Auftragsverarbeitungsvertrag

zwischen dem Betrieb, der Praxsy nutzt (Verantwortlicher, nachfolgend "Kunde"), und Kolac Digital, Inhaber Yusuf Kolac, Beckhausstraße 108, 33611 Bielefeld, E-Mail: yusuf@kolac-digital.de (Auftragsverarbeiter, nachfolgend "Anbieter"). Praxsy ist eine Marke des Anbieters.

1. Gegenstand und Dauer

Der Anbieter stellt dem Kunden die Software Praxsy als Online-Dienst bereit (Hauptvertrag, siehe AGB). Dabei verarbeitet er personenbezogene Daten, für die der Kunde verantwortlich ist. Dieser Vertrag regelt diese Verarbeitung. Er gilt, solange der Hauptvertrag besteht, einschließlich eines kostenlosen Tests, und darüber hinaus, bis alle Daten nach Ziffer 13 gelöscht sind.

2. Art und Zweck der Verarbeitung

Speichern, Organisieren, Anzeigen, Übermitteln und Löschen von Daten, soweit es für die Funktionen der Software nötig ist: Terminverwaltung und Online-Buchung, Kunden- und Behandlungsakten, Abrechnung und Rechnungen, Gutscheine und Stempelkarten, E-Mails, SMS und Benachrichtigungen im Namen des Kunden, Lager, Buchhaltung und Datenexport. Hinzu kommen Datensicherung, Wartung, Fehlerbehebung und Support.

3. Art der Daten

Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Termin- und Buchungsdaten, Kauf- und Rechnungsdaten, Notizen, Fotos und Dokumente, Einwilligungen, Daten zu Gutscheinen und Stempelkarten, Daten der Mitarbeitenden (Name, E-Mail-Adresse, Dienstplan, Rolle) sowie technische Protokolldaten. Je nach Nutzung durch den Kunden auch Gesundheitsdaten nach Art. 9 DSGVO, etwa Anamnese, Behandlungsdokumentation und Behandlungsfotos.

4. Betroffene Personen

Kunden, Patienten und Interessenten des Kunden, Personen, die über die Buchungsseite des Kunden Termine anfragen oder Newsletter bestellen, sowie Mitarbeitende des Kunden.

5. Zugriff des Anbieters als Betreiber und Host

Der Anbieter betreibt die Software und die dafür nötige Infrastruktur. Er und die von ihm eingesetzten Unterauftragsverarbeiter haben deshalb technisch Zugriff auf die Daten, die der Kunde in der Software speichert. Der Kunde nimmt zur Kenntnis, dass sich dieser Zugriff beim Betrieb einer Online-Software nicht ausschließen lässt, und beauftragt den Anbieter ausdrücklich mit der Verarbeitung in diesem Umfang.

Der Anbieter greift auf Inhalte nur zu, soweit es nötig ist für den Betrieb, die Sicherheit, die Datensicherung und Wiederherstellung, die Behebung von Störungen und Fehlern, den Support auf Anfrage des Kunden oder die Erfüllung gesetzlicher Pflichten. Er nutzt die Daten nicht für eigene Zwecke, gibt sie nicht weiter, wertet sie nicht für Werbung aus und verwendet sie nicht zum Training von KI-Modellen. Besonders schutzbedürftige Angaben und Dateien sind zusätzlich verschlüsselt gespeichert.

6. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen der Software durch den Kunden, etwa das Anlegen, Ändern, Versenden, Exportieren oder Löschen von Daten. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Muss der Anbieter nach dem Recht der EU oder eines Mitgliedstaats Daten anders verarbeiten, teilt er dies vorher mit, sofern das Recht dies nicht verbietet.

7. Vertraulichkeit und Berufsgeheimnis

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Ist der Kunde Berufsgeheimnisträger, etwa als Arzt oder Angehöriger eines anderen Heilberufs, wirkt der Anbieter als sonstige mitwirkende Person nach § 203 Abs. 3 Satz 2 StGB mit. Er verpflichtet sich zur Verschwiegenheit über fremde Geheimnisse, die ihm dabei bekannt werden, verschafft sich davon nur Kenntnis, soweit es für seine Leistung erforderlich ist, und wurde auf die Strafbarkeit nach § 203 Abs. 4 StGB hingewiesen. Personen, die er seinerseits einsetzt, verpflichtet er in Textform ebenso.

8. Technische und organisatorische Maßnahmen

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

9. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten sind in Anlage 2 aufgeführt und gelten als genehmigt. Neue oder geänderte Unterauftragsverarbeiter teilt der Anbieter mindestens vier Wochen vorher per E-Mail mit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau (Art. 28 Abs. 4 DSGVO). Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur mit einer Garantie nach Art. 44 ff. DSGVO.

