Auftragsverarbeitungsvertrag

Vertragsparteien

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Coaching-Software „nutri.place" bereit und verarbeitet dabei in dessen Auftrag personenbezogene Daten der Kundinnen und Kunden des Auftraggebers. Gegenstand, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und betroffenen Personen sind in Anlage 1 beschrieben.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags (AGB). Er endet mit dessen Beendigung, spätestens mit der Löschung der Daten nach § 9.

§ 2 Weisungsgebundenheit

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Weisungen erteilt der Auftraggeber durch die Nutzung der Funktionen der Software (z. B. Anlegen, Ändern, Exportieren, Löschen von Daten) sowie in Textform.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er darf die Ausführung bis zur Bestätigung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere werden keine Gesundheitsdaten zum Training von KI-Modellen genutzt.

§ 3 Vertraulichkeit

(1) Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit und belehrt sie über die datenschutzrechtlichen Pflichten. Gesundheitsdaten sind mit einem Schlüssel verschlüsselt, der nur dem Auftraggeber vorliegt; Beschäftigte des Auftragnehmers haben keinen Zugriff auf Klartexte (Anlage 2).

(2) Ist der Auftraggeber Berufsgeheimnisträger nach § 203 StGB (etwa Ärztin, Physiotherapeut, staatlich anerkannte Diätassistentin), wirkt der Auftragnehmer als mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB. Er verpflichtet sich, fremde Geheimnisse, die ihm bei der Leistung bekannt werden, nicht unbefugt zu offenbaren, sich nur so weit Kenntnis davon zu verschaffen, wie es für die Leistung erforderlich ist, und alle eingesetzten Personen sowie Unterauftragsverarbeiter in Textform zur Verschwiegenheit zu verpflichten und auf die Strafbarkeit nach § 203 Abs. 4 StGB hinzuweisen.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten.

(2) Der Auftraggeber trägt Verantwortung für die Sicherheit in seinem Bereich: sichere Passwörter, Aufbewahrung des Wiederherstellungscodes, Vergabe von Benutzerrollen, Nutzung der Zwei-Faktor-Anmeldung.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer schließt mit ihnen Verträge, die ihnen dieselben Datenschutzpflichten auferlegen.

(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens vier Wochen vorab in der Software oder per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag außerordentlich kündigen.

(3) Der KI-Dienstleister (Anlage 3) wird nur eingesetzt, wenn der Auftraggeber den KI-Assistenten in den Einstellungen aktiviert.

§ 6 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) durch die eingebauten Funktionen: Datenauskunft und Export je Kundin bzw. Kunde, Löschen und Anonymisieren, Einwilligungsverwaltung, Zugriffsprotokoll. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich, spätestens innerhalb von 36 Stunden nach Bekanntwerden, per E-Mail an die hinterlegte Praxis-Adresse. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen, und wird bei Bedarf ergänzt.

§ 8 Unterstützungspflichten, Kontrollrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde mit den ihm vorliegenden Informationen.

(2) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung: die Dokumentation der Maßnahmen (Anlage 2), die Liste der Unterauftragsverarbeiter (Anlage 3) und auf Anfrage Auskünfte in Textform. Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich; Kosten trägt der Auftraggeber, sofern die Kontrolle keine erheblichen Mängel aufdeckt.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang über die Exportfunktionen abrufen. Anschließend löscht der Auftragnehmer alle Daten des Auftraggebers einschließlich Sicherungskopien innerhalb von 90 Tagen, soweit keine gesetzliche Aufbewahrungspflicht des Auftragnehmers besteht (z. B. Rechnungsdaten des Nutzungsvertrags).

(2) Die Aufbewahrungspflichten des Auftraggebers für seine Behandlungsdokumentation bleiben in dessen Verantwortung.

§ 10 Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und ergänzend die Haftungsregelung der AGB.

(2) Änderungen dieses Vertrags bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen der AGB. Sollten Bestimmungen dieses Vertrags den Anforderungen des Art. 28 DSGVO widersprechen, gehen die gesetzlichen Vorgaben vor.

Anlage 1 – Gegenstand der Verarbeitung

Zweck

Bereitstellung der Software zur Dokumentation und Durchführung von Ernährungsberatung und -therapie: Kundenakte, Anamnese, Messungen, Planung, Speisepläne, Ernährungsprotokolle, Nachrichten, Termine, Kurse, Rechnungen.

Art der Verarbeitung

Speicherung, Verschlüsselung, Anzeige, Berechnung (Nährwerte, Energiebedarf), Übermittlung an Kundinnen und Kunden über Links, Vermittlung von Videoterminen zwischen Praxis und Kundin bzw. Kunde, Druck/PDF, Export, Löschung, Anonymisierung; bei aktiviertem KI-Assistenten Übermittlung pseudonymisierter Fachdaten an den KI-Dienstleister.

