Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

Präambel

Der Kunde betreibt einen Krankenfahrdienst und nutzt die Software MitaBase (Dispositionspanel, Fahrer-App und die dazugehörigen Dienste) auf Grundlage des Hauptvertrags vom … („Hauptvertrag"). Dabei verarbeitet ETMITA personenbezogene Daten im Auftrag des Kunden, darunter Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Er ist Bestandteil des Hauptvertrags und geht diesem bei Widersprüchen im Datenschutz vor. Er ersetzt eine frühere Fassung dieses Vertrags zwischen denselben Parteien ab dem ….

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung und der Betrieb der Software MitaBase als Dienst (SaaS) für den Kunden: eine dem Kunden zugeordnete Instanz des Dispositionspanels mit eigener Datenbank, die Fahrer-App, die Speicherung der vom Kunden hochgeladenen Dateien, die Zustellung von Benachrichtigungen an Endgeräte der Beschäftigten des Kunden, die tägliche Sicherung der Daten und — solange der Kunde sie nicht abschaltet — die automatische Prüfung fotografierter Verordnungen (Anlage 1 Nr. 3a).

(2) Dauer: Die Verarbeitung dauert so lange wie der Hauptvertrag und endet mit der Löschung oder Rückgabe nach § 10.

(3) Art der Verarbeitung: Erheben (durch Eingabe des Kunden und seiner Beschäftigten), Speichern, Anzeigen, Übermitteln an Endgeräte des Kunden, Sichern, Wiederherstellen, Löschen; für die Schein-Prüfung zusätzlich das Auslesen des Fotos durch ein KI-Modell. Jede Verarbeitung findet nur bei den Stellen statt, die Anlage 3 für sie nennt.

(4) Zweck: Disposition von Krankenfahrten, Steuerung der Fahrer und Fahrzeuge, Nachweis der durchgeführten Fahrten gegenüber Kostenträgern, Zeiterfassung und Abrechnung der Beschäftigten des Kunden. ETMITA verarbeitet die Daten zu keinem eigenen Zweck; ETMITA und ihre Unterauftragsverarbeiter verwenden sie insbesondere nicht zum Training oder zur Verbesserung von KI-Modellen.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Betroffene Personen: Patientinnen und Patienten des Kunden und ihre Begleitpersonen; Beschäftigte des Kunden (Fahrer, Beifahrer, Disposition, Verwaltung); Ansprechpersonen bei Kliniken, Praxen, Pflegeeinrichtungen und Kostenträgern; Ansprechpersonen des Kunden selbst.

(2) Datenarten (vollständige Aufstellung in Anlage 1):

– Patienten: Name, Anschrift und Abholadresse, Zielort (Klinik, Praxis, Einrichtung), Fahrtzeitpunkt, Beförderungsart (sitzend, Rollstuhl, Tragestuhl, liegend), Hinweise zur Fahrt, Kostenträger und Versichertennummer, Angaben der Verordnung einer Krankenbeförderung einschließlich des Fotos des Transportscheins, Zuzahlungsstatus. Diese Daten sind Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO.

– Beschäftigte des Kunden: Name, Kontaktdaten, Rolle, Führerschein- und Berechtigungsdaten mit Ablaufdaten, Arbeitszeiten, Kassen- und Auslagenbuchungen, Anträge (Urlaub, Krankmeldung, Vorschuss), Standortdaten des Fahrzeugs während der Schicht, Nachrichten mit der Disposition, Gerätekennungen für Benachrichtigungen.

– Ansprechpersonen Dritter: Name, Funktion, Kontaktdaten.

(3) Der Kunde stellt sicher, dass für die Verarbeitung dieser Daten eine Rechtsgrundlage besteht, insbesondere Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG, und dass die nach § 22 Abs. 2 BDSG auf seiner Seite erforderlichen Maßnahmen getroffen sind.

