Vertrag zur Auftragsverarbeitung (AVV)

Präambel und Rollenverteilung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die Pflichten der Vertragsparteien nach Art. 28 DSGVO. Er gilt zwischen dem Anbieter der Software Ally (nachfolgend „Auftragsverarbeiter“) und der Praxis, Therapeut:in, Heilpraktiker:in oder Coach, die Ally geschäftlich nutzt (nachfolgend „Verantwortliche“).

Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist die Praxis. Sie entscheidet über Zwecke und Mittel der Verarbeitung der Daten ihrer Klient:innen und Patient:innen. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich weisungsgebunden.

Für eigene Zwecke — Nutzerkonto, Vertragsabwicklung und Abrechnung, Website, Support sowie Sicherheit und Betrieb der Plattform — ist der Anbieter selbst Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieses AVV, sondern der Datenschutzerklärung.

Die Verantwortliche unterliegt regelmäßig einer Berufsverschwiegenheit (§ 203 StGB). Der Auftragsverarbeiter und seine Beschäftigten sind nach § 203 Abs. 4 StGB als mitwirkende Personen zur Verschwiegenheit verpflichtet.

1. Gegenstand, Dauer und Beendigung

Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der Software Ally zur Terminbuchung, Kalenderverwaltung, Klient:innenverwaltung, Verlaufsdokumentation, Rechnungsstellung sowie zum Versand von Termin-E-Mails.

Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Er endet automatisch mit dessen Beendigung, unabhängig von einer gesonderten Kündigung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu dem Zweck, der Verantwortlichen die vertraglich vereinbarten Funktionen bereitzustellen.

• Erheben, Speichern und Anzeigen von Terminen, Terminarten und Verfügbarkeiten
• Verwaltung von Klient:innen-Stammdaten inklusive Import und Dublettenbereinigung
• Speichern der Verlaufsdokumentation zu Behandlungen
• Erstellen, Speichern und Versenden von Rechnungen
• Versand von Buchungsbestätigungen, Änderungs- und Absagemitteilungen sowie Terminerinnerungen
• Bereitstellung der öffentlichen Buchungsseite und des einbettbaren Buchungs-Widgets
• Optional und nur nach ausdrücklicher Aktivierung: Synchronisation mit Google Kalender sowie Nachrichtenversand über WhatsApp Business

3. Art der Daten und Kreis der betroffenen Personen

Verarbeitet werden insbesondere: Stammdaten (Name, Anrede, Geschlecht, Geburtsdatum), Kontaktdaten (E-Mail, Telefonnummer, Anschrift), Termindaten, Rechnungs- und Zahlungsdaten sowie Inhalte der Verlaufsdokumentation.

Die Verlaufsdokumentation und der Anlass einer Buchung können Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO enthalten. Beide Parteien treffen hierfür die in Anlage 1 beschriebenen erhöhten Schutzmaßnahmen.

Betroffene Personen sind: Klient:innen und Patient:innen der Verantwortlichen, Interessent:innen, die über die öffentliche Buchungsseite buchen, sowie gegebenenfalls Mitarbeitende der Verantwortlichen.

4. Weisungsrecht der Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet.

Die Nutzung der Funktionen der Software durch die Verantwortliche gilt als Weisung. Weitergehende Einzelweisungen sind in Textform an die im Impressum genannte Kontaktadresse zu richten und werden dokumentiert.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er die Verantwortliche unverzüglich und kann die Ausführung bis zur Bestätigung aussetzen.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

Maßnahmen dürfen weiterentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und in Anlage 1 nachgeführt.

7. Unterauftragsverhältnisse

Die Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragnehmer.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er die Verantwortliche mindestens 30 Tage vor dem geplanten Einsatz in Textform und über die Anwendung. Die Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

Widerspricht die Verantwortliche, suchen die Parteien eine einvernehmliche Lösung. Kommt keine zustande und ist die Leistung ohne den Unterauftragnehmer nicht zumutbar erbringbar, kann jede Partei den Nutzungsvertrag zum geplanten Einsatzzeitpunkt außerordentlich kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer vertraglich auf Datenschutzpflichten, die denen dieses AVV entsprechen.

Leistungen reiner Nebenleistungen (z. B. Telekommunikation, Postversand, Reinigung, Wartung ohne Zugriff auf personenbezogene Daten) gelten nicht als Unterauftragsverhältnis.

8. Ort der Verarbeitung und Drittlandtransfers

Die Verarbeitung der in Ally gespeicherten Daten erfolgt in Rechenzentren innerhalb der Europäischen Union.

Soweit einzelne Unterauftragnehmer Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Schutzmaßnahmen. Die Zuordnung ergibt sich aus Anlage 2.

9. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt die Verantwortliche im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden unverzüglich an die Verantwortliche weitergeleitet und nicht selbst beantwortet.

Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter der Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, mit allen für eine Meldung nach Art. 33 DSGVO erforderlichen Informationen.

10. Löschung und Rückgabe

Die Verantwortliche kann ihre Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen der Anwendung abrufen.

Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Innerhalb dieser Frist kann die Verantwortliche die Löschung eines auf Löschung gesetzten Kontos widerrufen.

Backups werden im Rahmen der üblichen Rotationszyklen überschrieben.

11. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere die aktuelle Fassung der Anlage 1.

Die Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung zu überzeugen. Kontrollen erfolgen vorrangig durch Auskünfte, Selbstauskünfte oder Nachweise; Vor-Ort-Prüfungen sind auf das erforderliche Maß beschränkt und dürfen den Betrieb nicht unangemessen beeinträchtigen.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung des Nutzungsvertrags.

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen sind Bestandteil dieses Vertrags und beschreiben das Schutzniveau, das der Auftragsverarbeiter gewährleistet.

Anlage 2: Unterauftragnehmer

Diese Unterauftragnehmer sind allgemein genehmigt. Änderungen werden mindestens 30 Tage vorher mitgeteilt; ein Widerspruch ist innerhalb dieser Frist möglich.