AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

gemäß Art. 28 DSGVO — DR. INFO Plattform (DR. INFO Clinical / DR. INFO Workflow)

---

Version: 1.0
Sprachhinweis: Dieser deutsche Text ist die rechtsverbindliche Fassung dieses Auftragsverarbeitungsvertrags. Etwaige Übersetzungen in andere Sprachen dienen ausschließlich der Information; bei Abweichungen ist der deutsche Wortlaut maßgeblich.

---

Parteien

Dieser Vertrag wird geschlossen zwischen:

Verantwortlicher („Kunde"): die Gesundheitseinrichtung oder der Angehörige eines Gesundheitsberufs, die bzw. der diesen Vertrag über ihr bzw. sein registriertes Nutzerkonto annimmt. Die Identität des Kunden, sein vertretungsberechtigter Ansprechpartner sowie seine Kontaktdaten ergeben sich aus den im Nutzerkonto des Kunden hinterlegten Angaben und werden im Zeitpunkt der Annahme im Kundenkonfigurationsdatensatz (Customer Configuration Record) dokumentiert.

Auftragsverarbeiter:
Synduct GmbH, Bergmannstr. 58, 80339 München, Deutschland
HRB 298232, Amtsgericht München — USt-IdNr.: DE455696850
Geschäftsführer: Valentine Emmanuel
Datenschutzkontakt: regulatory@synduct.com

(jeweils eine „Partei", gemeinsam die „Parteien")

---

Präambel

(A) Der Verantwortliche ist eine Gesundheitseinrichtung oder ein Angehöriger eines Gesundheitsberufs, dessen Personal der beruflichen Schweigepflicht (§ 203 StGB) unterliegt und der bei der Verarbeitung von Patientendaten der DSGVO und dem BDSG unterliegt.

(B) Der Auftragsverarbeiter stellt die DR. INFO Plattform bereit, eine KI-gestützte Plattform für Gesundheits-Workflows, die über zwei Produktkanäle bereitgestellt wird: DR. INFO Clinical (Webanwendung) und DR. INFO Workflow (installierte Software mit Anbindung an das Praxisverwaltungssystem). Im Rahmen der Bereitstellung der Plattform verarbeitet der Auftragsverarbeiter personenbezogene Daten — einschließlich Gesundheitsdaten (Art. 9 DSGVO) — im Auftrag des Verantwortlichen.

(C) Dieser Vertrag setzt Art. 28 Abs. 3 DSGVO für sämtliche derartige Verarbeitungen um, unabhängig von Produktkanal, Workflow-Modul oder Bereitstellungsprofil (Deployment Profile). Er ist als Rahmenvertrag ausgestaltet: Der nachstehende Vertragskörper ist beständig; operative Einzelheiten sind in versionierten Anlagen geregelt, die ausschließlich innerhalb der engen Grenzen des § 16 aktualisiert werden dürfen.

(D) Groß geschriebene Begriffe werden in der in § 1 sowie im Produktglossar (Product Dictionary) festgelegten Bedeutung verwendet; das Produktglossar dient als Auslegungshilfe zu diesem Vertrag.

---

§ 1 Begriffsbestimmungen

1.1 Die in Art. 4 DSGVO definierten Begriffe („personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Verletzung des Schutzes personenbezogener Daten", „Pseudonymisierung") haben die dort festgelegte Bedeutung.

