Vertrag zur Auftragsverarbeitung

Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 DSGVO

zwischen

[Praxisname] [Straße und Hausnummer] [PLZ Ort] vertreten durch [Name]

– nachfolgend „Verantwortliche“ –

Und

Frank Libossek, handelnd unter der Geschäftsbezeichnung „Clivano“, Marxhofstraße 1, 82008 Unterhaching

E-Mail: kontakt@clivano.de

– nachfolgend „Auftragsverarbeiter“ –

wird folgende Vereinbarung geschlossen:

Präambel

Der Auftragsverarbeiter erbringt für die Verantwortliche Leistungen im Zusammenhang mit der Nutzung der internetbasierten Anwendung Clivano auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrags. Im Rahmen der Durchführung des Hauptvertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag der Verantwortlichen. Zur Konkretisierung der datenschutzrechtlichen Rechte und Pflichten der Parteien schließen diese die nachfolgende Vereinbarung.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung der Verantwortlichen im Sinne des Art. 4 Nr. 8 und Art. 28 DSGVO.

(2) Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die Kategorien personenbezogener Daten ergeben sich aus Anlage 1.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags sowie der Zeit, die zur ordnungsgemäßen Abwicklung, Rückgabe, Löschung und Dokumentation nach Vertragsende erforderlich ist.

(4) Die Bestimmungen dieser Vereinbarung gelten für alle Tätigkeiten des Auftragsverarbeiters, seiner Beschäftigten und von ihm eingesetzten Unterauftragsverarbeitern, soweit diese mit personenbezogenen Daten der Verantwortlichen oder für die Verantwortliche erhobenen personenbezogenen Daten in Berührung kommen.

(5) Dem Auftragsverarbeiter ist eine von dieser Vereinbarung, dem Hauptvertrag und den zugehörigen Anlagen abweichende oder darüber hinausgehende Verarbeitung der im Auftrag verarbeiteten Daten untersagt. Dies gilt insbesondere für eine Nutzung zu eigenen Zwecken, zu Produktverbesserungszwecken, zu Trainingszwecken künstlicher Intelligenz oder zur Bildung praxisübergreifender Statistiken oder Benchmarkings. § 3 Abs. 7 letzter Satz bleibt unberührt.

(6) Nicht Gegenstand dieser Vereinbarung sind personenbezogene Daten, die der Auftragsverarbeiter in eigener Verantwortlichkeit verarbeitet, insbesondere Daten zur Vertragsanbahnung, Vertragsverwaltung, Abrechnung, Missbrauchsabwehr, Systemsicherheit, Rechtsverteidigung und zu eigenen gesetzlichen Nachweis- oder Aufbewahrungspflichten.

§ 2 Verantwortlichkeit der Verantwortlichen

(1) Die Verantwortliche bleibt für die Rechtmäßigkeit der von ihr veranlassten Verarbeitung personenbezogener Daten verantwortlich. Dies umfasst insbesondere:

• das Vorliegen einer einschlägigen Rechtsgrundlage nach Art. 6 DSGVO und, soweit einschlägig, Art. 9 DSGVO,

• die Erfüllung der Informationspflichten gegenüber betroffenen Personen,

• die Wahrung berufsrechtlicher, strafrechtlicher und sonstiger spezialgesetzlicher Geheimhaltungs- und Dokumentationspflichten,

• die Entscheidung über den Einsatz der in Clivano bereitgestellten Funktionen.

(2) Die weisungs- und empfangsberechtigten Personen ergeben sich aus Anlage 2. Bis zu einer abweichenden Mitteilung in Textform gelten die dort benannten Personen weiter als weisungs- bzw. empfangsberechtigt.

(3) Änderungen des Verarbeitungsgegenstands, wesentliche Verfahrensänderungen und neue oder geänderte Funktionen mit datenschutzrechtlicher Relevanz sind zwischen den Parteien rechtzeitig abzustimmen und zu dokumentieren. Handelt es sich um rein funktionale Weiterentwicklungen innerhalb der vertraglichen Leistungsbeschreibung, genügt eine vorherige Mitteilung in Textform (per E-Mail an die Praxisleitung und ergänzender In-App-Benachrichtigung) mit einer Frist von mindestens zwei Wochen. Die besonderen Informations-, Widerspruchs- und Fristenregelungen für Unterauftragsverarbeiter nach § 7 bleiben hiervon unberührt. Wesentliche Änderungen, insbesondere die Einführung neuer Datenkategorien oder Verarbeitungszwecke, bedürfen einer gesonderten Vereinbarung in Textform nach Art. 28 Abs. 3 DSGVO.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen.

