Auftragsverarbeitungsvertrag

1. Parteien und Vertragsschluss

Der Vertrag wird geschlossen zwischen der in Odonto Flow registrierten Praxis („die Praxis“, Verantwortlicher) und Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal („wir“, Auftragsverarbeiter).

Geht der Vertrag mit der Praxis auf einen neuen Anbieter über (Nutzungsbedingungen, Abschnitt 16), geht dieser Vertrag mit über: Der neue Anbieter wird Auftragsverarbeiter zu denselben Bedingungen, und die Praxis erfährt davon im Voraus.

Der Vertrag ist Teil der Nutzungsbedingungen. Die Praxis akzeptiert ihn bei der Registrierung; er gilt, solange wir Daten der Praxis verarbeiten. Eine unterschriebene Fassung kann unter privacy@odontoflow.io angefordert werden.

2. Gegenstand

Wir verarbeiten die personenbezogenen Daten, die die Praxis in den Dienst eingibt, nur, um ihr den Dienst bereitzustellen: sie speichern, ihren Mitarbeitern anzeigen, auf ihre Anweisung Nachrichten an Patienten senden, Backups erstellen und im Support helfen. Einzelheiten in Anlage 1.

3. Weisungen der Praxis

Wir verarbeiten Daten nur auf dokumentierte Weisung der Praxis. Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die Handlungen der Mitarbeiter der Praxis im Dienst (eingeben, ändern, senden, löschen).
Verpflichtet uns das Gesetz zu einer anderen Verarbeitung, teilen wir dies der Praxis vorher mit, sofern das Gesetz es nicht verbietet.
Verstößt eine Weisung unserer Ansicht nach gegen die DSGVO, informieren wir die Praxis.

4. Pflichten der Praxis

Die Praxis ist für die Rechtmäßigkeit der Verarbeitung verantwortlich: Rechtsgrundlage (auch für Gesundheitsdaten — Art. 9 DSGVO), Information der Patienten, Einwilligung in WhatsApp-Nachrichten, Richtigkeit der Daten, Aufbewahrungsfristen der Patientenakten und Zugriff ihrer Mitarbeiter.

5. Vertraulichkeit

Zugriff auf die Daten der Praxis haben nur Mitarbeiter, die ihn für den Betrieb des Dienstes brauchen. Alle sind zur Vertraulichkeit verpflichtet.

Support-Zugang — nur mit Erlaubnis der Praxis. Ohne Erlaubnis betritt der Support das Konto der Praxis nicht. Der Inhaber der Praxis kann den „Support-Zugang“ in den Einstellungen für 7 Tage aktivieren und früher deaktivieren. Solange der Zugang aktiv ist, kann ein Support-Mitarbeiter im Namen eines Nutzers der Praxis auf das Konto zugreifen — über einen Einmal-Link, für begrenzte Zeit; jeder Zugriff wird protokolliert (wer, als wer, wann), und die Praxis sieht dieses Protokoll. Nach 7 Tagen schließt sich der Zugang von selbst. Im Verwaltungsbereich des Dienstes ist das Protokoll der gesendeten Nachrichten sichtbar (Nummer, Text, Status) — zur Unterstützung der Zustellung. Patientenkarten werden im Verwaltungsbereich nicht angezeigt.

6. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO — sie sind in Anlage 2 aufgeführt — und entwickeln sie mit dem Dienst weiter, ohne das Gesamtschutzniveau zu senken.

7. Unterauftragsverarbeiter

Die Praxis erteilt eine allgemeine Genehmigung, die Unterauftragsverarbeiter aus Anlage 3 einzusetzen.
Über einen neuen oder ersetzten Unterauftragsverarbeiter informieren wir den Inhaber der Praxis per E-Mail mindestens 30 Tage im Voraus. Die Praxis kann begründet widersprechen; kommt keine Einigung zustande, kann sie den Vertrag kündigen und eine Erstattung für den nicht genutzten bezahlten Zeitraum erhalten.
Mit jedem Unterauftragsverarbeiter haben wir einen Vertrag mit Datenschutzpflichten, die nicht geringer sind als diese. Für seine Arbeit haften wir gegenüber der Praxis.

