Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen:

— gemeinsam auch „die Parteien" —

(1) Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung der Plattform PrivPay auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrages (Allgemeine Geschäftsbedingungen) ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen der Auftragsverarbeiter im Rahmen des Hauptvertrages mit personenbezogenen Daten des Verantwortlichen in Berührung kommt.

(2) Im Falle von Widersprüchen zwischen diesem AVV und Regelungen aus anderen Vereinbarungen, insbesondere dem Hauptvertrag, gehen die Regelungen dieses AVV vor.

(3) Maßgebliche Rechtsgrundlage ist Art. 28 DSGVO. Soweit in diesem Vertrag der Begriff „Datenverarbeitung" verwendet wird, ist hierunter jede in Art. 4 Nr. 2 DSGVO genannte Verarbeitungsoperation zu verstehen.

(1) Gegenstand: Bereitstellung der SaaS-Plattform PrivPay zur Erstellung, Verwaltung, Versendung und Abrechnung von Privatrechnungen sowie zur Verwaltung von Patientenstammdaten und der Kommunikation mit Patientinnen und Patienten.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich, Verknüpfung, Einschränkung, Löschen oder Vernichten — soweit dies zur Erfüllung der vereinbarten Leistungen erforderlich ist.

(3) Zweck: Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

• · Speicherung und Verwaltung von Patientenstammdaten und -korrespondenz;
• · Erstellung und Versand von Privatrechnungen (E-Mail, Post, Patienten-App);
• · Annahme und Zuordnung von Zahlungen über angeschlossene Zahlungsdienstleister;
• · Bankabgleich und Mahnwesen;
• · Bereitstellung der Patienten-App inkl. Push-Benachrichtigungen;
• · Audit-Log und Sicherheitsprotokollierung gemäß Art. 32 DSGVO und § 630f BGB;
• · Backup und Wiederherstellung der Daten zur Sicherstellung der Verfügbarkeit.

(4) Dauer: Der Vertrag wird auf unbestimmte Zeit geschlossen und endet mit Beendigung des Hauptvertrages. Die Pflichten zur Vertraulichkeit und Löschung bleiben über das Vertragsende hinaus bestehen.

(1) Kategorien betroffener Personen:

• · Patientinnen und Patienten des Verantwortlichen;
• · Mitarbeitende des Verantwortlichen mit eigenem Plattform-Zugang;
• · ggf. Kontaktpersonen, Versicherungs- oder Inkassopartner des Verantwortlichen.

(2) Kategorien personenbezogener Daten:

Der Auftragsverarbeiter verpflichtet sich insbesondere zu Folgendem:

Der Verantwortliche bleibt im Sinne der DSGVO „Herr der Daten" und ist insbesondere verpflichtet:

• · die Rechtmäßigkeit der Datenverarbeitung sicherzustellen, insbesondere die erforderliche Rechtsgrundlage zu prüfen und ggf. Einwilligungen einzuholen;
• · die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den Betroffenen (insbesondere Patientinnen und Patienten) zu erfüllen;
• · dem Auftragsverarbeiter weisungsbefugte Personen zu benennen und Änderungen mitzuteilen;
• · Anfragen betroffener Personen primär selbst zu bearbeiten und den Auftragsverarbeiter nur zu involvieren, soweit dies erforderlich ist;
• · ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DSGVO zu führen.

(1) Der Verantwortliche erteilt mit Abschluss dieses AVV seine allgemeine schriftliche Genehmigung zur Heranziehung der nachfolgend genannten Sub-Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter mindestens 30 Tage im Voraus. Dem Verantwortlichen steht das Recht zu, dieser Veränderung aus wichtigem Grund zu widersprechen. Im Falle eines Widerspruchs steht dem Verantwortlichen ein Sonderkündigungsrecht des Hauptvertrages zu.

(3) Aktuell eingesetzte Sub-Auftragsverarbeiter:

(4) Mit allen Sub-Auftragsverarbeitern hat der Auftragsverarbeiter Verträge nach Art. 28 DSGVO geschlossen, die den Pflichten aus diesem AVV entsprechen. Eine aktuelle Liste der Sub-Auftragsverarbeiter ist unter /datenschutz einsehbar oder kann jederzeit unter datenschutz@privpay.de angefordert werden.

(1) Der Verantwortliche hat das Recht, sich vor Beginn der Datenverarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen sowie der vertraglichen Pflichten beim Auftragsverarbeiter zu überzeugen.