(2) Als dokumentierte Weisung gilt auch die Nutzung der in Clivano bereitgestellten und vertraglich dokumentierten Funktionen und Einstellungen durch die Verantwortliche oder die von ihr berechtigten Personen, insbesondere:

• die Aktivierung oder Deaktivierung einzelner Funktionen,

• die Rollen- und Rechtevergabe innerhalb der vorgesehenen Benutzerverwaltung,

• die Nutzung von Export-, Berichtigungs- und sonstigen Verwaltungsfunktionen,

• die Freigabe oder der Versand von Entwürfen,

• sonstige in der Anwendung vorgesehene Bedienhandlungen, soweit diese nach dem dokumentierten Funktionsumfang eine Verarbeitung auslösen.

(3) Weisungen, die über die im Vertrag, in den Anlagen oder im dokumentierten Funktionsumfang vorgesehenen Verarbeitungen hinausgehen, sind in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Ist der Auftragsverarbeiter aufgrund von Unionsrecht oder mitgliedstaatlichem Recht, dem er unterliegt, zu einer weiteren Verarbeitung verpflichtet, teilt er der Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(5) Hält der Auftragsverarbeiter eine Weisung der Verantwortlichen für datenschutzrechtlich unzulässig, weist er die Verantwortliche unverzüglich darauf hin. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung auszusetzen.

(6) Die Verantwortliche weist den Auftragsverarbeiter an, im Rahmen der Anwendung insbesondere folgende auftragsbezogenen Verarbeitungen durchzuführen:

• automatisierte Textverarbeitung unter Einsatz künstlicher Intelligenz zur Aufbereitung, Strukturierung und Zusammenfassung von Eingaben der Verantwortlichen sowie zur Erstellung interner Entwürfe zur Prüfung und Freigabe durch die Verantwortliche; ferner der automatisierte Versand von Standardantworten ohne Gesundheitsbezug (z. B. Öffnungszeiten, Terminauskünfte), soweit die Verantwortliche dies in den Autonomie-Einstellungen freigegeben hat oder es als Standardeinstellung im dokumentierten Funktionsumfang ausgewiesen ist;

• Entgegennahme, Einordnung und Auslesen eingehender Nachrichten und Anhänge über das Clivano-Sammelpostfach für die praxisbezogene Eingangsadresse der Verantwortlichen sowie Texterkennung aus Fotografien oder Scans von Verordnungen, Befunden und Abrechnungsschreiben; soweit Dateien ausschließlich zur Inhaltsgewinnung übermittelt werden, wird die Bild- oder Tondatei flüchtig verarbeitet, anschließend verworfen und ausschließlich der daraus gewonnene Textinhalt gespeichert. Die hiervon getrennte, bestimmungsgemäße Speicherung von Dokumenten in der Dateiablage (insbesondere Befunde und Bewerbungsunterlagen) richtet sich nach Anlage 3;

• Versand organisatorischer, transaktionaler und – bei Vorliegen einer gesonderten Einwilligung der betroffenen Person – werblicher Nachrichten im Namen und auf Veranlassung der Verantwortlichen im Rahmen der jeweils bereitgestellten, aktivierten und nach den eingesetzten Versanddiensten zulässigen Versandstrecken. Nachrichten mit Gesundheitsbezug an einzelne Patientinnen und Patienten werden dabei ausschließlich über den hierfür vorgesehenen Versanddienst geleitet (Anlage 4, 1&1 IONOS SE); alle übrigen Nachrichten sowie Aussendungen an mehrere Empfänger werden ohne Diagnosen, Befundinhalte, Beschwerdefreitexte, Behandlungsschwerpunkte und indikationsbezogene Leistungsbezeichnungen versendet. Die Zuordnung erfolgt technisch anhand einer für jeden Versandvorgang zwingend zu setzenden Datenklasse. Über Mailjet werden ausschließlich Nachrichten ohne Gesundheitsbezug übermittelt; die vorstehenden Inhaltsbeschränkungen sind beispielhaft und nicht abschließend. Ist die Datenklasse einer Einzelnachricht ausnahmsweise unbekannt, wird die Nachricht ohne jeden Gesundheitsbezug (neutralisiert) über Mailjet versendet. Nachrichten mit Gesundheitsbezug an einzelne Patientinnen und Patienten dürfen ausschließlich über IONOS versendet werden; ein Ausweichen auf Mailjet ist ausgeschlossen. Mehrfachaussendungen mit Gesundheitsbezug oder mit unklarer Datenklasse unterbleiben vollständig. Steht die IONOS-Versandstrecke nicht zur Verfügung, unterbleibt der Versand der betreffenden Nachricht;

• praxisinterne Auswertungen zum Betrieb der Verantwortlichen auf Grundlage der in der Anwendung gespeicherten Daten.

