Zum Inhalt springen
Punktwerk

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen der Praxis, die sich bei Punktwerk registriert (Verantwortlicher), und SnippetLab, Inhaber Alexander Hinze, Ludwigshöheweg 34, 12559 Berlin (Auftragsverarbeiter). Der Vertrag wird bei der Registrierung in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO); der Zeitpunkt wird gespeichert.

1. Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Punktwerk bereit und verarbeitet dabei personenbezogene Daten, die der Verantwortliche oder seine Nutzer eingeben oder hochladen.

1.2 Der Vertrag gilt, solange der Verantwortliche ein Konto bei Punktwerk hat, und endet mit der Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Berechnen, Auswerten, Exportieren und Löschen der Daten, um die Fortbildungspflicht nach der Anlage 4 der Verträge nach § 125 Abs. 1 SGB V nachzuweisen (Punktekonto, Betrachtungszeiträume, Unterbrechungen, Nachweise), das Bestandsverzeichnis und das Medizinproduktebuch nach der Medizinprodukte-Betreiberverordnung zu führen, Nutzer einzuladen und per E-Mail an Fristen zu erinnern.

3. Art der Daten und betroffene Personen

  • Betroffene: Inhaber, fachliche Leitungen und Beschäftigte der Praxis (auch ohne eigenen Zugang), Nutzer des Kontos, eingeladene Personen, Beauftragte für Medizinproduktesicherheit, Personen, die Geräte prüfen, warten oder in Geräte einweisen.
  • Daten:
    • Name, E-Mail-Adresse und Rolle der Nutzer; Einladungen.
    • Vorname, Nachname, Geburtsdatum, Fachbereich, Rolle, Eintritt und Austritt der Personen der Praxis, Punktpflicht.
    • Betrachtungszeiträume mit Unterbrechungen (Art, Zeitraum, Notiz), Nachfristen und Abschlussständen.
    • Fortbildungen mit Titel, Anbieter, Datum, Format, Unterrichtseinheiten, Fortbildungspunkten, Dozenten-Berufsbezeichnung, Teilnehmern, Notizen und hochgeladenen Teilnahmebescheinigungen (diese enthalten in der Regel Name und Geburtsdatum).
    • Praxisdaten mit Name und Funktions-E-Mail-Adresse des Beauftragten für Medizinproduktesicherheit.
    • Geräte und Einträge im Medizinproduktebuch mit Namen der einweisenden, eingewiesenen, prüfenden oder ausführenden Personen und Firmen, Notizen und hochgeladenen Dokumenten wie Prüfprotokollen.
    • Protokoll, welcher Nutzer wann welche Änderung vorgenommen hat; Versandprotokoll der E-Mails.
  • Besondere Kategorien (Art. 9 DSGVO): Unterbrechungen wegen Krankheit, Schwangerschaft und Mutterschutz oder eines Beschäftigungsverbots sind Gesundheitsdaten der betroffenen Person. Verarbeitet werden nur Art und Zeitraum der Unterbrechung. Der Verantwortliche erfasst keine Diagnosen, auch nicht in Notizen, und lädt keine Arbeitsunfähigkeitsbescheinigungen oder ärztlichen Unterlagen hoch. Er stellt sicher, dass er für diese Angaben eine Rechtsgrundlage hat.
  • Keine Patientendaten: Daten von Patientinnen und Patienten sind nicht Gegenstand dieses Vertrags. Der Verantwortliche gibt keine solchen Daten ein, auch nicht in Notizen, Meldungen zu Funktionsstörungen oder Vorkommnissen und Dateien.

4. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

4.2 Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Funktionen der Software. Weitere Weisungen erteilt der Verantwortliche per E-Mail an info@snippetlab.site.

4.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten einer Praxis nimmt der Auftragsverarbeiter nur, soweit es für Support auf Anfrage des Verantwortlichen oder zur Behebung einer Störung erforderlich ist. Jeder solche Zugriff wird protokolliert; Geburtsdaten sind dabei ausgeblendet. Auf Anfrage teilt der Auftragsverarbeiter dem Verantwortlichen mit, wann ein solcher Zugriff stattgefunden hat.

6. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

  • Vertraulichkeit: Übertragung nur verschlüsselt (TLS); Passwörter nur als scrypt-Hash; Sitzungen über zufällige, serverseitig gespeicherte Kennungen mit Ablauf; Schutz gegen untergeschobene Anfragen (CSRF); Begrenzung von Anmeldeversuchen und Sicherheitsprüfung in Anmeldeformularen; strikte Trennung der Praxen in jeder Datenbankabfrage; Zugriff nach Rollen (Inhaber, fachliche Leitung, Mitarbeiter), wobei Mitarbeiter nur ihre eigenen Fortbildungen und Zeiträume sehen; E-Mails enthalten keine Geburtsdaten und keine Fortbildungstitel.
  • Integrität: Protokoll wesentlicher Änderungen mit Nutzer und Zeitpunkt; Protokoll der Support-Zugriffe; Einträge im Medizinproduktebuch sind unveränderbar, Korrekturen entstehen als neue Einträge mit Verweis; Dateien nur über angemeldete Anwendungsrouten, keine öffentlichen Links.
  • Verfügbarkeit und Belastbarkeit: Betrieb auf der verteilten Infrastruktur des Unterauftragsverarbeiters Cloudflare; laufende Sicherung der Datenbank mit Wiederherstellung auf frühere Zeitpunkte innerhalb der letzten 30 Tage.
  • Überprüfung: automatische Tests bei jeder Änderung der Software, darunter Tests der Trennung der Praxen und der Rechte der Rolle Mitarbeiter; Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens einmal jährlich.

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter (Art. 28 Abs. 2, 3 lit. d und Abs. 4 DSGVO)

7.1 Der Verantwortliche genehmigt folgende Unterauftragsverarbeiter:

Unterauftragsverarbeiter Leistung Ort der Verarbeitung, Grundlage für Drittlandübermittlungen
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA Hosting, Datenbank, Dateispeicher, Sitzungsspeicher, Abwehr von Angriffen Datenbank und Dateispeicher in Rechenzentren in Westeuropa; Bearbeitung von Anfragen und Sitzungsspeicher im weltweit verteilten Netz, auch USA; EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Resend, Inc., USA Versand von E-Mails (Einladungen, Erinnerungen, Kontomails) USA; EU-US Data Privacy Framework und Standardvertragsklauseln

7.2 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7.3 Über neue oder wechselnde Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Vertrag über Punktwerk zum Zeitpunkt des Wechsels kündigen.

8. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Der Verantwortliche kann viele Anfragen Betroffener mit den Funktionen der Software selbst erfüllen (Anzeigen, Ändern, Exportieren, Entfernen einzelner Einträge). Was er nicht selbst erledigen kann, etwa das Löschen einer Person mit allen Einträgen, erledigt der Auftragsverarbeiter auf Anfrage innerhalb von 30 Tagen; im Übrigen unterstützt er ihn unverzüglich. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

9. Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO)

9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

9.2 Er unterstützt den Verantwortlichen bei der Benachrichtigung Betroffener (Art. 34 DSGVO), bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) mit den Informationen, die ihm zur Verfügung stehen.

10. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

10.1 Nach Ende des Vertrags über Punktwerk kann der Verantwortliche seine Daten 12 Monate lang selbst ansehen und mit den Exportfunktionen der Software exportieren. Das ist die Rückgabe der Daten. Auf Anfrage stellt der Auftragsverarbeiter die hochgeladenen Dateien zusätzlich gesammelt bereit.

10.2 Danach löscht der Auftragsverarbeiter die Daten, auf Verlangen des Verantwortlichen auch früher, innerhalb von 30 Tagen nach dem Verlangen. Daten in Sicherungen werden mit deren Ablauf gelöscht, spätestens 30 Tage nach der Löschung. Die Löschung gilt nicht, soweit für den Auftragsverarbeiter eine gesetzliche Pflicht zur Speicherung besteht.

11. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und beantwortet Fragen dazu schriftlich.

11.2 Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach rechtzeitiger Ankündigung, in der Regel mindestens vier Wochen vorher, während der üblichen Geschäftszeiten überprüfen, auch durch Inspektionen. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren aktuelle Prüfberichte und Zertifikate.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.