Dieser Vertrag erfüllt die Anforderungen von Art. 28 Abs. 3 DSGVO. Er kommt durch Annahme in der Anwendung bei Kontoeröffnung zustande - dies ist Schriftform im Sinne von Art. 28 Abs. 9 DSGVO, der die elektronische Form ausdrücklich zulässt. Eine eigenhändige Unterschrift oder eine notarielle Beurkundung sind nicht erforderlich. Der Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt, solange der Vertrag über die Nutzung des Dienstes besteht.
Er ist ein eigenständiger Vertrag und keine Übersetzung der polnischen umowa powierzenia: Beide beruhen auf denselben Vorschriften der DSGVO, gelten aber jeweils für die Praxis, die sie angenommen hat.
1. Parteien
Verantwortliche: die Praxis, die Appointomat nutzt, identifiziert durch die bei der Kontoeröffnung angegebenen Daten.
Auftragsverarbeiter: Nikita Cherevko, eine natürliche Person mit Sitz der Tätigkeit in der Republik Polen, nikita@appointomat.com. Vollständige Angaben: Impressum.
Auftragsverarbeiter kann eine natürliche Person sein - Art. 4 Nr. 8 DSGVO definiert sie als "eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle".
2. Gegenstand und Dauer
Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten der Patientinnen und Patienten der Verantwortlichen, soweit dies für den Betrieb des Terminkalenders in Appointomat erforderlich ist.
Die Auftragsverarbeitung dauert vom Abschluss des Vertrags über die Nutzung des Dienstes bis zu dessen Beendigung und danach für den zur Erfüllung der Pflichten aus Abschnitt 11 erforderlichen Zeitraum, längstens jedoch 30 Tage.
Die Verantwortliche behält die volle Kontrolle über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter handelt ausschließlich auf ihre dokumentierte Weisung, die sich aus diesem Vertrag, den Allgemeinen Geschäftsbedingungen und den von der Verantwortlichen und den von ihr befugten Personen in der Anwendung vorgenommenen Handlungen ergibt.
3. Art und Zweck der Verarbeitung
Führung des Terminkalenders: Buchung, Bestätigung, Verschiebung und Absage von Terminen, Versand von Erinnerungen und Verwaltung der Warteliste.
Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, die Anzeige gegenüber von der Verantwortlichen befugten Personen, die Übermittlung von Nachrichten an Patientinnen und Patienten sowie die Löschung.
Datenmigration aus einem anderen System
Die Anwendung ermöglicht der Verantwortlichen, einmalig einen vollständigen Bestand an Patienten- und Termindaten aus einer aus einem anderen System exportierten Datei einzulesen. Dies ist ein Vorgang anderer Art als die tägliche Nutzung des Terminkalenders und bedarf einer ausdrücklichen Regelung, weil er die massenhafte Übertragung eines Bestands an Gesundheitsdaten im Sinne von Art. 9 DSGVO betrifft.
- Das Einlesen der Datei ist eine Weisung der Verantwortlichen im Sinne von Abschnitt 2. Die Verantwortliche ist dafür verantwortlich, dass sie zur Übertragung dieser Daten in das neue Werkzeug berechtigt ist und dass die Übertragung von der Rechtsgrundlage gedeckt ist, auf der sie erhoben wurden.
- Der Auftragsverarbeiter stellt den Mechanismus bereit und prüft weder die Rechtsgrundlage der Migration noch die Herkunft der Datei.
- Die Spaltenzuordnung ist auf den Umfang aus Abschnitt 4 beschränkt. Eine Spalte mit einer Diagnose, einer nationalen Versichertennummer, einem Geburtsdatum, einer Anschrift oder sonstigem Inhalt einer Patientendokumentation hat in der Anwendung kein Zielfeld, kann nicht zugeordnet werden und wird nicht eingelesen. Diese Beschränkung folgt aus dem Fehlen entsprechender Felder, nicht aus einer per Einstellung änderbaren Regel.
- Die Quelldatei wird im Browser der Verantwortlichen verarbeitet. An den Server gelangen ausschließlich die Zeilen, die die Verantwortliche den Feldern aus Abschnitt 4 zugeordnet hat.
