Rechtliches
Unterauftragsverarbeiter
Diese Dienstleister setzt dentime ein, um die Daten Ihrer Praxis zu verarbeiten. Die Liste ist Anlage 3 zum Vertrag über die Auftragsverarbeitung (AVV); dort gilt die jeweils hier veröffentlichte Fassung.
Aktuelle Liste
Anlage 3: Unterauftragsverarbeiter
Stand: 24.10.2026. Änderungen nur nach § 7. Die jeweils aktuelle Liste steht unter dentime.de/unterauftragnehmer.
Teil A – Genehmigte Unterauftragsverarbeiter
| Nr. | Unterauftragsverarbeiter | Leistung | Betroffene Daten | Ort der Verarbeitung | Grundlage / Garantien |
|---|---|---|---|---|---|
| A-1 | netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe | Server, auf dem Anwendung, Datenbank und die verschlüsselten Datensicherungen liegen | alle Auftragsdaten (Anlage 1 Nr. 4) | Rechenzentrum Nürnberg, Deutschland | AV-Vertrag nach Art. 28 DSGVO; ISO/IEC 27001 nach Angaben von netcup |
| A-2 | Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon Simple Email Service, SES) | Versand der E-Mails der App an Nutzer (zum Beispiel Einladungen, Anmeldecodes) | Name und E-Mail-Adresse der Empfänger, Praxisname, Inhalt der E-Mail (zum Beispiel Link oder Code), Zustellinformationen; keine Inhalte zu Zeiten, Dienstplänen, Abwesenheiten oder Krankmeldungen | Region eu-central-1 (Frankfurt, Deutschland) | AWS GDPR Data Processing Addendum mit Standardvertragsklauseln; Konzernmutter in den USA, für etwaige Zugriffe aus den USA EU-US Data Privacy Framework (Amazon.com, Inc. zertifiziert), ersatzweise Standardvertragsklauseln (§ 8) |
| A-3 | STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin | E-Mail-Postfächer von dentime (kontakt@dentime.de, noreply@dentime.de) | Inhalte von Support-Anfragen und Antworten, soweit sie Auftragsdaten enthalten; Rückläufer an noreply@dentime.de | Deutschland | AV-Vertrag nach Art. 28 DSGVO |
| A-4 | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Datensicherung außer Haus (Einsatz ab Einrichtung, bis dahin keine Daten) | nur verschlüsselte Sicherungsdateien, die Hetzner nicht lesen kann; Löschung nach 30 Tagen | Rechenzentren in Deutschland | AV-Vertrag nach Art. 28 DSGVO |
| A-5 | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging) | Zustellung der Benachrichtigungen an die Android-App, nur wenn der Nutzer sie eingeschaltet hat | Gerätekennung (Token), Firebase-Installations-ID und IP-Adresse des Geräts, neutraler Hinweistext ohne Namen und ohne Gesundheitsdaten | EU, Verarbeitung in den USA möglich | Firebase Data Processing and Security Terms; EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln (§ 8) |
| A-6 | Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland (Apple Push Notification service) | Zustellung der Benachrichtigungen an die iPhone-App, nur wenn der Nutzer sie eingeschaltet hat | Gerätekennung (Token), neutraler Hinweistext ohne Namen und ohne Gesundheitsdaten | EU, Verarbeitung in den USA möglich | EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln (§ 8) |
Weitere Unterauftragsverarbeiter der genannten Anbieter (zum Beispiel Konzerngesellschaften) ergeben sich aus deren Unterlagen; dentime nennt sie dem Kunden auf Anfrage mit Name, Anschrift und Tätigkeit.
Teil B – Geplant, noch nicht genehmigt
Die folgenden Dienste sind in Planung. Sie werden erst nach dem Verfahren des § 7 Abs. 3 bis 5 eingesetzt; bis dahin erhalten sie keine Auftragsdaten.
| Nr. | Dienst | Bedingungen |
|---|---|---|
| KI-1 | Anbieter eines KI-Sprachmodells für KI-Funktionen der Hilfe „Denti“ (noch nicht ausgewählt) | Einsatz erst nach § 7 Abs. 3 bis 5, nur für Kunden, die die KI-Funktionen von Denti einschalten; keine Gesundheitsdaten |
Teil C – Keine Unterauftragsverarbeiter im Sinne dieses Vertrags
| Dienst | Warum nicht |
|---|---|
| Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (Zahlungsabwicklung für die Entgelte von dentime) | Stripe verarbeitet nur Vertrags-, Rechnungs- und Zahlungsdaten für die Abrechnung von dentime, teils im Auftrag von dentime, teils in eigener Verantwortung (§ 1 Abs. 3 lit. b). Mit den Auftragsdaten des Kunden hat Stripe nichts zu tun. |
| Apple App Store und Google Play | Bereitstellung der Apps von dentime. Apple und Google verarbeiten dabei die Daten der Personen, die eine App laden, in eigener Verantwortung; Auftragsdaten erhalten sie dadurch nicht. |
| Push-Dienste der Browserhersteller (Web Push) für Benachrichtigungen im Browser | Welcher Push-Dienst zustellt, bestimmt der Browser des Nutzers. Der Inhalt ist Ende-zu-Ende verschlüsselt; der Push-Dienst erhält nur die Geräteadresse, Zeitpunkt und Größe der Nachricht und kann den Inhalt nicht lesen. |
| Let's Encrypt bzw. andere Zertifizierungsstelle | Ausstellung von TLS-Zertifikaten; übermittelt wird nur der Domainname. |
| Telekommunikations- und Internetanbieter | Reine Datenübertragung ohne Zugriff auf Inhalte. |
So informieren wir über Änderungen
- 1. Vorankündigung: Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir mindestens 14 Tage vorher alle Inhaber-Zugänge Ihrer Praxis per E-Mail – mit Name, Anschrift, Aufgabe, betroffenen Daten, Ort der Verarbeitung und geplantem Beginn. Diese Seite zeigt dann die neue Fassung mit Datum. Sie können auch früher in Textform zustimmen; für Ihre Praxis gilt die Änderung dann sofort.