Kategorien betroffener Personen

• Kundinnen und Kunden des Auftraggebers (Beratungs- und Therapiepersonen, Kursteilnehmende)
• Benutzer des Auftraggebers (Praxisleitung, Fachkräfte, Assistenz)
• Ärztinnen und Ärzte, Krankenkassen als Kontaktdaten in Fällen nach § 43 SGB V

Kategorien personenbezogener Daten

• Stammdaten: Name, Geburtsdatum, Geschlecht, Anschrift, E-Mail, Telefon, Krankenkasse
• Gesundheitsdaten (Art. 9 DSGVO): Anamnese (Anlass, Ziele, Diagnosen, Medikamente, Unverträglichkeiten, Operationen, Gewohnheiten), Messwerte und Laborwerte, von Kundinnen und Kunden hochgeladene Dokumente (etwa Blutbilder und Arztbriefe), Ernährungsprotokolle mit Fotos, Planungsdaten, Speisepläne, Empfehlungen, Diagnosen und Bescheinigungen nach § 43 SGB V
• Kommunikation: Nachrichten und Anhänge zwischen Praxis und Kundinnen bzw. Kunden
• Vertrags- und Abrechnungsdaten: Termine, Kursteilnahmen, Anwesenheiten, Rechnungen
• Einwilligungen und Zugriffsprotokoll
• Videotermine: IP-Adressen und technische Verbindungsdaten für den Verbindungsaufbau, Zeitpunkte des Beitritts; Bild und Ton werden nicht gespeichert und sind für den Auftragnehmer nicht lesbar

Anlage 2 – Technische und organisatorische Maßnahmen

Vertraulichkeit

• Verschlüsselung gespeicherter Gesundheitsdaten: AES-256-GCM mit einem praxiseigenen Schlüssel, der aus dem Passwort der Fachkraft abgeleitet wird und nicht im Klartext auf dem Server liegt; Sicherungen enthalten nur Geheimtext
• Kundenlinks: eigener Schlüssel je Link, Antworten der Kundinnen und Kunden werden versiegelt (hybride Verschlüsselung RSA-3072/AES) übertragen; Fotos aus Protokollen liegen verschlüsselt außerhalb des Webroots
• Zugangskontrolle: Passwörter als Argon2id-Hash, Mindestlänge 12 Zeichen, Sperre nach Fehlversuchen, Zwei-Faktor-Anmeldung, Sitzungsablauf
• Dokumente aus dem Kundenbereich: beim Hochladen mit dem öffentlichen Schlüssel des Auftraggebers versiegelt (RSA-OAEP und AES-256-GCM), Dateiname und Notiz ebenso; Prüfung des Dateityps am Inhalt, Fotos ohne eingebettete Metadaten; Auslieferung an die Praxis nur nach Anmeldung, Bilder in abgeschotteter Ansicht, PDFs als Download
• Berechtigungskonzept: Rollen Praxisleitung, Fachkraft, Assistenz; Assistenz ohne Praxis-Schlüssel und ohne Zugriff auf Gesundheitsdaten; Mandantentrennung je Praxis auf Datenbankebene
• Transportverschlüsselung: TLS für alle Verbindungen, HSTS, Content-Security-Policy
• Videotermine: WebRTC mit Ende-zu-Ende-Verschlüsselung (DTLS-SRTP) direkt zwischen den Browsern; keine Aufzeichnung; Verbindungsdaten werden nach zwei Stunden gelöscht; Zugang nur mit persönlichem Link oder über den Kundenbereich innerhalb des Terminfensters
• Betreiberzugriff: Der Betreiberbereich zeigt nur Stammdaten der Praxen, Abrechnung und Nutzungskennzahlen, keine Kunden- oder Gesundheitsdaten

Integrität

• Zugriffsprotokoll je Kundenakte (wer, wann, welche Aktion)
• Schutz vor Cross-Site-Request-Forgery, Eingabevalidierung, geprüfte Dateiauslieferung
• Fortlaufende Nummernkreise für Rechnungen, Storno nur per Gegenbeleg

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datenbanksicherung (mindestens täglich), getrennte Aufbewahrung; Gesundheitsdaten darin nur verschlüsselt
• Hosting in einem Rechenzentrum mit Zutrittskontrolle, USV und Brandschutz (Anlage 3)
• Aktualisierte Systemsoftware, Fehlerprotokollierung ohne Gesundheitsdaten

Verfahren zur Überprüfung

• Datenschutz-Funktionen für Auskunft, Export, Löschen, Anonymisieren und Einwilligungen in der Software
• Verzeichnis von Verarbeitungstätigkeiten als Vorlage für die Praxis
• Regelmäßige Prüfung der Maßnahmen und der Unterauftragsverarbeiter

Anlage 3 – Unterauftragsverarbeiter