§ 3 Weisungen

(1) ETMITA verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 S. 2 lit. a DSGVO). Dieser Vertrag, der Hauptvertrag und die Bedienung der Software durch den Kunden sind die Weisungen. Die Schein-Prüfung nach Anlage 1 Nr. 3a ist bei Vertragsbeginn voreingestellt an; mit Abschluss dieses Vertrags weist der Kunde sie an. Das Ausschalten in den Einstellungen der Instanz widerruft die Weisung mit Wirkung für künftige Fotos, das erneute Einschalten erteilt sie wieder. Zusätzliche Weisungen erteilt der Kunde in Textform an …; mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(2) Weisungsberechtigt beim Kunden sind …; bei ETMITA nimmt … Weisungen entgegen. Änderungen teilen die Parteien einander in Textform mit.

(3) Hält ETMITA eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert (Art. 28 Abs. 3 S. 3 DSGVO).

(4) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, führt ETMITA nach Aufwand zu den im Hauptvertrag genannten Sätzen aus, sofern sie nicht zur Erfüllung gesetzlicher Pflichten des Kunden gegenüber Betroffenen oder Aufsichtsbehörden erforderlich sind.

§ 4 Vertraulichkeit und § 203 StGB

(1) ETMITA gewährleistet, dass jede Person, die Zugang zu personenbezogenen Daten des Kunden erhält, vor dem ersten Zugriff schriftlich zur Vertraulichkeit verpflichtet wurde (Art. 28 Abs. 3 S. 2 lit. b, Art. 29 DSGVO) und über die Verpflichtung belehrt wurde. Die Verpflichtung dauert über das Ende der Tätigkeit hinaus fort.

(2) Soweit der Kunde oder seine Beschäftigten als Berufsgeheimnisträger oder als deren mitwirkende Personen im Sinne des § 203 StGB Geheimnisse verarbeiten, ist ETMITA sonstige mitwirkende Person nach § 203 Abs. 3 S. 2 StGB. ETMITA verpflichtet jede bei ihr mit Datenzugriff tätige Person nach § 203 Abs. 4 S. 2 Nr. 2 StGB zur Geheimhaltung, belehrt sie über die Strafbarkeit unbefugter Offenbarung und weist dem Kunden dies auf Verlangen nach. ETMITA erlegt jedem Unterauftragsverarbeiter, der Zugang zu Klardaten erhält, eine gleichwertige Geheimhaltungspflicht auf. Beschäftigt der Kunde Notfallsanitäter oder ist er im öffentlichen Rettungsdienst tätig, teilt er dies ETMITA mit; die Schein-Prüfung bei einem Unterauftragsverarbeiter (Anlage 3 Teil B Nr. 4) steht ihm dann erst zur Verfügung, wenn die Geheimhaltungsverpflichtung dieses Anbieters für diesen Fall bestätigt ist.

(3) Zugang zu Produktivdaten, Sicherungen oder Protokollen mit Personenbezug erhalten bei ETMITA nur namentlich benannte Personen, die ihre Tätigkeit aus einem Mitgliedstaat der EU oder des EWR ausüben. Für Unterauftragsverarbeiter gelten die Zugangs- und Ortsregeln des § 9 und der Anlage 3. Entwicklung und Test erfolgen mit synthetischen Daten (Anlage 2, Abschnitt C); Werkzeuge, die ETMITA bei der Entwicklung einsetzt, erhalten keinen Zugang zu Daten des Kunden.

§ 5 Sicherheit der Verarbeitung

(1) ETMITA trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 (TOM) beschrieben; sie sind Mindeststandard.

(2) ETMITA darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert ETMITA in einer neuen Version der Anlage 2 und stellt sie dem Kunden auf Anfrage sowie einmal jährlich unaufgefordert zur Verfügung.

(3) Für die Verarbeitung von Gesundheitsdaten gelten die besonderen Maßnahmen nach § 22 Abs. 2 BDSG, soweit sie in den Verantwortungsbereich des Auftragsverarbeiters fallen: Verschlüsselung im Ruhezustand und bei der Übertragung, Zugangsbeschränkung, Protokollierung von Zugriffen und Änderungen, Sensibilisierung der Beschäftigten. Anlage 2 ordnet jede Maßnahme dieser Norm zu.

§ 6 Unterstützung des Kunden

(1) ETMITA unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 S. 2 lit. e). Die Software stellt hierfür Export-, Auskunfts- und Löschfunktionen bereit (Anlage 4). Erhält ETMITA eine Anfrage einer betroffenen Person unmittelbar, leitet sie diese unverzüglich an den Kunden weiter und antwortet der Person nicht selbst.