- 2. Einspruch: Bis zum Ende dieser Frist können Sie aus Datenschutzgründen in Textform widersprechen, zum Beispiel per E-Mail an kontakt@dentime.de oder über unser Kontaktformular.
- 3. Lösung oder Kündigung: Wir suchen mit Ihnen eine Lösung. Betrifft die Änderung eine Zusatzfunktion (zum Beispiel die geplanten KI-Funktionen von Denti), bleibt sie für Ihre Praxis ausgeschaltet. Gibt es keine Lösung, können Sie fristlos kündigen; bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig.
Die Regeln im Wortlaut (§ 7 AVV)
Maßgeblich ist der Wortlaut des AVV:
§ 7 Unterauftragsverarbeiter
(1) Allgemeine Genehmigung. Der Kunde erteilt dentime die allgemeine Genehmigung, die in Anlage 3 Teil A genannten Unterauftragsverarbeiter einzusetzen. Die in Anlage 3 Teil B genannten, nur geplanten Dienste sind damit nicht genehmigt; für sie gilt das Verfahren nach den Absätzen 3 bis 6.
(2) Voraussetzungen. dentime setzt Unterauftragsverarbeiter nur ein, wenn
- a) dentime sie sorgfältig ausgewählt hat, insbesondere im Hinblick auf die Eignung ihrer technischen und organisatorischen Maßnahmen,
- b) mit ihnen ein Vertrag nach Art. 28 Abs. 4 DSGVO besteht, der ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, einschließlich Kontrollrechten, und
- c) eine Verarbeitung außerhalb der EU bzw. des EWR nur unter den Voraussetzungen des § 8 stattfindet.
dentime vergewissert sich in angemessener Weise, dass die Unterauftragsverarbeiter diese Pflichten einhalten.
(3) Mitteilung von Änderungen. Will dentime einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt dentime dies dem Kunden mindestens 14 Tage vorher in Textform mit: per E-Mail an alle Inhaber-Zugänge und, soweit technisch möglich, zusätzlich durch einen Hinweis in dentime. Die Mitteilung nennt den Unterauftragsverarbeiter, seine Tätigkeit, die betroffenen Daten, den Ort der Verarbeitung, gegebenenfalls die Grundlage einer Übermittlung in ein Drittland und den geplanten Beginn. Die aktuelle Liste steht unter dentime.de/unterauftragnehmer.
(4) Einspruch. Der Kunde kann der Änderung bis zum Ende der Frist nach Absatz 3 in Textform widersprechen, wenn er einen datenschutzrechtlichen Grund hat; er soll den Grund nennen. Erhebt der Kunde innerhalb der Frist keinen Einspruch, gilt die Änderung als genehmigt. Der Kunde kann der Änderung auch schon vorher in Textform zustimmen; für ihn gilt sie dann ab sofort.
(5) Folgen eines Einspruchs.
- a) dentime prüft den Einspruch und sucht mit dem Kunden nach einer Lösung (zum Beispiel zusätzliche Garantien oder den Verzicht auf die betroffene Funktion für diesen Kunden).
- b) Betrifft die Änderung eine Zusatzfunktion, die der Kunde nicht nutzen muss (zum Beispiel KI-Funktionen von Denti), bleibt diese Funktion für den Kunden ausgeschaltet; seine Auftragsdaten werden an den neuen Unterauftragsverarbeiter nicht übermittelt.
- c) Ist keine Lösung möglich, kann der Kunde den Nutzungsvertrag und diesen Vertrag fristlos zum Zeitpunkt vor dem Einsatz des Unterauftragsverarbeiters kündigen. dentime erstattet in diesem Fall bereits bezahlte Entgelte für die Zeit nach dem Vertragsende anteilig. Bis zum Vertragsende setzt dentime den neuen Unterauftragsverarbeiter für die Auftragsdaten dieses Kunden nicht ein.
(6) Ausweichdienste. dentime kann in Anlage 3 Teil A Ausweichdienste benennen, die ausschließlich bei Ausfall oder akuter Gefährdung eines genehmigten Unterauftragsverarbeiters eingesetzt werden. Sie sind mit der allgemeinen Genehmigung nach Absatz 1 genehmigt; dentime informiert den Kunden unverzüglich, wenn ein Ausweichdienst tatsächlich zum Einsatz kommt. Ein anderer Anbieter wird auch im Notfall nur nach den Absätzen 3 bis 5 eingesetzt.
(7) Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter ohne vorgesehenen Zugriff auf Auftragsdaten (zum Beispiel Telekommunikations- und Internetdienste, TLS-Zertifikate, die Push-Dienste der Browser für Ende-zu-Ende verschlüsselte Benachrichtigungen) sowie Dienste, die dentime nur für eigene Zwecke nach § 1 Abs. 3 nutzt (zum Beispiel die Zahlungsabwicklung); siehe Anlage 3 Teil C.
(8) Haftung und Unterlagen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet dentime gegenüber dem Kunden für die Einhaltung seiner Pflichten wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Auf Verlangen stellt dentime dem Kunden die Datenschutzvereinbarungen mit Unterauftragsverarbeitern zur Verfügung; Geschäftsgeheimnisse darf dentime dabei schwärzen. Bei großen Anbietern mit öffentlich abrufbaren Bedingungen genügt der Verweis auf die jeweilige Fundstelle.