Auftragsverarbeitungsvertrag
zwischen Arzt/Ärztin (nachfolgend auch „Verantwortliche“ genannt) und der Medikamendo GmbH, Rosenthaler Straße 43-45, 10178 Berlin, vertreten durch den Geschäftsführer Hanno C Behrens, eingetragen im Handelsregister des Amtsgerichts Charlottenburg unter HRB 248335 B (nachfolgend auch „Auftragsverarbeiterin“ genannt). Die Verantwortliche und die Auftragsverarbeiterin nachfolgend gemeinsam auch die „Parteien“ und jeweils einzeln „Partei“ genannt.
Vorbemerkung
Die Parteien haben am {{acceptance_date}} einen Vertrag über die Nutzung des Medikamendo-Prozesses der Auftragsverarbeiterin geschlossen („Hauptvertrag“). Im Rahmen der Durchführung des Hauptvertrages ist die Verarbeitung personenbezogener Daten, die von der Verantwortlichen erhoben wurden, durch die Auftragsverarbeiterin notwendig. Die Verarbeitung der vorgenannten personenbezogenen Daten erfolgt hierbei ausschließlich zu den von der Verantwortlichen festgesetzten Zwecken sowie aufgrund ihrer Weisungen.
Dies vorausgeschickt, vereinbaren die Parteien folgendes:
1. Gegenstand der Auftragsverarbeitung
1.1 Gegenstand der Auftragsverarbeitung ist die Nutzung des Medikamendo Prozesses. Die Pflichten hierzu sind in dem Hauptvertrag geregelt. Mit diesem Auftragsverarbeitungsvertrag werden die datenschutzrechtlichen Rechte und Pflichten in Bezug auf die mit der Durchführung des Hauptvertrages verbundene Verarbeitung von personenbezogenen Daten normiert. Durch diesen Auftragsverarbeitungsvertrag werden keine weitergehenden Pflichten in Bezug auf die Leistungspflichten des Hauptvertrages begründet.
1.2 Dieser Auftragsverarbeitungsvertrag wird mit Abschluss des Hauptvertrages als aufschiebende Bedingung (§ 158 Abs. 1 BGB) wirksam und bleibt so lange in Kraft, bis der zugrundeliegende Hauptvertrag beendet ist (auflösende Bedingung nach § 158 Abs. 2 BGB).
1.3 Die nachstehenden Regelungen finden auf solche Vorgänge und Tätigkeiten der Auftragsverarbeiterin Anwendung, welche die Verarbeitung nach Art. 4 Nr. 2 DS-GVO von personenbezogenen Daten im Sinne des Art. 4 Nr. 1 DS-GVO zum Gegenstand haben. Keine Anwendung finden sie auf die Verarbeitung von anonymisierten Daten, anhand derer kein Rückschluss auf eine identifizierte oder identifizierbare natürliche Person möglich ist. Dies gilt auch für solche anonymisierten Daten, auf welche die Auftragsverarbeiterin im Rahmen der Durchführung der Auftragsverarbeitung Zugriff erhält („Anwendungsbereich“). Unberührt bleiben auch Rechtfertigungstatbestände zur Datenverarbeitung auf sonstigen Rechtsgrundlagen. Dieser Auftragsverarbeitungsvertrag stellt mithin keine abschließende Bestimmung von Verarbeitungsbefugnissen der Auftragsverarbeiterin dar.
1.4 Die in diesem Auftragsverarbeitungsvertrag vereinbarte Datenverarbeitung erfolgt ausschließlich in einem Mitgliedsstaat der Europäischen Union (EU) oder in einem Mitgliedsstaat des Europäischen Wirtschaftsraumes (EWR) oder in Staaten, für die ein Angemessenheitsbeschluss nach Art. 45 DS-GVO besteht. Jede Übermittlung von personenbezogenen Daten an einen Staat, der weder Mitglied der EU oder des EWR ist oder für den kein Angemessenheitsbeschluss nach Art. 45 DS-GVO vorliegt, bedarf der vorherigen Zustimmung der Verantwortlichen und darf nur erfolgen, wenn die besonderen Bedingungen der Art. 44 bis 50 DS-GVO erfüllt sind.
2. Konkretisierung des Auftragsinhaltes
2.1 Die Datenverarbeitung erfolgt ausschließlich zur Durchführung des Hauptvertrages, also zur Nutzung des Medikamendo-Prozesses, mit dessen Hilfe die Verantwortliche als Ärztin eine vereinfachte Möglichkeit zur Ausstellung von Verordnungen über Folgemedikationen erhält.