(2) ETMITA unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) mit den ihr verfügbaren Informationen (Art. 28 Abs. 3 S. 2 lit. f). Für die Schein-Prüfung stellt ETMITA eine Muster-Datenschutz-Folgenabschätzung bereit, die der Kunde als Verantwortlicher übernimmt, ergänzt und verantwortet, sowie einen Text für die Information der Patientinnen und Patienten (Art. 13, 14 DSGVO).

(3) Unterstützung, die über die Bereitstellung vorhandener Dokumente und Funktionen hinausgeht, vergütet der Kunde nach Aufwand zu den Sätzen des Hauptvertrags, es sei denn, der Anlass liegt in der Sphäre von ETMITA.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Wird ETMITA eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet sie diese dem Kunden unverzüglich (Art. 33 Abs. 2 DSGVO), spätestens 24 Stunden nach Kenntnis, an …. Das gilt auch für eine Verletzung bei einem Unterauftragsverarbeiter, sobald ETMITA davon Kenntnis erhält. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechperson bei ETMITA. Fehlende Angaben liefert ETMITA nach, sobald sie vorliegen.

(2) ETMITA dokumentiert jede Verletzung mit Sachverhalt, Auswirkungen und Abhilfemaßnahmen und stellt die Dokumentation dem Kunden zur Verfügung.

(3) Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1) und die Benachrichtigung Betroffener (Art. 34) obliegen dem Kunden. ETMITA gibt gegenüber Dritten keine Erklärungen zu einer Verletzung ab, es sei denn, sie ist dazu gesetzlich verpflichtet; in diesem Fall informiert sie den Kunden vorab, soweit zulässig.

§ 8 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 S. 1 DSGVO), dass ETMITA Unterauftragsverarbeiter einsetzt, die (a) in der jeweils geltenden Liste der Unterauftragsverarbeiter (Anlage 3 Teil B) mit Name, Sitz, Leistung, Verarbeitungsort, Daten und Grundlage einer Drittlandübermittlung genannt sind und (b) die Bedingungen ihrer Kategorie nach Anlage 3 Teil A erfüllen. Die Liste ist mit Versionsnummer und Datum unter … veröffentlicht; jede Fassung bleibt dort abrufbar. Bei Vertragsschluss gilt die Fassung … vom ….

(2) Änderungen der Liste. Beabsichtigt ETMITA, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen oder den Verarbeitungsort eines Anbieters zu ändern, informiert sie den Kunden mindestens 30 Tage vorher in Textform an … unter Angabe von Name, Sitz, Leistung, Verarbeitungsort, Datenarten und Grundlage einer Drittlandübermittlung, und veröffentlicht die neue Fassung der Liste mit ihrem Geltungsdatum. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform Einspruch erheben. Erhebt er keinen Einspruch, gilt die Änderung mit dem Geltungsdatum als genehmigt. Die Änderung der Liste ist keine Änderung dieses Vertrags. Ein Anbieter einer Kategorie, deren Bedingungen er nicht erfüllt, kommt nicht auf die Liste; eine Kategorie, die Anlage 3 Teil A nicht kennt, bedarf einer neuen Fassung dieses Vertrags.

(3) Einspruch. Bei begründetem Einspruch bemühen sich die Parteien um eine Lösung, etwa durch Verzicht auf die betroffene Funktion für den Kunden. Gelingt sie nicht binnen 30 Tagen, kann jede Partei diesen Vertrag und den Hauptvertrag mit einer Frist von einem Monat zum Monatsende kündigen; § 10 gilt. Bis dahin setzt ETMITA den beanstandeten Unterauftragsverarbeiter für die Daten des Kunden nicht ein, soweit dies technisch möglich ist; eine vom Kunden abschaltbare Funktion (wie Anlage 1 Nr. 3a) bleibt bis dahin ausgeschaltet, auch wenn sie voreingestellt an ist.

