Dokument-ID: O-05
Registerversion: 2026-08-21.1
Version und Datum: 2026-08-21.1 - 21. August 2026
Unternehmen: FlowDule ApS, CVR 46273397
Kontakt und Widersprüche: privacy@flowdule.com
Wichtig: Ein Konto, eine Rechnung, eine Codeintegration oder eine EU-Region ist für sich genommen kein Nachweis für eine rechtmäßige Anbieterkette. Jede aktive Verarbeitung erfordert einen verifizierten Rechtsträger sowie Rolle, Vertrag/AVV, Daten, Regionen, Fernsupport, Unterkette, Aufbewahrung, Sicherheit und gegebenenfalls eine Grundlage nach Kapitel V DSGVO.
1. So ist die Liste zu lesen
| Kategorie | Bedeutung |
|---|---|
| Unterauftragsverarbeiter | Verarbeitet die personenbezogenen Daten des Kunden im Auftrag von FlowDule. Erfordert eine Kette nach Art. 28 DSGVO, die Genehmigung des Kunden nach dem AVV und eine Kontrolle durch FlowDule. |
| Empfänger/eigenständig Verantwortlicher | Bestimmt den Zweck ganz oder teilweise selbst. FlowDule kann die Partei nicht als Unterauftragsverarbeiter beschreiben; gesonderte Information und Rechtsgrundlage können erforderlich sein. |
| Technischer Anbieter ohne personenbezogene Daten | Darf nur dann so eingestuft werden, wenn der tatsächliche Datenfluss und ein Netzwerktest zeigen, dass der Anbieter keine personenbezogenen Daten erhält. |
| Beschränkt/nicht freigegeben | Eine Integration oder ein Konto kann bestehen, aber die Funktion darf mit den angegebenen personenbezogenen Daten nicht genutzt werden, bevor die offenen Kontrollen genehmigt sind. |
2. Genehmigungsregel
Ein Anbieter ist für eine konkrete Verarbeitung genehmigt, wenn FlowDules internes Lieferanten- und Kontrollregister datierte Nachweise für Rolle, Zweck, Daten, betroffene Personen, Vertrag/AVV, alle relevanten Verarbeitungsländer und Fernzugriffe, Unterauftragnehmer, Aufbewahrung/Löschung, Sicherheit, Übermittlungsgrundlage, technische Konfiguration und Exit enthalten.
Ist ein Feld offen, besteht die Standardmaßnahme darin, die Funktion deaktiviert zu lassen, sie auf nicht sensible Testdaten zu beschränken oder eine technische Sperre einzuführen. Der öffentliche Status muss den tatsächlichen Betrieb widerspiegeln.
3. Zentrale Infrastruktur - Amazon Web Services
Als Vertragspartei ist Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, angegeben, zusammen mit den nach der geltenden Vertragsgrundlage relevanten AWS-Konzerneinheiten. FlowDule verfügt über ein aktives AWS-Konto und eine vertragliche Grundlage; die Rechnung dokumentiert das Kontoverhältnis, aber nicht allein AVV, Supportkette, Unterauftragnehmer oder Übermittlungen.