2.2 Die Datenverarbeitung umfasst folgende Kategorien von Daten: Personenstammdaten, Kontaktdaten, (Sozial-)versicherungsdaten, Diagnosen, Verordnungsinhalt, Datum der Verordnung, Vertragsarztnummer, Status der Folgemedikation, ausstellender Arzt, Urlaubszeiten ausstellender Arzt.
2.3 Die Kategorien der betroffenen Personen sind folgende: Patienten, Ärzte und Mitarbeiter der Verantwortlichen.
3. Weisungsrecht
3.1 Der Umgang mit den personenbezogenen Daten innerhalb des Anwendungsbereiches erfolgt ausschließlich nach den Maßgaben dieses Auftragsverarbeitungsvertrages und den Aufträgen sowie Anweisungen der Verantwortlichen. Ausnahmen hiervon sind anderweitige Verpflichtungen durch Unionsrecht oder das Recht des Mitgliedsstaates, dem die Auftragsverarbeiterin unterliegt. In einem solchen Fall teilt die Auftragsverarbeiterin der Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz. 2 lit. a) DS-GVO).
3.2 Die Aufträge und Anweisungen nach Ziffer 3.1 erteilt die Verantwortliche in Schriftform, Textform oder in einem dokumentierten elektronischen Format (§§ 126a und 126b BGB). Die Verantwortliche bestätigt mündliche Anweisungen unverzüglich in Textform oder in einem dokumentierten elektronischen Format.
3.3 Die Auftragsverarbeiterin hat die Verantwortliche unverzüglich zu informieren, wenn sie der Meinung ist, eine Anweisung oder ein Auftrag verstoße gegen datenschutzrechtliche Vorschriften. Die Auftragsverarbeiterin ist dann berechtigt, die Durchführung der entsprechenden Anweisung oder des Auftrages solange auszusetzen, bis die Rechtmäßigkeit der Anweisung oder des Auftrag von Seiten der Verantwortlichen bestätigt oder diese geändert werden.
3.4 Die Auftragsverarbeiterin stellt sicher, dass ihr unterstellte natürliche Personen, die Zugang zu Daten haben, diese nur auf ihre Anweisung verarbeiten. Eine Verarbeitung von Daten außerhalb der Betriebsräume der Auftragsverarbeiterin im Rahmen von beispielsweise Telearbeit, Heimarbeit oder mobiles Arbeiten bedarf der vorherigen Zustimmung der Verantwortlichen. Diese Zustimmung erteilt die Verantwortliche hiermit.
4. Verpflichtungen der Auftragsverarbeiterin, Zusammenarbeit
4.1 Die Auftragsverarbeiterin gewährleistet die Einhaltung der geltenden Gesetze und Vorschriften, einschließlich der Gesetze und Vorschriften zum Schutz personenbezogener Daten, insbesondere der DS-GVO und des BDSG.
4.2 Die Auftragsverarbeiterin behandelt alle personenbezogenen Daten streng vertraulich. Die Verpflichtung zu Vertraulichkeit besteht auch nach Beendigung dieses Auftragsverarbeitungsvertrages fort.
4.3 Die Auftragsverarbeiterin verpflichtet ihre Mitarbeiter, die auftragsgemäß auf personenbezogene Daten der Verantwortlichen zugreifen können, auf die Vertraulichkeit, Verschwiegenheit und zum Sozialgeheimnis gemäß Art. 28 Abs. 3 Satz 2 lit. b) DS-GVO, § 35 SGB I sowie § 203 StGB. Die Mitarbeiter sind über die bestehende Weisungs- und Zweckbindung belehrt. Diese Verpflichtungen bestehen auch nach Beendigung des hiesigen Auftragsverarbeitungsvertrages fort.
4.4 Die Parteien unterstützen sich gegenseitig beim Nachweis und der Dokumentation der ihnen obliegenden Rechenschaftspflicht im Hinblick auf die Grundsätze ordnungsgemäßer Datenverarbeitung einschließlich der Umsetzung der notwendigen technischen und organisatorischen Maßnahmen („TOM“). Die Auftragsverarbeiterin stellt der Verantwortlichen hierzu bei Bedarf entsprechende Informationen zur Verfügung.
5. Datensicherheit und technische und organisatorische Maßnahmen
5.1 Die Auftragsverarbeiterin trifft die geeigneten TOM, wie sie in diesem Auftragsverarbeitungsvertrag und im anwendbaren Recht festgelegt sind, einschließlich der Art. 28 Abs. 3 Satz 2 lit. c) und Art. 32 DS-GVO.
5.2 Die Auftragsverarbeiterin ist verpflichtet, Maßnahmen zu ergreifen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung dauerhaft sicherstellen und hat zudem dafür zu sorgen, dass die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden kann.
