BAO; § 212 UGB nur bei Rechnungslegungspflicht nach § 189 Abs. 1 UGB |

> **Achtung bei älteren Vorlagen:** Das Psychotherapiegesetz, BGBl. Nr.
> 361/1990, ist nach § 68 PThG 2024 außer Kraft getreten. Paragraphenangaben
> aus Mustern, die vor 2025 entstanden sind — insbesondere „§ 15
> Psychotherapiegesetz" für die Verschwiegenheit und „§ 16" für die
> Dokumentation —, treffen auf das geltende Recht nicht mehr zu. § 15
> PThG 2024 regelt die psychotherapeutischen Fachgesellschaften.