nach Art. 28 DSGVO
ratiomedicus GmbH
Auftragsverarbeiter: ratiomedicus GmbH
Am Flughafen 12 – 60549 Frankfurt am Main – Handelsregister: HRB 138874, Amtsgericht Frankfurt – E-Mail: office@ratiomedicus.de
(im Folgenden „Auftragsverarbeiter” oder „ratiomedicus”)
Auftraggeber (Verantwortlicher):
(im Folgenden „Verantwortlicher” oder „Praxis”)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der:
Eine Verarbeitung für andere Zwecke erfolgt nicht ohne ausdrückliche schriftliche Zustimmung des Verantwortlichen.
Der AV-Vertrag tritt mit Unterzeichnung in Kraft und gilt für die Dauer des Hauptvertrags zwischen ratiomedicus und dem Verantwortlichen. Nach Beendigung des Hauptvertrags endet dieser AV-Vertrag automatisch.
(1) Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter jederzeit Weisungen zur Art, zum Umfang und zum Verfahren der Verarbeitung personenbezogener Daten zu erteilen.
(2) Form. Weisungen ergehen grundsätzlich in Textform (Art. 28 Abs. 3 S. 3 DSGVO); E-Mail genügt. Mündlich oder fernmündlich erteilte Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen. In dringenden Fällen führt der Auftragsverarbeiter die mündliche Weisung aus und dokumentiert sie bis zur Bestätigung.
(3) Befugte Personen. Weisungen erteilen ausschließlich die vom Verantwortlichen benannten Personen; auf Seiten des Auftragsverarbeiters nehmen die nachstehend benannten Personen Weisungen entgegen. Änderungen werden der jeweils anderen Partei in Textform mitgeteilt.
(4) Dokumentation. Der Auftragsverarbeiter dokumentiert alle Weisungen und deren Umsetzung nachvollziehbar und bewahrt diese für die Vertragsdauer sowie [•] Monate darüber hinaus auf.
(5) Prüfung und Hinweispflicht. Der Auftragsverarbeiter führt Weisungen unverzüglich aus. Hält er eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO) und ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
Der Auftragsverarbeiter verarbeitet folgende Kategorien personenbezogener Daten:
Eine Verarbeitung zusätzlicher oder anderer Datenkategorien erfolgt nur nach schriftlicher Zustimmung des Verantwortlichen.
Klarstellung: Die vorstehenden Datenkategorien werden im Klartext ausschließlich im Wege des Fernzugriffs im System des Verantwortlichen eingesehen und bearbeitet. Auf Systemen des Auftragsverarbeiters werden – außerhalb des Praxissystems – ausschließlich pseudonymisierte Daten gemäß § 3.4 gespeichert.
Der Auftragsverarbeiter führt folgende Verarbeitungsvorgänge durch:
Die Verarbeitung erfolgt laufend nach Maßgabe der Anforderungen des Verantwortlichen und der vertraglichen Verpflichtungen.
(1) Live-Fernzugriff. Einsicht und Bearbeitung von Klartext-Patientendaten erfolgen ausschließlich im Wege des verschlüsselten Fernzugriffs (VPN) live im System des Verantwortlichen. Der VPN-Zugang wird vom Verantwortlichen bzw. dessen IT-Beauftragten bereitgestellt und betrieben; die Zugangsdaten werden praxisseitig vergeben. Klartext-Patientendaten werden zu keinem Zeitpunkt heruntergeladen, exportiert, per E-Mail oder Datenträger versandt, gedruckt oder lokal gespeichert.
(2) Pseudonymisierte .con-Dateien. Die aus dem Praxissystem erzeugten, pseudonymisierten .con-Dateien werden wahlweise (a) vom Auftragsverarbeiter über den verschlüsselten VPN-Tunnel abgerufen oder (b) vom Verantwortlichen über einen gesicherten, zugriffsbeschränkten Upload in den jeweiligen Kundenordner (Microsoft 365 / SharePoint, Übertragung via TLS) bereitgestellt. Eine unverschlüsselte Übertragung findet nicht statt.
