Vertrag zur Auftragsverarbeitung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der in den AGB beschriebenen Plattformleistungen.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet automatisch mit diesem.

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten insbesondere die Nutzung der Funktionen der Plattform sowie Anweisungen in Textform an die im Impressum genannte Adresse. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

(4) Dies gilt auch für Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten, Anzeigen, Exportieren und Löschen im Rahmen der gebuchten Bausteine.

Zwecke: Betrieb der Plattform, Erstellung von Auswertungen, Plänen, Dokumenten und Textentwürfen, Team- und Stellenverwaltung, Befragungen.

Kategorien betroffener Personen: Beschäftigte und Bewerberinnen und Bewerber der Apotheke, Ansprechpartner von Kooperations- und Netzwerkpartnern, Teilnehmende an Befragungen, Kundinnen und Kunden, die über die Buchungsseite der Apotheke einen Termin vereinbaren.

Kategorien personenbezogener Daten: Stamm- und Kontaktdaten, Funktions- und Qualifikationsangaben, Arbeitszeit- und Aufgabenangaben, Bewerbungsangaben, Antworten aus Befragungen, Nutzungs- und Protokolldaten.

Arbeitszeit- und Abwesenheitsdaten: Beginn, Ende und Pausen der Arbeitszeit, Korrektur-, Urlaubs- und Abwesenheitsanträge sowie Freigaben und Änderungsprotokolle.Die allgemeine Pflicht zur Einrichtung eines Systems zur Erfassung von Beginn, Ende und Dauer der täglichen Arbeitszeit folgt aus § 3 Abs. 2 Nr. 1 ArbSchG (BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21). § 16 Abs. 2 ArbZG betrifft dagegen insbesondere die über die werktägliche Arbeitszeit hinausgehende Arbeitszeit und die dort geregelten Nachweise (mindestens zwei Jahre). Beschäftigtendaten werden nur soweit erforderlich nach § 26 Abs. 1 BDSG verarbeitet; Entgeltabrechnung, Urlaub und Abwesenheiten haben eigene Zwecke und Löschkriterien. Eine Verhaltens- oder Leistungskontrolle ist untersagt.

Termindaten: Name, Kontaktdaten, gewünschte Leistung und Zeitpunkt aus Terminbuchungen.

Gesundheitsbezüge: Allgemeine Mitarbeitervertraulichkeit nach Art. 28 Abs. 3 lit. b DSGVO erfüllt nicht automatisch die besonderen Voraussetzungen des Art. 9 Abs. 3 DSGVO. Krankmeldungsart und -zeitraum für arbeitsrechtliche Zwecke sind getrennt nach Art. 9 Abs. 2 lit. b DSGVO und § 26 Abs. 3 BDSG zu beurteilen. Diagnosen, Befunde, Medikationsdaten und Inhalte von Arbeitsunfähigkeitsbescheinigungen dürfen nicht eingegeben oder an KI/PDF-Ausgaben weitergegeben werden. Für andere tatsächliche Gesundheitsbezüge, insbesondere aus einer Terminleistung, sind eine passende Grundlage nach Art. 9 Abs. 2 DSGVO und die Zulässigkeit der gesamten Verarbeitungskette gesondert nachzuweisen. Die allgemein belegte Business-DPA-Geltung ist keine Freigabe: § 3 Abs. 8 der öffentlichen Plattform-DPA untersagt Sensitive Data ausdrücklich. Die Gesundheits-/Spezialdatenfrage und die konkrete Dienstzuordnung bleiben offen.

Individualisierte Angaben in den Bausteinen: Namen und Funktionen verantwortlicher Personen in Dokumentenköpfen (Erstellung, Prüfung, Freigabe), Kenntnisnahme- und Unterschriftszeilen, Schulungs- und Qualifikationsnachweise (z. B. Impfen, KI-Kompetenz nach Art. 4 KI-VO, QMS-Audits), Zuständigkeiten und Zeitanteile aus Aufgabeninterviews sowie Angaben zu Ansprechpartnern von Kooperationspartnern. Diese Angaben entstehen ausschließlich auf Eingabe des Verantwortlichen und werden nur zur Erzeugung der jeweiligen Unterlage genutzt.

