CanopyBezug: Auftragsverarbeitungsvertrag (AVV) Canopy
Stand: siehe Versionskennzeichnung auf der Webseite
Die Auftragsverarbeiterin setzt folgende Unterauftragsverarbeiter für die Bereitstellung von Canopy ein.
Rechenstandort: Hosting, Datenbank und Dateispeicher laufen in Frankfurt (fra1, EU). Schlüsselverwaltung in europe-west3 (Frankfurt, EU).
Soweit Anbieter Muttergesellschaften in den USA haben, sind geeignete Garantien vereinbart (DPA, EU-Standardvertragsklauseln, EU-U.S. Data Privacy Framework, soweit zertifiziert).
Aktive Unterauftragsverarbeiter (Produktion)
| Anbieter | Leistung | Standort |
|---|---|---|
| Vercel Inc. | Hosting, DNS, Serverless, Workflows; AI Gateway für optionale Laborwert-Extraktion | Primär Frankfurt (fra1); Modell-Inferenz in der EU gemäß Anbieterkonfiguration |
| Neon Tech | Postgres-Datenbank | Frankfurt (fra1), EU |
| Google Cloud | KMS (Schlüsselverwaltung) | europe-west3, EU |
| Google LLC | Bereitstellung des Sprachmodells für die Extraktion (über Vercel) | EU-Inferenz; keine dauerhafte Speicherung der Anfrageinhalte gemäß Vereinbarung mit Vercel |
| Vercel Blob | Datei- und Avatar-Speicher (privat, verschlüsselt) | Frankfurt (fra1), EU |
| Resend, Inc. | Transaktionale E-Mail | EU (Versand); siehe Hinweis unten |
| Google LLC | OAuth-Anmeldung (optional) | Gemäß Google-DPA |
| Polar Software Inc. | Abonnement und Zahlungsabwicklung | Gemäß Polar-DPA |
Website (nur Marketing-Seiten, nicht im angemeldeten Bereich): Vercel Web Analytics und Speed Insights — cookieless, anonymisiert; Verarbeitung über Vercel-Infrastruktur.
Hinweise
Verschlüsselung: Gesundheitsbezogene Inhalte liegen in der Postgres Datenbank und Blob verschlüsselt vor. KMS verwaltet nur umhüllte Mandantenschlüssel — keine Patientenklartexte. Details: TOMs.
Resend: E-Mails werden aus der EU versendet. Kontodaten und E-Mail-Metadaten werden beim Anbieter (Plus Five Five, Inc., USA) gespeichert — Absicherung über DPA, SCCs und EU-U.S. DPF.
Kein E2E: Unterauftragsverarbeiter erhalten nur die für ihre Leistung erforderlichen Daten (z. B. Resend: E-Mail-Inhalt, nicht die vollständige Klientenakte).
KI-Extraktion: Bei Nutzung der Extraktion erhält der Modell-Anbieter den Inhalt der ausgewählten Datei für die Dauer der Anfrage. Die Inferenz ist auf die EU ausgerichtet; eine dauerhafte Vorhaltung der Anfrageinhalte beim Modell-Anbieter ist vertraglich ausgeschlossen, soweit die vereinbarten Retention-Kontrollen greifen. Job-Metadaten verbleiben in der Canopy-Datenbank (Frankfurt).
Geplant
| Anbieter | Leistung | Status |
|---|---|---|
| Sentry | Fehlerüberwachung | Geplant; ohne Klartext-PII |
Änderungen werden gemäß AVV Abschnitt 8 mitgeteilt.