(3) Ergebnisbereitstellung. Analyseergebnisse werden dem Verantwortlichen über einen zugriffsbeschränkten Link bereitgestellt (vgl. Anlage 1, Ziff. 2.3 und 3.1).
Zur Klarstellung – auch im Verhältnis zu Anlage 1 (TOM) – gilt folgendes Speicher- und Zugriffsmodell. Bei Widersprüchen zwischen diesem AVV und Anlage 1 geht die jeweils strengere, datenminimierende Regelung vor.
Datenart | Form | Speicherort | Zugriff |
Klartext-Patientendaten | Klartext | ausschließlich im System des Verantwortlichen; keine Speicherung beim AV | Live-Fernzugriff (VPN), Need-to-know, MFA |
Rohdaten zur Analyse | pseudonymisiert (.con) | Analyse via abcomed (DE); kurzzeitig im Kundenordner M365/SharePoint (EU) | berechtigte Mitarbeitende, rollenbasiert, MFA |
Analyseergebnisse / Berichte | pseudonymisiert | Kundenordner M365/SharePoint (EU-RZ), verschlüsselt | berechtigte MA; Bereitstellung über zugriffsbeschränkten Link |
Vertrags-/Kommunikationsdaten | Klartext (B2B) | Microsoft 365 (EU) | berechtigte Mitarbeitende |
Die detaillierten technischen und organisatorischen Maßnahmen sind im separaten Dokument „Technische und organisatorische Maßnahmen (TOM)“ (Anlage 1) dokumentiert, das Bestandteil dieses AV-Vertrags ist.
Der Auftragsverarbeiter darf personenbezogene Daten nur an Unterauftragsverarbeiter weitergeben, die:
Mitwirkende Personen (Unterauftragsverarbeiter) werden zudem in Textform zur Verschwiegenheit nach § 203 StGB verpflichtet und über die strafrechtlichen Folgen belehrt; die Verpflichtungskette setzt sich bis zur jeweils tätig werdenden Person fort (vgl. § 8.7).
Unterauftragsverarbeiter | Verarbeitungsgegenstand | Standort | AVV |
Microsoft Ireland Operations Ltd | Cloud-Speicherung (Office 365, SharePoint, Dynamics 365) | Dublin, Irland (EU) | Ja |
Hetzner Online GmbH | Server-Hosting | Gunzenhausen, Deutschland | Ja |
abcomed GmbH | Analysesoftware (nur pseudonymisierte Daten) | Königstein, Deutschland | Ja |
DATEV eG | Buchhaltungssoftware (eigener Geschäftsbetrieb) | Nürnberg, Deutschland | Ja |
Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen vor der Beauftragung neuer Unterauftragsverarbeiter schriftlich zu informieren. Der Verantwortliche kann innerhalb von 14 Tagen Einwände erheben. Im Falle von berechtigten Einwänden wird eine Alternative gesucht.
(1) EU-Speicherung. Die Speicherung pseudonymisierter Analyseergebnisse erfolgt in EU-Rechenzentren von Microsoft (EU Data Boundary).
(2) Realistische Zugriffsszenarien. Im Regelbetrieb findet kein Drittlandtransfer statt. Ein Zugriff aus einem Drittland ist allein im Rahmen punktueller Support-/Administrationsvorgänge durch Microsoft-Personal theoretisch nicht vollständig auszuschließen.
(3) Ergänzende Schutzmaßnahmen.
(4) Restrisikobewertung. Aufgrund der ausschließlichen Verarbeitung pseudonymisierter Daten in EU-Rechenzentren, der Verschlüsselung und der vertraglichen Absicherung wird das verbleibende Drittlandrisiko als gering bewertet. Eine ausführliche Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) wird auf Anfrage bereitgestellt.