(4) Eilfall. Fällt ein Unterauftragsverarbeiter unvorhergesehen aus oder muss er aus Gründen der Sicherheit sofort ersetzt werden, darf ETMITA einen Ersatz derselben Kategorie, der deren Bedingungen erfüllt, vor Ablauf der Frist einsetzen; sie informiert den Kunden unverzüglich, das Einspruchsrecht nach Abs. 2 und 3 bleibt bestehen. Für Gesundheitsdaten gilt der Eilfall nicht: eine vom Kunden abschaltbare Funktion bleibt bis zum Ablauf der Frist ausgeschaltet, auch wenn sie voreingestellt an ist.

(5) Vertragliche Weitergabe der Pflichten. ETMITA erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 S. 1); bei Anbietern mit eigenen Standardbedingungen (etwa Google Cloud) prüft ETMITA vor dem Einsatz, dass diese das Schutzniveau dieses Vertrags erreichen, und dokumentiert die Prüfung. ETMITA bleibt dem Kunden gegenüber für die Pflichterfüllung des Unterauftragsverarbeiters verantwortlich (Art. 28 Abs. 4 S. 2). Unterauftragsverarbeiter eines Unterauftragsverarbeiters (etwa die Konzerngesellschaften eines Cloud-Anbieters) sind von der Genehmigung umfasst, soweit der Vertrag zwischen ETMITA und dem Unterauftragsverarbeiter dessen eigene Genehmigungs- und Informationsregeln enthält; ETMITA verweist in der Liste auf deren Fundstelle.

(6) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugang zu personenbezogenen Daten des Kunden: Softwarelizenzen, Kartendaten, Schriftarten, Quellcode-Verwaltung und Bau der Software, App-Stores für die Verteilung der Fahrer-App, Werkzeuge der Entwicklung, Zahlungsdienste, über die ETMITA mit dem Kunden selbst abrechnet. Anlage 3 Teil C nennt sie der Vollständigkeit halber; eine Änderung dort ist keine Mitteilung nach Abs. 2.

§ 9 Verarbeitungsort und Drittlandübermittlung

(1) Hosting. ETMITA betreibt die Instanz, ihre Datenbank, die Dateien, die Sicherungen, die Karten-, Routen- und Adressdienste sowie die Fehlerprotokolle auf Systemen in der Bundesrepublik Deutschland (Anlage 3 Teil B Nr. 1 bis 3). Keine Adresse eines Patienten wird zur Kartendarstellung oder Routenberechnung an einen Dritten übermittelt.

(2) Gesundheitsdaten (§ 2 Abs. 2, erster Spiegelstrich) verarbeitet ein Unterauftragsverarbeiter nur an einem Ort in der EU oder im EWR, den die Liste für ihn nennt. Für die Schein-Prüfung ist das die Region europe-west3 (Frankfurt am Main) oder die EU-Multi-Region eu von Google Cloud, die die Verarbeitung auf Mitgliedstaaten der EU beschränkt (ohne Vereinigtes Königreich und Schweiz); der globale Endpunkt und jede andere Region sind technisch ausgeschlossen (Anlage 2 A14).

(3) Zugriff aus einem Drittland. Eine Übermittlung in ein Drittland, einschließlich eines Zugriffs aus einem Drittland auf Daten, die in der EU/im EWR gespeichert sind (etwa durch Wartungs- oder Supportpersonal der Konzernmutter eines Unterauftragsverarbeiters), findet nur statt, wenn die Liste sie für diesen Anbieter nennt und eine Grundlage nach Kapitel V DSGVO besteht: ein Angemessenheitsbeschluss (Art. 45, insbesondere der Beschluss (EU) 2023/1795 für zertifizierte US-Empfänger), Standardvertragsklauseln (Art. 46 Abs. 2 lit. c, Beschluss (EU) 2021/914) oder verbindliche interne Datenschutzvorschriften (Art. 47). Ausnahmen nach Art. 49 DSGVO sind keine Grundlage für Übermittlungen nach diesem Vertrag. ETMITA dokumentiert vor dem Einsatz eines solchen Anbieters eine Bewertung der Übermittlung (Transfer-Folgenabschätzung) und stellt sie dem Kunden auf Verlangen zur Verfügung.

(4) Benachrichtigungen. Für die Zustellung von Benachrichtigungen an Endgeräte (Anlage 3 Teil B Nr. 5 und 6) übermittelt die Software ausschließlich eine Gerätekennung, einen Titel und eine kurze Zeile ohne Patientennamen und ohne von Personen eingegebenen Text; die Software erzwingt dies technisch.

