Auftragsverarbeitungsvertrag

Präambel

Der Auftraggeber ist Arztpraxis oder medizinische Einrichtung und damit eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung von Patientendaten. Der Auftragnehmer erbringt als Anbieter der Sanadoc-Plattform Datenverarbeitungsleistungen im Auftrag des Auftraggebers und ist dabei Auftragsverarbeiter gemäß Art. 4 Nr. 8 DSGVO.

Dieser Vertrag regelt die datenschutzrechtlichen Anforderungen dieser Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO und ergänzt den zwischen den Parteien geschlossenen Nutzungsvertrag (Sanadoc-Abonnement).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten im Rahmen der Bereitstellung der Sanadoc-Plattform, insbesondere:

• Sprachtranskription und KI-gestützte medizinische Dokumentation
• Speicherung und Verwaltung von Konsultationsdaten, Diagnose- und Abrechnungscodes
• Verwaltung von Patientenstammdaten und Nutzerdaten der Organisation
• Bereitstellung technischer Infrastruktur (Hosting, Datenbank, Backup)

(2) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags. Nach Beendigung des Vertrags gilt § 9 dieses AVV.

§ 2 Art und Zweck der Verarbeitung

§ 3 Weisungsgebundenheit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.

(2) Weisungen erteilt der Auftraggeber über die Nutzung der Sanadoc-Plattform (konkludent durch Bedienung) sowie schriftlich oder per E-Mail. Der Auftragnehmer teilt dem Auftraggeber unverzüglich mit, wenn eine Weisung nach seiner Einschätzung gegen datenschutzrechtliche Vorschriften verstößt.

(3) Die Mitarbeiter des Auftragnehmers, die Zugang zu personenbezogenen Daten des Auftraggebers haben, sind zur Vertraulichkeit verpflichtet und auf das Datengeheimnis gemäß Art. 28 Abs. 3 lit. b DSGVO verpflichtet worden.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat gemäß Art. 32 DSGVO folgende technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit getroffen:

§ 5 Einsatz von Unterauftragsverarbeitern

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen:

Infrastruktur & KI — verarbeiten Gesundheitsdaten im Auftrag

(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs weiterer Unterauftragsverarbeiter, wobei der Auftraggeber die Möglichkeit hat, diesen Änderungen zu widersprechen. Der Auftragnehmer legt seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie in diesem Vertrag vereinbart.

§ 6 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen (Patienten, Mitarbeiter), insbesondere bei Anfragen auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet derartige Anfragen nicht eigenständig, es sei denn, der Auftraggeber erteilt eine entsprechende Weisung.

(3) Der Auftragnehmer ermöglicht dem Auftraggeber den Export sämtlicher verarbeiteter Daten auf Anfrage in maschinenlesbarem Format (CSV/JSON) zur Erfüllung von Datenportabilitätsanfragen.

§ 7 Meldepflichten bei Datenschutzverletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32–36 DSGVO genannten Pflichten, insbesondere hinsichtlich der Sicherheit der Verarbeitung, Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich — spätestens innerhalb von 72 Stunden nach Bekanntwerden — über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO). Die Meldung erfolgt per E-Mail an die im Nutzerkonto hinterlegte Adresse des Auftraggebers.

(3) Der Auftraggeber ist selbst verantwortlich für die fristgerechte Meldung an die zuständige Datenschutz-Aufsichtsbehörde sowie ggf. die Benachrichtigung betroffener Personen gemäß Art. 33, 34 DSGVO.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der Bestimmungen dieses Vertrags durch den Auftragnehmer in angemessenem Umfang zu kontrollieren, insbesondere durch Einholung von Auskünften, Anforderung von Nachweisen und Zertifikaten.

(2) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Anfragen sind schriftlich an info@sanadoc.ai zu richten.

(3) Als gleichwertigen Nachweis akzeptiert der Auftraggeber insbesondere: aktuelle ISO-27001-Zertifizierungen oder SOC-2-Berichte der eingesetzten Azure-Rechenzentren sowie Testate des Auftragnehmers über die getroffenen TOMs.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Nutzungsvertrags oder auf ausdrückliche Weisung des Auftraggebers löscht oder gibt der Auftragnehmer alle personenbezogenen Daten des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Der Auftraggeber kann innerhalb von 30 Tagen nach Vertragsbeendigung einen vollständigen Datenexport (CSV/JSON) über info@sanadoc.ai anfordern. Danach werden alle Daten unwiderruflich gelöscht, mit Ausnahme von Daten, für die eine gesetzliche Aufbewahrungspflicht gilt (insb. medizinische Dokumentation: 10 Jahre gemäß § 10 MBO-Ä, § 630f BGB; Buchungsbelege: 10 Jahre gemäß § 147 AO).

(3) Auf Anfrage stellt der Auftragnehmer dem Auftraggeber eine schriftliche Bestätigung über die erfolgte Löschung aus.

§ 10 Haftung

Die Haftung der Parteien richtet sich nach den Regelungen der DSGVO (Art. 82) sowie den Bestimmungen des Nutzungsvertrags. Jede Partei haftet gegenüber der anderen für die bei ihr eingetretenen Schäden, die auf einen Verstoß gegen die Pflichten dieses AVV zurückzuführen sind. Eine Partei ist von der Haftung befreit, wenn sie nachweist, dass sie für den Umstand, durch den der Schaden eingetreten ist, nicht verantwortlich ist.

§ 11 Schlussbestimmungen

(1) Dieser Vertrag ist Bestandteil des Nutzungsvertrags und tritt mit Abschluss des Sanadoc-Abonnements in Kraft. Er läuft zeitgleich mit dem Nutzungsvertrag.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für Streitigkeiten aus diesem Vertrag ist Berlin.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.

(4) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Der Auftragnehmer behält sich vor, diesen AVV bei wesentlichen Änderungen der technischen Infrastruktur oder der Rechtslage anzupassen und informiert den Auftraggeber mindestens 30 Tage im Voraus per E-Mail.

Unterschriften

Dieser AVV gilt als abgeschlossen, sobald er von beiden Parteien unterzeichnet wurde oder der Auftraggeber dem Nutzungsvertrag (Sanadoc-Abonnement) zugestimmt hat, sofern dieser AVV explizit Bestandteil der Nutzungsbedingungen ist.