6.1 Der Auftragsverarbeiter gibt personenbezogene Daten des Verantwortlichen – weder Patienten-, Gesundheits-, Abrechnungs- oder Finanzdaten noch B2B-Kontaktdaten des Verantwortlichen – zu keinem Zeitpunkt an externe Kooperations- oder Vertriebspartner weiter, weder zu Akquisezwecken noch zu sonstigen Zwecken.
6.2 Die Zusammenarbeit der ratiomedicus GmbH mit externen Vertriebs- und Kooperationspartnern erfolgt ausschließlich in der Weise, dass diese Partner der ratiomedicus GmbH Kontaktdaten ihrer eigenen (potenziellen) Kunden übermitteln. Ein Datenfluss in umgekehrter Richtung – von der ratiomedicus GmbH an einen Partner – findet nicht statt. Die Verarbeitung der Daten des Verantwortlichen aus diesem Vertrag ist von jeder Partnerbeziehung vollständig getrennt.
6.3 Sollte künftig eine Weitergabe von Daten des Verantwortlichen an Dritte beabsichtigt sein, wird vorab die schriftliche Zustimmung des Verantwortlichen eingeholt und dieser AV-Vertrag entsprechend ergänzt.
Der Verantwortliche hat das Recht, jederzeit Informationen über die Verarbeitung seiner Daten zu erhalten, insbesondere zu Art und Umfang der Verarbeitung, eingesehenen oder übermittelten Daten, beteiligten Mitarbeitenden und Sicherheitsmaßnahmen. Der Auftragsverarbeiter stellt diese Informationen innerhalb von 5 Arbeitstagen zur Verfügung.
Der Verantwortliche (oder ein von ihm beauftragter Dritter) hat das Recht, die Verarbeitungsvorgänge zu inspizieren, Audits durchzuführen, Einsicht in Verarbeitungsdokumentationen zu nehmen und Besichtigungen der Verarbeitungsorte durchzuführen. Der Auftragsverarbeiter gewährleistet diese Rechte nach vorheriger Ankündigung (mindestens 5 Arbeitstage), während der Geschäftszeiten.
Der Verantwortliche ist berechtigt, jederzeit Weisungen zur Verarbeitung personenbezogener Daten zu erteilen (Verfahren siehe § 1.3). Der Auftragsverarbeiter führt diese unverzüglich durch.
Der Verantwortliche kann jederzeit verlangen, dass der Auftragsverarbeiter die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stellt (Portabilität).
Der Auftragsverarbeiter und seine Mitarbeitenden sind zur strikten Geheimhaltung aller personenbezogenen Daten, zur Verarbeitung nur nach Weisung, zur Nichtoffenbarung an unbefugte Dritte sowie zur Einhaltung dieser Verpflichtung auch nach Vertragsende verpflichtet.
Der Auftragsverarbeiter gewährleistet, dass alle Mitarbeitenden schriftlich auf Vertraulichkeit verpflichtet sind, nur notwendige Mitarbeitende Zugriff auf Daten haben, Datenschutzschulungen durchgeführt werden und Vertraulichkeitsverpflichtungen auch für externe Dienstleister gelten.
Der Auftragsverarbeiter implementiert und unterhält angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (siehe § 4 und Anlage 1).
(1) Aufbewahrung pseudonymisierter Ergebnisse. Pseudonymisierte Analyseergebnisse werden für die Dauer der vertragsärztlichen Regress-/Ausschlussfristen aufbewahrt, damit der Verantwortliche und der Auftragsverarbeiter im Prüf- oder Regressfall Stellung nehmen können, welche Leistungen optimiert wurden und welche nicht. Diese Frist beträgt nach ständiger Rechtsprechung des Bundessozialgerichts vier Jahre (§ 106, § 106d SGB V) und beginnt mit Ablauf des Quartals, dem die geprüfte Leistung zuzuordnen ist. Da die Frist quartalsbezogen beginnt und durch ein eingeleitetes Prüf-/Regressverfahren gehemmt werden kann, werden die Ergebnisse für fünf Jahre nach Bereitstellung des jeweiligen Berichts aufbewahrt.