(7) Eine Verarbeitung im Auftrag zur Bildung praxisübergreifender Statistiken, Aggregate, Benchmarks oder sonstiger Sekundärnutzungen ist nicht Gegenstand dieser Vereinbarung. Dieser Ausschluss erfasst auch praxisübergreifende Live-Abfragen und Auswertungen über die Rohdatenbestände mehrerer Praxen, unabhängig von einer dauerhaften Speicherung der Ergebnisse. Nicht betroffen sind Monatssummen der Verantwortlichen ohne Bezug zu einzelnen Patientinnen und Patienten, die die Verantwortliche über das Modul „Praxisvergleich“ selbst freigibt.

§ 4 Vertraulichkeit und Berufsgeheimnis

(1) Der Auftragsverarbeiter ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich der Verantwortlichen erlangten Informationen vertraulich zu behandeln.

(2) Der Auftragsverarbeiter setzt zur Verarbeitung personenbezogener Daten nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(3) Soweit im Rahmen der Leistungserbringung Informationen verarbeitet werden, die dem Schutz von Privatgeheimnissen unterliegen, wird der Auftragsverarbeiter im Verhältnis zur Verantwortlichen als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig.

(4) Der Auftragsverarbeiter bestätigt, vor erstmaligem Zugriff auf entsprechend geschützte Informationen über die Pflicht zur Wahrung fremder Geheimnisse und über die strafrechtlichen Folgen einer unbefugten Offenbarung nach § 203 StGB belehrt worden zu sein.

(5) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die unter seiner Verantwortung vorübergehend oder dauerhaft Zugriff auf solche Informationen erhalten können, vor erstmaligem Zugriff

• zur Wahrung der Vertraulichkeit verpflichtet werden,

• über die sich daraus ergebenden Verschwiegenheitspflichten belehrt werden,

• und auf die Strafbarkeit einer unbefugten Offenbarung hingewiesen werden.

(6) Der Auftragsverarbeiter bindet Unterauftragsverarbeiter, soweit diese im Rahmen der Leistungserbringung Zugriff auf entsprechend geschützte Informationen erhalten können, nur unter der Voraussetzung ein, dass auch dort vor erstmaligem Zugriff eine entsprechende Vertraulichkeits- und Geheimhaltungsbindung erfolgt.

(7) Den Nachweis über die Verpflichtungen nach den vorstehenden Absätzen erbringt der Auftragsverarbeiter auf Verlangen der Verantwortlichen.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Maßgeblich ist Anlage 3 in der jeweils vereinbarten Fassung.

(2) Die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen definieren das vom Auftragsverarbeiter geschuldete Mindestniveau.

(3) Der Auftragsverarbeiter darf die technischen und organisatorischen Maßnahmen an den technischen Fortschritt und an Weiterentwicklungen der Verarbeitung anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Wesentliche Änderungen der technischen und organisatorischen Maßnahmen dokumentiert der Auftragsverarbeiter und stellt sie der Verantwortlichen auf Anforderung zur Verfügung.

(5) Auf Verlangen der Verantwortlichen weist der Auftragsverarbeiter die Einhaltung der in Anlage 3 beschriebenen Maßnahmen durch geeignete Nachweise nach.

§ 6 Sonstige Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag der Verantwortlichen durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dieses der Verantwortlichen auf Verlangen zur Verfügung.

(2) Der Auftragsverarbeiter unterstützt die Verantwortliche bei Bedarf bei der Erstellung einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, soweit die Verarbeitung im Auftrag betroffen ist.

(3) Der Auftragsverarbeiter teilt der Verantwortlichen mit, ob ein Datenschutzbeauftragter bestellt ist und übermittelt dessen Kontaktdaten; Änderungen werden unverzüglich in Textform mitgeteilt.

(4) Sollten die im Auftrag verarbeiteten Daten beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet werden, informiert der Auftragsverarbeiter die Verantwortliche unverzüglich, sofern ihm dies rechtlich nicht untersagt ist.

§ 7 Unterauftragsverarbeiter

(1) Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sowie die weiteren für die Leistungserbringung eingebundenen Dienstleister ergeben sich aus Anlage 4. Soweit dort Dienstleister aufgeführt sind, die nach ihren eigenen Vertragsbedingungen für abgrenzbare Verarbeitungsschritte in eigener Verantwortlichkeit handeln, ist dies in der jeweiligen Beschreibung kenntlich gemacht.

(2) Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen, zu ersetzen oder in einem für die Verarbeitung wesentlichen Umfang zu ändern, informiert er die Verantwortliche mindestens vier Wochen vor Wirksamwerden der Änderung in Textform.

