Unverbindliche Übersetzung — massgebend ist allein der französische Text.

Diese Übersetzung des Vertrags in der Version 2026-10-10 dient nur dem Verständnis (Höflichkeitsübersetzung). Rechtlich verbindlich ist ausschliesslich der französische Text (« Contrat d'édition et de service « Carnet » — Conditions générales », in derselben Version). Bei Abweichungen, Unklarheiten oder Auslegungsfragen geht der französische Text vor. Titel und Ziffern entsprechen denen des Originals.

Ausserhalb der Schweiz weichen die Bedingungen des verwalteten Dienstes ausserhalb der Schweiz und der Zonenanhang Klausel für Klausel von diesem Vertrag ab und gehen ihm vor (I.4); Preis, MWST, Geltungsbereich und mehrere der folgenden Klauseln gelten dort nicht so, wie sie hier stehen — lesen Sie diese Texte daneben (der Anhang MONDE liegt ebenfalls als Höflichkeitsübersetzung vor).

Gesetze werden mit den Abkürzungen der deutschen Fassung des Bundesrechts zitiert: OR (frz. CO), ZGB (CC), ZPO (CPC), StGB (CP), StPO (CPP), DSG (LPD), DSV (OPDo), PrHG (LRFP), URG (LDA), KVG (LAMal), KLV (OPAS), GesBG (LPSan), HMG (LPTh), MepV (ODim), GeBüV (Olico), EPDV (ordonnance DEP), BGE (ATF), BGer (TF); GG/VS (LS/VS, Gesundheitsgesetz des Kantons Wallis). « OPAS 7 » bleibt der Name des Formulars. Die Vertragsbegriffe « Herausgeber » und « Kunde » bezeichnen, wie im französischen Original (« l'Éditeur », « le Client »), Vertragsparteien jeden Geschlechts.

Die Beschriftungen der Schaltflächen sind übersetzt, mit der französischen Beschriftung in Klammern: Angenommen wird der französische Text. Anmerkungen der Übersetzung stehen in eckigen Klammern und beginnen mit « Anm. d. Ü. »; sie sind nicht Teil des Vertrags.

Editions- und Dienstleistungsvertrag « Carnet » — Allgemeine Geschäftsbedingungen

Diese Seite gibt die deutsche Höflichkeitsübersetzung des Verlags- und Dienstleistungsvertrags «Carnet» (Allgemeine Geschäftsbedingungen) wieder; sie wird bei jeder Veröffentlichung aus ihrer Quelle neu erzeugt. Massgebend ist allein der französische Text: französisches Original. Online-Version der Anwendung: v1.5.1 (veröffentlicht am 11.10.2026).

Parteien

• Der Herausgeber: David Lambrecht, Herausgeber der Software « Carnet », Sierre (Siders, Wallis), Schweiz.
• Der Kunde: die selbstständig tätige Gesundheitsfachperson, welche die Software nutzt und im Rahmen ihrer beruflichen Tätigkeit handelt (keine Konsumentin bzw. kein Konsument im Sinne von Art. 32 ZPO).

Version: 2026-10-10, in Kraft seit dem 10. Oktober 2026 (ersetzt die Version 2026-10-09; eindeutige Kennung, die mit der Anwendung geteilt wird: die vom Kunden akzeptierte Version und der Zeitstempel seiner Annahme werden von der Anwendung gespeichert und als Quittung an den Server übermittelt, vgl. Abschnitt 14).

Vor der Annahme — die besonders hervorgehobenen Klauseln. Dieser Vertrag wird mit einer einzigen Handlung angenommen, die mit Zeitstempel versehen und seiner Version zugeordnet wird (Abschnitt 14). Die nachstehenden Klauseln verpflichten Sie stärker als die übrigen: Jede trägt im Text den Vermerk « besonders hervorgehobene Klausel », und ihr Wesentliches ist dort fett gedruckt. Hier sind sie, in Klartext:

- Beschränkte Haftung des Herausgebers: bei leichtem Verschulden höchstens der höhere Betrag aus den Gebühren der letzten zwölf Monate und CHF 10'000.—, je Ereignis und insgesamt für ein Vertragsjahr, ohne indirekte Schäden; rechtswidrige Absicht, grobe Fahrlässigkeit und zwingende Bestimmungen bleiben vorbehalten (7.4, 7.5); - Ansprüche von Patientinnen, Patienten und Dritten: Sie stellen den Herausgeber von jenen frei, die aus Ihrer Nutzung, Ihren Daten oder Ihren Pflegeentscheiden entstehen (7.7); - Keine Wiederherstellung ohne Ihre Geheimnisse: Verlieren Sie alle Ihre Zugangsmittel (Passwort, Wiederherstellungsschlüssel, Wiederherstellungsblatt und, falls aktiviert, den Wiederherstellungskontakt), sind Ihre Daten für immer verloren; der Herausgeber kann sie nicht wieder öffnen (7.9, 10.5, 10.6); - Gerichtsstand Sierre (Wallis): Eine Streitigkeit wird vor den Gerichten von Sierre (Siders) beurteilt, unter Vorbehalt zwingender Gerichtsstände (13.2); - Vertragsänderungen: Geringfügige Änderungen gelten als angenommen, wenn Sie nicht innert dreissig Tagen kündigen (12.1); eine wesentliche Änderung wartet auf Ihr « Ich stimme zu (J'accepte) » oder Ihr « Ich lehne ab (Je refuse) » — bleibt Ihre Antwort dreissig Tage nach ihrer Vorlage aus, wartet die Synchronisierung auf Ihre Antwort, während die Anwendung auf Ihrem Gerät weiter funktioniert (12.2); - Kontowiederherstellung und Verwahrer/innen: was der Herausgeber aufbewahrt und unter welchen Bedingungen er es herausgibt (10.8, 9.11); - Keine Versicherung des Herausgebers: Zum Zeitpunkt dieser Version hat der Herausgeber keine Haftpflichtversicherung abgeschlossen und verspricht keine; er haftet für seine Verpflichtungen mit seinem Vermögen, in den Grenzen von Abschnitt 7, und seine gesetzliche Haftung (PrHG) bleibt unberührt (3.5, 7.11); - In Frankreich behandelte Patientinnen und Patienten: Sie erklären, mit diesem Konto keine zu behandeln — weder mit dem verwalteten Dienst noch mit einer Funktion, die Daten auf dem Server ablegt (Stellvertretung, Wiederherstellung, Sicherheitsnetz, Übertragung zwischen Geräten); ist diese Erklärung unrichtig, kann der Herausgeber den Vertrag kündigen, und Sie allein haften für die rechtlichen Folgen in Frankreich (4.1ter); - Kantonaler Geltungsbereich (2.5), Vorabzugang — Betaphase (3.8), MWST (5.5), Anfragen von Behörden (9.14), Abtretung des Vertrags (12.4); - nur beim Abschluss des Abonnements: Das kostenpflichtige Abonnement beginnt erst mit Ihrer Bestätigung, nach Ablauf der kostenlosen Testphase von dreissig Tagen — ohne Bestätigung endet der verwaltete Dienst, und die lokale Nutzung geht weiter (5.1bis) —, der im Voraus bezahlte Teil, den der Herausgeber behält, wenn er wegen eines Verschuldens Ihrerseits kündigt — in allen anderen Fällen wird er Ihnen anteilsmässig zurückerstattet (5.2) —, ausschliessliche Rechtsbehelfe bei Nichtverfügbarkeit (3.2), Rückzug einer Funktion aus Gründen der Sicherheit oder der Konformität (12.3), nicht installierte Version (7.12), Einstellung des Dienstes mit einer Ankündigungsfrist von 90 Tagen (11.3) — und die Bedingungen des Abonnementsabschlusses selbst (5.6).

Dieser Kasten fasst zusammen; massgebend ist der Text der Klauseln.

1. Ausgangslage und Absicht der Parteien

1.1 Der Herausgeber entwickelt und veröffentlicht « Carnet », eine progressive Webanwendung (PWA) nach dem Zero-Knowledge-Prinzip zur Führung der Pflegedokumentation, zur Planung der Tour und zur Abrechnung, bestimmt für selbstständig tätige Gesundheitsfachpersonen, die in der Schweiz (in erster Linie in der Westschweiz) tätig sind — siehe Klausel 2.5 (kantonaler Geltungsbereich).

1.2 Die Software wird unter der freien Lizenz GNU Affero General Public License version 3 (AGPLv3) veröffentlicht. Der Quellcode ist unter der Adresse https://carnet.health/source/ öffentlich zugänglich und überprüfbar (Archiv jeder bereitgestellten Version, Tags inbegriffen), während der gesamten Betriebsdauer des Dienstes. Der Herausgeber verkauft keine Lizenz zur Nutzung des Codes — der von Natur aus frei ist —, sondern Dienstleistungen (Hosting der blinden Synchronisierung, Support, Verwahrungsdienst, verwaltete Datensicherungen).

1.3 « Carnet » beruht auf einer Zero-Knowledge-Architektur: Die gesamte Dokumentation wird auf dem Gerät des Kunden Ende-zu-Ende verschlüsselt, mittels Schlüsseln, die allein aus seinem Passwort und seinem Wiederherstellungsschlüssel abgeleitet werden. Der Herausgeber hat keinerlei Zugriff auf die Daten im Klartext und besitzt keinen Schlüssel, der es ihm allein oder zusammen mit dem Server erlauben würde, die Daten des Kunden zu entschlüsseln — weder ein Administrationspasswort noch eine Hintertür. Er besitzt einzig den privaten Verwahrungsschlüssel des Wiederherstellungsmechanismus (Abschnitt 10.5), der nur einen Teil dieses Mechanismus entsiegelt und ohne die 8 Wörter des Wiederherstellungsblatts wirkungslos ist — oder, falls der Kunde ausdrücklich einen Wiederherstellungskontakt aktiviert hat, ohne den diesem Kontakt übergebenen Code —, Geheimnisse, die der Herausgeber nie kennt und die nie über den Server laufen. Diese Eigenschaft ist im öffentlichen Quellcode (AGPLv3) überprüfbar. Die Hoheit des Kunden über seine Daten ist eine wesentliche und gewollte Eigenschaft des Produkts und kein Mangel.

1.4 Die Parteien sind sich einig, dass diese Architektur Folgen hat, die der Kunde verstanden und akzeptiert zu haben erklärt, insbesondere: Die Verwahrung des Passworts und des Wiederherstellungsschlüssels, die Erstellung der Datensicherungen und die gesetzliche Aufbewahrung der Dokumentation obliegen ausschliesslich dem Kunden (Abschnitte 4 und 10).

2. Gegenstand des Vertrags

2.1 Dieser Vertrag regelt die Bereitstellung der Software « Carnet » und die Erbringung der damit verbundenen Dienstleistungen sowie die Verteilung der Rechte und Verantwortlichkeiten zwischen den Parteien. Er ist ein Innominatvertrag auf Dauer über fortlaufende Informatikdienstleistungen (Hosting, Synchronisierung, Datensicherungen, Support); die Regeln des Kaufvertrags (Art. 197 ff. OR) finden auf die Bereitstellung der freien Software keine Anwendung.

2.2 Dienstleistungen (kostenpflichtig, ausgenommen Bst. d): (a) Hosting des Dienstes der blinden Synchronisierung zwischen den Geräten des Kunden in der Schweiz; (b) Aufbewahrung verschlüsselter Datensicherungen; (c) Support; (d) Bereitstellung des Versandconnectors zum MediData-Netz (Klausel 9.7bis), eines beim Kunden installierten freien Programms, das ohne Abonnement genutzt wird (Klausel 5.1ter Bst. a); der Herausgeber leitet keine Rechnung weiter und besitzt kein Zugangszertifikat zum Netz und gibt keines heraus, da der Kunde sein eigenes im Rahmen seines eigenen Anschlusses von MediData erhält; (e) gegebenenfalls Verwahrungsdienst für den Wiederherstellungsschlüssel.

2.3 Zweckbestimmung der Software (intended purpose). Der Herausgeber weist der Software ausschliesslich und streng die folgende Zweckbestimmung zu: (i) die Pflegedokumentation unter der Kontrolle der Fachperson führen und aufbewahren; (ii) Touren, Planungen und administrative Erinnerungen organisieren; (iii) Rechnungen und administrative Dokumente vorbereiten und übermitteln (namentlich KLV/MediData); (iv) der Fachperson dokumentarische Referenzinformationen zur Verfügung stellen, die veröffentlichte und zitierte Quellen wiedergeben (Merkblätter mit üblichen Richtwerten je Wirkstoff, offizielle Skalen und Anleitungen der Beurteilungsinstrumente), ohne automatische Anwendung auf die Daten einer bestimmten Patientin oder eines bestimmten Patienten; die Kontrollen der Software beschränken sich auf die formale Qualität der Eingaben und Dokumente (Schreibweise der Dosen nach den ISMP-Regeln, fehlende Einheiten, Plausibilität der Eingabe). Die Software ist weder dazu bestimmt, eine Diagnose zu stellen, noch zu verschreiben, noch physiologische Parameter zu überwachen, noch für eine bestimmte Patientin oder einen bestimmten Patienten eine Behandlung festzulegen oder zu empfehlen, noch die klinische Beurteilung zu ersetzen.

2.4 Einordnung nach dem Medizinprodukterecht. Die Software ist für die Führung der Pflegedokumentation, die Organisation der Touren und die Abrechnung bestimmt. Sie wird nicht als Medizinprodukt in Verkehr gebracht: Sie führt keine Funktion der Diagnose, der Prävention, der Überwachung, der Vorhersage oder der Behandlung für eine bestimmte Patientin oder einen bestimmten Patienten aus; ihre Kontrollen beschränken sich auf die formale Qualität der Eingaben und Dokumente, und die Referenzinformationen, die sie anzeigt, geben veröffentlichte, zitierte Quellen wieder, ohne automatische Anwendung auf die Daten einer Patientin oder eines Patienten. Angesichts dieser Zweckbestimmung, der tatsächlichen Funktionalität der Software und des Qualifizierungsbaums des Leitfadens MDCG 2019-11 Rev.1 ist der Herausgeber der Auffassung, dass die Software keinen der in Art. 3 der Medizinprodukteverordnung (MepV, SR 812.213) und in Art. 2 Ziff. 1 der Verordnung (EU) 2017/745 (MDR) aufgezählten medizinischen Zwecke verfolgt und daher kein der Konformitätsbewertung unterliegendes Medizinprodukt ist. Die Parteien anerkennen, dass die Qualifikation als Medizinprodukt objektiv ist: Sie obliegt der Beurteilung durch Swissmedic und gegebenenfalls durch das Gericht, nicht der Vereinbarung der Parteien. Dieser Vertrag dokumentiert die vom Herausgeber gewählte Einordnung; er qualifiziert die Software nicht mit Wirkung gegenüber den Behörden. Der Herausgeber behält sich die in Abschnitt 12 vorgesehene Befugnis vor, eine Funktion bei einer regulatorischen Entwicklung oder einer gegenteiligen Stellungnahme einer zuständigen Behörde anzupassen, einzuschränken oder zurückzuziehen.

2.5 Kantonaler Geltungsbereich (besonders hervorgehobene Klausel). Die Software ist für die Berufsausübung in der Westschweiz konzipiert: Wallis, Waadt, Genf, Freiburg, Neuenburg, Jura und Kanton Bern (Berner Jura). Die angezeigten kantonalen Texte — Aufsichtsbehörde, Ansprechstelle für die Kontinuität der Pflege, Notrufnummern, Aufbewahrungsdauer der Dokumentation und Regel für die Stellvertretung — richten sich nach dem Kanton der Praxis, der aus deren Postleitzahl abgeleitet oder vom Kunden bestätigt wird; sie zitieren das vom Herausgeber gelesene kantonale Recht, und eine Tatsache, die er nicht überprüfen konnte, wird nicht angezeigt. Das Ortschaftenverzeichnis deckt die ganze Schweiz ab. Die Abrechnung der Restfinanzierung der Pflege wird auf dem Gerät des Kunden vorbereitet und richtet sich nach dem Wohnkanton der versicherten Person am Tag der Pflege (Art. 25a Abs. 5 KVG), gemäss der in der Dokumentation erfassten Adresse; eine Pflegeleistung, deren Adresse nicht einen einzigen Kanton bezeichnet, wird keinem zugeordnet, solange die Adresse nicht präzisiert ist. Für eine im Kanton der Praxis wohnhafte versicherte Person wird die Abrechnung vorbereitet für das Wallis (offizielles Walliser Muster, sozialmedizinische Zentren), Genf (offizielles Muster), Freiburg (offizielles Formular des Sozialvorsorgeamts, für die vom 01.10.2026 bis zum 31.03.2027 erbrachten Leistungen; für die ab dem 01.04.2027 erbrachten Leistungen verlangt dieses Amt, dass die Abrechnung einer in Freiburg zugelassenen Pflegefachperson von einer von ihm anerkannten Abrechnungsstelle erstellt wird, was der Herausgeber nicht ist und was die Software nicht ersetzt), Bern (im kantonalen Portal zu erfassende Totale und Nachweisblatt), den Jura und Neuenburg (offizielle Muster). Für eine versicherte Person mit Wohnsitz in einem anderen Kanton als dem der Praxis bereitet die Software das von diesem Kanton verlangte Dokument vor, wenn der Herausgeber dessen Verfahren kennt (Genf: detaillierte Abrechnung; Freiburg und Neuenburg: ihr Muster); andernfalls berechnet sie keinen Betrag, und der Kunde meldet diese Leistungen nach den Regeln des Wohnkantons oder der Wohngemeinde. Der Kunde reicht jede Abrechnung selbst ein und prüft deren Inhalt, angewandte Tarife inbegriffen, vor der Einreichung. Für die Waadt meldet er die Restfinanzierung nach den Regeln des Kantons ausserhalb der Software, bis deren Abdeckung schriftlich angekündigt ist. In den übrigen Kantonen sind die kantonalen Texte neutral, und der Herausgeber gewährleistet nicht die Eignung der Software für die Berufsausübung in einem Kanton, dessen Abdeckung nicht schriftlich angekündigt wurde. Der übrige Teil der Software — Pflegedokumentation, Touren, ärztliche Anordnungen nach KLV, Abrechnung zulasten der obligatorischen Krankenpflegeversicherung und Übermittlung an MediData — beruht auf Bundesrecht und nationalen Verträgen und ist nicht betroffen. Es obliegt dem Kunden, die Anforderungen seines eigenen Kantons zu prüfen; der Herausgeber unterstützt ihn auf Anfrage, ohne dafür einzustehen. Diese Klausel begrenzt die versprochene Eignung; sie schränkt kein zwingendes Recht des Kunden ein.

