Vertrag zur Auftragsverarbeitung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der in den AGB beschriebenen Plattformleistungen.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Der Vertrag endet automatisch mit diesem.

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten insbesondere die Nutzung der Funktionen der Plattform sowie Anweisungen in Textform an die im Impressum genannte Adresse. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

(4) Dies gilt auch für Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten, Anzeigen, Exportieren und Löschen im Rahmen der gebuchten Bausteine.

Zwecke: Betrieb der Plattform, Erstellung von Auswertungen, Plänen, Dokumenten und Textentwürfen, Team- und Stellenverwaltung, Befragungen.

Kategorien betroffener Personen: Beschäftigte und Bewerberinnen und Bewerber der Apotheke, Ansprechpartner von Kooperations- und Netzwerkpartnern, Teilnehmende an Befragungen, Kundinnen und Kunden, die über die Buchungsseite der Apotheke einen Termin vereinbaren.

Kategorien personenbezogener Daten: Stamm- und Kontaktdaten, Funktions- und Qualifikationsangaben, Arbeitszeit- und Aufgabenangaben, Bewerbungsangaben, Antworten aus Befragungen, Nutzungs- und Protokolldaten.

Arbeitszeit- und Abwesenheitsdaten: Beginn, Ende und Pausen der Arbeitszeit, Korrektur-, Urlaubs- und Abwesenheitsanträge sowie Freigaben und Änderungsprotokolle. Die Verarbeitung dient der Erfüllung der Aufzeichnungspflicht nach § 16 Abs. 2 ArbZG und der Entgeltabrechnung, nicht der Verhaltens- oder Leistungskontrolle; eine Auswertung zu diesem Zweck ist untersagt.

Termindaten: Name, Kontaktdaten, gewünschte Leistung und Zeitpunkt aus Terminbuchungen.

Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO): Ausschließlich in der Funktion „Terminbuchung“ dürfen Angaben verarbeitet werden, aus denen sich über die gewählte Leistung ein Gesundheitsbezug ergibt (z. B. pharmazeutische Dienstleistung, Medikationsanalyse, Impfung). Umfang: Bezeichnung der Leistung, Zeitpunkt und die freiwillige Anmerkung der buchenden Person. Der Verantwortliche stützt diese Verarbeitung auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG oder auf eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Schutzmaßnahmen: Speicherung ausschließlich in der EU, Verschlüsselung im Transport und im Ruhezustand, Zugriff nur für Beschäftigte der buchenden Apotheke, Einsatz ausschließlich zur Vertraulichkeit verpflichteter Personen auf Seiten des Auftragsverarbeiters (Art. 9 Abs. 3 DSGVO), gesonderte Löschfrist nach Terminende.

Individualisierte Angaben in den Bausteinen: Namen und Funktionen verantwortlicher Personen in Dokumentenköpfen (Erstellung, Prüfung, Freigabe), Kenntnisnahme- und Unterschriftszeilen, Schulungs- und Qualifikationsnachweise (z. B. Impfen, KI-Kompetenz nach Art. 4 KI-VO, QMS-Audits), Zuständigkeiten und Zeitanteile aus Aufgabeninterviews sowie Angaben zu Ansprechpartnern von Kooperationspartnern. Diese Angaben entstehen ausschließlich auf Eingabe des Verantwortlichen und werden nur zur Erzeugung der jeweiligen Unterlage genutzt.

Ausgeschlossen: In allen übrigen Funktionen – insbesondere in Freitextfeldern, Dokumenten, Aufgaben und Auswertungen – dürfen Gesundheits- und Patientendaten sowie sonstige besondere Kategorien nach Art. 9 DSGVO nicht eingegeben werden. Diagnosen, Befunde und Medikationsdaten einzelner Patientinnen und Patienten dürfen auch in der Terminbuchung nicht erfasst werden.

Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

• Zutritts- und Zugangskontrolle (Anbieter): Betrieb ausschließlich in zertifizierten Rechenzentren der eingesetzten Anbieter. Kein eigener Serverbetrieb. Zugang zur Administration nur über persönliche Konten mit starken Passwörtern.
• Zugriffskontrolle (OctoHealth): Rollen- und rechtebasiertes Modell: Inhaberinnen und Inhaber vergeben Team-Zugänge je Baustein. Auf Datenbankebene sind für jede Tabelle zeilenbasierte Sicherheitsregeln (Row Level Security) aktiv, die den Zugriff auf die jeweils eigene Apotheke begrenzen.
• Entzug von Zugriffsrechten (OctoHealth): Wird ein Team-Zugang gesperrt oder entfernt, entfällt der Zugriff sofort und vollständig – auch auf bereits vorhandene Nachrichten, Aufgaben und Dokumente. Die Prüfung erfolgt bei jeder Datenbankabfrage. Sperrungen werden mit Zeitstempel protokolliert und sind als Zugriffsnachweis druckbar.
• Trennungskontrolle (OctoHealth): Mandantentrennung über die Apothekenzuordnung jedes Datensatzes; Auswertungen und Dokumente sind ausschließlich der erzeugenden Apotheke zugeordnet.
• Verschlüsselung (OctoHealth / Anbieter): Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung der Datenbank und der Dateiablage im Ruhezustand durch den Infrastruktur-Anbieter. Konkrete Verfahren und Zertifizierungen werden hier erst nach schriftlicher Bestätigung des Anbieters benannt.
• Verfügbarkeit und Wiederherstellbarkeit (Anbieter): Automatische tägliche Sicherungen der Datenbank durch den Datenbankanbieter, Wiederherstellung auf einen Zeitpunkt innerhalb des Sicherungszeitraums, Überwachung von Auslastung und Fehlern.
• Eingabe- und Protokollkontrolle (OctoHealth): Protokollierung von Anmeldungen, Freischaltungen und sicherheitsrelevanten Änderungen; Nachvollziehbarkeit von Dokumentversionen in den Bausteinen.
• Auftragskontrolle (OctoHealth): Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern; Weisungen des Verantwortlichen werden dokumentiert umgesetzt.
• Datenminimierung (OctoHealth): Außerhalb der ausdrücklich in § 2 bezeichneten Terminbuchungsfunktion ist die Eingabe von Patientendaten und besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO untersagt und für den Betrieb der Plattform nicht erforderlich.