1.2 Ergänzend gilt:

• „Kunde" — der Verantwortliche in seiner Eigenschaft als Empfänger der Plattformleistungen;
• „Plattform" — die DR. INFO Plattform, bestehend aus den Produktkanälen DR. INFO Clinical (Webanwendung) und DR. INFO Workflow (installierte Software einschließlich des PVS-Agenten);
• „Workflow-Modul" — eine funktionale Fähigkeit der Plattform, wie sie in Anlage A katalogisiert ist;
• „Modulaktivierung" — die protokollierte Freischaltung eines Workflow-Moduls durch den vom Verantwortlichen bevollmächtigten Administrator innerhalb der Plattform, die eine dokumentierte Weisung darstellt (§ 4.2);
• „De-Identifizierung (Maskierung)" — Entfernung oder Ersetzung direkter Identifikatoren in Quelldaten vor der KI-gestützten Verarbeitung; rechtlich eine Form der Pseudonymisierung (Art. 4 Nr. 5 DSGVO) — maskierte Daten bleiben personenbezogene Daten;
• „Anonymisierung" — unumkehrbare Umwandlung nach dem Maßstab des Erwägungsgrundes 26 DSGVO (Stellungnahme 05/2014 der Artikel-29-Datenschutzgruppe), angewandt ausschließlich auf das Trainingsdatenprogramm nach Anlage G und dem in Anlage G festgelegten Maßstab der Unumkehrbarkeit genügend. Die im Nutzerkonto verbleibenden Dienstderivate nach Anlage A (z. B. gespeicherte Scribe-Transkripte und generierte Berichte) sind de-identifizierte (maskierte), d. h. pseudonymisierte personenbezogene Daten und keine anonymisierten Daten;
• „Zero Data Retention" — eine Konfigurations- und Vertragsgestaltung, nach der ein Anbieter von Foundation-Modellen nach der Inferenz weder Eingaben (Prompts) noch Ausgaben speichert und keine Kundendaten für das Modelltraining verwendet;
• „Kundenkonfigurationsdatensatz" (Customer Configuration Record) — der Datensatz gemäß Anlage B, Anhang B-1, der die Produktkanäle, das Bereitstellungsprofil und die aktivierten Workflow-Module des Verantwortlichen dokumentiert;
• „Anlagen" — die in § 2.3 aufgeführten Dokumente in ihrer jeweils nach § 16 geänderten Fassung.

§ 2 Gegenstand; Aufbau dieses Vertrags

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung der Plattform und der vom Verantwortlichen aktivierten Workflow-Module.

2.2 Dieser Vertrag regelt sämtliche derartige Verarbeitungen in beiden Produktkanälen und in allen Bereitstellungsprofilen.

2.3 Die folgenden Anlagen sind wesentlicher Bestandteil dieses Vertrags:

Anlage D (die Unterauftragsverarbeiterliste) ist unter https://www.drinfo.ai/legal/sub-processors veröffentlicht. Die jeweils aktuellen Fassungen der übrigen Anlagen werden dem Verantwortlichen auf Anfrage (regulatory@synduct.com) zur Verfügung gestellt, auch bereits vor Annahme dieses Vertrags durch den Verantwortlichen.

2.4 Rangfolge: (1) zwingendes Recht; (2) der Vertragskörper dieses Vertrags; (3) die Anlagen A-G; (4) das Produktglossar und die in Bezug genommenen unterstützenden Unterlagen. Bei Widersprüchen geht die höherrangige Quelle vor. Individuell ausgehandelte Vereinbarungen haben Vorrang vor diesen Standardbedingungen (§ 305b BGB); die Parteien beabsichtigen, Änderungen des Vertragskörpers in der Form des § 16.1 vorzunehmen.

§ 3 Art und Zweck der Verarbeitung; Dauer; Datenkategorien; betroffene Personen

3.1 Art und Zweck: Entgegennahme von Quelldaten — einschließlich, im Produktkanal DR. INFO Workflow, des agentengestützten Exports von Behandlungsdaten aus dem Praxisinformationssystem des Verantwortlichen (z. B. CGM M1 Pro, tomedo) innerhalb der Umgebung des Verantwortlichen und ausschließlich auf Weisung eines autorisierten Nutzers —, Validierung, De-Identifizierung (Maskierung), Strukturierung, Extraktion, Zusammenfassung, Transkription (Scribe-Modul), Entwurfserstellung und Rückgabe von Workflow-Ausgaben für die in Anlage A beschriebenen administrativen und Dokumentations-Workflows sowie deren anschließende Löschung.

3.2 Dauer: Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptleistungsvertrags (§ 15).

3.3 Kategorien betroffener Personen: Patienten des Verantwortlichen; autorisierte Nutzer; sonstiges Personal des Verantwortlichen; soweit in Quelldokumenten enthalten: in den Unterlagen genannte dritte Behandler und Angehörige.

3.4 Kategorien personenbezogener Daten: wie je Workflow-Modul in Anlage A festgelegt, einschließlich besonderer Kategorien personenbezogener Daten (Gesundheitsdaten, Art. 9 Abs. 1 DSGVO) wie Diagnosen, Medikation, Behandlungsunterlagen, Arbeitsunfähigkeitsdaten und — ausschließlich für das Scribe-Modul — Sprachaufzeichnungen von Konsultationen. Datenkategorien, die für ein vom Verantwortlichen aktiviertes Modul nicht in Anlage A aufgeführt sind, werden nicht verarbeitet, mit Ausnahme der in Anlage A beschriebenen plattformseitigen Kategorien (Nutzerkontodaten, identifikatormaskierte Nutzeranfragen, pseudonymisierte Telemetriedaten), die für jeden Kunden verarbeitet werden.

