Vertrag zur Auftrags­verarbeitung

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO, die sich aus der Nutzung von HopLab ergibt. Verantwortlicher ist der Kunde (Praxis bzw. Einrichtung, nachfolgend „Auftraggeber“), Auftragsverarbeiter ist Alexander Neuhuber, Friedhofstraße 1, 4084 St. Agatha, Österreich (nachfolgend „Auftragnehmer“). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und geht ihnen in Fragen des Datenschutzes vor.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von HopLab als Online-Dienst. Der Vertrag gilt für die Dauer der Nutzung einschließlich der Testphase und endet mit der Löschung der Daten nach Ziffer 9.

2. Art und Zweck der Verarbeitung

Speicherung von Stammdaten und Videoaufnahmen, automatisierte Auswertung von Bewegungstests, Bereitstellung der Ergebnisse, Korrekturen, Verläufe und Befundberichte, Termine und Rechnungen des Auftraggebers an seine Patientinnen und Patienten, die Online-Terminbuchung über die Buchungsseite des Auftraggebers samt den zugehörigen E-Mails, auf seine Weisung die Übermittlung bezahlter Rechnungen an deren Krankenversicherung (WAHonline), Datenexport sowie Datensicherung – ausschließlich für die Zwecke des Auftraggebers.

3. Art der Daten und Kreis der Betroffenen

• Patientinnen und Patienten des Auftraggebers: Name, Geburtsdatum, Kennung, E-Mail-Adresse, Anschrift, Notizen, Videoaufnahmen und daraus abgeleitete Bewegungs- und Messdaten, Befunde (Gesundheitsdaten nach Art. 9 DSGVO), Termine im Kalender des Auftraggebers sowie seine Rechnungen an sie (erbrachte Leistungen mit Datum, Beträge, Zahlungsstand); nutzt der Auftraggeber WAHonline außerdem Versicherungsnummer, Krankenversicherung, die Zustimmung zur elektronischen Einreichung, die Diagnose zur Rechnung und eine hochgeladene ärztliche Verordnung.
• Personen, die über die Buchungsseite des Auftraggebers (Online-Terminbuchung) einen Termin buchen und ihre Angaben dort selbst eingeben: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, bei einer Buchung für ein Kind dessen Name und Geburtsdatum, die Angabe, ob eine ärztliche Überweisung vorliegt, eine freiwillige Nachricht an die Praxis (sie kann Gesundheitsdaten nach Art. 9 DSGVO enthalten), die gewählte Leistung, Therapeutin oder Therapeut und Zeit des Termins sowie, zum Schutz vor Missbrauch, die IP-Adresse ausschließlich als gesalzener Hashwert. Buchungen, die der Auftraggeber keiner Patientenakte zuordnet, werden 30 Tage nach dem Termin, nach der Absage oder nach Ablauf der Vormerkung gelöscht; nach der Zuordnung gelten die Angaben als Daten der Patientenakte.
• Interessent:innen der Warteliste: Name, E-Mail, Telefon, Krankenversicherung, Sozialversicherungsnummer der behandelten Person, gewünschte Leistung/Therapeut:in, Zeitraum und Zeitwünsche; Löschung bei Austragen, sonst 7 Tage nach Ende des Zeitraums, unbestätigte Einträge nach 24 Stunden. Von bestätigten Einträgen bleibt 12 Monate ein Nachweis der Einwilligung: eine nicht rückrechenbare Kennung der E-Mail-Adresse und die Zeitpunkte von Eintrag, Bestätigung und Ende.
• Mitarbeitende des Auftraggebers: Name, E-Mail-Adresse, Rolle, Anmelde- und Zugriffsprotokolle; für WAHonline Vertragspartnernummer und Fachgebiet.

3a. Übermittlung an die Krankenversicherung (WAHonline)

Schaltet der Auftraggeber WAHonline ein, übermittelt der Auftragnehmer in dessen Auftrag jede bezahlte Rechnung, die der Auftraggeber dafür freigibt und für die der Patient zugestimmt hat, über ELDA – den elektronischen Datenaustausch der österreichischen Sozialversicherung, betrieben von der Österreichischen Gesundheitskasse – an den zuständigen Versicherungsträger (etwa ÖGK, SVS, BVAEB): Name, Versicherungsnummer und Anschrift des Patienten, Diagnose, Leistungen mit Datum und Betrag, Rechnungsnummer und -betrag, die Rechnung als PDF und eine angehängte Verordnung sowie Name, Vertragspartnernummer und Fachgebiet des Behandlers und die Anschrift der Ordination. Der Versicherungsträger ist Empfänger, kein Unterauftragsverarbeiter. Die übermittelten Meldungen und die Rückmeldungen werden sieben Jahre aufbewahrt. Für die Zustimmung des Patienten ist der Auftraggeber verantwortlich.

