Vertrag zur Auftragsverarbeitung
gemäß Art. 28 Abs. 3 DSGVO
zwischen der Hebamme / Hebammenpraxis, die die App Alma nutzt – nachfolgend „Verantwortliche“ genannt –
und CHYLD GmbH, Adelungstr. 3, 55131 Mainz – nachfolgend „Auftragsverarbeiter“ genannt –
1. Gegenstand und Dauer der Verarbeitung
(1)
Der Auftragsverarbeiter stellt der Verantwortlichen die App „Alma“ zur Verfügung. Im Rahmen dieses Dienstes verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung der Verantwortlichen (insbesondere Patientendaten, Dokumentationen und Chat-Inhalte).
(2)
Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages (Nutzungsvertrag/Abonnement).
2. Art und Zweck der Verarbeitung, Datenkategorien
(1) Zweck:
Bereitstellung einer Plattform zur Kommunikation (Chat), digitalen Dokumentation der Behandlung, Terminverwaltung sowie Vorbereitung der Abrechnung von Hebammenleistungen.
(2) Datenkategorien:
Stammdaten (Name, Geburtsdatum, Anschrift), Kontaktdaten, Gesundheitsdaten (Schwangerschaftswoche, Befunde, Diagnosen, Behandlungsverlauf, ET), Versicherungsdaten sowie Kommunikationsdaten (Chat-Inhalte).
(3) Kategorien betroffener Personen:
Patientinnen (Schwangere/Mütter) der Verantwortlichen sowie deren Angehörige.
3. Pflichten des Auftragsverarbeiters
(1)
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung der Verantwortlichen.
(2)
Er stellt sicher, dass sich die zur Verarbeitung der Daten berechtigten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht (insbesondere im Hinblick auf § 203 StGB) unterliegen.
(3)
Der Auftragsverarbeiter trifft alle erforderlichen technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO (siehe Anlage 1).
(4)
Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Beantwortung von Anfragen auf Ausübung von Betroffenenrechten.
4. Unterauftragsverhältnisse (Sub-Prozessoren)
(1)
Die Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter einzuschalten. Aktuell eingesetzte Sub-Unternehmer sind:
Supabase / AWS:
Cloud-Infrastruktur & Datenbank (Serverstandort EU/Frankfurt).
Stripe:
Zahlungsabwicklung (für Marktplatz-Kurse).
Unternehmen XYZ:
Schnittstelle für Krankenkassen-Abrechnung.
Sentry:
Fehler-Tracking (USA, abgesichert durch EU-Standardvertragsklauseln).
(2)
Der Auftragsverarbeiter informiert die Verantwortliche über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung weiterer Sub-Unternehmer.
5. Datensicherheit und Verschlüsselung
(1)
Der Auftragsverarbeiter setzt für die Chat-Kommunikation eine Ende-zu-Ende-Verschlüsselung (E2EE) ein. Er bestätigt, dass er technisch keinen Zugriff auf die Klartext-Inhalte der so verschlüsselten Kommunikation hat.
(2)
Für alle übrigen Daten (Dokumentation) erfolgt eine Verschlüsselung „At-Rest“ (auf den Servern) sowie während der Übertragung (TLS).
6. Besondere Verschwiegenheitspflicht (§ 203 StGB)
Der Auftragsverarbeiter ist sich bewusst, dass die Verantwortliche als Hebamme der beruflichen Schweigepflicht unterliegt. Der Auftragsverarbeiter verpflichtet sich, die datenschutzrechtliche Vertraulichkeit so zu wahren, dass der Schutzbereich des § 203 StGB gewahrt bleibt.
7. Löschung, Datenexport und Archivierung (§ 630f BGB)
(1) Verantwortlichkeit:
Die Erfüllung der gesetzlichen Aufbewahrungspflicht der Behandlungsdokumentation (insbesondere die 10-Jahres-Frist gemäß § 630f BGB) obliegt allein der Verantwortlichen. Der Auftragsverarbeiter haftet nicht bei Datenverlust.
(2) Exportpflicht:
Der Auftragsverarbeiter stellt der Verantwortlichen eine Funktion zum Export aller verarbeiteten personenbezogenen Daten (Patientenakten, Chat-Protokolle, Dokumentationen) in einem strukturierten, gängigen Format zur Verfügung. Die Verantwortliche ist verpflichtet, vor der endgültigen Löschung ihres Kontos oder vor Vertragsbeendigung einen vollständigen Export zur rechtssicheren, eigenen Archivierung durchzuführen.
(3) Löschung nach Vertragsende (3-Monats-Frist):
Kündigt die Verantwortliche ihren Vertrag oder löscht sie ihr Hebammen-Profil, sperrt der Auftragsverarbeiter den Zugang. Die auf den Servern des Auftragsverarbeiters gespeicherten Daten (inkl. aller Patientendaten dieses Hebammen-Kontos) werden nach einer Übergangsfrist von 3 Monaten unwiderruflich gelöscht. Nach Ablauf der Frist ist eine Wiederherstellung ausgeschlossen. Ausgenommen sind lediglich Abrechnungsdaten zwischen den Parteien (Premium-Abos), die gesetzlichen Aufbewahrungsfristen (z. B. nach HGB) unterliegen.
8. Kontrollrechte
Die Verantwortliche hat das Recht, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang selbst oder durch Dritte zu kontrollieren, insbesondere durch das Einholen von Auskünften oder die Einsichtnahme in die vom Auftragsverarbeiter erstellten Zertifikate oder Prüfberichte.