Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Zwischen dem Verantwortlichen (dem registrierten Kunden der Alltagora-Plattform, nachfolgend „Verantwortlicher") und der

(nachfolgend „Auftragsverarbeiter" oder „Alltagora") wird folgender Auftragsverarbeitungsvertrag geschlossen.

Dieser AVV ergänzt und ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrages (AGB) über die Nutzung der Alltagora-Plattform. Bei Widersprüchen zwischen diesem AVV und den AGB hat dieser AVV in datenschutzrechtlichen Fragen Vorrang.

Hinweis: Eine unterzeichnete PDF-Version dieses AVV ist auf Anfrage erhältlich unter legal@alltagora.de. Die digitale Annahme ist auch direkt im Dashboard möglich: Administratoren sehen dort einen Hinweis, sobald kein oder ein veralteter AVV hinterlegt ist, und können die aktuelle Fassung mit einer Eingabebestätigung annehmen. Zeitpunkt, Fassung, IP-Adresse und Browserkennung werden dabei als Nachweis gespeichert.

§ 1 Gegenstand, Dauer und Art der Verarbeitung

1.1 Gegenstand

Der Auftragsverarbeiter verarbeitet im Auftrag und nach Weisung des Verantwortlichen personenbezogene Daten zum Zweck der Bereitstellung und des Betriebs der cloudbasierten SaaS-Plattform „Alltagora" für ambulante Betreuungsdienste und Pflegeeinrichtungen. Dies umfasst insbesondere:

• Speicherung, Abruf und Anzeige von Klienten- und Mitarbeiterdaten
• Verarbeitung von Leistungsnachweisen, Einsatzplanungen und Abrechnungsdaten
• Verwaltung von Dokumenten und Kommunikationsdaten innerhalb der Plattform
• Bereitstellung des Angehörigen-Portals. Angehörige melden sich über einen vom Verantwortlichen erzeugten Zugangslink oder über einen per E-Mail zugesandten Anmeldecode an.
• Technischer Betrieb einschließlich Backup, Monitoring und Sicherheitsfunktionen

1.2 Dauer

Dieser AVV gilt für die gesamte Laufzeit des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, unbeschadet etwaiger nachwirkender Pflichten (insbesondere Löschpflichten).

1.3 Art der Verarbeitung

Die Verarbeitung erfolgt durch Erhebung, Speicherung, Strukturierung, Abruf, Verwendung, Offenlegung, Einschränkung, Löschung und Vernichtung von personenbezogenen Daten grundsätzlich auf technischen Systemen des Auftragsverarbeiters in deutschen Rechenzentren. Einzelne, in § 5 benannte Unterauftragsverarbeiter (insbesondere KI- und Zahlungsdienste) verarbeiten Daten in den USA, abgesichert durch geeignete Garantien nach Art. 44 ff. DSGVO.

Die Spracherkennung für Diktate aus der mobilen App (Umwandlung von Tonaufnahmen in Text) erfolgt mit einem vom Auftragsverarbeiter selbst betriebenen Modell (Whisper) auf dessen Servern in Deutschland. Hierfür ist kein Unterauftragsverarbeiter beteiligt, es findet keine Übermittlung an Dritte statt. Tonaufnahmen werden 30 Tage nach der Aufnahme automatisch gelöscht, der erkannte Text bleibt Teil der Dokumentation des Verantwortlichen.

