Unterauftragsverarbeiter
lucar setzt für den Betrieb der Praxissoftware die folgenden Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO ein. Für jeden Dienstleister sind Zweck, Verarbeitungsort und die vertraglichen Garantien aufgeführt. Diese Liste ist Bestandteil des Auftragsverarbeitungsvertrags zwischen lucar und der jeweiligen Praxis.
Hostinger International Ltd. (Zypern)
Zweck: Hosting der Anwendung und Datenbank (VPS)
Daten: Alle Anwendungsdaten; sensible Patientendaten zusätzlich feldverschlüsselt (AES-256-GCM)
Verarbeitungsort: Primärer Verarbeitungsort: Düsseldorf (Deutschland)
Garantien: Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln
Microsoft Ireland Operations Ltd. (Irland)
Zweck: KI-gestützte Anamnese-Strukturierung über Azure OpenAI sowie Aufbewahrung verschlüsselter Datenbank-Backups (Azure Blob Storage, unveränderlich/append-only)
Daten: Gesundheitsdaten und Freitexte; separat übergebene Namen und Geburtsdaten werden in den dafür vorgesehenen Funktionen durch Initialen und Altersgruppen ersetzt. Freitexte können weiterhin identifizierende Angaben enthalten. Außerdem GPG-verschlüsselte Datenbank-Backups (Inhalt für Microsoft nicht lesbar)
Verarbeitungsort: Rechenzentrumsregion innerhalb der EU (Deutschland, EU Data Boundary)
Garantien: Microsoft Data Protection Addendum; regionale Zusagen gemäß EU Data Boundary; für etwaige Drittlandübermittlungen die im DPA enthaltenen EU-Standardvertragsklauseln; kein Training auf Kundendaten; Backups zusätzlich clientseitig verschlüsselt (AES-256)
Groq, Inc. (USA)
Zweck: Sprache-zu-Text-Transkription von Diktaten (Whisper)
Daten: Audio-Aufnahmen von Diktaten (können Gesundheitsdaten enthalten)
Verarbeitungsort: USA
Garantien: Data Processing Addendum; Übermittlung in die USA ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln); Zero Data Retention aktiviert (keine Speicherung der Audiodaten)
Stripe Payments Europe, Ltd. (Irland)
Zweck: Zahlungsabwicklung der lucar-Abonnements — keine Patientendaten
Daten: Praxis- und Zahlungsdaten (Name, E-Mail, Zahlungsmittel)
Verarbeitungsort: EU / USA (abhängig von Zahlungsart und Kartenherausgeber)
Garantien: Stripe Data Processing Agreement inkl. Data Transfers Addendum (SCCs)
Resend, Inc. (USA)
Zweck: E-Mail-Versand über den mitgelieferten Standard-Mailserver (Absender hello@lucar.app); auch als Ersatzversand bei unvollständiger eigener SMTP-Konfiguration oder Fehlern beim Versand über den Praxis-Mailserver
Daten: E-Mail-Adressen und -Inhalte einschließlich Anhängen (z.B. Terminbestätigungen, Rechnungen)
Verarbeitungsort: Versandinfrastruktur in der EU (Irland); Anbieter mit Sitz in den USA
Garantien: Data Processing Addendum von Resend; für etwaige Übermittlungen in die USA EU-Standardvertragsklauseln (Art. 46 DSGVO)
Google Ireland Ltd. (Irland) — optional
Zweck: Google-Kalender-Synchronisation und Anzeige externer Termine. Die Anbindung wird nur genutzt, wenn die Praxis sie aktiviert und ihren eigenen Google-Account verbindet
Daten: Termindaten einschließlich Zeiten, Titel, Beschreibungen, Orte, Angaben zu Organisatoren und Teilnehmenden sowie Konferenzinformationen; bei aktivierter Übertragung auch Lucar-Termine, gegebenenfalls mit Patientennamen
Verarbeitungsort: EU / USA
Garantien: Nutzerinitiiert über den Google-Account der Praxis (OAuth)
Von Praxen selbst konfigurierte eigene SMTP-Server sind keine Unterauftragsverarbeiter von lucar — dort besteht die Vertragsbeziehung direkt zwischen der Praxis und ihrem E-Mail-Anbieter.
Wir halten diese Liste aktuell und informieren Praxen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters rechtzeitig vorab; die Praxis kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Die jeweils aktuelle Liste ist jederzeit unter lucar.app/subprocessors abrufbar.
Version 1.3 — Letzte Änderung: 28.09.2026 (Hosting in Düsseldorf; E-Mail-Versand über Resend statt STRATO; Information über jede Änderung)