- Das Einlesen der Daten löst keinen Versand einer Nachricht an Patientinnen oder Patienten aus, insbesondere keine Bestätigung für aus dem vorherigen System übernommene Termine.
4. Art der Daten und Kategorien betroffener Personen
Kategorien betroffener Personen: Patientinnen und Patienten der Praxis sowie Personen auf der Warteliste.
Art der Daten: Identifikations- und Kontaktdaten sowie Gesundheitsdaten im Sinne von Art. 9 DSGVO - bereits die Tatsache eines vereinbarten Termins bei einer Physiotherapiepraxis ist ein solches Datum, unabhängig davon, dass das System keine Beschreibung des Behandlungsverlaufs speichert.
Der Umfang ist abschließend: wer, wann, bei wem, welche Leistung und ob der Termin stattgefunden hat. Vollständige Liste der Felder:
| Feld | |
|---|---|
| Vor- und Nachname | |
| Telefonnummer | Im internationalen Format |
| E-Mail-Adresse | Freiwillig, nicht verifiziert |
| Korrespondenzsprache | |
| Bevorzugter Nachrichtenkanal | Wahl der Patientin oder des Patienten |
| Termine, Leistung, behandelnde Person, Anwesenheitsstatus | |
| Anzahl der Nichterscheinen | Nur die Zahl, ohne Verlauf |
| Absagegrund | Freitextfeld der Praxis, bis 200 Zeichen, wird nie an die Patientin oder den Patienten gesendet |
| Einträge auf der Warteliste, Verfügbarkeitsfenster, Terminangebote und Antworten darauf | |
| Protokoll versendeter Nachrichten | Inhalt, Kanal, Zustellstatus |
Dauerhaft ausgeschlossen: klinische Notizen, Diagnosen, ICD-Codes, Überweisungen, Dokumente, Scans, Fotos, nationale Versichertennummern, Geburtsdatum, Wohnanschrift, Versicherungsdaten. Für diese Daten gibt es im Datenbankschema keine Felder; ihre Hinzufügung würde eine Änderung dieses Vertrags erfordern.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich gemäß Art. 28 Abs. 3 lit. a-h DSGVO,
- die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen zu verarbeiten, auch hinsichtlich einer Übermittlung außerhalb des EWR, es sei denn, dies ist nach dem Recht der Union oder eines Mitgliedstaats vorgeschrieben - in diesem Fall unterrichtet er die Verantwortliche vor der Verarbeitung, sofern das Recht dies nicht verbietet.
- sicherzustellen, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung kann sich aus Vertrag oder Gesetz ergeben, was relevant ist, wenn der Auftragsverarbeiter aus einer einzigen Person besteht.
- die Maßnahmen nach Art. 32 DSGVO anzuwenden - beschrieben in Abschnitt 8.
- die Bedingungen für den Einsatz von Unterauftragsverarbeitern nach Art. 28 Abs. 2 und 4 einzuhalten - beschrieben in Abschnitt 6.
- die Verantwortliche bei der Erfüllung der Rechte betroffener Personen zu unterstützen, indem er in der Anwendung eine Funktion zum Export des vollständigen Datenbestands einer Patientin oder eines Patienten sowie zu dessen dauerhafter Löschung bereitstellt. Geht ein Antrag unmittelbar beim Auftragsverarbeiter ein, leitet er ihn unverzüglich an die Verantwortliche weiter und beantwortet ihn nicht selbst.
- die Verantwortliche bei der Erfüllung ihrer Pflichten aus Art. 32-36 DSGVO zu unterstützen, soweit dies der Art der Verarbeitung und den verfügbaren Informationen entspricht.
- die Daten nach Beendigung der Leistungserbringung zu löschen oder zurückzugeben - Abschnitt 11.
- die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen - Abschnitt 10.
Der Auftragsverarbeiter nutzt die überlassenen Daten nicht für eigene Zwecke, erstellt insbesondere keine Profile daraus, trainiert keine Modelle damit und gibt sie niemandem außer den in Abschnitt 6 genannten Unterauftragsverarbeitern weiter.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung der Verantwortlichen gegen die DSGVO oder andere Datenschutzvorschriften verstößt, unterrichtet er sie unverzüglich hierüber.