(3) Die Verantwortliche kann der beabsichtigten Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht die Verantwortliche und ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in dieser Vereinbarung festgelegten Pflichten im Wesentlichen entsprechen. Soweit die Verantwortliche Kontrollen bei Unterauftragsverarbeitern durchführen möchte, stimmt sie dies vorab mit dem Auftragsverarbeiter ab. Der Nachweis der Einhaltung der Datenschutzpflichten durch den Unterauftragsverarbeiter kann vorrangig durch die Vorlage aktueller Testate, Zertifizierungen (z. B. ISO/IEC 27001) oder Auditberichte unabhängiger Dritter erbracht werden. Er bleibt der Verantwortlichen gegenüber für die Einhaltung der Pflichten des Unterauftragsverarbeiters verantwortlich.

(5) Soweit personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden oder von dort aus ein relevanter Zugriff erfolgen kann, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen des Kapitels V DSGVO eingehalten werden. Einzelheiten der hierfür eingesetzten Garantien ergeben sich aus Anlage 4.

(6) Nicht als Unterauftragsverarbeitung gelten reine Nebenleistungen, bei denen keine regelmäßige, auftragsbezogene Verarbeitung personenbezogener Daten der Verantwortlichen Vertragsgegenstand ist, etwa Post-, Transport- oder Telekommunikationsleistungen. Hiervon unberührt bleiben Support-, Wartungs- oder Administrationsleistungen mit regelmäßigem oder möglichem Zugriff auf personenbezogene Daten; solche sind als Unterauftragsverarbeitung zu behandeln.

§ 8 Unterstützung der Verantwortlichen und Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt die Verantwortliche nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO.

(2) Soweit in Clivano entsprechende Funktionen bereitgestellt sind, umfasst die Unterstützung insbesondere:

• Exportfunktionen (insbesondere den maschinenlesbaren Einzelexport nach Art. 20 DSGVO),

• Berichtigungsfunktionen,

• Protokollierungs- und Nachweisfunktionen,

• technisch vorgesehene Lösch-, Entzugs- sowie Einschränkungsfunktionen nach Art. 18 DSGVO.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht eigenständig, sofern keine gesetzliche Verpflichtung hierzu besteht.

(4) Verlangt eine betroffene Person während der Vertragslaufzeit die Löschung einzelner Datenbestände, kann das Löschverlangen ausschließlich durch die Praxisleitung (Inhaberkonto) in der Anwendung ausgelöst werden. Der Vorgang ist durch Zwei-Faktor-Authentifizierung gesichert und wird am Datensatz protokolliert. Die Anwendung prüft hierbei automatisiert die gesetzliche Aufbewahrungsfrist nach § 630f BGB: Ist die Frist abgelaufen, werden die betroffenen Daten vollständig gelöscht. Läuft die Frist noch, werden die identifizierenden Stammdaten pseudonymisiert; die Behandlungsunterlagen bleiben zur Erfüllung der Dokumentationspflicht nach § 630f BGB bis zum Fristablauf in der Akte der Verantwortlichen erhalten. Soweit die Verantwortliche im Einzelfall eine abweichende Behandlung oder eine Einschränkung der Verarbeitung nach Art. 18 DSGVO anweist, unterstützt der Auftragsverarbeiter die Verantwortliche im Rahmen der jeweils vorhandenen technischen Möglichkeiten bzw. organisatorisch.

§ 9 Informations- und Unterstützungspflichten bei Vorfällen

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen, sonstigen sicherheitsrelevanten Vorfällen oder Unregelmäßigkeiten bei der Verarbeitung der im Auftrag verarbeiteten Daten informiert der Auftragsverarbeiter die Verantwortliche unverzüglich in Textform.

(2) Die Mitteilung enthält, soweit verfügbar, insbesondere:

• Art der Verletzung oder Unregelmäßigkeit,

• betroffene Datenkategorien,

• ungefähre Zahl der betroffenen Personen und Datensätze,

• wahrscheinliche Folgen,

• bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen,

• Kontaktdaten einer Ansprechperson für Rückfragen.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt die Verantwortliche im erforderlichen Umfang bei Maßnahmen nach Art. 33 und 34 DSGVO.

(4) Der Auftragsverarbeiter informiert die Verantwortliche unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Stellen, soweit diese Bezüge zur Auftragsverarbeitung aufweisen und die Mitteilung rechtlich zulässig ist.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt der Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in dieser Vereinbarung niedergelegten Pflichten erforderlich sind.

(2) Der Nachweis erfolgt vorrangig durch geeignete Dokumentationen, aktuelle Berichte, Zertifikate, sonstige vorhandene Nachweise, Remote-Audits oder vergleichbare Prüfungsformen, soweit diese zur Beurteilung ausreichen.