§ 2 Kategorien betroffener Personen und Datenkategorien

2.1 Kategorien betroffener Personen

• Klienten der ambulanten Betreuungs- und Pflegedienste des Verantwortlichen
• Mitarbeiter und Einsatzkräfte des Verantwortlichen
• Angehörige von Klienten (im Rahmen des Angehörigen-Portals)
• Administratoren und Nutzer des Verantwortlichen (Zugangsdaten, Aktivitätsprotokolle)

2.2 Datenkategorien

Klientendaten:

• Stammdaten: Vor- und Nachname, Geburtsdatum, Adresse, Kontaktdaten
• Pflege- und Betreuungsdaten: Pflegegrad, Betreuungsplan, Leistungsnachweise, Dokumentationsnotizen
• Versicherungsdaten: Pflegekasse, Versicherungsnummer, Kostenträgerdaten
• Abrechnungsdaten: Gebuchte Leistungen, Budgetverbrauch (§§ 45a/45b SGB XI)

Mitarbeiterdaten:

• Stammdaten: Vor- und Nachname, Adresse, Kontaktdaten (Telefon, E-Mail)
• Qualifikationsdaten: Ausbildungsabschlüsse, Pflege- und Betreuungsqualifikationen, Zertifikate
• Einsatzdaten: Schichtpläne, Tourendaten, Arbeitszeitnachweise

Sicherheitswort: Für Klienten, für Angehörige mit hinterlegter E-Mail-Adresse und für Benutzer des Verantwortlichen erzeugt die Plattform ein Sicherheitswort (zwei Wörter und zwei Ziffern), das in jeder E-Mail an die betreffende Person und auf jedem Beleg erscheint und der Erkennung gefälschter Nachrichten dient. Es wird verschlüsselt gespeichert (AES-256-GCM) und ist kein Zugangsmerkmal.

Sonderkategorie: Die Pflege- und Betreuungsdaten von Klienten können Gesundheitsdaten i. S. d. Art. 9 DSGVO darstellen. Der Verantwortliche trägt die Verantwortung für das Vorliegen einer geeigneten Rechtsgrundlage (etwa § 22 Abs. 1 Nr. 1 lit. b BDSG i. V. m. Art. 9 Abs. 2 lit. h DSGVO). Welche Rechtsgrundlage für seine Verarbeitung gilt, bestimmt der Verantwortliche selbst.

§ 3 Pflichten des Auftragsverarbeiters

3.1 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland — es sei denn, er ist durch das Unionsrecht oder das Recht der Mitgliedstaaten, dem er unterliegt, zu einer Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen werden durch die Konfiguration der Plattform, die Nutzung der bereitgestellten Funktionen sowie auf Anfrage per E-Mail an legal@alltagora.de erteilt.

Der Zugriff von Personal des Auftragsverarbeiters auf das Konto des Verantwortlichen („In Mandat anmelden") gilt als Verarbeitung auf dokumentierte Weisung, wenn er (a) auf eine Support-Anfrage des Verantwortlichen zurückgeht oder (b) der Verantwortliche den Zugriff in den Einstellungen der Plattform freigegeben hat und der Zugriff der Behebung einer Störung dient. Der Auftragsverarbeiter protokolliert jeden Zugriff mit Zeitpunkt, handelnder Person, Grund und vorgenommenen Änderungen und stellt dem Verantwortlichen auf Anfrage einen Auszug des Protokolls in Textform zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h, Art. 32 DSGVO). Support-Personal erhält nur lesenden Zugriff. Administratoren des Auftragsverarbeiters können zur Behebung einer Störung auch Änderungen vornehmen. Jede Sitzung endet spätestens nach 30 Minuten. Der Verantwortliche kann die Freigabe jederzeit in den Einstellungen widerrufen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Bindet der Verantwortliche selbst einen Buchhaltungsdienst an (Lexware Office über einen eigenen, vom Verantwortlichen in den Einstellungen hinterlegten API-Schlüssel), übermittelt der Auftragsverarbeiter auf Auslösung durch berechtigte Nutzer des Verantwortlichen Stammdaten von Klienten (Name, Anschrift, E-Mail-Adresse, Telefonnummern), Stammdaten von Pflegekassen sowie Rechnungsdaten mit Leistungspositionen an diesen Dienst. Die Übermittlung erfolgt ausschließlich auf Weisung des Verantwortlichen im Sinne dieser Ziffer. Den Anbieter des Buchhaltungsdienstes wählt der Verantwortliche selbst. Die Vertragsbeziehung, einschließlich einer gegebenenfalls erforderlichen Vereinbarung nach Art. 28 DSGVO, besteht zwischen dem Verantwortlichen und diesem Anbieter. Der Anbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Der DATEV-Export erzeugt eine Datei, die der Verantwortliche selbst herunterlädt. Eine Übermittlung an DATEV durch den Auftragsverarbeiter findet dabei nicht statt.

