Nutzungsbedingungen für Apotheken im Rahmen der assistierten Telemedizin

Auftragsverarbeitungsvertrag

nach Art. 28 Abs. 3 DS-GVO

Stellung im Vertragswerk: Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“ oder „AVV“) ist Anlage 1 zu den Nutzungsbedingungen für Apotheken im Rahmen der assistierten Telemedizin (nachfolgend „Nutzungsbedingungen“) der arztkonsultation ak GmbH und Bestandteil dieser Nutzungsbedingungen. Er gilt gemäß § 13 der Nutzungsbedingungen mit Abschluss des Vertragsverhältnisses nach den Nutzungsbedingungen (nachfolgend „Vertragsverhältnis“) als abgeschlossen und wird ohne gesonderte Unterzeichnung wirksam. Einer weiteren Ausfüllung oder Ergänzung durch die Parteien bedarf es nicht.

Zwischen

der nach den Nutzungsbedingungen registrierten Apotheke

als Verantwortlicher (nachfolgend „Auftraggeber“)

und

arztkonsultation ak GmbH, Schusterstraße 3, 19055 Schwerin

als Auftragsverarbeiter (nachfolgend „Auftragnehmer“)

Auftraggeber und Auftragnehmer nachfolgend jeweils auch „Partei“ und gemeinsam „Parteien“.

Präambel

Der Auftraggeber nutzt auf Grundlage der Nutzungsbedingungen die vom Auftragnehmer bereitgestellte Plattform zur assistierten Telemedizin. Teil der Vertragsdurchführung ist die Verarbeitung von personenbezogenen Daten durch den Auftragnehmer. Insbesondere Art. 28 DS-GVO stellt bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen gilt zwischen den Parteien die nachfolgende Vereinbarung, deren Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

§ 1 Begriffsbestimmungen

In diesem Vertrag verwendete Begriffe, die in Art. 4, 9 und 10 DS-GVO definiert werden, sind im Sinne dieser gesetzlichen Definition zu verstehen. Im Übrigen gelten die Begriffsbestimmungen der Nutzungsbedingungen fort, soweit dieser Vertrag nichts Abweichendes regelt.

§ 2 Vertragsgegenstand

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen im Bereich Software as a Service (SaaS) auf Grundlage der Nutzungsbedingungen. Dabei erhält der Auftragnehmer Zugriff auf personenbezogene Daten und verarbeitet diese ausschließlich im Auftrag und nach Weisung des Auftraggebers, sofern der Auftragnehmer nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu einer anderen Verarbeitung verpflichtet ist. Umfang und Zweck der Datenverarbeitung durch den Auftragnehmer ergeben sich aus den Nutzungsbedingungen sowie aus der Anlage 1 zu diesem Vertrag. Dem Auftraggeber obliegt die alleinige Beurteilung der Zulässigkeit der Datenverarbeitung gemäß Art. 6 Abs. 1 DS-GVO.

(2) Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen der vorliegenden Vereinbarung gehen im Zweifel den übrigen Regelungen der Nutzungsbedingungen vor, soweit datenschutzrechtliche Rechte und Pflichten betroffen sind.

(3) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit den Nutzungsbedingungen in Zusammenhang stehen und bei denen der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Auftraggeber stammen oder für den Auftraggeber erhoben wurden oder auf sonstige Weise in dessen Auftrag verarbeitet werden.

(4) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Vertragsverhältnisses nach den Nutzungsbedingungen, sofern sich aus den nachfolgenden Bestimmungen nicht darüber hinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

(5) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet grundsätzlich in einem Mitgliedstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Eine Verarbeitung personenbezogener Daten des Auftraggebers in einem Drittland ist nur zulässig, soweit die Voraussetzungen der Art. 44 bis 49 DS-GVO erfüllt sind und der Auftraggeber die Übermittlung nach § 4 dieses Vertrages angewiesen oder ihr zugestimmt hat. Der Auftragnehmer stellt in diesem Fall ein angemessenes Datenschutzniveau insbesondere durch einen der folgenden Mechanismen sicher:

1. das Vorliegen eines Angemessenheitsbeschlusses der Europäischen Kommission nach Art. 45 DS-GVO für das betreffende Drittland, einen Sektor oder einen zertifizierten Empfänger (z. B. EU-U.S. Data Privacy Framework); oder

2. das Bestehen geeigneter Garantien nach Art. 46 DS-GVO, insbesondere den Abschluss der von der Europäischen Kommission erlassenen Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DS-GVO (Durchführungsbeschluss (EU) 2021/914) in der jeweils gültigen Fassung, verbindliche interne Datenschutzvorschriften nach Art. 47 DS-GVO oder genehmigte Verhaltensregeln bzw. Zertifizierungsmechanismen nach Art. 46 Abs. 2 lit. e und f DS-GVO.

