Auftragsverarbeitungsvereinbarung

Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO · Modimido Stand: 20. September 2026 1. Parteien, Geltung und Rang Auftraggeber und Verantwortlicher ist der bei Annahme mit Firma, Anschrift und Land bezeichnete Betrieb. Auftragsverarbeiter ist Kiwi Solutions FlexCo, Göriach 8, 9064 Magdalensberg, Österreich, office@kiwi-solutions.at. Die Annahme wird mit vertretungsberechtigtem Nutzer, Zeitpunkt und konkreter Dokumentfassung gespeichert. Diese Vereinbarung einschließlich der nachfolgenden Anlagen ergänzt den SaaS-Vertrag. Bei Widersprüchen hat sie für die Verarbeitung personenbezogener Auftragsdaten Vorrang. Verantwortliche Eigenverarbeitungen des Anbieters, insbesondere für seine Vertrags- und Abrechnungsverwaltung, sind in dessen Datenschutzhinweisen beschrieben und nicht Gegenstand einer Weisung des Betriebs. 2. Gegenstand, Dauer, Art und Zweck Gegenstand ist die weisungsgemäße Verarbeitung bei Bereitstellung, Wartung, Unterstützung und Sicherung der Buchungs- und Kundenverwaltung Modimido. Sie beginnt mit der vereinbarten Nutzung und endet nach Vertragsende mit Rückgabe oder Löschung einschließlich des geregelten Auslaufens von Sicherungen. Verarbeitungen sind insbesondere Erheben über freigegebene Formulare, Speichern, Ordnen, Anzeigen an Berechtigte, Aktualisieren, Berechnen von Verfügbarkeit und Guthaben, Exportieren, Übermitteln freigegebener Nachrichten, Sichern und Löschen. Zwecke sind die vom Betrieb bestimmte Termin-, Ressourcen-, Kunden-, Behandlungs- und Nachrichtenverwaltung, betriebliche Nachweise und deren technische Absicherung. Eine Verarbeitung zu eigenen Werbe- oder KI-Trainingszwecken des Auftragsverarbeiters ist nicht beauftragt. 3. Betroffene Personen und Datenarten Betroffen sind Kunden beziehungsweise Patienten, Interessenten, Mitarbeitende, Behandler und sonstige vom Betrieb berechtigt erfasste Kontaktpersonen. Datenarten sind Identitäts- und Kontaktdaten, Termin- und Leistungsdaten, Kommunikationspräferenzen, Nachrichten, Einwilligungen und Vertragsnachweise, Rollen, technische Zugriffs- und Änderungsnachweise, Pakete/Gutscheine, dokumentierte Zahlungs- und Rechnungsdaten. Bei entsprechender Nutzung gehören Gesundheitsdaten, Anamneseantworten, Behandlungsnotizen und private Fotos als besondere Kategorien hinzu. Inhalt und Erforderlichkeit bestimmt der Betrieb; die Plattform verlangt keine pauschale Erhebung aller dieser Datenarten. Der Betrieb prüft insbesondere die einschlägige Grundlage nach Art. 6 und Art. 9 DSGVO und erforderliche Geheimhaltungsregeln. 4. Dokumentierte Weisungen Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Weisungen zu Übermittlungen außerhalb des EWR, sofern nicht Unionsrecht oder mitgliedstaatliches Recht ihn zur Verarbeitung verpflichtet. In diesem Fall informiert er den Verantwortlichen vorab über die rechtliche Verpflichtung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Weisungen ergeben sich aus Vertrag, freigegebenen Einstellungen und berechtigten Bedienhandlungen; ergänzende Weisungen können durch autorisierte Personen in Textform an office@kiwi-solutions.at erfolgen. Weisungen sind zu dokumentieren. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, unterrichtet er den Verantwortlichen unverzüglich und setzt die betroffene Weisung bis zur Klärung aus, soweit erforderlich. 5. Vertraulichkeit und Zugriff Zugriff erhalten nur Personen, die ihn für ihre Aufgabe benötigen und zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Berechtigungen werden erteilt, überprüft und bei Wegfall entzogen. Betreiberzugriffe für Support, Wartung und Vorfallbehandlung bleiben zweckgebunden und auf das erforderliche Maß begrenzt. Innerhalb eines Betriebs setzt der Verantwortliche die Rollen ein. Inhaber und Manager haben umfassende betriebliche Rechte; Empfangskonten haben keine klinischen Leserechte. Behandlerrollen verfügen über klinische Berechtigungen innerhalb des Betriebs. Eine automatische fallbezogene Abschottung jedes Patienten gegenüber anderen Behandlern desselben Betriebs ist nicht zugesagt. 