3.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.

3.2a Berufsgeheimnisse (§ 203 StGB)

Unterliegt der Verantwortliche oder unterliegen seine Beschäftigten einer Schweigepflicht nach § 203 StGB, wirkt der Auftragsverarbeiter als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB. Er verpflichtet sich zur Verschwiegenheit über fremde Geheimnisse, die ihm dabei bekannt werden, und verschafft sich Kenntnis von ihnen nur, soweit dies für die vereinbarte Leistung erforderlich ist. Zieht er weitere Personen oder Unterauftragsverarbeiter heran, die Kenntnis von solchen Geheimnissen erlangen können, wirkt er darauf hin, dass sie zur Geheimhaltung verpflichtet werden (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). Die Verpflichtungserklärung des Auftragsverarbeiters steht in Anlage 2.

3.3 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe § 4 dieses AVV).

3.4 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung, Vorabkonsultation).

3.5 Keine eigene Verwendung

Der Auftragsverarbeiter darf die ihm anvertrauten Daten nicht für eigene Zwecke oder für Zwecke Dritter verwenden, insbesondere nicht für Werbung, Profiling oder Produktverbesserungen auf Basis von Klientendaten, es sei denn, der Verantwortliche hat ausdrücklich eingewilligt.

§ 4 Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

4.1 Verschlüsselung und Datenübertragung

• Transport-Verschlüsselung: Alle Datenübertragungen erfolgen ausschließlich über TLS 1.2 oder TLS 1.3. Ältere Protokolle (TLS 1.0/1.1, SSLv3) sind deaktiviert.
• Verschlüsselte Speicherung: Personenbezogene Felder und Sicherungen werden verschlüsselt gespeichert. Personenbezogene Felder (unter anderem Namen, Geburtsdatum und Versicherungsnummer von Klienten sowie Namen von Mitarbeitern) sind in der Datenbank einzeln mit AES-256-GCM verschlüsselt. Backup-Dateien sind vollständig verschlüsselt, auch vor der Übertragung an den Speicherort außer Haus. Der Datenträger des Servers ist nicht zusätzlich verschlüsselt.
• Schlüsselverwaltung: Kryptografische Schlüssel werden sicher verwahrt und regelmäßig rotiert.
• DTA-Versand an Pflegekassen: Auf Weisung des Verantwortlichen sendet der Auftragsverarbeiter die Abrechnungsdatei nach § 105 SGB XI per E-Mail über den Versanddienstleister an die Datenannahmestelle der Pflegekasse. Die Nutzdaten sind mit dem Zertifikat des Verantwortlichen signiert und mit dem Zertifikat der Annahmestelle verschlüsselt (Anlage 16 der Gemeinsamen Grundsätze Technik). Zertifikat und privater Schlüssel des Verantwortlichen liegen verschlüsselt in der Datenbank. Jeder Versand wird protokolliert, das Protokoll wird mindestens 2 Jahre aufbewahrt.
• Belegversand: Rechnungen, Mahnungen und Kostenvoranschläge an Klienten werden nicht als E-Mail-Anhang versendet. Die E-Mail enthält einen persönlichen Abruflink (Zufallsschlüssel mit 32 Byte, in der Datenbank nur als SHA-256-Prüfwert), der 30 Tage ab Versand gilt. Klienten mit hinterlegtem Geburtsdatum müssen es vor dem Abruf eingeben, nach fünf Fehlversuchen ist der Link für 30 Minuten gesperrt. Jeder Abruf wird mit Zeitpunkt protokolliert, die IP-Adresse des Abrufs nur als Prüfwert (SHA-256 mit geheimem Zusatzwert), zusätzlich erhält das Audit-Log des Verantwortlichen einen Eintrag. Der Link-Datensatz wird 12 Monate nach Erstellung