3.5 Ort der Verarbeitung: ausschließlich innerhalb der EU/des EWR, vorbehaltlich des § 9.

3.6 Rollenverteilung: Für die Vertragsverwaltung, die Verwaltung von Nutzerkonten, die Abrechnung sowie die aggregierte Serviceverbesserung auf Grundlage identifikatormaskierter Nutzungsdaten handelt der Auftragsverarbeiter als eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO auf der Rechtsgrundlage des Art. 6 Abs. 1 lit. b und f DSGVO; für diese Verarbeitung gilt die Datenschutzerklärung des Auftragsverarbeiters. Dieser Vertrag regelt sämtliche übrigen in Anlage A beschriebenen Verarbeitungen.

3.7 Rechtsgrundlage für Gesundheitsdaten: Als Verantwortlicher trägt der Kunde die alleinige Verantwortung für die Schaffung einer wirksamen Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten) gemäß Art. 9 Abs. 2 DSGVO. Der Verantwortliche sichert zu, dass vor der Übermittlung von Gesundheitsdaten an die Plattform eine ausdrückliche Einwilligung des Patienten oder eine andere wirksame Ausnahme nach Art. 9 DSGVO rechtswirksam eingeholt wurde. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Vertrauen auf diese Zusicherung und ist rechtlich nicht verpflichtet, das Bestehen oder die Wirksamkeit der Rechtsgrundlage des Verantwortlichen zu überprüfen.

§ 4 Verarbeitung auf dokumentierte Weisung

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), einschließlich in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist hierzu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Dokumentierte Weisungen bestehen aus: (a) diesem Vertrag einschließlich seiner Anlagen; (b) dem Kundenkonfigurationsdatensatz; (c) protokollierten Modulaktivierungen, die der vom Verantwortlichen bevollmächtigte Administrator innerhalb der Plattform vornimmt (elektronische Form, Art. 28 Abs. 9 DSGVO); sowie (d) Einzelweisungen in Textform (E-Mail) durch die vom Verantwortlichen als weisungsbefugt benannten Personen.

4.3 Der Auftragsverarbeiter führt ein Weisungsprotokoll (einschließlich sämtlicher Modulaktivierungen mit Nutzer, Zeitstempel, Modul und Version der Anlage A) und stellt es dem Verantwortlichen auf Anforderung zur Verfügung.

4.4 Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und kann die Ausführung dieser Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird. Der Auftragsverarbeiter darf offensichtlich rechtswidrige Weisungen ablehnen.

4.5 Weisungen, die den vertraglich vereinbarten Leistungsumfang überschreiten, werden als Änderungsverlangen (Change Requests) behandelt; etwaige Mehrkosten werden vor der Ausführung vereinbart (§ 14.2).

§ 5 De-Identifizierung, KI-Verarbeitung, Verbot der Trainingsnutzung

5.1 Direkte Identifikatoren in Quelldaten werden vor der Übermittlung an den Anbieter des Foundation-Modells entfernt oder ersetzt (De-Identifizierung/Maskierung). Im Bereitstellungsprofil B (installierte Software) erfolgt die Maskierung vollständig innerhalb der Umgebung des Verantwortlichen; im Bereitstellungsprofil A (Webanwendung) erfolgt die Maskierung innerhalb der EU-Umgebung des Auftragsverarbeiters vor dem Aufruf des KI-Dienstes. Dieser § 5.1 gilt nicht für Scribe-Audiodaten, die vor der Transkription technisch nicht maskiert werden können und auf Grundlage der ausdrücklichen Einwilligung des Patienten verarbeitet werden (Anlage A-4).

5.2 Die Verarbeitung durch das Foundation-Modell erfolgt über Google Cloud Vertex AI (Gemini), EU-Region, unter Zero Data Retention: keine Speicherung von Eingaben oder Ausgaben nach der Inferenz, kein Prompt-Logging zur Missbrauchsüberwachung, keine Nutzung für das Modelltraining. Für das Scribe-Modul wird die Sprache-zu-Text-Transkription zusätzlich durch Speechmatics Ltd. (Anlage D) unter gleichwertigen Bedingungen durchgeführt: ausschließlich transiente Verarbeitung, Löschung entsprechend den Scribe-Löschfristen (Anlage A-4) und keine Nutzung von Daten des Verantwortlichen für das Modelltraining. Diese Zusagen entsprechen den bei Vertragsschluss geltenden Bedingungen und Konfigurationen der Anbieter; anbieterseitige Änderungen werden nach §§ 8.2 und 16 behandelt.