6. Sicherheit der Verarbeitung Unter Berücksichtigung von Stand der Technik, Kosten, Verarbeitung und Risiken trifft der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage A konkretisiert den Leistungsstand. Schutzmaßnahmen dürfen weiterentwickelt werden, ohne das vereinbarte Schutzniveau abzusenken. Wesentliche Änderungen, die den Auftrag oder die Risikobewertung betreffen, werden mitgeteilt. Der Verantwortliche bewertet ergänzend die Angemessenheit für seinen konkreten Einsatz, insbesondere Gesundheitsdaten und Fotos. Die Parteien wirken bei erforderlichen Anpassungen zusammen. 7. Unterstützung und Verletzungen des Schutzes personenbezogener Daten Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Er leitet unmittelbar an ihn gerichtete Anfragen zu Auftragsdaten unverzüglich weiter und entscheidet darüber nicht eigenständig, sofern er hierzu nicht angewiesen oder gesetzlich verpflichtet ist. Er unterstützt den Verantwortlichen unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen bei dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere Sicherheitsbewertung, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Eine bekannt gewordene Verletzung des Schutzes personenbezogener Auftragsdaten meldet er dem Verantwortlichen unverzüglich; eine eigene vollständige Untersuchung darf eine Erstmeldung nicht verzögern. Die Informationen umfassen, soweit verfügbar, Art des Vorfalls, betroffene Daten/Personengruppen und ungefähre Größenordnungen, Kontakt, wahrscheinliche Folgen sowie getroffene oder vorgeschlagene Maßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. Vorfälle und Abhilfemaßnahmen werden dokumentiert. Kontakt des Auftragsverarbeiters: office@kiwi-solutions.at; Kontakt des Verantwortlichen ist die hinterlegte betriebliche Kontaktadresse. 8. Unterauftragsverarbeiter und Drittlandübermittlungen Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die in der zu dieser Fassung gehörenden Unterauftragnehmerliste genannten Verarbeiter. Vor beabsichtigten Ergänzungen oder Ersetzungen informiert der Auftragsverarbeiter in Textform mit ausreichenden Angaben über Dienst, Daten, Standort und Übermittlungsgrundlage; im Regelfall mindestens 30 Tage vor Beginn. Der Verantwortliche kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. Die Parteien suchen eine zumutbare Lösung. Bis zur Klärung werden die betroffenen Daten nicht an den beanstandeten neuen Verarbeiter übermittelt. Ist keine vertragsgemäße Alternative möglich, kann die betroffene Leistung vor deren Umstellung ohne zusätzliche Beendigungsgebühr beendet werden. Zwingende Sicherheitsmaßnahmen sind zeitnah mitzuteilen und heben die datenschutzrechtlichen Voraussetzungen einer Beauftragung nicht auf. Weiteren Auftragsverarbeitern werden durch Vertrag dieselben einschlägigen Datenschutzpflichten auferlegt; der Auftragsverarbeiter bleibt dem Verantwortlichen für deren Erfüllung verantwortlich. Drittlandübermittlungen setzen dokumentierte Weisung und die Voraussetzungen der Art. 44 ff. DSGVO voraus. Die Wahl einer EU-Hostingregion allein ist keine Garantie, dass jeglicher Drittlandzugriff ausgeschlossen ist. Maßgebliche Verträge, Garantien und zusätzliche Maßnahmen sind nachzuweisen und bei Änderungen zu prüfen. 9. Nachweise, Kontrollen und Mitwirkung Der Auftragsverarbeiter stellt alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Er ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Die Parteien stimmen übliche Prüfungen mit angemessener Vorankündigung so ab, dass andere Mandanten und Geheimnisse geschützt werden und der Betrieb möglichst wenig beeinträchtigt wird. Bei begründetem Verdacht, einem Vorfall oder einer behördlichen Anforderung darf eine solche Abstimmung die erforderliche Prüfung nicht unzulässig verzögern. Berichte und Zertifikate können ergänzend genutzt werden, ersetzen aber kein zwingendes Kontrollrecht. Außergewöhnliche Zusatzleistungen können angemessen gesondert vereinbart werden; gesetzliche Unterstützung und Nachweise werden nicht von einer unzulässigen Vorauszahlung abhängig gemacht. 