Nutzt der Auftraggeber die Registrierkasse, sendet der Auftragnehmer für jeden Beleg die Belegzeile nach RKSV an die Signaturerstellungseinheit des Auftraggebers (etwa a.sign RK HSM von A-Trust): Kassen-ID, Belegnummer, Datum und Uhrzeit, Beträge je Steuersatz, verschlüsselter Umsatzzähler und Zertifikatsnummer – keine Namen und keine Leistungsbezeichnungen. Der Vertrauensdiensteanbieter ist Vertragspartner des Auftraggebers, kein Unterauftragsverarbeiter. Zugangsdaten der Signaturerstellungseinheit und der AES-Schlüssel der Kasse werden verschlüsselt gespeichert. Die Belege (mit Positionen und, falls angegeben, dem Namen des Patienten) bleiben unveränderlich im Datenerfassungsprotokoll, bis der Auftraggeber seine Organisation schließt.

4. Pflichten des Auftragnehmers

• Er verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – die Bedienung der Anwendung gilt als Weisung – und nicht für eigene Zwecke.
• Verpflichtet ihn das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung, teilt er dem Auftraggeber diese Pflicht vorher mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
• Hält er eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert er den Auftraggeber unverzüglich; bis zur Bestätigung oder Änderung der Weisung darf er ihre Ausführung aussetzen.
• Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Ziffer 6 (Art. 32 DSGVO).
• Er unterstützt den Auftraggeber bei Anfragen Betroffener, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO); für die Folgenabschätzung stellt er eine ausgefüllte Vorlage bereit.
• Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Kenntnis.

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Betrieb der Server und der Datensicherungen in Rechenzentren in Deutschland bzw. der EU.
• Mailjet SAS, 4 rue Jules Lefebvre, 75009 Paris, Frankreich – Versand von Systemnachrichten an Mitarbeitende und, wenn der Auftraggeber den Kalender nutzt, von Termineinladungen, -änderungen, -absagen und -erinnerungen an Patientinnen und Patienten sowie Mitarbeitende. Dafür erhält Mailjet Name und E-Mail-Adresse der Empfänger, Datum, Uhrzeit und Ort des Termins, Name und Adresse der Praxis und den Hinweis des Auftraggebers an den Patienten. Versendet der Auftraggeber Rechnungen per E-Mail, erhält Mailjet zudem die Rechnung als PDF-Anhang mit Name, Anschrift und Geburtsdatum des Patienten, den erbrachten Leistungen mit Datum und den Beträgen. Nutzt der Auftraggeber die Online-Terminbuchung, versendet Mailjet auch deren E-Mails: an die buchende Person die Bitte um Bestätigung, Buchungsbestätigung, Antwort auf eine Anfrage, Verschiebung, Absage, Erinnerung und den persönlichen Buchungslink, jeweils mit Leistung, Termin, Name und Kontaktdaten der Praxis und einem Link zum Verwalten der Buchung; an Interessent:innen der Warteliste die Bitte um Bestätigung und den Hinweis auf einen frei gewordenen Termin mit Link zum Austragen; an die Praxis die Benachrichtigung über eine Buchung mit den Angaben der buchenden Person nach Ziffer 3 einschließlich ihrer Nachricht. Befunde, Messwerte oder Videos erhält Mailjet nicht. Verarbeitung in Rechenzentren in der EU; Öffnungs- und Klickverfolgung sind abgeschaltet. E-Mails liegen bis zum Versand im Postausgang auf dem HopLab-Server; scheitert der Versand, wird er bis zu viermal wiederholt. Der Inhalt wird nach dem Versand gelöscht, Empfänger und Status nach 30 Tagen.

Die Online-Terminbuchung bringt keinen weiteren Unterauftragsverarbeiter mit sich: Die Prüfung gegen automatisierte Anfragen (ALTCHA) läuft auf den Servern des Auftragnehmers, die Buchungsseite setzt keine Cookies, nutzt keine Tracking- oder Analysedienste und lädt keine Skripte, Schriften oder Bilder von Dritten; auch das Logo des Auftraggebers wird vom Auftragnehmer ausgeliefert.

Therapeut:innen können die private Abo-Adresse eines externen Kalenders hinterlegen; gespeichert werden ausschließlich belegte Zeiträume (Beginn/Ende) der nächsten 90 Tage, keine Inhalte. Die Adresse wird verschlüsselt gespeichert. Der Abruf erfolgt durch HopLab beim jeweiligen Kalenderanbieter (Google, Microsoft, Apple), den die Praxis selbst gewählt hat; dieser ist kein Unterauftragsverarbeiter von HopLab.