2.6 Der Kunde anerkennt, dass er « Carnet » ausführen kann, ohne den verwalteten Dienst zu abonnieren, da der Code frei ist; die Gebühr entschädigt ausschliesslich den Dienst, nicht die Software.

3. Pflichten des Herausgebers (Sorgfaltspflicht)

3.1 Art der Leistung. Der Herausgeber verpflichtet sich, die Software und die Dienste mit der von einem Dienstleister seiner Branche verlangten Sorgfalt bereitzustellen und zu unterhalten (Sorgfaltspflicht, keine Erfolgspflicht). Er gewährleistet weder ein bestimmtes klinisches, administratives oder finanzielles Ergebnis noch einen ununterbrochenen und völlig fehlerfreien Betrieb, da eine solche vollständige Mangelfreiheit bei jeder Software technisch unmöglich ist.

3.2 Der Herausgeber stellt Korrektur- und Sicherheitsupdates zur Verfügung und bemüht sich, die Verfügbarkeit des Synchronisierungsdienstes aufrechtzuerhalten. Es wird kein bezifferter Service-Level (SLA) gewährleistet; hingegen gilt: Eine dem Herausgeber zuzurechnende Nichtverfügbarkeit des Synchronisierungsdienstes (höhere Gewalt nach Klausel 7.8 vorbehalten) von mehr als zehn (10) aufeinanderfolgenden Tagen gibt Anspruch auf eine anteilsmässige Gutschrift auf die nächste Fälligkeit; nach mehr als dreissig (30) Tagen kann der Kunde mit anteilsmässiger Rückerstattung kündigen. (Besonders hervorgehobene Klausel, 14.2 Bst. i:) Diese Rechtsbehelfe schliessen jeden anderen Anspruch aus demselben Grund aus, wobei Art. 100 und 101 OR vorbehalten bleiben. Der Kunde wird daran erinnert, dass die Anwendung für die Führung der Dokumentation, die Planung, den Druck und die Vorbereitung der Rechnungen lokal funktioniert; die Synchronisierung zwischen den Geräten hängt hingegen vom Dienst ab. Die Übermittlung der Rechnungen an das MediData-Netz hängt nicht davon ab: Sie erfolgt über den beim Kunden installierten Connector, unter dessen eigenem Zertifikat (9.7bis).

3.3 Der Herausgeber gewährleistet eine dem Risiko angemessene Datensicherheit (Abschnitt 9): Ende-zu-Ende-Verschlüsselung (ohne einen Schlüssel zu besitzen), Verschlüsselung der Übertragungen (TLS), Abschottung und Beschränkung der Administrationszugriffe, verschlüsselte externe Datensicherungen, Hosting in der Schweiz. Die Zugriffsprotokolle des Dienstes sind deaktiviert (Klausel 9.3).

3.4 Der Herausgeber hält den Quellcode der offiziellen Version während der gesamten Dauer des kommerziellen Betriebs des Dienstes öffentlich zugänglich — unter der Adresse https://carnet.health/source/, Archiv jeder bereitgestellten Version.

3.5 Haftpflichtversicherung des Herausgebers — keine wird versprochen (besonders hervorgehobene Klausel, 14.2 Bst. f bis).

(a) Zum Zeitpunkt dieser Version hat der Herausgeber keine Haftpflichtversicherung abgeschlossen, die seine Tätigkeit als Herausgeber der Software und als Erbringer des verwalteten Dienstes deckt. Er verspricht nicht, eine abzuschliessen, weder auf einen Zeitpunkt noch unter einer Bedingung des Volumens oder des Umsatzes, noch für einen bestimmten Umfang oder eine bestimmte Summe; keine Gebühr hängt vom Bestehen einer solchen Versicherung ab. Keine gesetzliche Bestimmung schreibt dem Herausgeber diese Versicherung für die Tätigkeit vor, die dieser Vertrag beschreibt.

(b) Was dies für den Kunden bedeutet. Der Herausgeber ist eine natürliche Person, die als Einzelunternehmen tätig ist: Er haftet für seine Verpflichtungen, in den Grenzen von Abschnitt 7, mit seinem gesamten Vermögen und nicht bis zu einer Versicherungssumme. Der Kunde weiss somit vor der Annahme, dass eine Schadenersatzforderung gegen den Herausgeber durch keinen Versicherer gesichert ist. Diese Information erweitert die Haftung des Herausgebers nicht und schränkt sie nicht ein: Der Höchstbetrag von Klausel 7.4 gilt, ob der Herausgeber versichert ist oder nicht, und er bleibt, wie Klausel 7.11, ohne Wirkung bei rechtswidriger Absicht, bei grober Fahrlässigkeit und für die Haftung, die ihm das zwingende Recht auferlegt.

(c) Der Kunde behält die Wahl. Ist er der Ansicht, dass ihm das Fehlen einer Versicherung nicht zusagt, kann er diese Version ablehnen (Klausel 12.2) oder kündigen (Klausel 11.1), mit anteilsmässiger Rückerstattung des im Voraus bezahlten Teils (Klausel 5.2), und er behält die lokale Nutzung seiner Software und den Export seiner Daten (Klausel 8.4). Er wird eingeladen, sich zu vergewissern, dass seine eigene Berufshaftpflichtversicherung die Nutzung von Informatikwerkzeugen zur Führung der Pflegedokumentation deckt.

(d) Schliesst der Herausgeber später eine Versicherung ab, kann er den Kunden darüber informieren und den Umfang der Deckung auf der Preisseite veröffentlichen; diese Information ist keine Vertragsänderung im Sinne von Abschnitt 12, sie begründet keine Pflicht, die Versicherung aufrecht zu erhalten, und sie beschränkt oder erweitert die Haftung des Herausgebers nicht über das hinaus, was Abschnitt 7 und das zwingende Recht vorsehen.

(e) Frühere Versionen. Was unter einer früheren Version des Vertrags kostenlos war, namentlich weil sich der Herausgeber verpflichtet hatte, vor seiner Versicherung keine Gebühr einzuziehen, wird nie nachträglich in Rechnung gestellt. Der Kunde, der diese Version nicht angenommen hat, bleibt der von ihm angenommenen Version unterstellt, einschliesslich dieser Verpflichtung (Klausel 12.2, « Ohne Antwort »).

3.6 Support. Der Herausgeber leistet den Support per E-Mail (), mit einer unverbindlichen Antwortfrist von 48 Stunden an Arbeitstagen; Sicherheitsanomalien (6.3) werden vorrangig behandelt. Der Support ist in der Gebühr inbegriffen (5.1). Er wird in der Sprache des Kunden geleistet, unter jenen, welche die Anwendung anbietet: Französisch, Englisch, Deutsch, Italienisch oder Spanisch; andernfalls auf Französisch. Die Sprache des Supports ändert nichts an der massgebenden Sprache (dem französischen Text des Vertrags).

3.7 MediData-Anschluss. Der direkte Anschluss an das MediData-Netz besteht seit dem 6. August 2026, über den auf dem Computer des Kunden installierten Connector. Für einen Kunden, bei dem er noch nicht aktiviert ist, erstellt die Software die Abrechnungsdateien im offiziellen Format (validiertes XML), die der Kunde selbst im Portal seiner Wahl einreicht; der Herausgeber weist redlich vor dem Abschluss des Abonnements darauf hin.

3.8 Vorabzugang — Betaphase des verwalteten Dienstes (besonders hervorgehobene Klausel). Der verwaltete Dienst ist im Vorabzugang geöffnet, der eine Betaphase im technischen Sinn ist: Die Software entwickelt sich schnell, mehrmals pro Woche, und Unterbrechungen, Regressionen und Mängel sind möglich. Der Herausgeber kündigt dies vor jedem Abonnementsabschluss an, auf dem Abonnementsbildschirm und auf der Website, statt es den Kunden nachträglich entdecken zu lassen.

Diese Phase verringert keine der Pflichten des Herausgebers: Datensicherungen (3.3, 9.5), Wiederherstellungsdienst (10.8), Rechtsbehelfe bei Nichtverfügbarkeit (3.2), Export der Daten (11.4) und Beständigkeit des Formats bleiben vollumfänglich geschuldet, und die Haftung des Herausgebers wird durch den Vorabzugang in keiner Weise gemildert.

Ausstieg ohne Verlust. Während dieser Phase wie danach kann der Kunde jederzeit, mit sofortiger Wirkung, ohne Kosten und ohne Begründung kündigen; der im Voraus bezahlte und nicht genutzte Teil wird ihm anteilsmässig zu den verbleibenden Tagen zurückerstattet (Klauseln 5.2 und 11.1). Der Herausgeber kündigt das Ende des Vorabzugangs in der Anwendung und auf der Website mindestens dreissig (30) Tage im Voraus an; dieses Ende ändert weder den Preis noch die Ausstiegsbedingungen.

4. Pflichten des Kunden — Prüfpflicht

4.1 Der Kunde ist eine berufsausübungsberechtigte Gesundheitsfachperson und allein verantwortlich für ihre Handlungen, ihre klinischen Entscheide und deren Übereinstimmung mit den Regeln der Kunst, mit dem Bundesgesetz über die Gesundheitsberufe (GesBG, SR 811.21 — Art. 11 ff. und 16), mit dem HMG sowie mit ihren beruflichen und standesrechtlichen Pflichten (Ethikkodex des ICN für Pflegefachpersonen).

4.1bis Zusicherung der Berechtigung. Der Kunde sichert zu, dass er über die erforderliche kantonale Berufsausübungsbewilligung (Art. 11 ff. GesBG) sowie, für die Nutzung der Abrechnung zulasten der obligatorischen Krankenpflegeversicherung und des MediData-Anschlusses, über eine gültige ZSR-Nummer verfügt. Er informiert den Herausgeber unverzüglich über jeden Entzug und jede Sistierung dieser Berechtigungen. Der Herausgeber übernimmt keinerlei Pflicht zur Überprüfung dieser Elemente. Da der MediData-Anschluss derjenige des Kunden ist, eingerichtet unter dessen eigenem Zertifikat (9.7bis Bst. d), hat der Herausgeber keine Möglichkeit, ihn zu sistieren.

4.1ter In Frankreich behandelte Patientinnen und Patienten — Erklärung des Kunden (besonders hervorgehobene Klausel). Das französische Recht behält das Hosting von Gesundheitsdaten für Rechnung einer Fachperson einem zertifizierten Hosting-Anbieter vor, der sie in der Europäischen Union oder im Europäischen Wirtschaftsraum speichert (Art. L.1111-8 des französischen Code de la santé publique); der in der Schweiz gehostete verwaltete Dienst (9.7) erfüllt diese Voraussetzungen nicht. Folglich nutzt der Kunde für Patientinnen und Patienten, die er in Frankreich behandelt, weder den verwalteten Dienst noch irgendeine Funktion, die Daten auf dem Server des Herausgebers ablegt — Stellvertretung (9.12), Kontowiederherstellung (10.5, 10.8), Sicherheitsnetz des Stellvertretungsmodus (9.7 ④), Relais der Übertragung zwischen Geräten (9.7 ①) —, und er gibt folgende Erklärung ab:

Erklärung des Kunden: « Ich behandle mit diesem Konto keine Patientinnen und Patienten in Frankreich. »

Diese Erklärung ist Bestandteil dieses Vertrags: Der Kunde gibt sie ab, indem er ihn annimmt, mit derselben Handlung, mit Zeitstempel versehen und der akzeptierten Version zugeordnet — beim Abschluss des Abonnements des verwalteten Dienstes (5.6 Bst. c bis) und bei jeder neuen Annahme einer Vertragsversion (12.2), solange er den verwalteten Dienst oder eine dieser Funktionen nutzt. Sie erfordert keine gesonderte Handlung. Die lokale Nutzung der Anwendung ohne eine dieser Funktionen ist nicht erfasst.

Unrichtige Erklärung. Ist oder wird die Erklärung unrichtig, kann der Herausgeber den Vertrag aus diesem Grund kündigen, der einen wichtigen Grund im Sinne von Klausel 11.2 darstellt. Der Kunde haftet allein für die rechtlichen Folgen in Frankreich der Nutzung, die er vom verwalteten Dienst oder von diesen Funktionen für dort behandelte Patientinnen und Patienten gemacht hat, gegenüber diesen Patientinnen und Patienten, den Behörden und allen Dritten; Klausel 7.7 gilt für die daraus gegen den Herausgeber entstehenden Ansprüche. Die Kündigung entzieht dem Kunden weder seine Daten, die auf seinem Gerät bleiben, noch deren Export (8.4), noch die lokale Nutzung der Software (8.7).

4.2 Prüfpflicht (Grundlage von Art. 44 OR). Bevor er sie verwendet, teilt, druckt oder einem Dritten (Patientin oder Patient, Versicherer, Behörde, MediData-Netz) übermittelt, prüft der Kunde die Richtigkeit, Vollständigkeit und Plausibilität aller von der Software erzeugten oder angezeigten Daten, Dosen, Berechnungen, Richtwerte und Dokumente. Die Richtwerte der Software entbinden in keinem Fall von dieser Prüfung, vom Rückgriff auf das berufliche Urteil und auf die offiziellen Quellen (Arzneimittelinformation, Compendium, anwendbare Verordnungen des Bundes).

4.3 Die Verletzung dieser Prüfpflicht stellt ein Mitverschulden des Kunden dar, das im Sinne von Art. 44 Abs. 1 OR die Haftung des Herausgebers in dem Mass herabsetzt oder aufhebt, als es zur Entstehung oder Verschlimmerung des Schadens beigetragen hat.

4.4 Verwahrung der Geheimnisse und Datensicherungen (Obliegenheiten). Der Kunde bewahrt sein Passwort und seinen Wiederherstellungsschlüssel sicher, getrennt und dauerhaft auf; er erstellt und überprüft regelmässig seine verschlüsselten Datensicherungen (.carnet) und greift gegebenenfalls auf den Verwahrungsmechanismus zurück (Abschnitt 10).

4.5 Updates. Der Kunde installiert die als Korrektur- oder Sicherheitsupdates gekennzeichneten Updates unverzüglich und verwendet die neueste verfügbare Version der Software.

4.6 Bestimmungsgemässe Nutzung. Der Kunde nutzt die Software gemäss der zugewiesenen Zweckbestimmung (Abschnitt 2.3) und dem anwendbaren Recht. Er stützt seine Pflegeentscheide auf sein eigenes Urteil und nicht allein auf die Richtwerte der Software.

4.7 Papierausgaben und exportierte Dateien. Jedes ausserhalb der Anwendung gedruckte oder exportierte Dokument (Medikationsplan, OPAS-Formular, Überleitungsdossier, rechtliche Formulare, PDF-/ODT-/DOCX-Dateien, Abrechnungsdateien) ist namentlich und im Klartext und verlässt den verschlüsselten Bereich. Seine Verwahrung, sein Transport, seine Ablage und seine Vernichtung liegen in der alleinigen Verantwortung des Kunden, nach Massgabe des Berufsgeheimnisses (Art. 321 StGB) und der Datensicherheit (Art. 8 DSG). Die Löschung in Carnet erfasst diese Kopien nicht. Wird ein Dokument in Carnet als versandt markiert, wird eine verschlüsselte Kopie des Exemplars im Ordner der Patientin oder des Patienten innerhalb des verschlüsselten Bereichs aufbewahrt; sie ersetzt nicht die Verwahrung des hinausgegangenen Exemplars.