(5) Wegfall einer Grundlage. Entfällt die Grundlage einer Übermittlung (etwa durch Aufhebung eines Angemessenheitsbeschlusses), informiert ETMITA den Kunden unverzüglich und stellt die Übermittlung auf eine andere Grundlage nach Abs. 3 um oder stellt die betroffene Funktion ab; eine vom Kunden abschaltbare Funktion wird bis dahin ausgeschaltet.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags stellt ETMITA dem Kunden für 30 Tage einen Export aller Daten seiner Instanz in einem gängigen, maschinenlesbaren Format bereit (Art. 28 Abs. 3 S. 2 lit. g, Art. 20 DSGVO; Art. 23 ff. Data Act). Der Kunde wählt in dieser Frist in Textform Rückgabe oder Löschung; äußert er sich nicht, wird gelöscht.

(2) Nach Ablauf der Frist löscht ETMITA die Instanz, ihre Datenbank und alle Dateien vollständig. Kopien in Sicherungen werden mit dem Ablauf des Sicherungszyklus nach Anlage 4 überschrieben; bis dahin sind sie verschlüsselt und werden nicht wiederhergestellt, es sei denn, der Kunde weist es an. ETMITA bestätigt die Löschung auf Verlangen in Textform.

(3) Ein Unterauftragsverarbeiter, der Daten nur für die Dauer einer Anfrage verarbeitet (Anlage 3 Teil A Nr. 3), speichert sie über die Antwort hinaus nicht; Kopien, die er zur Erkennung von Missbrauch vorübergehend vorhält, sind in der Liste mit ihrer Frist genannt.

(4) Gesetzliche Aufbewahrungspflichten von ETMITA (Rechnungs- und Vertragsdaten des Kunden als Vertragspartner, § 147 AO, § 257 HGB) bleiben unberührt; sie betreffen keine Patientendaten.

(5) Das Löschkonzept während der Vertragslaufzeit (Fristen je Datenart, Verfahren, Nachweis) ist Anlage 4. Die Aufbewahrungsdauer der Daten innerhalb der Instanz bestimmt der Kunde; Anlage 4 nennt die Voreinstellung und ihre Begründung.

§ 11 Nachweis, Kontrollen und Audits

(1) ETMITA stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (Art. 28 Abs. 3 S. 2 lit. h): Anlagen 1 bis 4 in ihrer jeweils aktuellen Fassung, die Liste der Unterauftragsverarbeiter mit allen früheren Fassungen, das Verzeichnis nach Art. 30 Abs. 2 DSGVO für diese Verarbeitung, Nachweise der Verpflichtungen nach § 4, die Prüfungen nach § 8 Abs. 5 S. 2 und § 9 Abs. 3 S. 3, Ergebnisse von Prüfungen und Tests nach Anlage 2 Abschnitt E.

(2) Der Kunde kann einmal je Kalenderjahr sowie aus konkretem Anlass (Verletzung nach § 7, Anordnung einer Aufsichtsbehörde) eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zu ETMITA stehenden Prüfer durchführen lassen. Sie wird mindestens vier Wochen vorher angekündigt, findet zu den üblichen Geschäftszeiten statt und beeinträchtigt den Betrieb für andere Kunden nicht. Vorrangig werden vorhandene Berichte und Nachweise vorgelegt; eine Vor-Ort-Prüfung ist auf die Systeme beschränkt, auf denen die Daten des Kunden verarbeitet werden. Für Unterauftragsverarbeiter mit eigenen Prüfberichten (etwa ISO/IEC 27001, SOC 2) genügt deren Vorlage, soweit der Anbieter keine eigene Prüfung durch Kunden seiner Kunden zulässt.

(3) Aufwand, der ETMITA durch eine Prüfung ohne Anlass entsteht, vergütet der Kunde nach Aufwand zu den Sätzen des Hauptvertrags. Ergibt eine Prüfung einen erheblichen Verstoß von ETMITA, trägt ETMITA die Kosten.

