Vertrag zur Auftragsverarbeitung

Angaben zum Auftragnehmer

Je Praxis gilt im Vertragsexemplar: die E-Mail-Adresse des Kontos, die Fassung dieses Vertrags und der Zeitpunkt, zu dem die Praxis ihn bei der Registrierung abgeschlossen hat. Weitere Angaben zur Praxis (Name, Anschrift, vertretungsberechtigte Person, Berufsgruppe) trägt die Praxis in der Anwendung ein.

Vertragsparteien

• Auftraggeber ist die Praxis, die die Anwendung nutzt. Sie ist Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Sie schließt den Vertrag bei der Registrierung ab und ist durch die E-Mail-Adresse des Kontos bestimmt.
• Auftragnehmer ist der Betreiber der Anwendung, dessen Angaben im Abschnitt „Angaben zum Auftragnehmer“ stehen. Er ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
• Abschluss. Der Vertrag kommt zustande, wenn die Praxis bei der Registrierung das Kontrollkästchen „Ich habe den Vertrag zur Auftragsverarbeitung gelesen und schließe ihn ab.“ setzt und das Formular absendet. Zeitpunkt und Fassung werden gespeichert. Der Auftragnehmer legt der Praxis die Fassung auf Anfrage vor.

§ 1 Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die Anwendung PraxisLedger zur Verfügung. Mit ihr schreibt der Auftraggeber Rechnungen an Patientinnen und Patienten, erfasst Zahlungseingänge, mahnt und wertet seine Leistungen aus. Der Auftragnehmer betreibt dafür Server, Datenbank und Sicherung.
2. Der Vertrag gilt für die Dauer der Nutzung der Anwendung durch den Auftraggeber. Er endet mit der Beendigung des Nutzungsverhältnisses. § 10 regelt Rückgabe und Löschung.
3. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag des Auftraggebers. Er verfolgt damit keine eigenen Zwecke.

§ 2 Art und Zweck der Verarbeitung, Daten, Betroffene

Art, Zweck, Datenkategorien und betroffene Personen stehen in Anlage 1. Zweck ist die Rechnungsstellung, Zahlungsverfolgung und Mahnung des Auftraggebers gegenüber seinen Patientinnen und Patienten. Die Verarbeitung erfolgt in der Europäischen Union. Eine Übermittlung in ein Drittland findet nicht statt.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Die Bedienung der Anwendung durch den Auftraggeber und dieser Vertrag sind die dokumentierten Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform.
2. Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn er eine Weisung für rechtswidrig hält. Er darf die Ausführung der Weisung bis zur Bestätigung oder Änderung aussetzen.
3. Der Auftragnehmer liest die Inhalte der Praxis-Datei nicht, es sei denn, der Auftraggeber beauftragt es (zum Beispiel zur Fehlersuche oder Wiederherstellung) oder es ist zur Abwehr einer Gefahr für die Daten unerlässlich. Jeder solche Zugriff wird mit Datum und Anlass festgehalten.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Für Geheimnisse im Sinne von § 203 StGB gilt zusätzlich der Anhang zu § 203 StGB.
2. Sicherheit. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, wie in Anlage 2 beschrieben (§ 5).
3. Verzeichnis. Der Auftragnehmer führt das Verzeichnis nach Art. 30 Abs. 2 DSGVO.
4. Zusammenarbeit. Er arbeitet mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO) und unterrichtet den Auftraggeber unverzüglich über Kontrollen und Maßnahmen der Behörde, soweit sie diese Verarbeitung betreffen.
5. Ansprechpartner. Datenschutzfragen beantwortet der im Abschnitt „Angaben zum Auftragnehmer“ genannte Kontakt.

