Data Processing Agreement

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden bei der Nutzung der Plattform „medairon". Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Anbieter ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(2) Der Vertrag ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen und wird mit der Registrierung wirksam. Das entspricht Art. 28 Abs. 3 DSGVO, wonach die Verarbeitung vor ihrem Beginn geregelt sein muss: Die Verarbeitung beginnt mit dem ersten im Konto gespeicherten Ergebnis, nicht erst mit einer Zahlung.

(3) Es gelten die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO in der Fassung des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021, veröffentlicht im Amtsblatt der Europäischen Union. Sie werden in ihrem amtlichen Wortlaut vollständig einbezogen und sind über die im Anschluss genannte Fundstelle dauerhaft abrufbar. Auf Wunsch stellt der Anbieter den vollständigen Klauseltext als Datei bereit.

(4) Die Anlagen zu den Klauseln werden durch die nachstehenden Anlagen I bis IV dieses Vertrages ausgefüllt. Bei Widersprüchen zwischen den Klauseln und diesem Vertrag gehen die Klauseln vor; bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag für die Verarbeitung personenbezogener Daten vor.

(5) Weisungen erteilt der Kunde grundsätzlich durch die Nutzung der Funktionen der Plattform. Darüber hinausgehende Einzelweisungen erfolgen in Textform an die in Anlage I genannte Kontaktstelle.

(1) Auftragsverarbeiter: medairon UG (haftungsbeschränkt), Kersbacher Str. 38, 91233 Neunkirchen a. Sand, Deutschland. Amtsgericht Nürnberg, HRB 45807. Geschäftsführer: Manfred Deinzer. USt-IdNr. DE463274948.

(2) Kontaktstelle für den Datenschutz: privacy@medairon.com.

(3) Verantwortlicher: der Kunde mit den bei der Registrierung und im Bestellvorgang angegebenen Daten (Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer). Der Kunde benennt eine für den Datenschutz zuständige Kontaktstelle, indem er sie in Textform mitteilt; bis dahin gilt die im Konto hinterlegte Adresse.

(4) Der Anbieter hat keinen Datenschutzbeauftragten benannt. § 38 Abs. 1 BDSG greift nicht, da nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung beschäftigt sind. Art. 37 Abs. 1 lit. c DSGVO verlangt kumulativ eine Kerntätigkeit UND eine Verarbeitung besonderer Datenkategorien in großem Umfang; an der Verarbeitung in großem Umfang fehlt es. Die Einschätzung wird datumsbasiert wiedervorgelegt und bei Wachstum neu bewertet. Die vorstehende Kontaktstelle ist ausdrücklich kein Datenschutzbeauftragter.

(1) Kategorien betroffener Personen: Beschäftigte des Kunden mit Zugang zur Plattform (Konto-Inhaber, Workspace-Mitglieder, Sitzinhaber); vom Kunden eingeladene Dritte (prüfende Personen, externe verantwortliche Personen für die Einhaltung der Regulierungsvorschriften); Patientinnen und Patienten sowie Anwenderinnen und Anwender, die von einem gemeldeten Vorkommnis betroffen sind; beschwerdeführende Personen und meldende Fachkreisangehörige; Ansprechpartner bei Behörden und Benannten Stellen.

(2) Kategorien personenbezogener Daten: Kontostammdaten (Name, E-Mail-Adresse, Firma, Rolle); Authentifizierungsdaten (Passwort-Hashwerte, Sitzungs-Cookies); Sitz- und Berechtigungsdaten einschließlich der Kennzeichnung als verantwortliche Person für die Einhaltung der Regulierungsvorschriften; Inhaltsdaten aus der Compliance-Arbeit (Beschwerden, Vorkommnisse, Pläne und Berichte zur Überwachung nach dem Inverkehrbringen, Produktakten); vom Kunden hochgeladene Dateien; Protokoll- und Signaturdaten der Nachweisführung.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsdaten können in Vorkommnis- und Beschwerdemeldungen enthalten sein. Das ist bei einem Modul zur Vigilanz nach der Verordnung (EU) 2017/745 der Regelfall und wird nicht ausgeschlossen. Der Kunde gibt personenbezogene Gesundheitsdaten nur ein, soweit dies für seine gesetzliche Melde- und Nachweispflicht erforderlich ist; die Plattform weist an den betroffenen Eingabefeldern darauf hin und fordert keine identifizierenden Angaben an. Die Verarbeitung erfolgt ausschließlich innerhalb der in Anlage III beschriebenen Maßnahmen.

(4) Art und Zweck der Verarbeitung: Bereitstellung einer webbasierten Plattform zur Dokumentation und Unterstützung regulatorischer Compliance-Arbeit im Anwendungsbereich der Verordnung (EU) 2017/745. Speicherung, Strukturierung, Auswertung und Ausgabe der vom Kunden eingegebenen Daten, Erzeugung von Nachweisdokumenten, Versand von Einladungs- und Systemnachrichten.