5.3 Die Auftragsverarbeiterin überwacht regelmäßig die internen Prozesse und die TOM, um sicherzustellen, dass die Verarbeitung in ihrem Verantwortungsbereich den Anforderungen dieses Auftragsverarbeitungsvertrages und des geltenden Datenschutzrechts entspricht. Die Auftragsverarbeiterin unterhält hierzu ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM, damit die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet ist.
5.4 Die TOM unterliegen dem technischen Fortschritt und der Entwicklung. Insoweit ist es der Auftragsverarbeiterin gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der nach Ziffer 5.1 festgelegten und vereinbarten Maßnahmen nicht unterschritten werden. Im Falle einer festgestellten Unterschreitung des festgelegten und vereinbarten Sicherheitsniveaus stellt die Auftragsverarbeiterin die weitere Verarbeitung der personenbezogenen Daten umgehend ein.
6. Unterauftragsverarbeitung
6.1 Die Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine schriftliche Genehmigung gemäß Art. 28 Abs. 2 DS-GVO, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) in Anspruch zu nehmen.
6.2 Die Auftragsverarbeiterin wird die Verantwortliche über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung der Unterauftragsverarbeiter informieren. Die Verantwortliche kann innerhalb einer Frist von zwei Wochen nach Information der Hinzuziehung oder Ersetzung widersprechen.
6.3 Nicht als Leistungen von Unterauftragsverarbeiter im Sinne dieser Ziffer 6 gelten Dienstleistungen, welche die Auftragsverarbeiterin bei Dritten als Nebenleistung zur Unterstützung der Auftragsdurchführung in Anspruch nimmt, beispielsweise Telekommunikationsdienstleistungen. Die Auftragsverarbeiterin ist auch in diesem Fall verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten der Verantwortlichen auch bei Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
6.4 Die Auftragsverarbeiterin schließt mit jedem Unterauftragsverarbeiter einen Vertrag über die Unterauftragsverarbeitung mit den Inhalten und Erfordernissen nach Art. 28 DS-GVO ab („Unterauftragsverarbeitungsvertrag“). Dieser Unterauftragsverarbeitungsvertrag stellt die Anwendbarkeit der in diesem Auftragsverarbeitungsvertrag vereinbarten Bedingungen gegenüber dem Unterauftragsverarbeiter sicher.
6.5 Die Verarbeitung durch den Unterauftragsverarbeiter darf erst erfolgen, wenn der Unterauftragsverarbeiter die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO erfüllt hat. Auf Verlangen der Verantwortlichen hat der Unterauftragsverarbeiter die Erfüllung der vorbezeichneten Pflichten gegenüber ihr nachzuweisen.
6.6 Kommt der Unterauftragsverarbeiter seinen datenschutzrechtlichen Verpflichtungen nicht nach, so haftet die Auftragsverarbeiterin gegenüber der Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters. Die Auftragsverarbeiterin hat in diesem Falle auf Verlangen der Verantwortlichen die Beschäftigung des Unterauftragsverarbeiters ganz oder teilweise zu beenden oder das Vertragsverhältnis mit dem Unterauftragsverarbeiter zu lösen, wenn und soweit dies nicht unverhältnismäßig ist.
7. Mitteilungspflichten, Verpflichtung zur Unterstützung bei der Umsetzung von Betroffenenrechten, Zusammenarbeit mit den Behörden
7.1 Die Auftragsverarbeiterin unterrichtet die Verantwortliche umgehend bei schwerwiegenden Störungen ihres Betriebsablaufes, bei Verdacht auf Verstöße gegen diesen Auftragsverarbeitungsvertrag und die gesetzlichen Datenschutzbestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten der Verantwortlichen. Dies gilt insbesondere im Hinblick auf die der Auftragsverarbeiterin obliegende Pflicht nach Art. 33 Abs. 2 DS-GVO sowie auf korrespondierende Pflichten der Verantwortlichen nach Art. 33 und Art. 34 DS-GVO.
7.2 Die Auftragsverarbeiterin trifft nach Absprache mit der Verantwortlichen unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die Betroffenen abzuwenden.
7.3 Die Auftragsverarbeiterin unterstützt die Verantwortliche mit allen ihr zur Verfügung stehenden Informationen bei der Erfüllung der in Art. 32 bis 36 DS-GVO genannten Pflichten. Hierbei arbeitet die Auftragsverarbeiterin in Absprache und nach Weisung der Verantwortlichen mit den zuständigen Behörden und den betroffenen Personen für die in Art. 32 bis 36 DS-GVO genannten Pflichten zusammen, soweit dies nach dem Gesetz erforderlich ist.