(2) Anhängige Verfahren. Ist bei Ablauf der Frist nach Abs. 1 ein Plausibilitäts-, Wirtschaftlichkeits-, Widerspruchs- oder Regressverfahren anhängig, das die betreffenden Leistungen betrifft, verlängert sich die Aufbewahrung bis zu dessen bestandskräftigem bzw. rechtskräftigem Abschluss, soweit dies zur Abgabe einer Stellungnahme erforderlich ist.
(3) Anfragen ohne Vertragsschluss. Daten aus Anfragen und Angeboten, die nicht zu einem Vertragsschluss geführt haben, werden spätestens 90 Tage nach der letzten Kommunikation gelöscht.
(4) Umfang der Löschung. Die Löschung umfasst auch Versionsverläufe (SharePoint) sowie die Inhalte der Papierkörbe/des Soft-Delete-Speichers nach Ablauf der Microsoft-365-Standardfristen (i. d. R. bis zu 93 Tage). Der Auftragsverarbeiter unterhält kein eigenes separates Backup pseudonymisierter Ergebnisse; Verfügbarkeit und Wiederherstellung erfolgen ausschließlich über die Redundanz von Microsoft 365. Audit-/Zugriffsprotokolle werden im Rahmen der Microsoft-365-Standardaufbewahrung geführt.
(5) Vertragsende. Nach Beendigung des Hauptvertrags werden die Daten – nach Wahl des Verantwortlichen – zurückgegeben oder gelöscht. Soweit die Aufbewahrungsfristen nach Abs. 1 und 2 noch nicht abgelaufen sind, werden die pseudonymisierten Ergebnisse zu diesem Zweck weiterhin gesperrt aufbewahrt und nach Fristablauf gelöscht, sofern der Verantwortliche keine frühere Löschung verlangt.
(6) Dokumentation. Die Löschung wird dokumentiert und dem Verantwortlichen auf Verlangen bestätigt (Löschprotokoll).
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunfts-, Lösch-, Berichtigungs- und Widerspruchsersuchen) und stellt erforderliche Informationen innerhalb von 3 Arbeitstagen bereit.
Der Auftragsverarbeiter meldet dem Verantwortlichen ohne schuldhaftes Zögern, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, Datenschutzverletzungen, Verdachtsfälle, unbefugte Zugriffe oder Änderungen sowie Verlust oder Beschädigung von Daten. Die Meldung enthält Informationen zur Art des Vorfalls, den betroffenen Daten und Personen sowie den ergriffenen Maßnahmen.
(1) Die ratiomedicus GmbH wird im Rahmen dieses Vertrags als „sonstige mitwirkende Person“ i. S. d. § 203 Abs. 3 S. 2 StGB tätig. Den Parteien ist bewusst, dass die ihr zugänglichen Geheimnisse der strafbewehrten Schweigepflicht nach § 203 StGB unterliegen.
(2) Die ratiomedicus GmbH wird hiermit zur Geheimhaltung dieser Geheimnisse verpflichtet und wurde über die strafrechtlichen Folgen einer Verletzung (§ 203 Abs. 4 StGB) belehrt.
(3) Die ratiomedicus GmbH verpflichtet ihre Mitarbeitenden sowie alle weiteren eingesetzten mitwirkenden Personen (Unterauftragsverarbeiter gem. § 5) in Textform in gleicher Weise zur Geheimhaltung nach § 203 StGB und belehrt sie über die strafrechtlichen Folgen; die Verpflichtungskette setzt sich bis zur jeweils tätig werdenden Person fort. Dies entfällt, soweit die mitwirkende Person selbst Berufsgeheimnisträgerin nach § 203 Abs. 1 StGB ist.