(5) Der Anbieter nutzt die Daten des Kunden nicht zu eigenen Zwecken. Insbesondere findet keine Nutzung zum Training oder zur Verbesserung von Modellen künstlicher Intelligenz statt, weder durch den Anbieter noch durch von ihm eingesetzte Unterauftragsverarbeiter.

(6) Dauer der Verarbeitung: für die Laufzeit des Hauptvertrages, zuzüglich der neunzig Tage lesenden Zugriffs und Exports nach § 4 Abs. 4 der Allgemeinen Geschäftsbedingungen. Danach löscht der Anbieter die Daten nach Weisung des Kunden. Die gesetzlichen Aufbewahrungspflichten des Kunden — insbesondere nach Art. 10 Abs. 8 der Verordnung (EU) 2017/745 — bleiben davon unberührt und werden vom Anbieter nicht übernommen.

(1) Mandantentrennung: Der Zugriff auf Daten ist auf Datenbankebene je Konto und Workspace beschränkt (Row Level Security). Die Trennung wird nicht allein in der Anwendung durchgesetzt, sondern in der Datenbank selbst, und ist durch automatisierte Tests abgesichert.

(2) Zugriffsschutz: Authentifizierung mit gehashten Passwörtern; Sitzungsverwaltung über signierte Cookies; abgestufte Rollen (Konto-Inhaber, volle Sitze, nur lesende Sitze). Ein Schlüssel mit erweiterten Rechten wird ausschließlich serverseitig und nie im Browser verwendet.

(3) Verschlüsselung: Übertragung ausschließlich über HTTPS. Die Verschlüsselung ruhender Daten erfolgt nach Zusage der eingesetzten Anbieter.

(4) Speicherort: Die Datenbank wird in der Region Frankfurt am Main (eu-central-1) betrieben. Die serverseitige Ausführung der Anwendung ist auf die Region Frankfurt am Main (fra1) festgelegt und als Konfiguration im Quellcode festgeschrieben.

(5) Verfügbarkeit und Wiederherstellbarkeit: tägliche automatische Sicherungen mit sieben Tagen Aufbewahrung. Die Wiederherstellung hat damit Tagesgranularität; der maximal mögliche Datenverlust im Wiederherstellungsfall beträgt bis zu vierundzwanzig Stunden. Eine zeitpunktgenaue Wiederherstellung besteht nicht. Verfügbarkeitsziel: 99,0 % im Monatsmittel nach § 7 der Allgemeinen Geschäftsbedingungen.

(6) Nachvollziehbarkeit: Protokollierung sicherheits- und nachweisrelevanter Vorgänge in gesonderten Protokolltabellen; Validierungen der eindeutigen Produktkennung werden als Hashkette mit Verankerung geführt.

(7) Missbrauchs- und Lastschutz: Begrenzung der Anfragerate, Prüfung der Berechtigung an jeder Programmierschnittstelle, Kontingente je Werkzeug.

(8) Erkennung von Störungen und Verletzungen: Fehler in Server, Randfunktionen und Browser werden durch ein Monitoring erfasst, das Anfragedaten, Cookies, Adressdaten und Nutzerkennungen vor der Übertragung entfernt. Der Anbieter unterhält einen dokumentierten Prozess zur Behandlung von Verletzungen des Schutzes personenbezogener Daten mit dem Ziel, den Kunden binnen vierundzwanzig Stunden nach Kenntnis zu unterrichten.

(9) Unterstützung bei Betroffenenrechten: Der Kunde kann die zu einem Konto gehörenden Daten jederzeit selbst über die Exportfunktion ausleiten (Art. 15 und 20 DSGVO). Für Auskunfts-, Berichtigungs- und Löschersuchen, die darüber hinausgehen, unterstützt der Anbieter auf Anfrage.

(10) Löschung auf Wunsch: Der Kunde kann die Löschung seines Kontos jederzeit selbst auslösen. Sie wird vorgemerkt und nach dreißig Tagen ausgeführt; der Zugang endet sofort, bis zum Ablauf ist der Vorgang widerrufbar. Gelöscht werden die Inhaltsdaten vollständig, ebenso die zugehörigen Nachweisketten und elektronischen Signaturen. Wo Beschäftigte des Kunden in Arbeitsbereichen Dritter gehandelt haben, bleiben deren Nachweisketten erhalten: die betroffenen Einträge werden inhaltlich geleert und als gelöscht gekennzeichnet, ihre Verkettung bleibt prüfbar. Der Kunde ist selbst dafür verantwortlich, die für seine Aufbewahrungspflichten erforderlichen Nachweise vorher auszuleiten.

(11) Zwei-Faktor-Authentifizierung: Jedes Konto kann einen zweiten Faktor über eine Authentifizierungs-App einrichten; einmalige Wiederherstellungscodes verhindern, dass ein verlorenes Gerät den Zugang dauerhaft sperrt. Für regulatorische Freigaben — die Freigabe und ihre Verweigerung sowie jede Signatur einer als verantwortliche Person gekennzeichneten Nutzerin oder eines solchen Nutzers — ist der zweite Faktor zwingend; ohne ihn wird die Signatur abgelehnt. Der in der Signatur protokollierte Authentifizierungsfaktor wird aus der Sitzung abgeleitet und nicht vom Endgerät übernommen.