8. Übermittlungen außerhalb des EWR

Die Daten der Praxis werden in der EU gespeichert (Deutschland und Finnland). Übermittelt ein Unterauftragsverarbeiter Daten außerhalb des EWR, ist dies nur auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder von EU-Standardvertragsklauseln mit zusätzlichen Maßnahmen zulässig.

9. Unterstützung der Praxis

Anfragen von Patienten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit): Erreicht uns eine Anfrage, leiten wir sie an die Praxis weiter und beantworten sie nicht selbst gegenüber dem Patienten. Werkzeuge im Dienst: Die Patientenkarte lässt sich vollständig drucken oder als PDF speichern (Export), und der Patient kann endgültig gelöscht werden („Endgültig löschen“: Karte, Termine, Nachrichten, Dateien).
Wir unterstützen die Praxis bei Sicherheitsmaßnahmen, der Datenschutz-Folgenabschätzung (DSFA) und der Konsultation der Aufsichtsbehörde — soweit sie den Dienst betreffen.

10. Vorfälle

Über eine Datenpanne oder einen anderen Sicherheitsvorfall, der die Daten der Praxis betrifft, informieren wir den Inhaber der Praxis unverzüglich — spätestens 72 Stunden, nachdem wir davon Kenntnis erlangt haben: was geschehen ist, welche Daten und wie viele Datensätze betroffen sind, was wir getan haben und was wir empfehlen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Patienten, falls erforderlich, sind Pflicht der Praxis; wir helfen.

11. Vertragsende

Nach Ende des Abonnements werden die Daten der Praxis 12 Monate aufbewahrt (damit die Praxis zurückkehren kann) und danach vollständig gelöscht, einschließlich der Dateien. Auf Wunsch der Praxis — früher.
Vor der Löschung kann die Praxis ihre Daten zurückerhalten (Art. 28 Abs. 3 lit. g DSGVO): Der Inhaber exportiert alle Daten der Praxis — CSV und ein Archiv der Dateien — im Konto, auch nach Ende des Abonnements, oder auf Anfrage beim Support innerhalb von 30 Tagen (Nutzungsbedingungen, Abschnitt 7). Die Karte eines einzelnen Patienten kann gedruckt oder als PDF gespeichert werden.
Aus den Backups verschwinden die Daten mit deren Erneuerung — innerhalb von 30 Tagen.
Länger bewahren wir nur auf, was das Gesetz verlangt — zum Beispiel Zahlungsbelege (die auch Paddle aufbewahrt).

12. Kontrollen

Auf Anfrage der Praxis stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind — Beschreibung der Maßnahmen, Antworten auf Sicherheitsfragebögen. Eine Vor-Ort-Kontrolle können die Praxis oder ihr Prüfer höchstens einmal im Jahr durchführen, mit 30 Tagen Vorankündigung, auf eigene Kosten und unter Verpflichtung zur Vertraulichkeit.

13. Haftung und Vorrang

Die Haftung der Parteien richtet sich nach den Nutzungsbedingungen und der DSGVO (Art. 82). Widerspricht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes, hat dieser Vertrag Vorrang.