6. Unterauftragsverarbeiter
Die Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern zu den nachstehenden Bedingungen.
Die aktuelle Liste der Unterauftragsverarbeiter mit ihrer Rolle und ihrem Verarbeitungsort findet sich unter /de/subprocessors und ist Bestandteil dieses Vertrags. Sie wird getrennt geführt, damit ihre Änderung keine Änderung des gesamten Vertrags erfordert.
Der Auftragsverarbeiter
- legt jedem Unterauftragsverarbeiter Pflichten auf, die nicht weniger streng sind als die aus diesem Vertrag;
- haftet der Verantwortlichen gegenüber für Handlungen und Unterlassungen des Unterauftragsverarbeiters wie für eigene;
- kündigt die Hinzuziehung oder den Wechsel eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an, per E-Mail an die im Konto hinterlegte Adresse.
Die Verantwortliche kann innerhalb dieser Frist begründet widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann die Verantwortliche den Vertrag über die Nutzung des Dienstes fristlos kündigen und die Löschung der Daten nach Abschnitt 11 verlangen, ohne dass ihr hierdurch Kosten entstehen.
7. Übermittlung außerhalb des EWR
Es findet keine Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums statt. Alle in Abschnitt 6 genannten Unterauftragsverarbeiter verarbeiten die Daten in Staaten des EWR; die Liste nennt die konkreten Orte.
Eine Übermittlung außerhalb des EWR würde eine vorherige Änderung der Liste der Unterauftragsverarbeiter nach dem Verfahren und der Frist aus Abschnitt 6 sowie die Angabe einer Rechtsgrundlage nach Kapitel V DSGVO voraussetzen.
Der umgekehrte Fall betrifft eine Verantwortliche mit Sitz außerhalb des EWR. Die Bereitstellung von Daten an eine Verantwortliche mit Sitz in einem Drittland ist eine Übermittlung, bei der der Auftragsverarbeiter Exporteur ist. Rechtsgrundlage sind in diesem Fall die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul vier (Auftragsverarbeiter an Verantwortlichen), die in diesem Fall als in diesen Vertrag einbezogen gelten. Auf die Klauseln anwendbares Recht ist polnisches Recht, zuständiges Gericht im Sinne von Klausel 18 lit. b ein polnisches Gericht. Die Klauseln finden keine Anwendung, soweit die Verarbeitung der Verantwortlichen bereits unter Art. 3 Abs. 2 DSGVO fällt.
8. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter wendet insbesondere an:
| Maßnahme | |
|---|---|
| Standort im EWR | Datenbank und Anwendung in Belgien, Region europe-west1 |
| Verschlüsselung | Im Ruhezustand durch den Datenbankanbieter, bei der Übertragung mittels TLS. Die Anwendung akzeptiert ausschließlich HTTPS-Verbindungen |
| Keine Patientenkonten | Patientinnen und Patienten haben kein Passwort, das entwendet werden könnte. Links in Nachrichten sind einmalig verwendbare, einem einzelnen Termin zugeordnete Geheimnisse, die vor jeder Datenbankabfrage kryptographisch geprüft werden |
| Trennung der Praxen | Durch die Struktur der Datenbank erzwungen - zusammengesetzte Schlüssel, die die Praxis-ID einschließen - sowie durch vom Compiler geprüfte Typen. Die Daten einer Praxis sind aus der Sitzung einer anderen Praxis konstruktionsbedingt unerreichbar, nicht aufgrund einer Bedingung in einer Abfrage |
| Zugriffskontrolle | Drei Rollen mit unterschiedlichem Umfang. Export und Löschung von Patientendaten stehen ausschließlich der Praxisinhaberin oder dem Praxisinhaber zur Verfügung |
| Protokollierung | Jeder Zugriff auf die Patientenliste und jeder Export werden mit Praxis- und Konto-ID protokolliert |
| Datenminimierung im Nachrichteninhalt | Der in der SMS sichtbare Leistungsname ist ein eigenes, standardmäßig neutrales Feld, damit eine Erinnerung keine Diagnose auf dem Sperrbildschirm anzeigt. Dasselbe gilt für den Betreff der E-Mail, die Kalenderdatei und Einträge in einem externen Kalender |
| Öffentliche Seiten | Termin- und Angebotslinks sowie alle Buchungsschritte nach dem ersten sind von der Indexierung ausgeschlossen, mit no-referrer-Richtlinie, damit die Adresse eines Termins weder im Referrer-Header noch in einer Suchmaschine erscheint. Suchmaschinen sehen nur die Einstiegsseite der Praxis, die keine Patientendaten enthält |
| Datensicherung | Durch den Datenbankanbieter am selben Standort |
Die Liste kann mit der Weiterentwicklung des Dienstes aktualisiert werden, wobei eine Änderung das Schutzniveau nicht senken darf.
