1. Status und Verhältnis zu den übrigen Dokumenten
Version 2.4 · 24.10.2026
MIDWIFELY ist der Marken- und Produktname der Twofold GmbH. Soweit dieser AVV Rechte oder Pflichten von MIDWIFELY beschreibt, ist damit die Twofold GmbH als Betreiberin und Auftragsverarbeiterin gemeint.
Dies ist der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen der jeweiligen Hebamme beziehungsweise Praxis als Verantwortlicher und MIDWIFELY als Auftragsverarbeiter für die Nutzung von MIDWIFELY.
Der AVV wird für die Nutzung von MIDWIFELY separat akzeptiert und ergänzt die jeweils geltenden Nutzungsbedingungen. Für die aktuelle kostenlose Testphase sind dies die Nutzungs- und Testphasenbedingungen. Für die Verarbeitung von Praxis-, Patientinnen- und Gesundheitsdaten geht dieser AVV entgegenstehenden Regelungen der Nutzungsbedingungen vor.
Die Verantwortliche bestätigt bei der Annahme dieses AVV, dass sie den AVV für die eigene Praxis oder im Namen der von ihr vertretenen Organisation abschließt und hierzu berechtigt ist.
Die Datenflussübersicht zum AVV erläutert die aktuell vorgesehenen Datenflüsse und Dienstleister. Sie ersetzt diesen AVV nicht. Bei Widersprüchen ist dieser AVV maßgeblich.
Diese Fassung gilt für die Verarbeitung im jeweils aktuellen Funktionsumfang von MIDWIFELY. Änderungen werden versioniert und, soweit erforderlich, erneut zur Zustimmung vorgelegt.
Dieser AVV gilt während der kostenlosen Testphase und einer später ausdrücklich vereinbarten kostenpflichtigen Nutzung desselben Kontos fort. Ein Wechsel des Tarifs beendet die Auftragsverarbeitung nicht. Maßgeblich ist jeweils der für das Konto freigeschaltete Funktionsumfang.
Fragen: kontakt@midwifely.de.
2. Parteien und Rollen
- Verantwortliche: die Hebamme beziehungsweise Praxis, die ein MIDWIFELY-Praxis-Konto nutzt, Patientinnen- oder Praxisdaten in MIDWIFELY verarbeitet und - sofern freigeschaltet - weitere Mitglieder derselben Praxis einlädt.
- Auftragsverarbeiter: die Twofold GmbH, Betreiberin von MIDWIFELY, Alstertwiete 1 A, 20099 Hamburg, Deutschland, vertreten durch die Geschäftsführer Alexander Kerber und Justin Miehle.
Bei einer Praxis oder sonstigen Organisation ist die jeweilige Praxis beziehungsweise Organisation Verantwortliche. Die registrierte Praxisleitung handelt für sie im Rahmen ihrer Vertretungsberechtigung und verwaltet Einladungen und Rollen. Eine einzelne Hebamme, die ein Konto ausschließlich für ihre eigene berufliche Tätigkeit nutzt, ist selbst Verantwortliche.
Die Verantwortlichkeit einer externen Hebamme beziehungsweise ihrer Praxis für ihre eigenverantwortliche Behandlung bleibt durch eine Aktenfreigabe unberührt.
MIDWIFELY verarbeitet Konto-, Vertrags-, Sicherheits- und bestimmte Supportdaten teilweise als eigener Verantwortlicher. Dafür gilt die Datenschutzerklärung. Dieser AVV gilt ausschließlich für die Verarbeitung von Praxisdaten im Auftrag der Verantwortlichen.
3. Gegenstand und Dauer der Verarbeitung
MIDWIFELY stellt die webbasierte Praxissoftware MIDWIFELY bereit und verarbeitet dabei personenbezogene Daten im Auftrag der Verantwortlichen. Die Verarbeitung umfasst nur die Funktionen, die die Praxis nutzt und die für ihr Konto freigeschaltet sind.