Ausgeschlossen: In allen übrigen Funktionen – insbesondere in Freitextfeldern, Dokumenten, Aufgaben und Auswertungen – dürfen Patientendaten sowie nicht erforderliche Gesundheitsdaten und sonstige besondere Kategorien nach Art. 9 DSGVO nicht eingegeben werden. Diagnosen, Befunde und Medikationsdaten einzelner Patientinnen und Patienten dürfen auch in der Terminbuchung nicht erfasst werden.

Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

Verantwortlich für die risikobasierte Wirksamkeitsprüfung ist die OctoHealth-Administration (Stefan Oehler). Täglich prüfen technische Läufe Tabellenzugriffsschutz, dokumentierte Löschläufe und Registerfristen; Laufstatus, Prüfergebnis und Befunde bilden die Belege, Lesefehler gelten als unvollständig. Die Administration bewertet diese Belege mindestens monatlich sowie nach Rechte-/Infrastrukturänderungen, Vorfällen und neuen Risiken und dokumentiert Maßnahmen und Nachprüfung in der Datenschutzakte. Technische Strukturprüfungen ersetzen weder einen vollständigen Penetrationstest noch einen Wiederherstellungsnachweis. Die tatsächliche Wiederherstellungsprüfung ist für den 15.11.2026 geplant und bleibt bis zum protokollierten Versuch offen; Sicherungsumfang und Anbieterbelege werden gesondert geprüft.

• Zutritts- und Zugangskontrolle (Anbieter): Betrieb ausschließlich in zertifizierten Rechenzentren der eingesetzten Anbieter. Kein eigener Serverbetrieb. Zugang zur Administration nur über persönliche Konten mit starken Passwörtern.
• Zugriffskontrolle (OctoHealth): Rollen- und rechtebasiertes Modell: Inhaberinnen und Inhaber vergeben Team-Zugänge je Baustein. Auf Datenbankebene sind für jede Tabelle zeilenbasierte Sicherheitsregeln (Row Level Security) aktiv, die den Zugriff auf die jeweils eigene Apotheke begrenzen.
• Entzug von Zugriffsrechten (OctoHealth): Wird ein Team-Zugang gesperrt oder entfernt, entfällt der Zugriff sofort und vollständig – auch auf bereits vorhandene Nachrichten, Aufgaben und Dokumente. Die Prüfung erfolgt bei jeder Datenbankabfrage. Sperrungen werden mit Zeitstempel protokolliert und sind als Zugriffsnachweis druckbar.
• Trennungskontrolle (OctoHealth): Mandantentrennung über die Apothekenzuordnung jedes Datensatzes; Auswertungen und Dokumente sind ausschließlich der erzeugenden Apotheke zugeordnet.
• Verschlüsselung (OctoHealth / Anbieter): Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung der Datenbank und der Dateiablage im Ruhezustand durch den Infrastruktur-Anbieter. Konkrete Verfahren und Zertifizierungen werden hier erst nach schriftlicher Bestätigung des Anbieters benannt.
• Verfügbarkeit und Wiederherstellbarkeit (Anbieter): Automatische tägliche Sicherungen der Datenbank durch den Datenbankanbieter, Wiederherstellung auf einen Zeitpunkt innerhalb des Sicherungszeitraums, Überwachung von Auslastung und Fehlern.
• Eingabe- und Protokollkontrolle (OctoHealth): Protokollierung von Anmeldungen, Freischaltungen und sicherheitsrelevanten Änderungen; Nachvollziehbarkeit von Dokumentversionen in den Bausteinen.
• Auftragskontrolle (OctoHealth): Gleiche Datenschutzpflichten werden vertraglich in der gesamten Unterkette auferlegt; OctoHealth bleibt für deren Erfüllung voll verantwortlich. Tatsächliche Anbieter-/Kettennachweise werden gesondert dokumentiert, fehlende Belege bleiben offen.
• Datenminimierung (OctoHealth): Patientendaten, Diagnosen und Befunde dürfen nicht erfasst oder an KI/PDF-Ausgaben weitergegeben werden. Notwendige Krankmeldungsart/-zeiträume im Beschäftigungsverhältnis sind getrennt von sonstigen Gesundheitsbezügen und mit eigener Rechtsgrundlage zu beurteilen.

Die Klammer benennt, wer die Maßnahme verantwortet: „OctoHealth“ setzen wir selbst um, „Anbieter“ stellt der eingesetzte Infrastruktur-Dienstleister bereit.

