Vereinbarung zur Auftragsverarbeitung (AVV)

Vereinbarung nach Art. 28 DSGVO zum digitalen Anästhesie-Aufklärungsbogen · Stand: 10. Oktober 2026

Vorbemerkung

Die Angaben der Patientinnen und Patienten bleiben auf den Geräten der Praxis und werden nicht an den Anbieter übertragen. Der Anbieter verarbeitet deshalb keine Gesundheitsdaten im Auftrag. An seine Server gehen nur die Zugangsprüfung und das Zähl-Ereignis für die Abrechnung. Diese Vereinbarung regelt vorsorglich den Fall, dass diese Angaben als personenbezogene Daten anzusehen sind, die der Anbieter im Auftrag der Praxis verarbeitet.

§ 1 Parteien, Vertragsbestandteil

(1) Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Vaydena - Softwarelösungen, Inhaber Karl-Heinz Bicker, Biberstraße 27, 85354 Freising, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

(2) Sie ist Bestandteil des Vertrags über die Nutzung des Dienstes und kommt mit der Annahme der AGB zustande (elektronisches Format, Art. 28 Abs. 9 DSGVO). Auf Wunsch erhält der Auftraggeber eine unterzeichnete Ausfertigung; eine Nachricht an kontakt@vaydena.de genügt.

(3) Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Prüfung des Praxis-Zugangs und die Zählung abgeschlossener Bögen als Grundlage der Abrechnung.

(2) Die Vereinbarung gilt für die Dauer des Hauptvertrags.

(3) Verarbeitet werden:

• der Zugangsschlüssel der Praxis,
• je abgeschlossenem Bogen eine zufällig erzeugte Fall-Kennung und der Zeitpunkt,
• technische Verbindungsdaten des abrufenden Geräts (z. B. IP-Adresse, Zeitpunkt, Browser-Kennung) in Server-Protokollen.

(4) Betroffene Personen sind Beschäftigte des Auftraggebers, die den Dienst bedienen, sowie mittelbar Patientinnen und Patienten, soweit der Auftraggeber eine Fall-Kennung einer Person zuordnen kann. Der Auftragnehmer kann diese Zuordnung nicht vornehmen.

(5) Nicht verarbeitet werden Namen, Geburtsdaten, Gesundheitsangaben, Unterschriften oder sonstige Inhalte des Bogens sowie die vom Auftraggeber lokal erzeugten Ausdrucke, PDF- und Exportdateien. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags.

(6) Die Vertrags-, Kontakt- und Rechnungsdaten der Praxis verarbeitet der Auftragnehmer als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind durch den Hauptvertrag und diese Vereinbarung festgelegt; weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vorher mit, sofern das Recht eine solche Mitteilung nicht verbietet.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht besteht nach Ende des Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Zum Stand dieser Vereinbarung sind das insbesondere:

• Datensparsamkeit: Inhalte des Bogens werden nicht übertragen; die Fall-Kennung ist eine Zufallszahl ohne Bezug zu Namen oder Akten.
• Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS); Speicherung beim Datenbank-Anbieter verschlüsselt.
• Zugriffskontrolle: Verwaltungszugriffe nur durch den Inhaber; der Betreiber-Bereich ist durch einen Betreiber-Schlüssel geschützt, Fehlversuche werden begrenzt. Die Datenbank ist von außen nicht direkt lesbar; Zugriffe laufen ausschließlich über Server-Funktionen, die den Praxis-Zugang prüfen.
• Trennung: eigenes Datenbank-Schema für diesen Dienst; Zähl-Ereignisse sind dem jeweiligen Praxis-Zugang zugeordnet.
• Ort der Verarbeitung: Datenbank in der Region Frankfurt am Main (EU).
• Verfügbarkeit: automatische Erreichbarkeitsprüfung des Dienstes; der Bogen bleibt nach dem Laden auch ohne Verbindung nutzbar.
• Zugangssperre: ein Praxis-Zugang kann bei Verdacht auf Missbrauch gesperrt und neu ausgestellt werden.

(2) Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, solange das Schutzniveau nicht sinkt.

§ 6 Weitere Auftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz folgender weiterer Auftragsverarbeiter:

• Supabase – Datenbank und Server-Funktionen für Zugangsprüfung und Fallzählung; Projektregion Frankfurt am Main (AWS eu-central-1).
• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern – Auslieferung der Website und der App-Dateien, Server-Protokolle, E-Mail; Serverstandort Frankfurt am Main.

(2) Die Daten werden nach der Einrichtung des Auftragnehmers in Rechenzentren in Deutschland gespeichert. Ein Zugriff aus einem Land außerhalb der EU bzw. des EWR, etwa bei Wartung und Support durch die genannten Anbieter, lässt sich nicht ausschließen. Eine Übermittlung dorthin ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

(3) Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter auf Datenschutzpflichten, die dieser Vereinbarung entsprechen. Über einen geplanten Wechsel oder die Hinzuziehung weiterer Auftragsverarbeiter informiert er den Auftraggeber mindestens 4 Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; lässt sich keine Lösung finden, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter, sofern eine Zuordnung möglich ist.

(2) Er unterstützt den Auftraggeber außerdem bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit sie die Verarbeitung nach dieser Vereinbarung betreffen.

§ 8 Meldung von Datenschutzverletzungen

Wird dem Auftragnehmer eine Verletzung des Schutzes der nach dieser Vereinbarung verarbeiteten Daten bekannt, meldet er sie dem Auftraggeber unverzüglich in Textform. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber kann die Einhaltung dieser Vereinbarung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. Kontrollen werden mit angemessener Frist angekündigt und nehmen Rücksicht auf den Betriebsablauf. Soweit der Auftragnehmer keine eigenen Rechenzentren betreibt, erfolgt der Nachweis für die Infrastruktur über die Unterlagen und Zertifikate der weiteren Auftragsverarbeiter.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht der Auftragnehmer die nach dieser Vereinbarung verarbeiteten Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Zähl-Ereignisse, die als Grundlage einer Rechnung dienen, bewahrt er für die Dauer der handels- und steuerrechtlichen Fristen auf; insoweit handelt er als eigener Verantwortlicher.

(2) Eine Rückgabe von Patientendaten entfällt, weil der Auftragnehmer solche Daten nicht besitzt. Sicherung und Löschung der auf den Geräten des Auftraggebers gespeicherten Daten liegen beim Auftraggeber.

§ 11 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung auf seinen Geräten verantwortlich, insbesondere für die Information seiner Patientinnen und Patienten, die Sicherung der Geräte und die Aufbewahrung der Ausdrucke, PDF- und Exportdateien. Er hält seinen Zugangsschlüssel vertraulich.

§ 12 Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und im Verhältnis der Parteien die Regelungen des Hauptvertrags.

(2) Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.