(4) Aufsichtsbehörden gewährt ETMITA im gesetzlichen Umfang Zugang und informiert den Kunden darüber, soweit zulässig.

§ 12 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen verantwortlich. Er informiert ETMITA unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in der Verarbeitung feststellt.

(2) Der Kunde verwaltet die Benutzerkonten und Rollen seiner Beschäftigten in der Software selbst, hält die Zugangsdaten geheim, setzt die von der Software angebotene Zwei-Faktor-Authentifizierung für alle Verwaltungskonten ein und meldet ETMITA den Verlust eines Zugangs unverzüglich.

(3) Der Kunde stellt sicher, dass seine Beschäftigten, die Gesundheitsdaten in der Software verarbeiten, nach § 203 StGB und Art. 29 DSGVO verpflichtet sind, und dass die Endgeräte, auf denen die Fahrer-App läuft, mit einer Gerätesperre gesichert sind.

(4) Schaltet der Kunde die Schein-Prüfung ein, (a) führt er vorher die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durch (ETMITA liefert das Muster nach § 6 Abs. 2), (b) informiert er die Patientinnen und Patienten über die Verarbeitung (Art. 13, 14 DSGVO), (c) lässt er jedes Ergebnis von einer Person prüfen und entscheiden (Anlage 1 Nr. 3a) und (d) unterweist er die damit befassten Beschäftigten im Umgang mit dem KI-System (Art. 4 VO (EU) 2024/1689).

(5) Der Kunde benennt in … seine Datenschutzbeauftragte Person oder erklärt, dass keine Benennungspflicht besteht.

§ 13 Haftung

(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und ist nicht abdingbar.

(2) Im Innenverhältnis haftet jede Partei für den Schaden, der auf ihren Pflichtverstoß zurückgeht; bei gemeinsamer Verursachung haften die Parteien im Verhältnis ihrer Verursachungsbeiträge (Art. 82 Abs. 5). Im Übrigen gilt die Haftungsregelung des Hauptvertrags; sie beschränkt weder die Haftung für Vorsatz und grobe Fahrlässigkeit noch für die Verletzung von Leben, Körper und Gesundheit.

§ 14 Laufzeit, Schlussbestimmungen

(1) Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit dessen Beendigung, nicht jedoch vor Abschluss der Löschung oder Rückgabe nach § 10. Er kann nicht isoliert gekündigt werden; die Kündigung des Hauptvertrags umfasst ihn.

(2) Änderungen und Ergänzungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Neue Fassungen der Anlagen 2 und 4 werden nach § 5 Abs. 2 und Anlage 4 Abschnitt 6 wirksam, neue Fassungen der Liste der Unterauftragsverarbeiter (Anlage 3 Teil B und C) nach § 8 Abs. 2, ohne dass es einer Änderung dieses Vertrags bedarf. Eine Änderung der Kategorien und ihrer Bedingungen (Anlage 3 Teil A) ist eine Änderung dieses Vertrags.

(3) Es gilt deutsches Recht. Gerichtsstand ist …, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung (Art. 28 Abs. 3 DSGVO).

Anlage 1 — Beschreibung der Verarbeitung

Nr. · Verarbeitung · Daten · Betroffene · Stelle (Anlage 3 Teil B)

1 · Disposition: Anlegen, Zuweisen, Ändern und Abschließen von Fahrten · Patientenstammdaten, Abhol- und Zieladresse, Zeitpunkt, Beförderungsart, Hinweise, Kostenträger · Patienten, Fahrer · Nr. 1

2 · Fahrer-App: Anzeige der zugewiesenen Fahrten, Navigation, Statusmeldungen · wie Nr. 1, zusätzlich Fahrzeugstandort während der Schicht · Patienten, Fahrer · Nr. 1

3 · Transportschein: Foto der Verordnung, Zuordnung zur Fahrt, Sichtprüfung durch den Kunden · alle Felder der Verordnung (Muster 4): Name, Geburtsdatum, Versichertennummer, Kostenträger, Beförderungsart, Diagnosekennzeichen, Arztstempel, Unterschriften · Patienten · Nr. 1