Werden die Daten auf Grundlage geeigneter Garantien nach lit. b) übermittelt, führt der Auftragnehmer erforderlichenfalls eine Bewertung der Rechtslage und der Praxis im Drittland (Transfer Impact Assessment) durch und trifft, soweit erforderlich, ergänzende technische, organisatorische und vertragliche Maßnahmen, um ein dem EU-Recht der Sache nach gleichwertiges Schutzniveau zu gewährleisten. Der Auftragnehmer weist dem Auftraggeber die getroffenen Garantien und Maßnahmen auf Anfrage nach.

(6) Der Auftragnehmer gewährleistet, dass er die Auftraggeber-Daten im Einklang mit den Bestimmungen dieses Vertrages und den Weisungen des Auftraggebers verarbeitet. Der Auftragnehmer bestätigt, dass ihm und seinen Beschäftigten, die mit Auftraggeber-Daten umgehen, die Vorschriften der DS-GVO und die sonstigen einschlägigen Datenschutzvorschriften bekannt sind.

§ 3 Art der verarbeiteten Daten, Kreis der betroffenen Personen

Im Rahmen der Durchführung des Vertragsverhältnisses erhält der Auftragnehmer Zugriff auf die in Anlage 1 näher spezifizierten personenbezogenen Daten der ebenfalls in Anlage 1 näher spezifizierten betroffenen Personen. Diese Daten umfassen die in Anlage 1 aufgeführten und als solche gekennzeichneten besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO.

§ 4 Weisungsrecht

(1) Der Auftragnehmer darf Daten nur im Rahmen der Nutzungsbedingungen und dieses Vertrages sowie gemäß den Weisungen des Auftraggebers erheben, nutzen oder auf sonstige Weise verarbeiten; dies gilt insbesondere in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Auftraggebers werden anfänglich durch diesen Vertrag und die Nutzungsbedingungen festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in dokumentiertem elektronischem Format durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der Auftraggeber ist jederzeit zur Erteilung entsprechender Weisungen berechtigt. Dies umfasst Weisungen im Hinblick auf die Berichtigung, Löschung und Einschränkung der Verarbeitung von Daten. Die weisungsberechtigten Personen und der Kommunikationsweg ergeben sich aus Anlage 4.

(3) Alle schriftlich oder mündlich erteilten Weisungen sind sowohl vom Auftraggeber als auch vom Auftragnehmer zu dokumentieren und für die Dauer ihrer Geltung sowie anschließend für drei weitere volle Kalenderjahre aufzubewahren. Weisungen, die über die nach den Nutzungsbedingungen vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 5 Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird, und gewährleistet, dass er alle erforderlichen technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers gemäß Art. 32 DS-GVO, insbesondere mindestens die in Anlage 2 aufgeführten Maßnahmen, getroffen hat. Der Auftragnehmer versichert, die in Anlage 2 beigefügten technischen und organisatorischen Maßnahmen gemäß Art. 32 Abs. 1 lit. d DS-GVO einer regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit zu unterziehen, um die Sicherheit der Verarbeitung zu gewährleisten. Sofern auch besondere Kategorien personenbezogener Daten verarbeitet werden, trifft der Auftragnehmer zusätzlich die sich aus § 22 Abs. 2 BDSG ergebenden angemessenen und spezifischen Maßnahmen. Der Auftragnehmer legt auf Anforderung des Auftraggebers die näheren Umstände der Festlegung und Umsetzung der Maßnahmen offen.

Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(3) Der Auftragnehmer hat einen betrieblichen Datenschutzbeauftragten bestellt. Die jeweils aktuellen Kontaktdaten des Datenschutzbeauftragten stellt der Auftragnehmer unter arztkonsultation.de/datenschutz/ bereit und teilt sie auf Anfrage über sicherheit@arztkonsultation.de in Textform mit.

(4) Den bei der Datenverarbeitung durch den Auftragnehmer beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu nutzen oder auf sonstige Weise zu verarbeiten. Der Auftragnehmer wird alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (nachfolgend „Beschäftigte“), entsprechend verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DS-GVO) und über die sich aus diesem Vertrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehren sowie mit der gebotenen Sorgfalt die Einhaltung der vorgenannten Verpflichtung sicherstellen. Diese Verpflichtungen müssen so gefasst sein, dass sie auch nach Beendigung dieses Vertrages oder des Beschäftigungsverhältnisses zwischen dem Beschäftigten und dem Auftragnehmer bestehen bleiben. Dem Auftraggeber sind die Verpflichtungen auf Verlangen in geeigneter Weise nachzuweisen.

(5) Die Verarbeitung von Daten, die Gegenstand dieses Vertrags sind, in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) ist gestattet. Die Einhaltung der Schutzmaßnahmen nach § 5 Abs. 1 und 2 dieses Vertrags sowie der Maßgaben des Art. 32 DS-GVO wird auch in diesem Fall durch den Auftragnehmer sichergestellt.

§ 6 Informationspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragnehmer den Auftraggeber unverzüglich in Schriftform oder dokumentiertem elektronischen Format informieren, soweit diese sich auf die Datenverarbeitungen im Rahmen dieses Vertrages beziehen. Dasselbe gilt für Prüfungen des Auftragnehmers durch die Datenschutz-Aufsichtsbehörde. Die Meldung über eine Verletzung des Schutzes personenbezogener Daten enthält soweit möglich folgende Informationen:

a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der Zahl der betroffenen Personen, der betroffenen Kategorien und der Zahl der betroffenen personenbezogenen Datensätze;

b) eine Beschreibung der wahrscheinlichen Folgen der Verletzung; und

c) eine Beschreibung der vom Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(2) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die betroffene(n) Person(en), informiert hierüber den Auftraggeber und ersucht diesen um weitere Weisungen.

(3) Der Auftragnehmer ist darüber hinaus verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach Absatz 1 betroffen sind.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Pflichten des Auftraggebers nach Art. 33 und 34 DS-GVO in angemessener Weise (Art. 28 Abs. 3 S. 2 lit. f DS-GVO). Meldungen für den Auftraggeber nach Art. 33 oder 34 DS-GVO darf der Auftragnehmer nur nach vorheriger Weisung seitens des Auftraggebers gemäß § 4 dieses Vertrags durchführen.

(5) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ im Sinne der DS-GVO liegt.

(6) Über wesentliche Änderungen der Sicherheitsmaßnahmen nach § 5 Abs. 2 dieses Vertrags hat der Auftragnehmer den Auftraggeber unverzüglich zu unterrichten.

(7) Ein Wechsel in der Person des betrieblichen Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

(8) Der Auftragnehmer und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, das alle Angaben gemäß Art. 30 Abs. 2 DS-GVO enthält. Das Verzeichnis ist dem Auftraggeber auf Anforderung zur Verfügung zu stellen.

(9) An der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten durch den Auftraggeber sowie bei der Erstellung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DS-GVO und ggf. bei der vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DS-GVO hat der Auftragnehmer im angemessenen Umfang mitzuwirken. Er hat dem Auftraggeber die jeweils erforderlichen Angaben in geeigneter Weise mitzuteilen.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen des Auftragnehmers. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen, sich vorhandene Zertifizierungen oder Ergebnisse interner Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragnehmers nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und die Betriebsabläufe des Auftragnehmers dabei nicht unverhältnismäßig stören.

(2) Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf dessen mündliche, schriftliche oder elektronische Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der technischen und organisatorischen Maßnahmen des Auftragnehmers erforderlich sind.

(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten, die der Auftraggeber insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragnehmer unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Auftraggeber dem Auftragnehmer die notwendigen Verfahrensänderungen unverzüglich mit.

