Source: http://heilpraktikerin-mumm.de/kontakt-impressum.html
Timestamp: 2019-10-16 06:42:49+00:00

Document:
Naturheilpraxis Sylvia Mumm :: Datenschutz /<br />Impressum
Name, VornameVerwenden Sie alphanumerische Zeichen - Benötigt
Naturheilpraxis Sylvia Mumm
04883 - 9059480
naturheilpraxis-mumm@gmx.de
Stefanie Kolwe www.medienbuero-flensburg.de
Asvet Jasari, Telefon: 0431 / 90 88 403
wetwater/photocase.com/
Windkraftanlage © Andreas Infurna
Vereinbarung über die Auftragsverarbeitung
zwischen Naturheilpraxis, Frau Sylvia Mumm
Am Ehrenmal 19, 51588 Nümbrecht
über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO).
Diese Anlage konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich
aus dem SimpliMed-Online Vertrag in ihren Einzelheiten beschriebenen Auftragsverarbeitung
ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang
stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer
Beauftragte personenbezogene Daten (»Daten«) des Auftraggebers verarbeiten.
Aus dem Vertrag ergeben sich Gegenstand und Dauer des Auftrags sowie Art und Zweck der
Verarbeitung. Im Einzelnen sind insbesondere die folgenden Daten Bestandteil der
Alle im Rahmen einer Praxisverwaltungssoftware erheblichen Daten, die zur Erstellung von
Patientenabrechnungen erforderlich sind. Dazu zählen unter anderem der Patientenstamm,
Rechnungen, Buchungen, Termine, Laborberichte, Emails, Dokumente und Bilder.
Art und Zweck der Datenverarbeitung ist es, die auch als offline Version angebotene
SimpliMed23 Praxisverwaltung, als Remotedesktop Anwendung zur Verfügung zu stellen und die
hier verarbeiteten Daten regelmäßig zu sichern. Optional wird ein Online-Terminbuchungs
System angeboten, dass auf der Website des Auftraggebers projiziert werden kann und mit
dessen Hilfe Patienten einen Termin in der Praxis des Auftraggebers buchen können. Ebenfalls
Optional wird begrenzter Webspace zur Verfügung gestellt, in den der Auftraggeber seine Daten
mit Hilfe des WebDAV Protokolls ablegen kann.
Kategorien betroffener Personen: Endkunden (meistens Patienten), Auftraggeber
(Praxisbetreiber, meistens Heilpraktiker und Angehörige anderer Heil- bzw. Heilhilfsberufe) Die
Laufzeit dieser Anlage richtet sich nach der Laufzeit des Vertrages, sofern sich aus den
Bestimmungen dieser Anlage nicht darüberhinausgehende Verpflichtungen ergeben.
Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen
der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den
Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich
(»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DS-GVO).
(2) Die Weisungen werden anfänglich durch den Vertrag festgelegt und können vom
Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an
die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder
ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als
Antrag bzw. Anfrage auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich
schriftlich oder in Textform zu bestätigen.
der Weisungen des Auftraggebers verarbeiten außer es liegt ein Ausnahmefall im Sinne des
Artikel 28 Abs. 3 a) DS-GVO vor. Der Auftragnehmer informiert den Auftraggeber unverzüglich,
wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der
Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber
bestätigt oder abgeändert wurde.
(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche
Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht
wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der
Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-Grundverordnung
(Art. 32 DS-GVO) und des Bundesdatenschutzgesetzes (§64 BDSG) genügen. Der Auftragnehmer
hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität,
Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der
Verarbeitung auf Dauer sicherstellen. Dem Auftraggeber sind diese technischen und
organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die
Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten,
wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht
(3) Der Auftragnehmer unterstützt soweit vereinbart den Auftraggeber im Rahmen seiner
Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffenen Personen gem. Kapitel
III der DS-GVO sowie bei der Einhaltung der in Art. 33 bis 36 DS-GVO genannten Pflichten.
(4) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des
Auftraggebers befassten Mitarbeiter und andere für den Auftragnehmer tätigen Personen
Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits-/ Verschwiegenheitspflicht besteht
auch nach Beendigung des Auftrages fort.
Schutzes personenbezogener Daten des Auftraggebers bekannt werden. Der Auftragnehmer
trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher
nachteiliger Folgen der betroffenen Personen und spricht sich hierzu unverzüglich mit dem
Auftraggeber ab.
(6) Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des
Vertrages anfallende Datenschutzfragen.