3a · Optionale automatische Prüfung des Fotos auf Vollständigkeit und Lesbarkeit — voreingestellt an, der Kunde schaltet sie in seiner Instanz jederzeit ab (§ 3 Abs. 1) · nur das Foto; die Angaben der Fahrt (Patientenname, Kostenträger, Adressen) werden dem Anbieter nicht mitgegeben, der Abgleich mit der Fahrt erfolgt in der Instanz · Patienten · Nr. 4 (Frankfurt oder EU-Multi-Region eu), oder ein Modell auf Nr. 1, wenn der Kunde dieses wählt. Kein Training, keine Speicherung über die Antwort hinaus außer der Missbrauchserkennung nach Anlage 3 Teil B Nr. 4. Die Prüfung gibt nichts frei: sie benennt Fehlendes, die Entscheidung trifft eine Person des Kunden (Art. 22 DSGVO; Anlage 2 B7).

4 · Verlauf und Nachweis gegenüber Kostenträgern · Fahrt, Schein-Foto und frühere Fassungen, Status, Zuzahlung · Patienten · Nr. 1

5 · Personalakte, Zeiterfassung, Kasse, Anträge · Beschäftigtendaten, Arbeitszeiten, Buchungen · Beschäftigte des Kunden · Nr. 1

6 · Nachrichten Disposition ↔ Fahrer · Freitext, Anhänge · Beschäftigte, ggf. Patienten (wenn im Text genannt) · Nr. 1

7 · Benachrichtigungen an Endgeräte · Gerätekennung, Titel, eine Zeile: Uhrzeit · Straße ohne Hausnummer · Ort — nie ein Patientenname, nie ein eingegebener Text · Beschäftigte · Nr. 5, 6

8 · Sicherung und Wiederherstellung · alle vorstehenden Daten, verschlüsselt · alle · Nr. 2

9 · Betriebs-, Fehler- und Sicherheitsprotokolle · Zeitpunkt, Benutzerkennung, Aktion, IP-Adresse, technische Fehlerangaben; keine Patientendaten im Klartext · Beschäftigte des Kunden · Nr. 1

10 · System-E-Mails (Einladung, Passwort, Hinweise) · E-Mail-Adresse, Text der Nachricht; keine Patientendaten · Beschäftigte des Kunden · Nr. 3

Nicht verarbeitet werden: Zahlungsdaten der Patienten, Diagnosen im Klartext über die Verordnung hinaus, Standortdaten außerhalb der Schicht.

Anlage 2 — Technische und organisatorische Maßnahmen

Siehe TOM.md (Version …). Mit dieser Fassung wird Maßnahme A14 neu gefasst (die Fassung von TOM.md, die mit v2 gilt):

A14 · Die automatische Scheinprüfung läuft nur dort, wo Anlage 3 sie > nennt. Welcher Anbieter das Foto liest, ist eine Einstellung beim Start > des Systems, nicht der Instanz; jede Variante ist mit eigenen Bedingungen > gesperrt, die auf keinem System voreingestellt sind. (a) Eigenes Modell: > Adresse auf einen internen Container-Namen, localhost oder > *.mitabase.com beschränkt. (b) Google Vertex AI: Gemini nur in der Region > europe-west3 über deren eigenen Endpunkt > (europe-west3-aiplatform.googleapis.com), Claude (Anthropic) nur in der > EU-Multi-Region eu über deren Endpunkt > (aiplatform.eu.rep.googleapis.com), dazu Googles Token-Endpunkt; jede > andere Region und der globale Endpunkt verweigern den Start; Modelle, deren > Hersteller Anfragen selbst aufbewahrt („Covered Models“, derzeit Fable und > Mythos), verweigert die Software, und eine Datenfreigabe an den > Modellhersteller (dataSharingEnabledProvider) wird im Projekt nie gesetzt; der Betrieb > setzt eine eigens benannte Variable voraus (FORMCHECK_ALLOW_SUBPROCESSOR), > deren Setzen beim Start unter Nennung von Art. 28 und Art. 9 DSGVO > protokolliert wird; dem Anbieter wird nur das Foto übergeben, keine > Angaben der Fahrt; der Dienstkontoschlüssel liegt als nur lesbare Datei auf > dem Server, nie in einer Umgebungsvariable, und weder er noch das > Zugangstoken erscheinen in einem Protokoll; im Projekt des Anbieters sind > die Zwischenspeicherung von Anfragen (Caching) und das Protokollieren von > Anfragen und Antworten abgeschaltet und die Standorte per Richtlinie auf > die EU beschränkt. (c) Ein Anbieter außerhalb der EU/des EWR ist > durch eine weitere Variable versperrt (FORMCHECK_ALLOW_NON_EU), die > dieser Vertrag nicht erlaubt. — Nachweis: formcheck.js, > scripts/test-formcheck-vertex.js, scripts/test-formcheck-provider.js, > scripts/lib/origin-allowlist.json. Normen: Art. 25, Art. 32 Abs. 1 > lit. b, Art. 44; § 22 Abs. 2 S. 2 Nr. 10 BDSG.

