Auftragsverarbeitungsvertrag (AVV)

§ 1 – Vertragsparteien

Auftragsverarbeiter (Dienstleister):
ZAHNTEC UG (haftungsbeschränkt)
Heinrich-Heine-Platz 12B, 10179 Berlin, Deutschland
Vertreten durch den Geschäftsführer: Levent Sanli
Amtsgericht Charlottenburg, HRB 278957 B  |  USt-IdNr. DE457315651
E-Mail: info@zahnteclab.de
(nachfolgend „Zahntec")

Verantwortlicher (Auftraggeber):
Die registrierte Zahnarztpraxis, die das Zahntec-Laborverwaltungssystem nutzt
(nachfolgend „Praxis")

§ 2 – Gegenstand, Art, Umfang und Zweck der Verarbeitung

Zahntec verarbeitet im Auftrag der Praxis personenbezogene Daten gemäß Art. 28 Abs. 3 DSGVO. Gegenstand, Art, Umfang und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus der Nutzung des Laborverwaltungssystems unter app.zahnteclab.de und sind in § 3 und § 4 dieses Vertrages konkretisiert.

Die Verarbeitung beginnt mit Akzeptanz dieses Vertrages und endet mit Beendigung des Nutzungsverhältnisses. Nach Vertragsende werden alle personenbezogenen Daten der Praxis innerhalb von 30 Tagen gelöscht oder an die Praxis zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 3 – Art der verarbeiteten Daten und betroffene Personen

Kategorien personenbezogener Daten (Art. 9 DSGVO – Gesundheitsdaten):

• Patientenname, Alter, Geschlecht
• Zahnmedizinische Behandlungsinformationen (Restaurationstyp, Zahnpositionen, Konstruktionshinweise)
• Auftragsnummern der Praxis mit Patientenbezug
• Scan-Dateien und technische Unterlagen zum Auftrag (nur auftragsrelevante Mindestdaten – Dataminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO)

Betroffene Personen: Patienten der Praxis

§ 4 – Zweck der Verarbeitung

Die Daten werden ausschließlich auf dokumentierte Weisung der Praxis (inkl. Umfang, Art und Zweck gemäß Art. 28 Abs. 3 lit. a DSGVO) und für folgende Zwecke verarbeitet:

• Verwaltung und Nachverfolgung von Laboraufträgen zwischen der Praxis und dem Dentallabor
• Kommunikation zwischen Praxis, Labor und Zahntec im Auftragskontext
• Erstellung von Lieferscheinen, Rechnungen und technischen Dokumenten
• Archivierung gemäß den gesetzlichen Aufbewahrungsfristen

Zahntec bewahrt die Erklärung nach Anhang XIII Abschnitt 1 der Verordnung (EU) 2017/745 (MDR) und die zugehörigen Auftragsunterlagen für einen Zeitraum von mindestens 15 Jahren ab Auslieferung des jeweiligen Produkts auf. Rechtsgrundlage ist Anhang XIII Abschnitt 4 MDR (mindestens zehn Jahre, bei implantierbaren Produkten mindestens 15 Jahre), ergänzt um Art. 25 Abs. 2 MDR zur Rückverfolgbarkeit. Zahntec wendet die längere Frist einheitlich auf alle Aufträge an; eine produktbezogene Unterscheidung findet nicht statt. Die Frist läuft für jeden Auftrag gesondert.

Die Aufbewahrung erfolgt insoweit in pseudonymisierter Form; Zahntec handelt hierbei zur Erfüllung einer eigenen rechtlichen Verpflichtung und ist für diese Verarbeitung Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Eine Löschung nach Vertragsende gemäß Art. 28 Abs. 3 lit. g DSGVO erfolgt nur, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; an die Stelle der Löschung tritt in diesem Fall die Einschränkung der Verarbeitung.

Hinweis: § 630f Abs. 3 BGB verpflichtet den Behandelnden, also die Praxis, und begründet keine eigene Aufbewahrungspflicht von Zahntec. Die Aufbewahrungspflicht der Praxis bleibt hiervon unberührt.

Zur Absicherung dieser Aufbewahrungspflicht werden die auftragsbezogenen Dateien — Intraoralscans, Konstruktionsdaten und Dokumente — in zwei voneinander unabhängigen Speicherorten geführt: im Arbeitsspeicherort bei der Google Ireland Limited und zusätzlich als tägliche Zweitkopie auf einer Storage Box der Hetzner Online GmbH in Deutschland. Die Zweitkopie wird ausschließlich ergänzt; ein Löschvorgang im Arbeitsspeicherort wird nicht auf die Zweitkopie übertragen. Damit hängt die Erfüllung der Aufbewahrungsfrist nicht von einem einzelnen Anbieter oder einem einzelnen Löschvorgang ab.

