Vereinbarung zur Auftragsverarbeitung (AVV)

1. Vertragsparteien

Auftragsverarbeiter:
3D Design Bernd Hensel-Deeg, Inhaber Bernd Hensel-Deeg, Lehmackerstr. 7, 91541 Rothenburg ob der Tauber, Deutschland, E-Mail: support@praxisdesk.eu.

Verantwortlicher: die Praxis beziehungsweise Organisation, die PraxisDesk auf Grundlage eines Hauptvertrags nutzt („Auftraggeber“). Die konkrete Bezeichnung des Auftraggebers ergibt sich aus dem Hauptvertrag beziehungsweise der Bestellung.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung, der Betrieb, die Wartung und die Absicherung der webbasierten Software PraxisDesk einschließlich der dafür erforderlichen Speicherung und Verarbeitung von Daten, die der Auftraggeber in PraxisDesk eingibt, importiert oder durch seine Nutzer verarbeiten lässt.

Die Auftragsverarbeitung beginnt mit der Bereitstellung eines produktiven PraxisDesk-Zugangs beziehungsweise zu dem im Hauptvertrag bestimmten Zeitpunkt und dauert grundsätzlich für die Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken, insbesondere Vertraulichkeits-, Nachweis- und Löschungspflichten, gelten bis zu ihrer vollständigen Erfüllung fort.

3. Art und Zweck der Verarbeitung

PraxisDesk unterstützt organisatorische Arbeitsabläufe von Therapie- und Heilmittelpraxen. Je nach Nutzung umfasst die Verarbeitung insbesondere Erheben durch Eingabe oder Import, Erfassen, Ordnen, Speichern, Anzeigen, Abfragen, Filtern, Ändern, Übermitteln im Rahmen freigegebener Kommunikationsfunktionen, Archivieren, Sichern, Wiederherstellen und Löschen.

Zwecke sind insbesondere die Verwaltung von Wartelisten und Kontakten, Aufgaben und Teamnotizen, Praxisstandorten, Fachbereichen und Mitarbeitenden, Rollen und Berechtigungen sowie die technische Bereitstellung, Authentifizierung, Sicherheit, Fehleranalyse und Datensicherung des Dienstes. Der Auftragsverarbeiter verarbeitet die fachlichen Praxisdaten nicht für eigene medizinische oder werbliche Zwecke.

4. Arten personenbezogener Daten

• Stamm- und Identifikationsdaten, etwa Name und Geburtsjahr;
• Kontakt- und Adressdaten, etwa Telefon, Mobilnummer, E-Mail und Anschrift;
• Organisations- und Wartelistendaten, etwa Aufnahmedatum, Verfügbarkeiten, gewünschter Standort oder Behandler, Rückruf- und Zurückstellungsinformationen;
• Behandlungsbezogene Angaben und Freitexte, soweit vom Auftraggeber verwendet;
• besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, insbesondere Gesundheitsdaten, etwa Angaben zu Therapieanlass, Diagnose-/Störungsbereich oder sonstige medizinisch relevante Notizen;
• Daten von Mitarbeitenden und Nutzern, insbesondere Name, E-Mail-Adresse, Rolle, Fachbereich, Standortzuordnung und Kontoinformationen;
• technische Nutzungs-, Authentifizierungs-, Sicherheits- und Protokolldaten.

5. Kategorien betroffener Personen

• Patientinnen und Patienten sowie Personen, die eine Behandlung anfragen oder auf eine Warteliste aufgenommen werden;
• gesetzliche Vertreter, Sorgeberechtigte und sonstige Kontaktpersonen von Patientinnen und Patienten;
• Mitarbeitende, Praxisinhaber, Administratoren und sonstige Nutzer des Auftraggebers;
• weitere Personen, deren Daten der Auftraggeber im Rahmen der bestimmungsgemäßen Nutzung in PraxisDesk hinterlegt.

6. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht. Der Hauptvertrag, diese Vereinbarung und die bestimmungsgemäße Nutzung der von PraxisDesk bereitgestellten Funktionen gelten als dokumentierte Weisungen.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, weist er den Auftraggeber unverzüglich darauf hin. Die Ausführung darf bis zur Klärung ausgesetzt werden, soweit dies zum Schutz personenbezogener Daten erforderlich ist.

7. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass Personen, die Zugang zu personenbezogenen Daten des Auftraggebers erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur im Rahmen ihrer Aufgaben und Weisungen verarbeiten. Zugriffsrechte werden nach dem Erforderlichkeitsprinzip vergeben.

8. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Zum derzeitigen technischen Konzept gehören insbesondere:

• HTTPS vor der Anwendung und sichere Produktions-Sitzungscookies;
• kontobasierte Authentifizierung, starke Passwortanforderungen, Schutz gegen wiederholte fehlgeschlagene Anmeldeversuche und optional Zwei-Faktor-Authentifizierung;
• praxisbezogene Mandantentrennung: anwendungsseitige Lese- und Schreibzugriffe auf Praxisdaten werden mit der Praxis-ID der angemeldeten Sitzung begrenzt;
• rollen- und zweckbezogene Berechtigungen innerhalb der Praxis;
• intern erreichbare PostgreSQL-Datenbank in einem vom öffentlichen Webzugriff getrennten Container-Netz; der Webdienst ist serverseitig nur über die lokale Loopback-Schnittstelle veröffentlicht;
• Produktionsgeheimnisse und Schlüssel werden außerhalb des Quellcode-Repositorys in geschützter Serverkonfiguration gehalten;
• Anwendungscontainer läuft als unprivilegierter Benutzer; reproduzierbare Builds und automatisierte Sicherheits-/Build-Prüfungen vor Deployment;
• Healthchecks und ein Deployment-Verfahren mit Abbruch bei Fehlern sowie technischer Rückfallmöglichkeit für das Web-Image;
• Datensicherungs- und Wiederherstellungsmaßnahmen mit externer Kopie; die bestätigte pCloud-Datenregion ist EU/Luxemburg;
• technische Wartung von Sitzungs-, Sicherheits- und Aufbewahrungsprüfdaten; Patientendaten werden nicht aufgrund pauschaler Fristen automatisch gelöscht.

Die Maßnahmen werden entsprechend der technischen Entwicklung und des Risikos fortentwickelt. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

9. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, die nachfolgend aufgeführten Unterauftragsverarbeiter für die bezeichneten Leistungen einzusetzen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter, soweit erforderlich, vertraglich zu Datenschutzpflichten, die dem nach dieser Vereinbarung geschuldeten Schutzniveau entsprechen.

Über eine beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, der personenbezogene Praxisdaten verarbeitet, informiert der Auftragsverarbeiter den Auftraggeber vorab in geeigneter Weise. Der Auftraggeber erhält die Möglichkeit, aus berechtigten datenschutzrechtlichen Gründen Einwände zu erheben.

10. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Geht eine Anfrage einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein und betrifft sie Daten, für die der Auftraggeber verantwortlich ist, wird die Anfrage grundsätzlich an den Auftraggeber verwiesen beziehungsweise weitergeleitet, soweit dies möglich und zulässig ist. Der Auftragsverarbeiter beantwortet die fachliche Anfrage nicht ohne Weisung des Auftraggebers.

11. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten des Auftraggebers betroffen sein können. Er stellt die ihm verfügbaren Informationen bereit, die der Auftraggeber zur Prüfung und Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt, und unterstützt bei angemessenen Abhilfemaßnahmen.

12. Datenschutz-Folgenabschätzung und Aufsichtsbehörden

Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen angemessen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und, soweit erforderlich, bei vorherigen Konsultationen nach Art. 36 DSGVO.

13. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter nach Wahl des Auftraggebers die personenbezogenen Daten des Auftraggebers zurück und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Soweit Daten in Sicherungskopien enthalten sind, werden sie entsprechend dem technisch vorgesehenen Sicherungszyklus aus den Backups entfernt beziehungsweise bis zur turnusmäßigen Löschung gesperrt und nicht für andere Zwecke verarbeitet.

Die konkrete Form eines Datenexports richtet sich nach den bei Vertragsende technisch bereitstehenden Exportmöglichkeiten und einer gegebenenfalls erforderlichen Weisung des Auftraggebers.

14. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen. Der Auftraggeber kann nach angemessener Vorankündigung Prüfungen selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen, soweit berechtigte Sicherheits- und Geheimhaltungsinteressen des Auftragsverarbeiters und anderer Kunden gewahrt bleiben.

Soweit geeignete aktuelle Dokumentationen, Prüfberichte oder andere Nachweise die erforderliche Kontrolle ermöglichen, sollen diese vorrangig genutzt werden, um Eingriffe in den sicheren Betriebsablauf zu minimieren.

15. Pflichten des Auftraggebers

Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, die Festlegung angemessener Aufbewahrungs- und Löschfristen sowie die Zulässigkeit der in PraxisDesk eingegebenen Inhalte verantwortlich. Insbesondere bestimmt der Auftraggeber die Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten und sonstigen besonderen Kategorien personenbezogener Daten.

16. Rangfolge und Schlussbestimmungen

Bei Widersprüchen zu Regelungen des Hauptvertrags über die Verarbeitung personenbezogener Daten gehen die datenschutzrechtlichen Bestimmungen dieser Vereinbarung vor. Änderungen dieser Vereinbarung, die die Anforderungen des Art. 28 DSGVO betreffen, bedürfen einer dokumentierbaren Form. Im Übrigen gelten die Bestimmungen des Hauptvertrags.