Data Processing Agreement (AVV)Auftrags­verarbeitungs­vertrag (AVV)

When you work with meda you remain the controller under the GDPR. We are your processor and act solely on your instructions. The detail is set out in our Auftragsverarbeitungsvertrag under Article 28 GDPR (Anlage 5 of our AGB).

Your practice or MVZ is the controller and decides on the purposes and means of processing, informing patients and releasing every code.
meda AI GmbH is the processor and handles technical execution on your instructions.

Patients should direct access, erasure and objection requests to their practice. We support you in handling them.

During the free trial you work with demo data only; real patient data may not be entered. As a rule there is therefore no processing on your behalf. The data processing agreement is nevertheless part of the trial and takes effect should personal data be entered after all.

Once you use meda in your practice we conclude a regular contract with your institution. The data processing agreement is then operative from the outset and is signed before the first practice data flows.

For persons bound by professional secrecy, passing patient data to a service provider is permitted only under § 203 Abs. 3 StGB. We and everyone working for us are bound to secrecy under § 203 Abs. 4 StGB.

The sub-processors we use are set out in the data processing agreement. We give at least 30 days' notice of changes; you may object. We send you the current list on request: support@mymeda.ai.

Server location: data centres in the EU (France)
Encryption: medical notes encrypted with AES-256, TLS in transit
Audio: deleted immediately once the transcript is created
Tenant separation: separate data holdings per practice
Access: named individual accounts, role-based, every access logged
Breach notification: without undue delay to you as controller
Deletion: return and deletion after the contract ends, at your choice

As controller you will generally need a data protection impact assessment under Art. 35 GDPR before deploying meda. We provide a prepared template on request: support@mymeda.ai.

We are happy to send you the complete data processing agreement before you sign, with no form to fill in: support@mymeda.ai.

Wenn Sie mit meda arbeiten, bleiben Sie Verantwortliche im Sinne der DSGVO. Wir sind Ihr Auftragsverarbeiter und handeln ausschließlich nach Ihren Weisungen. Einzelheiten regelt unser Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO (Anlage 5 unserer AGB).

Ihre Praxis, Ihr MVZ ist Verantwortlicher und entscheidet über Zweck und Mittel der Verarbeitung, die Aufklärung der Patientinnen und Patienten und die Freigabe jeder Ziffer.
meda AI GmbH ist Auftragsverarbeiter und verantwortet die technische Durchführung nach Ihren Weisungen.

Patientinnen und Patienten wenden sich mit Auskunfts-, Lösch- und Widerspruchsanliegen an ihre Praxis. Wir unterstützen Sie bei der Bearbeitung.

In der kostenlosen Testphase arbeiten Sie ausschließlich mit Demodaten; echte Patientendaten dürfen nicht eingegeben werden. Eine Auftragsverarbeitung findet deshalb regulär nicht statt. Der Auftragsverarbeitungsvertrag liegt der Testphase dennoch bei und greift, falls doch personenbezogene Daten eingegeben werden.

Sobald Sie meda in Ihrer Praxis einsetzen, schließen wir einen regulären Vertrag mit Ihrer Einrichtung. Der Auftragsverarbeitungsvertrag ist dann von Beginn an operativ und wird unterzeichnet, bevor die ersten Praxisdaten fließen.

Die Weitergabe von Patientendaten an Dienstleister ist für Berufsgeheimnisträger nur unter den Voraussetzungen des § 203 Abs. 3 StGB zulässig. Wir und alle bei uns tätigen Personen sind nach § 203 Abs. 4 StGB zur Geheimhaltung verpflichtet.

Welche Unterauftragnehmer wir einsetzen, legt der Auftragsverarbeitungsvertrag fest. Änderungen teilen wir Ihnen mindestens 30 Tage im Voraus mit; Sie können widersprechen. Die aktuelle Liste senden wir Ihnen auf Anfrage: support@mymeda.ai.

Serverstandort: Rechenzentren in der EU (Frankreich)
Verschlüsselung: medizinische Notizen mit AES-256 verschlüsselt, Übertragung per TLS
Audio: unmittelbar nach Erstellung des Transkripts gelöscht
Mandantentrennung: getrennte Datenbestände je Praxis
Zugriff: namentliche Einzelzugänge, rollenbasiert, jeder Zugriff protokolliert
Meldung von Verletzungen: unverzüglich an Sie als Verantwortliche
Löschung: Herausgabe und Löschung nach Vertragsende nach Ihrer Wahl

Als Verantwortliche führen Sie für den Einsatz von meda in der Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durch. Auf Anfrage stellen wir Ihnen eine vorbereitete Vorlage zur Verfügung: support@mymeda.ai.

Den vollständigen Auftragsverarbeitungsvertrag senden wir Ihnen gern vor Vertragsschluss zu, ohne Formular: support@mymeda.ai.