Source: https://theraassist.de/login/bestellen2.xhtml?lid=3
Timestamp: 2018-10-18 23:29:57
Document Index: 184634595

Matched Legal Cases: ['Art. 28', 'Art. 5', 'Art. 32', 'Art. 38', 'Art. 28', '§ 203', '§ 203', 'Art. 28', 'Art. 28', 'Art. 13', 'Art. 6', 'Art. 7', '§ 203', 'Art. 32', '§ 11', '§ 14']

TheraAssist XL
Mit dem Tarif TheraAssist „XL“ können mehr als 11 User die Anwendung nutzen und eine unbegrenzte Anzahl von Patienten befunden und die Behandlung dokumentieren. Der von Ihnen gewählte Tarif besitzt keine definierte Laufzeit und kann monatlich gekündigt werden. Sollten Sie zu einem späteren Zeitpunkt zusätzliche oder weniger User benötigen, können Sie Ihren Tarif direkt über die Userverwaltung anpassen.
Auftragsverarbeitungsanlage, 25.05.2018
Berthold-Beitz-Blvd. 514,
-im folgenden odA genannt -
Vereinbarung zur Auftragsverarbeitung bei Nutzung von odA-Softwareprodukten
Der Auftragnehmer als Systemhaus und Softwarehersteller übernimmt für den Auftraggeber folgende Aufgaben:
Fernwartungsarbeiten in der odA-Softwarelösung des Auftrag-gebers und/oder Serverhosting.
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung und ist an diese gekoppelt. In der der Leistungsvereinbarung selbst ist auch das konkrete Softwareprodukt definiert.
1.	Art und Zweck der vorgesehenen Verarbeitung von Daten:
Der Umfang der Tätigkeiten des Auftragnehmers richtet sich nach den Anforderungen des Auftraggebers. Der Auftragnehmer schaltet sich über das Internet mit Hilfe der Standartsoftware Teamviewer auf einen PC des Auftragnehmers auf und nimmt dort Reparaturarbeiten in der zur Nutzung überlassenen Branchenlösung vor oder der Auftragnehmer nimmt auf Anforderung des Auftraggebers die Wartung direkt in den gehosteten Daten des Auftraggebers vor. Im ersten Fall erfolgt die Freischaltung durch den Auftraggeber mit Hilfe einer telefonisch übermittelten Sitzungsnummer. Der Auftragnehmer hat die Möglichkeit die Sitzung zu überwachen. In Ausnahmefällen kann es auch vorkommen, dass der Auftragnehmer eine komplette Datenbank zu Reparaturzwecken überspielen muss. Nach Reparatur und Rückübertragung zum Auftraggeber werden die Daten unverzüglich beim Auftragnehmer gelöscht. Ferner spielt der Auftragnehmer Updates, Patches oder neu Programmstände ein. Dies geschieht immer in Absprache mit dem Auftraggeber.
Der Auftragnehmer übernimmt für den Auftraggeber konkret folgende Tätigkeiten:
Fernwartung und Reparatur der Branchenlösung / Applikation
Fernwartung und Reparatur von Datenbanken auf die die Branchenlösung zugreift
Einspielen von Updates und Patches zur Behebung von Fehlern in die Branchenlösung
Einspielen neuer Programmstände
Daten die für eine Genehmigung von Leistungen bzw. Hilfsmitteln durch die Kostenträger erforderlich sind
Patienten (gesetzlich und privat Versicherte –= betroffene Personen im Sinne des Art. Nr. 1 DSGVO)
(1) Der Auftragnehmer hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten und erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbeson-dere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.
(2) Der Auftragnehmer hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen.
Schriftliche Bestellung, soweit nach DSGVO bzw. BDSG-Neu erforderlich, eines Datenschutz-beauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt.
Dessen Kontaktdaten werden ggf. dem Auftraggeber zum Zweck der direkten Kontaktaufnahme mitgeteilt. Ein Wechsel des Datenschutzbeauftragten wird ggf. dem Auftraggeber unverzüglich mitgeteilt.
Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit und für die Fälle der Einbeziehung des § 203 StGB in das Vertragsverhältnis auf die Schweigepflicht nach § 203 StGB verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Auftraggebers verarbeiten einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
(1) Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/ Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Verein-barungen sowie Kontrollmaßnahmen zu ergreifen.
Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 DSGVO:
Firmen der „opta data - Unternehmensgruppe“ (Auflistung unter: www.optadata-gruppe.de /Kontakt), vertreten durch die opta data Abrechnungs GmbH, Berthold-Beitz-Blvd. 514, 45141 Essen, als im weitesten Sinne beherrschendes Unternehmen im Sinne der der EU-DSGVO
eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird
(5) Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der ausdrücklichen schriftlichen Zustimmung des Auftraggebers sowie des Hauptauftragnehmers. Sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.
(6) Dem Einsatz von Mitarbeitern des Auftragnehmers in Heimarbeit oder im Home-Office stimmt der Auftraggeber zu.
