Auftragsverarbeitungsvertrag
1. Vertragsparteien
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Betreiber der jeweiligen Website auf einer Subdomain der Plattform Med Place (im Folgenden „Verantwortlicher“). Name, Anschrift und Kontaktdaten werden bei der Erstellung der Website im Assistenten angegeben und im Impressum der Website veröffentlicht.
Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist die Signolia Digital Ltd., zh. k. Druzhba 12, ap. 1, 1592 Sofia, Bulgarien, E-Mail: info@med-place.de (im Folgenden „Auftragsverarbeiter“).
2. Gegenstand, Art und Zweck der Verarbeitung
Der Auftragsverarbeiter stellt dem Verantwortlichen eine Website-Baukasten-Lösung einschließlich Hosting, Terminbuchung, Kundenverwaltung und Reichweitenmessung zur Verfügung. Er verarbeitet personenbezogene Daten ausschließlich zur Erbringung dieser Leistungen und nach Weisung des Verantwortlichen.
Datenkategorien:
- Kontaktdaten von Website-Besuchern, die das Kontaktformular nutzen (Name, E-Mail-Adresse, Betreff, Nachricht, IP-Adresse, Zeitpunkt)
- Registrierungs- und Kontodaten von Kunden des Verantwortlichen (Name, E-Mail-Adresse, Passwort-Hash, Telefonnummer soweit angegeben)
- Termin- und Buchungsdaten (gebuchte Leistung, Datum, Uhrzeit, ggf. Anmerkungen)
- Zugriffs- und Nutzungsdaten der Website (aufgerufene Seiten, Zeitpunkt, Geräte- und Browser-Typ, Referrer, gekürzte IP-Adresse, ungefähre geografische Angabe)
Betroffene Personen: Besucher der Website, Interessenten und Kunden des Verantwortlichen sowie dessen Mitarbeiter, soweit sie im System angelegt werden.
Der Auftragsverarbeiter ist nicht Verantwortlicher für diese Daten und trifft keine eigenständigen Entscheidungen über deren Verwendung.
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unions- oder Mitgliedstaatsrecht zur Verarbeitung verpflichtet. Die Nutzung der Plattform nach Maßgabe der vertraglichen Einrichtung gilt als dokumentierte Weisung.
Erhält der Auftragsverarbeiter Kenntnis von einer Rechtsverletzung, unterrichtet er den Verantwortlichen unverzüglich und setzt die Verarbeitung aus, bis die Weisung bestätigt oder geändert wird.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere zu:
- Vertraulichkeit: alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und entsprechend geschult (§ 53 BDSG, Art. 28 Abs. 3 lit. b DSGVO).
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Zugriffskontrolle, TLS-Verschlüsselung der Website, getrennte Mandanten-Datenbestände, rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Backups.
- Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–22 DSGVO) und bei der Erfüllung von Meldepflichten (Art. 33, 34 DSGVO).
- Unterstützung bei Datenschutz-Folgenabschätzungen und Vorabkonsultationen (Art. 35, 36 DSGVO), soweit erforderlich.
- Benennung eines Ansprechpartners für Datenschutzfragen gegenüber dem Verantwortlichen.
- Unverzügliche Information des Verantwortlichen, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.
5. Unterauftragsverhältnisse
Der Verantwortliche stimmt der Einbeziehung folgender Unterauftragnehmer zu:
- Hetzner Online GmbH, Sigmundstraße 135, 90431 Nürnberg, Deutschland — Hosting der Anwendung und der Datenbank.
- IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland — E-Mail-Versand und Verarbeitung von Kontaktanfragen per E-Mail.
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland — Analyse und Tag-Management (nur nach Einwilligung der Website-Besucher).
Der Auftragsverarbeiter informiert den Verantwortlichen vor der Hinzuziehung weiterer Unterauftragnehmer und gibt ihm Gelegenheit zum Widerspruch. Unterauftragnehmer werden nur eingesetzt, wenn sie dieselben datenschutzrechtlichen Pflichten übernehmen.
6. Rechte der betroffenen Personen
Anfragen betroffener Personen, die die Website des Verantwortlichen betreffen, leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet sie nicht eigenständig, sondern unterstützt den Verantwortlichen bei der Beantwortung.
Der Verantwortliche bleibt für die Information der betroffenen Personen nach Art. 13 und 14 DSGVO verantwortlich. Der Auftragsverarbeiter stellt hierfür die Angaben bereit, die in der Datenschutz-Seite der jeweiligen Website enthalten sind.
7. Löschung und Rückgabe
Nach Beendigung des Vertragsverhältnisses löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Rahmen der Website des Verantwortlichen verarbeitet wurden, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er die Daten vorher in einem gängigen, maschinenlesbaren Format bereit.
Eine Löschung erfolgt auch dann, wenn der Verantwortliche die Website in seinem Konto löscht; die Löschung umfasst die Website-Inhalte, hochgeladene Dateien und die zugehörigen Besucher- und Kundendaten, soweit keine Aufbewahrungspflichten entgegenstehen.
8. Kontrollrechte
Der Verantwortliche hat das Recht, sich von der Einhaltung der vereinbarten Maßnahmen zu überzeugen. Der Auftragsverarbeiter stellt hierfür die erforderlichen Informationen bereit, insbesondere die in dieser Vereinbarung beschriebenen technischen und organisatorischen Maßnahmen.
Kontrollen werden mit angemessener Frist angekündigt und dürfen den Betrieb der Plattform nicht unverhältnismäßig beeinträchtigen.
9. Schlussbestimmungen
Es gilt deutsches Recht. Gerichtsstand und Erfüllungsort richten sich nach dem Hauptvertrag über die Nutzung der Plattform.
Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine zulässige Regelung ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
Der Vertrag wird mit der Bestätigung im Erstellungs-Assistenten geschlossen. Die jeweils akzeptierte Fassung wird mit Datum, Uhrzeit, IP-Adresse und Versionsnummer gespeichert.