Auftragsverarbeitung
Dieser Vertrag wird vor der ersten Verarbeitung von Patientendaten mit jedem Pflegedienst geschlossen. Anfragen an admin@sneedle.net.
Zwischen dem Pflegedienst (Verantwortlicher, im Folgenden Auftraggeber) und Alexander Grabow, Birkenhain 2, 29640 Schneverdingen (Auftragsverarbeiter, im Folgenden Auftragnehmer).
§ 1 Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Software PlonkR Care zur Pflegedokumentation bereit und betreibt sie. Der Vertrag gilt für die Dauer der Nutzungsvereinbarung zwischen den Parteien.
§ 2 Art und Zweck, Daten, Betroffene
- Art der Verarbeitung: Speichern, Anzeigen, Ändern, Exportieren und Löschen in der Software, Sicherung der Datenbank, Versand von Anmelde- und Einladungs-Mails.
- Zweck: Dokumentation von Besuchen, Pflegehandlungen und Vitalwerten für den Auftraggeber.
- Daten: Patientenstammdaten (Name, Geburtsdatum, Pflegegrad, Krankenkasse, Versichertennummer, Adresse, Notfallkontakt, Notizen), Gesundheitsdaten (Pflegehandlungen, Vitalwerte, Notizen zu Besuchen), Besuchsdaten (Beginn, Ende) sowie Daten der Mitarbeiter:innen (E-Mail-Adresse, Anzeigename, Rolle, Zeitpunkte von Besuchen und Änderungen, bei Aufrufen unbekannter NFC-Tags IP-Adresse und Browserkennung).
- Betroffene: Patient:innen, deren Notfallkontakte und die Mitarbeiter:innen des Auftraggebers.
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Nutzung der Funktionen der Software sowie Anweisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 4 Vertraulichkeit
Zugriff auf die Daten hat nur der Auftragnehmer selbst. Er ist zur Vertraulichkeit verpflichtet und, soweit der Auftraggeber einem Berufsgeheimnis unterliegt, als mitwirkende Person im Sinne von § 203 Abs. 3 StGB zur Verschwiegenheit. Setzt er weitere Personen ein, verpflichtet er sie vorher ebenso.
§ 5 Technische und organisatorische Maßnahmen
- Server in einem Rechenzentrum in Deutschland, Zutritt regelt der Rechenzentrumsbetreiber
- Alle Verbindungen verschlüsselt (TLS); Mails werden verschlüsselt an den Mailserver übergeben
- Die Anwendung ist nur über den Webserver erreichbar, nicht direkt aus dem Netz
- Anmeldung nur über einmalige Links an die hinterlegte E-Mail-Adresse (15 Minuten gültig), Sitzungen laufen nach 30 Tagen ab, wiederholte Anfragen werden begrenzt
- Trennung der Daten je Pflegedienst; innerhalb des Pflegedienstes regeln Rollen die Verwaltung des Teams
- Audit-Log aller Änderungen an Patienten, Besuchen und Pflegehandlungen, in der App nicht änderbar
- Tägliche Sicherung der Datenbank auf dem Server (14 Tage), zusätzlich wöchentlich (8 Wochen)
Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
- myLoc managed IT AG, Düsseldorf: Bereitstellung des Servers im Rechenzentrum in Deutschland
- goneo Internet GmbH, Minden: Versand der Anmelde- und Einladungs-Mails (E-Mail-Adressen und Links, keine Patientendaten)
Weitere oder andere Unterauftragsverarbeiter setzt der Auftragnehmer nur nach vorheriger Information des Auftraggebers ein, der Auftraggeber kann dem widersprechen. Eine Verarbeitung außerhalb der EU findet nicht statt.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden (Art. 32 bis 36 DSGVO). Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, nachdem er davon erfahren hat.
§ 8 Löschung und Rückgabe
Bei Vertragsende kann der Auftraggeber die Pflegedoku exportieren. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Aus den Sicherungen verschwinden sie spätestens nach acht Wochen.
§ 9 Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen nach vorheriger Absprache.
§ 10 Schlussbestimmungen
Änderungen bedürfen der Textform. Bei Widersprüchen zur Nutzungsvereinbarung geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.
Ort, Datum ____________________
Auftraggeber ____________________ Auftragnehmer ____________________