5. Kosten und Gebühren

5.1 Preis. Der verwaltete Dienst — auf der Website und in der Anwendung unter dem Namen « cabinet géré » (verwaltete Praxis) dargestellt — wird nach einer Monats- oder Jahrespauschale abgerechnet, nach Wahl des Kunden beim Abschluss des Abonnements: CHF 69.— pro Monat oder CHF 690.— pro Jahr (also zehn Monatsraten), pro Platz (Klausel 5.1ter Bst. d), alles inbegriffen: Synchronisierung über mehrere Geräte, verwaltete verschlüsselte Datensicherungen, Stellvertretung (Klausel 9.12), Support, Verwahrungsdienst und Updates. Die Gebühr entschädigt den Dienst, nicht eine Lizenz zur Nutzung des (freien) Codes. Es wird weder ein Einführungstarif noch eine Preiserhöhung im Voraus vereinbart: Der Herausgeber kann diesen Preis nur nach dem Verfahren von Abschnitt 12 anpassen. Ausserhalb der Schweiz, in jedem Land, in dem der Verkauf eröffnet ist, und erst ab seiner Eröffnung (die Preisseite sagt, welche Länder es sind) ist der Preis jener, den diese Seite für das Land des Kunden veröffentlicht, ohne Steuer, in der Währung dieses Landes (pro Monat oder pro Jahr für zehn Monatsraten), und der verwaltete Dienst wird von einem Wiederverkäufer verkauft: von jenem, den im Zeitpunkt des Verkaufs die Bedingungen des verwalteten Dienstes ausserhalb der Schweiz und die Zahlungsseite nennen (9.6). Er zieht den Preis ein, schlägt die Steuer des Landes hinzu und stellt die Quittung dafür aus. Der Herausgeber erbringt den Dienst. Solange der Verkauf in seinem Land nicht eröffnet ist, schliesst der Kunde dort kein Abonnement ab und schuldet nichts.

5.1bis Testphase von dreissig Tagen, danach Abonnement auf Bestätigung (besonders hervorgehobene Klausel, 14.2 Bst. g). Der Abschluss des Abonnements des verwalteten Dienstes eröffnet eine kostenlose Testphase von dreissig (30) Tagen, Stellvertretung inbegriffen, die ab dem Tag der ersten Synchronisierung des Kontos des Kunden läuft, d. h. ab der ersten Sendung verschlüsselter Daten, die der Server annimmt; solange der Kunde nicht synchronisiert hat, hat die Testphase nicht begonnen. Der Herausgeber stellt diese Daten fest, ohne etwas von den Daten zu sehen, und teilt sie dem Kunden auf Anfrage mit. Für die Testphase ist keine Gebühr geschuldet.

(a) Das Abonnement beginnt nur, wenn der Kunde es bestätigt, auf jedem schriftlichen oder elektronischen Weg, unter Wahl der monatlichen oder jährlichen Formel (Klausel 5.1). Ohne diese Bestätigung ist keine Gebühr geschuldet und wird keine in Rechnung gestellt. Der erste bezahlte Zeitraum beginnt am Tag nach dem Ende der Testphase oder am Tag der Bestätigung, wenn diese später erfolgt; das Abonnement läuft danach in aufeinanderfolgenden, im Voraus zahlbaren Zeiträumen, bis eine der Parteien es beendet (Abschnitt 11).

(b) Ohne Bestätigung pausiert der verwaltete Dienst am Ende der Testphase von selbst, soweit er die Synchronisierung zwischen Geräten, die verwalteten Datensicherungen und die Eröffnung neuer Stellvertretungszugänge betrifft (Klausel 9.12). Ein bereits eröffneter Stellvertretungszugang wird nicht entzogen, und die lokale Nutzung der Software geht weiter, kostenlos und ohne zeitliche Begrenzung (Klausel 5.1ter Bst. a). Die verschlüsselten Blöcke des Kunden werden mindestens neunzig (90) Tage aufbewahrt; eine Löschung erfolgt nicht ohne eine schriftliche Vorankündigung von dreissig (30) Tagen. Der Kunde kann das Abonnement während dieser Frist jederzeit bestätigen: Der verwaltete Dienst wird ab seiner Bestätigung wieder aufgenommen.

(c) Die Testphase wird jedem Kunden nur einmal gewährt; die Bestätigung des Abonnementsabschlusses (Klausel 5.6 Bst. d) nennt ihr Enddatum oder die Regel, die es bestimmt, wenn der Kunde noch nicht synchronisiert hat. Der Kunde, der bereits vor dem 9. Oktober 2026 Zugang zum verwalteten Dienst hatte, ohne die Kostenlosigkeit nach Klausel 5.1ter Bst. e zu geniessen, verfügt über eine Testphase von dreissig Tagen ab dem Tag, an dem er erstmals die Version vom 9. Oktober 2026 oder eine spätere Version annimmt; vor seiner Bestätigung ist ihm keine Gebühr geschuldet. Das im Voraus vereinbarte Ende der Testphase ist keine Änderung im Sinne von Abschnitt 12.

5.1ter Auslösender Tatbestand, Platz, Praxisstufe.

(a) Was kostenlos ist. Die rein lokale Ausführung der Software — Führung der Dokumentation, Planung, Druck, Vorbereitung der Rechnungen, Export der Abrechnungsdatei, die der Kunde selbst einreicht, und Versand der Rechnungen an das MediData-Netz über den auf seinem Computer installierten Connector, unter seinem eigenen Zertifikat (Klausel 9.7bis) — ist kostenlos und ohne zeitliche Begrenzung: Sie erfordert kein Abonnement, da der Code frei ist (Klausel 2.6). Keine Funktion ist dabei eingeschränkt, keine Daten werden zurückbehalten. Der vollständige Export der Daten des Kunden (Klausel 8.4bis) steht ihm jederzeit und kostenlos offen, ob er ein Abonnement abgeschlossen hat oder nicht, während der Testphase, des Abonnements oder einer Sistierung (Klausel 5.4) wie nach Vertragsende.

(b) Was in Rechnung gestellt wird. Die Gebühr ist für den verwalteten Dienst geschuldet, ab der Bestätigung des Abonnements, die auf die Testphase folgt (Klausel 5.1bis), und nur für diesen Dienst: Synchronisierung zwischen Geräten, verwaltete Datensicherungen, Stellvertretung (Klausel 9.12), Support, Verwahrungsdienst. In der Praxis muss der Kunde erst dann ein Abonnement abschliessen, wenn er diese Leistungen will — d. h. wenn er ein zweites Gerät verbindet, einen Stellvertretungsauftrag erteilt oder eine Kontowiederherstellung hinterlegt. Der Versand der Rechnungen an das MediData-Netz gehört nicht dazu (Bst. a). Keine dieser Leistungen ist Voraussetzung für die lokale Nutzung, die vollständig und kostenlos bleibt (Bst. a). Die Gebühr ist eine feste Pauschale, nie ein Prozentsatz des Umsatzes des Kunden, und der Herausgeber misst und überprüft das Tätigkeitsvolumen des Kunden nicht, das er ohnehin nicht beobachten kann (Zero-Knowledge-Architektur). Ist das Abonnement einmal bestätigt, läuft die Gebühr nach der vereinbarten Periodizität, unabhängig von der Anzahl tatsächlich übermittelter Rechnungen.

(c) Platz. Ein Platz ist die Nutzung des verwalteten Dienstes durch eine bestimmte natürliche Person, eine Gesundheitsfachperson, unter ihrem eigenen Synchronisierungskonto. Das Konto ist persönlich und wird nicht geteilt.

Der einer Stellvertretung im Rahmen eines Stellvertretungsauftrags (Klausel 9.12) eröffnete Zugang ist persönlich — ihr Link, ihr Token und ihr Signaturschlüssel gehören nur ihr, und der Kunde kann ihn getrennt von dem der anderen entziehen —, während die Dokumentation des Auftrags den vom Kunden dazu berufenen Stellvertretungen gemeinsam ist. Auf ihrem Gerät öffnet ein einziges Passwort alle Zugänge, die sie dort besitzt, einschliesslich jener, die ihr von anderen Pflegefachpersonen anvertraut wurden; es gehört ausschliesslich ihr, und der Entzug eines Zugangs durch den Kunden bleibt unabhängig vom Zustand dieses Geräts voll wirksam.

Bis zu fünf (5) gleichzeitige, vom Kunden eröffnete Zugänge, alle Stellvertretungen zusammengenommen, gelten nicht als zusätzliche Plätze und werden nicht in Rechnung gestellt. Darüber hinaus ist jeder zusätzliche gleichzeitige Zugang ein Platz im Sinne dieser Klausel und von Klausel 5.1. Die Pauschale bemisst sich nach der Gesamtheit der vom Kunden eröffneten Aufträge und nicht Auftrag für Auftrag: Ein Kunde, der drei Stellvertretungen gleichzeitig führt, verfügt insgesamt über fünf kostenlose Zugänge, nicht über fünfzehn. Ein entzogener Zugang gibt seinen Platz frei: Es zählt allein die Gleichzeitigkeit, nie die Anzahl der Personen, die aufeinander gefolgt sind. Die Anwendung kündigt dem Kunden an, dass er diese Schwelle überschreitet, bevor er den Zugang eröffnet; sie verweigert ihn nie.

Tragweite präzisiert am 20.09.2026. Die frühere Fassung zählte die fünf Zugänge pro Auftrag; da nichts die Anzahl der Aufträge desselben Kunden begrenzt, vervielfachte sich die Pauschale unbegrenzt. Die Korrektur erfolgt vor jedem Inkasso gestützt auf diese Klausel und entzieht kein ausgeübtes Recht: Bis heute hat kein Kunde mehr als fünf gleichzeitige Zugänge eröffnet.

(d) Ein einziger Preis, pro Platz. Die Gebühr nach Klausel 5.1 gilt für jeden Platz, unabhängig von der Anzahl der Plätze und unabhängig von ihrer Zuordnung, vorbehaltlich einer besonderen schriftlichen Vereinbarung. Es gibt keine Gruppenpauschale: Die Praxisstufe von zwei bis vier Plätzen (CHF 109.—/Monat), die hier stand, ist am 06.09.2026 aufgehoben und wurde nie jemandem in Rechnung gestellt.

(e) Schriftlich zugesagte Kostenlosigkeit. Der Kunde, dem der Herausgeber vor dem 9. Oktober 2026 schriftlich die Kostenlosigkeit des verwalteten Dienstes versprochen hat, behält sie, zu den Bedingungen und für die Dauer dieses Versprechens: Dieser Vertrag entzieht oder verringert sie nicht, und die Gebühr nach Klausel 5.1 ist ihm nicht geschuldet. Sein Konto wird nie wegen Zahlungsverzugs sistiert (Klausel 5.4). Dieser Vertrag gewährt keine andere Kostenlosigkeit und keinen lebenslang garantierten Preis.

5.2 Zahlung und anteilsmässige Rückerstattung. Die Gebühren sind nach der vereinbarten Periodizität im Voraus zahlbar. Endet der Vertrag oder der verwaltete Dienst vor Ablauf des bezahlten Zeitraums, wird der im Voraus bezahlte und nicht genutzte Teil dem Kunden anteilsmässig zu den verbleibenden Tagen zurückerstattet, ohne Neuberechnung und ohne Kosten, namentlich bei: (a) Kündigung durch den Kunden, jederzeit (Klausel 11.1); (b) Kündigung durch den Herausgeber unter Einhaltung der Kündigungsfrist (Klausel 11.1); (c) dem Herausgeber zuzurechnenden wichtigen Gründen (Klausel 11.2), Ablehnung einer Änderung (Klauseln 12.1 und 12.2), Einstellung des verwalteten Dienstes (Klausel 11.3) oder Abtretung des Vertrags (Klausel 12.4). (Besonders hervorgehobene Klausel, 14.2 Bst. h:) Einzige Ausnahme: Bei einer Kündigung aus dem Kunden zuzurechnenden wichtigen Gründen (Klausel 11.2) verbleibt der im Voraus bezahlte Teil beim Herausgeber, wobei die zwingenden Bestimmungen vorbehalten bleiben. In der Schweiz erstattet der Herausgeber selbst zurück, durch Überweisung auf das Konto, das der Kunde angibt. Wo der Verkauf ausserhalb der Schweiz eröffnet ist, wird die Rückerstattung vom Wiederverkäufer ausgeführt (9.6), wenn möglich auf das verwendete Zahlungsmittel, einschliesslich der entsprechenden Steuer: Der Herausgeber beschliesst sie und lässt sie ausführen; die Rückerstattungsschuld gegenüber dem Kunden bleibt die seine.

5.3 Der Herausgeber kann seine Tarife nach dem Änderungsverfahren von Abschnitt 12 anpassen.

5.4 Zahlungsverzug und Sistierung. Bei einer unbezahlten Gebühr sendet der Herausgeber eine Mahnung mit einer Zahlungsfrist von zwanzig (20) Tagen; nach deren unbenütztem Ablauf kann er den verwalteten Dienst nach Ankündigung sistieren, nur soweit dieser die Synchronisierung zwischen Geräten, die verwalteten Datensicherungen und die Stellvertretung (Klausel 9.12) betrifft; ein bereits eröffneter Stellvertretungszugang wird durch die Sistierung nicht entzogen. Die Sistierung erfasst nie: den lokalen Zugang des Kunden zu seinen Daten und zur Software, den .carnet-Export, den Wiederherstellungsmechanismus, den Versand der Rechnungen an das MediData-Netz — der über den beim Kunden installierten Connector erfolgt, unter dem eigenen Zertifikat des Kunden, das der Herausgeber nicht besitzt (Klausel 9.7bis) — noch die durch die AGPLv3 eingeräumten Rechte. Die verschlüsselten Blöcke des Kunden werden nach der Sistierung mindestens neunzig (90) Tage aufbewahrt; eine Löschung erfolgt nicht ohne eine schriftliche Vorankündigung von dreissig (30) Tagen. Wo der Verkauf ausserhalb der Schweiz eröffnet ist, richtet der Herausgeber an den Kunden keine Zahlungsaufforderung: Der Wiederverkäufer (9.6) versucht die Zahlung erneut und mahnt sie an; seine Mahnungen treten an die Stelle der Mahnung, und die Sistierung erfolgt nicht vor achtundzwanzig (28) Tagen nach dem Ende des bezahlten Zeitraums. Hat der Kunde dort das Abonnement bestätigt (Klausel 5.1bis Bst. a), ohne je dessen ersten Zeitraum zu bezahlen, hat der Wiederverkäufer nichts anzumahnen: Der Herausgeber sendet ihm den Zahlungslink mit einer E-Mail, die eine Fälligkeit festlegt, frühestens zwanzig (20) Tage nach diesem Versand und nach dem Beginn dieses ersten Zeitraums, und die Folge nennt; ohne Zahlung bis zu dieser Fälligkeit wird der verwaltete Dienst von selbst sistiert, ohne weitere Ankündigung, und eine danach eingehende Zahlung hebt die Sistierung auf. Ohne diese E-Mail erfolgt aus diesem Grund keine Sistierung. Die Garantien dieser Klausel bleiben vollumfänglich bestehen.

5.5 Mehrwertsteuer (besonders hervorgehobene Klausel). Die in diesem Vertrag genannten Preise verstehen sich ohne Mehrwertsteuer. Zum heutigen Zeitpunkt ist der Herausgeber nicht mehrwertsteuerpflichtig: Sein steuerbarer Umsatz liegt unter der gesetzlichen Schwelle für die Steuerpflicht, es wird keine MWST in Rechnung gestellt und keine Vorsteuer abgezogen; die Rechnungen des Herausgebers tragen daher keine MWST-Nummer. Wird der Herausgeber steuerpflichtig, kommt die MWST zum gesetzlichen Satz von Rechts wegen zu den vereinbarten Preisen hinzu, ab dem Datum der Steuerpflicht, unter Einhaltung einer Vorankündigung von dreissig (30) Tagen; dieser Zuschlag ist keine wesentliche Änderung im Sinne von Abschnitt 12 und eröffnet kein ausserordentliches Kündigungsrecht, da der Herausgeber lediglich eine Steuer abliefert, die er von Gesetzes wegen erheben muss. Der Kunde, der eine von der Steuer ausgenommene Pflegetätigkeit ausübt, wird darauf aufmerksam gemacht, dass diese MWST für ihn endgültige Kosten darstellen wird (kein Vorsteuerabzug).

5.6 Abschluss des Abonnements — Voraussetzungen jeder Gebühr (besonders hervorgehobene Klausel). Dieser Vertrag wird ein erstes Mal bei der Erstellung des Tresors angenommen, die kostenlos und rein lokal ist. Allein deswegen ist keine Gebühr geschuldet. Der Herausgeber zieht keine Gebühr ein, bevor der Kunde auf einem gesonderten Abonnementsbildschirm:

• (a) Kenntnis genommen hat vom anwendbaren Preis (pro Platz), von der Periodizität, der Dauer, den Kündigungsmodalitäten und dem Schicksal der im Voraus bezahlten Beträge (Klausel 5.2);
• (b) informiert worden ist über die Testphase von dreissig Tagen, darüber, dass das Abonnement erst mit seiner Bestätigung beginnt (Klausel 5.1bis), über den Betrag der dann geschuldeten Gebühr und darüber, was ohne Bestätigung geschieht;
• (c) diesen Vertrag ausdrücklich angenommen hat, durch eine von der ersten Annahme getrennte Handlung (14.1 Bst. b), wobei der Bildschirm ihm die in Klausel 14.2 Buchstaben (g) bis (l) aufgezählten belastenden Klauseln wirtschaftlicher Natur hervorgehoben vorlegt;
• (c bis) mit derselben Annahme erklärt hat, mit diesem Konto keine Patientinnen und Patienten in Frankreich zu behandeln, wobei die Erklärung nach Klausel 4.1ter auf dem Abonnementsbildschirm hervorgehoben wiedergegeben wird;
• (d) eine Bestätigung per E-Mail erhalten hat, die diese Elemente, das Enddatum der Testphase (oder, wenn er noch nicht synchronisiert hat, die Regel, die es bestimmt) und die akzeptierte Vertragsversion wiedergibt.

