Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Dieser Vertrag nach Art. 28 DSGVO besteht zwischen der Praxis, die bei kammerfest bestellt (Verantwortliche; Name und Anschrift wie im Bestellvorgang angegeben, zugeordnet über die Bericht-Referenz der Bestellbestätigung), und der kammerfest UG (haftungsbeschränkt), Boschstr. 10, 73734 Esslingen am Neckar, Amtsgericht Stuttgart HRB 807885, vertreten durch die Geschäftsführer Rainer Böhm und Ignacio Perera Landa (Auftragsverarbeiter). Er kommt zustande, wenn die Praxis ihn bei der Bestellung annimmt.

1. Gegenstand und Dauer

Der Auftragsverarbeiter gleicht die Unterlagen und Angaben der Praxis mit dem Prüfkatalog des gebuchten Tarifs ab, insbesondere mit den Anforderungen der Qualitätsmanagement-Richtlinie des Gemeinsamen Bundesausschusses, erstellt daraus einen Bericht und, je nach Tarif, Entwürfe für QM-Dokumente. Beim QM-Check lädt die Praxis ihre Dokumente hoch; beim QM-Handbuch komplett beantwortet sie stattdessen Fragen in einem geführten Dialog. Der Vertrag beginnt mit der Annahme bei der Bestellung und endet mit der Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Automatisierte, KI-gestützte Auswertung der Dokumententexte und Angaben, Erstellung des Berichts mit Fundstellen und Aufgabenliste sowie, je nach Tarif, Erstellung von Entwürfen aus den Angaben der Praxis. Die Verarbeitung dient allein der Erbringung der bestellten Leistung.

3. Art der Daten und Kreis der Betroffenen

Verarbeitet werden QM-Dokumente der Praxis (z. B. Hygieneplan, QM-Handbuch, Arbeitsanweisungen, Checklisten, Protokolle von Teambesprechungen) und ihre Angaben im Dialog. Personenbezug entsteht vor allem durch Angaben zu Beschäftigten (Namen, Funktionen, Zuständigkeiten, Schulungs- und Unterweisungsnachweise, Unterschriften) und gegebenenfalls zu externen Dienstleistern der Praxis. Betroffene sind diese Personen. Patientendaten sind nicht Gegenstand des Auftrags: Die Praxis übermittelt keine Unterlagen mit Patientendaten. Ein Scanner im Browser markiert vor dem Upload Dateien mit erkennbaren Hinweisen auf Patientendaten; die Praxis entscheidet je Datei, ob sie entfernt wird oder nach ihrer eigenen Prüfung mitgeht. Der Scanner ersetzt diese Prüfung nicht. Findet der Auftragsverarbeiter dennoch Patientendaten, wertet er sie inhaltlich nicht aus, löscht die betroffene Datei und alle daraus erzeugten Ableitungen, hält nur einen Prüfvermerk ohne Personenbezug fest und informiert die Praxis.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Praxis, auch hinsichtlich einer Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er der Praxis diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Bestellung mit dem gebuchten Tarif ist die Erstweisung. Sie umfasst auch die Bildung des anonymisierten Auswertungsdatensatzes nach § 10 Abs. 7 der AGB. Weitere Weisungen erteilt die Praxis in Textform an kontakt@kammerfest.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Praxis unverzüglich darauf hin und darf ihre Ausführung aussetzen, bis die Praxis sie bestätigt oder ändert.

5. Rechte und Pflichten der Praxis

Die Praxis ist für die Zulässigkeit der Verarbeitung und die Rechte der Betroffenen verantwortlich. Sie entscheidet, welche Unterlagen und Angaben sie übermittelt, und übermittelt keine Patientendaten. Sie hat das Recht, Weisungen zu erteilen und die Einhaltung dieses Vertrags nach Ziffer 11 zu kontrollieren. Stellt sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert sie den Auftragsverarbeiter unverzüglich.

6. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter mit den Daten befasst sind, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Zugriff auf die Produktionsumgebung haben ausschließlich die beiden Geschäftsführer des Auftragsverarbeiters.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die folgenden Maßnahmen. Sie beschreiben den tatsächlichen Stand; Änderungen, die das Schutzniveau senken, sind unzulässig.

• Zugangskontrolle: Berichte und Auftragsseiten sind ausschließlich über eine nicht erratbare Adresse mit 128 Bit Zufall erreichbar. Ein Bericht wird erst ausgeliefert, wenn die Zahlung bestätigt ist.
• Transport und Speicherung: Übertragung ausschließlich verschlüsselt (TLS). Die Ablage der Dateien und der Datenbank erfolgt verschlüsselt in der Europäischen Union.
• Trennung: Die Unterlagen jeder Praxis liegen unter einer eigenen Auftragskennung; ein Auftrag hat keinen Zugriff auf die Daten eines anderen.
• Datenminimierung: Der Scanner im Browser markiert Dateien mit Hinweisen auf Patientendaten vor dem Upload (Ziffer 3). Bilder, die nach Patientenaufnahmen aussehen, sortiert die Prüfstrecke vor der Auswertung aus; ihre Zahl weist der Bericht aus.
• Trennung von Daten und Anweisungen: Die Texte der Praxis werden der Prüfstufe als Daten übergeben und können die Bewertung nicht steuern.
• Keine Weitergabe von Zugriffsadressen: Die Adressen der Berichtsseiten werden weder an die Reichweitenmessung noch an die Fehlermeldung noch über den Verweis-Kopf an Dritte übermittelt.
• Löschung: automatisiert nach Ziffer 10.
• Nachweisbarkeit: Zu jedem Auftrag wird festgehalten, welche Fassung dieses Vertrags die Praxis angenommen hat und wann.
• Enger Personenkreis: Zugriff auf die Produktionsumgebung haben ausschließlich die beiden Geschäftsführer.

