Termeni și Condiții Generale

Allgemeine Geschäftsbedingungen (AGB) DiggAi

Version: 0.4 · Stand: 01.08.2026

§1 Geltungsbereich

(1) Vertragspartner sind die DiggAI GmbH (i. Gr.), Margarete-Böhme-Str. 3, 25813 Husum, vertreten durch ihren Geschäftsführer Dr. med. Christian Klaproth, nachfolgend „Anbieter", und der Auftraggeber (Praxis-Inhaber, MVZ, Klinik, Pflegeeinrichtung), gemeinsam die „Vertragsparteien".

(2) Die Gesellschaft befindet sich in Gründung. Bis zur notariellen Beurkundung des Gesellschaftsvertrags ist Vertragspartner Dr. med. Christian Klaproth persönlich unter der vorstehenden Anschrift; danach die Vorgesellschaft, vertreten durch ihren Geschäftsführer. Eine Eintragung im Handelsregister liegt noch nicht vor; diese Bedingungen werden mit der Eintragung um Registergericht und Handelsregisternummer ergänzt.

(3) Diese Allgemeinen Geschäftsbedingungen regeln die Bereitstellung und Nutzung der DiggAi-Plattform — einer mehrsprachigen Online-Rezeption und Patient-zu-Praxis-Kommunikationsschicht mit Ende-zu-Ende-Verschlüsselung. Die Software ist als technische Infrastruktur zur strukturierten administrativen Erfassung von Patient-Eingaben vor dem Arzt-Patienten-Gespräch konzipiert und übermittelt diese verschlüsselt an die Praxis.

(4) Zero-Knowledge-Architektur: Patient-Inhalte werden bereits auf dem Patient-Endgerät clientseitig verschlüsselt. Der Anbieter sieht zu keinem Zeitpunkt Klartext-Inhalte. Diese Eigenschaft ist konstitutiver Bestandteil des Vertragsgegenstands.

(5) Lokale Verarbeitung durch Sprachmodelle: Etwaige KI-gestützte Strukturierungen von Patient-Eingaben erfolgen ausschließlich lokal auf dem Endgerät der nutzenden Person. Die Zero-Knowledge-Architektur und die Ende-zu-Ende-Verschlüsselung bleiben hiervon unberührt: Die Daten verlassen das Endgerät zu keinem Zeitpunkt unverschlüsselt.

(6) Der Anbieter schließt keine Verträge mit Verbrauchern im Sinne des § 13 BGB ab. Der Auftraggeber versichert, bei Vertragsschluss als Unternehmer gemäß § 14 BGB beziehungsweise als Kaufmann nach HGB zu handeln und als approbierter Arzt, ärztliche Gemeinschaftspraxis, Medizinisches Versorgungszentrum (MVZ), Klinik, Pflegeeinrichtung oder sonstiger medizinischer Leistungserbringer tätig zu sein.

(7) Soweit individualvertragliche Vereinbarungen getroffen wurden, haben diese Vorrang vor diesen AGB. Abweichende AGB des Auftraggebers werden nicht anerkannt, sofern nicht ausdrücklich schriftlich zugestimmt.

(8) Die Datenschutzerklärung (abrufbar unter diggai.de/datenschutz) und der Auftragsverarbeitungsvertrag sind Bestandteil dieser AGB. Bei Widersprüchen in datenschutzrechtlichen Fragen geht der Auftragsverarbeitungsvertrag vor.

§2 Vertragsgegenstand

(1) Vertragsgegenstand ist der nachfolgend beschriebene Nutzungsumfang von DiggAi als Übermittlungs- und Abholdienst für verschlüsselte Sendungen zwischen Patientinnen und Patienten und dem Auftraggeber. Der Anbieter stellt dem Auftraggeber keine Rechenressourcen, keinen Speicherplatz und keine durch ihn verwaltbare oder konfigurierbare Infrastruktur zur Verfügung; der Auftraggeber erhält Zugang zu einer Funktion, nicht zu einem Ressourcenpool.

(2) Die Software stellt insbesondere bereit:

• Online-Rezeption mit Terminanfragen, Terminabsagen, Folgerezepten für Bestandspatienten, Überweisungen, Krankmeldungen, Befundübermittlung, Dokumenteneinreichung, Arbeitsunfallmeldung, Anamnese-Fragebögen und allgemeinen Nachrichten;
• mehrsprachige Eingabe und Ausgabe in dreizehn Sprachen einschließlich Rechts-zu-Links-Sprachen (Arabisch, Farsi);
• Ende-zu-Ende-verschlüsselte Übermittlung strukturierter Patient-Eingaben an die Praxis;
• Verzeichnisdienst zur verifizierten Adressierung von Praxen (BSNR) und Einrichtungen (IK);
• strukturierte Vorbereitungs-Information für das Praxis-Personal (nach Entschlüsselung in der Praxis);
• Übernahme in das Praxisverwaltungssystem als GDT-Datei oder als PDF-Anhang per E-Mail.