§ 5 Technische und organisatorische Maßnahmen

1. Die Maßnahmen stehen in Anlage 2. Sie entsprechen dem Stand der Technik und dem Risiko der Verarbeitung von Gesundheitsdaten. Der Auftragnehmer entwickelt sie weiter. Wesentliche Verschlechterungen sind unzulässig, Verbesserungen bedürfen keiner Zustimmung.
2. Der Auftragnehmer überprüft die Maßnahmen regelmäßig (Anlage 2, Abschnitt 7) und weist sie auf Verlangen nach.
3. Eigener Server und Restrisiko. Die Anwendung läuft auf einem eigenen Server, auf dem keine weiteren Anwendungen des Auftragnehmers laufen. Gemeinsam mit dem Hoster bleiben Hardware, Virtualisierung und Rechenzentrum. Wer den Server selbst oder seine Abbilder kontrolliert, kann Praxis-Dateien und Hauptschlüssel lesen: Die Verschlüsselung der Dateien schützt die Sicherung und verlorene Datenträger, nicht den laufenden Server. Dieses Restrisiko ist dem Auftraggeber bekannt und in Anlage 2, Abschnitt 6 beschrieben. Der Auftraggeber nimmt es mit Abschluss dieses Vertrags ausdrücklich zur Kenntnis.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Zum Zeitpunkt des Vertragsschlusses gilt die Liste in Anlage 3.
2. Der Auftragnehmer informiert den Auftraggeber in Textform vor jeder beabsichtigten Hinzufügung oder Ersetzung. Der Auftraggeber kann innerhalb von vier Wochen aus wichtigem Grund widersprechen. Bleibt der Widerspruch bestehen und ist ein Einsatz ohne den neuen Unterauftragsverarbeiter nicht möglich, kann der Auftraggeber das Nutzungsverhältnis außerordentlich kündigen.
3. Der Auftragnehmer legt dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag stehen, und verpflichtet ihn zusätzlich zur Verschwiegenheit nach dem Anhang zu § 203 StGB. Er haftet für dessen Einhaltung wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO).
4. Unterauftragsverarbeiter haben ihren Sitz und den Ort der Verarbeitung in der Europäischen Union.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Die Anwendung stellt dafür bereit: Auskunft und Export aller Daten eines Patienten, Sperren statt Löschen während der Aufbewahrungsfrist, eine Liste löschreifer Rechnungen mit Bestätigung durch den Auftraggeber.
2. Anfragen betroffener Personen leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
3. Der Auftragnehmer unterstützt den Auftraggeber bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen (§ 8), bei einer Datenschutz-Folgenabschätzung und bei vorheriger Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO). Ein Muster der Datenschutz-Folgenabschätzung stellt der Auftragnehmer auf Anfrage bereit.

§ 8 Meldung von Verletzungen

1. Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Auftraggeber unverzüglich (Art. 33 Abs. 2 DSGVO), nicht erst nach Abschluss der Untersuchung.
2. Die Information nennt, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und eine Kontaktperson. Fehlende Angaben werden nachgereicht.
3. Der Auftragnehmer folgt einem festen Ablauf bei Datenpannen, den er auf Anfrage vorlegt. Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO, 72 Stunden) und die Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei.

§ 9 Kontrollrechte

1. Der Auftraggeber darf sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer stellt dafür die erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO), insbesondere die Unterlagen nach Anlage 2.
2. Prüfungen vor Ort melden sich mit angemessener Frist an, stören den Betrieb nicht unverhältnismäßig und dürfen keine Daten anderer Praxen offenlegen. Der Auftragnehmer kann Prüfer auf Verschwiegenheit verpflichten und aus Gründen der Vertraulichkeit anderer Auftraggeber anstelle des Zugangs zum Server geeignete Nachweise anbieten.

§ 10 Rückgabe und Löschung

1. Vor Vertragsende kann der Auftraggeber alle Rechnungen und Daten exportieren (ein ZIP mit allen PDFs, einer CSV-Datei der Rechnungen, den Praxisangaben und einer Prüfsummenliste). Der Auftraggeber bleibt für seine gesetzlichen Aufbewahrungspflichten selbst verantwortlich.
2. Der Auftragnehmer stellt dem Auftraggeber vor der Löschung den Export bereit und weist ihn in Textform auf die bevorstehende Löschung hin. Er löscht die Praxis-Datei und den zugehörigen Datenschlüssel 30 Tage nach Vertragsende. Die dafür erzeugte Export-Datei ist unverschlüsselt: Sie bleibt nur bis zur Übergabe auf dem Server und wird danach überschrieben und entfernt. Bis zur Löschung bewahrt der Auftragnehmer nur die Prüfsummenliste auf, die keine personenbezogenen Daten enthält.
3. Sicherungen enthalten die verschlüsselte Praxis-Datei bis zum Ablauf der Aufbewahrungszeit der Sicherung (der älteste Stand ist rund zwölf Monate alt). Sie sind ohne den Hauptschlüssel unlesbar, werden nicht für andere Zwecke wiederhergestellt und laufen automatisch aus.
4. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.