(3) Reichen die vorgelegten Nachweise im Einzelfall nicht aus, kann die Verantwortliche eine weitergehende Prüfung selbst oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Vor-Ort-Prüfungen sind mindestens vier Wochen vorher anzukündigen, finden zu den üblichen Geschäftszeiten statt und werden höchstens einmal jährlich durchgeführt, sofern kein besonderer Anlass besteht.

(4) Der Auftragsverarbeiter kann für Prüfungen, die über die Bereitstellung bereits vorhandener Nachweise hinausgehen und einen zusätzlichen Aufwand verursachen, eine angemessene Vergütung verlangen.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl der Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur weiteren Aufbewahrung entgegensteht.

(2) Zur Ausübung dieses Wahlrechts bleibt der Zugang nach Vertragsende für eine Übergangszeit von bis zu 30 Tagen vollständig nutzbar; danach stellt der Auftragsverarbeiter der Verantwortlichen für 30 Tage einen lesenden Zugang zur Verfügung, über den die Verantwortliche ihre Daten exportieren kann.

(3) Während dieses Zeitraums sind Änderungen an den gespeicherten Daten nicht mehr möglich. Ausgenommen bleibt der Entzug von Zugriffsrechten einzelner Nutzerinnen und Nutzer. Die Erteilung neuer Zugriffsrechte ist ausgeschlossen. Die Beschränkung betrifft die regulären Bearbeitungsfunktionen des Praxiszugangs. Die Umsetzung rechtmäßiger Weisungen der Verantwortlichen zur Berichtigung, Löschung oder Einschränkung der Verarbeitung durch den Auftragsverarbeiter bleibt während des Exportzeitraums gewährleistet.

(4) Die Verantwortliche bleibt für die Erfüllung eigener berufs-, dokumentations- und aufbewahrungsrechtlicher Pflichten verantwortlich und nimmt erforderliche Exporte innerhalb des bereitgestellten Zeitraums vor.

(5) Soweit Daten in Sicherungssystemen oder bei eingebundenen Unterauftragsverarbeitern im Rahmen der dort jeweils technisch oder vertraglich vorgesehenen Löschzyklen (in der Regel innerhalb von 30 Tagen, bei nachgelagerten Kommunikationsdiensten bis zu 90 Tage) nicht sofort physisch überschrieben werden können, werden sie unverzüglich für jede weitere operative Verarbeitung gesperrt und im Rahmen der regulären Lösch- und Sicherungszyklen endgültig gelöscht.

(6) Der Auftragsverarbeiter bestätigt der Verantwortlichen auf Verlangen die Löschung oder Rückgabe in Textform.

(7) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen oder die zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung erforderlich sind, darf der Auftragsverarbeiter über das Vertragsende hinaus aufbewahren.

(8) Der Auftragsverarbeiter ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Auftrag bekannt gewordenen Daten vertraulich zu behandeln.

§ 12 Laufzeit und außerordentliche Kündigung

(1) Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags.

(2) Die Verantwortliche ist jederzeit zu einer außerordentlichen Kündigung dieser Vereinbarung aus wichtigem Grund berechtigt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragsverarbeiter seinen Pflichten aus dieser Vereinbarung nicht nachkommt, rechtmäßige Weisungen nicht ausführt oder Kontrollrechte vertragswidrig verweigert.

(3) Soweit der Hauptvertrag fortbestehen soll, werden die Parteien im Fall einer außerordentlichen Kündigung unverzüglich über eine datenschutzkonforme Übergangslösung abstimmen. Unberührt bleibt das Recht zur außerordentlichen Kündigung des Hauptvertrags.

§ 13 Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Eine Haftung des Auftragsverarbeiters gegenüber der Verantwortlichen wegen Verletzung von Pflichten aus dieser Vereinbarung oder dem Hauptvertrag bleibt unberührt.

(2) Die Parteien stellen sich jeweils von einer Haftung frei, wenn die in Anspruch genommene Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden oder die Sanktion eingetreten ist.

(3) Regelungen des Hauptvertrags zur Haftung gelten ergänzend, soweit sie mit dem zwingenden Datenschutzrecht vereinbar sind.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieser Vereinbarung vor.

(3) Diese Vereinbarung kann auch in elektronischer Form geschlossen werden. Im Fall des elektronischen Abschlusses sind Vertragsfassung, Zeitpunkt des Abschlusses und die Zustimmung der Parteien nachvollziehbar zu dokumentieren. Die Belehrung und Bestätigung nach § 203 StGB erfolgt hierbei gesondert und hervorgehoben im Registrierungsprozess.

(4) Die Parteien sind sich darüber einig, dass ein Zurückbehaltungsrecht des Auftragsverarbeiters an den im Auftrag verarbeiteten Daten und den zugehörigen Datenträgern ausgeschlossen ist.