(3) Drei Konstellationen der Nutzung:

(4) Die Software darf nicht als Grundlage für medizinische Entscheidungen verwendet werden. Sämtliche durch die Software strukturierten Inhalte sind vom medizinischen Fachpersonal zu prüfen.

(5) Der Anbieter behält sich vor, den Dienst zu verbessern, weiterzuentwickeln und regelmäßig Updates bereitzustellen. Über wesentliche Änderungen wird der Auftraggeber rechtzeitig informiert.

§3 Abgrenzung vom Medizinprodukt (MDR)

(1) Die Software ist kein Medizinprodukt im Sinne der Verordnung (EU) 2017/745 (MDR) und unterliegt nicht der MDR.

(2) Die Software ist insbesondere nicht dazu bestimmt, unmittelbar oder mittelbar:

• Diagnosen zu stellen, zu bestätigen oder zu beeinflussen,
• Therapieentscheidungen zu treffen, zu empfehlen, zu priorisieren oder zu automatisieren,
• Behandlungsverläufe, Risiken, Prognosen oder Wahrscheinlichkeiten für individuelle Patienten zu berechnen,
• den Gesundheitszustand von Patienten zu überwachen oder zu steuern,
• ärztliche Untersuchungen, Bewertungen oder Entscheidungen zu ersetzen.

(3) Jede Nutzung zu diagnostischen oder therapeutischen Zwecken ist unzulässig und vertragswidrig. Sämtliche medizinischen Entscheidungen, Diagnosen, Therapien und Behandlungen liegen ausschließlich in der Verantwortung des Auftraggebers.

(4) Aus der Nutzung der Software ergeben sich für den Anbieter keine Pflichten nach der MDR, insbesondere keine Verpflichtungen zur Klassifizierung als Medizinprodukt, Konformitätsbewertung, klinischen Bewertung, CE-Kennzeichnung oder MDR-spezifischen Marktüberwachung.

(5) Diese Position ist in den Hersteller-Dokumenten zur Zweckbestimmung und zur regulatorischen Position dokumentiert, die nach MDCG 2019-11 Schritt 1 strukturiert sind.

§4 Vereinbarkeit mit dem EU AI Act

(1) Die angebotenen Dienste fallen nach derzeitiger Einschätzung in die Kategorie der begrenzten oder minimalen Risiken nach dem EU AI Act.

(2) Sprachverarbeitende Funktionen laufen auf dem Endgerät der nutzenden Person oder auf einem Rechner in den Räumen des Auftraggebers. Eine Übermittlung von Inhalten an einen Anbieter von Sprachmodellen findet nicht statt.

(3) Module Dritter sind nicht Gegenstand dieser AGB. Sie werden nicht vom Anbieter erbracht. Für ihre Nutzung gelten ausschließlich die Vertragsbedingungen und Datenschutzhinweise des jeweiligen Anbieters; dieser ist für sie allein verantwortlich. Der Anbieter haftet weder für deren Verfügbarkeit noch für deren Ergebnisse und schuldet insoweit keine Leistung.

(4) Die durch die Software bereitgestellten Inhalte stellen keine medizinischen Bewertungen, Empfehlungen oder Entscheidungen dar.

§5 Vertragsschluss

(1) Dem Vertragsschluss geht eine Registrierung voraus. Die Registrierung erfolgt aus der offiziellen Mailadresse der Einrichtung mit anschließender telefonischer Bestätigung über eine unabhängig ermittelte Rufnummer; dabei wird der Fingerabdruck des öffentlichen Schlüssels abgeglichen.

(2) Es gelten die zum Zeitpunkt der Buchung auf der Website ausgewiesenen Preise zuzüglich gesetzlicher Umsatzsteuer, soweit anwendbar.

(3) Änderungen der Preise werden dem Auftraggeber rechtzeitig in Textform mitgeteilt. Der Auftraggeber kann der Preisanpassung widersprechen und den Vertrag mit angemessener Frist kündigen.

§6 Zero-Knowledge-Architektur und Patient-Datenflüsse

(1) Patient-Inhalte werden auf dem Patient-Endgerät clientseitig mit AES-256-GCM verschlüsselt. Der Sitzungsschlüssel wird über X25519 an den öffentlichen Schlüssel der empfangenden Einrichtung gebunden.

(2) Der Anbieter empfängt und speichert ausschließlich diese verschlüsselten Container. Er hat keinen technischen Zugriff auf Klartext-Inhalte, Patient-Identitäten oder Anhänge.

(3) Die Entschlüsselung erfolgt ausschließlich lokal beim Auftraggeber mit dessen privatem Schlüssel. Der private Schlüssel verlässt dessen Geräte nicht.