5.3 Verbot der Trainingsnutzung: Der Auftragsverarbeiter verwendet identifizierbare oder pseudonymisierte personenbezogene Daten des Verantwortlichen nicht für das Training, das Fine-Tuning oder die Evaluierung von KI-Modellen. Die Nutzung unumkehrbar anonymisierter Daten zu solchen Zwecken erfolgt nur, soweit dies mit dem Verantwortlichen gesondert vereinbart wurde, und ausschließlich nach Maßgabe der Anlage G; die Teilnahme ist freiwillig, wird im Kundenkonfigurationsdatensatz dokumentiert und kann vom Verantwortlichen jederzeit mit Wirkung für die Zukunft beendet werden. Daten aus dem Scribe-Modul — Aufzeichnungen, Transkripte und daraus abgeleitete Behandlungseinträge — sind von jeder derartigen Regelung ausgenommen.

5.4 Jede Workflow-Ausgabe ist ein Entwurf, der der Prüfung durch einen autorisierten Nutzer bedarf; die Plattform verfügt über keine Fähigkeit, Dokumente eigenständig an Dritte zu versenden.

§ 6 Vertraulichkeit; Personal; § 203 StGB

6.1 Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO) und dass sie personenbezogene Daten ausschließlich auf Weisung verarbeiten (Art. 29, Art. 32 Abs. 4 DSGVO).

6.2 Alle diese Personen — einschließlich freier Mitarbeiter und Auftragnehmer sowie ausdrücklich einschließlich remote tätigen Personals, das an Bildschirmfreigabe-Sitzungen (Screen-Sharing) mit dem Verantwortlichen teilnimmt — werden darüber hinaus schriftlich als mitwirkende Personen im Sinne des § 203 Abs. 3, 4 StGB verpflichtet und über die strafrechtlichen Folgen einer unbefugten Offenbarung belehrt. Diese Verpflichtungen bestehen über das Ende ihrer Tätigkeit hinaus fort. Diese Regelung genügt zugleich Art. 9 Abs. 3 DSGVO: Gesundheitsdaten werden unter der Verantwortung von Personen verarbeitet, die einer beruflichen Schweigepflicht unterliegen.

6.3 Der Zugang zu personenbezogenen Daten wird nach dem Grundsatz „Kenntnis nur, wenn nötig" (Need-to-know) auf Grundlage eines rollenbasierten Zugriffsmodells (Anlage E) gewährt; Zugriffsberechtigungen werden regelmäßig überprüft und bei Rollenwechsel oder Ausscheiden unverzüglich entzogen.

6.4 Das Personal des Auftragsverarbeiters erhält vor dem ersten Zugriff auf Daten des Verantwortlichen eine Datenschutzschulung sowie in angemessenen Abständen Auffrischungsschulungen; hierüber werden Nachweise geführt.

§ 7 Sicherheit der Verarbeitung (Art. 32 DSGVO)

7.1 Der Auftragsverarbeiter setzt die in Anlage E (TOM) festgelegten technischen und organisatorischen Maßnahmen um und erhält sie aufrecht, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die betroffenen Personen — einschließlich, soweit angemessen: Verschlüsselung personenbezogener Daten bei der Übertragung (TLS 1.2+) und im Ruhezustand (at rest); Pseudonymisierung; Maßnahmen zur dauerhaften Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit; die Fähigkeit, die Verfügbarkeit nach einem Zwischenfall wiederherzustellen; sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit.

7.2 Die TOM können im Einklang mit dem technischen Fortschritt weiterentwickelt werden; das Schutzniveau darf dabei zu keinem Zeitpunkt gesenkt werden (§ 16.2). Wesentliche Änderungen werden nach § 16 mitgeteilt.

7.3 Auf Anforderung weist der Auftragsverarbeiter die Einhaltung der Anlage E durch Vorlage geeigneter Nachweise nach (Konfigurationsauszüge, Prüfberichte, soweit vorhanden Zertifizierungen, Testprotokolle).

§ 8 Unterauftragsverarbeiter

8.1 Der Verantwortliche erteilt eine allgemeine Genehmigung für die Beauftragung der in Anlage D aufgeführten Unterauftragsverarbeiter für die dort beschriebenen Leistungen.

8.2 Der Auftragsverarbeiter unterrichtet den Verantwortlichen in Textform mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine einvernehmliche Lösung (z. B. alternative Maßnahmen oder Anbieter); gelingt dies nicht, kann der Verantwortliche die betroffenen Leistungen — oder, wenn eine Teilkündigung unzumutbar ist, diesen Vertrag gemeinsam mit dem Hauptleistungsvertrag — zum Zeitpunkt des Wirksamwerdens der Änderung ohne Vertragsstrafe kündigen; im Voraus gezahlte Vergütung für Zeiträume nach dem Wirksamwerden der Kündigung wird anteilig erstattet.