(4) Der Auftragnehmer stellt dem Auftraggeber auf dessen Wunsch ein umfassendes und aktuelles Datenschutz- und Sicherheitskonzept für die Auftragsverarbeitung sowie über zugriffsberechtigte Personen zur Verfügung.

(5) Der Auftragnehmer weist dem Auftraggeber die Verpflichtung der Mitarbeiter nach § 5 Abs. 4 auf Verlangen nach.

(6) Der Auftraggeber vergütet dem Auftragnehmer den Aufwand, der ihm im Rahmen der Kontrolle entsteht, es sei denn, dass die Kontrolle aufgrund eines vorherigen Fehlverhaltens des Auftragnehmers notwendig wird.

§ 8 Einsatz von Subunternehmern (Unterauftragsverarbeiter)

(1) Die vertraglich vereinbarten Leistungen bzw. die entsprechenden Teilleistungen werden unter Einschaltung der in Anlage 3 genannten Subunternehmer durchgeführt. Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern („Subunternehmerverhältnis“) befugt, soweit er den Auftraggeber hiervon vorab in Textform in Kenntnis setzt und dieser der Beauftragung des Subunternehmers nicht innerhalb von zwei Wochen ab Zugang der Mitteilung in Textform widerspricht. Der Auftragnehmer ist verpflichtet, Subunternehmer sorgfältig nach deren Eignung und Zuverlässigkeit auszuwählen. Der Auftragnehmer hat bei der Einschaltung von Subunternehmern diese entsprechend den Regelungen dieser Vereinbarung zu verpflichten und dabei sicherzustellen, dass der Auftraggeber seine Rechte aus dieser Vereinbarung (insbesondere seine Prüf- und Kontrollrechte) direkt gegenüber den Subunternehmern wahrnehmen kann. Sofern eine Einbeziehung von Subunternehmern in einem Drittland erfolgen soll, hat der Auftragnehmer sicherzustellen, dass beim jeweiligen Subunternehmer ein angemessenes Datenschutzniveau gewährleistet ist (z. B. durch Abschluss einer Vereinbarung auf Basis der EU-Standarddatenschutzklauseln). Der Auftragnehmer wird dem Auftraggeber auf Verlangen den Abschluss der vorgenannten Vereinbarungen mit seinen Subunternehmern nachweisen.

Im Rahmen der Mitteilung an den Auftraggeber teilt der Auftragnehmer den Namen und die Kontaktdaten des neuen Subunternehmers mit sowie die Art der Leistung, welche dieser für den Auftragnehmer erbringen soll. Eine Ablehnung der durch den Auftragnehmer vorgeschlagenen Subunternehmer darf nur erfolgen, wenn dafür in der Person des Subunternehmers wichtige, im Datenschutz angesiedelte Gründe vorliegen oder dem Auftraggeber aus anderen, darzulegenden Gründen eine Zustimmung nicht zugemutet werden kann.

(2) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z. B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt, sowie Bewachungsdienste. Wartungs- und Prüfleistungen stellen zustimmungspflichtige Subunternehmerverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden.

§ 9 Anfragen und Rechte betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie 32 und 36 DS-GVO.

(2) Macht eine betroffene Person Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich ihrer Daten, unmittelbar gegenüber dem Auftragnehmer geltend, so reagiert dieser nicht selbstständig, sondern verweist die betroffene Person unverzüglich an den Auftraggeber und wartet dessen Weisungen ab.

§ 10 Beendigung

(1) Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Vertragsverhältnisses nach den Nutzungsbedingungen oder jederzeit auf dessen Anforderung alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder – nach Wahl des Auftraggebers, sofern nicht nach dem Unionsrecht oder dem Recht der Bundesrepublik Deutschland eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht – löschen. Dies betrifft auch etwaige Datensicherungen beim Auftragnehmer. Der Auftragnehmer hat den dokumentierten Nachweis der ordnungsgemäßen Löschung noch vorhandener Daten zu führen.

(2) Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Rückgabe bzw. Löschung der Daten beim Auftragnehmer in geeigneter Weise zu kontrollieren bzw. durch einen sachkundigen Dritten prüfen zu lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.