(4) Sprachmodelle, die Angaben vor dem Versand strukturieren oder zusammenfassen, laufen auf dem Endgerät der nutzenden Person (§1 Abs. 5). Sie erhalten die Angaben vor der Verschlüsselung, ohne dass diese das Gerät verlassen; an der Zero-Knowledge-Eigenschaft der Übermittlung ändert das nichts.

(5) Der Dienst ist ein Abholdienst: Eine Sendung wird zur Abholung durch den Auftraggeber vorgehalten, bei der Abholung gelöscht, spätestens automatisch 30 Tage nach Eingang. Eine Weiterleitung an ein anderes System findet nicht statt. Die Vorhaltefrist dient allein der Zustellsicherheit — sie soll verhindern, dass Sendungen bei urlaubs- oder krankheitsbedingter Abwesenheit des Auftraggebers verloren gehen — und nicht der Bereitstellung von Speicherplatz. Sie ist fest vorgegeben und weder verlängerbar noch als Leistung buchbar.

(6) Datenschutzrechtliche Rolle des Anbieters. Ob das verschlüsselte Paket für den Anbieter ein personenbezogenes Datum ist, wird rechtlich unterschiedlich beurteilt; er kann die Inhalte nicht lesen, besitzt den Schlüssel nicht und kann ihn nicht erlangen. Der Anbieter legt sich darauf nicht fest. Er behandelt Entgegennahme, Vorhaltung zur Abholung und Löschung der verschlüsselten Sendungen sowie die zugehörigen Zustelldaten vorsorglich als Auftragsverarbeitung nach Art. 28 DSGVO und schließt mit jedem Auftraggeber vor der Freischaltung einen entsprechenden Vertrag — unabhängig davon, wie die Rechtsfrage zu beantworten ist. Die Verschlüsselung ist dabei eine Schutzmaßnahme nach Art. 32 DSGVO und keine Befreiung von Verantwortung. Für Betrieb der Website, Registrierung, Verzeichnisdienst, Vertrag und Abrechnung ist der Anbieter eigener Verantwortlicher. Einzelheiten regeln der Auftragsverarbeitungsvertrag und die Datenschutzerklärung.

§7 Preise und Zahlungsbedingungen

(1) Die Plattform-Nutzung wird zu einem monatlichen Pauschalpreis von 150,00 € je Betriebsstättennummer (BSNR) beziehungsweise je Institutionskennzeichen (IK) berechnet, zuzüglich gesetzlicher Umsatzsteuer.

(2) Es bestehen keine Mengenbegrenzungen, keine Vertragsbindung und keine Einrichtungsgebühren. Patientinnen und Patienten nutzen die Plattform kostenfrei.

(3) Optionaler Jahrestarif: Alternativ kann ein im Voraus zu zahlender Jahrestarif von 1.620,00 € je BSNR gewählt werden.

(4) Der Jahrestarif verlängert sich automatisch um jeweils ein weiteres Jahr, sofern er nicht mit einer Frist von mindestens 14 Tagen vor Ablauf gekündigt wird.

(5) Je Betriebsstättennummer wird ein kostenloser Testzugang von zwei Wochen gewährt; vor Ablauf erhält der Auftraggeber eine Mitteilung.

(6) Die Abrechnung erfolgt monatlich beziehungsweise jährlich per SEPA-Lastschrift oder Rechnung. Wird zur Zahlungsabwicklung ein Zahlungsdienstleister eingesetzt, wird dieser in der Datenschutzerklärung und in der Übersicht der Unterauftragsverarbeiter benannt.

(7) Im Falle eines Zahlungsausfalls behält sich der Anbieter vor, den Zugang bis zum Ausgleich der offenen Beträge zu sperren.

§8 Pflichten des Auftraggebers

(1) Der Auftraggeber verwahrt den privaten Schlüssel seiner Einrichtung sicher, hält eine Sicherung vor und gibt ihn nicht an Dritte weiter. Der Anbieter besitzt keine Kopie und kann bei Verlust nicht helfen; noch nicht abgeholte Sendungen sind dann unwiederbringlich verloren. Verlust oder Verdacht auf Kompromittierung sind unverzüglich anzuzeigen.

(2) Der Auftraggeber teilt die zur Vertragsdurchführung erforderlichen Angaben mit und hält sie aktuell.

(3) Die Kommunikation erfolgt regelmäßig elektronisch an die im Onboarding hinterlegte Mailadresse.

(4) Nach der Entschlüsselung liegt die Verantwortung für die Inhalte ausschließlich beim Auftraggeber.