8.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich datenschutzrechtliche Pflichten auf, die den in diesem Vertrag festgelegten im Wesentlichen gleichwertig sind — insbesondere hinreichende Garantien nach Art. 28 Abs. 1 und 4 DSGVO, Vertraulichkeit, Sicherheit nach Art. 32, Transparenz und Unterstützung bei Prüfungen sowie Löschung/Rückgabe. Soweit ein Unterauftragsverarbeiter als mitwirkende Person im Sinne des § 203 Abs. 3 StGB tätig wird, stellt der Auftragsverarbeiter entsprechende Vertraulichkeitsverpflichtungen sicher; für Infrastruktur- und KI-Dienstleister ohne beabsichtigten Zugang zu Patientengeheimnissen in identifizierbarer Form genügen die Vertraulichkeitszusagen nach Art. 28 Abs. 3 lit. b DSGVO.

8.4 Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters voll verantwortlich (Art. 28 Abs. 4 Satz 2 DSGVO).

8.5 Die Beauftragung eines Unterauftragsverarbeiters außerhalb der EU/des EWR setzt zusätzlich die Einhaltung des § 9 voraus.

§ 9 Übermittlung in Drittländer

9.1 Die Verarbeitung findet in der EU/im EWR statt. Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur (a) auf dokumentierte Weisung des Verantwortlichen oder (b) soweit sie für die Leistung erforderlich und nach Kapitel V DSGVO abgesichert ist.

9.2 Soweit ein Unterauftragsverarbeiter der Jurisdiktion eines Drittlands unterliegt, wird der jeweils anwendbare Übermittlungsmechanismus je Unterauftragsverarbeiter in Anlage D dokumentiert — derzeit: das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO) für zertifizierte US-Stellen wie Google LLC sowie der Angemessenheitsbeschluss EU–Vereinigtes Königreich (Art. 45 DSGVO, in Kraft bis zum 27. Dezember 2026) für im Vereinigten Königreich ansässige Unterauftragsverarbeiter wie Speechmatics Ltd.; jeweils mit den EU-Standardvertragsklauseln (2021) nach Art. 46 Abs. 2 lit. c DSGVO als vertraglichem Auffangmechanismus.

9.3 Beruht eine Übermittlung auf einem Angemessenheitsbeschluss nach Art. 45 DSGVO (wie dem EU-U.S. DPF), sind weder eine Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) noch eine weitere Genehmigung erforderlich. Der Auftragsverarbeiter führt eine Transfer-Folgenabschätzung ausschließlich für Übermittlungen, die auf geeignete Garantien nach Art. 46 DSGVO gestützt werden (z. B. Standardvertragsklauseln als Auffangmechanismus). Soweit nach Art. 46 DSGVO einschlägig, dokumentiert diese Abschätzung ergänzende Maßnahmen (De-Identifizierung vor der Übermittlung, Zero Data Retention, Bindung an die EU-Region, Verschlüsselung) und wird dem Verantwortlichen auf Anforderung zur Verfügung gestellt.

§ 10 Unterstützung des Verantwortlichen

10.1 Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e): Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach den Art. 12-23 DSGVO. Jeder unmittelbar beim Auftragsverarbeiter eingehende Antrag einer betroffenen Person wird unverzüglich an den Verantwortlichen weitergeleitet; der Auftragsverarbeiter beantwortet Anträge betroffener Personen des Verantwortlichen nicht inhaltlich. Für das Scribe-Modul werden vom Verantwortlichen weitergeleitete Widerrufe von Einwilligungen innerhalb von 24 Stunden umgesetzt (Anlage A-4).

10.2 Art. 32-36 (Art. 28 Abs. 3 lit. f): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten zur Sicherheit, zur Meldung von Datenschutzverletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation, insbesondere durch Bereitstellung seiner Datenschutz-Folgenabschätzung, der Datenschutzarchitektur sowie der nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen im Falle einer Verletzung des Schutzes personenbezogener Daten.

10.3 Die Unterstützung nach §§ 10.1-10.2 wird unentgeltlich erbracht, soweit sie gesetzlich vorgeschrieben ist und im gewöhnlichen Geschäftsverlauf anfällt; für darüber hinausgehende Anfragen gilt § 14.2.