10. Rückgabe, Löschung und Vertragsende Nach Ende der Verarbeitungsleistungen werden nach Wahl des Verantwortlichen sämtliche personenbezogenen Auftragsdaten zurückgegeben oder gelöscht; vorhandene Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Weisung, ein vorhandenes Exportformat, ein angemessener Übergabezeitpunkt und die Löschung werden dokumentiert. Ohne abweichende berechtigte Weisung veranlasst der Auftragsverarbeiter die Umsetzung innerhalb von 30 Tagen nach Vertragsende und abschließender Abstimmung; notwendige längere Fristen sind konkret zu begründen und mitzuteilen. Aufbewahrungspflichten sind nach Datenart, Rechtsgrundlage, Dauer und zulässigem Zugriff zu benennen. Eine bloße technische Unveränderlichkeit von Belegen oder Audit-Einträgen ist keine eigenständige Rechtsgrundlage für unbegrenzte Aufbewahrung. Nicht selektiv bereinigbare Sicherungen werden von der produktiven Nutzung getrennt, nur zur notwendigen Wiederherstellung genutzt und mit Ablauf ihres festgelegten Sicherungszyklus gelöscht beziehungsweise überschrieben. Bei Wiederherstellung werden zwischenzeitliche Löschweisungen erneut umgesetzt. Die Bestätigung der Rückgabe/Löschung wird auf Anforderung bereitgestellt. Vertraulichkeit und Schutzpflichten gelten bis zur endgültigen Beendigung der Verarbeitung fort. Anlage A · Technische und organisatorische Maßnahmen A1. Mandantentrennung: PostgreSQL-Tabellen mit erzwungener Row-Level-Security für mandantenbezogene Daten, transaktionsgebundener Mandantenkontext, Prüfung von Mitgliedschaft und Rolle. Anwendung und Worker verwenden eine eingeschränkte Datenbankrolle ohne Superuser- oder BYPASSRLS-Recht; Migrationen erfolgen getrennt. A2. Zugang und Übertragung: persönliche Konten, Passwort-Hashing, E-Mail-Verifikation im Produktivbetrieb, begrenzte Sitzungen, geschützte Sitzungscookies, Zugriffsentzug und TLS für öffentliche Verbindungen. Die Datenbank ist nicht allgemein aus dem Internet erreichbar. Ein Mehrfaktorverfahren ist in dieser Fassung noch nicht zugesagt. A3. Sensible Inhalte: Anamneseantworten, Behandlungsnotizen und private Fotos werden anwendungsseitig mit AES-256-GCM verschlüsselt. Die Schlüsselverwaltung ist Betreiberaufgabe und von den Datenbanksicherungen zu trennen. Die Anwendung kann für berechtigte Zugriffe entschlüsseln; dies ist keine Ende-zu-Ende-Verschlüsselung. Foto-Uploads haben Typ-/Größenprüfungen und werden neu kodiert, wodurch Bildmetadaten entfernt werden. A4. Nachvollziehbarkeit und Integrität: veröffentlichte Formular- und Rechtsfassungen, versionierte Annahmen, Änderungsnachweise sowie unveränderliche ausgestellte Belege; transaktionale Konfliktvermeidung bei Terminen und Guthaben. Klinische Abrufe werden protokolliert. Protokolle sind kein Ersatz für eine Aufbewahrungs- und Löschregel. A5. Wiederherstellung: Render-PostgreSQL mit verfügbarem Point-in-Time-Recovery; geregelte Schlüsselverwahrung, Wiederherstellungsabläufe und regelmäßige Wiederherstellungsprüfungen sind im Betrieb umzusetzen und nachzuweisen. Eine Prüfung einer lokalen Testdatenbank ist kein Nachweis eines Restore der Produktivinstanz. Ein konkreter maximaler Datenverlust oder eine Wiederanlaufzeit wird nur bei gesonderter Vereinbarung garantiert. A6. Entwicklung und Betrieb: getrennte Testdaten, kontrollierte Änderungen mit automatisierten Prüfungen, sichere Konfiguration, Aktualisierung von Abhängigkeiten, zweckgebundene Supportzugriffe und dokumentierte Vorfallbearbeitung. Die technischen Maßnahmen sind regelmäßig auf ihre Wirksamkeit zu prüfen. Diese Beschreibung behauptet keine ISO-Zertifizierung oder medizinische Zulassung. Anlage B · Unterauftragsverarbeiter Die mit dieser Fassung bereitgestellte Liste der Unterauftragsverarbeiter ist Bestandteil der Vereinbarung. Nicht aktivierte Zahlungs-, SMS- oder Mailanbieter sind nicht allein durch eine vorbereitete Softwareintegration genehmigt. Vertragssprache Die deutsche Fassung ist maßgeblich; die englische Übersetzung dient der Verständlichkeit. Änderungen und Zusatzweisungen werden in Textform nachvollziehbar dokumentiert.