Die Verarbeitung beginnt, sobald Praxisdaten in MIDWIFELY eingegeben, importiert oder anderweitig für die Praxis verarbeitet werden. Sie endet mit dem Ende der Auftragsverarbeitung und der Löschung oder Rückgabe der Praxisdaten nach Abschnitt 11, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
4. Art und Zweck der Verarbeitung
Die Verarbeitung dient ausschließlich der Bereitstellung, Absicherung und Unterstützung der von der Praxis genutzten MIDWIFELY-Funktionen, insbesondere:
- Verwaltung von Kontakten, Schwangerschaften, Kindern und weiteren Praxisbeziehungen
- Termin- und Kalenderverwaltung einschließlich ausdrücklich eingerichteter externer Kalenderverbindungen sowie Versand von Termininformationen und Kalenderdateien auf Veranlassung der Praxis
- Dokumentation von Betreuung, Leistungen und Praxisabläufen
- Vorbereitung von Rechnungen, Exporten und abrechnungsbezogenen Dokumenten
- Kursverwaltung und öffentliche, von der Praxis aktivierte Buchungs- oder Anfragefunktionen
- Speicherung, Anzeige, Sicherung, Export und Löschung der Praxisdaten
- technische Unterstützung, Fehleranalyse und Sicherheitsmaßnahmen
- Assistenzfunktionen wie Transkription, OCR, Textformatierung oder Vorschläge, sofern die Praxis die jeweilige Funktion nutzt
Eine Nutzung von Praxis-, Patientinnen- oder Gesundheitsdaten für eigene Werbung, Profilbildung oder das Training allgemeiner Modelle findet nicht statt.
5. Datenarten und Kategorien betroffener Personen
Je nach genutzter Funktion können insbesondere folgende Daten verarbeitet werden:
- Stammdaten und Kontaktdaten von Patientinnen, Angehörigen, betreuten Personen und sonstigen Kontakten
- Schwangerschafts-, Geburts-, Kinder-, Betreuungs- und Gesundheitsdaten, soweit die Praxis diese eingibt
- klinische Dokumentationen, Notizen, Leistungs- und Abrechnungsdaten
- Termine, Orte, Kursanmeldungen, Nachrichten- oder Anfrageinhalte, soweit die jeweilige Funktion genutzt wird
- Versicherungs-, Institutions- und Abrechnungsdaten, einschließlich IK und Kostenträgerangaben
- Praxis-, Rollen-, Benutzer- und Berechtigungsdaten, soweit sie der gemeinsamen Praxisverwaltung dienen
- technische Protokoll-, Import-, Export- und Sicherungsdaten, soweit sie Praxisdaten betreffen
Die Verarbeitung kann besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO umfassen, insbesondere Gesundheitsdaten. MIDWIFELY verarbeitet diese Daten nur im Auftrag und nach dokumentierten Weisungen der Verantwortlichen.
Betroffene Personen können insbesondere Patientinnen, betreute Personen, Kinder, Angehörige, Kontaktpersonen, Praxisinhaberinnen, Praxisbeschäftigte und sonstige Personen sein, deren Daten die Praxis im Rahmen ihrer Tätigkeit verarbeitet.
6. Weisungen und Pflichten der Verantwortlichen
Die Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung gegenüber den betroffenen Personen und erteilt MIDWIFELY die erforderlichen dokumentierten Weisungen. Die Nutzung der vorgesehenen Benutzeroberfläche, der freigeschalteten Funktionen und der dafür vorgesehenen Schnittstellen gilt als Weisung im Rahmen dieses AVV. Dies umfasst auch individuelle Weisungen sowie Weisungen zu Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation, soweit solche Übermittlungen vorgesehen sind.
Die Verantwortliche ist insbesondere dafür zuständig,
- eine geeignete Rechtsgrundlage für die Verarbeitung festzulegen und betroffene Personen zu informieren,
- die Richtigkeit und Rechtmäßigkeit der eingegebenen Daten sicherzustellen,
- Zugriffsrechte und Praxisrollen angemessen zu vergeben und regelmäßig zu prüfen,
- erforderliche Einwilligungen und sonstige Nachweise gegenüber betroffenen Personen zu dokumentieren,
- Patientinnen- und Gesundheitsdaten nur nach Annahme dieses AVV in MIDWIFELY zu verarbeiten,
- die Ergebnisse von Assistenzfunktionen vor ihrer Verwendung fachlich zu prüfen.
Auf Weisungen, die gegen Datenschutzrecht oder andere zwingende gesetzliche Vorgaben verstoßen, wird MIDWIFELY die Verantwortliche hinweisen. Bis zur Klärung darf MIDWIFELY die betroffene Verarbeitung aussetzen, soweit dies zumutbar und erforderlich ist.
