Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) regelt die Verarbeitung personenbezogener Daten durch JFK-Enterprise e.U. (nachfolgend „Auftragsverarbeiter“) im Auftrag der Person bzw. Einrichtung, die WundBüro als Subscription nutzt (nachfolgend „Verantwortlicher“). Der AVV gilt für alle Tarife einschließlich des Free-Tarifs. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) von WundBüro und wird mit Registrierung und Nutzung des Dienstes wirksam.

Auftragsverarbeiter:

JFK-Enterprise e.U. Jakob Kaliwoda Dorfstraße 25, 6121 Baumkirchen, Österreich enterprise.jfk@gmail.com

§ 1 Gegenstand und Dauer

(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung der Webanwendung WundBüro zur digitalen Wunddokumentation, Terminplanung/Online-Buchung, Land-Tirol-Direktverrechnung und Abrechnung. Im Rahmen der Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten — einschließlich besonderer Kategorien gemäß Art. 9 DSGVO (Gesundheitsdaten) — im Auftrag des Verantwortlichen.

(2) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des zugrundeliegenden Nutzungsvertrags gemäß den AGB.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet folgende Datenkategorien im Auftrag des Verantwortlichen:

• Patient:innen-Stammdaten (Titel, Vor- und Nachname, Geschlecht, Geburtsdatum, Foto, Adresse, Staatsangehörigkeit, Familienstand, Telefon, E-Mail, Sozialversicherungsnummer, Krankenversicherung(en), Import-Kennungen/-Notizen, Prioritätshinweis, Archiv-Status)
• Gesundheitsdaten (Wunddokumentation, Wundstatus, Wundbilder, Messprotokolle, Behandlungen und Materialien, Befunde mit Anhängen, Hilfsmittel, Vitalwerte, ABI-Messung, Wound-QoL-Fragebogen, Medikamente, Diagnosen, KI-Analyseprotokolle inkl. Eingabebild, Patienten-PDF-Exporte)
• digitale Unterschriften (Unterschriftsbild, Name der unterzeichnenden Person, Zeitpunkt)
• Daten verbundener Personen (Ärzt:innen: Name, Fachrichtung, Kontakt; Angehörige: Name, Telefon; Care-Team-Namen)
• Daten von Anfragenden der Online-Buchung (Vor- und Nachname, E-Mail, Telefon optional, Geburtsdatum optional, Nachricht)
• Land-Tirol-Sozial- und Finanzdaten (siehe Faktenkatalog: Pflegegeldstufe, Einkommensdaten, Wohnkosten, Bemessungsgrundlage u. a.) — besonders schutzwürdig
• Abrechnungsdaten (Tickets, Zeit- und Materialbuchungen, generierte Rechnungen)

(2) Die Verarbeitung dient ausschließlich dem Zweck der Bereitstellung und des Betriebs der Anwendung WundBüro gemäß den AGB. Sie umfasst insbesondere:

• die Speicherung, Anzeige und Bearbeitung der genannten Datenkategorien;
• den Versand von E-Mails an Patient:innen und Anfragende (Terminbestätigung, Erinnerung, Statusänderung, Patienten-Export als PDF-Anhang) im Namen des Verantwortlichen, auf dessen Weisung durch Aktivierung der Online-Buchung erfolgend;
• die serverseitige Bildauswertung und Wundflächenmessung;
• die optionale KI-gestützte Bildanalyse (siehe § 6).

(3) Betroffene Personen sind Patient:innen, Angehörige, Ärzt:innen, Anfragende der Online-Buchung sowie Care-Team-Mitglieder, über die der Verantwortliche Informationen in der Anwendung speichert.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

(1) Weisungsgebundenheit: Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Die bestimmungsgemäße Nutzung der Anwendung durch den Verantwortlichen gilt als dokumentierte Weisung. Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

(2) Vertraulichkeit: Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Berufsgeheimnis: Der Auftragsverarbeiter wahrt die Verschwiegenheitspflichten, denen der Verantwortliche unterliegt (z. B. § 6 GuKG, § 54 ÄrzteG, Datengeheimnis gemäß § 6 DSG). Mitwirkende Personen werden entsprechend auf diese Verschwiegenheitspflichten verpflichtet.

(4) Sicherheit: Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe § 5 dieses AVV und Anlage 1 – TOM).

(5) Unterauftragsverarbeiter: Weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur gemäß § 4 dieses AVV einzusetzen.

(6) Unterstützung bei Betroffenenrechten: Den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit) zu unterstützen, soweit dies möglich ist.

