Vereinbarung zur Auftragsverarbeitung

zwischen

[Name und Anschrift der Zahnarztpraxis]

– Verantwortlicher beziehungsweise Auftraggeber –

und

Nikola Popovic
handelnd unter EcoTrend Emporium
Auf dem Damm 112
47137 Duisburg
Deutschland

– Auftragsverarbeiter beziehungsweise Auftragnehmer –

Der Auftragnehmer verarbeitet personenbezogene Daten im Rahmen der Bereitstellung von DentalCall AI.

Die Verarbeitung beginnt mit der Aktivierung des Dienstes und endet mit der Beendigung des Hauptvertrags, sofern keine gesetzlichen Pflichten oder dokumentierten Weisungen eine weitere Verarbeitung rechtfertigen.

Die Verarbeitung umfasst insbesondere:

• technische Entgegennahme von Anrufen,
• Erkennung und Verarbeitung gesprochener Angaben,
• Erfassung von Kontakt- und Patientendaten,
• Erstellung strukturierter Rückrufinformationen,
• organisatorische Kategorisierung und Priorisierung,
• Bereitstellung im Praxis-Dashboard,
• Benutzer- und Rollenverwaltung,
• Speicherung, Anzeige, Änderung, Export und Löschung,
• Sicherheitsprotokollierung,
• Support und Fehleranalyse.

• Patientinnen und Patienten
• potenzielle Neupatientinnen und Neupatienten
• sonstige Anrufende
• Beschäftigte und Beauftragte der Praxis
• Benutzer des Dashboards

• Name
• Telefonnummer
• Geburtsdatum
• Patiententyp
• Anliegen
• Beschwerden und sonstige Gesundheitsinformationen
• Kategorie
• Priorität
• Zusammenfassung
• Bearbeitungsstatus
• Zeit- und Verbindungsdaten
• angerufene und anrufende Nummer
• Benutzer-, Rollen- und Kontodaten
• Sicherheits- und Fehlerprotokolle

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Pflicht zu einer abweichenden Verarbeitung besteht.

Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich.

Der Auftraggeber ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung,
• die Festlegung der Zwecke und Rechtsgrundlagen,
• Informationspflichten gegenüber Anrufenden,
• die Wahrung von Patientenrechten,
• korrekte Praxisinformationen,
• Benutzer- und Berechtigungsverwaltung,
• sowie die Rechtmäßigkeit seiner Weisungen.

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu personenbezogenen Daten erhalten können, zur Vertraulichkeit.

Die besondere Vertraulichkeit von Patientendaten und die ärztliche beziehungsweise zahnärztliche Schweigepflicht sind zu berücksichtigen.

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die Maßnahmen sind in der Anlage „Technische und organisatorische Maßnahmen" beschrieben.

Nur tatsächlich umgesetzte und überprüfte Maßnahmen sind Bestandteil der final unterschriebenen Anlage.

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der in der aktuellen Unterauftragnehmerliste aufgeführten Dienstleister.

Über neue oder ersetzte Unterauftragsverarbeiter wird der Auftraggeber vorab informiert und erhält eine angemessene Möglichkeit, aus wichtigem datenschutzrechtlichem Grund zu widersprechen.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu einem angemessenen Datenschutzniveau.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei Anfragen auf:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung
• Datenübertragbarkeit
• Widerspruch

Der Auftragnehmer beantwortet Patientinnen und Patienten grundsätzlich nicht eigenständig in der Sache, sondern leitet Anfragen an die verantwortliche Praxis weiter.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, soweit diese die im Auftrag verarbeiteten Daten betreffen. Die Information soll, soweit verfügbar, enthalten:

• Art des Vorfalls
• betroffene Daten
• betroffene Personengruppen
• mögliche Folgen
• bereits getroffene Maßnahmen
• vorgeschlagene weitere Maßnahmen

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden und Sicherheitsbewertungen, soweit die Verarbeitung mit DentalCall AI betroffen ist.

Nach Beendigung des Vertrags werden personenbezogene Daten nach Wahl des Auftraggebers gelöscht oder in einem vereinbarten Format zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Standardmäßig werden Patientendaten nach 90 Tagen gelöscht, sofern keine frühere Löschung erfolgt oder eine rechtmäßige abweichende Weisung dokumentiert wurde.

Sicherheitskopien werden im Rahmen der technisch vorgesehenen Backup-Zyklen überschrieben und nur für Wiederherstellungszwecke verwendet.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage geeignete Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung.

Prüfungen sollen mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit und Vertraulichkeit anderer Kunden erfolgen.

Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur bei Vorliegen einer zulässigen Übermittlungsgrundlage und geeigneter Schutzmaßnahmen.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag haben für datenschutzrechtliche Fragen die Bestimmungen dieses AVV Vorrang.