(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch:
aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheits-abteilung, Datenschutzauditoren, Qualitätsaudi-toren);
(5) Der Auftraggeber hat seinen Pflichten gegenüber dem Betroffenen gemäß Art. 13 DSGVO nachzukommen und dem Betroffenen mitzuteilen, dass der Auftragnehmer und die einbezogenen Unterauftragnehmerin die Verarbeitung seiner personenbezogenen Daten involviert sind. Insofern verpflichtet sich der Auftraggeber zur Einhaltung und Umsetzung seiner Pflichten nach der EU-DSGVO. Ferner ist der Auftraggeber verpflichtet, sofern er Berufsgeheimnisträger ist, ggfs. eine Schweigepflichtentbindungserklärung, gemäß Art. 6 Abs. 1 und Art. 7, des Betroffenen einzuholen. Diese hat er dem Auftragnehmer auf Anfrage (Stichprobenprüfung) zur Verfügung zu stellen. Etwas anderes gilt dann, wenn er den Auftragnehmer wirksam nach § 203 Abs. 4 S. 1 StGB verpflichtet hat.
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 der DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeab-schätzungen und vorherige Konsultationen. Hierzu gehören u.a.:
die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisa-torische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berück-sichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen
Anlage Fernzugänge
Technische Vorgaben für einzurichtende Fernzugänge vom Dienstleister (Auftragnehmer) zum Datennetz des Auftraggebers:
Variante 1 (Standard): TeamViewer Zugang
1.	Der Kundenbetreuer stellt per TeamViewer eine verschlüsselte Verbindung mit dem PC des Kunden her.
2.	Über den PC des Kunden wird das bei uns gemietete / gekaufte Programm per Remote App gestartet und die vom Kunden gemeldete Probleme werden bearbeitet / gelöst.
3.	Bei einer lokalen Installation der gekauften Software, verbindet sich der Kundenbetreuer vom PC des Kunden mit den involvierten Servern und Clients des Kunden.
Variante 2: Spezifikation Terminalserver
1.	Der Kundenbetreuer verbindet sich von seinem Arbeitsplatz per RDP zu einem Terminalserver im Server-Hosting Netzwerk
2.	Der Kundenbetreuer authentifiziert sich mit seinen personenbezogenen Zugangsdaten.
3.	Die Verbindung zu den Servern im Server-Hosting Netzwerk kann von dem Kundebetreuer nur innerhalb des Firmennetzwerks hergestellt werden
4.	Von diesem Terminalserver kann auf alle Server im Netz, mit Ausnahme der Domänen Controller und SQL-Server eine Verbindung aufgebaut werden (RDP / Freigaben)
5.	Es können keine Daten per Zwischenablage übertragen werden.
Variante 3: Spezifikation IP-VPN-Tunnel
1.	Dem Kundenbetreuer wird durch die IT eine VPN-Verbindung auf Ihren Firmengeräten eingerichtet. Hierdurch ist eine Verbindung zum firmeninternen Netzwerk möglich.
2.	Der VPN-Server wird von der firmeninternen IT gestellt
3.	Der VPN Zugriff ist mit L2TP/IPSEC realisiert worden
4.	Ab diesem Punkt wird wie in Variante 1 verfahren
Funktion / Sicherheitsparameter Realisierung Kommentar
VPN-Gateway Windows Server
EmpfohlenesTunnelprotokoll IPSec
Schlüsselaustausch IKE 1, DH 2
Empfohlene Authentisierung PSK
Verschlüsselung SHA1, AES-256, DH2
Perfect Forward Secrecy Ja, DH2
§ 11 Gewährleistung bei Hardwarekäufen (Bsp. Kartenleser)
(1) Sollte ein geliefertes Hardwareprodukt innerhalb der Gewährleistungsfrist einen Sachmangel aufweisen, der bereits im Zeitpunkt des Gefahrüberganges vorlag, ist odA berechtigt den Sachmangel nach ihrer Wahl zu beseitigen oder Ersatz zu liefern.
(2) Grundlage der Mängelhaftung ist vor allem die über die Beschaffenheit der Ware getroffene Vereinbarung. Als Vereinbarung über die Beschaffenheit der Ware gelten alle Produktbeschreibungen, die Gegenstand des Vertrages sind; es macht hierbei keinen Unterschied, ob die Produktbeschreibung vom Hersteller oder von der odA stammt.
(5) Der Käufer hat der odA die zur geschuldeten Nacherfüllung erforderliche Zeit und Gelegenheit zu geben, insbesondere die beanstandete Ware zu Prüfungszwecken zu übergeben. Im Falle der Ersatzlieferung hat der Käufer die mangelhafte Sache nach den gesetzlichen Vorschriften zurückzugeben.
(6) Die zum Zweck der Prüfung und Nacherfüllung erforderlichen Aufwendungen, insbesondere Transport-, Wege-, Arbeits- und Materialkosten (nicht: Ausbau- und Einbaukosten), trägt odA, wenn tatsächlich ein Mangel vorliegt. Stellt sich jedoch ein Mangelbeseitigungsverlangen des Käufers als unberechtigt heraus, kann odA Ersatz für die hieraus entstandenen Kosten vom Käufer verlangen. In diesem Fall werden die Kosten für die Zusendung des Gerätes nicht erstattet und die Rücksendung erfolgt auf Kosten und auf Risiko des Käufers.
(8) Im B2B-Bereich (Unternehmergeschäft) beträgt die Gewährleistungsfrist 12 Monate ab Lieferung des Gerätes. Dies gilt nicht für Arglist, Vorsatz, grobe Fahrlässigkeit oder Verletzung des Lebens, des Körpers oder der Gesundheit. Eine Nachbesserung führt nicht zum Neubeginn der Verjährung.
§ 14 Beweisklausel und Hinweise zum E-Mailverkehr