Auftragsverarbeitungsvertrag (Muster)
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem nutzenden Labor (nachfolgend „Verantwortlicher") und der
[FIRMA EINTRAGEN], [STRASSE + HAUSNUMMER EINTRAGEN], [PLZ EINTRAGEN] [ORT EINTRAGEN] (nachfolgend „Auftragsverarbeiter").
Dieser AVV wird Vertragsbestandteil, sobald der Verantwortliche ihm bei der Registrierung oder in den Kontoeinstellungen zustimmt.
1. Gegenstand und Dauer der Verarbeitung
1.1 Der Auftragsverarbeiter betreibt die Plattform Pontiq und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.
1.2 Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags über die Plattform.
2. Art, Zweck und Umfang der Verarbeitung
Die Verarbeitung umfasst das Erheben, Speichern, Anzeigen, Übermitteln und Löschen der Daten, die der Verantwortliche über die Plattform verarbeitet, insbesondere zur Fall- und Auftragsverwaltung, Produktionsplanung, Dokumentenerzeugung und für optionale KI-Funktionen. Dazu gehört auch die verschlüsselte Speicherung (Credential-Vault) der vom Verantwortlichen hinterlegten Zugangsdaten zu Scanner-Clouds und Hersteller-Portalen sowie der automatisierte Abruf neuer Fälle aus diesen Drittdiensten auf dokumentierte Weisung des Verantwortlichen.
3. Kategorien betroffener Personen und Datenarten
- Betroffene Personen: Patienten der einliefernden Zahnarztpraxen; Mitarbeitende des Verantwortlichen; Ansprechpartner der Praxen.
- Datenarten: Identifikationsdaten (z. B. Name/Pseudonym des Patienten, Fall-Nummern), Auftrags- und Falldaten (Arbeitsart, Material, Farbe, Notizen), 3D-Scan-Dateien und Anhänge, Nutzerdaten der Mitarbeitenden (Name, E-Mail, Rolle), Kommunikationsdaten. Gesundheitsdaten im Sinne des Art. 9 DSGVO können enthalten sein.
4. Weisungsrecht
4.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Plattformfunktionen gilt als Weisung.
4.2 Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich.
5. Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:
- Transportverschlüsselung (TLS) für sämtliche Verbindungen
- Verschlüsselte Speicherung von Zugangstoken und Passwörtern (Hashing)
- Rollenbasierte Zugriffskontrolle und Mandantentrennung auf Datenebene
- Protokollierung sicherheitsrelevanter Ereignisse
- Regelmäßige Datensicherungen und Wiederherstellungstests
- Hosting ausschließlich in Rechenzentren innerhalb der EU
Die Maßnahmen werden dem Stand der Technik entsprechend fortgeschrieben.
7. Unterauftragsverarbeiter
7.1 Der Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern für Hosting (EU), E-Mail-Versand und KI-Verarbeitung (Mistral AI SAS, Frankreich — Verarbeitung in der EU).
7.2 Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit angemessener Frist; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
7.3 Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 Abs. 4 DSGVO.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen (Art. 33, 34 DSGVO) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO).
9. Meldung von Verletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, einschließlich der nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar.
10. Löschung und Rückgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann zuvor einen Datenexport anfordern (Bereitstellung innerhalb von 30 Tagen).
11. Nachweis und Kontrollen
11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
11.2 Der Verantwortliche kann Kontrollen nach vorheriger Ankündigung während der üblichen Geschäftszeiten durchführen oder durch geeignete Dritte durchführen lassen; vorrangig werden vorhandene Testate und Berichte genutzt.
12. Schlussbestimmungen
12.1 Es gilt deutsches Recht. Im Übrigen gelten die Regelungen des Hauptvertrags (AGB).
12.2 Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.