gelöscht. Abweichungen gibt es nur auf ausdrückliche Wahl des Verantwortlichen im Einzelfall, die mit Benutzer und Zeitpunkt im Audit-Log steht: (a) Versand an Klienten als PDF-Anhang, geschützt mit einem Passwort (AES-256), das aus Stammdaten der Klientin oder des Klienten gebildet wird und für Personen mit Kenntnis dieser Daten erratbar ist. (b) Versand an eine Pflegekasse per E-Mail: Rechnung und Leistungsnachweise gehen ohne Passwortschutz als Anhang. Der Standardweg für Kassenbelege ist der Download in der Plattform und die Einreichung per Post oder über das Portal der Kasse. Beim E-Mail-Versand ist die Verbindung zum Mailserver des Versanddienstleisters verschlüsselt (TLS), die Weiterleitung zum Mailserver der Kasse nur, soweit dieser TLS anbietet. Eine Ende-zu-Ende-Verschlüsselung besteht nicht. Mit der Wahl trifft der Verantwortliche für diesen Versand die Abwägung nach Art. 32 DSGVO selbst. Die XRechnung-XML zu Kassenrechnungen ist ausschließlich über den Abruf erhältlich, nie als Anhang.
• Absenderauthentizität: Der Versandweg ist durch SPF, DKIM (Signatur durch den Mailserver des Versanddienstleisters mit der Domain alltagora.de; ein eigener Schlüssel ist im DNS hinterlegt und greift bei einem Wechsel des Versandwegs) und DMARC mit der Stufe quarantine abgesichert. Für die verschlüsselte Übertragung von E-Mails an die Domain alltagora.de ist MTA-STS im verbindlichen Modus (enforce) hinterlegt: Mailserver, die das Verfahren unterstützen, stellen solche E-Mails nur über eine verschlüsselte Verbindung an einen Server mit gültigem Zertifikat zu. Jede E-Mail an Klienten, Angehörige und Benutzer enthält deren Sicherheitswort, jede ausgehende E-Mail einen Prüfcode, der unter alltagora.de/pruefen ohne Anmeldung auf Echtheit geprüft werden kann. Verdächtige Nachrichten können an phishing@alltagora.de gemeldet werden.

4.2 Zugriffskontrolle (RBAC)

• Rollenbasiertes Zugriffssteuerungssystem (RBAC) mit 7 Rollen: Administrator, Büro, Pflegekraft (im Betreuungsdienst Betreuungskraft), examinierte Pflegekraft (im Betreuungsdienst Fachkraft), Klient, Angehöriger, Steuerberater
• Jede Rolle hat fest definierte Berechtigungen nach dem Prinzip der minimalen Rechtevergabe (Least Privilege)
• Administrativer Zugriff auf Produktionsdaten ist auf autorisiertes Personal beschränkt und wird protokolliert

4.3 Authentifizierung und Identitätsschutz

• Zwei-Faktor-Authentifizierung (2FA): TOTP nach RFC 6238 für alle Benutzer verfügbar und für Administratoren dringend empfohlen
• Passwortrichtlinien: Mindestlänge, Komplexitätsanforderungen, Hashing mit bcrypt
• Session-Management: Das Anmelde-Token (JWT) liegt im Dashboard und in der mobilen App im Browserspeicher (localStorage) des Endgeräts. Der Server setzt es zusätzlich als HttpOnly-Cookie (nur über HTTPS, SameSite=Strict). Das Verwaltungs-Panel des Anbieters nutzt ausschließlich ein HttpOnly-Cookie. Das Zugriffstoken gilt höchstens 24 Stunden, das Verlängerungstoken höchstens 30 Tage ab der letzten Erneuerung. Bei einer Passwortänderung beendet der Server alle Sitzungen des Nutzers. Eine Content-Security-Policy mit einem neuen Nonce je Seitenaufruf erschwert das Einschleusen fremder Skripte.
• IP-Sperren: Automatische temporäre Sperrung nach fehlgeschlagenen Login-Versuchen (Brute-Force-Schutz)