(3) Soweit Auftraggeber-Daten zu löschen sind, die auf Datenträgern enthalten sind, sind diese Datenträger mindestens gemäß Sicherheitsstufe 3 der DIN 66399 „Büro und Datentechnik – Vernichtung von Datenträgern“ zu vernichten; soweit Datenträger besondere Arten von personenbezogenen Daten enthalten, sind diese gemäß Sicherheitsstufe 4 der DIN 66399 zu vernichten.

(4) Der Auftragnehmer ist verpflichtet, auch über das Ende des Vertragsverhältnisses hinaus die ihm im Zusammenhang mit diesem bekannt gewordenen Daten vertraulich zu behandeln. Die vorliegende Vereinbarung bleibt über das Ende des Vertragsverhältnisses hinaus solange gültig, wie der Auftragnehmer über personenbezogene Daten verfügt, die ihm vom Auftraggeber zugeleitet wurden oder die er für diesen erhoben hat.

§ 11 Haftung und Freistellung

(1) Für die Haftung der Parteien nach diesem Vertrag gelten die Regelungen des § 21 der Nutzungsbedingungen entsprechend. Danach haftet der Auftragnehmer nach den gesetzlichen Bestimmungen für Vorsatz und grobe Fahrlässigkeit sowie bei der Verletzung von Leben, Körper oder Gesundheit. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) ist die Haftung des Auftragnehmers auf den vorhersehbaren, vertragstypischen Schaden begrenzt; im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Die Haftung nach zwingenden gesetzlichen Vorschriften, insbesondere nach Art. 82 DS-GVO im Verhältnis zu betroffenen Personen, bleibt unberührt.

(2) Soweit Dritte Ansprüche gegen den Auftragnehmer geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftraggebers gegen diesen Vertrag oder gegen eine seiner Pflichten als datenschutzrechtlich Verantwortlicher haben, stellt der Auftraggeber den Auftragnehmer von diesen Ansprüchen auf erstes Anfordern frei.

(3) Der Auftraggeber verpflichtet sich, den Auftragnehmer auch von allen etwaigen Geldbußen, die gegen den Auftragnehmer verhängt werden, in dem Umfang auf erstes Anfordern freizustellen, in dem der Auftraggeber Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.

§ 12 Schlussbestimmungen

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen. Änderungen und Ergänzungen dieses Vertrages richten sich nach § 22 der Nutzungsbedingungen und bedürfen der Schriftform oder eines dokumentierten elektronischen Formats. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt hiervon unberührt.

(3) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, so wird hierdurch die Gültigkeit der jeweils übrigen Bestimmungen nicht berührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

Abschluss ohne Unterschrift: Dieser Auftragsverarbeitungsvertrag gilt gemäß § 13 der Nutzungsbedingungen mit Abschluss des Vertragsverhältnisses nach den Nutzungsbedingungen als zwischen den Parteien geschlossen. Einer gesonderten Unterzeichnung dieses Vertrages oder seiner Anlagen bedarf es nicht; die nachfolgenden Anlagen 1 bis 4 sind Bestandteil dieses Vertrages.

Anlage 1 – Beschreibung der Verarbeitung, betroffenen Personen und Datenkategorien

1. Art und Zweck der vorgesehenen Verarbeitung von Daten

Nähere Beschreibung des Auftragsgegenstandes im Hinblick auf Art und Zweck der Aufgaben des Auftragnehmers:

• Hosting der Custom Domain des Auftraggebers;

• Anlegen und Verwalten eines Nutzerkontos;

• Anlegen und Verwalten von User Accounts;

• Bereitstellung einer Oberfläche zur Online-Terminbuchung für Leistungsnehmer und Bereitstellung der abgefragten Daten für den behandelnden Leistungserbringer

• Bereitstellung eines eindeutigen Links für den Start des Videoanrufes;

• Bereitstellung und Initialisierung der Videosprechstunde sowie der strukturierten Ersteinschätzung (SymptomCheck);

• Anzeige von Vor- und Nachname der Leistungsnehmer im Warteraum und während der Videosprechstunde zur eindeutigen Identifikation durch den Leistungserbringer;

• Versand von Benachrichtigungen (z. B. Termin- und Registrierungshinweise) per E-Mail und SMS;

• nichtärztlicher technischer Support (Ticket-System).