§ 11 Vertraulichkeit und Berufsgeheimnis

1. Beide Parteien behandeln alle Informationen vertraulich, die sie im Rahmen dieses Vertrags erhalten.
2. Soweit der Auftraggeber zu den Personen gehört, die § 203 Abs. 1 oder 2 StGB nennt, gilt der Anhang zu § 203 StGB. Der Auftragnehmer ist dann mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 und Abs. 4 StGB.
3. Gehört der Auftraggeber nicht zu diesen Personen (zum Beispiel Heilpraktiker), verpflichtet sich der Auftragnehmer vertraglich in demselben Umfang zur Verschwiegenheit.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Weitergehende Regelungen im Nutzungsvertrag bleiben unberührt, soweit sie Rechte betroffener Personen nach Art. 82 DSGVO nicht beschränken.

§ 13 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag vor, soweit es um personenbezogene Daten geht.
3. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Anstelle der unwirksamen Bestimmung gilt, was dem gewollten Zweck am nächsten kommt.
4. Die Anlagen 1 bis 3 und der Anhang zu § 203 StGB sind Bestandteil des Vertrags.

Anlage 1: Gegenstand, Daten und Betroffene

Art der Verarbeitung. Speichern, Ordnen, Abfragen, Verwenden, Übermitteln an den Auftraggeber (Anzeige, PDF, Export), Sichern, Wiederherstellen, Sperren und Löschen. Es gibt keine Auswertung für eigene Zwecke des Auftragnehmers.

Zweck. Rechnungsstellung, Zahlungsverfolgung, Mahnung und Leistungsübersicht des Auftraggebers. Kein Praxisverwaltungssystem: keine Termine, keine Patientenakte, keine Behandlungsdokumentation. Die Verordnung mit Behandlungen ist ein Leistungsnachweis zur Rechnung (Behandlungstag und Behandler je erbrachter Einheit), keine Behandlungsdokumentation: Es gibt keine Befunde und keine Notizen.

Betroffene Personen.

• Patientinnen und Patienten des Auftraggebers
• Abweichende Rechnungsempfänger (Zahler)
• Behandlerinnen und Behandler (Name als Feld an der Leistung)
• Personen mit Zugang zum Konto der Praxis

Datenkategorien.

Die Betreiber-Seiten des Auftragnehmers zeigen von einer Praxis nur Kontodaten (Adresse, Tarif, Status, Zeitpunkte, Stand des zweiten Faktors, Zahl der festgeschriebenen Rechnungen im Monat), nie Patienten- oder Rechnungsdaten.

Aufbewahrung. Rechnungen seit 01.01.2025 acht Jahre (§ 14b UStG, § 147 Abs. 3 AO), je Praxis einstellbar. Die Löschung nach Fristende löst der Auftraggeber aus, es gibt keine automatische Löschung.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Grundlage sind das Design der Anwendung und das Betriebshandbuch des Auftragnehmers. Maßnahmen, die erst mit der Inbetriebnahme gelten, werden vor dem Echtbetrieb vom Betreiber bestätigt (Abschnitt 8).