(5) Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(6) Es gilt das Recht der Bundesrepublik Deutschland.

Ort, Datum · Verantwortliche · Auftragsverarbeiter

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand

Bereitstellung und Betrieb einer internetbasierten Anwendung zur Unterstützung des Praxisbetriebs der Verantwortlichen, insbesondere für Patientenaufnahme, Dokumentation, Terminorganisation, patientenbezogene Kommunikation, Recruiting und zugehörige Verwaltungsprozesse.

2. Dauer

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags sowie den sich aus dieser Vereinbarung ergebenden Nachlauf-, Rückgabe- und Löschfristen.

3. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Strukturieren, Anpassen, Auslesen, Verwenden, Übermitteln im Rahmen bereitgestellter Kommunikationsfunktionen, Bereitstellen, Abgleichen, Einschränken, Löschen und Vernichten.

4. Zwecke der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu den Zwecken der Verantwortlichen, insbesondere für:

• Führung der Patientenakte einschließlich Anamnese, Befunden und Behandlungsdokumentation

• Terminverwaltung, Online-Buchung und Terminorganisation

• Verwaltung von Verordnungen und Behandlungsserien

• organisatorische, transaktionale und sonstige nach den jeweils eingesetzten Versanddiensten zulässige patientenbezogene Kommunikation im Namen der Verantwortlichen

• Verlaufsbefragungen und sonstige praxisbezogene Rückmeldeprozesse, soweit von der Verantwortlichen eingesetzt

• KI-gestützte interne Aufbereitung, Strukturierung, Zusammenfassung und Entwurfserstellung für die Verantwortliche

• praxisinterne Auswertungen zum Betrieb der Verantwortlichen

• Erfassung und Auswertung von Abrechnungsrückläufern der Kostenträger

• werbliche Ansprache von Patientinnen und Patienten mit deren gesonderter Einwilligung im Namen der Verantwortlichen

• Stellenausschreibungen und Bearbeitung von Bewerbungen für die Verantwortliche

• Verwaltung von Nutzerkonten, Rollen und Berechtigungen der Verantwortlichen

• soweit im Einzelfall personenbezogene Daten von Beschäftigten oder sonstigen Kontaktpersonen der Verantwortlichen betroffen sind: Erstellung oder Verwaltung praxisbezogener Inhalte für die Außendarstellung der Verantwortlichen

5. Kategorien betroffener Personen

• Patientinnen und Patienten der Verantwortlichen

• anfragende, online-buchende oder neu aufzunehmende Personen der Verantwortlichen

• verordnende und mitbehandelnde Ärztinnen und Ärzte sowie Ansprechpersonen bei Kostenträgern

• sonstige Absender eingehender Praxispost der Verantwortlichen

• Bewerberinnen und Bewerber auf Stellen der Verantwortlichen

• Beschäftigte, freie Mitarbeitende und sonstige Nutzerkonten der Verantwortlichen

• gegebenenfalls sonstige Kontaktpersonen der Verantwortlichen, soweit diese in auftragsbezogene Abläufe eingebunden sind

6. Kategorien personenbezogener Daten

• Stammdaten, insbesondere Name, Geburtsdatum, Anschrift

• Kontaktdaten, insbesondere E-Mail-Adresse und Telefonnummer

• Termin- und Kommunikationsdaten

• Verordnungs- und Behandlungsorganisationsdaten

• Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO, insbesondere Angaben aus Aufnahmebogen, Anamnese, Befunden, Behandlungsdokumentation, Verordnungen, Übungsplänen sowie Angaben zum Behandlungsverlauf und Behandlungserfolg

• Abrechnungsdaten gegenüber Kostenträgern, insbesondere Absetzungen aus Abrechnungsrückläufern mit Grund und Betrag je Verordnung

• Bewerbungsdaten und Bewerbungsunterlagen

• Nutzer-, Rollen-, Berechtigungs- und Protokolldaten im Zusammenhang mit der Nutzung der Anwendung

• flüchtige Bild-, Dokument- und Tondaten (insbesondere Fotos von Verordnungen und Befunden, E-Mail-Anhänge, Diktate der Behandlungsdokumentation sowie weitergeleitete Anrufbeantworter-Nachrichten), die ausschließlich flüchtig zur Gewinnung ihres Textinhalts verarbeitet und nicht dauerhaft gespeichert werden

7. Besondere Kategorien personenbezogener Daten

Die Verarbeitung umfasst besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, insbesondere Gesundheitsdaten.

8. Ort der Verarbeitung

Die primäre Speicherung und Verarbeitung patientennaher Daten erfolgt innerhalb der Europäischen Union. Ergänzende Dienstleister-, Support- oder Drittlandbezüge ergeben sich ausschließlich aus Anlage 4.