(7) Unterstützung bei Compliance: Den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO zu unterstützen, insbesondere bei der Meldung von Datenschutzverletzungen und der Durchführung von Datenschutz-Folgenabschätzungen.

(8) Datenschutzverletzungen: Den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten zu informieren, die Daten des Verantwortlichen betreffen.

(9) Löschung oder Rückgabe: Nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten spätestens 30 Tage nach Vertragsende zu löschen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann vor Vertragsende einen Export seiner Daten in der App durchführen oder anfordern (Rückgabe). Backups werden im Rahmen der rollierenden Sicherung fortlaufend überschrieben.

(10) Nachweisführung und Kontrollen: Dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen. Der Nachweis erfolgt primär durch Dokumentation (Anlage 1 – TOM, Zertifikate bzw. Nachweise der Unterauftragsverarbeiter). Vor-Ort-Kontrollen durch den Verantwortlichen sind nach angemessener Voranmeldung und auf dessen Kosten möglich.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt mit Abschluss dieses AVV die allgemeine Genehmigung zur Einschaltung der in Anlage 2 – Liste der Unterauftragsverarbeiter genannten Unterauftragsverarbeiter. Der bei Vertragsschluss dort dokumentierte Stand gilt als genehmigt.

(2) Bei Änderungen oder dem Hinzufügen von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail und durch Aktualisierung der Anlage 2. Der Verantwortliche kann Änderungen widersprechen; in diesem Fall ist er berechtigt, den Vertrag außerordentlich zu kündigen.

(3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter denselben datenschutzrechtlichen Pflichten unterliegen wie er selbst und schließt entsprechende Verträge gemäß Art. 28 DSGVO ab.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Diese sind vollständig in Anlage 1 – TOM dokumentiert.

Zusammengefasst: Verschlüsselte Übertragung (TLS), serverseitige Mandantentrennung mit Zugriffsprüfung je Nutzer:in, Löschvermerk und Änderungshistorie zur Nachvollziehbarkeit statt Hard-Delete sowie regelmäßige automatisierte Backups mit definiertem Wiederherstellungsverfahren.

§ 6 Übermittlung in Drittländer

(1) Daten werden grundsätzlich innerhalb der EU/des EWR verarbeitet und gespeichert.

(2) Für die optionale KI-gestützte Bildanalyse werden pseudonymisierte Wundbilder (ohne Name, ohne Patienten-ID, ohne Stammdaten) an OpenAI Ireland Ltd. mit OpenAI OpCo, LLC (USA) übermittelt. Die Verarbeitung erfolgt in den USA (Drittland) auf Grundlage des OpenAI Data Processing Addendum inkl. EU-Standardvertragsklauseln (Beschluss 2021/914 der EU-Kommission). Übermittelte Daten werden nicht zum Training verwendet; OpenAI kann API-Eingaben bis zu 30 Tage zur Missbrauchserkennung speichern.

(3) Cloudflare, Inc. (USA) speichert Medien (u. a. Wundbilder, Dokumente) über R2 Object Storage mit EU-Speicherort. Cloudflare ist ein US-Konzern; ein theoretischer Zugriff durch US-Behörden (CLOUD Act) ist nicht auszuschließen. Grundlage: Cloudflare-DPA inkl. EU-Standardvertragsklauseln; Cloudflare ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

§ 7 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung gegenüber den betroffenen Personen, insbesondere für das Vorliegen einer geeigneten Rechtsgrundlage gemäß Art. 6 i.V.m. Art. 9 DSGVO.

(2) Der Verantwortliche erteilt Weisungen in der Regel durch die bestimmungsgemäße Nutzung der Anwendung. Weitergehende Weisungen sind schriftlich oder per E-Mail an enterprise.jfk@gmail.com zu erteilen.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Nutzung der Anwendung Fehler oder Unregelmäßigkeiten im Hinblick auf datenschutzrechtliche Bestimmungen feststellt.

§ 8 Schlussbestimmungen

(1) Dieser AVV unterliegt österreichischem Recht.

(2) Änderungen dieses AVV bedürfen der Textform. Der Auftragsverarbeiter kann den AVV mit einer Frist von 30 Tagen anpassen; § 12 der AGB gilt entsprechend.

(3) Soweit einzelne Regelungen dieses AVV unwirksam sein sollten, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

JFK-Enterprise e.U. | Jakob Kaliwoda | Dorfstraße 25, 6121 Baumkirchen | enterprise.jfk@gmail.com

Anlagen: Anlage 1 – TOM · Anlage 2 – Unterauftragsverarbeiter Weitere Rechtstexte: Datenschutzerklärung · AGB · Zweckbestimmung

Versionshistorie