1. Vertraulichkeit

• Zutritt: Der Server steht im Rechenzentrum des Hosting-Anbieters (Anlage 3). Die Zutrittskontrolle zum Rechenzentrum liegt beim Anbieter.
• Zugang: Anmeldung mit E-Mail-Adresse und Passwort (Argon2id-Hash, mindestens zwölf Zeichen). Zwei-Faktor-Anmeldung ist Pflicht (Authenticator-App, Ersatzcodes). Auf Wunsch der Nutzerin kann ein Gerät für 30 Tage gemerkt werden (nicht beim Betreiber-Konto): Dort entfällt nur der App-Code, das Passwort bleibt Pflicht. Das Merken gilt feste 30 Tage, ist je Konto auf zehn Geräte begrenzt, speichert nur den Hash eines Zufallswerts und lässt sich in den Einstellungen für alle Geräte widerrufen. Die Praxis kann ihr Passwort selbst ändern und neue Ersatzcodes erzeugen (beides verlangt Passwort und App-Code; die Passwortänderung beendet alle Sitzungen und gemerkten Geräte, neue Ersatzcodes entwerten die alten sofort). Bei Verlust setzt der Betreiber Passwort oder zweiten Faktor nach Prüfung der Identität zurück (Einmalpasswort, die Praxis muss es bei der nächsten Anmeldung ändern); jede dieser Aktionen beendet Sitzungen und gemerkte Geräte, steht ohne Namen im Betriebsprotokoll und wird der Praxis per Mail (ohne Passwort oder Code) mitgeteilt. Das Betreiber-Konto ist selbst durch Passwort und zweiten Faktor geschützt, merkt kein Gerät und verlangt den App-Code noch einmal, bevor es einer Praxis den Zugang zurücksetzt. Bei der Registrierung wählt die Praxis ihr Passwort erst, nachdem sie ihre E-Mail-Adresse über den Link bestätigt hat. Nach fünf Fehlversuchen in zehn Minuten wird gesperrt. Die Antwort verrät nicht, ob eine Adresse existiert. Der administrative Zugang zum Server ist im Abschnitt „Angaben zum Auftragnehmer“ beschrieben.
• Sitzung: Ende nach 30 Minuten Leerlauf und spätestens nach 12 Stunden. Das Sitzungs-Cookie trägt HttpOnly, Secure und SameSite=Strict, Formulare sind gegen CSRF geschützt.
• Zugriff: Eine Praxis sieht ausschließlich ihre eigene Datei. Jeder Zugriff öffnet genau die Datei des angemeldeten Kontos. Es gibt keinen Codepfad, der zwei Praxis-Dateien gleichzeitig hält. Ein Negativtest prüft, dass manipulierte Kennungen und Pfade nie Daten einer anderen Praxis liefern.
• Trennung: Je Praxis eine eigene Datei mit eigenem Datenschlüssel. Zentral stehen nur Konto, Tarif und ein Zähler festgeschriebener Rechnungen je Monat, keine Patientendaten.
• Verschlüsselung gespeicherter Daten: Die ganze Praxis-Datei ist verschlüsselt (SQLCipher, 256-Bit-Schlüssel), nicht feldweise. Der Datenschlüssel ist selbst mit dem Hauptschlüssel verschlüsselt (AES-256-GCM). Der Hauptschlüssel liegt in einer Datei mit Rechten 600 außerhalb von Code, Daten und Sicherung. Eine Sicherung allein genügt nie zum Lesen.
• Passwörter werden nie im Klartext gespeichert und nie protokolliert.

2. Integrität

• Weitergabe: Übertragung nur über TLS (Zertifikat, HSTS). Die Anwendung versendet keine Rechnungen und keine Mahnungen. Sie versendet nur Konto-Mails (Bestätigungslink der Registrierung, Hinweis auf ein vorhandenes Konto, Hinweis auf einen zurückgesetzten Zugang) über TLS mit geprüftem Zertifikat, als reinen Text ohne Bilder und ohne Patientendaten. Passwort und zweiten Faktor setzt der Betreiber nach Prüfung der Identität zurück, die Sitzungen und gemerkten Geräte des Kontos enden dabei.
• Eingabe: Festschreiben, Storno, Mahnung, Export und Löschung werden im Ereignisprotokoll der Praxis mit Kennungen festgehalten, ohne Namen. Anmeldungen, Sperren und Kontoänderungen stehen als Zeilen ohne Namen und ohne E-Mail-Adresse im Betriebsprotokoll (Rotation acht Wochen).
• Unveränderlichkeit: Festgeschriebene Rechnungen, Nummer, Empfänger, Positionen, Beträge und PDF sind durch Datenbank-Trigger gegen Änderung und Löschung geschützt. Korrekturen laufen nur über Storno. Das PDF wird einmal erzeugt und unverändert gespeichert.
• Eingabeprüfung: Parametrisierte Abfragen, serverseitige Prüfung aller Eingaben, Ausgabe-Escaping, strenge Content-Security-Policy mit nur eigenen Quellen. Logo-Uploads werden geprüft (Typ, Größe, Pixel) und neu kodiert.

3. Verfügbarkeit und Belastbarkeit

• Sicherung: täglich um 03:50 verschlüsselt in ein eigenes Repository mit eigenen Zugangsdaten. Aufbewahrung 14 tägliche, 8 wöchentliche und 12 monatliche Stände. Nach jeder Sicherung wird das Repository geprüft. Der Hauptschlüssel ist nicht Teil der Sicherung.
• Notfallkopie des Hauptschlüssels: auf Papier, getrennt von Server und Sicherung, mit Prüfsummen je Zeile. Zweimal im Jahr wird sie abgetippt und gegen den Schlüssel geprüft.
• Betrieb: Der Dienst startet nach einem Absturz neu und beim Hochfahren des Servers. Ein Alarm meldet über 80 Prozent Plattenbelegung. Die Anwendung begrenzt die Größe einer Praxis-Datei, weil sich die Platte nicht je Anwendung begrenzen lässt (Abschnitt 8, Nummer 6).
• Wiederherstellung: Vor dem Echtbetrieb wird eine Wiederherstellung aus der Sicherung durchgespielt und mit Rechnungsanzahl und Summen verglichen.

