Vertrag zur Auftragsverarbeitung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der Praxisverwaltung „Lunesa“ eingibt oder erzeugen lässt.

(2) Die Verarbeitung dient ausschließlich der Erbringung der vertraglich vereinbarten Leistungen: Terminverwaltung, Patientenverwaltung, Verordnungs- und Behandlungsdokumentation, Abrechnung sowie Kommunikation mit Patienten.

(3) Die Dauer entspricht der Laufzeit des Hauptvertrags. Art und Zweck, Datenkategorien und betroffene Personen sind in Anlage 1 beschrieben.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in Drittländer – es sei denn, er ist rechtlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen in Textform. Die Bedienung der Software durch den Verantwortlichen gilt als Weisung.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

(1) Der Auftragsverarbeiter wirkt als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB an der Berufsausübung des Verantwortlichen mit.

(2) Er verpflichtet sich, fremde Geheimnisse, die ihm dabei bekannt werden, nicht unbefugt zu offenbaren. Er verpflichtet die von ihm eingesetzten Personen und weitere mitwirkende Personen entsprechend und weist die Verpflichtung auf Verlangen nach.

(3) Der Zugang zu Geheimnissen wird auf das Maß beschränkt, das für die Erbringung der Leistung erforderlich ist.

Warum dieser Paragraf hier steht: Nach § 203 Abs. 4 Nr. 1 StGB macht sich der Berufsgeheimnisträger – also die Praxis – strafbar, wenn er mitwirkende Personen nicht zur Verschwiegenheit verpflichtet hat. Das ist ein strafrechtliches Risiko und in reinen Datenschutzvorlagen deshalb nicht enthalten. Mit dieser Regelung braucht die Praxis kein zweites Dokument.

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält dabei dem erhöhten Schutzbedarf von Daten nach Art. 9 DSGVO Rechnung.

(2) Die Maßnahmen unterliegen der technischen Weiterentwicklung. Änderungen sind zulässig, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 3 genannten weiteren Auftragsverarbeiter.

(2) Beabsichtigte Änderungen teilt der Auftragsverarbeiter mindestens [Frist, üblich vier Wochen] vorher mit. Der Verantwortliche kann widersprechen; im Fall eines berechtigten Widerspruchs steht ihm ein Sonderkündigungsrecht zu.

(3) Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter dieselben Pflichten auf und bleibt dem Verantwortlichen gegenüber verantwortlich.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

(3) Die Software stellt Funktionen zur Auskunft und Datenübertragbarkeit (Art. 15, 20) sowie zur Löschung und Anonymisierung (Art. 17) bereit, die der Verantwortliche selbst ausführen kann.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von [Stundenzahl – muss dem Verantwortlichen seine 72-Stunden-Frist aus Art. 33 lassen; 24 Stunden sind üblich] nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung.

(1) Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Kontrollen werden mit angemessenem Vorlauf, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchgeführt. Der Nachweis kann auch durch aussagekräftige Berichte oder Zertifikate erbracht werden.

(1) Nach Abschluss der Leistungserbringung stellt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen in einem gängigen Format bereit oder gibt sie zurück und löscht anschließend die vorhandenen Kopien, sofern keine Rechtsvorschrift eine Aufbewahrung verlangt.

(2) Die Bereitstellung erfolgt innerhalb von [Frist, siehe AGB § 11] nach Vertragsende.

Punkt für den Anwaltstermin: Den Verantwortlichen trifft für Behandlungsdokumentation eine Aufbewahrungsfrist von mindestens zehn Jahren (§ 630f Abs. 3 BGB). Er kann sie nur erfüllen, wenn er die Daten vor der Löschung erhält. Frist und Format müssen dazu passen – sonst löscht der Auftragsverarbeiter pflichtgemäß und bringt den Verantwortlichen damit in eine Pflichtverletzung.

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor.

(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Kategorien betroffener Personen: Patienten des Verantwortlichen, deren gesetzliche Vertreter und Bezugspersonen; Beschäftigte des Verantwortlichen als Nutzer der Software.

