Stand: 15.12.2023

Verein­ba­rung über die Daten­ver­ar­bei­tung im Auftrag bei der Nutzung der Kommu­ni­ka­ti­ons­platt­form garrioCOM gem. Art. 28 DSGVO zwischen dem Auftrag­geber und der Anbie­terin

§ 1 Art und Zweck sowie Dauer der Daten­ver­ar­bei­tung im Auftrag

1. Die Anbie­terin verar­beitet im Rahmen der Nutzung von garrioCOM perso­nen­be­zo­gene Daten, unter anderem auch Gesund­heits­daten, für den Auftrag­geber.
2. Die Dauer dieses Auftrags (Lauf­zeit) entspricht der Lauf­zeit des Vertrages über die Nutzung der Soft­ware garrioCOM.
3. Der Auftrag­geber bleibt im Rahmen des Auftrags für die Einhal­tung der gesetz­li­chen Bestim­mungen der Daten­schutz­ge­setze, für die Wahrung der ärzt­li­chen und insbe­son­dere für die Recht­mä­ßig­keit der Daten­wei­ter­gabe an die Anbie­terin sowie für die Recht­mä­ßig­keit der Daten­ver­ar­bei­tung und der Einhal­tung der Schwei­ge­pflicht verant­wort­lich.
4. Neben den erfor­der­li­chen Daten des Auftrag­ge­bers und seiner Praxis/Praxisangestellten, die zur Anmel­dung und Abwick­lung des Vertrages über die Nutzung der Soft­ware garrioCOM dienen, nimmt die Anbie­terin keinerlei Daten der Kommu­ni­ka­tion zwischen Arzt und Pati­enten oder Arzt und Arzt im Rahmen der Nutzung der Dienste von garrio, d. h. keine Gesund­heits­daten oder beruf­lich entstan­denen Daten des Auftrag­ge­bers, zur Kenntnis.

§ 2 Konkre­ti­sie­rung des Auftrags­in­halts

Zweck der Auftrags­ver­ar­bei­tung durch die Anbie­terin ist die einzel­fall­be­zo­gene Verar­bei­tung von Daten der in garrioCOM vom Auftrag­geber aufge­nom­menen und zur Nutzung der Pati­enten App einge­la­denen Pati­enten, die dieser eigen­ver­ant­wort­lich erhoben, selbst erfasst, formu­liert und gespei­chert hat. Dazu werden diese Daten selek­tiert, entge­gen­ge­nommen und auf Servern der Anbie­terin geordnet und gespei­chert.

§ 3 Gegen­stand und Umfang der Daten­ver­ar­bei­tung

1. Für die Durch­füh­rung der Dienste und Nutzung von garrioCOM werden folgende perso­nen­be­zo­gene Daten der folgenden betrof­fenen Personen durch die Anbie­terin verar­beitet:
   
   Versi­cher­ten­stamm­da­tenund Gesund­heits­daten im Sinne von Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO von Pati­enten, die vom Auftrag­geber unter seiner beruf­li­chen Verant­wor­tung in der Kommu­ni­ka­ti­ons­platt­form gespei­chert werden. Insbe­son­dere:- Angaben zur Person und Versi­che­rungs­in­for­ma­tionen zum Zweck der Iden­ti­fi­ka­tion und (Vertrags-) Verwal­tung
   — Titel, Vorname, Mittel und Nach­name, Geschlecht sowie Geburts­datum des Pati­enten
   — Kontakt­in­for­ma­tionen (Mobil­te­le­fon­nummer des Pati­enten oder einer weiteren Kontakt­person)
   — Infor­ma­tionen zur Kran­ken­kasse, mit der das Versi­che­rungs­ver­hältnis des Pati­enten besteht, sowie Infor­ma­tionen zum Versi­che­rungs­ver­hältnis selbst auf Grund­lage der Daten der elek­tro­ni­schen Gesund­heits­karte (IK und Versi­cherten- Nummer)
   — Kommu­ni­ka­tion, d.h. die von dem Auftrag­geber für einen konkreten Behand­lungs­zu­sam­men­hang als erfor­der­lich ange­se­henen Anamne­se­daten, Befund­daten, Diagno­se­daten, Medi­ka­ti­ons­daten sowie Thera­pie­daten) zwischen Praxis und Patient.
2. Die Anbie­terin über­nimmt hierbei ab dem Punkt der Daten­an­nahme die tech­ni­schen Verar­bei­tungs­vor­gänge, die Bereit­stel­lung von Spei­cher­ka­pa­zität, Rechen­leis­tung, die hierfür erfor­der­liche Infra­struktur und die System­be­treuung.