4. Pseudonymisierung und Datenminimierung

• Es gibt keine Patientenakte, keine Behandlungsnotizen und keine Versicherungsdaten. Die Behandlungen einer Verordnung tragen nur Tag und Behandler, keinen Freitext.
• Diagnose und Geburtsdatum werden nur bei eingeschaltetem Schalter erfasst, Voreinstellung aus.
• Protokolle enthalten nur Kennungen, Zähler und Codes, keine Namen, E-Mail-Adressen oder Anschriften. Das Zugriffsprotokoll des Webservers enthält weder IP-Adresse noch Pfad noch Browserkennung, sein Fehlerprotokoll für diese Anwendung nur kritische Fehler.
• Die Anwendung lädt nichts von fremden Servern: kein CDN, keine Schriften von Dritten, keine Tracker.

5. Datenschutz durch Technikgestaltung

• Sperren statt Löschen während der Aufbewahrungsfrist, danach eine Liste löschreifer Rechnungen. Gelöscht wird erst nach Bestätigung durch den Auftraggeber.
• Auskunft und Export aller Daten eines Patienten mit einem Klick.
• Export aller Rechnungen bei Kündigung (ZIP und CSV).

6. Härtung des Servers und Restrisiko

Maßnahmen.

• Ein eigener Server nur für diese Anwendung. Anmeldung am Server nur mit SSH-Schlüssel, Firewall auf dem Server und beim Hoster (nur Web- und Verwaltungszugang offen), Sperre nach Fehlversuchen, automatische Sicherheitsupdates.
• Eigener Benutzer ohne Shell und ohne Zusatzgruppen, eigenes Verzeichnis mit Rechten 700.
• Eigener systemd-Dienst mit Sandbox: keine Zusatzrechte, Dateisystem nur lesend außer Daten- und Log-Verzeichnis, privates tmp, keine Geräte, Begrenzung von Speicher, Rechenzeit, Prozessen und offenen Dateien.
• Die Anwendung hört nur auf 127.0.0.1. Davor steht ein Webserver mit eigenem Zertifikat.
• Eigene Node-Kopie, eigene Daten, eigener Hauptschlüssel, eigene Sicherung mit eigenen Zugangsdaten, eigene Logs mit eigener Rotation.
• Die Passwortdatei des Postfachs für Konto-Mails liegt außerhalb der Daten und der Sicherung.
• Der Mahnlauf ist ein eigener systemd-Timer, der derzeit nicht aktiviert ist.

Restrisiko. Hardware, Virtualisierung und Rechenzentrum betreibt der Hoster (Anlage 3). Wer den Server oder ein Abbild seiner Platte kontrolliert, kann den laufenden Hauptschlüssel und die Praxis-Dateien lesen. Die Verschlüsselung der Dateien schützt die Sicherung und verlorene Datenträger. Abbilder des Servers beim Hoster (Backups, Snapshots der Cloud) werden nicht angelegt, außer kurz vor einem Neustart und dann sofort wieder gelöscht.

7. Überprüfung, Bewertung und Evaluierung

• Qualitätsprüfung vor jeder Inbetriebnahme und nach größeren Änderungen, Prüfung der Abhängigkeiten auf bekannte Schwachstellen.
• Wiederherstellungstest und Neustart-Test des Dienstes vor dem Echtbetrieb.
• Prüfung der Notfallkopie zweimal im Jahr. Jährliche Durchsicht von Verzeichnis der Verarbeitungen, Datenschutz-Folgenabschätzung und dieser Anlage.
• Außerordentliche Überprüfung bei Sicherheitsvorfällen, neuen Verarbeitungsmerkmalen und Hinweisen der Aufsichtsbehörde.