2. Art der Daten

Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:

• Server-Logfiles, IT-Nutzungsdaten aller Teilnehmer;

• Name, Adress-, Kommunikationsdaten des Auftraggebers;

• Angaben zum Beruf des Auftraggebers;

• Name der Leistungsnehmer;

• Name von zusätzlichen Gesprächsteilnehmern wie Ärztinnen/Ärzten, Therapeutinnen/Therapeuten oder Angehörigen;

• Kommunikations- bzw. Kontaktdaten (E-Mail-Adresse, Telefonnummer) von zusätzlichen Gesprächsteilnehmern;

• Termindaten für die Bereitstellung und Initialisierung der Videosprechstunde;

• besondere Kategorien personenbezogener Daten gemäß Art. 9 DS-GVO (insbesondere Gesundheitsdaten), soweit sie im Rahmen der Terminbuchungsstrecke, des Anamnesebogens oder der strukturierten Ersteinschätzung durch die betroffene Person eingegeben werden.

3. Kategorien betroffener Personen

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

• Auftraggeber (Apotheke) sowie deren Inhaber:innen und Mitarbeitende;

• versicherte Personen / Patientinnen und Patienten;

• weitere Gesprächsteilnehmer wie Angehörige, Ärztinnen/Ärzte, Therapeutinnen/Therapeuten.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM) des Auftragnehmers nach Art. 32 DS-GVO

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

Zutrittskontrolle

Für die Büroräume:

• Türsicherungen (abschließbare Büroräume)

• Keine Fenster zur Straße, sondern geschlossener Innenbereich

• Zaunanlagen

• Schlüsselverwaltung/Dokumentation der Schlüsselvergabe

• Aufbewahrung von Back-Ups und/oder sonstigen Datenträgern

• Nicht-reversible Vernichtung von Datenträgern

• Besucherregelung (Bspw. Abholung am Empfang, Dokumentation von Besuchszeiten, Besucherausweis, Begleitung nach dem Besuch bis zum Ausgang)

Zugangskontrolle

Folgende implementierte Maßnahmen verhindern, dass Unbefugte Zugang zu den Datenverarbeitungssystemen haben.

• Persönlicher und individueller User-Log-In bei Anmeldung am System bzw. Unternehmensnetzwerk

• Autorisierungsprozess für Zugangsberechtigungen

• Begrenzung der befugten Benutzer

• Public-Key-Authentifizierung

• Einsatz von VPN-Technologie

• Elektronische Dokumentation von Passwörtern und Schutz dieser Dokumentation vor unbefugtem Zugriff

• zusätzlicher System-Log-In für bestimmte Anwendungen

• Automatische Sperrung der Clients nach gewissem Zeitablauf ohne Useraktivität (auch passwortgeschützter Bildschirmschoner oder automatische Pausenschaltung)

Zugriffskontrolle

Folgende implementierte Maßnahmen stellen sicher, dass Unbefugte keinen Zugriff auf personenbezogene Daten haben.

• Verwaltung und Dokumentation von differenzierten Berechtigungen

• Abschluss von Verträgen zur Auftragsverarbeitung für die externe Pflege, Wartung und Reparatur von Datenverarbeitungsanlagen, sofern bei der Fernwartung die Verarbeitung von pbD, also der Umgang mit personenbezogenen Daten, Gegenstand der Dienstleistung ist.

• Auswertungen/Protokollierungen von Datenverarbeitungen

• Autorisierungsprozess für Berechtigungen

• Profile- und Rollenkonzept

• Verschlüsselung von CD/DVD- ROM, externen Festplatten und/oder Laptops (etwa per Betriebssystem, TrueCrypt, Safe Guard Easy, WinZip, PGP)

• Funktionstrennung „Segregation of Duties“

• Nicht-reversible Löschung von Datenträgern

• Protokollierung von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten

• Anzahl der Administratoren auf das „Notwendigste“ reduziert

• Verwaltung der Rechte durch Systemadministratoren

Trennungskontrolle

Folgende Maßnahmen stellen sicher, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden.