(7) Der Auftragnehmer gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. d) DS-GVO
nachzukommen, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen
und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung
(8) Der Auftragnehmer berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der
datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung
bereits vereinbart. (Anmerkung: Im Vertrag können die Parteien hierzu eine Vergütungsregelung
treffen.) In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung
bzw. Übergabe, Vergütung und Schutzmaßnahmen hierzu sind gesondert zu vereinbaren, sofern
nicht im Vertrag bereits vereinbart. (Anmerkung: Im Vertrag können die Parteien hierzu eine
Vergütungsregelung treffen.)
(9) Daten, Datenträger sowie sämtliche sonstige Materialien sind nach Auftragsende auf
(10) Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person
hinsichtlich etwaiger Ansprüche nach Art. 82 DS-GVO, verpflichtet sich der Auftragnehmer den
Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.
(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig schriftlich zu
informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl.
datenschutzrechtlicher Bestimmungen feststellt.
etwaiger Ansprüche nach Art. 82 DS-GVO, gilt §3 Abs. 10 entsprechend.
(3) Der Auftraggeber nennt dem Auftragnehmer den Ansprechpartner für im Rahmen des
(1) Wendet sich eine betroffene Person mit Forderungen zur Berichtigung, Löschung oder
Rahmen seiner Möglichkeiten auf Weisung soweit vereinbart. Der Auftragnehmer haftet nicht,
wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht
(1) Der Auftragnehmer weist dem Auftraggeber bei berechtigtem Interesse die Einhaltung der in
diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach.
Auftraggeber und Auftragnehmer verständigen sich darauf, dass geeignete Nachweise auch
durch folgende Unterlagen erbracht werden können:
- Eigene, protokollierte Kontrollen oder
- Auditberichte eines unabhängigen Sachverständigen
(2) Sollten im Einzelfall Inspektionen durch den Auftraggeber oder einen von diesem
beauftragten Prüfer erforderlich sein, werden diese zu den üblichen Geschäftszeiten ohne
Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen
Vorlaufzeit durchgeführt. Der Auftragnehmer darf diese von der vorherigen Anmeldung mit
angemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklärung
hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und
organisatorischen Maßnahmen abhängig machen. Sollte der durch den Auftraggeber
beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der
Auftragnehmer gegen diesen ein Einspruchsrecht.
(3) Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde
des Auftraggebers eine Inspektion vornehmen, gilt grundsätzlich Absatz 2 entsprechend. Eine
Aufsichtsbehörde einer berufsrechtlichen oder gesetzlichen Verschwiegenheit unterliegt, bei der
ein Verstoß nach dem Strafgesetzbuch strafbewehrt ist.
(1) Der Einsatz von Subunternehmern als weitere Auftragsverarbeiter ist nur zulässig, wenn der
Auftraggeber vorher zugestimmt hat.
(2) Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer
weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten
Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang
Vereinbarungen treffen, um angemessene Datenschutz- und
Informationssicherheitsmaßnahmen zu gewährleisten.
Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen
werden unter Einschaltung folgender Subunternehmer durchgeführt:
Name des Subunternehmers Anschrift d.
Base2 IT Consult GmbH Sollredder 6, 21465 Wentorf Betreuung,
Hetzner Online GmbH Industriestr. 25, 91710
Hosting und Housing der
Vor der Hinzuziehung weiterer oder der Ersetzung aufgeführter Subunternehmer holt der
Auftragnehmer die Zustimmung des Auftraggebers ein, wobei dieser nicht ohne einen wichtigen
datenschutzrechtlichen Grund verweigert werden darf.
seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.
Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den
Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in
diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die
Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als »Verantwortlicher«
im Sinne der Datenschutz-Grundverordnung liegen.
(2) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich
etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung, die
auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen
Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt.
(3) Bei etwaigen Widersprüchen gehen Regelungen dieser Anlage zum Datenschutz den
dies die Wirksamkeit der Anlage im Übrigen nicht.
(4) Es gilt deutsches Recht. Gerichtsstand ist Nürnbrecht.
Auftraggeber und Auftragnehmer haften gegenüber betroffener Personen entsprechend der in
Art. 82 DS-GVO getroffenen Regelung.
Anhang zur Vereinbarung über die Auftragsverarbeitung
(technische und organisatorische Maßnahmen nach Art. 32 DS-GVO)
Anforderung Maßnahme
Verwehrung des Zugangs zu
Verarbeitungsanlagen, mit denen
die Verarbeitung durchgeführt
wird, für Unbefugte
(Zugangs- und Zutrittskontrolle)
ISO 27001 zertifiziertes Rechenzentrum mit Sitz in
Deutschland und strengen Zutrittskontrollen.
 elektronisches Zutrittskontrollsystem mit
 Hochsicherheitszaun um den gesamten
Datacenterpark
 dokumentierte Schlüsselvergabe an
Mitarbeiter und Colocation-Kunden für
Colocation Racks (jeder Auftraggeber
ausschließlich für seinen Colocation Rack)
 Richtlinien zur Begleitung und Kennzeichnung
von Gästen im Gebäude
 24/7 personelle Besetzung der Rechenzentren
Videoüberwachung an den Ein- und Ausgängen,
Verhinderung des unbefugten
Lesens, Kopierens, Veränderns
oder Löschens von Datenträgern
(Datenträgerkontrolle)
 Kein physikalischer Zugriff auf
IT-Verarbeitungssysteme (Vgl.