Diese Aufstellung kann über „Drucken oder als PDF sichern“ als Anlage für die eigene Datenschutzakte abgelegt werden. Stand: laufend gepflegt.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut sind (Art. 28 Abs. 3 lit. b DSGVO).

(1) Der Verantwortliche genehmigt allgemein die nachstehend bezeichnete Verarbeitungskette, soweit deren Vertragsgeltung und Voraussetzungen nachgewiesen sind. Die technische Nutzung eines Dienstes ersetzt diesen Nachweis nicht. OctoHealth verpflichtet jeden weiteren Auftragsverarbeiter vertraglich zu denselben Datenschutzpflichten einschließlich geeigneter TOM und bleibt gegenüber der Apotheke für deren Erfüllung voll verantwortlich (Art. 28 Abs. 4 DSGVO).

Die Aufstellung unterscheidet direkte Dienste und nachgelagerte Anbieter. Die aktuelle Unterliste des Plattformanbieters ist unter lovable.dev/subprocessors zugänglich; zusätzliche Ketten-/Vertragsnachweise stellen wir in Textform zur Verfügung, soweit belegt. Fehlende Nachweise bleiben in der Anbieterakte offen. Die angegebenen Orte und Transferinstrumente ersetzen keine Prüfung des konkreten Vertrags und der weiteren Unterkette. Stripe für unsere eigene Aborechnung ist nicht automatisch Unterauftragsverarbeiter der Apotheke; hierzu gilt § 4b der Datenschutzerklärung.

(2) Wechsel oder Hinzunahme in der gesamten Unterauftragnehmerkette – auch bei nachgelagerten Anbietern – teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund innerhalb von zwei Wochen widersprechen; kommt keine Einigung zustande, darf er den Nutzungsvertrag zum geplanten Wechseltermin kündigen. OctoHealth erfasst Anbieteränderungen im Vertragsregister, prüft sie auf Auswirkungen und informiert vor ihrem Einsatz; die bloße Aktualisierung einer Lieferantenliste ersetzt unsere Vorabinformation nicht. Nicht belegte Lieferantenzusicherungen werden nicht als erfüllt dargestellt.

OctoHealth hat den Business-Workspace und die öffentliche Lovable-DPA am 29.10.2026 geprüft (Stand 06.11.2025, verlinkte unterzeichnete Fassung vom 17.11.2025). Business-/Enterprise-Nutzung umfasst die DPA; der Annex nennt ausdrücklich Endnutzer veröffentlichter Lovable-Anwendungen. §§ 2 und 4 betreffen Infrastruktur/Betrieb und dokumentierte Weisungen. Das ist ein positiver Beleg für die allgemeine Vertragsgeltung, nicht eine völlig unbekannte Grundlage. Die konkrete Zuordnung der eingesetzten Gateway-, Datenbank- und Managed-Services bleibt gezielt zu dokumentieren. § 3 Abs. 8 untersagt Sensitive Data ausdrücklich; dieser Beleg erteilt keine Gesundheitsdatenfreigabe. § 9 und Annex nennen für Sicherungen nur begrenzte Zeit (limited time), keine genaue Gateway-/Modell-Logfrist. Quelle: https://lovable.dev/data-processing-agreement Die schriftliche Anbieterantwort auf die Anfrage vom 02.10.2026 steht aus. Getrennt offen bleiben die konkrete Gateway-/Datenbank-/Managed-Service-Zuordnung, die Gesundheits-/Spezialdatenfrage unter dem ausdrücklichen Sensitive-Data-Ausschluss und Fristen/Löschkriterien für Gateway- und Modellprotokolle einschließlich Metadaten, Inhaltsbestandteilen und Sicherungen. § 7 regelt Kettenpflichten; technische Modellkatalogangaben sind kein Vertragsnachweis. Weder null noch 90 Tage werden zugesichert. Verantwortlich: OctoHealth-Administration; nächste Sichtung am 04.11.2026, keine automatische neue Nachricht. Anbieterfälle und geplanter Restore bleiben offen.

Eine Verarbeitung außerhalb des EWR erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Maßnahmen wie Transportverschlüsselung und Zugriffsbeschränkungen. Die Datenbank mit den Betriebs-, Team- und Dokumentdaten wird in der EU (Paris/Frankreich) betrieben.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich weiter.