Kalenderverbindungen und Terminversand
Die Praxis entscheidet, welche Kalenderdienste sie mit MIDWIFELY verbindet und an welche Kalenderkonten oder E-Mail-Empfänger Termindaten übermittelt werden. Die bestätigten Verbindungseinstellungen und Versandaktionen gelten als dokumentierte Weisung. Bei laufenden Kalenderverbindungen gilt diese bis zur Änderung oder Deaktivierung fort.
Übermittelt werden können insbesondere die Initialen der Betreuten, Datum, Uhrzeit, Dauer und der erforderliche Terminort einschließlich einer Besuchsadresse.
Die Praxis verantwortet die rechtmäßige Nutzung selbst beauftragter Kalender- und E-Mail-Dienste sowie die dortigen Zugriffsrechte, Freigaben und Löschmaßnahmen. MIDWIFELY verantwortet die sichere und weisungsgemäße Durchführung der eigenen Verarbeitungsschritte und die von MIDWIFELY eingesetzten Unterauftragsverarbeiter.
7. Vertraulichkeit und Zugriff
MIDWIFELY verpflichtet die zur Verarbeitung befugten Mitarbeitenden und Dienstleister auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf das für die jeweilige Aufgabe erforderliche Maß beschränkt.
Soweit im Rahmen der Leistungserbringung Berufsgeheimnisse betroffen sein können, verpflichtet MIDWIFELY die eingesetzten Personen und sonstigen Mitwirkenden im gesetzlich erforderlichen Umfang zur Verschwiegenheit. Zugriffe auf solche Informationen werden auf das für die Leistungserbringung erforderliche Maß beschränkt.
Mitglieder derselben Praxis können nach Einladung und im Umfang ihrer Rolle auf gemeinsame Praxisdaten zugreifen. Die Praxisleitung erteilt diese Weisung durch die Einladung und Verwaltung der Praxisrollen. Rechnungen, Zahlungen und andere rollenbeschränkt bereitgestellte Inhalte bleiben der jeweils zuständigen Leistungserbringerin zugeordnet.
Eine Praxis kann benannten externen Hebammen für Vertretung oder Mitbetreuung zeitlich begrenzten Zugriff auf ausgewählte Patientinnenakten gewähren. Im freigegebenen Umfang können die externen Hebammen Daten einsehen und, soweit freigeschaltet, eigene Dokumentationseinträge erstellen, selbst erbrachte Leistungen erfassen sowie im eigenen Namen abrechnen. Eigene Dokumentationseinträge sind für die berechtigten Personen der Gastgeberpraxis sichtbar. Die externe Hebamme wird dadurch nicht Mitglied der Gastgeberpraxis.
Die Aktenfreigabe gewährt keinen allgemeinen Zugriff auf Rechnungen, Zahlungen oder Umsätze der jeweils anderen Praxis.
8. Unterauftragsverarbeiter und Dienstleister
MIDWIFELY darf weitere Auftragsverarbeiter nur nach Maßgabe von Art. 28 Abs. 2 und 4 DSGVO einsetzen. Die nachfolgende Übersicht beschreibt die für den aktuellen Funktionsumfang relevanten Anbieter und Einsatzgrenzen:
- Hetzner Online GmbH: Hosting der Anwendung und Datenbank in Deutschland; gegebenenfalls Betrieb selbst gehosteter Sprach- und Bildverarbeitung in der MIDWIFELY-Umgebung.
- Resend: Versand von Transaktions-, Einladungs-, Termin- und gegebenenfalls Kontakt-E-Mails. Je nach genutzter Funktion können dabei Kontaktdaten, Terminangaben oder von der Praxis verfasste Nachrichteninhalte verarbeitet werden. Die Praxis soll Gesundheitsdaten nicht unnötig in E-Mail-Inhalte aufnehmen.
- OpenAI: einzelne textbasierte Assistenzfunktionen, nur wenn die Funktion genutzt und der entsprechende Dienst konfiguriert ist. Übermittelt werden nach Möglichkeit zuvor reduzierte oder pseudonymisierte Textinformationen. Eine Reduzierung ist keine vollständige Anonymisierung; je nach Inhalt können weiterhin Gesundheitsbezüge enthalten sein. Rohes Audio und Rohbilder werden für den bevorzugten Textpfad nicht übermittelt.