§ 11 Verletzungen des Schutzes personenbezogener Daten

11.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die für den Verantwortlichen verarbeitete personenbezogene Daten betrifft — als unverbindliches operatives Ziel: innerhalb von 24 Stunden nach Kenntniserlangung — und in jedem Fall so rechtzeitig, dass der Verantwortliche seine eigene 72-Stunden-Pflicht nach Art. 33 Abs. 1 DSGVO erfüllen kann.

11.2 Die Benachrichtigung enthält mindestens die Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung; Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze; wahrscheinliche Folgen; ergriffene oder vorgeschlagene Maßnahmen; Kontaktstelle). Sofern und soweit die Informationen nicht zeitgleich vorliegen, können sie schrittweise bereitgestellt werden.

11.3 Der Auftragsverarbeiter dokumentiert alle Verletzungen, einschließlich nicht meldepflichtiger, in einem Vorfallsregister (Art. 33 Abs. 5 DSGVO) und behandelt Vorfälle nach seinem Incident-Response-Plan. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldungen an Aufsichtsbehörden und betroffene Personen.

11.4 Eine Benachrichtigung nach diesem § 11 stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

§ 12 Dokumentations-, Informations- und Prüfrechte (Art. 28 Abs. 3 lit. h)

12.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

12.2 Der Verantwortliche (oder ein von ihm beauftragter Prüfer, der kein unmittelbarer Wettbewerber des Auftragsverarbeiters sein darf und zur Vertraulichkeit verpflichtet sein muss) kann Überprüfungen, einschließlich Inspektionen, der von diesem Vertrag erfassten Verarbeitungsvorgänge durchführen.

12.3 Modalitäten: Prüfungen bedürfen einer angemessenen Vorankündigung (in der Regel 14 Tage; keine im Falle eines substantiierten schwerwiegenden Vorfalls), finden während der Geschäftszeiten statt, höchstens einmal pro Kalenderjahr, sofern kein besonderer Anlass besteht, dürfen die Vertraulichkeit der Daten anderer Kunden nicht gefährden und erfolgen auf Kosten des Verantwortlichen; ergibt eine Prüfung eine wesentliche Nichteinhaltung dieses Vertrags durch den Auftragsverarbeiter, trägt der Auftragsverarbeiter die angemessenen Kosten dieser Prüfung. Der Auftragsverarbeiter kann einem Prüfverlangen zunächst durch Vorlage aussagekräftiger, aktueller Nachweise (Prüfberichte, Zertifizierungen, TOM-Nachweise, das Dokumentationspaket) nachkommen; soweit dies das Verlangen in zumutbarer Weise erledigt, ist eine Vor-Ort-Inspektion nicht erforderlich.

12.4 Feststellungen werden dokumentiert; der Auftragsverarbeiter behebt substantiierte Mängel innerhalb einer angemessenen Frist und meldet den Abschluss.

12.5 Der Auftragsverarbeiter duldet Untersuchungen der zuständigen Aufsichtsbehörden zu Verarbeitungen nach diesem Vertrag und wirkt in zumutbarem Umfang daran mit (Art. 31 DSGVO); er informiert den Verantwortlichen unverzüglich über jede aufsichtsbehördliche Maßnahme, die diese Verarbeitung betrifft, es sei denn, eine solche Information ist gesetzlich untersagt.

§ 13 Löschung und Rückgabe personenbezogener Daten (Art. 28 Abs. 3 lit. g)

13.1 Nach Beendigung dieses Vertrags — oder auf frühere Weisung des Verantwortlichen — wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten in einem gängigen, maschinenlesbaren Format zurückgeben und/oder einschließlich aller Kopien löschen und die Löschung dem Verantwortlichen in Textform (§ 126b BGB) innerhalb von 30 Tagen bestätigen (Löschbescheinigung).

13.2 Ausnahmen: (a) Daten, die der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, werden für jede andere Nutzung gesperrt und nach Ablauf der Aufbewahrungspflicht gelöscht; (b) Sicherungskopien werden durch Ablauf des Backup-Rotationszyklus (max. 90 Tage, Anlage F) gelöscht und außer zur Notfallwiederherstellung (Disaster Recovery) nicht wiederhergestellt, wobei in einem solchen Fall die erneute Löschung sichergestellt wird; (c) unumkehrbar anonymisierte Daten (Anlage G) sind keine personenbezogenen Daten; bereits bereitgestellte anonymisierte Daten durchlaufen ihren vereinbarten Aufbewahrungszyklus, sofern nichts anderes vereinbart ist.