(2) Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzungen und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

(2a) Für Auskunfts- und Übertragbarkeitsverlangen stellt der Auftragsverarbeiter auf Anforderung kurzfristig eine vollständige Übersicht der zu einem Konto gespeicherten Daten, eine maschinenlesbare Kopie sowie eine Aufstellung der hochgeladenen Dateien bereit. Verzeichnis der Verarbeitungstätigkeiten, TOM-Dokumentation, Löschkonzept und Meldeformular für Datenschutzverletzungen werden ebenfalls auf Anforderung in Textform übergeben.

(3) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den zur Meldung nach Art. 33 DSGVO erforderlichen Angaben.

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage in Textform nach, insbesondere durch Auskünfte und die Nachweise der eingesetzten Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen – die vom Verantwortlichen oder von einem von diesem beauftragten unabhängigen Prüfer durchgeführt werden, und trägt aktiv zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO). Er stellt dem Verantwortlichen alle hierfür erforderlichen Informationen zur Verfügung. Der beauftragte Prüfer darf kein Wettbewerber sein und ist zur Verschwiegenheit zu verpflichten.

(3) Besteht ein konkreter Anlass, insbesondere der begründete Verdacht einer Verletzung des Schutzes personenbezogener Daten, sind Überprüfungen auch kurzfristig und ohne vorherige Ankündigung zulässig.

Seit dem 29.10.2026 gilt das von OctoHealth festgelegte Organisationsverfahren: Arbeitszeit und Urlaub werden nach dokumentiertem Abschluss des jeweiligen Jahres, notwendige Krankmeldungsdaten nach Abschluss des konkreten Falls binnen 30 Tagen manuell auf weiteren Bedarf geprüft; offene Aufbewahrungsgründe werden monatlich wiedervorgelegt. Bei Vertragsende fordert die Administration die Wahl der Apotheke zwischen Rückgabe und Löschung an, mahnt bei ausbleibender Weisung nach 14 Tagen und eskaliert spätestens an Tag 30 intern. Gesetzliche Nachweise, offene Ansprüche und LegalHold bleiben geschützt; begrenzte Restbestände benötigen einen konkreten Grund, Owner und nächsten Prüftermin. Die Apotheke entscheidet, OctoHealth-Administration dokumentiert Umfang, Berechtigung, vollständige Rückgabe einschließlich Vorjahren/Korrekturhistorie, Empfangsbeleg und gesonderte Weisung vor einem Eingriff. Ohne diese Belege ist kein Einzelfallabschluss möglich. Dies sind Organisations-Prüf- und Eskalationsfristen, keine gesetzlichen Löschfristen, keine automatische Löschung, keine rückwirkende Vertragszustimmung und kein Nachweis einer bereits durchgeführten Einzelfallprüfung.

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück – nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche teilt seine Wahl in Textform mit. Fehlt eine Wahl, wird sie zur dokumentierten Klärung angefordert; daraus folgt keine automatische Löschung von HR- oder sonstigen Fachdaten.

(2) Für die Rückgabe stellt der Auftragsverarbeiter die Daten in einem gängigen, maschinenlesbaren Format auf Anforderung manuell zusammen. Umfang, Berechtigung, Vollständigkeit einschließlich erforderlicher Historie und Übergabe werden dokumentiert. Der Kontoexport und der vorhandene Zeiten-CSV ersetzen keinen vollständigen HR-Export; ein automatisch abrufbares Vertragsende-Exportfenster besteht nicht.

(2a) Während der Vertragslaufzeit gelten die folgenden Regellöschfristen. Sie sind mit dem Löschkonzept und mit § 10 der Datenschutzerklärung identisch. HR-Bestände haben eigenständige zweckbezogene Kriterien; diese werden nicht vom täglichen technischen Aufräumlauf gelöscht:

(3) Löschumfang und Durchführung werden nach dokumentierter Wahl und Prüfung notwendiger Aufbewahrungsgründe festgelegt und nachgewiesen. Die technische Protokollbereinigung setzt keine generelle Vertragsende-Löschung um. Erforderliche Bestände werden auf Aufbewahrung beschränkt; konkrete Löschfristen für Anbieter-Sicherungskopien bedürfen eines gesonderten Nachweises. Die Löschung wird auf Anforderung in Textform bestätigt.

(1) Für die Haftung gelten die Regelungen der AGB sowie Art. 82 DSGVO.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.