4.4 Protokollierung und Überwachung

• Audit-Logs: Vollständige Protokollierung aller sicherheitsrelevanten und datenschutzrelevanten Aktionen (Zugriffe, Änderungen, Löschungen, Login/Logout, Rollenänderungen)
• Audit-Logs werden nur anfügend geschrieben. Die Anwendung ändert oder löscht einzelne Einträge nicht, sie löscht sie ausschließlich automatisch nach Fristablauf: allgemeine Einträge nach 3 Jahren, Protokolle reiner Lesezugriffe auf Gesundheitsdaten nach 12 Monaten. Einträge zu Abrechnungs- und Gesundheitsdaten sind von der automatischen Löschung ausgenommen. Nach Vertragsende gelten die Löschregeln aus § 8 dieses Vertrags.
• Automatisches Monitoring auf ungewöhnliche Aktivitäten

4.5 Verfügbarkeit und Wiederherstellung

• Tägliche automatische Backups aller Mandantendaten mit Integritätsprüfung (Checksummen)
• Backups werden verschlüsselt in deutschen Rechenzentren gespeichert
• Regelmäßige Tests zur Wiederherstellbarkeit der Backups
• Monitoring-System überwacht Systemverfügbarkeit und alarmiert bei Störungen

4.6 Rechenzentrum und Infrastruktur

• Die Server, die der Auftragsverarbeiter selbst betreibt, stehen ausschließlich in Deutschland (24fire GmbH, Schwetzingen). Unterauftragsverarbeiter mit Sitz oder Verarbeitung außerhalb der EU stehen mit Rechtsgrundlage in der Liste der Unterauftragsverarbeiter.
• Physische Zutrittskontrolle der Rechenzentren durch den Hosting-Anbieter
• Regelmäßige Sicherheitsüberprüfungen und Patch-Management

4.7 Organisatorische Maßnahmen

• Der Auftragsverarbeiter ist ein Einzelunternehmen. Der Inhaber und etwaige Hilfspersonen werden zum Datenschutz unterwiesen und auf die Vertraulichkeit verpflichtet.
• Dokumentierte Prozesse für den Umgang mit Datenpannen
• Dokumentierte Prozesse für die Beantwortung von Betroffenenrechte-Anfragen

§ 5 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen gegenüber der Auftragsverarbeiter gleichwertige Datenschutzverpflichtungen sichergestellt hat:

• 24fire GmbH, Kronenstraße 4, 68723 Schwetzingen, Deutschland
  Zweck: Server-Hosting und Rechenzentrum
  Rechtsgrundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, Datenverarbeitung ausschließlich in Deutschland
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Zweck: Verschlüsselte Offsite-Datensicherung (Storage Box, Standort Deutschland)
  Rechtsgrundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, Datenverarbeitung ausschließlich in Deutschland. Die Sicherungen sind vor der Übertragung Ende-zu-Ende verschlüsselt; der Anbieter hat keinen Zugriff auf die Klartextdaten.
• Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland, mit der Stripe, LLC, 354 Oyster Point Blvd, South San Francisco, CA 94080, USA, als deren Unterauftragnehmer
  Zweck: Zahlungsabwicklung (ausschließlich für Abrechnungsdaten des Verantwortlichen, keine Klienten- oder Mitarbeiterdaten)
  Rechtsgrundlage: Vertrag mit der Gesellschaft in Irland (EU). Für die Weitergabe an die Stripe, LLC in den USA: EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023), unter dem die Stripe, LLC zertifiziert ist. Nach dem Zusatz für Datenübertragungen (Data Transfers Addendum) von Stripe stützt sich jede Übermittlung auf genau einen Mechanismus, vorrangig auf das Data Privacy Framework. Entfällt die Zertifizierung, gelten stattdessen die EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO i. V. m. Durchführungsbeschluss (EU) 2021/914
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, als Vertragspartner, gemeinsam mit dem verbundenen Unternehmen Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA
  Zweck: KI-gestützte Struktur-Extraktion aus Pflege- und Betreuungsdokumentation sowie Sprachdiktaten. Diese Funktion ist derzeit abgeschaltet: Aus der Pflege- und Betreuungsdokumentation übermittelt der Auftragsverarbeiter keine Daten an Anthropic, also weder Gesundheitsdaten nach Art. 9 DSGVO noch Namen von Klienten. Vor dem Einschalten informiert er den Verantwortlichen und passt diesen Vertrag an.
  Rechtsgrundlage: EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO, Module Zwei und Drei, vereinbart im Data Processing Addendum von Anthropic, das Bestandteil der Commercial Terms ist
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
  Zweck: AI-Gateway (Routing, Zwischenspeicherung und Abrechnung der KI-Anfragen an Anthropic) sowie Bot-Schutz (Turnstile)
  Rechtsgrundlage: EU-US Data Privacy Framework (DPF), Cloudflare ist DPF-zertifiziert
• ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland
  Zweck: Primärer transaktionaler E-Mail-Versand (SMTP)
  Rechtsgrundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, Datenverarbeitung ausschließlich in Deutschland
• Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging), Gordon House, Barrow Street, Dublin 4, Irland / 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
  Zweck: Versand von Push-Benachrichtigungen an die mobile App (Geräte-Token, App-Metadaten)
  Rechtsgrundlage: EU-US Data Privacy Framework (DPF), unter dem die Google LLC zertifiziert ist. Nach Ziffer 10.2 der Firebase Data Processing and Security Terms gelten die EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO nur, wenn das Data Privacy Framework nicht zur Verfügung steht

Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen, informiert er den Verantwortlichen mindestens 4 Wochen im Voraus per E-Mail. Der Verantwortliche kann berechtigte Einwände gegen die Änderung vorbringen. Werden keine Einwände innerhalb von 2 Wochen erhoben, gilt die Änderung als genehmigt.

§ 6 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anfragen betroffener Personen gemäß Kapitel III DSGVO:

• Auskunft (Art. 15 DSGVO): Datenexport-Funktion im Dashboard unter Einstellungen → Datenschutz → Daten exportieren
• Berichtigung (Art. 16 DSGVO): Direkte Bearbeitung über die Benutzeroberfläche der Plattform
• Löschung (Art. 17 DSGVO): Löschfunktion im Dashboard; vollständige Löschung nach 30-tägiger Aufbewahrungsfrist
• Einschränkung (Art. 18 DSGVO): Auf schriftliche Anfrage an legal@alltagora.de
• Datenübertragbarkeit (Art. 20 DSGVO): Export im maschinenlesbaren JSON/CSV-Format über das Dashboard

Für Anfragen, die nicht über die Plattformoberfläche bearbeitet werden können, wendet sich der Verantwortliche an legal@alltagora.de. Der Auftragsverarbeiter bearbeitet solche Anfragen innerhalb von 5 Werktagen.

§ 7 Meldung und Benachrichtigung bei Datenpannen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden der Verletzung. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen hinterlegte Kontaktadresse.

Die Meldung enthält mindestens:

• Eine Beschreibung der Art der Verletzung (soweit möglich: Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze)
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen

Der Verantwortliche ist seinerseits verpflichtet, die Verletzung gemäß Art. 33 DSGVO der zuständigen Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden zu melden, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Besteht ein hohes Risiko, ist gemäß Art. 34 DSGVO auch eine unverzügliche Benachrichtigung der betroffenen Personen erforderlich.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung dieser Meldepflichten.