Solange dieser Mechanismus nicht in Betrieb ist, ist die Nutzung des verwalteten Dienstes kostenlos, und dem Kunden wird keine Rechnung zugestellt.

6. Zusammenarbeit und Support

6.1 Der Herausgeber leistet in angemessenem Umfang Support auf elektronischem Weg, um dem Kunden bei der Nutzung des Dienstes zu helfen. Der Support stellt nie eine klinische Beratung dar und ersetzt nicht das berufliche Urteil des Kunden.

6.2 Der Kunde arbeitet nach Treu und Glauben mit, meldet jede Funktionsstörung unverzüglich und liefert die für die Bearbeitung seiner Anfragen nötigen Informationen. Im Rahmen des Supports dürfen dem Herausgeber keine namentlichen Patientendaten übermittelt werden; gegebenenfalls anonymisiert der Kunde seine Anfragen.

6.3 Anomalien der Informationssicherheit. Der Herausgeber unterhält einen eigenen Meldekanal () für jede Anomalie der Informationssicherheit, welche die Software oder den Dienst betrifft. Er behandelt diese Meldungen vorrangig und veröffentlicht mit der Sorgfalt einer Sorgfaltspflicht eine Korrektur oder neutralisiert die betroffene Funktion (Klausel 12.3) und informiert die Kunden, wenn die Anomalie sie betrifft (Klausel 12.1). Diese Klausel begründet keine garantierte Korrekturfrist.

7. Haftung

Besonders hervorgehobener Abschnitt (belastende Klauseln). Die Klauseln 7.4 (Beschränkung und Höchstbetrag), 7.5 (indirekte Schäden), 7.7 (Freistellung gegenüber Dritten) und 7.9 (Zero-Knowledge-Unumkehrbarkeit) beschränken oder verteilen die Haftung zum Nachteil des Kunden. Sie sind im Text hervorgehoben, im Kasten am Anfang des Vertrags in Erinnerung gerufen und auf dem Annahmebildschirm vor der Handlung, mit der er angenommen wird, vorgelegt (Abschnitt 14); der Kunde erklärt, davon Kenntnis genommen zu haben.

7.1 Erforderliches Verschulden. Die vertragliche Haftung des Herausgebers setzt eine Sorgfaltspflichtverletzung voraus (Art. 97 Abs. 1 OR). Der Kunde bleibt allein verantwortlich für seine beruflichen Entscheide, die von ihm erbrachte Pflege, die Richtigkeit der von ihm erfassten Daten und die Dokumente, die er mittels der Software erstellt, druckt oder übermittelt.

7.2 Referenzinformationen — unverbindliche Dokumentation. Die von der Software gelieferten Referenzinformationen (dokumentarische Merkblätter mit üblichen Richtwerten je Wirkstoff, administrativer Hinweis auf eine doppelte Eingabe, zitierte Skalen der Beurteilungsinstrumente, vom Kunden ERFASSTE, in der Pflegeplanung vereinbarte Grenzwerte) stellen eine allgemeine Dokumentation oder eine Einstellung des Kunden dar, hinweisend und unverbindlich, bestimmt für eine Fachperson, die die volle Herrschaft über ihr Urteil behält. Keine dieser Informationen ist blockierend; keine stellt eine ärztliche Stellungnahme, eine Diagnose, eine Verordnung oder eine verbindliche automatisierte Einzelentscheidung dar (Art. 21 DSG). Ein fehlendes Merkblatt (die Liste der erfassten Wirkstoffe ist kurz und abschliessend), ein nicht ausgelöster, unvollständiger oder fehlerhafter Hinweis kann für sich allein keinen Mangel darstellen: Das berechtigterweise erwartete Sicherheitsniveau dieser Funktionen bemisst sich nach ihrem rein dokumentarischen Charakter.

7.3 Anzeige- oder Druckfehler. Fehler, Ungenauigkeiten, Auslassungen oder Layoutmängel in den von der Software angezeigten, berechneten oder gedruckten Informationen unterstehen der Regelung von Klausel 7.4 (rechtswidrige Absicht, grobe Fahrlässigkeit und Art. 100 Abs. 2 OR vorbehalten). Vorbehalten bleibt die Prüfpflicht des Kunden (Abschnitt 4.2): Ihre Verletzung stellt ein Mitverschulden dar (Art. 44 Abs. 1 OR).

7.4 Beschränkung und Höchstbetrag (leichtes Verschulden) — besonders hervorgehobene Klausel (14.2 Bst. a). Unter Vorbehalt der zwingenden Bestimmungen — insbesondere Art. 100 Abs. 1 OR (rechtswidrige Absicht und grobe Fahrlässigkeit), Art. 100 Abs. 2 OR (Ermessen des Gerichts, wenn die Haftung aus der Ausübung einer bewilligungspflichtigen Tätigkeit folgt oder wenn der Gläubiger im Dienst des Schuldners steht) und das PrHG (SR 221.112.944), dessen Art. 8 es verbietet, die Produktehaftpflicht im Voraus auszuschliessen oder zu beschränken — ist die Haftung des Herausgebers aus leichtem Verschulden für jedes schädigende Ereignis auf den höheren der beiden folgenden Beträge beschränkt: (a) den Betrag der vom Kunden in den zwölf Monaten vor dem schädigenden Ereignis tatsächlich bezahlten Gebühren; oder (b) einen festen Mindestbetrag von CHF 10'000.—. Dieser Mindestbetrag soll jeden Vorwurf eines verdeckten Haftungsausschlusses ausschliessen. Mehrere Schäden, die auf dieselbe Ursache oder auf zusammenhängende Tatsachen zurückgehen, bilden ein einziges Ereignis, das dem Vertragsjahr zugeordnet wird, in dem die erste schädigende Tatsache eintritt. Jahreshöchstbetrag. Zusätzlich ist die Haftung des Herausgebers für sämtliche Ereignisse ein und desselben Vertragsjahres auf denselben Betrag beschränkt, berechnet am Tag der ersten schädigenden Tatsache des Jahres: Die für dieses Jahr insgesamt geschuldete Entschädigung darf ihn nicht übersteigen, und die beiden Obergrenzen werden nicht zusammengezählt. Vertragsjahr ist jeder Zeitraum von zwölf Monaten, der mit der Annahme des Vertrags durch den Kunden und dann mit jedem seiner Jahrestage beginnt. Diese Obergrenzen gelten nur für leichtes Verschulden: Sie beschränken weder die rechtswidrige Absicht noch die grobe Fahrlässigkeit (Art. 100 Abs. 1 OR) noch die Haftung, die das PrHG (Art. 8) oder eine andere zwingende Bestimmung dem Herausgeber auferlegt, und Schäden dieser Art werden nicht auf sie angerechnet.

7.5 Indirekte Schäden — besonders hervorgehobene Klausel (14.2 Bst. a). Im selben Umfang und unter denselben Vorbehalten haftet der Herausgeber nicht für indirekte Schäden oder Folgeschäden, namentlich nicht für entgangenen Gewinn, Verlust von Kundschaft, Betriebsschaden, Schaden aus einer Verzögerung, einer Ablehnung oder einem Fehler der Abrechnung, noch für den nicht dem Herausgeber zuzurechnenden Verlust oder die Beschädigung von Daten.

7.6 Hilfspersonen und Unterauftragnehmer (Art. 101 Abs. 2 und 3 OR). Die Haftung des Herausgebers für seine Hilfspersonen und Unterauftragnehmer (namentlich den Hosting-Anbieter, den Anbieter der blinden Synchronisierung und den Verwahrer) ist gemäss Art. 101 Abs. 2 OR im selben Umfang beschränkt wie seine eigene Haftung und für deren leichtes Verschulden ausgeschlossen. Die Parteien anerkennen, dass das Gericht gemäss Art. 101 Abs. 3 OR befugt bleibt, die Gültigkeit dieses Ausschlusses zu beurteilen, wenn die Haftung aus der Ausübung einer bewilligungspflichtigen Tätigkeit folgt. Rechtswidrige Absicht und grobe Fahrlässigkeit bleiben vorbehalten.

7.7 Ansprüche Dritter (Patientinnen und Patienten) — begrenzte Freistellung (Art. 41 OR) — besonders hervorgehobene Klausel (14.2 Bst. b). Dritte, insbesondere Patientinnen und Patienten, sind nicht Parteien dieses Vertrags. Der Kunde hält den Herausgeber schadlos und stellt ihn von jedem Anspruch frei, den ein Dritter (Patientin oder Patient, Angehörige, Versicherer, Behörde, Arbeitgeber) im Zusammenhang mit der Nutzung der Software durch den Kunden, seinen Pflegeentscheiden, den von ihm erfassten Daten oder den von ihm erstellten, übermittelten oder aufbewahrten Dokumenten erhebt, einschliesslich angemessener Verteidigungskosten. Diese Freistellung greift in keinem Fall — auch nicht bei leichtem Verschulden des Herausgebers — für die Haftung, die das PrHG oder eine andere zwingende Bestimmung dem Herausgeber auferlegt (namentlich Tod und Körperverletzung), noch für rechtswidrige Absicht oder grobe Fahrlässigkeit des Herausgebers, noch für einen eigenen Mangel der Software. Die Freistellung ist auf Ansprüche beschränkt, die aus dem Verhalten, der Nutzung, den Daten oder den Entscheiden des Kunden entstehen.

7.8 Höhere Gewalt und unverschuldete Verhinderung (Art. 97, 103, 119 OR). Der Herausgeber haftet nicht für die Nichterfüllung oder die Verspätung infolge eines Ereignisses, das er vernünftigerweise weder vorhersehen noch überwinden konnte (Netz- oder Stromunterbruch, Ausfall eines Hosting-Anbieters oder eines Drittdienstes, Cyberangriff, behördliche Verfügung, Epidemie, Katastrophe). Für die Dauer einer solchen unverschuldeten Verhinderung ist der Herausgeber nicht im Verzug (Art. 103 Abs. 2 OR), und die betroffenen Pflichten sind ausgesetzt.

7.9 Zero-Knowledge-Charakter — unverschuldeter Datenverlust — besonders hervorgehobene Klausel (14.2 Bst. c). Der Kunde anerkennt und akzeptiert, dass der Herausgeber die Daten weder lesen noch wiederherstellen und kein Passwort zurücksetzen kann. Der gleichzeitige Verlust des Passworts und des Wiederherstellungsschlüssels führt zum endgültigen und unumkehrbaren Verlust der Daten. Der Herausgeber haftet nicht für diesen Verlust, wenn er auf mangelnde Sorgfalt des Kunden bei der Verwahrung zurückgeht (Verlust, Vergessen oder Preisgabe seines Passworts oder seines Wiederherstellungsschlüssels), wobei grobe Fahrlässigkeit und rechtswidrige Absicht des Herausgebers bei der Konzeption des Mechanismus des Wiederherstellungsschlüssels oder der Verwahrung vorbehalten bleiben. Die Parteien sind sich einig, dass die Unzugänglichkeit für den Herausgeber eine gewollte Eigenschaft des Produkts ist und kein Fehler im Sinne von Art. 4 PrHG oder der vertraglichen Gewährleistung.

7.10 Gewährleistung für Mängel. Da der Vertrag ein Innominatvertrag auf Dauer über fortlaufende Informatikdienstleistungen ist (Abschnitt 2.1), richtet sich die Haftung nach Art. 97, 100 und 101 OR. Die Software wird « wie besehen » geliefert; der Herausgeber gewährleistet weder, dass sie völlig fehlerfrei ist, noch, dass sie sich für einen bestimmten, nicht vereinbarten Gebrauch eignet, abgesehen von den in diesem Vertrag vorgesehenen Korrekturverpflichtungen. Vorbehalten bleiben in jedem Fall Art. 100 (Abs. 1 und 2) und 101 OR, das PrHG und — soweit das Kaufrecht dennoch angewendet würde — Art. 199 OR (Nichtigkeit des Ausschlusses bei arglistigem Verschweigen eines Mangels).

7.11 Produktehaftpflicht — Vorbehalt und Transparenz (besonders hervorgehobene Klausel, 14.2 Bst. f bis). Der Kunde wird darüber informiert, dass die Haftung des Herausgebers für einen durch einen Fehler des Produkts verursachten Schaden infolge Tod oder Körperverletzung durch das PrHG (SR 221.112.944) geregelt ist, von dem durch Vereinbarung nicht abgewichen werden kann (Art. 8 PrHG). Keine Bestimmung dieses Vertrags kann diese Haftung oder jene für rechtswidrige Absicht oder grobe Fahrlässigkeit (Art. 100 Abs. 1 OR) ausschliessen oder beschränken. Das PrHG deckt nur Tod, Körperverletzung und Schäden an Sachen zum privaten Gebrauch (Selbstbehalt von CHF 900.—, Art. 6 PrHG); der eigene Vermögensschaden des Kunden bleibt den Abschnitten 7.4 und 7.5 unterstellt. Da der Herausgeber zum Zeitpunkt dieser Version nicht versichert ist (Klausel 3.5), geht dieser Schaden zulasten seines Vermögens; versichert oder nicht, trägt er ihn in vollem Umfang, den das PrHG vorsieht, ohne Beschränkung auf den Höchstbetrag von Klausel 7.4.

7.12 Updates und Entwicklungsrisiko (Art. 5 PrHG) — besonders hervorgehobene Klausel (14.2 Bst. k). Der Herausgeber haftet nicht für Schäden aus der Nutzung einer veralteten Version, aus einem durch ein zur Verfügung gestelltes und nicht installiertes Update bereits behobenen Mangel oder aus einer vom Herausgeber nicht genehmigten Änderung der Software oder ihrer Ausführungsumgebung, in den Grenzen des zwingenden Rechts.

7.13 Salvatorische Klausel (Reduktion auf das zulässige Mass). Sollte eine Klausel dieses Vertrags, insbesondere eine Beschränkung oder ein Ausschluss der Haftung oder der Gewährleistung, für nichtig, ungültig oder nicht durchsetzbar befunden werden, so würde sie nicht gestrichen, sondern vom Gericht auf die vom zwingenden Recht zugelassene maximale Tragweite reduziert, ohne dass die Gültigkeit der übrigen Klauseln berührt wird. Jede in diesem Vertrag vorgesehene Beschränkung gilt im weitesten vom Gesetz zugelassenen Umfang.

8. Geistiges Eigentum und Lizenz AGPLv3

8.1 Inhaberschaft (Art. 2 Abs. 3 und 10 URG). Die Software « Carnet » (Quell- und Objektcode, Schnittstellen, Dokumentation, originale grafische Elemente) ist ein geschütztes Werk. Der Herausgeber bleibt alleiniger Inhaber der Urheberrechte daran, unter Vorbehalt der Rechte beitragender Dritter; die Beiträge Dritter unterstehen der mit dem Repository veröffentlichten Beitragsrichtlinie (CONTRIBUTING.md: DCO, Einreichung unter AGPL-3.0-or-later). Dieser Vertrag bewirkt keine Abtretung dieser Rechte; weder die Unterzeichnung noch die Bezahlung der Gebühren noch die Nutzung begründen zugunsten des Kunden irgendein Recht des geistigen Eigentums an der Software.

8.2 Freie Lizenz. « Carnet » wird unter der AGPLv3 veröffentlicht. Der Kunde geniesst frei und kostenlos die Rechte, die diese Lizenz einräumt (Ausführung, Studium, Änderung, Weiterverbreitung des Codes, zu den Bedingungen der AGPLv3, namentlich ihres Art. 13). Dieser Vertrag schränkt diese Rechte nicht ein, setzt sie nicht aus und knüpft sie an keine Bedingung; im Widerspruchsfall geht die AGPLv3 für die Nutzung des Codes vor (gemäss dem Verbot « weiterer Einschränkungen » der AGPLv3 §10).

8.3 Keine Hintertür. Der Herausgeber gewährleistet, dass « Carnet » nach einer Zero-Knowledge-Architektur konzipiert ist: Der Herausgeber verfügt über keinen globalen Administratorzugang, kein Masterpasswort, keine Hintertür und kein technisches Mittel, das es ihm allein oder zusammen mit dem Server erlauben würde, die Daten des Kunden zu lesen, zu entschlüsseln oder an Dritte zu übermitteln (der allein wirkungslose Verwahrungsschlüssel des Wiederherstellungsmechanismus ist in den Abschnitten 1.3 und 10.5 beschrieben). Der Synchronisierungsserver beherbergt nur unverständliche verschlüsselte Blöcke. Der freie Charakter des Codes erlaubt es dem Kunden oder jedem Dritten seiner Wahl, das Fehlen einer Hintertür zu überprüfen.