| Dienst | Zweck und Daten | Zuletzt dokumentierte Region | Status |
|---|---|---|---|
| RDS, ECS, ElastiCache, Secrets Manager und KMS | Datenbank, API, Cache, Secrets und Verschlüsselung; Kundendaten können Journal-/Gesundheitsdaten umfassen. KMS erhält gemäß der Architektur Schlüsselmaterial. | Primär eu-north-1 | Kernproduktion. |
| S3 | Dateien, Anlagen, Bilder, Ton und technische Assets. | eu-central-1 und eu-north-1 nach der letzten Baseline | Aktiv. |
| Cognito | Anmeldung und Benutzerverwaltung: Name, E-Mail, Telefon, Credentials/Tokens. | eu-central-1 nach der letzten Baseline | Aktiv. |
| SES/SNS | E-Mail und Benachrichtigung: Kontakt, Empfänger, Metadaten und Nachrichteninhalt. | eu-central-1/eu-north-1 nach der letzten Baseline | Aktiv. Nur datenminimierte Inhalte. |
| CloudFront/CloudWatch | Globale Auslieferung sowie Betriebs-/Sicherheitsprotokolle; IP-, Request- und Ereignisdaten. | Globale Edge/EU-Origins und gewählte Log-Region | Aktiv. Globale Edge-Auslieferung; Logs werden in der gewählten EU-Region geschrieben. |
| Bedrock/Anthropic Claude über AWS | Generative Dokumentationshilfe; Prompt, Journaltext und Output. | EU-Inferenzprofil | Wird schrittweise freigegeben. Erfordert eine gesonderte Aktivierung je Kunde, und kein KI-Output wird ohne aktive menschliche Freigabe gespeichert. |
| Transcribe, Textract und Translate | Sprache, OCR und Übersetzung; Ton, Dokumentbilder und Text können Gesundheitsdaten sein. | EU-Regionen nach der letzten Baseline | Erfordert gesonderte Aktivierung und die Weisung des Kunden. |
4. Weitere Unterauftragsverarbeiter und Verarbeitungsanbieter
| Anbieter/Rechtsträger | Rolle, Zweck und Daten | Länder/Übermittlung | Aktueller Status |
|---|---|---|---|
| GatewayAPI / ONLINECITY.IO ApS, CVR 27364276, Dänemark | Unterauftragsverarbeiter für SMS; Telefonnummer, Absender und Nachrichtentext. | FlowDule hat das EU-Setup des Anbieters gewählt, mit geplantem Wechsel spätestens zum 1. Dezember 2026. | SMS ist aktiv und verwendet nur neutralen Text ohne Klienten-, Leistungs- oder Terminnamen. |
| LiveKit Incorporated, USA | Videoinfrastruktur; Session-ID, Teilnehmerdaten, Ton/Video und gegebenenfalls Chat während der Übertragung. Es werden keine Aufzeichnungen, kein Egress, keine Agents und keine Inference verwendet. | EU-Residency und Supportzugriff werden als Teil der Vertragsgrundlage dokumentiert. | Die Integration besteht; die klinische Nutzung ist beschränkt, bis die Vertrags- und Regionsdokumentation vorliegt. |
| 650 Industries, Inc. / Expo, USA | Push-Vermittlung; Device-Token, Plattform, Gerätename und Benachrichtigung. Weiterleitung über Apple/Google. | USA/globale Lieferkette. | Der Push-Versand ist noch nicht freigegeben. |
| Stripe Payments Europe, Limited / Stripe Technology Europe, Limited, Irland | FlowDule-Abonnements werden gesondert über das Plattformkonto verarbeitet. Die Klientenzahlungen des Kunden sind im Code als Direct Charges auf dem Stripe Express Connected Account des Kunden umgesetzt; der Kunde ist Merchant. Daten: Kontakt, Betrag, Status und Transaktionsreferenz; kein Journaltext. | Irland; etwaige Support-/Unterkette nach der Vertragsgrundlage von Stripe. | Aktiv. Getrennte signierte Plattform-/Connect-Webhooks und Rückerstattungen mit anteiliger Rückbuchung der Application Fee sind implementiert. |
| Cloudflare, Inc., USA - Turnstile | Bot-Schutz; IP- und Browsersignale. | Globales Netz; Übermittlungsgrundlage nach den Vertragsbedingungen des Anbieters. | Wird nur auf den Formularen geladen, die Bot-Schutz erfordern (Buchung und Kontaktformular). |
| Postcode.nl B.V., Niederlande | Adressvorschläge in der Verwaltung; Adressfragmente von Praxen, Standorten und Terminen, keine Journaldaten. | Niederlande. | Abfragen erfolgen über den eigenen Proxy von FlowDule hinter dem Login. |
5. Empfänger, die keine Unterauftragsverarbeiter von FlowDule sind