Die Klammer benennt, wer die Maßnahme verantwortet: „OctoHealth“ setzen wir selbst um, „Anbieter“ stellt der eingesetzte Infrastruktur-Dienstleister bereit.

Diese Aufstellung kann über „Drucken oder als PDF sichern“ als Anlage für die eigene Datenschutzakte abgelegt werden. Stand: laufend gepflegt.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut sind (Art. 28 Abs. 3 lit. b DSGVO).

(1) Der Verantwortliche genehmigt allgemein den Einsatz der nachfolgenden Unterauftragsverarbeiter. Mit ihnen bestehen Verträge nach Art. 28 DSGVO.

Die Aufstellung nennt alle direkt beauftragten Unterauftragsverarbeiter. Diese setzen ihrerseits eigene Unterauftragnehmer ein (z. B. für Rechenzentrumsbetrieb oder E-Mail-Versand); maßgeblich ist die jeweils aktuelle Anbieterliste, die wir auf Anfrage in Textform benennen. Eine Erweiterung auf unserer Seite erfolgt ausschließlich nach dem Verfahren in Absatz 2.

(2) Wechsel oder Hinzunahme eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund innerhalb von zwei Wochen widersprechen; kommt keine Einigung zustande, darf er den Nutzungsvertrag zum geplanten Wechseltermin kündigen.

Eine Verarbeitung außerhalb des EWR erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Maßnahmen wie Transportverschlüsselung und Zugriffsbeschränkungen. Die Datenbank mit den Betriebs-, Team- und Dokumentdaten wird in der EU (Paris/Frankreich) betrieben.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich weiter.

(2) Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzungen und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.

(2a) Für Auskunfts- und Übertragbarkeitsverlangen stellt der Auftragsverarbeiter auf Anforderung kurzfristig eine vollständige Übersicht der zu einem Konto gespeicherten Daten, eine maschinenlesbare Kopie sowie eine Aufstellung der hochgeladenen Dateien bereit. Verzeichnis der Verarbeitungstätigkeiten, TOM-Dokumentation, Löschkonzept und Meldeformular für Datenschutzverletzungen werden ebenfalls auf Anforderung in Textform übergeben.

(3) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den zur Meldung nach Art. 33 DSGVO erforderlichen Angaben.

(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage in Textform nach, insbesondere durch Auskünfte und die Nachweise der eingesetzten Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen – die vom Verantwortlichen oder von einem von diesem beauftragten unabhängigen Prüfer durchgeführt werden, und trägt aktiv zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO). Er stellt dem Verantwortlichen alle hierfür erforderlichen Informationen zur Verfügung. Der beauftragte Prüfer darf kein Wettbewerber sein und ist zur Verschwiegenheit zu verpflichten.

(3) Besteht ein konkreter Anlass, insbesondere der begründete Verdacht einer Verletzung des Schutzes personenbezogener Daten, sind Überprüfungen auch kurzfristig und ohne vorherige Ankündigung zulässig.

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück – nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche teilt seine Wahl innerhalb von 30 Kalendertagen nach Vertragsende in Textform mit; trifft er keine Wahl, werden die Daten gelöscht.

(2) Für die Rückgabe stellt der Auftragsverarbeiter die Daten in einem gängigen, maschinenlesbaren Format bereit. Der Export ist ab Vertragsende 30 Kalendertage abrufbar.

(2a) Während der Vertragslaufzeit gelten die folgenden Regellöschfristen. Sie sind mit dem Löschkonzept und mit § 10 der Datenschutzerklärung identisch:

(3) Die Löschung einschließlich vorhandener Kopien erfolgt spätestens 60 Kalendertage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; in diesem Fall wird die Verarbeitung auf die Aufbewahrung beschränkt. Sicherungskopien werden spätestens 35 Kalendertage nach der Löschung im laufenden Sicherungszyklus überschrieben. Die Löschung wird auf Anforderung in Textform bestätigt.

(1) Für die Haftung gelten die Regelungen der AGB sowie Art. 82 DSGVO.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor.

(3) Änderungen bedürfen der Textform. Es gilt deutsches Recht.