Das Kalender-Abo enthält nur Zeit, Leistung und Praxisadresse, keine Patientendaten; wer die Adresse kennt, sieht die Terminzeiten. Widerruf jederzeit. Schaltet eine Therapeutin oder ein Therapeut für das eigene Abo „Patientennamen im Abo anzeigen“ ein, enthält es zusätzlich Vor- und Nachnamen der Patienten, die dann der von der Praxis gewählte Kalenderanbieter (etwa Google, Apple oder Microsoft) erhält.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm selbst auferlegt, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet der Auftragnehmer dafür gegenüber dem Auftraggeber.

Stripe verarbeitet ausschließlich Vertrags- und Zahlungsdaten des Auftraggebers und ist kein Unterauftragsverarbeiter für Patientendaten. E-Mail-Anfragen an den Support laufen über die E-Mail-Weiterleitung von Cloudflare in ein Postfach bei Google; der Auftraggeber übermittelt auf diesem Weg keine Patientendaten. Über beabsichtigte Änderungen bei den Unterauftragsverarbeitern informiert der Auftragnehmer mindestens vier Wochen im Voraus per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen.

6. Technische und organisatorische Maßnahmen

• Verarbeitung ausschließlich auf Servern in Deutschland bzw. der EU; keine Übermittlung in Drittländer.
• Getrennte Datenhaltung je Auftraggeber: eigene Datenbank und eigenes Datenverzeichnis je Praxis.
• Verschlüsselte Übertragung (TLS); tägliche Sicherung des Servers bei Hetzner in Deutschland, 7 Tage aufbewahrt; zusätzlich jede Nacht ein Stand der Daten auf dem Server (die letzten 7) und vor jedem Update ein Stand, von dem die letzten fünf aufbewahrt werden.
• Zugang nur mit persönlichem Konto; Passwörter ausschließlich als Argon2id-Hash; Zwei-Faktor-Anmeldung, auf Wunsch der Praxis verpflichtend; Rollen (Inhaber, Administration, Mitarbeitende); Schutz vor gefälschten Anfragen und Begrenzung von Anmeldeversuchen.
• Protokollierung der Zugriffe auf Patientenakten und Auswertungen, einsehbar für den Auftraggeber.
• ELDA-Zugangsdaten des Auftraggebers werden nur verschlüsselt gespeichert, das Kennwort nur in der von ELDA verlangten Form (SHA-512); jede Meldung wird vor dem Senden gegen das Schema der Sozialversicherung geprüft.
• Server mit Firewall, Anmeldung nur mit Schlüssel, automatischen Sicherheitsupdates; Zugriff auf die Systeme nur durch den Auftragnehmer.
• Löschung von Patientendaten, Auswertungen und Organisationen in der Anwendung jederzeit durch den Auftraggeber. Gestellte Rechnungen bleiben beim Löschen eines Patienten erhalten, weil der Auftraggeber sie aufbewahren muss (§ 132 BAO); sie werden mit der Organisation gelöscht. Die Dokumentation der Behandlungsserien und hochgeladene Dokumente legt der Auftragnehmer beim Löschen eines Patienten oder der Organisation getrennt ab, für den Auftraggeber nicht mehr sichtbar, und löscht sie zehn Jahre nach dem letzten Eintrag automatisch (§ 34 MTD-Gesetz).

7. Rechte des Auftraggebers

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt, nach rechtzeitiger Ankündigung, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Allgemeinen Geschäftsbedingungen.

9. Ende der Verarbeitung

Nach Ende des Vertrags stehen die Daten dem Auftraggeber noch 30 Tage zum Export (Rückgabe) zur Verfügung. Danach löscht der Auftragnehmer sie (§ 6 der AGB), auf Verlangen des Auftraggebers auch früher, sofern ihn keine gesetzliche Pflicht zur Aufbewahrung trifft. Die Löschung kündigt er bei Vertragsende per E-Mail an und erinnert mindestens 14 Tage vorher daran. Unterlagen, die der Auftraggeber selbst aufbewahren muss, sichert er vor der Löschung. In den täglichen Datensicherungen (bei Hetzner und auf dem Server) bleiben gelöschte Daten höchstens 7 Tage erhalten, in den Ständen vor einem Update bis zum fünften folgenden Update.

10. Schlussbestimmungen

Es gilt österreichisches Recht. Anfragen zum Datenschutz richten Sie an support@hoplab.app.