Auftragsverarbeitungsvertrag

zwischen dem Veranstalter, der die Plattform nutzt (Verantwortlicher, im Folgenden „Auftraggeber“), und reit.codes, Inhaber Christoph Reit, Kornstr. 51, 49088 Osnabrück (Auftragsverarbeiter, im Folgenden „Auftragnehmer“).

Der Vertrag wird mit der Annahme des Angebots in Textform geschlossen und ist Bestandteil des Hauptvertrags.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer beim Betrieb der Plattform MeduCert für den Auftraggeber nach den AGB (Hauptvertrag).
2. Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis alle Daten nach § 10 zurückgegeben oder gelöscht sind.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck

Speichern und Verwalten von Veranstaltungen und Anmeldungen; Erfassung der Anwesenheit vor Ort und online; Einteilung in Kleingruppen; Durchführung der Lernerfolgskontrolle und Evaluation; Erstellung von Teilnahmebescheinigungen; Übermittlung von Teilnahmemeldungen an den EIV der Bundesärztekammer nach Freigabe durch den Auftraggeber; Versand von Anmeldebestätigungen per E-Mail; Datensicherung.

Datenarten

Vorname, Name, E-Mail-Adresse, Einheitliche Fortbildungsnummer (EFN), Geburtsdatum (für die Teilnahmebescheinigung, soweit der Auftraggeber es verlangt), Art der Teilnahme, Gruppenzuordnung; Zeitpunkte von Einlass, Ausgang, Einwahl und Antworten auf Anwesenheitsabfragen, Bestätigungen der Gruppenmoderation; Antworten und Ergebnis der Lernerfolgskontrolle; Bewertungen der Veranstaltung; Bestätigung der Schweigepflicht bei entsprechenden Konferenzen; Name, Funktion und gegebenenfalls EFN von Mitwirkenden; Erklärungen zu Interessenkonflikten; Meldungen an den EIV (EFN, Merkmale, Referentenpunkte, Antwort des EIV); persönliche Zugangslinks der Teilnehmenden; Zugangsdaten des Auftraggebers zum EIV (verschlüsselt gespeichert); bei Personen des Auftraggebers zusätzlich die Zuordnung zum Team mit Rolle, offene Einladungen (E-Mail-Adresse) und das Änderungsprotokoll des Auftraggebers (Zeitpunkt, handelnde Person, Art der Änderung, ohne Passwörter und ohne Personendaten der Teilnehmenden).

Betroffene

Teilnehmende und Mitwirkende der Veranstaltungen des Auftraggebers sowie Personen, die für den Auftraggeber die Plattform bedienen.

Besondere Kategorien personenbezogener Daten

Die Verarbeitung besonderer Kategorien nach Art. 9 DSGVO ist nicht vorgesehen. Der Auftraggeber darf besondere Kategorien nur verarbeiten lassen, wenn dafür eine Rechtsgrundlage besteht und die Parteien vorher zusätzliche Weisungen und Schutzmaßnahmen in Textform vereinbart haben.

§ 3 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in ein Drittland, es sei denn, ein Gesetz der EU oder Deutschlands verpflichtet ihn dazu. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen und Aktionen des Auftraggebers in der Plattform, insbesondere die Freigabe und der Versand von EIV-Meldungen. Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit (lit. b)

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den Anforderungen des Datenschutzes vertraut gemacht wurden.

§ 5 Sicherheit der Verarbeitung (lit. c)

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht sinken. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter (lit. d)

1. Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten stehen in Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber mindestens 4 Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO). Er haftet dem Auftraggeber für dessen Pflichterfüllung.
4. Die Daten werden grundsätzlich innerhalb der EU bzw. des EWR verarbeitet. Eine Übermittlung in ein Drittland ist nur zulässig, wenn sie vom Auftraggeber angewiesen oder nach dem dokumentierten Auftrag gedeckt ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Verarbeitungsorte und Übermittlungsgrundlagen der Unterauftragsverarbeiter stehen in Anlage 2.
5. Die Bundesärztekammer als Betreiberin des EIV und die Ärztekammern sind keine Unterauftragsverarbeiter. Sie erhalten die vom Auftraggeber freigegebenen Meldungen als eigene Verantwortliche.

§ 7 Rechte der betroffenen Personen (lit. e)

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO). Dafür stellt die Plattform dem Auftraggeber Funktionen bereit: die Auskunft zu einer Person als Datei, die Pseudonymisierung und die Löschung einzelner Personen sowie die Pseudonymisierung aller Teilnehmenden einer Veranstaltung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 8 Unterstützungspflichten (lit. f)

1. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit, Meldung von Datenpannen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung und vorherige Konsultation.
2. Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt wurde (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Nachweise und Kontrollen (lit. h)

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Inspektionen sind mit angemessener Frist anzukündigen, sollen den Betrieb nicht unnötig stören und finden in der Regel höchstens einmal im Jahr statt, außer bei konkretem Anlass.
3. Als Nachweis genügen in der Regel aktuelle Selbstauskünfte des Auftragnehmers.