Anlage 1. Beschreibung der Verarbeitung


Betroffene Personen	Patienten der Praxis; Mitarbeiter der Praxis (Nutzer des Dienstes)
Datenkategorien	Patienten: Vorname, Nachname, Geburtsdatum, Geschlecht, Telefon, Adresse, Notizen, Termine, Behandlungen, Beträge, Dateien (Röntgenbilder, Fotos, Dokumente), Einwilligung in WhatsApp-Nachrichten und deren Datum, Texte und Status der Nachrichten; Mitarbeiter: Name, E-Mail, Rolle, Aktionen im Dienst
Besondere Kategorien	Gesundheitsdaten: medizinische Hinweise (Allergien, Kontraindikationen, chronische Erkrankungen, Medikamente), Zahnschema, Behandlungsverlauf, Röntgenbilder
Verarbeitungsvorgänge	Speicherung, Anzeige für die Mitarbeiter der Praxis, Suche und Sortierung, Versand von Nachrichten an Patienten über WhatsApp auf Weisung der Praxis, Datensicherung, Löschung
Zweck	Bereitstellung des Dienstes für die Praxis
Dauer	solange das Abonnement aktiv ist, danach 12 Monate Aufbewahrung und Löschung

Anlage 2. Sicherheitsmaßnahmen

verschlüsselte Verbindungen (HTTPS); Passwörter nur als Hash; Schlüssel des Zahlungssystems verschlüsselt gespeichert;
die Daten jeder Praxis sind von anderen isoliert, die Isolation wird durch automatisierte Tests geprüft;
Zugriff innerhalb der Praxis nach Rollen (Inhaber, Administrator, Arzt; ein Arzt sieht seine eigenen Termine und Termine ohne Arzt);
Patientendateien sind nicht öffentlich zugänglich: Sie werden über zeitlich begrenzte signierte Links bereitgestellt;
Server in der EU; Datenbank und interne Dienste sind nicht aus dem Internet erreichbar; die Firewall lässt nur HTTPS und SSH durch;
Backups: täglich, in einen getrennten Speicher in der EU (nicht auf demselben Server); die Backups werden bereits auf dem Server verschlüsselt und in einem anderen Rechenzentrum gespeichert, die Wiederherstellung daraus wird einmal im Monat automatisch geprüft;
automatische Installation von Sicherheitsupdates auf den Servern;
ständige Überwachung der Verfügbarkeit des Dienstes und der Übertragung der Backups — mit Warnung bei Ausfall;
Aktionsprotokoll der Nutzer, Protokoll der Support-Zugriffe und Protokoll der Aktionen im Verwaltungsbereich;
Zugang zu den Servern nur für verantwortliche Mitarbeiter, per SSH-Schlüssel, ohne Anmeldung per Passwort; Anmeldeversuche im Verwaltungsbereich sind begrenzt;
Zwei-Faktor-Anmeldung bei den Konten für Hosting, Domain, E-Mail und Zahlungssystem.

Anlage 3. Unterauftragsverarbeiter

Wer	Wofür	Wo
Hetzner Online GmbH	Server, Datenbank, Dateispeicher, Backups	Deutschland und Finnland
mailbox.org (Heinlein Hosting GmbH)	Service-E-Mails an die Mitarbeiter der Praxis (keine Patientendaten in E-Mails)	Deutschland

WhatsApp ist kein Unterauftragsverarbeiter, sondern ein Dienst der Praxis selbst. Die Praxis verbindet ihr WhatsApp-Konto und akzeptiert die Bedingungen von Meta selbst; wir haben keinen Vertrag mit Meta. Auf Weisung der Praxis übermitteln wir die Nummer des Patienten und den Text der Nachricht an ihr Konto, danach verarbeitet sie Meta (WhatsApp Ireland Ltd) nach eigenen Bedingungen als Anbieter der Praxis. Die Verbindung erfolgt als verknüpftes Gerät, nicht über die offizielle WhatsApp Business Platform (Nutzungsbedingungen, Abschnitt 9).

Paddle ist kein Unterauftragsverarbeiter: Paddle erhält keine Patientendaten und verarbeitet die Zahlungsdaten der Praxis als eigenständiger Verantwortlicher.

Firebase Cloud Messaging (Google, Push-Benachrichtigungen in den Apps) erscheint in dieser Liste, sobald Push aktiviert wird — mit Ankündigung nach Abschnitt 7.