8.4 Herrschaft über die Daten des Kunden und Reversibilität. Die vom Kunden erfassten, erzeugten oder importierten Daten, einschliesslich des verschlüsselten Journals und der namentlichen Daten der Patientinnen und Patienten, bleiben unter der ausschliesslichen Herrschaft des Kunden, des Verantwortlichen im Sinne des DSG (SR 235.1). Die Parteien verwenden bewusst den Begriff der Herrschaft und nicht jenen des Eigentums: Das schweizerische Recht kennt kein Eigentumsrecht an Daten, und die betroffenen Personen behalten in jedem Fall ihre eigenen Rechte (Auskunftsrecht, Art. 25 DSG; Pflicht zur Rechenschaftsablegung im Auftrag, Art. 400 Abs. 1 OR). Der Herausgeber erwirbt an diesen Daten kein Recht auf Nutzung, Analyse, Verwertung oder Abtretung.

8.4bis Zwei verschiedene Werkzeuge — nicht zu verwechseln. Die Software bietet zwei Exporte, die weder denselben Empfänger noch denselben Zweck haben:

(a) Die « .carnet »-Datensicherung — nur für den Kunden. Jederzeit und kostenlos exportiert der Kunde seinen gesamten Tresor in eine .carnet-Datei. Diese Datei ist unter seinem eigenen Hauptschlüssel verschlüsselt: Sie lässt sich nur in seinem eigenen Konto wiederherstellen, mittels seines Passworts, seines Wiederherstellungsschlüssels oder seines Wiederherstellungsblatts, und die Software des Herausgebers ist heute die einzige, die sie lesen kann (ihr Format ist im öffentlichen Quellcode beschrieben, was es jedermann erlaubt, ein Leseprogramm dafür zu schreiben, doch ein solches Leseprogramm muss erst noch geschrieben werden). Sie enthält die Dokumentationen aller Patientinnen und Patienten des Kunden. Sie bildet daher seine vollständige Datensicherung und, gegenüber dem Herausgeber, seine vollständige Herausgabe — da der Herausgeber nichts anderes herauszugeben hat, das er lesen könnte. Diese Datei ist weder für eine Patientin oder einen Patienten bestimmt noch an sie oder ihn herausgebbar: Sie ihr oder ihm zu übergeben, wäre zugleich nutzlos (sie oder er kann sie nicht öffnen) und eine Verletzung des Berufsgeheimnisses gegenüber allen anderen Patientinnen und Patienten.

(b) Das « Vollständige Patientendossier — Auskunftsrecht (Art. 25 DSG) » — für die Patientin oder den Patienten. Die Software erstellt pro Patientin oder Patient und nach Auswahl der Rubriken ein lesbares Dokument — PDF, ODT oder DOCX — mit dem Titel « Dossier complet du patient — droit d'accès (art. 25 LPD) » (Vollständiges Patientendossier — Auskunftsrecht), das den gesamten Verlauf und auf Wunsch die Fotografien von Wunden umfasst. Dieser Export ist es, den der Kunde einer Person übergibt, die ihre Rechte ausübt.

8.4ter Auskunftsrecht der Patientinnen und Patienten — Rollenverteilung. Der Kunde bleibt Schuldner des Auskunftsrechts seiner Patientinnen und Patienten: Der Verantwortliche, der einen Auftragsbearbeiter beizieht, bleibt auskunftspflichtig (Art. 25 Abs. 4 DSG). Die technische Unmöglichkeit des Herausgebers schafft daher keine Lücke — die Pflicht hat den Kunden, der als Einziger entschlüsseln kann, nie verlassen. Die Parteien erinnern daran, dass niemand im Voraus auf das Auskunftsrecht verzichten kann (Art. 25 Abs. 5 DSG), dass die Auskünfte grundsätzlich kostenlos und innert dreissig (30) Tagen erteilt werden (Art. 25 Abs. 6 und 7 DSG) und dass Gesundheitsdaten der betroffenen Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden können (Art. 25 Abs. 3 DSG) — eine nützliche Möglichkeit bei einer heiklen Anfrage. Das Recht auf Herausgabe oder Übertragung der Daten (Art. 28 DSG) wird ebenso beim Kunden ausgeübt, der als Einziger in der Lage ist, ihm nachzukommen.

8.5 Kennzeichen und Integrität der offiziellen Version. Das Logo und die übrigen originalen grafischen Elemente des Herausgebers sind urheberrechtlich geschützte Werke; sie fallen nicht unter die AGPLv3 (Vorbehalte von Abschnitt 7 Bst. d und e dieser Lizenz zur Verwendung von Namen zu Werbezwecken und zu Marken) und bleiben Eigentum des Herausgebers. Die Bezeichnung « Carnet » wird vom Herausgeber als Kennzeichen seines Produkts verwendet; bis heute ist keine Marke eingetragen, und der Herausgeber beansprucht kein Markenrecht. Der Kunde darf diese Zeichen verwenden, um die Software in der gelieferten Form zu bezeichnen. Wer den Code ändert und weiterverbreitet, muss seine Änderungen kenntlich machen und darf eine geänderte Version weder als offizielle Version ausgeben noch die Kennzeichen in verwechselbarer Weise verwenden. Der Herausgeber haftet weder für das Funktionieren noch für die Sicherheit noch für die Konformität einer von einem Dritten geänderten oder verbreiteten Version.

8.6 Verteilung der regulatorischen Last bei Änderung. Gemäss den Freiheiten der AGPLv3 kann der Kunde den Code ändern. Wer die Software ändert und ihr einen medizinischen Zweck im Sinne von Art. 3 MepV / Art. 2 Ziff. 30 MDR verleiht, wird selbst Hersteller und trägt allein sämtliche regulatorischen Pflichten. Diese Klausel verbietet die Änderung nicht (durch die AGPLv3 garantiertes Recht); sie verteilt die daraus folgende regulatorische Verantwortung.

8.7 Fortbestand durch den Quellcode. Aufgrund der Veröffentlichung unter AGPLv3 behält der Kunde, unabhängig vom Fortbestand des Herausgebers oder von der Weiterführung des verwalteten Dienstes, das Recht, « Carnet » ausgehend vom veröffentlichten Quellcode selbst oder durch einen beliebigen Dritten auszuführen, hosten und warten zu lassen. Die Beendigung des Vertrags, aus welchem Grund auch immer, lässt dieses Recht nicht erlöschen.

8.8 Gewährleistung « wie besehen » und zwingender Vorbehalt. Da die Software unter einer freien Lizenz geliefert wird, wird sie « wie besehen » zur Verfügung gestellt, ohne Gewährleistung der Qualität oder der Eignung für einen bestimmten Gebrauch, in den Grenzen des anwendbaren Rechts (AGPLv3, Abschnitte 15 bis 17). Ausdrücklich vorbehalten bleiben Art. 100 Abs. 1 und 2 OR, Art. 101 OR, das PrHG (Art. 8, unabdingbar) und das Recht des Kunden auf die für die Interoperabilität erforderlichen Informationen (Art. 21 URG). Im Übrigen richtet sich die Haftung im Zusammenhang mit der Software nach Abschnitt 7.

9. Datenschutz (integrierter Auftragsbearbeitungsvertrag — DSG SR 235.1, DSV SR 235.11)

9.1 Rollen. Der Kunde ist alleiniger Verantwortlicher (Art. 5 Bst. j DSG) für die Daten seiner Patientinnen und Patienten: Er bestimmt deren Zwecke und Mittel, trägt die Verantwortung für die Rechtmässigkeit (Art. 6 und 8 DSG) und bleibt Träger des Berufsgeheimnisses (Art. 321 StGB).

9.2 Auftragsbearbeitung an den verschlüsselten Blöcken. Allein für den Dienst der Synchronisierung und der Aufbewahrung von Datensicherungen handelt der Herausgeber als Auftragsbearbeiter (Art. 5 Bst. k und 9 DSG), ausschliesslich an Ende-zu-Ende-verschlüsselten Blöcken, die er nicht entschlüsseln kann. Konzeptbedingt hat er keinerlei Zugriff auf Gesundheitsdaten im Klartext noch auf die Identitäten der Patientinnen und Patienten. Diese Qualifikation als Auftragsbearbeiter wird vorsorglich gewählt und erstreckt sich nur auf diese Vorgänge an verschlüsselten Daten.

9.3 Eigenständiger Verantwortlicher für technische Metadaten. Für die ihm eigenen Metadaten und Daten — Zeitstempel und Volumen der Synchronisierung, Kopplungsdaten und Abrechnungsdaten des Kunden — handelt der Herausgeber als eigenständiger Verantwortlicher, gestützt auf die Rechtsgrundlage der Vertragserfüllung und der Sicherheit des Systems (Art. 31 DSG). Diese Bearbeitungen unterstehen nicht der Regelung der alleinigen Weisung des Kunden; der Kunde wird durch diesen Vertrag darüber informiert. Diese Daten umfassen keine Patientendaten. Die Zugriffsprotokolle der Server sind deaktiviert: Die IP-Adresse wird nur im Arbeitsspeicher bearbeitet, allein zur Begrenzung der Anfragerate, und nicht gespeichert. Einzige Ausnahme ist der Kontowiederherstellungsdienst: Jeder seiner Schritte — Einrichtung, Änderung der Verifizierungsnummer, Hinzufügen oder Widerruf eines Wiederherstellungskontakts, Deaktivierung des Dienstes, Anfrage, Veto, Auslieferung — wird mit einem mit geheimem Schlüssel berechneten Fingerabdruck der Adresse (seit dem 23.09.2026; zuvor die Adresse selbst) und dem Datum in einem Journal festgehalten, das nichts ändern oder löschen kann, zum Schutz gegen eine betrügerische Anfrage. Derselben Regelung unterstehen die im Rahmen des Verfahrens zur Freigabe der Wiederherstellung (Klausel 9.11) bearbeiteten Daten: Telefonnummer zur Verifizierung, am Tag der Anfrage vorgelegte Elemente zur Identitätsprüfung und Journal des Verfahrens — eigene Bearbeitungen des Herausgebers, die zum Schutz des Kunden selbst erforderlich sind.

9.4 Weisungen und Vertraulichkeit. An den verschlüsselten Blöcken bearbeitet der Herausgeber nur auf dokumentierte Weisung des Kunden und allein zu den Zwecken des Dienstes (Art. 9 Abs. 1 DSG). Der Herausgeber, seine Organe und seine Hilfspersonen sind zur Vertraulichkeit verpflichtet, auch in Bezug auf die Metadaten; diese Pflicht überdauert den Vertrag. Der Herausgeber unterlässt jeden Versuch der Entschlüsselung, Verknüpfung oder Re-Identifizierung der aufbewahrten Daten sowie jede Verwendung zu eigenen Zwecken.

9.5 Sicherheit (Art. 8 DSG, Art. 1 bis 4 DSV). Der Herausgeber gewährleistet eine dem Risiko angemessene Sicherheit: Ende-zu-Ende-Verschlüsselung (ohne einen Schlüssel zu besitzen), TLS, Abschottung und Beschränkung der Administrationszugriffe, verschlüsselte externe Datensicherungen, in Klausel 9.7 beschriebenes Hosting. Er hält diese Massnahmen auf dem Stand der Technik. Der Kunde anerkennt, dass die Stärke des Schutzes massgeblich auf der Vertraulichkeit seines Passworts und seines Wiederherstellungsschlüssels beruht, die er als Einziger besitzt.

9.6 Weitere Auftragsbearbeitung (Art. 9 Abs. 3 DSG). Der Kunde erteilt eine allgemeine Genehmigung für den Beizug weiterer Auftragsbearbeiter (Hosting, Infrastruktur), unter der Bedingung, dass jeder gleichwertigen Pflichten unterstellt ist. Der Herausgeber informiert den Kunden auf einem dauerhaften Datenträger über jede Hinzufügung oder Ersetzung vor deren Umsetzung, sodass der Kunde aus wichtigen Gründen widersprechen kann; bei einem begründeten, nicht ausgeräumten Widerspruch kann der Kunde den betroffenen Dienst kündigen. Der Herausgeber haftet für die gehörige Erfüllung der Pflichten des weiteren Auftragsbearbeiters wie für seine eigenen.

Zahlungsdienstleister. Wo der Verkauf ausserhalb der Schweiz eröffnet ist, wird der Preis des verwalteten Dienstes von einem Wiederverkäufer (« Merchant of Record ») verkauft und eingezogen, den die Bedingungen des verwalteten Dienstes ausserhalb der Schweiz und die Zahlungsseite im Zeitpunkt des Verkaufs nennen (zum Zeitpunkt dieser Version ist der Wiederverkäufer Paddle.com Market Limited, London, in den Ländern ausserhalb der Schweiz, die die Preisseite als offen bezeichnet): Er verkauft in eigenem Namen, erhebt die Steuer des Landes des Kunden, verlängert, mahnt und erstattet zurück. Für die Zahlungsdaten, die der Kunde ihm selbst angibt, handelt dieser Dienstleister als unabhängiger Verantwortlicher, nach seinen eigenen Bedingungen; er ist kein Auftragsbearbeiter der Daten der Patientinnen und Patienten und erhält weder verschlüsselte Blöcke noch Patientendaten. Der Herausgeber teilt ihm nur die undurchsichtige Kennung des Synchronisierungskontos des Kunden mit, um eine Zahlung diesem Konto zuzuordnen, sowie die Rückerstattungen, die er beschliesst. Die Regelung über Information und Widerspruch des ersten Absatzes gilt für diesen Dienstleister wie für einen weiteren Auftragsbearbeiter: Der Herausgeber informiert den Kunden auf einem dauerhaften Datenträger über jede Ersetzung des Zahlungsdienstleisters oder jede Hinzufügung eines zweiten Dienstleisters, vor deren Umsetzung; der Kunde kann aus wichtigen Gründen widersprechen und, wenn keine Lösung gefunden wird, den verwalteten Dienst kündigen, wobei ihm der im Voraus bezahlte und nicht genutzte Teil anteilsmässig zurückerstattet wird (5.2). In der Schweiz verkauft der Herausgeber selbst, ohne Zahlungsdienstleister.

9.7 Standort. Die dem Herausgeber anvertrauten verschlüsselten Blöcke werden auf Infrastrukturen in der Schweiz gehostet. Keine Patientendaten — verschlüsselt oder im Klartext — werden ins Ausland bekanntgegeben, abgesehen von allfälligen verschlüsselten Datensicherungen, die in einen Staat mit angemessenem Schutz (Art. 16 Abs. 1 DSG) oder gestützt auf eine Garantie nach Art. 16 Abs. 2 DSG repliziert werden, worüber der Kunde vorgängig informiert wird. Die namentlichen Identitäten der Patientinnen und Patienten sind weder für den Herausgeber noch für den Server je lesbar und werden nie fortlaufend synchronisiert. Sie zirkulieren nur über vier versiegelte Kanäle, alle Ende-zu-Ende-verschlüsselt und für den Herausgeber wie für den Server undurchsichtig: ① die vom Kunden ausgelöste punktuelle Übertragung von Gerät zu Gerät, versiegelt an das einzige Empfängergerät, mit menschlicher Überprüfung; ② die Kontowiederherstellung — bei der Aktivierung der Synchronisierung angeboten, wobei die Anwendung die Frage stellt und ohne ausdrückliche Wahl nichts aktiviert, ablehnbar und jederzeit widerrufbar, wobei diese Wahl gespeichert wird —, die auf dem Server einen ÜBER-VERSIEGELTEN Umschlag ablegt (verschlüsselt unter dem Hauptschlüssel des Kunden und dann an den Schlüssel der Kontowiederherstellung versiegelt), der ausschliesslich auf dem Gerät des Kunden durch die Zusammenführung seiner 8 Wiederherstellungswörter und des vom Herausgeber gehaltenen Anteils entschlüsselt werden kann und erst nach einer Karenzfrist freigegeben wird; der Server besitzt nur inerte Blöcke; ③ die Stellvertretung (« Stellvertretungsmodus », Klausel 9.12), welche die Identitäten und Dokumentationen der vom Kunden selbst ausgewählten Patientinnen und Patienten an die Geräte der bezeichneten Stellvertretung versiegelt; ④ das Sicherheitsnetz des Stellvertretungsmodus, das auf dem Server allein die Identitäten der anvertrauten Patientinnen und Patienten ablegt, verschlüsselt unter einem aus dem Passkey der Stellvertretung abgeleiteten Schlüssel — den der Server nicht rekonstruieren kann —, befristet auf das Ende des Auftrags und vernichtet durch den Entzug ihres Zugangs wie durch den Abschluss. Es besteht, damit eine Stellvertretung, die mitten in der Stellvertretung ihr Gerät verliert, die anvertrauten Dokumentationen wiederfindet, ohne dass der Kunde alles neu beginnen muss.