9. Datenschutzverletzungen
Der Auftragsverarbeiter unterrichtet die Verantwortliche über eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung der Verletzung, an die im Konto hinterlegte E-Mail-Adresse.
Die Mitteilung enthält, soweit zum Zeitpunkt der Übermittlung verfügbar: eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Anzahl der betroffenen Personen und Einträge, die wahrscheinlichen Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben werden sukzessive nachgereicht.
Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegt der Verantwortlichen - dies ist ihre Pflicht nach Art. 33 und 34 DSGVO. Der Auftragsverarbeiter unterstützt sie hierbei.
10. Überprüfung
Der Auftragsverarbeiter stellt der Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, einschließlich des Nachweises der Annahme dieses Vertrags mit Version und Datum sowie der aktuellen Liste der Unterauftragsverarbeiter.
Die Verantwortliche kann eine Überprüfung selbst durchführen oder durch eine beauftragte Person durchführen lassen, höchstens einmal pro Kalenderjahr, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten und ohne die Erbringung der Leistung unangemessen zu beeinträchtigen. Diese Begrenzung gilt nicht nach einer Datenschutzverletzung und nicht, wenn eine Aufsichtsbehörde die Überprüfung verlangt.
Eine nicht bei der Verantwortlichen beschäftigte prüfende Person verpflichtet sich zur Vertraulichkeit. Die Kosten der Überprüfung trägt die Verantwortliche, es sei denn, die Überprüfung stellt einen erheblichen Verstoß gegen diesen Vertrag fest.
11. Löschung oder Rückgabe der Daten
Nach Beendigung der Leistungserbringung entscheidet die Verantwortliche, ob die Daten zurückgegeben oder gelöscht werden. Fehlt eine Entscheidung, werden die Daten gelöscht.
Innerhalb von 30 Tagen nach Vertragsende kann die Verantwortliche den vollständigen Datenbestand in einem maschinenlesbaren Format herunterladen. Nach Ablauf dieser Frist werden die Daten einschließlich Kopien gelöscht; eine Wiederherstellung ist danach nicht mehr möglich.
Die Löschung erfasst nicht Daten, deren Aufbewahrung nach dem Recht der Union oder eines Mitgliedstaats vorgeschrieben ist, sowie das Löschprotokoll und den Nachweis der Annahme von Dokumenten, die keine Patientendaten enthalten: Das Löschprotokoll vermerkt ausschließlich, dass und wann eine Löschung erfolgt ist, und der Annahmenachweis betrifft die Praxisinhaberin oder den Praxisinhaber und dient als Nachweis des Abschlusses dieses Vertrags.
Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.
12. Schlussbestimmungen
Eine Änderung dieses Vertrags erfolgt nach den in Abschnitt 10 der Allgemeinen Geschäftsbedingungen genannten Regeln - mit einer Ankündigungsfrist von mindestens 30 Tagen und dem Recht, den Vertrag vor Inkrafttreten der Änderung zu kündigen.
Der Auftragsverarbeiter kann diesen Vertrag nach den in Abschnitt 11 der Allgemeinen Geschäftsbedingungen genannten Regeln auf eine Rechtsnachfolgerin übertragen. Diese tritt unverändert in ihn ein und, im Fall von Abschnitt 7, den Standardvertragsklauseln als Datenimporteurin bei. Dies bedarf keiner erneuten Annahme durch die Verantwortliche, der ein Widerspruchs- und Kündigungsrecht zusteht.
Im Übrigen gelten die DSGVO und polnisches Recht.