(5) Der Auftraggeber stellt den Anbieter von sämtlichen Ansprüchen Dritter frei, die entstehen aufgrund

• medizinischer Entscheidungen des Nutzers,
• einer Nutzung außerhalb der vorgesehenen Zweckbestimmung,
• unzulässiger Verarbeitung personenbezogener Daten in der Einrichtung,
• ungeprüfter Übernahme softwaregenerierter Inhalte.

§9 Nutzungsrechte

(1) Sämtliche Rechte an der Software einschließlich der Urheber-, Marken- und sonstigen Schutzrechte verbleiben beim Anbieter.

(2) Dem Auftraggeber wird ein nicht ausschließliches, auf den vertraglichen Zweck beschränktes, nicht übertragbares Nutzungsrecht eingeräumt.

(3) Der Nutzer ist nicht berechtigt, übermittelte Inhalte systematisch zu extrahieren, zu vervielfältigen oder zum Training eigener Systeme zu verwenden.

§10 Leistungserbringung und Verfügbarkeit

(1) Der Anbieter strebt eine Verfügbarkeit der Plattform von 99,0 % im Jahresmittel an. Hiervon ausgenommen sind geplante Wartungsfenster, die nach Möglichkeit außerhalb der regulären Praxisöffnungszeiten stattfinden und nach Möglichkeit angekündigt werden. Eine jederzeitige und unterbrechungsfreie Verfügbarkeit wird nicht geschuldet; das Verfügbarkeitsziel begründet keine eigenständige Beschaffenheitsvereinbarung.

(2) Der Anbieter ist nicht verantwortlich für Ausfälle durch Einflüsse außerhalb seines Einflussbereichs.

(3) Der Anbieter ist berechtigt, zur Leistungserbringung Dritte einzusetzen, insbesondere Hosting- und Infrastrukturanbieter. Die jeweils aktuellen Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag benannt.

§11 Haftung

(1) Der Anbieter haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach dem Produkthaftungsgesetz.

(2) Für sonstige Schäden haftet der Anbieter nur bei Vorsatz und grober Fahrlässigkeit. Bei leichter Fahrlässigkeit haftet er nur bei Verletzung wesentlicher Vertragspflichten und begrenzt auf den vertragstypischen, vorhersehbaren Schaden.

(3) Für Schäden aus dem Verlust des privaten Schlüssels des Auftraggebers oder aus dem Umgang mit bereits entschlüsselten Inhalten auf dessen Geräten haftet der Anbieter nicht.

(4) Die Haftung ist — soweit gesetzlich zulässig — auf die vom Auftraggeber in den letzten zwölf Monaten gezahlten Entgelte begrenzt.

§12 Vertraulichkeit

Die Vertragsparteien verpflichten sich zur Vertraulichkeit über alle im Rahmen des Vertragsverhältnisses bekannt gewordenen Informationen. Die für den Anbieter tätigen Personen sind als sonstige mitwirkende Personen nach § 203 Abs. 3 Satz 2 StGB zur Verschwiegenheit verpflichtet.

§13 Laufzeit und Kündigung

(1) Es besteht keine feste Mindestvertragslaufzeit. Der Vertrag wird auf unbestimmte Zeit geschlossen und kann jederzeit zum Monatsende ordentlich gekündigt werden; für den Jahrestarif gilt §7 Abs. 4.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

(3) Datenübergabe bei Kündigung: Der Auftraggeber kann seine Stammdaten, seine Konfiguration und sein Schlüsselpaar in standardisiertem Format exportieren. Der Export ist bis 14 Tage nach Vertragsbeendigung möglich; im Anschluss werden die praxisbezogenen Strukturdaten routinemäßig und datenschutzkonform von den Systemen des Anbieters gelöscht.

(4) Noch nicht abgeholte Sendungen sind vor Vertragsende abzurufen; nach Vertragsende werden sie gelöscht und können nicht wiederhergestellt werden. Für die im Auftrag verarbeiteten Inhalte gelten im Übrigen die Löschregelungen des Auftragsverarbeitungsvertrags; sie gehen dieser Bestimmung vor.

§14 Auftragsverarbeitung

(1) Für die in §6 Abs. 6 bezeichnete Verarbeitung schließen die Parteien vor der Freischaltung einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dieser geht diesen AGB in datenschutzrechtlichen Fragen vor.

(2) Der Auftraggeber bleibt sowohl im vertragsrechtlichen als auch im datenschutzrechtlichen Sinne „Herr der Daten".

§15 Änderungsrechte

(1) Der Anbieter ist berechtigt, die Software weiterzuentwickeln und Funktionalitäten anzupassen, soweit dies dem Nutzer zumutbar ist und die Zweckbestimmung gewahrt bleibt.

(2) Über wesentliche Änderungen informiert der Anbieter in Textform. Ist eine Zustimmung rechtlich erforderlich, holt er sie ein.

§16 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(3) Gerichtsstand ist Husum, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.