Teil A — Kategorien und ihre Bedingungen

Ein Anbieter kommt nur auf die Liste (Teil B), wenn er alle Bedingungen seiner Kategorie erfüllt. Eine Kategorie, die hier nicht steht, gibt es nicht ohne neue Fassung dieses Vertrags.

Nr. · Kategorie · Bedingungen

1 · Rechenzentrum und Speicher (Hosting, Sicherung) · Sitz und Verarbeitung in der EU/im EWR; Speicherung der Instanzdaten auf verschlüsselten Datenträgern; Sicherungen werden vor der Übertragung verschlüsselt, der Anbieter sieht keinen Klartext; Zertifizierung nach ISO/IEC 27001 oder gleichwertig.

2 · E-Mail-Versand · Verarbeitung in der EU/im EWR; keine Patientendaten im Text (die Software schreibt keine); Transportverschlüsselung.

3 · KI-Dienst für die Schein-Prüfung · Verarbeitung von Gesundheitsdaten nur in einer genannten Region der EU/des EWR, technisch erzwungen; Verarbeitung nur für die Dauer der Anfrage, kein Training und keine Verbesserung von Modellen mit den Daten, keine Speicherung über die Antwort hinaus außer einer in der Liste mit Frist genannten Missbrauchserkennung; ein Auftragsverarbeitungsvertrag, der Art. 9-Daten und Art. 28 DSGVO abdeckt; Zugriff aus einem Drittland nur nach § 9 Abs. 3; die Funktion ist voreingestellt an und je Unternehmen (Instanz) abschaltbar (§ 3 Abs. 1); das Ergebnis ist ein Vorschlag, die Entscheidung trifft eine Person.

4 · Zustellung von Benachrichtigungen an Endgeräte (Betriebssystem-Dienste von Apple und Google) · nur Gerätekennung, Titel und eine Zeile ohne Patientennamen und ohne eingegebenen Text (technisch erzwungen); Drittlandübermittlung nur nach § 9 Abs. 3.

5 · Betriebsüberwachung und Fehlerprotokolle · nur auf Systemen der Kategorie 1 betrieben (kein externer Dienst); keine Patientendaten im Klartext.

Teil B — Liste der Unterauftragsverarbeiter

Die Liste ist nicht Teil dieses Textes. Es gilt die Fassung … vom …, veröffentlicht unter …; jede frühere Fassung bleibt dort abrufbar (§ 8 Abs. 1). Sie nennt je Anbieter Name, Sitz, Kategorie nach Teil A, Leistung, Verarbeitungsort, Daten und Grundlage einer Drittlandübermittlung. Quelle der Liste: docs/SUBPROCESSORS.md §0 Teil B. Eine neue Fassung kommt nur nach § 8 Abs. 2 zustande (Muster: legal/MITTEILUNG-UNTERAUFTRAGSVERARBEITER.md).

Teil C — Keine Unterauftragsverarbeiter (keine Daten des Kunden)

Ebenfalls in der veröffentlichten Liste, docs/SUBPROCESSORS.md §0 Teil C: Anbieter, die ETMITA nutzt, die aber keine Daten aus der Instanz des Kunden erhalten (Verteilung und Bau der App, Quellcode, Zahlungsverkehr zwischen ETMITA und dem Kunden, Prüfung der USt-IdNr., Werkzeuge der Entwicklung mit synthetischen Daten).

Anlage 4 — Löschkonzept

Siehe LOESCHKONZEPT.md (Version …).