§ 8 Datenrückgabe und Löschung nach Vertragsende

8.1 Export-Fenster nach Kündigung

Nach Beendigung des Hauptvertrages (Kündigung oder Ablauf) bewahrt der Auftragsverarbeiter die Daten des Verantwortlichen für 30 Tage auf. Ein Zugang zur Plattform besteht nach Vertragsende nicht mehr. Innerhalb dieser Frist kann der Verantwortliche einen vollständigen Export seiner Daten in maschinenlesbarem Format (JSON/CSV) samt hochgeladener Originaldokumente per E-Mail an kontakt@alltagora.de anfordern; der Auftragsverarbeiter stellt ihn innerhalb von 72 Stunden bereit. Während der Vertragslaufzeit steht der Export jederzeit im Dashboard unter Einstellungen → Datenschutz → Daten exportieren zur Verfügung.

8.2 Löschung nach Ablauf des Export-Fensters

Nach Ablauf der 30-tägigen Export-Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen und seiner Klienten/Mitarbeiter unwiderruflich und vollständig, sofern keine gesetzliche Aufbewahrungspflicht (insbesondere steuerrechtliche Pflichten nach § 147 AO, § 14b UStG) besteht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden gesperrt und nach Ablauf der jeweiligen Frist gelöscht.

8.3 Löschnachweis

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage einen Nachweis über die erfolgte Löschung aus. Anfragen sind zu richten an: legal@alltagora.de

8.4 Backups

Backup-Kopien werden nach Ablauf des regulären Backup-Rotationszyklus (maximal 30 Tage) automatisch gelöscht. Eine gesonderte Löschung vor Ablauf des Rotationszyklus erfolgt auf ausdrücklichen schriftlichen Wunsch des Verantwortlichen.

§ 9 Kontrolle und Prüfungsrecht

9.1 Prüfungsrecht des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen. Die Überprüfung kann durch folgende Maßnahmen erfolgen:

• Anforderung von Dokumentationen, Nachweisen und Zertifizierungen
• Fragebögen und Selbstauskunft des Auftragsverarbeiters
• Vor-Ort-Inspektionen nach vorheriger schriftlicher Ankündigung mit einer Vorlaufzeit von mindestens 2 Wochen, während der regulären Geschäftszeiten und ohne Beeinträchtigung des laufenden Betriebs

9.2 Kosten

Kosten für Prüfungen trägt der Verantwortliche selbst. Der Auftragsverarbeiter kann für den mit einer Vor-Ort-Inspektion verbundenen Aufwand eine angemessene Aufwandsentschädigung in Rechnung stellen.

9.3 Nachweise

Der Auftragsverarbeiter stellt auf Anfrage Nachweise über die Einhaltung der Datenschutzvorschriften bereit, insbesondere Bescheinigungen, Berichte oder Auszüge über geeignete Garantien von Unterauftragsverarbeitern.

§ 10 Laufzeit und Kündigung

Dieser AVV tritt mit Abschluss des Hauptvertrages in Kraft und gilt für dessen gesamte Laufzeit. Er endet automatisch mit Beendigung des Hauptvertrages.

Beide Parteien können diesen AVV aus wichtigem Grund außerordentlich kündigen, wenn schwerwiegende Datenschutzverstöße der anderen Partei vorliegen, die trotz Abmahnung und angemessener Frist nicht behoben werden.

Nachwirkende Pflichten (insbesondere Löschpflichten gemäß § 8) gelten auch nach Beendigung dieses AVV fort.

§ 10a Haftung

10a.1 Gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach Art. 82 DSGVO. Diese Haftung im Außenverhältnis schränkt dieser Vertrag nicht ein.

10a.2 Im Verhältnis der Parteien zueinander richtet sich der Ausgleich nach Art. 82 Abs. 5 DSGVO, also nach dem Anteil jeder Partei an der Verantwortung für den Schaden. Der Auftragsverarbeiter trägt einen Anteil nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Verantwortlichen oder gegen diese Weisungen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).