Keine Unterauftragsverarbeiter des Anbieters sind Dienste, die der Kunde selbst einrichtet und mit denen er selbst einen Vertrag hat, zum Beispiel ein eigener Mailserver, das eigene Stripe-Konto für Zahlungen seiner Kunden oder Buchhaltungsprogramme wie sevDesk oder Lexware Office. Daten fließen dorthin nur, wenn der Kunde die Verbindung einrichtet.

10. Rechte der betroffenen Personen

Der Anbieter unterstützt den Kunden dabei, Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Dafür stehen in der Software Funktionen zum Bearbeiten, Exportieren, Anonymisieren und Löschen bereit. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

11. Weitere Unterstützung

Der Anbieter unterstützt den Kunden im Rahmen seiner Möglichkeiten bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und an Betroffene, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation (Art. 32 bis 36 DSGVO).

12. Meldung von Verletzungen

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden, nachdem er davon erfahren hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

13. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit, auch bis zum Ende des Vertrags, über die Exportfunktion herunterladen. 30 Tage nach Vertragsende löscht der Anbieter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden im regulären Zyklus der Sicherungen überschrieben.

14. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Er ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten. Für Unterauftragsverarbeiter genügen deren Zertifikate und Prüfberichte.

15. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen der AGB.

16. Schlussbestimmungen

Der Vertrag wird elektronisch geschlossen, indem der Kunde ihn bei der Registrierung oder bei der Anmeldung bestätigt. Das genügt nach Art. 28 Abs. 9 DSGVO. Der Anbieter hält fest, wer welche Fassung wann bestätigt hat. Ändert sich dieser Vertrag, gilt die bisherige Fassung, bis der Kunde der neuen zustimmt. Bei Widersprüchen geht dieser Vertrag den AGB vor. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Hosting bei einem deutschen Anbieter in einem Rechenzentrum in Deutschland, keine Übermittlung der Kundendaten in Drittländer für den Betrieb
• Datenbank und Dateiablage sind aus dem Internet nicht erreichbar, nur die Anwendung selbst
• Übertragung ausschließlich verschlüsselt (TLS)
• Besonders schutzbedürftige Felder und alle hochgeladenen Dateien zusätzlich verschlüsselt (AES-256-GCM), Schlüssel getrennt vom Code verwaltet
• Trennung der Betriebe auf Datenbankebene (Row Level Security): Jeder Betrieb sieht nur seine eigenen Daten
• Rollen und Rechte innerhalb des Betriebs (Inhaber, Fachkraft, Mitarbeiter), auf Wunsch je Person einstellbar
• Passwörter nur als Hash gespeichert, Begrenzung von Anmeldeversuchen
• Protokoll über Zugriffe auf Kunden- und Behandlungsdaten, nicht nachträglich änderbar
• Tägliche verschlüsselte Sicherung von Datenbank und Dateien
• Zugang zum Hosting-Konto nur für den Anbieter, geschützt durch ein starkes Passwort und Zwei-Faktor-Anmeldung
• Export- und Löschfunktionen für die Rechte der Betroffenen

Anlage 2: Unterauftragsverarbeiter

1. Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp, Deutschland

• Leistung: Hosting der Anwendung und der Website, Betrieb von Datenbank und Dateiablage, Sicherungen, Versand von E-Mails (Terminbestätigungen, Erinnerungen, Newsletter, Systemmails)
• Daten: Alle in der Software gespeicherten Daten und Dateien, Inhalt und Empfänger der E-Mails sowie technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse)
• Ort: Rechenzentrum in Deutschland

2. Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland

• Leistung: Abrechnung des Abos der Betriebe
• Daten: Name, E-Mail-Adresse und Zahlungsdaten des Betriebs
• Ort: EU, Übermittlung in die USA möglich
• Garantie: Zertifizierung der Stripe, Inc. nach dem EU-US Data Privacy Framework und Standardvertragsklauseln

3. Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA

• Leistung: KI-Belegerkennung in der Buchhaltung: liest Betrag, Datum und Lieferant aus einem hochgeladenen Beleg
• Daten: Nur das jeweilige Belegbild. Die Daten werden nicht zum Training von KI-Modellen verwendet.
• Ort: USA
• Garantie: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO)
• Einsatz: Nur wenn der Betrieb die Belegerkennung nutzt

4. Push-Dienste der Browser-Hersteller (Google, Apple, Mozilla)

• Leistung: Zustellung von Push-Benachrichtigungen an Mitarbeitende des Betriebs
• Daten: Gerätekennung des Browsers. Der Inhalt der Nachricht ist Ende-zu-Ende verschlüsselt und für den Push-Dienst nicht lesbar.
• Ort: EU und USA
• Garantie: Zertifizierung nach dem EU-US Data Privacy Framework bzw. Standardvertragsklauseln
• Einsatz: Nur wenn jemand Push-Benachrichtigungen im Browser erlaubt