8. Bedingungen vor dem Echtbetrieb

Der Auftragnehmer nimmt den Echtbetrieb erst auf, wenn diese Bedingungen erfüllt sind:

1. Eine Wiederherstellung aus der Sicherung wurde durchgespielt und verglichen.
2. Die Notfallkopie des Hauptschlüssels ist erstellt, geprüft und getrennt verwahrt.
3. Der Dienst startet nach einem Neustart des Servers von selbst (Neustart-Test).
4. Dieses Restrisiko steht in dieser Anlage und in der Datenschutz-Folgenabschätzung.
5. Die Begrenzung der Größe einer Praxis-Datei und die Gesundheitsprüfung der Anwendung sind umgesetzt und geprüft.
6. Die Verträge nach Art. 28 DSGVO mit den Unterauftragsverarbeitern der Anlage 3 bestehen.

Anlage 3: Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses gilt diese Liste (§ 6). Alle Unterauftragsverarbeiter haben Sitz und Ort der Verarbeitung in der Europäischen Union.

Nicht als Unterauftragsverarbeiter gelten Stellen, die keine Daten der Praxen erhalten: die Zertifizierungsstelle für das TLS-Zertifikat (erhält nur den Domainnamen), die Namensauflösung der Domain und die Paketquellen für Aktualisierungen des Betriebssystems.

Anhang zu § 203 StGB: Verschwiegenheit und Berufsgeheimnis

Dieser Anhang gilt, soweit der Auftraggeber Berufsgeheimnisträger im Sinne von § 203 Abs. 1 oder 2 StGB ist. Dazu gehören insbesondere Angehörige von Heilberufen mit staatlich geregelter Ausbildung (§ 203 Abs. 1 Nr. 1 StGB, zum Beispiel Physiotherapeuten, Ergotherapeuten, Logopäden, Psychotherapeuten) und Berufspsychologen (§ 203 Abs. 1 Nr. 2 StGB). Wer im Einzelfall dazu gehört, klärt der Auftraggeber.

1. Mitwirkende Person. Der Auftragnehmer wird als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB tätig. Der Auftraggeber darf ihm Geheimnisse nur offenbaren, soweit dies für die Inanspruchnahme seiner Tätigkeit erforderlich ist. Das ist bei Betrieb, Fehlerbehebung, Sicherung und Wiederherstellung der Anwendung der Fall.
2. Verpflichtung zur Geheimhaltung. Der Auftragnehmer verpflichtet sich, alle Geheimnisse, die ihm bei der Tätigkeit bekannt werden (Namen, Tatsache der Behandlung, Leistungen, Diagnosen, Rechnungsinhalte), geheim zu halten und nur im Rahmen des Auftrags zu verwenden. Die Verpflichtung gilt über das Vertragsende hinaus.
3. Hinweis auf die Strafbarkeit. Dem Auftragnehmer ist bekannt, dass die unbefugte Offenbarung fremder Geheimnisse nach § 203 Abs. 4 Satz 1 StGB strafbar ist. Er bestätigt, auf die Strafbarkeit hingewiesen worden zu sein.
4. Weitere mitwirkende Personen. Setzt der Auftragnehmer weitere Personen oder Stellen ein (Beschäftigte, Unterauftragsverarbeiter nach Anlage 3), gibt er Geheimnisse nur weiter, soweit dies erforderlich ist. Er verpflichtet jede dieser Personen und Stellen vorher in Textform zur Verschwiegenheit unter Hinweis auf die strafrechtlichen Folgen (§ 203 Abs. 4 Satz 2 StGB). Eine Liste der verpflichteten Personen und Stellen legt er dem Auftraggeber auf Anfrage vor.
5. Zugriff. Der Auftragnehmer verschafft sich Kenntnis von Inhalten nur, soweit dies für die Vertragserfüllung erforderlich ist (§ 3 Abs. 3). Die Anwendung ist so gebaut, dass im Regelbetrieb kein Zugriff auf Klartext nötig ist: Die Praxis-Dateien liegen verschlüsselt vor, die Protokolle enthalten keine Namen.
6. Rückgabe und Löschung. Bei Vertragsende gilt § 10. Unterlagen mit Geheimnissen werden dem Auftraggeber übergeben oder vernichtet.
7. Auftraggeber ohne Berufsgeheimnis. Gehört der Auftraggeber nicht zu den in § 203 Abs. 1 oder 2 StGB genannten Personen (zum Beispiel Heilpraktiker), gelten die Nummern 2 bis 6 als vertragliche Verschwiegenheitspflicht in demselben Umfang.