8. Unterauftragsverarbeiter

Die Praxis stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Der Auftragsverarbeiter hat ihnen vertraglich dieselben Datenschutzpflichten auferlegt, die dieser Vertrag ihm auferlegt; mit allen bestehen Auftragsverarbeitungsverträge. Für Anbieter mit Muttergesellschaft außerhalb der EU gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); die Verarbeitung der Unterlagen bleibt auf die genannten Orte begrenzt. Vor dem Einsatz eines weiteren oder dem Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter die Praxis mindestens 14 Tage vorher per E-Mail; die Praxis kann widersprechen und den Vertrag in diesem Fall kündigen.

• Supabase Inc., San Francisco (USA): Datenbank und Dateispeicher der hochgeladenen Unterlagen, Berichte und Entwürfe. Ort: Frankfurt am Main.
• IONOS SE, Montabaur: Server der Prüfstrecke (Formatumwandlung, Texterkennung, Erstellung des Berichts). Ort: Deutschland.
• Google Ireland Limited, Dublin (Irland): KI-gestützte Auswertung über Google Vertex AI. Ort: EU-Regionen. Die Inhalte werden vertraglich nicht zum Training der Modelle verwendet.
• Vercel Inc., San Francisco (USA): Betrieb der Website und der Bestellstrecke. Ort: Frankfurt am Main. Hochgeladene Dateien laufen nicht über diesen Dienst; sie gehen mit einer signierten Adresse unmittelbar in den Dateispeicher.
• Plus Five Five, Inc. (Resend), San Francisco (USA): Versand der Bestellbestätigung und der Bericht-E-Mail einschließlich Anhängen. Ort: EU-Region Irland.
• Google Cloud EMEA Limited, Dublin (Irland): Postfächer des Auftragsverarbeiters über Google Workspace, auch für Unterlagen, die die Praxis per E-Mail schickt. Ort: Datenregion Europa.
• Functional Software, Inc. (Sentry), San Francisco (USA): Fehlermeldungen aus dem Betrieb. Ort: EU-Region. Keine Dokumentinhalte und keine Zugriffsadressen der Berichte.
• PostHog, Inc., San Francisco (USA): Reichweitenmessung der Website ohne Cookies. Ort: EU-Cloud. Keine Dokumentinhalte.

9. Unterstützung der Praxis

Der Auftragsverarbeiter unterstützt die Praxis mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) und bei ihren Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde und bei einer Datenschutz-Folgenabschätzung, und stellt die dazu nötigen Informationen bereit. Wendet sich eine betroffene Person an ihn, leitet er die Anfrage unverzüglich an die Praxis weiter. Eine Verletzung des Schutzes personenbezogener Daten meldet er der Praxis unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

10. Löschung und Rückgabe

Hochgeladene Unterlagen, Angaben aus dem Dialog, Berichte und Entwürfe werden automatisiert 30 Tage nach Bereitstellung des Berichts gelöscht; die Praxis kann eine frühere Löschung verlangen. Ist zu einem Auftrag ein Einwand anhängig, verlängert sich die Speicherung der davon betroffenen Daten bis 30 Tage nach dessen Abschluss. Eine Rückgabe entfällt: Die Originale bleiben bei der Praxis, Bericht und Entwürfe erhält sie zum Abruf; auf Verlangen vor Fristablauf stellt der Auftragsverarbeiter sie erneut bereit. Technisch bedingte Ausnahmen: Sicherungskopien der Datenbank werden täglich erstellt und nach sieben Tagen überschrieben, hochgeladene Dateien und Berichte sind darin nicht enthalten; Zwischenstände der Prüfstrecke und der Zwischenspeicher der KI-Auswertung werden spätestens nach sieben Tagen gelöscht; Kopien beim Versanddienstleister nach spätestens 30 Tagen. Nicht Gegenstand dieses Vertrags sind Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet: Bestell-, Rechnungs- und Zahlungsdaten sowie der Nachweis der angenommenen Vertragsfassung. Für sie gelten die Datenschutzerklärung und die gesetzlichen Aufbewahrungsfristen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt der Praxis auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere zu den getroffenen Maßnahmen und den eingesetzten Unterauftragsverarbeitern. Er ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch die Praxis oder einen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Eine Inspektion ist mindestens 14 Tage vorher in Textform anzukündigen, findet während der üblichen Geschäftszeiten statt und erfolgt höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass wie eine Verletzung des Schutzes personenbezogener Daten rechtfertigt eine weitere. Die Kosten einer Inspektion trägt die Praxis, es sei denn, sie deckt einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag auf.

12. Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zu anderen Vereinbarungen, insbesondere den AGB, geht dieser Vertrag in Fragen des Datenschutzes vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.