Anlage 2 – Weisungs- und Ansprechpartner

1. Weisungsberechtigte Personen der Verantwortlichen

[Name, Funktion, E-Mail]

2. Empfangsberechtigte Personen beim Auftragsverarbeiter

• Frank Libossek, kontakt@clivano.de

3. Ansprechpartner für Datenschutzvorfälle

a) Bei der Verantwortlichen

[Name, Funktion, E-Mail, Telefon]

b) Beim Auftragsverarbeiter

• Frank Libossek, kontakt@clivano.de, 089 20 20 74 32

4. Datenschutzbeauftragter

a) Verantwortliche

[Name/Kontaktdaten] oder · Es wurde kein Datenschutzbeauftragter bestellt.

b) Auftragsverarbeiter

• Es wurde kein Datenschutzbeauftragter bestellt.

Anlage 3 – Technische und organisatorische Maßnahmen

Es gilt das gesonderte Dokument „Technische und organisatorische Maßnahmen nach Art. 32 DSGVO für Clivano“ in der mit dieser Vereinbarung vereinbarten Fassung (Stand 13.10.2026, Kennung tom-2026-10-13).

Anlage 4 – Eingesetzte Unterauftragsverarbeiter und sonstige eingebundene Drittdienstleister

1. Allgemeine Hinweise

(1) Diese Anlage benennt die Dienstleister, die der Auftragsverarbeiter im Zusammenhang mit der Erbringung der vertraglich geschuldeten Leistungen einsetzt.

(2) Soweit ein Dienstleister personenbezogene Daten der Verantwortlichen weisungsgebunden für den Auftragsverarbeiter verarbeitet, handelt es sich um einen genehmigten Unterauftragsverarbeiter im Sinne dieser Vereinbarung.

(3) Soweit ein Dienstleister nach seinen eigenen Vertragsbedingungen für abgrenzbare Verarbeitungsschritte in eigener Verantwortlichkeit handelt, ist dies in der nachfolgenden Beschreibung kenntlich gemacht. Solche Verarbeitungsschritte werden durch diese Vereinbarung nicht zu einer Auftragsverarbeitung umqualifiziert.

(4) Die nachfolgend beschriebenen Einsatzgrenzen, Beschränkungen und technischen oder organisatorischen Einschränkungen sind Bestandteil dieser Vereinbarung.

2. Genehmigte Unterauftragsverarbeiter

Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513

• Leistung: Datenbank, Authentifizierung, Dateiablage

• Verarbeitete Daten/Einsatzbereich: Patienten-, Praxis-, Nutzer- und Bewerbungsdaten im Rahmen der Anwendung

• Verarbeitungsort: primär Frankfurt am Main, Deutschland (AWS Region eu-central-1)

• Besondere Hinweise: Der primäre Speicher- und Verarbeitungsort ist vertraglich auf Frankfurt am Main festgelegt. Für den Vertragspartner (Sitz Singapur) sowie dessen Unterauftragsverarbeiter mit Sitz in den USA ist die Übermittlung über die EU-Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914, Module 2 und 3, Rechtswahl Irland) abgesichert; eine Transfer-Folgenabschätzung (TIA) vom 14.03.2025 liegt vor.

Clever Cloud SAS, 4 rue Voltaire, 44000 Nantes, Frankreich

• Leistung: Anwendungslaufzeit / Hosting der Webanwendung

• Verarbeitete Daten/Einsatzbereich: Anwendungslaufzeit für die bereitgestellten Funktionen

• Verarbeitungsort: Paris, Frankreich

• Besondere Hinweise: Eine dauerhafte Speicherung von Anwendungsdaten findet auf den Laufzeitservern nicht statt.

Mistral AI SA, 15 rue des Halles, 75001 Paris, Frankreich

• Leistung: KI-gestützte Textverarbeitung mit Patientenbezug

• Verarbeitete Daten/Einsatzbereich: patientennahe KI-Aufrufe, insbesondere Strukturierung, Zusammenfassung und interne Entwurfserstellung; Texterkennung aus fotografierten oder gescannten Dokumenten (z. B. Verordnungen, Befunde, Abrechnungsschreiben); Sprache-zu-Text-Umwandlung von Sprachaufnahmen aus der Praxis (Diktat der Behandlungsdokumentation sowie an das praxisbezogene Clivano-Postfach weitergeleitete Anrufbeantworter-Nachrichten). Die Nutzung der Anrufbeantworter-Transkription bleibt technisch verriegelt, bis die Verantwortliche die Funktion gesondert aktiviert und die vorherige Information der anrufenden Personen über die automatisierte Verarbeitung durch eine entsprechende vorgeschaltete Bandansage sichergestellt hat. Übermittelte Bild- oder Tondateien werden flüchtig im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert; gespeichert wird ausschließlich der daraus gewonnene Textinhalt.