Zugangs-/Zutrittskontrolle)
 Verwaltung von Datenträgern
 Regelung für Datenträgerentsorgung
Eingabe von personenbezogenen
Daten sowie der unbefugten
Kenntnisnahme, Veränderung und
Löschung von gespeicherten
(Speicherkontrolle)
 Rechtekonzept (Regelung von Befugnissen)
 Zugriffschutzsystem für DV-Anlagen
Verhinderung der Nutzung
Verarbeitungssysteme mit Hilfe
von Einrichtungen zur
Datenübertragung durch
Unbefugte (Benutzerkontrolle)
 Netztrennung (öffentliches Netz,
Verarbeitungsnetz, Verwaltungsnetz)
 Einsatz von Sicherheitssoftware
 Abweisung von unberechtigten Benutzern
Gewährleistung, dass die zur
Benutzung eines automatisierten
Verarbeitungssystems
Berechtigten ausschließlich zu den
von ihrer Zugangsberechtigung
umfassten personenbezogenen
Daten Zugang haben
(Zugriffskontrolle)
 Einsatz von Softwaresystemen mit
differenzierbaren Rechten
Gewährleistung, dass überprüft
und festgestellt werden kann, an
welche Stellen personenbezogene
Daten mit Hilfe von Einrichtungen
zur Datenübertragung übermittelt
oder zur Verfügung gestellt
wurden oder werden können
(Übertragungskontrolle/
Übermittlungskontrolle)
 Festlegen der zugelassenen
Übermittlungswege (-Empfänger und
-Berechtigte)
 Einsatz von Verschlüsselungsverfahren
 Netzwerkdokumentation
Gewährleistung, dass nachträglich
überprüft und festgestellt werden
kann, welche personenbezogenen
Daten zu welcher Zeit und von
wem in automatisierte
Verarbeitungssysteme eingegeben
oder verändert worden sind
(Eingabekontrolle)
 Unterweisung der Personen
 Differenzierte Berechtigungen
 Protokollierung der Veränderung in den
Anwendungsprogrammen (Releasenotes)
Gewährleistung, dass bei der
Daten sowie beim Transport von
Datenträgern die Vertraulichkeit
und Integrität der Daten geschützt
werden (Transportkontrolle)
 Ausschließlich verschlüsselte Übermittlung
von Daten (digital oder physikalisch).
Gewährleistung, dass eingesetzte
Systeme im Störungsfall
wiederhergestellt werden können
(Wiederherstellbarkeit)
 Backupkonzept
Gewährleistung, dass alle
Funktionen des Systems zur
Verfügung stehen und auftretende
Fehlfunktionen gemeldet werden
 Automatisierte Überprüfung des DV-Systems
Gewährleistung, dass gespeicherte
personenbezogene Daten nicht
durch Fehlfunktionen des Systems
beschädigt werden können
(Datenintegrität)
 Schutzsysteme gegen Datenträgerausfall
(RAID und sonstige Redundanzen)
Gewährleistung, dass
personenbezogene Daten, die im
Auftrag verarbeitet werden, nur
entsprechend den Weisungen des
Auftraggebers verarbeitet werden
können (Auftragskontrolle)
 ADV-Verträge mit ADV-Nehmern mit klaren
Vorgaben nach DS-GVO/BDSG.
personenbezogene Daten gegen
Zerstörung oder Verlust geschützt
sind (Verfügbarkeitskontrolle)
 Notstrom (USV und Aggregate)
Gewährleistung, dass zu
unterschiedlichen Zwecken
erhobene personenbezogene
Daten getrennt verarbeitet werden
(Trennungsgebot)
 Trennung von Zugriffsdomänen (Mandaten)
auf Applikationsschicht
Der Auftraggeber bestätigt die notwendige Schweigepflicht über diese Vereinbarung zu
wahren und diese nicht an unberechtigte Dritte weiterzugeben oder diesen zugänglich zu
Datum, Unterschrift, Auftraggeber

References: Art. 28
 Art. 4
 Art. 33
 Art. 32
 Art. 82
 Art. 82
 §3

Art. 82
 Art. 32