(12) Offene Punkte, ehrlich benannt: Ein dokumentierter Wiederherstellungstest der Sicherungen liegt bisher nicht vor. Diese Anlage wird fortgeschrieben, sobald sich der Stand ändert; die jeweils geltende Fassung ist über die Versionsangabe dieser Seite erkennbar.

(13) Prüfrechte: Der Kunde kann die Einhaltung dieser Maßnahmen überprüfen. Die Prüfung erfolgt nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne Beeinträchtigung des Betriebsablaufs und unter Wahrung der Rechte anderer Kunden. Der Anbieter beantwortet Fragebögen und stellt vorhandene Nachweise bereit; genügt dies im Einzelfall nicht, ist eine Prüfung vor Ort oder durch einen zur Verschwiegenheit verpflichteten Prüfer möglich. Diese Modalitäten konkretisieren das Prüfrecht, sie schließen es nicht aus.

(1) Der Kunde erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Die eingesetzten Unterauftragsverarbeiter sind mit Leistung, Sitz, Verarbeitungsort und Grundlage eines etwaigen Drittlandtransfers in der gepflegten Liste unter medairon.com/de/subprocessors aufgeführt. Die Liste ist Bestandteil dieser Anlage. Sie wird dynamisch geführt, damit ein Wechsel keine neue Vertragsfassung und keine erneute Zustimmung auslöst.

(3) Der Anbieter kündigt jede Hinzunahme, jeden Austausch und jede Entfernung eines Unterauftragsverarbeiters unverzüglich nach Kenntnis an, mindestens 30 Tage vor Wirksamwerden, soweit sein eigener Unterauftragsverarbeiter ihm diese Frist ermöglicht. Die Einschränkung ist erforderlich, weil einzelne Anbieter dem Anbieter selbst kürzere Fristen einräumen; die derzeit kürzeste beträgt 5 Kalendertage. Die Ankündigung erfolgt an die Abonnenten des auf der genannten Seite angebotenen Verteilers sowie durch Aktualisierung der Liste.

(4) Der Kunde kann einer Änderung binnen der Ankündigungsfrist in Textform widersprechen. Rechtsfolge des Widerspruchs ist ein Sonderkündigungsrecht bezogen auf den betroffenen Leistungsumfang, verbunden mit einer anteiligen Rückerstattung bereits gezahlter Entgelte für den nicht genutzten Zeitraum. Betrifft der Widerspruch einen Unterauftragsverarbeiter, ohne den die Leistung insgesamt nicht erbracht werden kann, erstreckt sich das Sonderkündigungsrecht auf den gesamten Vertrag.

(5) In dringenden Fällen — insbesondere zur Abwehr eines Sicherheitsrisikos oder zur Erfüllung einer rechtlichen Verpflichtung — darf der Anbieter einen Unterauftragsverarbeiter vorab austauschen und meldet dies unverzüglich nach. Das Widerspruchsrecht nach Absatz 4 bleibt bestehen und beginnt mit dieser Meldung.

(6) Der Anbieter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihm nach diesem Vertrag obliegen (Art. 28 Abs. 4 DSGVO), und haftet für deren Einhaltung.

(7) Nicht als Unterauftragsverarbeiter gelten Dienste, die der Anbieter als eigener Verantwortlicher einsetzt und die keine Kundendaten im Auftrag verarbeiten — insbesondere die Zahlungsabwicklung und die Reichweitenmessung der eigenen Website. Sie sind in der Datenschutzerklärung beschrieben.

(1) Der Anbieter unterrichtet den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft (Art. 33 Abs. 2 DSGVO). Die Unterrichtung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie zu diesem Zeitpunkt vorliegen; fehlende Angaben werden nachgereicht. Die Frist des Kunden gegenüber seiner Aufsichtsbehörde beginnt mit dem Zugang dieser Unterrichtung.

(2) Der Anbieter unterrichtet den Kunden ferner, wenn eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt, und wenn eine Behörde Auskunft über die verarbeiteten Daten verlangt, soweit ihm dies rechtlich gestattet ist.

(3) Nach Beendigung des Hauptvertrages stehen dem Kunden neunzig Tage lesender Zugriff und Export zu (§ 4 Abs. 4 der Allgemeinen Geschäftsbedingungen). Nach Ablauf dieser Frist löscht der Anbieter die personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht des Anbieters entgegensteht. Der Kunde ist selbst dafür verantwortlich, die für seine eigenen Aufbewahrungspflichten erforderlichen Nachweise innerhalb dieser Frist auszuleiten.

(4) Die zur Verarbeitung eingesetzten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).

(5) Änderungen dieses Vertrages werden dem Kunden in Textform mitgeteilt. Änderungen der Anlage III und der in Anlage IV in Bezug genommenen Liste erfolgen nach den dort beschriebenen Verfahren und lösen keine Neufassung dieses Vertrages aus.

(6) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.