§ 4 Quali­täts­si­che­rung und sons­tige Pflichten der Anbie­terin

Die Anbie­terin unter­stützt den Auftrag­geber bei der Einhal­tung der in den Arti­keln 32 bis 36 der DSGVO genannten Pflichten zur Sicher­heit perso­nen­be­zo­gener Daten, Melde­pflichten bei Daten­pannen, Daten­schutz-Folge­ab­schät­zungen und vorhe­rige Konsul­ta­tionen; inso­fern gewähr­leistet sie insbe­son­dere die Einhal­tung folgender Vorgaben:

1. Die Wahrung der Vertrau­lich­keit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO wird durch die Anbie­terin gewähr­leistet. Die Anbie­terin setzt bei der Durch­füh­rung der Arbeiten nur Beschäf­tigte ein, die auf die Vertrau­lich­keit verpflichtet und zuvor mit den für sie rele­vanten Bestim­mungen zum Daten­schutz vertraut gemacht wurden.
2. Die Verpflich­tung, Verlet­zungen perso­nen­be­zo­gener Daten unver­züg­lich an den Auftrag­geber zu melden.
3. Die Anbie­terin wird den Auftrag­geber unver­züg­lich über Kontroll­hand­lungen und Maßnahmen der Aufsichts­be­hörde infor­mieren, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zustän­dige Behörde im Rahmen eines Ordnungs­wid­rig­keits- oder Straf­ver­fah­rens in Bezug auf die Verar­bei­tung perso­nen­be­zo­gener Daten bei der Auftrags­ver­ar­bei­tung bei der Anbie­terin ermit­telt.
4. Soweit der Auftrag­geber seiner­seits einer Kontrolle oder vorhe­riger Konsul­ta­tion der Aufsichts­be­hörde, einem Ordnungs­wid­rig­keits- oder Straf­ver­fahren, dem Haftungs­an­spruch einer betrof­fenen Person oder eines Dritten oder einem anderen Anspruch im Zusam­men­hang mit der Auftrags­ver­ar­bei­tung bei der Anbie­terin ausge­setzt ist, wird ihn die Anbie­terin nach besten Kräften zu unter­stützen.
5. Nach­weis­bar­keit der getrof­fenen tech­ni­schen und orga­ni­sa­to­ri­schen Maßnahmen gegen­über dem Auftrag­geber im Rahmen seiner Kontroll­be­fug­nisse nach § 8 dieses Vertrages.
6. Die Verpflich­tung, dem Auftrag­geber im Rahmen seiner Pflicht nach Kapitel 3 der DSGVO gegen­über dem Betrof­fenen zu unter­stützen und ihm in diesem Zusam­men­hang sämt­liche rele­vanten Infor­ma­tionen unver­züg­lich zur Verfü­gung zu stellen.
7. Die Unter­stüt­zung des Auftrag­ge­bers für dessen Daten­schutz-Folgen­ab­schät­zung.
8. Für Unter­stüt­zungs­leis­tungen, die nicht in der Leis­tungs­be­schrei­bung enthalten oder nicht auf ein Fehl­ver­halten der Anbie­terin zurück­zu­führen sind, kann die Anbie­terin eine Vergü­tung bean­spru­chen.

§ 5 Tech­ni­sche und orga­ni­sa­to­ri­sche Maßnahmen

1. Die Anbie­terin hat die Sicher­heit der Daten, insbe­son­dere die Maßnahmen gem. Art. 28 Abs. 3 lit. c, 32 DSGVO herzu­stellen. Insge­samt handelt es sich bei den zu tref­fenden Maßnahmen um Maßnahmen der Daten­si­cher­heit und zur Gewähr­leis­tung eines dem Risiko ange­mes­senen Schutz­ni­veaus hinsicht­lich der Vertrau­lich­keit, der Inte­grität, der Verfüg­bar­keit sowie der Belast­bar­keit der Systeme. Dabei sind der Stand der Technik, die Imple­men­tie­rungs­kosten und die Art, der Umfang und die Zwecke der Verar­bei­tung sowie die unter­schied­liche Eintritts­wahr­schein­lich­keit und Schwere des Risikos für die Rechte und Frei­heiten natür­li­cher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berück­sich­tigen.
2. Die tech­ni­schen und orga­ni­sa­to­ri­schen Maßnahmen unter­liegen dem tech­ni­schen Fort­schritt und der Weiter­ent­wick­lung. Inso­weit ist es der Anbie­terin gestattet, alter­na­tive adäquate Maßnahmen umzu­setzen. Dabei darf das Sicher­heits­ni­veau der fest­ge­legten Maßnahmen nicht unter­schritten werden. Wesent­liche Ände­rungen sind zu doku­men­tieren.
3. Die tech­ni­schen und orga­ni­sa­to­ri­schen Maßnahmen können vom Auftrag­geber beim Auftrag­nehmer ange­for­dert und einge­sehen werden.

§ 6 Weisungs­be­fugnis des Auftrag­ge­bers

1. Die Anbie­terin verpflichtet sich, die Verar­bei­tung der Daten ausschließ­lich im Rahmen dieses Auftrags oder nach Weisungen des Auftrag­ge­bers durch­zu­führen. Münd­liche Weisungen bestä­tigt der Auftrag­geber unver­züg­lich (mindes­tens in Text­form).
2. Die Anbie­terin hat die Weisungen des Auftrag­ge­bers hinrei­chend zu doku­men­tieren.
3. Die Anbie­terin hat den Auftrag­geber unver­züg­lich zu infor­mieren, wenn sie der Meinung ist, eine Weisung verstoße gegen Daten­schutz­vor­schriften. Die Anbie­terin ist berech­tigt, die Durch­füh­rung der entspre­chenden Weisung so lange auszu­setzen, bis sie durch den Auftrag­geber bestä­tigt oder geän­dert wird.