§ 10 Rückgabe und Löschung (lit. g)

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, es sei denn, eine Pflicht zur Speicherung nach EU- oder deutschem Recht besteht. Kopien in Datenbanksicherungen werden nicht wiederhergestellt und laufen mit dem Löschzyklus der Sicherungen ab, spätestens nach 2 Wochen. Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform. Während des Vertrags löscht der Auftragnehmer einzelne Daten auf Weisung des Auftraggebers in Textform; der Auftraggeber kann Personen auch selbst in der Plattform löschen oder pseudonymisieren. Die Plattform entfernt außerdem täglich Einzelantworten der Lernerfolgskontrolle und Bewertungen, deren Aufbewahrungsfrist nach dem Regelwerk der jeweiligen Veranstaltung abgelaufen ist (Zeiten ab Veranstaltungsende, einsehbar im Bereich „Datenschutz“ der Verwaltung). Teilnahmenachweise und Meldungen an den EIV bleiben bis zur Löschung oder Pseudonymisierung durch den Auftraggeber erhalten.

§ 11 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und die Information der Teilnehmenden (Art. 13, 14 DSGVO) sowie für die Einhaltung der Aufbewahrungsfristen seiner Kammer. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen beschreiben den Stand der Software MeduCert und des Betriebs.

Zutritt

Betrieb auf eigenen Servern des Auftragnehmers in abgeschlossenen Räumen; Zutritt hat nur der Auftragnehmer.

Zugang und Zugriff

Personen des Auftraggebers melden sich mit Benutzername und Passwort an (mindestens 12 Zeichen, geprüft gegen häufige und ähnliche Passwörter; gespeichert nur in nicht zurückrechenbarer Form). Das Cookie der Anmeldung wird nur über verschlüsselte Verbindungen übertragen und ist für Programmcode auf der Seite nicht lesbar. Jeder Auftraggeber sieht nur seine eigenen Veranstaltungen und deren Teilnehmende; die Anwendung beschränkt alle Abfragen darauf. Teilnehmende und Gruppenmoderation greifen nur über persönliche Links mit langer Zufallsfolge auf ihre Seite bzw. Gruppenliste zu. Der Auftraggeber verwaltet sein Team selbst: Einladungen gelten 7 Tage, der Link wird nur als nicht zurückrechenbarer Wert gespeichert, die Rolle (Administration, Redaktion, Moderation) bestimmt die Rechte. Er kann als zweiten Faktor die Authenticator-App für alle Mitglieder verpflichtend festlegen. Zugang zur Verwaltung der Server haben nur namentlich bestimmte Personen des Betreibers.

Verschlüsselung

Verbindungen zur Plattform laufen nur verschlüsselt: vom Browser bis zu Cloudflare und von dort durch einen verschlüsselten Tunnel in das Netz des Servers. Der Browser wird angewiesen, die Plattform künftig nur noch verschlüsselt aufzurufen. E-Mails gehen über eine verschlüsselte Verbindung an den Mailserver des Versanddienstleisters. Zugangsdaten des Auftraggebers zum EIV (Passwort, Token) werden verschlüsselt in der Datenbank gespeichert; der Schlüssel liegt getrennt von der Datenbank.

Weitergabe

Die Seiten laden keine Skripte oder Inhalte fremder Anbieter. Meldungen an den EIV werden erst nach ausdrücklicher Freigabe durch den Auftraggeber gesendet und enthalten nur EFN, Merkmale und Referentenpunkte.

Nachvollziehbarkeit

Zu jeder EIV-Meldung speichert die Plattform Status, Zeitpunkt, Zahl der Versuche und die Antwort des EIV. Anwesenheitseinträge tragen Zeitpunkt und Art. Änderungen im Team, an Veranstaltungen, Anerkennung und Wissenstest, Auskünfte sowie Pseudonymisierungen und Löschungen von Personen stehen mit Zeitpunkt und handelnder Person im Änderungsprotokoll des Auftraggebers; es enthält weder Passwörter noch Klartext-Personendaten der Teilnehmenden.

Härtung

Die Anwendung läuft ohne Administratorrechte in einem Container mit schreibgeschütztem Dateisystem und festen Obergrenzen für Rechenleistung und Arbeitsspeicher. Die Datenbank ist nur intern erreichbar. Passwörter und Schlüssel liegen getrennt vom Programmcode. Die Anwendung führt kein Zugriffsprotokoll über Seitenaufrufe.

Verfügbarkeit

Der Auftragnehmer sichert die Datenbank mit einem Skript, verschlüsselt die Sicherungen und bewahrt die letzten 14 auf. Die Sicherungen liegen auf Systemen des Auftragnehmers. Ein Prüfskript spielt Sicherungen in eine Testdatenbank zurück, um die Wiederherstellung zu belegen. Eine Gesundheitsabfrage meldet, wenn die Datenbank nicht erreichbar ist.

Überprüfung

Automatische Tests und eine statische Codeprüfung bei jeder Änderung; zeitnahe Sicherheitsupdates; Verfahren für Datenpannen nach Art. 33 DSGVO; Überprüfung dieser Maßnahmen mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter

Server und Sicherungen betreibt der Auftragnehmer selbst; einen Dienstleister für den Betrieb der Server setzt er nicht ein.