• Zugriffsberechtigungen nach funktioneller Zuständigkeit

• Getrennte Datenverarbeitung durch differenzierende Zugriffsregelungen

• Mandantenfähigkeit von IT-Systemen durch logische Trennung

• Verwendung von Testdaten

• Trennung von Entwicklungs- und Produktionsumgebung

  1. Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

Bei der Videosprechstunde werden Fehler, Ergebnisse von Checks, Eintreten von Ereignissen wie Gesprächsbeginn, Gesprächsende usw. protokolliert. Um Protokolleinträge einem Benutzer zuordnen zu können, wird eine zufällige LogID erzeugt. Diese LogID wird nur dem Benutzer angezeigt. Bei technischen Problemen können mit Angabe der LogID durch den Anwender die Protokolleinträge gefiltert werden. Die LogID ändert sich alle 24h

2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

Weitergabekontrolle

Es ist sichergestellt, dass personenbezogene Daten bei der Übertragung oder Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und überprüft werden kann, welche Personen oder Stellen personenbezogene Daten erhalten haben. Zur Sicherstellung sind folgende Maßnahmen implementiert:

• Verschlüsselung des Speichermediums von Laptops

• Encryption at Rest

• Gesicherter File Transfer (z.B. sftp)

• Gesicherter Datentransport (z.B. SSL - https: TLS) x Gesichertes WLAN WPA2/WPA3

• Regelung zum Umgang mit mobilen Speichermedien

• Protokollierung des Veränderns oder Entfernens von Daten

• Getunnelte Datenfernverbindungen (VPN = Virtuelles Privates Netzwerk)

Eingabekontrolle

Durch folgende Maßnahmen ist sichergestellt, dass geprüft werden kann, wer personenbezogene Daten zu welcher Zeit in Datenverarbeitungsanlagen verarbeitet hat.

• Zugriffsrechte

• Systemseitige Protokollierungen

• Funktionelle Verantwortlichkeiten, organisatorisch festgelegte Zuständigkeiten

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO) Verfügbarkeitskontrolle und Belastbarkeitskontrolle

Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt und für den Auftraggeber stets verfügbar sind.

• Sicherheitskonzept für Software- und IT-Anwendungen

• Back-Up Verfahren

• Aufbewahrungsprozess für Back-Ups (brandgeschützter Safe, getrennter Brandabschnitt, etc.)

• Gewährleistung der Datenspeicherung im gesicherten Netzwerk

• Bedarfsgerechtes Einspielen von Sicherheits-Updates

• Einrichtung einer unterbrechungsfreien Stromversorgung (USV)

• Software zum Schutz gegen Schadsoftware

• Redundante, örtlich getrennte Datenaufbewahrung (Offsite Storage)

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS- GVO; Art. 25 Abs. 1 DS-GVO)

Datenschutz-Management

Folgende Maßnahmen sollen gewährleisten, dass eine den datenschutzrechtlichen Grundanforderungen genügende Organisation vorhanden ist:

• Bestellung eines Datenschutzbeauftragten

• Verpflichtung der Mitarbeiter auf das Datengeheimnis

• Hinreichende Schulungen der Mitarbeiter in Datenschutzangelegenheiten

• Führen einer Übersicht über Verarbeitungstätigkeiten (Art. 30 DSGVO)

• Durchführung von Datenschutzfolgenabschätzungen, soweit erforderlich (Art. 35 DSGVO)

• Ext. Prüfung/Auditierung der Informationssicherheit

Incident-Response-Management

Folgende Maßnahmen sollen gewährleisten, dass im Fall von Datenschutzverstößen Meldeprozesse ausgelöst werden:

• Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Aufsichtsbehörden (Art. 33 DSGVO)

• Meldeprozess für Datenschutzverletzungen nach Art. 4 Ziffer 12 DSGVO gegenüber den Betroffenen (Art. 34 DSGVO)

Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DS-GVO)

Die Default Einstellungen sind sowohl bei den standardisierten Voreinstellungen von Systemen und Apps als auch bei der Einrichtung der Datenverarbeitungsverfahren zu berücksichtigen. In dieser Phase werden Funktionen und Rechte konkret konfiguriert, wird im Hinblick auf Datenminimierung die Zulässigkeit bzw.