| Dienst | Rolle und Daten | Status/Maßnahme |
|---|---|---|
| Stripe bei Klientenzahlungen des Kunden | Der Kunde ist in der Regel Merchant/Vertragspartei für sein eigenes Stripe-Konto; Stripe kann Auftragsverarbeiter des Kunden sein oder eigene gesetzliche Zwecke verfolgen. FlowDule ist technischer Vermittler. | Rolle und Vertragsablauf werden im Onboarding dargestellt. Der Kunde muss einen eigenen Vertrag und eigene Informationen haben. |
| CARTO/CartoDB | Kartenkacheln können dem Empfänger die IP- und Browserdaten der Besucher übermitteln; die Partei kann eigene Zwecke verfolgen. | Karten werden erst nach einem aktiven Klick der Nutzerin oder des Nutzers geladen (Click-to-load), und die Attribution wird angezeigt. |
| Nominatim/OpenStreetMap Foundation | Geocoding-/Kartenaufrufe können Praxisadresse, IP und technische Daten an einen externen Empfänger senden. | Das Geocoding erfolgt über den eigenen Proxy von FlowDule; der Browser ruft den Dienst nicht direkt auf. |
| Apple und Google in der Push-Kette | Die Push-Dienste des Betriebssystems erhalten Device-Token und Benachrichtigung. Ihre genaue Rolle hängt von den Plattformbedingungen ab. | Push ist noch nicht freigegeben. |
| Die Europäische Zentralbank | Ein öffentlicher Wechselkurs-Feed wird nach dem beschriebenen Design serverseitig ohne Nutzerdaten abgerufen. | Verarbeitet keine personenbezogenen Daten über Besuchende. |
6. Drittlandübermittlungen
Eine Speicherung in der EU/im EWR schließt eine Übermittlung durch Fernsupport, globale Edge-Infrastruktur, Konzernzugriff oder Unterauftragnehmer nicht aus. Eine vertraglich vorgesehene Möglichkeit der Übermittlung wird nach dem konkreten Szenario behandelt und kann nicht allein deshalb außer Acht gelassen werden, weil die Wahrscheinlichkeit gering ist.
FlowDule dokumentiert je Übermittlung Exporteur/Importeur, Daten und betroffene Personen, Zweck, Länder, Speicherung und Fernzugriff. Grundlage kann ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework für den konkret zertifizierten Rechtsträger oder korrekte EU-Standardvertragsklauseln (SCC) mit einem Transfer Impact Assessment (TIA) und den erforderlichen ergänzenden Maßnahmen sein.
Die Weisung des Kunden in Anhang A des Auftragsverarbeitungsvertrages muss die vorhersehbaren Übermittlungen umfassen. Eine allgemeine Formulierung über eine ‘mögliche globale Verarbeitung’ genügt nicht als alleinige Dokumentation.
7. Die KI-Anbieterkette
Anthropic Claude wird nach der beschriebenen Architektur ausschließlich über Amazon Bedrock genutzt; FlowDule nimmt kein unmittelbares Auftragsverarbeitungsverhältnis zu Anthropic an. Das tatsächliche Modell, das Regionsprofil, die Zielregionen und die Aufbewahrung werden je freigegebener Funktion dokumentiert.
KI-Ausgaben sind Entwürfe mit aktiver menschlicher Freigabe. Diagnose, Triage, Behandlungsentscheidungen, Zugang zu Leistungen, Modelltraining mit Kundendaten und verdeckte Weiterverwendung sind nicht genehmigt. Ein KI-Use-Case darf erst aktiviert werden, wenn der Kunde ihn in Kundenanhang A akzeptiert hat.
8. Änderungen, Ankündigung und Widerspruch
Der Kunde erteilt nach dem Auftragsverarbeitungsvertrag eine allgemeine Genehmigung für die Unterauftragsverarbeiter, die in der akzeptierten Fassung dieser Liste aufgeführt sind. FlowDule kündigt die geplante Hinzufügung oder den Austausch eines direkten Unterauftragsverarbeiters mindestens 30 Tage vor dem Wirksamwerden an.
Der Kunde kann innerhalb der Frist über privacy@flowdule.com einen konkreten, sachlich begründeten datenschutzrechtlichen Widerspruch erheben. Finden die Parteien keine angemessene Lösung, kann der Kunde den betroffenen Dienst nach dem Auftragsverarbeitungsvertrag kündigen. Änderungen weiter unten in der Kette sind Teil der laufenden Kontrolle von FlowDule und werden mitgeteilt, wenn die Änderung die Verarbeitung, das Risiko, die Regionen oder die Weisung des Kunden wesentlich beeinflusst.