Unterauftragsverarbeiter
lucar setzt für den Betrieb der Praxissoftware die folgenden Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO ein. Für jeden Dienstleister sind Zweck, Verarbeitungsort und die vertraglichen Garantien aufgeführt. Diese Liste ist Bestandteil des Auftragsverarbeitungsvertrags zwischen lucar und der jeweiligen Praxis.
Hostinger International Ltd. (Zypern)
Zweck: Hosting der Anwendung und Datenbank (VPS)
Daten: Alle Anwendungsdaten; sensible Patientendaten zusätzlich feldverschlüsselt (AES-256-GCM)
Verarbeitungsort: Primärer Verarbeitungsort: Frankfurt am Main (Deutschland)
Garantien: Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln
Microsoft Ireland Operations Ltd. (Irland)
Zweck: KI-gestützte Anamnese-Strukturierung über Azure OpenAI (Patientendaten werden vor der Verarbeitung pseudonymisiert) sowie Aufbewahrung verschlüsselter Datenbank-Backups (Azure Blob Storage, unveränderlich/append-only)
Daten: Pseudonymisierte Gesundheitsdaten (Text: Initialen + Altersband statt Klarname/Geburtsdatum); GPG-verschlüsselte Datenbank-Backups (Inhalt für Microsoft nicht lesbar)
Verarbeitungsort: Rechenzentrumsregion innerhalb der EU (Deutschland, EU Data Boundary)
Garantien: Microsoft Data Protection Addendum; für etwaige Drittlandübermittlungen EU Data Boundary sowie die im DPA enthaltenen EU-Standardvertragsklauseln; kein Training auf Kundendaten; Backups zusätzlich clientseitig verschlüsselt (AES-256)
Groq, Inc. (USA)
Zweck: Sprache-zu-Text-Transkription von Diktaten (Whisper)
Daten: Audio-Aufnahmen von Diktaten (können Gesundheitsdaten enthalten)
Verarbeitungsort: USA
Garantien: Data Processing Addendum; Übermittlung in die USA ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln); Zero Data Retention aktiviert (keine Speicherung der Audiodaten)
Stripe Payments Europe, Ltd. (Irland)
Zweck: Zahlungsabwicklung der lucar-Abonnements — keine Patientendaten
Daten: Praxis- und Zahlungsdaten (Name, E-Mail, Zahlungsmittel)
Verarbeitungsort: EU / USA (abhängig von Zahlungsart und Kartenherausgeber)
Garantien: Stripe Data Processing Agreement inkl. Data Transfers Addendum (SCCs)
STRATO GmbH (Deutschland)
Zweck: E-Mail-Versand über den mitgelieferten Standard-Mailserver — nur für Praxen, die keinen eigenen SMTP-Server konfiguriert haben
Daten: E-Mail-Adressen und -Inhalte (z.B. Terminbestätigungen, Rechnungen)
Verarbeitungsort: Deutschland
Garantien: Auftragsverarbeitungsvertrag (AVV)
Google Ireland Ltd. (Irland) — optional
Zweck: Google-Kalender-Synchronisation. Google wird nur tätig, wenn die Praxis die Synchronisierung ausdrücklich aktiviert und ihren eigenen Google-Account verbindet — eine automatische Verarbeitung findet nicht statt
Daten: Termindaten (Zeiten, ggf. Patientennamen im Termintitel)
Verarbeitungsort: EU / USA
Garantien: Nutzerinitiiert über den Google-Account der Praxis (OAuth)
Von Praxen selbst konfigurierte eigene SMTP-Server sind keine Unterauftragsverarbeiter von lucar — dort besteht die Vertragsbeziehung direkt zwischen der Praxis und ihrem E-Mail-Anbieter.
Wir halten diese Liste aktuell und informieren Praxen über wesentliche Änderungen (z.B. Aufnahme eines neuen Unterauftragsverarbeiters) rechtzeitig vorab. Die jeweils aktuelle Liste ist jederzeit unter lucar.app/subprocessors abrufbar.
Version 1.2 — Letzte Änderung: 06.07.2026 (Microsoft: Zweck um verschlüsselte Backup-Aufbewahrung erweitert)