- Google Maps Platform: Adress- und Routendaten, soweit die Praxis eine entsprechende Karten- oder Routingfunktion nutzt. Patientinnennamen, Akteninhalte und medizinische Angaben werden für diesen Zweck nicht benötigt.
Hugging Face kann Modellgewichte über einen von MIDWIFELY kontrollierten Proxy bereitstellen. Dabei werden keine Patientinnen- oder Praxisdaten an Hugging Face übermittelt; der Dienst ist insoweit kein Unterauftragsverarbeiter für Praxisdaten.
Verbundene externe Dienste
Die Praxis kann von MIDWIFELY unterstützte Kalenderdienste ausdrücklich verbinden, beispielsweise Google Calendar, Microsoft-/Outlook-Kalender, Apple-Kalender oder vergleichbare Dienste. Je nach unterstützter Funktion erfolgt die Verbindung über eine autorisierte Schnittstelle oder ein Kalenderabonnement. Für die Übermittlung von Termindaten gilt Abschnitt 6.
Beim Verfügbarkeitsabgleich übernimmt MIDWIFELY nur die benötigten belegten Zeiträume. Zusätzlich mitgesendete Termininhalte werden vor der Speicherung der Zeiträume ausgesondert und nicht als Termininhalte gespeichert.
Die datenschutzrechtliche Rolle des jeweiligen Anbieters richtet sich nach seiner tatsächlichen Einbindung. Die Praxis kann die Verbindung deaktivieren beziehungsweise ein Kalenderabonnement beenden.
MIDWIFELY informiert die Verantwortliche vor der erstmaligen Einbindung oder Ersetzung eines Unterauftragsverarbeiters in geeigneter Form und so rechtzeitig, dass sie den beabsichtigten Einsatz prüfen kann. Die Verantwortliche kann innerhalb einer angemessenen Frist aus wichtigen datenschutzrechtlichen Gründen widersprechen. Bis zur Klärung übermittelt MIDWIFELY die betroffenen Daten nicht an den neuen oder geänderten Unterauftragsverarbeiter, soweit dies technisch zumutbar ist.
Bei einem Widerspruch prüfen die Parteien eine geeignete Alternative. Ist keine geeignete Alternative möglich, kann die betroffene Funktion oder Leistung beendet oder eingeschränkt werden; die Rechte der Verantwortlichen auf Rückgabe, Export und Löschung bleiben bestehen. Nur wenn eine vorherige Information aus konkreten Sicherheitsgründen nicht möglich ist, darf sie unverzüglich nachgeholt werden; MIDWIFELY teilt dabei den Grund für die nachträgliche Information mit.
MIDWIFELY verpflichtet Unterauftragsverarbeiter vertraglich auf die für diesen AVV einschlägigen Datenschutzpflichten und bleibt gegenüber der Verantwortlichen für deren vertragsgemäße Erfüllung verantwortlich.
Soweit ein Dienstleister außerhalb des Europäischen Wirtschaftsraums eingesetzt wird, erfolgt eine Übermittlung nur bei Vorliegen der jeweils erforderlichen Garantien, insbesondere eines Angemessenheitsbeschlusses oder geeigneter Standarddatenschutzklauseln und ergänzender Maßnahmen. Einzelheiten werden in der aktuellen Datenflussübersicht dokumentiert.
9. Technische und organisatorische Maßnahmen
MIDWIFELY trifft unter Berücksichtigung des Risikos geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:
- Mandantentrennung sowie rollen- und aufgabenbezogene Zugriffskontrollen
- Authentifizierung, Berechtigungsprüfung und Schutz der administrativen Zugänge
- Verschlüsselung der Übertragung in der Produktion und angemessener Schutz von Zugangsdaten und Dienstleisterzugängen
- Protokollierung sicherheitsrelevanter Vorgänge und Maßnahmen zur Erkennung von Missbrauch und Betriebsstörungen
- Datenminimierung bei Assistenzfunktionen; selbst gehostete Sprach- und Bildverarbeitung in Deutschland als Standardpfad, soweit konfiguriert
- keine stille Übermittlung von Roh-Audio oder Roh-Bildern an externe Cloud-Modelle im bevorzugten Verarbeitungsweg
- Verfahren für Sicherung, Wiederherstellung, Löschung und Umgang mit Sicherheitsvorfällen nach dem aktuellen Betriebsstand
Die Maßnahmen werden regelmäßig risikoorientiert weiterentwickelt. Eine bestimmte Zertifizierung, ein Audit oder eine bestimmte Verschlüsselung der Live-Datenbank wird mit diesem AVV nicht zugesichert, sofern dies nicht ausdrücklich in einem gesonderten Dokument vereinbart ist.