(2) Die Kontrolle erfolgt vorrangig durch Einsichtnahme in geeignete Nachweise. Hierzu gehören:

• · dieses AVV-Dokument und die enthaltene TOM-Beschreibung (§ 11);
• · das Audit-Log-Modul innerhalb der Plattform (Verwaltung → Audit-Log);
• · die Datenschutzerklärung unter /datenschutz;
• · auf Anfrage: Sicherheitskonzept, Backup-Konzept, Liste der Sub-Auftragsverarbeiter.

(3) Vor-Ort-Kontrollen können nach vorheriger Terminabsprache mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten durchgeführt werden. Der Verantwortliche trägt die hierfür anfallenden Kosten beim Auftragsverarbeiter, sofern die Prüfung nicht durch konkrete Vorfälle veranlasst ist.

(1) Nach Beendigung des Hauptvertrages wird der Auftragsverarbeiter — nach Wahl des Verantwortlichen — sämtliche personenbezogenen Daten zurückgeben oder löschen, soweit nicht eine Verpflichtung zur Speicherung nach dem Recht der Union oder der Mitglied- staaten besteht.

(2) Der Verantwortliche hat ab Beendigung des Hauptvertrages 30 Tage Zeit, seine Daten über die Export-Funktionen der Plattform zu sichern oder einen Export beim Auftragsverarbeiter anzufordern.

(3) Nach Ablauf dieser Frist werden alle Daten unwiderruflich gelöscht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere § 147 AO, § 257 HGB, § 630f BGB), werden gesperrt aufbewahrt und nach Ablauf der jeweiligen Aufbewahrungs- frist gelöscht.

(4) Der Auftragsverarbeiter dokumentiert die Löschung und stellt dem Verantwortlichen auf Anfrage einen entsprechenden Nachweis aus.

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich — spätestens jedoch innerhalb von 24 Stunden ab Kenntniserlangung — über jede festgestellte Verletzung des Schutzes personenbezogener Daten.

(2) Die Meldung enthält mindestens:

• · eine Beschreibung der Art der Verletzung;
• · soweit möglich die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze;
• · den Namen und die Kontaktdaten des Ansprechpartners;
• · eine Beschreibung der wahrscheinlichen Folgen;
• · eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensbegrenzung.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen aktiv bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und gegenüber den Betroffenen (Art. 34 DSGVO).

Der Auftragsverarbeiter setzt die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

Die TOMs werden vom Auftragsverarbeiter regelmäßig überprüft und an den Stand der Technik angepasst. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

(1) Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb EU/EWR) findet nur in den in § 7 (Sub-Auftragsverarbeiter) ausdrücklich genannten Fällen statt.

(2) Für Übermittlungen in die USA (Expo Push-Service, optional OpenAI) hat der Auftragsverarbeiter EU-Standardvertragsklauseln (SCC) der Europäischen Kommission abgeschlossen. Zusätzlich werden — soweit möglich — ergänzende technische Maßnahmen (Pseudonymisierung, Verschlüsselung) eingesetzt.

(3) Der Auftragsverarbeiter stellt sicher, dass jede Drittlandübermittlung den Anforderungen der Kapitel V DSGVO entspricht.

(1) Die Parteien haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.

(2) Im Innenverhältnis gilt die Haftungsregelung des Hauptvertrages (siehe AGB, § 14). Eine über die gesetzlichen Regelungen hinausgehende Haftung wird ausgeschlossen, soweit dies gesetzlich zulässig ist.

(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen (salvatorische Klausel).

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist — soweit zulässig — der Sitz des Auftragsverarbeiters.

(4) Im Falle der Beendigung dieses AVV bleiben die Pflichten zur Vertraulichkeit und zur Löschung von Daten weiterhin bestehen.

Diesen Auftragsverarbeitungsvertrag stellen wir Ihnen kostenfrei in elektronischer Form (PDF mit Unterschrift) zur Verfügung. Bitte richten Sie Ihre Anforderung mit folgenden Angaben an datenschutz@privpay.de:

• · Vollständiger Name des Verantwortlichen (Praxis / Verwaltung)
• · Vertretungsberechtigte Person
• · Anschrift
• · Plattform-Account-E-Mail

Wir senden Ihnen das ausgefüllte Dokument innerhalb von 2 Werktagen zur Gegenzeichnung zu.