1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Praxissoftware lucar (Software-as-a-Service) für den Verantwortlichen. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags über lucar. Dieser Auftragsverarbeitungsvertrag wird mit der Registrierung elektronisch geschlossen und endet mit der vollständigen Löschung bzw. Rückgabe der Daten nach Vertragsende.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Hosten und Speichern der vom Verantwortlichen eingegebenen Daten, die Terminplanung mit Online-Buchung, die Patienten- und Behandlungsdokumentation (einschließlich KI-gestützter Strukturierung von Anamnese-Texten und Transkription von Diktaten), die Erstellung und den Versand von Rechnungen und E-Mails im Namen der Praxis, das Finanzbuch sowie die Erstellung von Auswertungen für die Praxis.

Zweck der Verarbeitung ist ausschließlich die Bereitstellung dieser Funktionen für den Verantwortlichen. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt; insbesondere werden keine Patientendaten für Werbung, Profilbildung oder das Training von KI-Modellen verwendet.

3. Art der Daten und Kategorien betroffener Personen

Verarbeitete Datenarten: Stammdaten (Name, Geburtsdatum, Anschrift), Kontaktdaten (E-Mail, Telefon), Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO (Anamnesen, Diagnosen, Behandlungsdokumentation, Diktate), Termin- und Buchungsdaten, Abrechnungs- und Rechnungsdaten, Vertrags- und Einwilligungsdaten (z.B. digitale Unterschriften) sowie Kommunikationsdaten (versendete E-Mails).

Kategorien betroffener Personen: Patient:innen des Verantwortlichen sowie Mitarbeiter:innen der Praxis (Benutzerkonten, Dienstpläne).

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Die Nutzung der Software-Funktionen durch den Verantwortlichen gilt als Weisung. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

Verlangt eine Behörde unmittelbar beim Auftragsverarbeiter Auskunft über personenbezogene Daten des Verantwortlichen, informiert der Auftragsverarbeiter den Verantwortlichen hierüber unverzüglich, soweit dies rechtlich zulässig ist, und verweist die Behörde — soweit möglich — an den Verantwortlichen.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf Patientendaten erfolgt ausschließlich nach dem Need-to-know-Prinzip, ist auf das für Betrieb, Support und Fehleranalyse erforderliche Minimum beschränkt und wird protokolliert. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieses Vertrages fort.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 (abrufbar unter lucar.app/toms); die Anlage 1 ist Bestandteil dieses Vertrages. Die Maßnahmen dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau dabei nicht unterschritten wird; wesentliche Änderungen werden in Anlage 1 fortgeschrieben.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter; die Anlage 2 ist Bestandteil dieses Vertrages, die jeweils aktuelle Liste ist jederzeit unter lucar.app/subprocessors abrufbar. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte wesentliche Änderungen (Hinzuziehung oder Ersetzung) rechtzeitig vorab; der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden die nach Art. 28 Abs. 4 DSGVO erforderlichen vertraglichen Pflichten vereinbart.

Eine Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgt ausschließlich unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von EU-Standardvertragsklauseln oder eines Angemessenheitsbeschlusses.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten — unter anderem durch Export-, Korrektur- und Löschfunktionen in der Software.

Er unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen möglich ist. Soweit Unterstützungsleistungen über die vertraglich geschuldeten Leistungen und die in der Software bereitgestellten Funktionen hinausgehen (insbesondere bei Datenschutz-Folgenabschätzungen), kann der Auftragsverarbeiter hierfür eine angemessene Vergütung verlangen.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Bekanntwerden an die im Benutzerkonto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen (Art. 33, 34 DSGVO).

10. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten für einen Zeitraum von 30 Tagen zum Export bereit. Auf Wunsch des Verantwortlichen erfolgt statt der Löschung zunächst eine vollständige Herausgabe der Daten in einem gängigen maschinenlesbaren Format; der Export erfolgt in den von lucar bereitgestellten Standardformaten (insbesondere CSV und PDF). Nach Ablauf der Frist werden alle personenbezogenen Daten gelöscht, sofern nicht gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters entgegenstehen. Ein Anspruch auf Wiederherstellung nach Fristablauf besteht nicht.

11. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — vorrangig durch die veröffentlichten Anlagen (TOMs, Unterauftragsverarbeiter) und ergänzende schriftliche Auskünfte. Weitergehende Überprüfungen einschließlich Inspektionen sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich; sie dürfen den Geschäftsbetrieb und die Sicherheit anderer Praxen nicht beeinträchtigen. Führt der Verantwortliche ein Audit ohne berechtigten Anlass durch, kann der Auftragsverarbeiter den hierdurch entstehenden angemessenen Aufwand in Rechnung stellen.

12. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag hinsichtlich datenschutzrechtlicher Pflichten vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.