10. Unterstützung und Meldung von Sicherheitsvorfällen
MIDWIFELY unterstützt die Verantwortliche im zumutbaren und erforderlichen Umfang bei:
- der Bearbeitung von Anträgen betroffener Personen,
- der Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten,
- Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen,
- dem Nachweis geeigneter technischer und organisatorischer Maßnahmen.
MIDWIFELY informiert die Verantwortliche ohne unangemessene Verzögerung, sobald MIDWIFELY von einer Verletzung des Schutzes personenbezogener Daten in der Auftragsverarbeitung Kenntnis erlangt. Die Verantwortliche bleibt für die gesetzlich erforderliche Bewertung und Meldung an Aufsichtsbehörden und betroffene Personen verantwortlich.
11. Rückgabe und Löschung
Nach Ende der Auftragsverarbeitung entscheidet die Verantwortliche, ob MIDWIFELY die in ihrem Auftrag verarbeiteten Praxisdaten zurückgibt oder löscht. Für die Anforderung beziehungsweise Durchführung der Rückgabe steht grundsätzlich ein Zeitraum von 30 Tagen nach Beendigung zur Verfügung, sofern die Parteien nichts anderes vereinbaren oder eine frühere Löschung verlangt wird.
Die Rückgabe erfolgt über den vorgesehenen Export. Soweit der Standardexport einzelne Daten oder Dateien nicht umfasst, stellt MIDWIFELY diese auf angemessene Anforderung ergänzend bereit, soweit dies technisch möglich und zumutbar ist. Nach Ablauf des Zeitraums löscht MIDWIFELY vorhandene aktive Kopien, sofern die Verantwortliche keine Rückgabe verlangt hat und keine gesetzliche Aufbewahrungspflicht oder dokumentierte Weisung zur weiteren Aufbewahrung entgegensteht. Sicherungskopien werden nach den geltenden Backup- und Löschfristen überschrieben oder gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Das Ende einer einzelnen Vertretungs- oder Mitbetreuungsfreigabe beendet den Zugriff auf die freigegebene Akte. Für eigene Dokumentations- und Abrechnungsnachweise gelten die allgemeinen Regelungen zu Herausgabe, Export, Aufbewahrung und Löschung. Die rechtmäßige Speicherung für die jeweils andere Praxis bleibt davon unberührt.
12. Nachweis und Audits
MIDWIFELY stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV und der Pflichten aus Art. 28 DSGVO nachzuweisen. Die Verantwortliche darf angemessene Überprüfungen und - soweit erforderlich - Inspektionen durchführen oder durch eine beauftragte Prüfstelle durchführen lassen.
Audits sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit, Vertraulichkeit und Rechte anderer Kunden durchzuführen. Remote-Nachweise und aktuelle Dokumente sind vorrangig zu nutzen. Die Parteien stimmen Umfang und Kosten eines Vor-Ort-Audits vorher ab.
Bei konkreten Anhaltspunkten für eine erhebliche Datenschutzverletzung oder bei behördlichen Anforderungen werden Vorankündigung und Ablauf der Prüfung der Dringlichkeit angepasst. Die Abstimmung von Kosten darf erforderliche Prüfungen nicht verhindern oder unangemessen verzögern.
13. Schlussbestimmungen
Es gilt deutsches Recht, soweit keine zwingenden gesetzlichen Vorschriften entgegenstehen. Die Haftung und die allgemeinen Nutzungsbedingungen richten sich ergänzend nach den jeweils geltenden Nutzungsbedingungen; für die aktuelle Testphase sind dies die Nutzungs- und Testphasenbedingungen. Für die Auftragsverarbeitung geht dieser AVV vor.
Änderungen und Ergänzungen dieses AVV bedürfen grundsätzlich der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist. Wesentliche Änderungen werden versioniert und der Verantwortlichen zur erneuten Zustimmung vorgelegt.