(4) Es werden nur die für die jeweilige Leistung erforderlichen Informationen offenbart (§ 203 Abs. 3 S. 2 StGB).
(5) Diese strafrechtliche Verpflichtung besteht neben und unabhängig von der datenschutzrechtlichen Verpflichtung auf Vertraulichkeit (§ 8.1/§ 8.2, Art. 28 Abs. 3 lit. b DSGVO). Eine Muster-Verpflichtungserklärung ist als Anlage 5 beigefügt.
Der Auftragsverarbeiter überprüft die Einhaltung dieser Vereinbarung regelmäßig: jährliche Selbstbewertung, quartalsweise Sicherheitsprüfungen, jährliche externe Audits durch unabhängige Dritte. Alle Überprüfungen, identifizierte Sicherheitslücken, Korrekturmaßnahmen und Verbesserungen werden dokumentiert. Der Auftragsverarbeiter berichtet dem Verantwortlichen jährlich über die Ergebnisse sowie unverzüglich über wesentliche Sicherheitsmängel und Datenschutzverletzungen.
Der Auftragsverarbeiter haftet für Verletzungen seiner Pflichten aus diesem AV-Vertrag, Verstöße gegen die DSGVO, Schäden durch Datenschutzverletzungen und unbefugte Verarbeitung. Die Haftung ist nicht beschränkt für Verletzungen von Datenschutzrechten, Verluste von Gesundheitsdaten sowie vorsätzliches oder fahrlässiges Verhalten. Der Auftragsverarbeiter unterhält eine angemessene Cyber- und Haftpflichtversicherung mit einer Mindestdeckungssumme von 1.000.000 EUR pro Schadensfall.
Der Auftragsverarbeiter teilt dem Verantwortlichen regelmäßig eine aktuelle Liste aller Unterauftragsverarbeiter mit und benachrichtigt bei Änderungen mindestens 14 Tage vor Beauftragung. Er stellt sicher, dass Unterauftragsverarbeiter die gleichen Datenschutzverpflichtungen erfüllen, Verträge nach Art. 28 DSGVO unterzeichnet haben und seiner ständigen Aufsicht unterliegen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) gemäß Art. 35 DSGVO, der Bereitstellung erforderlicher Informationen, der Bewertung von Sicherheitsmaßnahmen sowie der Dokumentation des Prozesses.
Dieser AV-Vertrag gilt für die Dauer des Hauptvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter.
Der AV-Vertrag beendet sich automatisch mit Beendigung des Hauptvertrags oder auf schriftliche Kündigung durch eine der Parteien.
Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben; die Löschung wird dokumentiert. Pseudonymisierte Analyseergebnisse werden – soweit die Aufbewahrungsfristen nach § 8.4 (Regress-/Ausschlussfristen) noch laufen – zu diesem Zweck gesperrt aufbewahrt und nach Fristablauf gelöscht, sofern der Verantwortliche keine frühere Löschung verlangt. Die Geheimhaltung gilt auch nach Vertragsende; erforderliche Dokumente und Berichte werden herausgegeben.
Dieser AV-Vertrag gilt ergänzend zu den Regelungen des Hauptvertrags. Im Falle von Widersprüchen zwischen diesem AV-Vertrag und dem Hauptvertrag gelten die Bestimmungen des AV-Vertrags (speziellere Regelungen zur DSGVO).
Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleiben die übrigen Bestimmungen gültig. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
Änderungen dieses Vertrags müssen schriftlich erfolgen. Eine Aufhebung des Schriftformerfordernisses bedarf selbst der Schriftform.
Dieser Vertrag beruht auf der DSGVO (insbesondere Art. 28), dem BDSG sowie deutschem Recht (BGB, HGB). Anwendbar ist deutsches Recht. Gerichtsstand ist Frankfurt am Main.
Bestandteil dieses Vertrags sind folgende Anlagen:
