Auftragsverarbeitungsvertrag

zwischen dem Kunden, der die Plattform nutzt (Verantwortlicher, im Folgenden „Auftraggeber“), und MeduPro, Inhaber Christoph Reit, Kornstr. 51, 49088 Osnabrück (Auftragsverarbeiter, im Folgenden „Auftragnehmer“).

Der Vertrag wird mit der Annahme des Angebots in Textform geschlossen und ist Bestandteil des Hauptvertrags.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer beim Betrieb der Plattform MeduMeet für den Auftraggeber nach den AGB (Hauptvertrag).
2. Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis alle Daten nach § 10 zurückgegeben oder gelöscht sind.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck

Bereitstellung von Besprechungsräumen auf dem Konferenzserver des Auftragnehmers: Übertragung von Ton, Bild, Bildschirmfreigaben und Chat zwischen den Personen im Raum, nur während der Besprechung und ohne Aufzeichnung, Livestream oder Transkription; Verwaltung von Räumen, Einstellungen (Warteraum, Kennwort), Terminen und eingeladenen Personen; Versand von Einladungen und Kalenderdateien per E-Mail; Erfassung der Anwesenheit je Termin und der Zeiten im Raum; Datensicherung.

Datenarten

Bei eingeladenen Personen und Gästen: Name, E-Mail-Adresse, Moderationsrecht, persönlicher Zugangslink (nur als nicht zurückrechenbarer Wert), Zeitpunkte von Einladung und letztem Besuch; bei Teilnahme: der im Raum angezeigte Name, die technische Kennung im Konferenzserver, Zeitpunkte von Betreten und Verlassen des Raums, Anwesenheit je Termin; während der Übertragung IP-Adresse, technische Verbindungsdaten und die übertragenen Inhalte (Ton, Bild, Bildschirm, Chat), die nicht gespeichert werden. Bei Personen des Auftraggebers: Name, E-Mail-Adresse, Rolle im Team, Sicherheitsdaten der Anmeldung (nur als nicht zurückrechenbarer Wert), Termine mit Titel und Zeiten, Raumkennwörter (nur als nicht zurückrechenbarer Wert) und das Änderungsprotokoll.

Betroffene

Personen aus dem Team des Auftraggebers, von ihm eingeladene Personen und Gäste sowie Personen, über die in einer Besprechung gesprochen wird.

Besondere Kategorien personenbezogener Daten

In Besprechungen können Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO zur Sprache kommen, etwa bei Fallbesprechungen. Sie werden nur übertragen und nicht gespeichert. Für solche Inhalte gelten § 4a dieses Vertrags und die Maßnahmen in Anlage 1; der Auftraggeber entscheidet, ob er sie in einer Besprechung bespricht.

§ 3 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in ein Drittland, es sei denn, ein Gesetz der EU oder Deutschlands verpflichtet ihn dazu. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen und Aktionen des Auftraggebers in der Plattform. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit (lit. b)

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den Anforderungen des Datenschutzes vertraut gemacht wurden.

§ 4a Berufsgeheimnisse (§ 203 StGB)

1. Unterliegt der Auftraggeber oder unterliegen Personen, für die er handelt, einer beruflichen Schweigepflicht (zum Beispiel Ärztinnen und Ärzte, Psychotherapeutinnen und Psychotherapeuten, Angehörige anderer Heilberufe), wirkt der Auftragnehmer an deren beruflicher Tätigkeit mit (§ 203 Abs. 3 Satz 2 StGB). Der Auftragnehmer ist sich bewusst, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er ein fremdes Geheimnis unbefugt offenbart, das ihm bei dieser Mitwirkung bekannt geworden ist.
2. Der Auftragnehmer verschafft sich von solchen Geheimnissen nur Kenntnis, soweit es für seine Leistung erforderlich ist. Er verpflichtet jede Person, die er dabei einsetzt, vor Beginn ihrer Tätigkeit in Textform zur Geheimhaltung und belehrt sie über die strafrechtlichen Folgen. Setzt er weitere Dienstleister ein, die Kenntnis von solchen Geheimnissen erlangen können, verpflichtet er sie ebenso (§ 203 Abs. 4 Satz 2 Nr. 2 StGB) und gibt diese Pflicht an sie weiter.
3. Die Plattform ist nicht für Behandlungsdokumentation bestimmt. Nimmt der Auftraggeber Berufsgeheimnisse in die Plattform auf, etwa in einer Besprechung, ist das von seiner Schweigepflicht und diesem Vertrag nur gedeckt, soweit es für den Zweck der Nutzung erforderlich ist.

§ 5 Sicherheit der Verarbeitung (lit. c)

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht sinken. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter (lit. d)

1. Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten stehen in Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 4 Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO). Er haftet dem Auftraggeber für dessen Pflichterfüllung.
4. Die Daten werden grundsätzlich innerhalb der EU bzw. des EWR verarbeitet. Eine Übermittlung in ein Drittland ist nur zulässig, wenn sie vom Auftraggeber angewiesen oder nach dem dokumentierten Auftrag gedeckt ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Verarbeitungsorte und Übermittlungsgrundlagen der Unterauftragsverarbeiter stehen in Anlage 2.
5. Systeme, die der Auftraggeber selbst anbindet (Schnittstelle, Webhooks, LTI), sind keine Unterauftragsverarbeiter des Auftragnehmers; für sie ist der Auftraggeber verantwortlich.

§ 7 Rechte der betroffenen Personen (lit. e)

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO). Dafür stellt die Plattform dem Auftraggeber Funktionen bereit: die Auskunft zu einer Person als Datei und die Löschung von Personen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 8 Unterstützungspflichten (lit. f)

1. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit, Meldung von Datenpannen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung und vorherige Konsultation.
2. Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt wurde (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Nachweise und Kontrollen (lit. h)

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Inspektionen sind mit angemessener Frist anzukündigen, sollen den Betrieb nicht unnötig stören und finden in der Regel höchstens einmal im Jahr statt, außer bei konkretem Anlass.
3. Als Nachweis genügen in der Regel aktuelle Selbstauskünfte des Auftragnehmers.

§ 10 Rückgabe und Löschung (lit. g)

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren; für einen Anbieterwechsel gelten zusätzlich die Fristen der AGB (Datenexport und Anbieterwechsel). Danach löscht der Auftragnehmer alle Daten des Auftraggebers, es sei denn, eine Pflicht zur Speicherung nach EU- oder deutschem Recht besteht. Kopien in Datenbanksicherungen werden nicht wiederhergestellt und laufen mit dem Löschzyklus der Sicherungen ab, spätestens nach 2 Wochen. Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform. Während des Vertrags löscht der Auftragnehmer einzelne Daten auf Weisung des Auftraggebers in Textform; der Auftraggeber kann Personen auch selbst in der Plattform löschen oder pseudonymisieren. Anwesenheit und Zeiten im Raum löscht die Plattform automatisch 12 Monate nach dem Termin, Einladungen, wenn der Auftraggeber die Person oder den Raum entfernt; Inhalte der Besprechungen speichert der Auftragnehmer nicht. Das Änderungsprotokoll löscht die Plattform nach 3 Jahren, Konten von Personen, die dem Team nicht mehr angehören, und abgelaufene Einladungen nach 30 Tagen. Antworten der Schnittstelle hält sie 24 Stunden vor, damit wiederholte Anfragen nicht doppelt wirken.

§ 11 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und die Information der betroffenen Personen (Art. 13, 14 DSGVO) sowie dafür, Anwesenheitsdaten früher als nach 12 Monaten zu löschen, wenn er sie nicht so lange braucht. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen beschreiben den Stand der Software MeduMeet und des Betriebs.

Zutritt

Betrieb in einem Rechenzentrum der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen in Finnland mit Zutrittskontrolle; der Anbieter ist nach eigenen Angaben nach ISO/IEC 27001 zertifiziert. Zugang zu Betriebssystem, Anwendung und Daten hat nur der Auftragnehmer.