• Verarbeitungsort: Europäische Union

• Besondere Hinweise: Die Verarbeitung erfolgt ohne Nutzung der übermittelten Daten zu Trainingszwecken. Übermittelte Bild- oder Tondateien werden flüchtig im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert; gespeichert wird ausschließlich der daraus gewonnene Textinhalt.

Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland

• Leistung: KI-gestützte Erstellung patientenfreier Inhalte, soweit auftragsbezogen veranlasst

• Verarbeitete Daten/Einsatzbereich: ausschließlich patientenfreie, von patientennahen Verarbeitungen technisch strikt getrennte Inhaltsverarbeitungen (z. B. Entwürfe für Praxismedien)

• Verarbeitungsort: Irland; Verarbeitung durch Unterauftragsverarbeiter ggf. auch in den USA

• Besondere Hinweise: Gesundheitsdaten werden über diesen Dienst nicht verarbeitet. Für etwaige Unterauftragsverarbeiter außerhalb der EU gelten die EU-Standardvertragsklauseln (Module 2 und 3, irisches Recht).

1&1 IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland

• Leistung: E-Mail-Sammelpostfach (IMAP) für eingehende Praxispost; ausschließlicher Versandweg für E-Mails mit Gesundheitsbezug an einzelne Patientinnen und Patienten

• Verarbeitete Daten/Einsatzbereich: Nachrichteninhalte und Anhänge einschließlich Gesundheitsdaten

• Verarbeitungsort: Deutschland

• Besondere Hinweise: Ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO ist Bestandteil der Vertragsbedingungen (abgerufene Fassung vom 24.08.2026); § 5.4 dieses Vertrags verpflichtet die dortigen Beschäftigten ausdrücklich auf die Wahrung der Geheimnisse der Berufsgeheimnisträger nach § 203 StGB; Anhang 1 dieses Vertrags nennt das Versenden ausdrücklich als Zweck der Verarbeitung. Mehrfachaussendungen mit unklarer Datenklasse unterbleiben vollständig. Steht dieser Dienst nicht zur Verfügung, unterbleibt der Versand der betreffenden Nachricht.

3. Sonstige eingebundene Drittdienstleister mit abgrenzbarer eigener Verantwortlichkeit

Mailjet SAS / Sinch (Mailjet SAS, 4 rue Jules Lefebvre, 75009 Paris, Frankreich)

• Leistung: Versand organisatorischer und transaktionaler E-Mails sowie sonstiger Nachrichten ohne Gesundheitsbezug im Namen der Verantwortlichen; Aussendungen an mehrere Empfänger

• Einsatzbereich: Versand im Namen der Verantwortlichen im Rahmen der jeweils aktivierten und zulässigen Versandstrecken

• Verarbeitungsort: Frankfurt am Main, Deutschland und St. Ghislain, Belgien

• Besondere Hinweise: Über diesen Dienst werden keine Diagnosen, Befundinhalte, Beschwerdefreitexte, Behandlungsschwerpunkte oder indikationsbezogenen Leistungsbezeichnungen übermittelt; Nachrichten mit Gesundheitsbezug an einzelne Patientinnen und Patienten werden ausschließlich über IONOS versendet. Die Zuordnung erfolgt technisch anhand einer für jeden Versandvorgang zwingend gesetzten Datenklasse. Soweit der Dienstleister bei der eigentlichen Bereitstellung von Kommunikationsdiensten für abgrenzbare Verarbeitungsschritte in eigener Verantwortlichkeit handelt (Ziff. 3(a)(iv) des Sinch-Vertrags), steuert der Auftragsverarbeiter die Nutzung dieses Dienstes nur innerhalb der vertraglich und tatsächlich freigegebenen Grenzen. Für etwaige in den USA ansässige Support-Dienstleister ist die Übermittlung über die EU-Standardvertragsklauseln (Module 2 und 3, schwedisches Recht) sowie über die Zertifizierung unter dem EU-US Data Privacy Framework (DPF für Sinch Email / Mailgun Technologies Inc.) abgesichert.

4. Nicht zur patientenbezogenen Auftragsverarbeitung gehörende Dienstleister

Stripe Payments Europe, Ltd.

• Leistung: Zahlungsabwicklung der Lizenzgebühren

• Einsatzbereich: B2B-Vertrags- und Abrechnungsdaten zwischen Praxis und Clivano

• Hinweis: Stripe ist kein Unterauftragsverarbeiter im Rahmen der patientenbezogenen Auftragsverarbeitung, da darüber ausschließlich Abrechnungsdaten der Praxisinhaber und keinerlei Patientendaten verarbeitet werden.