Auftragsverarbeitungsvertrag (AVV)

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten gemäß Art. 9 DSGVO) durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Anwendung Verora zur Verwaltung ärztlicher Verordnungen. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB).

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen:

• hochgeladene Verordnungs-PDFs und daraus per KI-gestützter Erkennung extrahierte Daten,
• Patientenstammdaten (Name, Geburtsdatum, Versicherungsnummer),
• Diagnosen und verordnete Heil-/Hilfs-/Pflegehilfsmittel,
• Daten der behandelnden Ärzte/Praxen (Name, Kontaktdaten) zum Zweck des automatisierten Versands von Folgeverordnungs-Anforderungen per E-Mail und Fax.

Zweck ist ausschließlich die Bereitstellung der Verora-Anwendung zur Verordnungsverwaltung für den Verantwortlichen; eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters (insb. Weiterverkauf, Profilbildung, KI-Modelltraining mit den Kundendaten) findet nicht statt.

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (Gesundheitsdaten: Diagnosen, verordnete Leistungen, Behandlungskontext).

Patient:innen des Verantwortlichen; behandelnde Ärzt:innen/Praxispersonal (soweit Kontaktdaten verarbeitet werden); Mitarbeiter:innen des Verantwortlichen (Nutzerkonten).

Der Auftragsverarbeiter verpflichtet sich,

1. die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO),
2. die Vertraulichkeit sicherzustellen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO),
3. die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen (siehe Anlage 2),
4. den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO angemessen zu unterstützen,
5. Datenschutzverletzungen im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung an den Verantwortlichen zu melden,
6. nach Beendigung der Leistungserbringung sämtliche Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Löschung innerhalb von 90 Tagen nach Vertragsende, vgl. Ziff. 9 der Datenschutzerklärung).

Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Beauftragung folgender Unterauftragsverarbeiter (Änderungen werden dem Verantwortlichen mit angemessener Vorlauffrist mitgeteilt; Widerspruchsrecht bleibt vorbehalten):

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag festgelegten Pflichten des Auftragsverarbeiters zu überzeugen, u. a. durch Einholung von Auskünften oder Vorlage von Nachweisen (z. B. Zertifizierungen der eingesetzten Unterauftragsverarbeiter).

Weisungen erfolgen grundsätzlich in Textform (E-Mail) oder durch die bestimmungsgemäße Nutzung der Anwendung. Ansprechpartner sind die im jeweiligen Verora-Konto als Owner oder Admin hinterlegten Nutzer; Änderungen können jederzeit in den Konto-Einstellungen vorgenommen werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Die Haftungsverteilung zwischen Verantwortlichem und Auftragsverarbeiter richtet sich nach Art. 82 DSGVO sowie den ergänzenden Regelungen der AGB.

• Verschlüsselte Datenübertragung (TLS 1.2+)
• Verschlüsselung ruhender Daten (Encryption at rest)
• Mandantentrennung durch Row-Level-Security auf Datenbankebene
• Zugriffsbeschränkung auf den jeweils zugeordneten Pflegedienst