Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

zwischen der Praxis des Kunden (nachfolgend „Verantwortlicher“)

und [FIRMENNAME], [ANSCHRIFT], vertreten durch [VERTRETUNGSBERECHTIGTE PERSON] (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Praxissoftware „PodoCRM“ als Software-as-a-Service. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag nach den AGB). Die Pflichten nach § 10 (Löschung/Rückgabe) gelten über das Vertragsende hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen erteilt der Verantwortliche grundsätzlich durch die Nutzung und Konfiguration der Software (z. B. Aktivieren einer Schnittstelle, Datenexport, Löschantrag) sowie in Textform an [E-MAIL].
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit und Berufsgeheimnis (§ 203 StGB)

1. Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).
2. Dem Auftragsverarbeiter ist bekannt, dass der Verantwortliche als Angehöriger eines Heilberufs mit staatlich geregelter Ausbildung der beruflichen Schweigepflicht nach § 203 StGB unterliegt. Der Auftragsverarbeiter ist sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB. Er verpflichtet sich zur Geheimhaltung und verpflichtet seine Mitarbeitenden sowie Unterauftragnehmer, die Kenntnis von fremden Geheimnissen erlangen können, in Textform zur Geheimhaltung unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung (§ 203 Abs. 4 Satz 2 Nr. 1 StGB).
3. Der Auftragsverarbeiter verschafft sich nur insoweit Kenntnis von fremden Geheimnissen, wie dies zur Erfüllung des Auftrags erforderlich ist. Zugriffe des Betreibers auf Praxisdaten erfolgen nur mit zeitlich begrenzter Freigabe des Verantwortlichen (Support-Freigabe) und werden im Zugriffsprotokoll der Praxis vermerkt.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage „Technische und organisatorische Maßnahmen (TOM)“ beschrieben sind. Die Anlage ist Bestandteil dieses Vertrags.
2. Wesentliche Maßnahmen sind u. a.: Verschlüsselung der Übertragung (TLS) und der gespeicherten Fotos/Dokumente (AES-256-GCM, eigener Schlüssel je Praxis), Mandantentrennung in der Anwendung und per Row-Level-Security der Datenbank, Rollen- und Rechtekonzept, Zwei-Faktor-Anmeldung, unveränderbares Zugriffsprotokoll, verschlüsselte Datensicherungen.
3. Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen mitgeteilt.

§ 6 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in der Liste der Unterauftragnehmer genannten Unterauftragnehmer.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragnehmers in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall eines Widerspruchs kann jede Partei den Vertrag außerordentlich kündigen.
3. Der Auftragsverarbeiter legt Unterauftragnehmern vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, einschließlich der Verschwiegenheit nach § 203 StGB (Art. 28 Abs. 4 DSGVO).
4. Dienste, die der Verantwortliche selbst beauftragt und in der Software verbindet (z. B. Buchhaltung, Kartenzahlung, Nachrichtendienste, KI-Anbieter mit eigenem Vertrag), sind keine Unterauftragnehmer des Auftragsverarbeiters. Der Verantwortliche schließt mit diesen eigene Verträge.

§ 7 Drittlandübermittlung

Eine Verarbeitung in Drittländern außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Verantwortliche zugestimmt hat. Gesundheitsdaten werden vom Auftragsverarbeiter nicht in Drittländer übermittelt.

§ 8 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO). Die Software stellt hierzu u. a. eine Auskunft je Patient (maschinenlesbar) und Sperr-/Löschfunktionen bereit.
2. Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 9 Kontrollrechte

1. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen, insbesondere durch Einholung von Auskünften, Einsicht in Nachweise (z. B. Zertifikate, Prüfberichte, Penetrationstest-Zusammenfassungen) oder durch Inspektionen nach rechtzeitiger Anmeldung (in der Regel 14 Tage) zu den üblichen Geschäftszeiten (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung. Inspektionen dürfen den Betrieb und die Vertraulichkeit anderer Kunden nicht beeinträchtigen.
3. Für Inspektionen vor Ort kann der Auftragsverarbeiter eine angemessene Aufwandsentschädigung verlangen, sofern kein Anlass in einem Verstoß des Auftragsverarbeiters liegt.

§ 10 Löschung und Rückgabe nach Ende des Auftrags

1. Der Verantwortliche kann jederzeit einen vollständigen Datenexport (JSON je Tabelle, entschlüsselte Fotos/Dokumente) in der Software erstellen. Dies gilt als Rückgabe der Daten.
2. Nach Ende der Leistungserbringung bzw. nach dem Löschantrag des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen nach einer Karenzzeit von 30 Tagen (Art. 28 Abs. 3 lit. g DSGVO), sofern nicht eine gesetzliche Pflicht zur Speicherung beim Auftragsverarbeiter besteht. Die Löschung umfasst Datenbankeinträge und gespeicherte Dateien. Verschlüsselte Datensicherungen laufen spätestens nach [BACKUP-AUFBEWAHRUNG] (derzeit vorgesehen: 14 Tage) aus.
3. Aufbewahrungspflichten des Verantwortlichen (u. a. § 630f Abs. 3 BGB: 10 Jahre Behandlungsdokumentation; § 147 AO, § 14b UStG: 8 bzw. 10 Jahre für Belege und Bücher) bleiben unberührt. Der Verantwortliche stellt durch einen rechtzeitigen Export sicher, dass er diesen Pflichten nachkommen kann.
4. Die Löschung wird protokolliert und dem Verantwortlichen auf Anfrage bestätigt.

§ 11 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.
2. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.
3. Änderungen und Ergänzungen bedürfen der Textform.

Anlagen

1. Technische und organisatorische Maßnahmen (TOM) – [FASSUNG UND DATUM DER TOM]
2. Liste der Unterauftragnehmer