8. Löschung und Rückgabe personenbezogener Daten
8.1 Nach Durchführung oder Beendigung dieses Auftragsverarbeitungsvertrages hat die Auftragsverarbeiterin gemäß den Anweisungen der Verantwortlichen alle Unterlagen, Verarbeitungsergebnisse, Verwertungsergebnisse, Datenbestände und vertragsbezogene Datensätze, die in ihrem Besitz oder ihrer Unterauftragsverarbeiter gelangt sind, zurückzugeben, zu anonymisieren oder zu löschen. Die Löschung erfolgt in Übereinstimmung mit den datenschutzrechtlichen Bestimmungen. Die Auftragsverarbeiterin legt der Verantwortlichen auf seine Anforderung hin das Protokoll der Löschung vor.
8.2 Die Verpflichtung zur Löschung gilt nicht für personenbezogene Daten, Dokumentationen, Unterlagen oder Datenbestände, die die Auftragsverarbeiterin nach geltendem Recht aufbewahren muss. In diesem Fall wird die Auftragsverarbeiterin die Daten archivieren und angemessene Maßnahmen ergreifen, um eine weitere Verarbeitung der personenbezogenen Daten zu verhindern.
8.3 Unterlagen, die zur Überprüfung einer ordnungsgemäßen und vertragsgemäßen Datenverarbeitung verwendet werden, sind von der Auftragsverarbeiterin über die Laufzeit dieses Auftragsverarbeitungsvertrages hinaus aufzubewahren. Die Auftragsverarbeiterin kann diese Unterlagen am Ende der Vertragslaufzeit der Verantwortlichen übergeben, um sich von dieser vertraglichen Verpflichtung zu befreien.
9. Kontrollrechte und Inspektionen der Verantwortlichen
9.1 Die Verantwortliche hat das Recht, die in Art. 28 Abs. 3 Satz 2 lit. h) DS-GVO vorgesehene Auftragskontrolle in Absprache mit der Auftragsverarbeiterin durchzuführen oder durch einen im Einzelfall zu benennenden Prüfer vornehmen zu lassen. Sie hat das Recht, sich durch Stichproben, die in der Regel rechtzeitig angemeldet werden müssen, davon zu überzeugen, dass dieser Auftragsverarbeitungsvertrag in seinem Geschäftsbetrieb eingehalten wird. Die Auftragsverarbeiterin verpflichtet sich, der Verantwortlichen auf Anforderung die zur Inspektion erforderlichen Auskünfte zu geben und die entsprechenden Nachweise zur Einhaltung der Verpflichtungen aus Art. 28 DS-GVO und diesem Auftragsverarbeitungsvertrag zur Verfügung zu stellen.
9.2 Die Auftragsverarbeiterin stellt sicher, dass sich die Verantwortliche von der Einhaltung der getroffenen TOM überzeugen kann. Hierzu weist die Auftragsverarbeiterin der Verantwortlichen auf Anfrage die Umsetzung der TOM mit geeigneten Mitteln nach.
9.3 Die Verantwortliche unterrichtet die Auftragsverarbeiterin unverzüglich über alle Fehler oder Unregelmäßigkeiten bei der Überprüfung der Ergebnisse der Inspektion.
9.4 Die Verantwortliche hat alle im Rahmen dieses Auftragsverarbeitungsvertrages und der Inspektion erworbenen Kenntnisse über Geschäftsgeheimnisse und Datensicherungsmaßnahmen der Auftragsverarbeiterin als streng vertrauliche Informationen zu behandeln. Diese Verpflichtung besteht auch nach Beendigung dieses Auftragsverarbeitungsvertrages fort.
10. Schlussbestimmungen
10.1 Mündliche Nebenabreden bestehen nicht. Änderungen, Ergänzungen sowie eine Vereinbarung über die Auflösung dieses Vertrages bedürfen zu ihrer Wirksamkeit der Schriftform. Dies gilt auch für die Aufhebung dieser Schriftformklausel. Ausgenommen von dem Schriftformerfordernis sind hingegen Individualabreden im Sinne des § 305b BGB.
10.2 Wenn eine oder mehrere Bestimmungen dieses Vertrages ungültig oder nicht durchsetzbar sind oder werden, bleiben die übrigen Bestimmungen des Vertrages davon unberührt. Die Parteien verpflichten sich, die ungültige oder nicht durchsetzbare Bestimmung durch eine gültige oder durchsetzbare Bestimmung formgültig zu ersetzen, für die sich die Parteien bei Abschluss dieses Vertrages entschieden hätten, um den wirtschaftlichen Zweck der zu ersetzenden Bestimmung zu erzielen, wenn sie die Ungültigkeit oder Undurchsetzbarkeit der Bestimmung zum damaligen Zeitpunkt vorausgesehen hätten. Dies gilt auch für eventuelle Lücken im Vertrag.