Unzulässigkeit bestimmter Eingaben bzw. von Eingabemöglichkeiten (z. B. von Freitexten) festgelegt und über die Verfügbarkeit von Nutzungsfunktionen entschieden (z. B. hinsichtlich des Umfangs der Verarbeitung). Ebenso werden die Art und der Umfang des Personenbezugs bzw. der Anonymisierung (z. B. bei Selektions-, Export- und Auswertungsfunktionen, die festgelegt und voreingestellt oder frei gestaltbar zur Verfügung gestellt werden können) oder die Verfügbarkeit von bestimmten Verarbeitungsfunktionen, Protokollierungen etc. festgelegt.

• Es müssen nur die Daten eingegeben werden, die zur Abrechnung, Kommunikation mit dem Kunden bzw. Patienten in der Videosprechstunde nach Anlage 31b zum Bundesmantelvertrag-Ärzte notwendig sind.

Auftragskontrolle

Durch folgende Maßnahmen ist sichergestellt, dass personenbezogene Daten nur entsprechend der Weisungen verarbeitet werden können.

• Vereinbarung zur Auftragsverarbeitung mit Regelungen zu den Rechten und Pflichten des Auftragnehmers und

• Bestimmung von Ansprechpartnern und/oder verantwortlichen Mitarbeitern

• Schulungen/Einweisung aller zugriffsberechtigten Mitarbeiter beim

• Auftragnehmer

Verpflichtung der Mitarbeiter auf das Datengeheimnis

Anlage 3 – Genehmigte Unterauftragnehmer (Subunternehmer)

Die nachfolgenden Unternehmen sind genehmigte Subunternehmer im Sinne des § 8 dieses Vertrages:

Firma	Anschrift	Leistung	Verarbeitungsort
Schwarz Digits Cloud GmbH & Co. KG	Am Campus 1, 74177 Bad Friedrichshall, Deutschland	Hosting Plattform inkl. Terminbuchung	EU (Deutschland)
retarus GmbH	Aschauer Straße 30, 81549 München, Deutschland E-Mail: info@de.retarus.com	Versand von SMS und E-Mail (z. B. Termine, Registrierungsbestätigungen)	EU (Deutschland)
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland E-Mail: support@hetzner.com	Hosting Videosprechstunde	EU (Deutschland)
Atlassian Pty Ltd (Jira Service Management)	Level 6, 341 George Street, Sydney NSW 2000, Australien E-Mail: eudatarep@atlassian.com	Support-Portal / Ticket-System. Verarbeitet werden lediglich E-Mail-Adresse und Name der supportanfragenden Person. Das Hosting erfolgt ausschließlich innerhalb der EU (Datenresidenz).	EU
Mailjet GmbH	Alt Moabit 2, 10557 Berlin, Deutschland	Versand von Transaktions- und Benachrichtigungs-E-Mails.	EU (Deutschland)
Brevo GmbH	Köpenicker Str. 126, 10179 Berlin, Deutschland	Versand von Transaktions- und Benachrichtigungs-E-Mails.	EU (Deutschland)

Anlage 4 – Weisungsberechtigte Personen und Kommunikationsweg

Weisungsberechtigte Personen des Auftraggebers

Weisungsberechtigt auf Seiten des Auftraggebers sind

• die gesetzlichen Vertreterinnen und Vertreter der Apotheke (Inhaberin/Inhaber bzw. vertretungsberechtigte Person) sowie

• die von der Apotheke im Plattform-Account als administrativ berechtigt eingerichteten Benutzerkonten.

Weisungen erfolgen über die im Plattform-Account hinterlegten Kontaktdaten der Apotheke sowie über die nachstehend genannten Kommunikationskanäle des Auftragnehmers. Der Auftraggeber stellt sicher, dass nur tatsächlich berechtigte Personen als administrativ berechtigt eingerichtet werden, und teilt Wechsel unverzüglich über den Account oder in Textform mit.

Weisungsempfänger beim Auftragnehmer

Jan Zeggel, Schusterstraße 3, 19055 Schwerin, E-Mail: jan.zeggel@arztkonsultation.de, Telefon: +49 385 5183000-0.

Für die Weisung zu nutzende Kommunikationskanäle: Brief und E-Mail sowie die Funktionen des Plattform-Accounts.