Datenkategorien:

• Stammdaten: Name, Geburtsdatum, Anschrift, Kontaktdaten
• Versicherungsdaten: Versichertennummer, Kostenträger, Versichertenstatus
• Gesundheitsdaten (Art. 9 DSGVO): Diagnosen und Diagnosegruppen, ICD-10-Angaben, verordnete Heilmittel, Behandlungsdokumentation, Anamnese
• Termin- und Anwesenheitsdaten
• Abrechnungsdaten
• Nachrichten zwischen Praxis und Patient
• Protokolldaten über Zugriffe auf Patientenakten

Zweck: Führung der Praxisverwaltung im Auftrag des Verantwortlichen.

Diese Aufstellung beschreibt umgesetzte Maßnahmen. Sie ist bewusst knapp und nachprüfbar gehalten – ein Katalog, der mehr behauptet als geleistet wird, wäre eine unrichtige Angabe gegenüber dem Verantwortlichen.

Trennung der Mandanten

• Jede mandantengebundene Tabelle führt eine Praxis-Kennung; die Datenbank setzt die Trennung über Row Level Security mit FORCE durch – in 28 Tabellen, also auch gegenüber der Anwendung selbst
• Die Praxis-Kennung stammt ausschließlich aus der Sitzung, nie aus Eingaben, und wird transaktionslokal gesetzt
• Beim Start prüft die Anwendung, dass die Datenbankrolle die Trennung nicht umgehen kann, und verweigert sonst den Dienst

Zugriff und Identität

• Rollen für Personal (Inhaberschaft, Leitung, Therapie, Rezeption)
• Persönliche Zugänge; Passwörter werden nur als Hashwert gespeichert
• Patientenzugang über Einmal-Links; die Kennungen werden ausschließlich als SHA-256-Hashwert abgelegt
• Prüfung der Berechtigung an jeder Schnittstelle, nicht nur in der Oberfläche

Übertragung und Speicherung

• Verschlüsselte Übertragung (TLS) für alle Zugriffe
• Verschlüsselung der Datenträger beim Datenbankanbieter
• Sicherheits-Kopfzeilen und eine strenge Content-Security-Policy; die Kamera ist außer auf der Scan-Seite vollständig gesperrt
• Begrenzung der Zugriffsrate an anonymen Schnittstellen

Nachvollziehbarkeit

• Protokollierung von Zugriffen auf Patientenakten mit Zeitpunkt und Person
• Protokollierung von Löschungen und Anonymisierungen

Verfügbarkeit und Löschung

• Regelmäßige Sicherung durch den Datenbankanbieter [Sicherungsintervall und Wiederherstellungszeiten eintragen, sobald der Restore erprobt ist – WP1.3]
• Löschkonzept mit gesetzlicher Mindestfrist und Anonymisierung statt Löschung, wo Aufbewahrungspflichten entgegenstehen

Ort der Verarbeitung

• Datenbank in der Europäischen Union (Frankfurt am Main)
• Mailversand über einen europäischen Anbieter

Bewusst nicht aufgeführt: eine anwendungsseitige Verschlüsselung einzelner Felder. Sie ist vorbereitet, aber nicht umgesetzt – derzeit wird kein Feld durch die Anwendung selbst verschlüsselt. Sobald die Anbindung an die Telematikinfrastruktur echte Zugangsdaten speichert, gehört diese Zeile ergänzt; vorher wäre sie eine unrichtige Angabe.

Alle Verarbeitungen finden in der Europäischen Union statt. Supabase und Amazon Web Services sind Unternehmen mit Mutterkonzern in den Vereinigten Staaten; die Verarbeitung erfolgt in europäischen Rechenzentren. Hetzner ist ein deutsches Unternehmen mit Rechenzentren in Deutschland. [Bewertung dieses Umstands im Anwaltstermin – ein Praxis-Datenschutzbeauftragter wird danach fragen.]