Ein Fluss entzieht sich diesen Kanälen und ist weder versiegelt noch undurchsichtig: die Rechnung an die Versicherung, die IM KLARTEXT übermittelt wird. Art. 42 KVG verpflichtet den Leistungserbringer, dem Versicherer eine detaillierte Rechnung zuzustellen; diese enthält zwangsläufig Name, Vorname, Geburtsdatum, Geschlecht, AHV-Nummer und Adresse der versicherten Person, die verrechneten Leistungen, Identität und Adresse der verordnenden Ärztin oder des verordnenden Arztes sowie eine medizinische Angabe in Freitext (bis zu 350 Zeichen). Diese Übermittlung ist gesetzlich vorgeschrieben und an den Versicherer gerichtet, der selbst an das Geheimnis gebunden ist. Der Kunde löst sie SELBST von seinem eigenen Gerät aus, zum MediData-Netz; der Inhalt des Felds der medizinischen Angabe liegt in seinem alleinigen Ermessen und unter seiner Pflicht zur Verhältnismässigkeit.

9.7bis Der Versandconnector — Architekturverpflichtung (wesentliche Klausel).

(a) Regel. Die Rechnung einer Patientin oder eines Patienten läuft nie über eine Infrastruktur des Herausgebers. Die Parteien sind sich einig, dass diese Regel ein wesentliches Merkmal des Produkts ist und keine technische Modalität: Sie bewirkt, dass der Herausgeber nie mit dem Inhalt einer namentlichen Rechnung in Berührung kommt. Der Herausgeber verpflichtet sich, sie aufrechtzuerhalten; er könnte davon nur mit der ausdrücklichen und vorgängigen Zustimmung des Kunden abweichen, eingeholt nach dem Verfahren für wesentliche Änderungen (Klausel 12.2), wobei Schweigen nie als Annahme gilt.

(b) Wie es funktioniert. Der direkte Versand an das MediData-Netz erfolgt mittels eines Connectors, eines kleinen freien Programms, das vom Herausgeber geliefert und auf dem Computer des Kunden installiert wird. Auf Anordnung des Kunden übergibt die Software ihm die Rechnung über eine diesem Computer eigene Schnittstelle; der Connector übermittelt sie direkt an das Netz und meldet die Antwort des Versicherers an die Software zurück. Der Kunde kann ihm zudem ausdrücklich einen lokalen Ordner bezeichnen, aus dem der Connector die dort abgelegten Rechnungen versendet; ohne eine solche Bezeichnung wird kein Ordner überwacht. Der manuelle Export der offiziellen Datei, die der Kunde selbst im Portal seiner Wahl einreicht, bleibt jederzeit verfügbar: Fällt der Connector oder das Netz aus, wird die Abrechnung nie blockiert.

(c) Was der Herausgeber erfährt. Nichts. Der Connector kommuniziert mit keinem Server des Herausgebers: Der Herausgeber erfährt weder, dass er gestartet ist, noch, dass eine Rechnung versandt wurde, noch irgendeine Rechnung, Patientin oder Patienten, Betrag oder IP-Adresse.

(d) Das Zugangszertifikat zum Netz. MediData authentifiziert den Connector mittels des eigenen Client-Zertifikats des Kunden, das dieser im Rahmen seines eigenen Anschlusses unter seiner Anschlusskennung selbst von MediData erhält. Dieses Zertifikat und sein privater Schlüssel bleiben auf dem Computer des Kunden; sie werden weder dem Herausgeber übermittelt noch von ihm aufbewahrt, und der Herausgeber besitzt kein Zertifikat, das es ihm erlauben würde, im Namen des Kunden eine Rechnung zu versenden oder die an ihn gerichteten Antworten zu lesen. Daraus folgt: (i) Der Kunde wird durch ein ihm eigenes Geheimnis authentifiziert; (ii) der Herausgeber kann den direkten Versand, den die Sistierung nach Klausel 5.4 nicht erfasst, weder sistieren noch unterbrechen; (iii) die Erneuerung des Zertifikats bei seinem Ablauf obliegt dem Kunden bei MediData, wobei der Connector ihm den Ablauf anzeigt.

9.8 Verletzung der Datensicherheit (Art. 24 DSG). Der Herausgeber meldet dem Kunden unverzüglich und spätestens innert achtundvierzig (48) Stunden, nachdem er davon Kenntnis erlangt hat, jede Verletzung, welche die anvertrauten Daten betrifft; die Meldung wird an die vom Kunden mitgeteilte E-Mail-Adresse gerichtet und, falls keine vorliegt, durch Anzeige in der Anwendung; der Herausgeber ist dazu unter der Adresse erreichbar. Die Meldung nennt mindestens die Art der Verletzung, die Kategorien und die Grössenordnung der betroffenen Daten, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen sowie eine Kontaktstelle; sie wird laufend ergänzt, wenn nicht alles von Anfang an bekannt ist — eine unvollständige Tatsache rechtfertigt kein Abwarten. Die Pflicht des Herausgebers gegenüber dem Kunden ergibt sich aus Art. 24 Abs. 3 DSG. Zwei Schutzbestimmungen zugunsten des Kunden werden in Erinnerung gerufen: Eine gestützt auf Art. 24 DSG erstattete Meldung darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden (Art. 24 Abs. 6 DSG) — was für den an das Berufsgeheimnis gebundenen Kunden (Art. 321 StGB) von Bedeutung ist; und der Kunde kann die Information der betroffenen Personen einschränken, aufschieben oder darauf verzichten, wenn eine Geheimhaltungspflicht dies erfordert (Art. 24 Abs. 5 DSG). Die Ende-zu-Ende-Verschlüsselung der Blöcke ist ein massgeblicher Faktor bei der Beurteilung des Risikos für die betroffenen Personen — wobei diese Beurteilung einzelfallbezogen bleibt und letztlich dem Kunden (Verantwortlicher) obliegt, dem der Herausgeber angemessene Unterstützung leistet. Der Herausgeber dokumentiert jede Verletzung und die getroffenen Massnahmen und bewahrt diese Dokumentation mindestens zwei (2) Jahre auf (Art. 15 DSV).

9.9 Rechte der betroffenen Personen, Verzeichnis. Die Anfragen der Patientinnen und Patienten (Art. 25 ff. DSG) werden vom Kunden behandelt, der als Einziger die Daten entschlüsseln und identifizieren kann; der Herausgeber, der keinen Zugriff auf den Inhalt hat, ist dazu nicht verpflichtet und leitet jede erhaltene Anfrage unverzüglich an den Kunden weiter. Der Herausgeber liefert dem Kunden auf Anfrage die für dessen Verzeichnis erforderlichen Informationen (Art. 12 DSG). Der Kunde, der Gesundheitsdaten bearbeitet (Art. 5 Bst. c Ziff. 2 DSG), wird darauf aufmerksam gemacht, dass es ihm obliegt, sein eigenes Verzeichnis zu führen, da ihm die Ausnahme nach Art. 24 DSV möglicherweise nicht zukommt.

9.10 Löschung bei Vertragsende. Der Herausgeber löscht oder anonymisiert die von ihm aufbewahrten verschlüsselten Blöcke innert angemessener Frist nach Vertragsende, unter Vorbehalt der technisch unbedingt erforderlichen Fristen (Protokolle, rotierende Datensicherungen) und seiner eigenen gesetzlichen Pflichten. Da die Löschung Daten betrifft, die für den Herausgeber ohnehin unverständlich sind, beeinträchtigt sie die Fähigkeit des Kunden nicht, über seine Daten mittels seines Exports zu verfügen. Auf Anfrage bestätigt der Herausgeber die Löschung schriftlich.

9.11 Wiederherstellungs- und Verwahrungsdienst (besonders hervorgehobene Klausel, 14.2 Bst. f). Ist die Kontowiederherstellung aktiv (bei der Aktivierung der Synchronisierung angeboten, ohne vorausgewählte Option, ablehnbar und widerrufbar — Abschnitt 10.5), bewahrt der Herausgeber für den Kunden auf: den versiegelten kryptografischen Anteil des Mechanismus, den über-versiegelten Umschlag (Identitäten inbegriffen) und die Telefonnummer zur Verifizierung; der Server besitzt nur unverständliche Blöcke, die kein vom Herausgeber gehaltenes Element allein oder zusammen mit dem Server zu entschlüsseln erlaubt. Das Freigabeverfahren umfasst grundsätzlich: eine Karenzfrist von standardmässig zweiundsiebzig (72) Stunden, mit einer unverrückbaren Untergrenze von vierundzwanzig (24) Stunden, die fest im Code des Servers verankert ist — keine Einstellung kann sie senken, nur verlängern —, die Benachrichtigung der aktiven Geräte des Kunden mit Vetorecht, eine Identitätsprüfung vor jeder Freigabe (Videoanruf allein an die bei der Einrichtung erfasste Nummer, vorgelegter Ausweis oder persönliches Treffen) und die Führung eines unveränderbaren Journals (append-only) jedes Schritts. Das Journal des Verfahrens wird zehn (10) Jahre aufbewahrt; bei Widerruf (Opt-out) werden die aufbewahrten Elemente vernichtet, und der Herausgeber bestätigt dies auf Anfrage schriftlich. Dieser Dienst wird aus Sicht der Daten in der Datenschutzerklärung (Abschnitt 2) beschrieben.

9.12 Stellvertretung (« Stellvertretungsmodus ») — Bekanntgabe von Daten, die dem Berufsgeheimnis unterliegen. Das Wort « Stellvertretung » bezeichnet hier die berufliche Vertretung (im französischen Original « relève »); es hat nichts mit der Freistellung gegenüber Dritten nach Klausel 7.7 zu tun, die das französische Original ebenfalls « relève » nennt.

(a) Was die Software tut. Vertraut der Kunde seine Tour ganz oder teilweise einer Stellvertretung an, übermittelt die Software dieser, in an ihre Geräte versiegelter Form, die Dokumentation allein der vom Kunden bezeichneten Patientinnen und Patienten, Identitäten inbegriffen, solange der Zugang, den der Kunde ihr eröffnet hat, offen ist — ein Zugang, den er jederzeit erweitern, befristen oder widerrufen kann und der erlischt durch den Abschluss der Stellvertretung, durch den Entzug allein dieses Zugangs, durch seinen Widerruf oder von selbst 90 Tage nach dem vorgesehenen Ende des Auftrags (Sicherheitsnetz gegen das Vergessen; ein Auftrag ohne Ende hat keines).

Der Kunde kann mehrere Stellvertretungen für denselben Auftrag berufen. Das Synchronisierungskonto ist dann dem Auftrag gewidmet; jede erhält dort einen persönlichen Zugang — eigener Link, eigenes Token und eigener Signaturschlüssel —, den der Kunde getrennt entziehen kann, ohne jenen der anderen zu unterbrechen. Die Dokumentation des Auftrags ist gemeinsam: Jede liest und ergänzt, was die anderen schreiben, und jeder Eintrag trägt den Namen und die Signatur der Person, die ihn verfasst hat. Allein der Kunde beruft eine Stellvertretung für einen Auftrag; eine Stellvertretung kann niemanden dazu berufen. Die Stellvertretung führt die Dokumentation dieser Patientinnen und Patienten wie der Kunde, wobei jeder ihrer Einträge ihren Namen und ihre Signatur trägt; die Bedarfsmeldung an den Versicherer (OPAS 7) bleibt beim Kunden, der für den Auftrag einsteht: Die Stellvertretung sieht sie ein und kann sie drucken, ohne sie ändern zu können. Der Herausgeber erstellt zu diesem Zweck ein der Stellvertretung gewidmetes Synchronisierungskonto und hostet die entsprechenden verschlüsselten Blöcke.

(b) Die Verschlüsselung entbindet nicht vom Geheimnis. Diese Übermittlung ist eine Bekanntgabe von Daten, die dem Berufsgeheimnis unterliegen (Art. 321 StGB). Die Verschlüsselung schützt die Daten während ihrer Übertragung und Aufbewahrung; sie entbindet den Kunden in keiner Weise von seinem Geheimnis gegenüber der Stellvertretung noch von seiner Pflicht, für jede Patientin und jeden Patienten zu beurteilen, was zu übermitteln notwendig und verhältnismässig ist. Der Kunde bleibt für die so anvertrauten Dokumentationen Verantwortlicher (Klausel 9.1).

(c) Vom Kunden zu unternehmende Schritte. Der Kunde holt die Einwilligung seiner Patientinnen und Patienten zum Teilen ihrer Dokumentation mit den bei ihnen tätigen Pflegefachpersonen ein — Grundlage der Bekanntgabe (Art. 321 Ziff. 2 StGB; Art. 36 Abs. 2 GG/VS) —, hält sie fest und informiert seine Patientinnen und Patienten über den Beizug einer Stellvertretung. Die Anwendung zeigt ihm jeden Widerspruch einer Patientin oder eines Patienten an und hält ihn in deren Dokumentation fest; sie entzieht an seiner Stelle keine Dokumentation: Der Entscheid, eine Dokumentation trotz eines Widerspruchs anzuvertrauen oder nicht — und dessen Begründung, namentlich im Notfall — liegt im alleinigen Ermessen und in der alleinigen Verantwortung des Kunden. Er vergewissert sich, dass die Stellvertretung zur Berufsausübung berechtigt ist.

(d) Der Herausgeber überprüft nichts und kann es nicht. Der Herausgeber hat keine Möglichkeit, diese Schritte zu überprüfen, und tut es nicht: Er kennt weder die Identität der betroffenen Patientinnen und Patienten noch den übermittelten Inhalt (verschlüsselte Blöcke) noch die Tatsache, dass eine Information erteilt oder ein Widerspruch entgegengenommen wurde. Seine Leistung beschränkt sich auf den unter (a) beschriebenen Mechanismus.

(e) Verpflichtung der Stellvertretung, in der Anwendung. Vor jeder namentlichen Anzeige muss die Stellvertretung versionierte « Nutzungsbedingungen des Stellvertretungsmodus » annehmen, und zwar beim ersten Zugriff blockierend; die Annahme wird mit Zeitstempel versehen und festgehalten. Ändern sich diese Bedingungen während des Auftrags, wird die erneute Annahme bei ihrem nächsten Eintritt in die Anwendung verlangt, ohne eine laufende Pflege zu unterbrechen: Bis dahin wird nichts geschlossen und verschwindet nichts — die Dokumentation erreicht sie weiterhin, da die Sicherheit der Pflege es erfordert, und ihre Einträge erreichen weiterhin den Kunden; ein Banner bittet sie, die neue Version anzunehmen. Diese Bedingungen umfassen: die Grundlage des Zugangs — die vom Kunden eingeholte und festgehaltene Einwilligung der Patientinnen und Patienten zum Teilen ihrer Dokumentation —, das Berufsgeheimnis (Art. 321 StGB), den auf die Pflege der anvertrauten Patientinnen und Patienten beschränkten Zugang, solange der gewährte Zugang offen ist, den persönlichen Charakter des ZUGANGS — Link, Token und Signaturschlüssel — und den GEMEINSAMEN Charakter der Dokumentation des Auftrags, die alle vom Kunden berufenen Stellvertretungen lesen und ergänzen, das Verbot, diese Dokumentationen Dritten bekanntzugeben — wobei die anderen Stellvertretungen desselben Auftrags keine Dritten im Sinne dieser Klausel sind —, was sie nach dem Entzug ihres Zugangs behält: die Zusammenfassung ihrer eigenen Handlungen, und nur diese, das Erlöschen des Zugangs bei seinem Abschluss, beim Entzug allein dieses Zugangs oder bei seinem Widerruf sowie die Löschung des Bereichs, die Verantwortung für ihre eigene Dokumentation, den persönlichen und nicht geteilten Charakter des Zugangs, die unverzügliche Meldung eines Verlusts, eines Diebstahls oder eines unbefugten Zugriffs, das Verbot, diese Dokumentationen Dritten bekanntzugeben und ausserhalb von Carnet davon Kopien anzufertigen, und den Hinweis, dass die Information der Patientinnen und Patienten dem Kunden obliegt. Es gibt kein Papierdokument: Die Verpflichtung wird in der Anwendung eingegangen. Diese Bedingungen binden die Stellvertretung gegenüber dem Kunden; sie begründen keine Pflicht des Herausgebers hinsichtlich des Verhaltens der Stellvertretung.

9.13 Berufsgeheimnis und Zulässigkeit der Auftragsbearbeitung (Art. 9 Abs. 1 Bst. b DSG; Art. 321 StGB). Das Gesetz erlaubt die Übertragung einer Bearbeitung an einen Auftragsbearbeiter nur, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet. Die Parteien vereinbaren die folgende Konstruktion:

(a) In erster Linie — es liegt keine Offenbarung vor. Der Kunde bleibt Träger des Geheimnisses. Was er dem Herausgeber anvertraut, ist Ende-zu-Ende-verschlüsselt: Der Herausgeber erhält unverständliche Blöcke, ohne Identität und ohne Inhalt, die kein Element in seinem Besitz zu öffnen erlaubt (Abschnitte 1.3 und 8.3). Einen Inhalt anzuvertrauen, den der Empfänger nicht lesen kann, heisst nicht, ihn ihm zu offenbaren; das Geheimnis ist daher nicht berührt, und die Voraussetzung von Art. 9 Abs. 1 Bst. b DSG ist erfüllt.