§ 7 Berich­ti­gung, Einschrän­kung und Löschung von Daten

1. Die Anbie­terin darf die Daten, die im Auftrag verar­beitet werden, nicht eigen­mächtig, sondern nur nach doku­men­tierter Weisung des Auftrag­ge­bers berich­tigen, löschen oder deren Verar­bei­tung einschränken. Soweit eine betrof­fene Person sich dies­be­züg­lich unmit­telbar an die Anbie­terin wendet, wird die Anbie­terin dieses Ersu­chen unver­züg­lich an den Auftrag­geber weiter­leiten.
2. Soweit vom Leis­tungs­um­fang umfasst, sind Löschung, Berich­ti­gung, Daten­por­ta­bi­lität und Auskunft nach doku­men­tierter Weisung des Auftrag­ge­bers unmit­telbar durch die Anbie­terin sicher­zu­stellen.

§ 8 Kontroll­rechte des Auftrag­ge­bers

1. Der Auftrag­geber hat das Recht, die Anbie­terin jeder­zeit hinsicht­lich der daten­schutz­recht­li­chen Verpflich­tungen zu kontrol­lieren.

§ 9 Unter­auf­trags­ver­hält­nisse

1. Die Anbie­terin ist verpflichtet, zur Gewähr­leis­tung des Daten­schutzes und der Daten­si­cher­heit der Daten des Auftrag­ge­bers, seines Perso­nals und insbe­son­dere seiner Pati­enten auch bei ausge­la­gerten Neben­leis­tungen ange­mes­sene und geset­zes­kon­forme vertrag­liche Verein­ba­rungen abzu­schließen sowie Vorkeh­rungen zu treffen und Kontroll­maß­nahmen zu ergreifen.
2. Die Anbie­terin setzt folgende Unter­auf­trag­nehmer zur Verar­bei­tung der Daten im Auftrag ein:
   — MEDI­VER­BUND AG, Lieb­knecht­straße 29, 70565 Stutt­gart
   — Baye­ri­sche Tele­me­d­Al­lianz GmbH, Brückenstr. 13a, 85107 Baar-Eben­hausen
   Darüber hinaus darf die Anbie­terin weitere Unter­auf­trag­nehmer (Auftrags­ver­ar­beiter) zur Vertrags­er­fül­lung im Rahmen der recht­li­chen Auflagen und Rahmen­be­din­gungen beauf­tragen. Unter­auf­trag­nehmer mit Sitz im Ausland, dürfen nur dann heran­ge­zogen werden, wenn der dort bestehende Schutz der Geheim­nisse dem Schutz im Inland vergleichbar ist.
3. Die Weiter­gabe von perso­nen­be­zo­genen Daten des Auftrag­ge­bers an den Unter­auf­trag­nehmer und dessen erst­ma­liges Tätig­werden sind erst mit Vorliegen der gesetz­li­chen Voraus­set­zungen für eine Unter­be­auf­tra­gung gestattet.

§ 10 Been­di­gung und Rück­gabe von perso­nen­be­zo­genen Daten

1. Kopien oder Dupli­kate der Daten werden ohne Wissen des Auftrag­ge­bers nicht erstellt und dauer­haft gespei­chert. Hiervon ausge­nommen sind Kopien oder Sicher­heits­ko­pien, soweit sie zur Gewähr­leis­tung einer ordnungs­ge­mäßen Daten­ver­ar­bei­tung erfor­der­lich sind, sowie Daten, die im Hinblick auf die Einhal­tung gesetz­li­cher Aufbe­wah­rungs­pflichten erfor­der­lich sind.
2. Nach Abschluss der vertrag­lich verein­barten Arbeiten oder früher nach Auffor­de­rung durch den Auftrag­geber – spätes­tens mit Been­di­gung der Leis­tungs­ver­ein­ba­rung – hat die Anbie­terin sämt­liche in ihren Besitz gelangten Unter­lagen, erstellte Verar­bei­tungs- und Nutzungs­er­geb­nisse sowie Daten­be­stände, die im Zusam­men­hang mit dem Auftrags­ver­hältnis stehen, dem Auftrag­geber auszu­hän­digen oder nach vorhe­riger Zustim­mung daten­schutz­ge­recht zu vernichten. Glei­ches gilt für Test- und Ausschuss­ma­te­rial. Das Proto­koll der Löschung ist auf Anfor­de­rung vorzu­legen.
3. Doku­men­ta­tionen, die dem Nach­weis der auftrags- und ordnungs­ge­mäßen Daten­ver­ar­bei­tung dienen, sind durch die Anbie­terin entspre­chend der jewei­ligen Aufbe­wah­rungs­fristen über das Vertrags­ende hinaus aufzu­be­wahren. Er kann sie nach seiner zu erklä­renden Entlas­tung bei Vertrags­ende dem Auftrag­geber über­geben.