13.3 Während der Laufzeit richtet sich die Löschung nach den Aufbewahrungsfristen und -methoden der Anlage F, einschließlich der Scribe-Löschfristen (Anlage A-4) und der automatisierten Löschung transienter Verarbeitungskopien (max. 24 Stunden nach Abschluss der Aufgabe).

§ 14 Vergütung; Kosten

14.1 Die Vergütung für die Plattform richtet sich nach dem Hauptleistungsvertrag. Die Erfüllung der Pflichten aus diesem Vertrag ist darin enthalten, vorbehaltlich des § 14.2.

14.2 Unterstützung, die über das hinausgeht, was Art. 28 DSGVO im gewöhnlichen Geschäftsverlauf erfordert — insbesondere Prüfungen über die Häufigkeit des § 12.3 hinaus, umfangreiche individuelle Analysen oder Weisungsänderungen nach § 4.5 —, kann zu angemessenen, dokumentierten und vorab vereinbarten Kosten in Rechnung gestellt werden.

§ 15 Laufzeit; Kündigung; Fortgeltung

15.1 Dieser Vertrag tritt mit Unterzeichnung (oder mit dokumentierter elektronischer Annahme, § 17.2) in Kraft und läuft für die Dauer des Hauptleistungsvertrags. Er kann nicht gesondert gekündigt werden, solange der Hauptleistungsvertrag die Verarbeitung personenbezogener Daten erfordert.

15.2 Jede Partei kann aus wichtigem Grund kündigen; für den Verantwortlichen liegt ein wichtiger Grund auch in einem schwerwiegenden oder anhaltenden Verstoß des Auftragsverarbeiters gegen diesen Vertrag, der nicht innerhalb einer angemessenen Nachfrist behoben wird.

15.3 Die §§ 6 (Vertraulichkeit/§ 203), 11.3 (Dokumentation), 12 (soweit zur Überprüfung der Einhaltung des § 13 erforderlich), 13 (Löschung/Rückgabe) und 18 gelten über die Beendigung hinaus fort.

§ 16 Änderungsmechanismus (Aktualisierung von Anlagen ohne erneute Unterzeichnung)

16.1 Anwendungsbereich. Nur die in § 2.3 aufgeführten Anlagen dürfen nach diesem § 16 aktualisiert werden. Änderungen des Vertragskörpers bedürfen der von beiden Parteien unterzeichneten Schriftform (§ 126 BGB; eine qualifizierte elektronische Signatur nach § 126a BGB genügt).

16.2 Grenzen. Eine Aktualisierung einer Anlage darf niemals: (a) das Schutzniveau für die betroffenen Personen senken; (b) die Kategorien personenbezogener Daten oder die Zwecke über den für den Verantwortlichen aktivierten Umfang hinaus erweitern, außer im Wege des § 16.4; oder (c) die gesetzlichen oder vertraglichen Rechte des Verantwortlichen einschränken.

16.3 Mitteilungspflichtige Aktualisierungen. Aktualisierungen innerhalb der Grenzen des § 16.2 — einschließlich TOM-Verbesserungen, redaktioneller Änderungen und neuer Workflow-Module, die ausschließlich bereits für den Verantwortlichen aktivierte Datenkategorien und Zwecke verarbeiten — werden dem Verantwortlichen mindestens 14 Tage vor ihrem Wirksamwerden in Textform mitgeteilt. Änderungen bei Unterauftragsverarbeitern richten sich nach § 8.2 (30 Tage + Widerspruchsrecht). Widerspricht der Verantwortliche einer Aktualisierung nach § 16.3 aus berechtigten datenschutzrechtlichen Gründen und wird vor dem Wirksamkeitsdatum keine Lösung erzielt, tritt die Aktualisierung für den Verantwortlichen nicht in Kraft; ist eine kundenspezifische Fortführung nicht möglich, weil die Aktualisierung über die mandantenfähige Plattform hinweg technisch unteilbar ist, kann der Verantwortliche stattdessen die betroffenen Leistungen ohne Vertragsstrafe kündigen.

16.4 Neue Datenkategorien oder Zwecke — Modulaktivierung. Ein Workflow-Modul, dessen Verarbeitung Datenkategorien oder Zwecke umfasst, die für den Verantwortlichen noch nicht aktiviert sind, wird erst mit der Modulaktivierung Teil des Weisungsumfangs: einer ausdrücklichen, protokollierten Freischaltung durch den vom Verantwortlichen bevollmächtigten Administrator, der eine plattforminterne Beschreibung der Datenkategorien, Zwecke, Speicherdauer, Unterauftragsverarbeiter und — soweit einschlägig — Einwilligungserfordernisse des Moduls (z. B. Patienteneinwilligung bei Scribe) vorausgeht. Das Aktivierungsprotokoll wird als dokumentierte Weisung aufbewahrt (Art. 28 Abs. 9 DSGVO) und dem Verantwortlichen zur Verfügung gestellt.