§ 5 – Pflichten von Zahntec als Auftragsverarbeiter

Zahntec verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung der Praxis zu verarbeiten
• Zur Vertraulichkeit der Daten — alle Personen mit Datenzugang sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet
• Geeignete technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO zu implementieren und aufrechtzuerhalten
• Die Praxis unverzüglich zu informieren, wenn nach Einschätzung von Zahntec eine Weisung gegen datenschutzrechtliche Vorschriften verstößt
• Die Praxis bei der Erfüllung der in Art. 32–36 DSGVO genannten Pflichten zu unterstützen
• Nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu vernichten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht

§ 6 – Datenschutzverletzungen (Art. 28 Abs. 3 lit. f DSGVO)

Im Falle einer Verletzung des Schutzes personenbezogener Daten gilt:

• Zahntec benachrichtigt die Praxis unverzüglich, spätestens binnen 24 Stunden nach Bekanntwerden einer Datenpanne per E-Mail an die hinterlegte Praxis-E-Mail-Adresse
• Die Benachrichtigung enthält: Art der Verletzung, betroffene Datenkategorien und -mengen, voraussichtliche Folgen sowie ergriffene und vorgeschlagene Abhilfemaßnahmen
• Die Praxis ist als Verantwortliche verpflichtet, die Aufsichtsbehörde gemäß Art. 33 DSGVO innerhalb von 72 Stunden zu benachrichtigen, sofern ein Risiko für Rechte und Freiheiten natürlicher Personen besteht
• Zahntec unterstützt die Praxis bei der Erstellung der erforderlichen Meldungen und stellt alle verfügbaren Informationen bereit

§ 7 – Technische und organisatorische Maßnahmen (TOM)

§ 8 – Unterauftragsverarbeiter, Drittlandtransfers und Widerspruchsrecht

Zahntec setzt folgende Unterauftragsverarbeiter ein. Die Praxis stimmt deren Einsatz mit Akzeptanz dieses Vertrages zu.

Widerspruchsrecht: Zahntec informiert die Praxis über geplante Änderungen bei Unterauftragsverarbeitern (Hinzufügung oder Austausch) mit einer Vorlaufzeit von mindestens 30 Tagen per E-Mail. Die Praxis hat das Recht, innerhalb dieser Frist schriftlich Widerspruch einzulegen. Kommt keine Einigung zustande, haben beide Parteien das Recht, den Vertrag außerordentlich zu kündigen.

§ 9 – Kontroll- und Auditrechte (Art. 28 Abs. 3 lit. h DSGVO)

Die Praxis hat das Recht, die Einhaltung dieses Vertrages durch Zahntec zu überprüfen:

• Informationsrecht: Zahntec stellt auf Anfrage alle erforderlichen Informationen zum Nachweis der Erfüllung der Pflichten aus Art. 28 DSGVO bereit
• Remote-Audit (bevorzugt): Überprüfungen werden vorrangig als Remote-Audit (Dokumentenprüfung, Fragebögen, Videokonferenz) durchgeführt
• Vor-Ort-Audit: Auf ausdrücklichen Wunsch der Praxis möglich; schriftliche Ankündigung mit mindestens 4 Wochen Vorlauf erforderlich; Durchführung während der üblichen Geschäftszeiten; Umfang beschränkt auf datenschutzrelevante Systeme und Prozesse
• Kostentragung: Kosten eines Vor-Ort-Audits trägt die Praxis, sofern kein konkreter Verstoß festgestellt wird; bei nachgewiesenem Verstoß trägt Zahntec die Kosten
• Gleichwertige Nachweise: Zahntec kann aktuelle Sicherheitsberichte oder Prüfnachweise vorlegen, um Vor-Ort-Prüfungen zu ersetzen, soweit die Praxis dem zustimmt

§ 10 – Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Das System verarbeitet besondere Kategorien personenbezogener Daten (Gesundheitsdaten gem. Art. 9 DSGVO). Ob daraus eine Pflicht zur Datenschutz-Folgenabschätzung folgt, richtet sich nach Art. 35 DSGVO und ist von jeder Partei für ihren eigenen Verantwortungsbereich zu beurteilen; die Regelbeispiele des Art. 35 Abs. 3 DSGVO knüpfen an eine Verarbeitung in großem Umfang an.

• Die Praxis ist als Verantwortliche verpflichtet, für ihre eigene Verarbeitung zu prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, und diese gegebenenfalls vor Inbetriebnahme oder bei wesentlichen Änderungen durchzuführen. Für eine Praxis kann diese Beurteilung anders ausfallen als für Zahntec, da sie den vollständigen Patientenbestand verarbeitet.
• Zahntec unterstützt die Praxis bei dieser Prüfung und bei einer etwaigen Durchführung durch Bereitstellung aller relevanten Informationen: Dokumentation der technischen und organisatorischen Maßnahmen, Beschreibung der Datenflüsse, Liste der Unterauftragsverarbeiter, Löschkonzept sowie die Nachweise zum Drittlandtransfer.
• Zahntec hat für den eigenen Verantwortungsbereich eine dokumentierte Schwellwertanalyse nach Art. 35 DSGVO durchgeführt (Dokument ZT-SWA-001) und stellt diese der Praxis auf Anfrage zur Verfügung. Die Analyse wird jährlich sowie bei wesentlicher Änderung des Verarbeitungsumfangs wiederholt.

§ 11 – Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO. Jede Partei haftet für Schäden, die durch Verstöße gegen diesen Vertrag entstehen, nach Maßgabe des Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei entsprechend ihrem Verschuldensanteil.

§ 12 – Schlussbestimmungen

Dieser Vertrag unterliegt deutschem Recht. Gerichtsstand ist Berlin. Mündliche Nebenabreden bestehen nicht. Änderungen dieses Vertrages bedürfen der Textform. Zahntec wird bei wesentlichen Änderungen eine neue Version bereitstellen und die Praxis zur erneuten Zustimmung auffordern. Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.