Auftragsverarbeitungsvertrag

Zweck dieser Vereinbarung

Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil der Vereinbarung zwischen der Praxis oder einem anderen beruflich handelnden Kunden (Verantwortlicher) und Egidijus Girčys, handelnd unter dem Geschäftsnamen Theravo (Auftragsverarbeiter). Er regelt personenbezogene Daten, die Theravo bei der Bereitstellung der Terminverwaltungsdienste im Auftrag des Verantwortlichen verarbeitet.

Abschluss und Nachweis

Der AVV kann elektronisch im Rahmen der Registrierung, Bestellung oder einer Annahmefunktion im Kundenkonto geschlossen werden. Bei elektronischem Abschluss zeichnet Theravo die angenommene Dokumentversion, das Kundenkonto, die annehmende Person, Datum und Uhrzeit sowie weitere Nachweise auf, die vernünftigerweise zum Nachweis des Vertragsschlusses erforderlich sind.

Rollen der Parteien

Der Kunde ist Verantwortlicher und bestimmt Zwecke und Mittel der Verarbeitung von Patienten- und Praxisdaten.
Theravo ist Auftragsverarbeiter für Daten, die ausschließlich zur Erbringung des Dienstes nach dokumentierter Weisung des Kunden verarbeitet werden.
Für eigene Vertragsverwaltung, Abrechnung, Sicherheit, Missbrauchsprävention und Erfüllung gesetzlicher Pflichten bleibt Theravo eigenständig Verantwortlicher.

Geltungsbereich und Vorrang

Dieser AVV gilt für die Verarbeitung im Auftrag des Verantwortlichen und geht bei Widersprüchen hinsichtlich dieser Verarbeitung den allgemeinen Nutzungsbedingungen vor. Der Leistungsvertrag, die Konfiguration des Verantwortlichen und dokumentierte Supportweisungen gelten als Weisungen, soweit sie mit dem anwendbaren Recht vereinbar sind.

Gegenstand und Dauer

Gegenstand ist die Bereitstellung, der Betrieb, der Support und die Absicherung des Terminverwaltungsdienstes von Theravo. Die Verarbeitung beginnt, sobald der Verantwortliche Theravo personenbezogene Daten bereitstellt oder zugänglich macht, und dauert für die Laufzeit des Leistungsvertrags einschließlich eines begrenzten Zeitraums für Export, Backup-Rotation und Löschung nach Vertragsende an.

Dokumentierte Weisungen

Theravo verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dazu zählen Weisungen im Leistungsvertrag, in diesem AVV und in den Einstellungen des Verantwortlichen.
Ohne Weisung darf Theravo Daten nur verarbeiten, wenn Unionsrecht oder das Recht eines Mitgliedstaats dies verlangt. Theravo informiert den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.
Änderungen, die die Verarbeitung wesentlich erweitern, erfordern eine dokumentierte Weisung oder eine Vertragsänderung.

Art und Zweck der Verarbeitung

Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Abrufen und Anzeigen von Termindaten.
Empfangen und Versenden terminbezogener Kommunikation über von Theravo verwaltete Adressen.
Verwalten von Verfügbarkeiten, Terminanfragen, Bestätigungen, Absagen, Verschiebungen, Patientenportalzugängen und Terminguthaben.
Lokale Klassifikation administrativer Nachrichten und Erstellung von Antwortentwürfen mit dem lokal betriebenen Sprachmodell Gemma 3.
Bereitstellung von Support-, Sicherheits-, Protokollierungs-, Sicherungs-, Wiederherstellungs-, Export- und Löschfunktionen.

Kategorien betroffener Personen

Patientinnen, Patienten und an einer Behandlung interessierte Personen des Verantwortlichen.
Therapeutinnen und Therapeuten, Praxisinhaberinnen und -inhaber, Beschäftigte, Auftragnehmer und autorisierte Nutzerinnen und Nutzer des Verantwortlichen.
Personen, die die Praxis wegen eines Termins kontaktieren.

Kategorien personenbezogener Daten

Identitäts- und Kontaktdaten wie Name, E-Mail-Adresse und Telefonnummer.
Termin- und Verfügbarkeitsdaten, Terminart, Ort oder Angaben zum Videotermin, Buchungsstatus sowie Informationen zu Absage oder Verschiebung.
Administrative Nachrichten und Korrespondenz zur Terminverwaltung.
Konten-, Authentifizierungs- und Zugriffsdaten des Patientenportals.
Zahlungs- und Transaktionsreferenzen bei Nutzung einer optionalen Zahlungsfunktion.
Technische, Sicherheits- und Auditdaten einschließlich Kennungen, Zeitstempeln, IP-Adressen und Ereignisprotokollen.

Besondere Kategorien personenbezogener Daten

Termindaten im Zusammenhang mit Psychotherapie und Freitextnachrichten können Gesundheitsinformationen offenbaren und daher Gesundheitsdaten nach Art. 9 DSGVO darstellen. Der Verantwortliche muss eine gültige Ausnahme nach Art. 9 DSGVO bestimmen und Patientinnen und Patienten darauf hinweisen, keine klinischen Einzelheiten zu übermitteln, die für die Terminverwaltung nicht erforderlich sind. Theravo ist keine elektronische Patientenakte und benötigt keine Diagnose- oder Therapienotizdaten.