10a.3 Beruht ein Schaden auf einer Verarbeitung, für die dem Verantwortlichen die Rechtsgrundlage fehlt, oder auf fehlerhaften Daten, die er oder seine Nutzer erfasst haben, stellt der Verantwortliche den Auftragsverarbeiter im Innenverhältnis von Ansprüchen Dritter frei, soweit der Verantwortliche dies zu vertreten hat, einschließlich der angemessenen Kosten der Rechtsverteidigung.

10a.4 Wird eine Partei wegen einer Verarbeitung nach diesem Vertrag in Anspruch genommen, unterrichtet sie die andere Partei unverzüglich. Sie erkennt den Anspruch nicht ohne Abstimmung mit der anderen Partei an, soweit ihr das zumutbar ist.

§ 11 Schlussbestimmungen

Für diesen AVV gilt ausschließlich das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Düsseldorf, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist (§ 38 Abs. 1 ZPO).

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Änderungen dieses AVV bedürfen der Schriftform (E-Mail ausreichend). Mündliche Nebenabreden bestehen nicht.

Anlage 1: Datenumzug (Import von Altdaten)

Gegenstand: Auf Weisung des Verantwortlichen übernimmt der Auftragsverarbeiter den Import von Altdaten aus dem bisher genutzten System des Verantwortlichen in dessen Konto auf der Plattform. Grundlage ist eine Exportdatei, die der Verantwortliche bereitstellt, in der Regel im CSV-Format. Sie kann Stammdaten von Klienten, Angehörigen und Beschäftigten sowie Gesundheits- und Pflegedaten nach Art. 9 DSGVO enthalten.

Weisung und Umfang: Der Verantwortliche erteilt die Weisung in Textform (E-Mail genügt) und benennt darin die zu übernehmenden Datenbereiche. Der Auftragsverarbeiter verarbeitet die Datei ausschließlich, um ihre Inhalte in das Konto des Verantwortlichen einzulesen und das Ergebnis mit ihm abzustimmen. Eine Verwendung zu anderen Zwecken, eine Zusammenführung mit Daten anderer Kunden und eine Weitergabe an Dritte finden nicht statt.

Technischer Ablauf: Beim Hochladen verarbeitet die Plattform die Datei im Arbeitsspeicher. Für die Vorschau vor dem endgültigen Import hält sie den Dateiinhalt höchstens 10 Minuten in einem Zwischenspeicher auf den Servern in Deutschland und verwirft ihn nach dem Import. Eine dauerhafte Ablage der Datei auf der Plattform findet nicht statt.

Löschung: Alle beim Auftragsverarbeiter vorhandenen Kopien der Importdatei löscht er unverzüglich nach Abschluss des Imports und bestätigt die Löschung auf Anfrage in Textform. Die eingelesenen Datensätze sind danach Teil des Kontos des Verantwortlichen und unterliegen § 8 dieses Vertrags.

Anlage 2: Verpflichtung zur Verschwiegenheit (§ 203 StGB)

Der Auftragsverarbeiter erklärt gegenüber dem Verantwortlichen:

1. Er wahrt Verschwiegenheit über alle fremden Geheimnisse, die ihm bei der Tätigkeit für den Verantwortlichen bekannt werden, insbesondere über den persönlichen Lebensbereich und die Gesundheit von Klienten. Die Pflicht gilt auch nach Vertragsende.
2. Er verschafft sich Kenntnis von solchen Geheimnissen nur, soweit dies für die vereinbarte Leistung erforderlich ist.
3. Ihm ist bekannt, dass er sich nach § 203 Abs. 4 Satz 1 StGB strafbar machen kann, wenn er ein solches Geheimnis unbefugt offenbart. Die Strafe ist Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.
4. Personen, die er bei der Leistung heranzieht und die Kenntnis von solchen Geheimnissen erlangen können, wirkt er darauf hin, dass sie zur Geheimhaltung verpflichtet werden (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).