16.5 Versionsverwaltung. Jede Anlage trägt eine Version, ein Wirksamkeitsdatum und einen Änderungsnachweis (Change Log); der Auftragsverarbeiter bewahrt alle historischen Versionen auf und stellt sie auf Anforderung bereit. Die für den Verantwortlichen jeweils geltenden Anlagenversionen sind diejenigen, die im Kundenkonfigurationsdatensatz in seiner nach diesem § 16 aktualisierten Fassung erfasst sind; der Auftragsverarbeiter stellt dem Verantwortlichen nach jeder Änderung eine aktualisierte Kopie des Kundenkonfigurationsdatensatzes zur Verfügung.

§ 17 Haftung; Zustandekommen dieses Vertrags

17.1 Die Haftung der Parteien nach Art. 82 DSGVO (einschließlich der internen Aufteilung nach Art. 82 Abs. 5) bleibt unberührt. Gegen eine Partei nach Art. 83 DSGVO verhängte Geldbußen trägt diese Partei selbst.

17.2 Zustandekommen in elektronischer Form: Dieser Vertrag kann durch die dokumentierte elektronische Annahme des Verantwortlichen innerhalb der Plattform geschlossen werden (gesonderte Annahmehandlung, Bestätigung der Vertretungsbefugnis, Protokollierung von Identität, Zeitstempel und angenommener Version, Bereitstellung einer Kopie in dauerhafter Form) und genügt damit Art. 28 Abs. 9 DSGVO. Krankenhäuser und andere Einrichtungen können stattdessen eine gegengezeichnete Ausfertigung verlangen.

17.3 Die vertragliche Haftung (außerhalb des § 17.1) richtet sich nach dem Hauptleistungsvertrag.

§ 18 Schlussbestimmungen

18.1 Dieser Vertrag unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist, soweit zulässig, München.

18.2 Dieser deutsche Text ist die rechtsverbindliche Fassung und geht etwaigen Übersetzungen, die lediglich der Gefälligkeit dienen, vor.

18.3 Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

18.4 § 16 regelt die Aktualisierung der Anlagen; die §§ 15 und 16.1 regeln Änderungen des Vertragskörpers. Individuell ausgehandelte Vereinbarungen haben Vorrang (§ 305b BGB).

18.5 Mitteilungen: Mitteilungen nach diesem Vertrag erfolgen in Textform (E-Mail) an die im Kundenkonfigurationsdatensatz (Anlage B, Anhang B-1) hinterlegten Kontaktadressen; jede Partei hält ihre Adressen aktuell. Mitteilungen an den Auftragsverarbeiter: regulatory@synduct.com.

---

Annahme

Dieser Vertrag kommt durch die dokumentierte elektronische Annahme des Kunden zustande (Art. 28 Abs. 9 DSGVO); eine handschriftliche Unterschrift ist nicht erforderlich.

• Im Rahmen des Onboardings oder bei der erstmaligen Nutzung eines Moduls, das Patientendaten verarbeitet (z. B. das Scribe-Modul oder das Reports-/Arztbrief-Modul), nimmt der vertretungsberechtigte Ansprechpartner des Kunden diesen Vertrag durch eine ausdrückliche Annahmehandlung an (z. B. Klick auf „Annehmen").
• Die Annahme wird mit der Identität des annehmenden Nutzers, dem Zeitstempel und der angenommenen Version protokolliert. Die Freischaltung eines solchen Moduls stellt zugleich eine Modulaktivierung und eine dokumentierte Weisung nach §§ 4.2 und 16.4 dar, einschließlich der Bestätigung etwaiger einschlägiger Einwilligungserfordernisse (z. B. Patienteneinwilligung bei Scribe).
• Der Kunde bestätigt, dass die annehmende Person berechtigt ist, diesen Vertrag im Namen des Kunden zu schließen.
• Eine Kopie des angenommenen Vertrags wird dem Kunden in dauerhafter Form zur Verfügung gestellt.

Krankenhäuser und andere Einrichtungen, die eine gegengezeichnete Papierfassung oder eine Fassung mit qualifizierter elektronischer Signatur benötigen, können diese unter regulatory@synduct.com anfordern.