Pflichten des Verantwortlichen

Der Verantwortliche ist für Rechtmäßigkeit, Transparenz, Richtigkeit und Erforderlichkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlagen nach Art. 6 und 9 DSGVO.
Der Verantwortliche stellt betroffenen Personen die erforderlichen Datenschutzhinweise zur Verfügung und bearbeitet Anträge auf Ausübung ihrer Rechte.
Der Verantwortliche konfiguriert Zugriffsrechte, Aufbewahrung, Terminformulare, Nachrichtenfelder und optionale Funktionen entsprechend seinen Pflichten.
Der Verantwortliche weist Theravo nicht an, rechtswidrige Inhalte oder mehr personenbezogene Daten zu verarbeiten, als für die Terminverwaltung erforderlich sind.
Der Verantwortliche informiert Theravo unverzüglich über geänderte Weisungen, autorisierte Personen oder Aufbewahrungsanforderungen.

Pflichten von Theravo

Verarbeitung nur für den vereinbarten Dienst und auf dokumentierte Weisung.
Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
Umsetzung und Aufrechterhaltung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.
Unterstützung des Verantwortlichen bei Betroffenenrechten, Sicherheitsanforderungen, Bewertung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden unter Berücksichtigung der Art der Verarbeitung und der Theravo verfügbaren Informationen.
Führung erforderlicher Verzeichnisse und Bereitstellung der Informationen, die vernünftigerweise zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.
Keine Nutzung von Daten des Verantwortlichen für Werbung, Datenverkauf, Training allgemeiner Modelle oder eigene klinische Zwecke von Theravo.

Vertraulichkeit

Theravo beschränkt den Zugriff auf Personen, die ihn für Betrieb, Wartung, Sicherheit oder Support benötigen, und stellt sicher, dass diese Personen einer vertraglichen oder gesetzlichen Vertraulichkeitspflicht unterliegen. Die Vertraulichkeit gilt auch nach Ende des Zugriffs oder der Tätigkeit fort.

Berufsgeheimnis und § 203 StGB

Soweit der Verantwortliche oder bei ihm tätige Berufsangehörige einer strafbewehrten beruflichen Schweigepflicht unterliegen, bezieht der Verantwortliche Theravo als externen Dienstleister in seine berufliche Tätigkeit ein. Natürliche Personen bei Theravo, die bestimmungsgemäß Kenntnis von geschützten Geheimnissen erlangen können, werden, soweit die gesetzlichen Voraussetzungen erfüllt sind, als sonstige mitwirkende Personen im Sinne von § 203 Abs. 3 und 4 StGB eingesetzt.
Theravo verpflichtet diese Personen vor Aufnahme ihrer Tätigkeit ausdrücklich zur Geheimhaltung. Die Verpflichtung umfasst Patientengeheimnisse und besteht auch nach Beendigung der Tätigkeit, des Zugriffs oder des Vertrags fort.
Zugriffe auf Patientengeheimnisse werden auf das für Betrieb, Sicherheit, Support und die Ausführung dokumentierter Weisungen erforderliche Maß beschränkt. Eine Offenlegung an Unterauftragsverarbeiter erfolgt nur, soweit sie für die Leistung erforderlich und durch entsprechende Datenschutz- und Vertraulichkeitspflichten abgesichert ist.
Der Verantwortliche prüft die berufsrechtlichen Voraussetzungen für die Einbeziehung von Theravo und erfüllt etwaige Informations-, Dokumentations- oder Einwilligungspflichten, soweit diese nach dem für ihn geltenden Berufsrecht erforderlich sind.
Theravo weist eingesetzte Personen vor Gewährung des Zugriffs auf die strafrechtlichen Folgen einer unbefugten Offenbarung geschützter Geheimnisse, insbesondere nach § 203 StGB, hin und dokumentiert Verpflichtung und Unterrichtung. Für Personal relevanter Unterauftragsverarbeiter werden gleichwertige Pflichten verlangt.

Technische und organisatorische Maßnahmen

Die anwendbaren Maßnahmen sind auf der Seite Sicherheit und TOM sowie im internen TOM-Verzeichnis von Theravo beschrieben. Dazu gehören das Verantwortungsmodell für den netcup-Root-Server in Nürnberg, Transportverschlüsselung, Zugriffskontrolle, geringste Berechtigung, Mandantentrennung, Protokollierung, Sicherung und Wiederherstellung, Vorfallmanagement, Löschung, Dienstleistersteuerung und lokale KI-Isolierung. Theravo darf Maßnahmen aktualisieren, sofern das Schutzniveau insgesamt nicht herabgesetzt wird.

Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die auf der Unterauftragsverarbeiterseite von Theravo aufgeführten Anbieter.
Theravo verpflichtet jeden Unterauftragsverarbeiter für die betreffende Verarbeitung zu Datenschutzpflichten, die im Wesentlichen denselben Schutz wie dieser AVV gewährleisten.
Theravo bleibt dem Verantwortlichen gegenüber für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters verantwortlich.
Theravo informiert mit angemessener Vorlaufzeit über eine beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb der genannten Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.
Können die Parteien einen begründeten Widerspruch nicht lösen, kann Theravo eine Alternative anbieten oder jede Partei den betroffenen Dienst nach Maßgabe des Vertrags beenden.

Allgemeine Unterstützung

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt Theravo den Verantwortlichen beim Nachweis der Einhaltung der Art. 32 bis 36 DSGVO. Zusätzliche Leistungen außerhalb des üblichen Leistungsumfangs können zum vereinbarten Satz berechnet werden, soweit der Bedarf nicht durch eine Pflichtverletzung von Theravo verursacht wurde.

Rechte betroffener Personen

Anfragen von Patientinnen oder Patienten zu Daten des Verantwortlichen, die unmittelbar bei Theravo eingehen, leitet Theravo an die zuständige Praxis weiter und beantwortet sie inhaltlich nur bei entsprechender Beauftragung. Theravo stellt vorhandene Funktionen oder angemessene Unterstützung für Auskunft, Berichtigung, Einschränkung, Datenübertragbarkeit und Löschung bereit. Die Entscheidung und Kommunikation gegenüber der betroffenen Person obliegt dem Verantwortlichen.

Unterstützung bei Sicherheitspflichten

Theravo stellt dem Verantwortlichen verfügbare Informationen über Schutzmaßnahmen, relevante Vorfälle, Wiederherstellung und Verarbeitungsorte zur Verfügung, die dieser vernünftigerweise für Risikobewertung und Erfüllung seiner Pflichten benötigt.

Verletzungen des Schutzes personenbezogener Daten

Theravo informiert den Verantwortlichen unverzüglich, nachdem Theravo eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, die im Auftrag verarbeitete Daten betrifft. Die Meldung enthält die Theravo verfügbaren Angaben zur Art des Vorfalls, betroffenen Daten und Personen, voraussichtlichen Folgen, ergriffenen oder vorgeschlagenen Maßnahmen und einer Kontaktstelle. Informationen dürfen schrittweise nachgereicht werden, wenn sie nicht gleichzeitig verfügbar sind.

Datenschutz-Folgenabschätzung und vorherige Konsultation

Theravo stellt angemessene Informationen und Unterstützung für eine Datenschutz-Folgenabschätzung und, soweit erforderlich, eine vorherige Konsultation der Aufsichtsbehörde bereit, sofern die angeforderte Unterstützung die Verarbeitung durch Theravo betrifft und Theravo die Informationen zur Verfügung stehen.

Nachweise und Kontrollen

Theravo stellt die zum Nachweis der Einhaltung vernünftigerweise erforderlichen Informationen bereit, etwa den AVV, die TOM-Zusammenfassung, die Liste der Unterauftragsverarbeiter und, soweit vorhanden, geeignete Zertifikate oder Testergebnisse.
Der Verantwortliche kann nach angemessener Ankündigung selbst oder durch eine unabhängige, zur Vertraulichkeit verpflichtete prüfende Person eine Kontrolle durchführen, regelmäßig höchstens einmal jährlich, sofern nicht ein Vorfall, eine Behörde oder ein wesentlicher Compliance-Verdacht eine zusätzliche Kontrolle rechtfertigt.
Kontrollen dürfen den Betrieb nicht unangemessen beeinträchtigen und keine Daten, Sicherheitsinformationen oder Geschäftsgeheimnisse anderer Kunden offenlegen.
Jede Partei trägt ihre eigenen Kosten. Außergewöhnliche Unterstützung kann berechnet werden, sofern die Kontrolle keine wesentliche Pflichtverletzung von Theravo feststellt.

Rechtswidrige Weisungen

Theravo informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Theravo gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt. Theravo darf die betroffene Weisung aussetzen, bis sie bestätigt, geändert oder zurückgenommen wird, sofern nicht gesetzlich etwas anderes verlangt wird.

Rückgabe und Löschung nach Vertragsende

Nach Wahl des Verantwortlichen und im Rahmen der verfügbaren Exportfunktionen gibt Theravo personenbezogene Daten nach Ende der Leistungen zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung verlangt. Daten in geschützten Backups werden nicht für den regulären Betrieb genutzt und müssen nach dem anwendbaren, verifizierten Backup-Löschverfahren entfernt werden. Der Verantwortliche muss einen erforderlichen Export vor dem anwendbaren Löschzeitpunkt anfordern und abschließen.

Drittlandübermittlungen

Theravo übermittelt Daten des Verantwortlichen nicht an ein Drittland oder eine internationale Organisation, sofern dies nicht vom Verantwortlichen angewiesen, gesetzlich verlangt oder für einen ausdrücklich dokumentierten Unterauftragsverarbeiter erforderlich ist. Jede solche Übermittlung muss Kapitel V DSGVO entsprechen und in den Informationen zu Unterauftragsverarbeitern ausgewiesen werden.

Datenschutzkontakt

Fragen und Weisungen zu diesem AVV können an privacy@theravo.de gerichtet werden.

Anbieterangaben