(b) Subsidiär und ohne Anerkennung — die Eigenschaft als Hilfsperson. Für den Fall, dass eine Behörde oder ein Gericht dennoch annehmen sollte, es liege eine Offenbarung vor, vereinbaren die Parteien, dass der Herausgeber als Hilfsperson des Kunden im Sinne von Art. 321 Ziff. 1 StGB handelt: Er ist an dasselbe Geheimnis gebunden, für dieselbe Dauer, auch nach Vertragsende (Klausel 9.4), und erstreckt es auf seine eigenen Hilfspersonen. Diese Bestimmung ist subsidiär und beinhaltet keine Anerkennung, dass die unter (a) beschriebene Architektur ungenügend wäre.

(c) Was hingegen im Klartext hinausgeht — die Rechnung an den Versicherer (Klausel 9.7) — läuft nie über eine Infrastruktur des Herausgebers (Klausel 9.7bis): Der Herausgeber ist daher zu keinem Zeitpunkt deren Verwahrer.

9.14 Anfragen von Behörden (besonders hervorgehobene Klausel). Beim Herausgeber kann ein Editionsbegehren, eine Herausgabeverfügung oder eine Beschlagnahme eingehen (namentlich Art. 265 StPO).

(a) Was er herausgeben kann: unverständliche verschlüsselte Blöcke, die in Klausel 9.3 beschriebenen technischen Metadaten und — wenn die Kontowiederherstellung aktiv ist — den Verwahrungsanteil, der allein mathematisch ungenügend ist (Klausel 10.8). Er kann weder den Inhalt einer Dokumentation noch die Identität einer Patientin oder eines Patienten noch einen Verbindungsverlauf herausgeben, der nicht existiert (Klausel 9.3).

(b) Was er tun wird: Sofern ihm dies nicht gesetzlich untersagt ist, informiert der Herausgeber den Kunden unverzüglich über jede ihn betreffende Anfrage, wenn die Frist es erlaubt vor jeder Herausgabe, damit er seine Rechte geltend machen kann — insbesondere sein Berufsgeheimnis; er beschränkt sich auf das, was die Verfügung unbedingt verlangt, verlangt einen schriftlichen Titel und beruft sich auf den geschützten Charakter der Daten, wenn das Recht es erlaubt.

(c) Was er nicht tun wird: Der Herausgeber hat keine Hintertür und verpflichtet sich, keine zu schaffen, die Verschlüsselung nicht zu schwächen und die Software nicht zu ändern, um ein Geheimnis des Kunden abzugreifen — weder aus eigenem Antrieb noch auf Anfrage eines Dritten. Jede Entwicklung, die diese Verpflichtung unrichtig machen würde, wäre eine wesentliche Änderung (Klausel 12.2), die der ausdrücklichen Zustimmung des Kunden unterliegt. Der freie Charakter des Codes erlaubt es, diese Verpflichtung bei jeder veröffentlichten Version zu überprüfen.

10. Zero-Knowledge, gesetzliche Aufbewahrung, Datensicherungen und Wiederherstellungsschlüssel

10.1 Technische und rechtliche Unmöglichkeit, für den Kunden aufzubewahren. Da der Herausgeber keinerlei Zugriff auf die Daten im Klartext hat, ist es ihm unmöglich, die Aufbewahrung, Archivierung oder Herausgabe des Inhalts der Dokumentationen sicherzustellen: Diese Pflichten obliegen ausschliesslich dem Kunden.

10.2 Gesetzliche Aufbewahrungspflicht. Der Kunde, selbstständig tätige Gesundheitsfachperson, bleibt allein Schuldner der Pflicht, die Dokumentation jeder Patientin und jedes Patienten während der vom anwendbaren Recht verlangten Dauer aufzubewahren — d. h., vorbehaltlich einer längeren Bestimmung, zwanzig (20) Jahre ab dem letzten Eintrag (sichere Annahme: Art. 128a und 60 Abs. 1bis OR — Verjährung bei Körperverletzung; Berufspflichten nach Art. 16 GesBG; EPDV; das Wallis schreibt mindestens 20 Jahre vor, Art. 32 Abs. 2 GG/VS). Ebenso bewahrt er die Abrechnungs- und Buchhaltungsbelege mindestens zehn (10) Jahre auf (Art. 958f OR, GeBüV). Die Einhaltung dieser Fristen ist Sache des Kunden: Es obliegt ihm, seine Dokumentationen regelmässig zu exportieren (Klausel 10.3) und diese Exporte während der gesamten gesetzlichen Dauer aufzubewahren, auch nach dem Ende dieses Vertrags. Der Herausgeber stellt diese Aufbewahrung nicht sicher und ist technisch nicht dazu in der Lage, da er keinerlei Zugriff auf die Daten im Klartext hat: « Carnet » ist kein Dienst zur gesetzlichen Archivierung, und der Herausgeber kann dafür nicht belangt werden.

10.3 Datensicherungen (Obliegenheit). Der Kunde erstellt in seiner alleinigen Verantwortung und in angemessener Häufigkeit (mindestens monatlich und nach jeder bedeutenden Eingabe) vollständige Datensicherungen mittels des verschlüsselten « .carnet »-Exports und bewahrt mindestens eine Kopie ausserhalb des Arbeitsgeräts auf. Er überprüft periodisch die Lesbarkeit und Wiederherstellbarkeit seiner Datensicherungen.

10.4 Synchronisierung ≠ Datensicherung ≠ Archivierung. Die blinde Synchronisierung bezweckt einzig die Replikation bereits verschlüsselter Daten zwischen den Geräten des Kunden; sie ist weder eine Sicherheitskopie noch eine gesetzliche Archivierung und entbindet nicht von den Obliegenheiten nach Klausel 10.3.

10.5 Unumkehrbarkeit (besonders hervorgehobene Klausel, 14.2 Bst. c). Die Wiederherstellung des Zugangs ist nur möglich durch den Wiederherstellungsschlüssel, durch das Wiederherstellungsblatt (8 Wörter, auf dem Gerät des Kunden mit dem vom Herausgeber gehaltenen Verwahrungsanteil zusammengeführt — Abschnitt 1.3) oder, falls der Kunde ihn aktiviert hat, durch den Wiederherstellungskontakt. Der Kunde versteht und akzeptiert ausdrücklich, dass der gleichzeitige Verlust des Passworts, des Wiederherstellungsschlüssels UND des Wiederherstellungsblatts zum endgültigen und unumkehrbaren Verlust des Zugangs zu sämtlichen Daten führt — es gibt kein Verfahren zur Zurücksetzung, und der Herausgeber allein kann nichts wiederherstellen. Der Kunde bewahrt diese Elemente daher sicher, getrennt und dauerhaft auf.

10.6 Entsprechender Ausschluss (besonders hervorgehobene Klausel, 14.2 Bst. c). Der Herausgeber haftet nicht für den Verlust des Zugangs oder von Daten infolge Verlusts, Vergessens oder Preisgabe seines Passworts oder seines Wiederherstellungsschlüssels durch den Kunden, da diese Unmöglichkeit der Wiederherstellung die inhärente und gewollte Gegenleistung des Zero-Knowledge-Schutzes ist, die dem Kunden vor Vertragsschluss zur Kenntnis gebracht wurde. Vorbehalten bleiben rechtswidrige Absicht und grobe Fahrlässigkeit des Herausgebers, namentlich bei der Konzeption des Mechanismus des Wiederherstellungsschlüssels oder der Verwahrung.

10.7 Erhaltene Information. Der Kunde erklärt, vor Vertragsschluss klar darüber informiert worden zu sein, dass die dauerhafte Verwahrung der Dokumentation, der Geheimnisse und der Datensicherungen in seiner alleinigen Verantwortung liegt und dass « Carnet » ein Werkzeug zur Führung der Dokumentation ist und kein vom Herausgeber für ihn betriebener Dienst zur gesetzlichen Archivierung.

10.8 Kontowiederherstellung und Verwahrer/innen (besonders hervorgehobene Klausel). Der Vertrag verwendet den Begriff « Verwahrer/in » (frz. « dépositaire ») in zwei verschiedenen Bedeutungen, die diese Klausel abgrenzt: (a) Der oder die Verwahrer/in des Vertrauens, den oder die der Kunde frei bezeichnen kann (Klausel 10.5), ist ein vom Kunden gewählter Dritter; der Herausgeber erhält nichts und wirkt in dieser Beziehung nicht mit; (b) die Kontowiederherstellung beruht auf zwei Anteilen: dem Anteil « 8 Wörter » (Wiederherstellungsblatt), den allein der Kunde besitzt, und einem kryptografischen Anteil, den der Herausgeber besitzt, der versiegelt ausserhalb des Servers aufbewahrt wird und allein mathematisch ungenügend ist; die Zusammenführung erfolgt ausschliesslich auf einem Gerät des Kunden; (c) der vom Herausgeber gehaltene Anteil wird nur neu versiegelt an ein Gerät des Kunden herausgegeben, nach Abschluss des geprüften Verfahrens nach Klausel 9.11 — nie im Klartext und nie an Erben oder Dritte ausserhalb des Verfahrens. Die Parteien halten ausdrücklich fest, dass eine Todesbescheinigung, eine Erbbescheinigung oder die Eigenschaft als berechtigte Person kein Recht auf Herausgabe des Verwahrungsanteils verleihen: Das Berufsgeheimnis des Kunden geht nicht durch Erbgang über, und die Öffnung des Tresors würde die Dokumentationen aller seiner Patientinnen und Patienten preisgeben. Das Schicksal der Dokumentationen beim Tod des Kunden richtet sich nach den Regeln des Berufs und der zuständigen kantonalen Behörde, nicht nach diesem Vertrag; (d) bei einer Beschlagnahme oder einem Editionsbegehren (Art. 265 StPO) erlauben die beim Herausgeber beschlagnahmbaren Elemente für sich allein nicht die Entschlüsselung der Daten des Kunden — eine im öffentlichen Quellcode überprüfbare technische Eigenschaft.

11. Dauer, Kündigung und Einstellung des verwalteten Dienstes

11.1 Dauer und Kündigung. Der Vertrag wird auf unbestimmte Dauer abgeschlossen. Der Kunde kann den verwalteten Dienst oder den Vertrag jederzeit beenden, auf jedem schriftlichen oder elektronischen Weg, ohne Kosten und ohne Begründung, mit sofortiger Wirkung oder auf das von ihm angegebene Datum; der im Voraus bezahlte und nicht genutzte Teil wird ihm anteilsmässig zurückerstattet (Klausel 5.2). Der Herausgeber kann auf das Ende eines laufenden Abonnementszeitraums kündigen, unter Einhaltung einer Kündigungsfrist von dreissig (30) Tagen, auf jedem schriftlichen oder elektronischen Weg.

11.2 Wichtige Gründe. Jede Partei kann aus wichtigen Gründen mit sofortiger Wirkung kündigen, namentlich bei schwerer Verletzung einer wesentlichen Pflicht, die innert angemessener Frist nach Mahnung nicht behoben wurde.

11.3 Einstellung des verwalteten Dienstes durch den Herausgeber (besonders hervorgehobene Klausel, 14.2 Bst. l). Der Herausgeber kann den verwalteten Dienst ganz oder teilweise unter Einhaltung einer Ankündigungsfrist von neunzig (90) Tagen einstellen. Dank des lokalen und freien Charakters der Software (8.7) und des Exports (8.4) bleibt der Kunde in der Lage, auf seine Daten zuzugreifen und sie aufzubewahren. Die Einstellung berührt weder die Herrschaft des Kunden über seine Daten (8.4) noch seine Aufbewahrungspflicht und gibt keinen Anspruch auf eine andere Entschädigung als gegebenenfalls die Rückerstattung des im Voraus bezahlten und nicht genutzten Teils des Abonnements, wobei Art. 100 Abs. 1 und 2 und 101 OR vorbehalten bleiben.

11.4 Fortbestehende Pflicht. Die Kündigung beendet die gesetzliche Aufbewahrungspflicht (10.2) nicht: Es obliegt dem Kunden, vor jeder Kündigung oder Beendigung der Nutzung den vollständigen Export seiner Dokumentationen vorzunehmen und deren Aufbewahrung während der verbleibenden gesetzlichen Fristen sicherzustellen. Der Herausgeber bewahrt nach Vertragsende keine verwertbaren Daten auf und übernimmt keine spätere Herausgabepflicht.

11.5 Kontinuität bei Tod oder Handlungsunfähigkeit des Herausgebers. (a) In Abweichung von Art. 405 Abs. 1 OR beendet der Tod oder die dauernde Handlungsunfähigkeit des Herausgebers den Vertrag nicht von Rechts wegen; der Vertrag wird nach der Einstellungsregelung von Klausel 11.3 fortgesetzt, wobei die Ankündigungsfrist von neunzig (90) Tagen ab der Benachrichtigung der Kunden läuft. (b) Der Herausgeber bezeichnet eine vertraglich beauftragte technische Person (versiegelte Anweisungen, die mit der physischen Kopie des Verwahrungsschlüssels aufbewahrt werden), ergänzt durch Anweisungen an die Willensvollstreckung; diese beauftragte Person hat die Kunden innert dreissig (30) Tagen zu benachrichtigen, die Synchronisierung im Lesemodus und den Export während der Ankündigungsfrist aufrechtzuerhalten (vorausbezahltes Hosting) und anschliessend die Verwahrungselemente unter Protokoll herauszugeben oder zu vernichten — nie eine Übertragung in den Nachlass ausserhalb des Verfahrens. (c) Die Betriebsgeheimnisse (Zugang zum Hosting-Anbieter, Administrationstoken, Verwahrungsumschlag) werden zu diesem Zweck hinterlegt; sie erlauben keinerlei Lesen der Daten der Kunden (Zero-Knowledge-Architektur). (d) Der MediData-Anschluss, ein Vertrag mit Dritten, ist über die Benachrichtigung hinaus nicht gewährleistet. Diese Klausel ist zugunsten des Kunden vereinbart; in jedem Fall bleiben die Rechte nach den Klauseln 8.4 (Export) und 8.7 (Fortbestand durch den Code) bestehen.

12. Änderungen des Vertrags und des Dienstes

12.1 Geringfügige Änderungen (besonders hervorgehobene Klausel, 14.2 Bst. e). Der Herausgeber kann diese Bedingungen aus geringfügigen Gründen anpassen (Präzisierungen, technische Entwicklungen, die das Gleichgewicht des Vertrags nicht berühren). Jede geringfügige Änderung wird mindestens dreissig (30) Tage vor ihrem Inkrafttreten durch Anzeige in der Anwendung oder auf elektronischem Weg mitgeteilt; wird nicht vor diesem Datum gekündigt, gilt sie als angenommen. Der Kunde, der eine geringfügige Änderung ablehnt, kann in Abweichung von Klausel 11.1 vor ihrem Inkrafttreten schriftlich kündigen, mit Wirkung auf dieses Datum und anteilsmässiger Rückerstattung des im Voraus bezahlten Teils. Die Änderungen gelten nicht rückwirkend für bereits erbrachte Leistungen.

12.2 Wesentliche Änderungen — ausdrückliche Annahme. Jede wesentliche Änderung — namentlich des Preises, der Haftungsregelung, des Datenschutzes oder des Gerichtsstands — erfordert die ausdrückliche Annahme durch den Kunden. Der Herausgeber legt sie ihm in der Anwendung vor und, dem Kunden, der den verwalteten Dienst abonniert hat, per E-Mail, in einer einzigen Mitteilung, die umfasst:

• (a) den Hinweis, dass die Bedingungen geändert haben, mit der Kennung der neuen Version;
• (b) eine Zusammenfassung der Änderungen, Klausel für Klausel;
• (c) den Zugang zum vollständigen Text der neuen Version, in dem die besonders hervorgehobenen Klauseln hervorgehoben bleiben (14.2) und den der Kunde vor seiner Antwort speichern oder drucken (PDF) kann;
• (d) die Wahl zwischen Annehmen und Ablehnen und die Folgen der Ablehnung (nachstehend).

Der Kunde nimmt durch eine einzige Handlung (« Ich stimme zu (J'accepte) ») an, mit Zeitstempel versehen und der Version zugeordnet; es ist kein Kästchen anzukreuzen. Schweigen gilt nicht als Annahme einer wesentlichen Änderung. Eine wesentliche Änderung, welche die Zusammenfassung (Bst. b) verschweigen würde, ist dem Kunden gegenüber nicht wirksam.

Ohne Antwort (besonders hervorgehobene Klausel, 14.2 Bst. e). Solange der Kunde weder angenommen noch abgelehnt hat, gelten die bisherigen Bedingungen weiter. Während dreissig (30) Tagen ab der Mitteilung erinnert ihn der Herausgeber an die Änderung, in der Anwendung und, wenn er den verwalteten Dienst abonniert hat, per E-Mail, ohne etwas zu unterbrechen. Nach Ablauf dieser Frist wartet die Synchronisierung seines Kontos auf seine Antwort; sie wird wieder aufgenommen, sobald er annimmt. Die auf einem seiner Geräte erteilte Antwort gilt für sein Konto und damit für alle seine Geräte. Dieses Warten gilt nur für den Kunden, der bereits eine Vertragsversion angenommen hat, die es vorsieht: Bei der Änderung, die es einführt, wird die Erinnerung ohne Unterbrechung bis zu seiner Antwort fortgesetzt. Dieses Warten ist weder eine Sistierung im Sinne von Klausel 5.4 noch eine Kündigung: Die Nutzung der Anwendung auf seinem Gerät geht weiter, und es erfasst nie den lokalen Zugang des Kunden zu seinen Daten, den .carnet-Export, den Wiederherstellungsmechanismus oder die durch die AGPLv3 eingeräumten Rechte; die bereits anvertrauten verschlüsselten Blöcke bleiben aufbewahrt. Die Wartetage eines Kunden, der ein Abonnement abgeschlossen hat, werden nicht in Rechnung gestellt: Sie werden ihm anteilsmässig auf dem folgenden Zeitraum gutgeschrieben oder zurückerstattet, wenn der Vertrag endet (5.2).