Zugang und Zugriff

Personen des Auftraggebers melden sich mit Benutzername und Passwort an (mindestens 12 Zeichen, geprüft gegen häufige und ähnliche Passwörter; gespeichert nur in nicht zurückrechenbarer Form), alternativ per E-Mail-Link oder Einmalcode, die nur gehasht gespeichert werden und kurz gültig sind. Fehlversuche werden je Konto und je pseudonymisierter IP-Adresse begrenzt. Das Cookie der Anmeldung wird nur über verschlüsselte Verbindungen übertragen und ist für Programmcode auf der Seite nicht lesbar. Jeder Auftraggeber sieht nur seine eigenen Daten; die Anwendung beschränkt alle Abfragen darauf. Gäste greifen nur über persönliche Links mit langer Zufallsfolge auf ihren Raum zu; Räume lassen sich zusätzlich mit Warteraum und Kennwort schützen, Fehlversuche beim Kennwort werden begrenzt. Der Auftraggeber verwaltet sein Team selbst: Einladungen gelten 7 Tage, der Link wird nur als nicht zurückrechenbarer Wert gespeichert, die Rolle (Administration, Redaktion, Moderation) bestimmt die Rechte. Er kann als zweiten Faktor die Authenticator-App für alle Mitglieder verpflichtend festlegen. Mitarbeitende, denen der Auftraggeber Kurse bereitstellt, haben eigene Zugänge ohne Zugriff auf die Verwaltung; sie sehen nur ihre eigenen Kurse, ihre Sitzung endet nach einstellbarer Zeit ohne Aktivität, Einladungslinks und Zugangscodes sind einmalig, zeitlich begrenzt und nur als nicht zurückrechenbarer Wert gespeichert. Dateien von Kursen sind nur über signierte, kurz gültige Links abrufbar. Zugang zur Verwaltung der Server haben nur namentlich bestimmte Personen des Betreibers.

Verschlüsselung

Verbindungen zur Plattform laufen nur verschlüsselt: vom Browser bis zu Cloudflare und von dort durch einen verschlüsselten Tunnel in das Netz des Servers. Der Browser wird angewiesen, die Plattform künftig nur noch verschlüsselt aufzurufen. E-Mails gehen über eine verschlüsselte Verbindung an den Mailserver des Versanddienstleisters. In den Konferenzräumen laufen Ton und Bild verschlüsselt (DTLS-SRTP) zwischen Browser und Konferenzserver. Einen Raum betritt nur, wer von der Plattform ein signiertes, zeitlich begrenztes Ticket für genau diesen Raum erhält; Moderationsrechte erhalten nur das Team des Auftraggebers und die Gruppenmoderation. Aufzeichnungen sind abgeschaltet.

Weitergabe

Die Seiten laden keine Skripte oder Inhalte fremder Anbieter. Die Plattform fügt in E-Mails keine Zählpixel ein und wertet Öffnungen und Klicks nicht aus.

Nachvollziehbarkeit

Anwesenheitseinträge tragen Zeitpunkt und Art. Änderungen im Team, an Räumen und Einladungen, Auskünfte sowie Pseudonymisierungen und Löschungen von Personen stehen mit Zeitpunkt und handelnder Person im Änderungsprotokoll des Auftraggebers; es enthält keine Passwörter.

Härtung

Die Anwendung läuft ohne Administratorrechte in einem Container mit schreibgeschütztem Dateisystem und festen Obergrenzen für Rechenleistung und Arbeitsspeicher. Die Datenbank ist nur intern erreichbar. Passwörter und Schlüssel liegen getrennt vom Programmcode. Die Anwendung führt kein Zugriffsprotokoll über Seitenaufrufe; Fehlermeldungen im Betriebsprotokoll enthalten keine E-Mail-Adressen. Die Seiten setzen eine Content-Security-Policy, die nur Inhalte der Plattform selbst zulässt. Aufrufe über das Internet werden nur verschlüsselt beantwortet.

Verfügbarkeit

Der Auftragnehmer sichert die Datenbank täglich, verschlüsselt die Sicherungen (AES-256) und bewahrt die letzten 14 auf. Die Sicherungen liegen auf Systemen des Auftragnehmers. Ein Prüfskript spielt monatlich eine Sicherung in eine Testdatenbank zurück, um die Wiederherstellung zu belegen. Eine Gesundheitsabfrage meldet, wenn die Datenbank nicht erreichbar ist.

Überprüfung

Automatische Tests und eine statische Codeprüfung bei jeder Änderung; zeitnahe Sicherheitsupdates; Verfahren für Datenpannen nach Art. 33 DSGVO; Überprüfung dieser Maßnahmen mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter

Den Server mietet der Auftragnehmer; Betriebssystem, Anwendung, Datenbank, Konferenzsoftware und Sicherungen betreibt er selbst.