Recht auf Ablehnung. Der Kunde kann die Änderung durch eine einzige Handlung (« Ich lehne ab (Je refuse) ») ablehnen, mit Zeitstempel versehen und der Version zugeordnet. Die Anwendung übermittelt die Ablehnung an den Herausgeber, der eine mit Zeitstempel versehene Quittung davon aufbewahrt (abgelehnte Version, Datum der Ablehnung, gewähltes Wirkungsdatum) und sie dem Kunden zeigt.

• (a) Der Kunde, der den verwalteten Dienst abonniert hat und die Änderung ablehnt, kündigt den verwalteten Dienst, ohne Kosten und ohne Entschädigung. Die Kündigung wird nach seiner Wahl sofort oder auf das Ende des laufenden Abonnementszeitraums wirksam — mangels eines laufenden bezahlten Zeitraums auf das Ende des Kalendermonats, der auf die Ablehnung folgt, frühestens aber auf das Ende des dreissigsten Tages nach der Ablehnung —, jedoch nie bevor der Herausgeber die Ablehnung erhalten hat — durch die Quittung der Anwendung oder durch eine schriftliche Anfrage an ; bis dahin gelten die bisherigen Bedingungen weiter, und die Synchronisierung wird fortgesetzt. Der im Voraus bezahlte und nicht genutzte Teil wird ihm anteilsmässig zurückerstattet (5.2 Bst. c). Am Wirkungsdatum befindet er sich in der Lage nach Bst. (b).
• (b) Der Kunde, der den verwalteten Dienst nicht abonniert hat, behält die lokale Nutzung der Software auf seinem Gerät, zu den bisherigen Bedingungen, ohne Synchronisierung. Seine Daten bleiben auf seinem Gerät, und ihr Export (8.4) steht ihm weiterhin offen. Er kann die neue Version später annehmen, aus der Anwendung heraus; die Synchronisierung wird ihm dann wieder zugänglich, zu den Bedingungen der neuen Version.

Die Ablehnung entzieht dem Kunden weder seine Daten noch deren Export; es obliegt ihm, seine Dokumentationen während der gesetzlichen Fristen aufzubewahren (10.2, 11.4).

Das im Voraus vereinbarte Ende der Testphase (Klausel 5.1bis) ist keine Änderung im Sinne dieses Abschnitts.

12.3 Entwicklung der Software und regulatorischer Vorbehalt (besonders hervorgehobene Klausel, 14.2 Bst. j). Der Herausgeber kann die Funktionen weiterentwickeln, solche hinzufügen oder zurückziehen, aus Gründen der Sicherheit, der Konformität oder der Verbesserung, sofern die vereinbarten wesentlichen Funktionen im Wesentlichen gewährleistet bleiben. Sollte eine zuständige Behörde, eine Gesetzesänderung oder eine neue Version des MDCG-Leitfadens eine Funktion ganz oder teilweise als Medizinprodukt qualifizieren, kann der Herausgeber sie ändern, einschränken oder zurückziehen, um die Konformität zu wahren, ohne dass dies eine Nichterfüllung darstellt. Der freie Charakter (AGPLv3) gewährleistet dem Kunden die dauerhafte Verfügbarkeit der früheren Versionen. Die zwingenden Bestimmungen (namentlich das PrHG) bleiben vorbehalten.

12.4 Abtretung des Vertrags und Kontrollwechsel (besonders hervorgehobene Klausel). Der Herausgeber besitzt einen Anteil des Schlüssels der Kontowiederherstellung und, wenn die Kontowiederherstellung aktiv ist, einen Umschlag mit den über-versiegelten Identitäten der Patientinnen und Patienten des Kunden: Die Identität dessen, der diese Elemente besitzt, ist für den Kunden entscheidend. Folglich:

(a) Der Herausgeber kann diesen Vertrag, sein Unternehmen oder den verwalteten Dienst weder abtreten noch die Kontrolle darüber auf einen Dritten übertragen, ohne den Kunden mindestens sechzig (60) Tage im Voraus schriftlich zu informieren, unter Angabe der Identität, des Sitzes und der Gerichtsbarkeit der übernehmenden Partei;

(b) der Kunde kann dann ohne Kosten kündigen, mit Wirkung auf das Datum der Übertragung, wobei ihm der im Voraus bezahlte Teil der Gebühr anteilsmässig zurückerstattet wird;

(c) der Kunde kann in jedem Fall und ohne zu kündigen die bestätigte Vernichtung der ihn betreffenden Verwahrungselemente (kryptografischer Anteil, über-versiegelter Umschlag, Verifizierungsnummer) anstelle ihrer Übertragung an die übernehmende Partei verlangen; der Herausgeber nimmt sie vor der Übertragung vor und bestätigt sie schriftlich. Die Kontowiederherstellung wird dann deaktiviert, deren Folge der Kunde trägt (Klausel 10.5);

(d) die übernehmende Partei ist verpflichtet, sämtliche Pflichten aus diesem Vertrag zu übernehmen, einschliesslich der Architekturverpflichtung nach Klausel 9.7bis und des Fehlens einer Hintertür (Klausel 9.14 Bst. c).

Tod oder Handlungsunfähigkeit des Herausgebers unterstehen Klausel 11.5, nicht dieser Klausel.

13. Anwendbares Recht und Gerichtsstand

13.1 Anwendbares Recht. Dieser Vertrag untersteht ausschliesslich dem schweizerischen Recht, unter Ausschluss der Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (Wiener Kaufrecht, CISG).

13.2 Gerichtsstand (besonders hervorgehobene Klausel, 14.2 Bst. d). Der im Rahmen seiner beruflichen Tätigkeit handelnde Kunde ist keine Konsumentin bzw. kein Konsument (Art. 35 ZPO ist nicht anwendbar). Die Parteien vereinbaren, dass der ausschliessliche Gerichtsstand am Sitz des Herausgebers in Sierre (Kanton Wallis) liegt, für die eine wie für die andere Partei, unter Vorbehalt zwingender Gerichtsstände. Konkret: Eine aus diesem Vertrag entstehende Streitigkeit wird vor die Gerichte von Sierre (Siders) gebracht und nicht vor jene des Wohnsitzes des Kunden, unabhängig davon, welche Partei klagt. Diese für den Kunden belastende Klausel ist im Text hervorgehoben, im Kasten am Anfang des Vertrags in Erinnerung gerufen und auf dem Annahmebildschirm vorgelegt (14.2). Ihre Annahme, mit Zeitstempel versehen und einer Version zugeordnet, deren vollständiger Text aufbewahrt wird (14.4), bildet die « andere Form, die den Nachweis durch Text ermöglicht » im Sinne von Art. 17 Abs. 2 ZPO.

14. Abschluss, Annahme und besondere Aufmerksamkeit für belastende Klauseln

14.1 Zustandekommen des Vertrags — zwei getrennte Zeitpunkte. (a) Bei der Erstellung des Tresors, die kostenlos und rein lokal ist, nimmt der Kunde diese Bedingungen durch eine einzige Handlung in der Anwendung an — das Tippen auf die Schaltfläche « Konto erstellen (Créer le compte) », der unmittelbar der Satz vorangeht « Mit dem Tippen auf «Konto erstellen» erklären Sie: «Ich akzeptiere den Vertrag, einschliesslich der besonders hervorgehobenen Klauseln» (En appuyant sur « Créer le compte », vous déclarez : « J'accepte le contrat, y compris les clauses spécialement signalées ») » (14.2 Ziff. 4) —, nachdem ihm der vollständige Text und seine besonders hervorgehobenen Klauseln vorgelegt worden sind (14.2); die akzeptierte Version und der Zeitstempel der Annahme werden als Beweis gespeichert. Diese Annahme begründet keine Zahlungspflicht: Sie regelt die Nutzung, nicht das Abonnement. (b) Beim Abschluss des Abonnements des verwalteten Dienstes nimmt der Kunde zusätzlich, auf einem gesonderten Bildschirm und durch eine neue einzige Handlung, mit Zeitstempel versehen und der Version zugeordnet, die wirtschaftlichen Elemente des Vertrags, seine belastenden Klauseln wirtschaftlicher Natur und die Erklärung nach Klausel 4.1ter an (Klausel 5.6). Die Klauseln wirtschaftlicher Natur — Preis, Testphase und Bestätigung des Abonnements, Schicksal der im Voraus bezahlten Beträge, Dauer und Kündigung — sind erst ab dieser zweiten Annahme wirksam. Dasselbe gilt für die Gerichtsstandsklausel (13.2): Wer nie ein Abonnement abgeschlossen hat, untersteht den ordentlichen gesetzlichen Gerichtsständen. Die Klauseln über die Haftung und die Zero-Knowledge-Unumkehrbarkeit gelten hingegen ab der ersten Annahme, da auch die kostenlose Nutzung « wie besehen » geliefert wird (Klausel 8.8).

14.2 Besondere Aufmerksamkeit für belastende Klauseln (Ungewöhnlichkeitsregel). Die Parteien anerkennen, dass der Kunde im Lizenz- und Softwarehaftungsrecht nicht bewandert ist. Die nachstehenden belastenden Klauseln gehen daher nicht in einer Globalübernahme unter: Der Herausgeber macht den Kunden auf jede einzelne besonders aufmerksam, und zwar mit vier kumulativen Mitteln:

• (1) Im Text trägt jede den Vermerk « besonders hervorgehobene Klausel », und ihr Wesentliches ist fett gedruckt;
• (2) ein Kasten am Anfang des Vertrags zählt sie auf und erläutert ihre Tragweite in Alltagssprache;
• (3) der Annahmebildschirm zeigt denselben Kasten und gibt Zugang zum vollständigen Text, vor der Annahmeschaltfläche, sodass man nicht annehmen kann, ohne ihn vor Augen gehabt zu haben; er erlaubt es auch, vor dieser Schaltfläche den Vertrag zu speichern oder zu drucken (PDF);
• (4) die Annahmeschaltfläche oder der unmittelbar vorangehende Satz nennt sie: « Ich akzeptiere den Vertrag, einschliesslich der besonders hervorgehobenen Klauseln (J'accepte le contrat, y compris les clauses spécialement signalées) ».

Der Kunde nimmt den Vertrag, hervorgehobene Klauseln inbegriffen, durch diese einzige Handlung an, mit Zeitstempel versehen und der Version zugeordnet; es ist kein Kästchen anzukreuzen. Dasselbe gilt bei jeder neuen Annahme einer geänderten Version (12.2). Nach der Rechtsprechung des Bundesgerichts ist die Aufmerksamkeit hinreichend geweckt, wenn die Klausel klar und unmissverständlich abgefasst und durch typografische Mittel wie Fettdruck hervorgehoben ist (BGer 4A_372/2022 vom 11.07.2023, E. 3.3; siehe auch BGE 138 III 411 E. 3.1 und 3.5; BGE 135 III 1 E. 2.1).

Erste Gruppe — bei der Erstellung des Tresors, in der Anwendung:

• (a) Haftungsbeschränkung und Höchstbetrag (7.4) und Ausschluss indirekter Schäden (7.5);
• (b) Freistellung gegenüber Dritten / hold harmless (7.7);
• (c) Zero-Knowledge-Unumkehrbarkeit und Datenverlust (7.9, 10.5, 10.6);
• (d) Gerichtsstand am Sitz des Herausgebers (13.2);
• (e) Änderung durch Schweigen bei geringfügigen Änderungen (12.1) und Warten der Synchronisierung mangels Antwort auf eine wesentliche Änderung innert dreissig Tagen (12.2);
• (f) Kontowiederherstellung und Verwahrer/innen (10.8, 9.11);
• (f bis) Fehlen einer Versicherung des Herausgebers: Keine Haftpflichtversicherung ist abgeschlossen oder versprochen; der Herausgeber haftet mit seinem Vermögen, in den Grenzen von Abschnitt 7; die gesetzliche Haftung (PrHG) bleibt unberührt (3.5, 7.11);
• (m) kantonaler Geltungsbereich: Die Eignung der Software ist ausserhalb der Kantone und der Verfahren, welche die Klausel nennt, nicht gewährleistet (2.5);
• (n) Vorabzugang — Betaphase: Unterbrechungen, Regressionen und Mängel sind möglich; Ausstieg jederzeit mit anteilsmässiger Rückerstattung, während dieser Phase wie danach (3.8);
• (o) in Frankreich behandelte Patientinnen und Patienten: die Erklärung des Kunden und ihre Folgen — Kündigung durch den Herausgeber, und alleinige Haftung des Kunden für die rechtlichen Folgen in Frankreich (4.1ter);
• (p) Anfragen von Behörden: was der Herausgeber herausgeben kann, was er tun wird und was er nicht tun wird (9.14);
• (q) Abtretung des Vertrags und Kontrollwechsel (12.4).

Die Buchstaben (m) bis (q) wurden durch die Version vom 8. Oktober 2026 hinzugefügt, nach den bestehenden Buchstaben, damit die Verweise des Vertrags auf 14.2 Bst. a bis l (3.2, 3.5, 5.1bis, 5.2, 9.11, 10.5, 11.3, 12.1, 12.3, 13.2) richtig bleiben. Diese fünf Klauseln trugen bereits den Vermerk « besonders hervorgehobene Klausel » und standen im Kasten am Anfang; sie fehlten in dieser Liste, welche ihre Wirksamkeit begründet.

Zweite Gruppe — beim Abschluss des Abonnements des verwalteten Dienstes (Klausel 5.6), auf dem Abonnementsbildschirm:

• (g) Ende des verwalteten Dienstes nach Ablauf der Testphase von dreissig Tagen, mangels Bestätigung (5.1bis): Synchronisierung, verwaltete Datensicherungen und Eröffnung neuer Stellvertretungen enden, die verschlüsselten Blöcke werden mindestens neunzig Tage aufbewahrt (5.1bis);
• (h) im Voraus bezahlter Teil verbleibt beim Herausgeber bei einer Kündigung aus dem Kunden zuzurechnenden wichtigen Gründen — einzige Ausnahme von der anteilsmässigen Rückerstattung (5.2);
• (i) ausschliesslicher Charakter der Rechtsbehelfe bei Nichtverfügbarkeit: anteilsmässige Gutschrift nach mehr als 10 Tagen, Kündigung nach mehr als 30 Tagen, unter Ausschluss jedes anderen Anspruchs aus demselben Grund (3.2);
• (j) Befugnis, eine Funktion aus Gründen der Sicherheit oder der Konformität zurückzuziehen oder einzuschränken, ohne dass dies eine Nichterfüllung darstellt (12.3);
• (k) Haftungsausschluss bei nicht installierter Version: Der Herausgeber haftet nicht für Schäden aus der Nutzung einer veralteten Version oder aus einem durch ein nicht installiertes Update bereits behobenen Mangel (7.12);
• (l) Einstellung des verwalteten Dienstes unter Einhaltung einer Ankündigungsfrist von 90 Tagen (11.3) und Hinzukommen der MWST von Rechts wegen bei Steuerpflicht des Herausgebers (5.5).

Eine Klausel dieser Liste, die dem Kunden vor seiner Annahme nicht in der oben beschriebenen Weise vorgelegt worden wäre, ist ihm gegenüber nicht wirksam, wobei der übrige Vertrag in Kraft bleibt.

14.3 Tragweite des Dispositivs. Der Kunde anerkennt, dass dieser Vertrag nur eine Stufe eines Schutzdispositivs ist, das ebenfalls die Einordnung in der Anwendung « Hilfe, kein Medizinprodukt, keine Entscheidung » und gegebenenfalls die Einholung einer schriftlichen Stellungnahme von Swissmedic zur Qualifikation.

14.4 Unterschriften / elektronische Annahme.

Für den Herausgeber: ____________________ Datum: __________

Der Kunde erklärt, diesen Vertrag gelesen, verstanden und angenommen zu haben, einschliesslich der in Klausel 14.2 besonders hervorgehobenen belastenden Klauseln und, wenn er den verwalteten Dienst nutzt, der Erklärung nach Klausel 4.1ter. Da der Vertrag keiner gesetzlichen Form unterliegt (Art. 11 OR), genügt die elektronische Annahme zu seinem Abschluss; der Herausgeber bewahrt den vollständigen Text jeder angenommenen Version auf und legt ihn der Bestätigung des Abonnementsabschlusses bei (5.6 Bst. d):

Name / Vorname: ____________________ Datum und Zeitstempel: __________ Akzeptierte Version: __________