Inhalt
- I. Dieses Dokument enthält die Allgemeinen Geschäftsbedingungen für die Nutzung von Meinrezept.io durch Ärztinnen und Ärzte.
- II. Enthält die Nutzungsbedingungen und -hinweise für Patientinnen und Patienten oder deren gesetzliche Vertreter.
- III. Enthält den Auftragsverarbeitungsvertrag mit Ärztinnen und Ärzten.
Allgemeine Geschäftsbedingungen für Ärztinnen und Ärzte
1. Vertragspartner
Vertragspartner des Kunden ist:
Graystack IT GmbH
Am Pilgerweg 25
3131 Inzersdorf ob der Traisen
(nachfolgend als „Anbieter" bezeichnet)
Der Anbieter und der Kunde werden zusammen als „die Parteien" bezeichnet.
Der Anbieter stellt dem Kunden nach Maßgabe dieser AGB die Softwarelösung Meinrezept.io (die „Software") zur Verfügung. Der Anbieter behält sich vor, diese Bedingungen von Zeit zu Zeit anzupassen, um auf Wünsche von Ordinationen und/oder Patient*innen oder ein geändertes Angebot Rücksicht zu nehmen. Das Datum der jeweiligen Fassung findet sich ganz oben im Dokument. Der Anbieter wird den Kunden über alle Änderungen durch Zusendung der geänderten AGB an die ihm zuletzt bekannt gegebene E-Mail-Adresse informieren. Diese Verständigung erfolgt zumindest sechs Wochen vor dem Inkrafttreten der Änderung. Die geänderten Bedingungen gelten als vereinbart, wenn der Kunde nicht bis vor dem Zeitpunkt des Inkrafttretens widerspricht. Im Fall eines Widerspruchs gelten die bisherigen AGB weiter. Der Anbieter ist jedoch berechtigt, den Vertrag außerordentlich aufzulösen (Punkt 12.5). Der Anbieter wird den Kunden bei Beginn der vorgesehenen Frist auf die Bedeutung seines Verhaltens besonders hinweisen.
2. Definitionen
Werktag bezeichnet die Tage von Montag bis Freitag unter Ausschluss der gesetzlichen Feiertage in Österreich.
Fehler bezeichnet jede nicht unerhebliche, nachweisbare und reproduzierbare Abweichung der Software vom vertraglich geschuldeten Funktionsumfang der Software. Ausgenommen sind solche Funktionsabweichungen, die auf (i) der Verwendung oder dem Betrieb der Software in Verbindung mit anderer als in den Systemanforderungen genannten Hardware und Software (einschließlich des Betriebssystems), (ii) einem Bug, Defekt oder Fehler in der Software von Drittanbietern, welche nicht vom Anbieter stammt, und mit der Software zusammen eingesetzt wird, zurückzuführen sind.
Mangel bezeichnet eine allgemeine, durch den Anbieter reproduzierbare Abweichung des Verhaltens der Software vom Leistungsumfang.
3. Vertragsgegenstand
Der Anbieter stellt dem Kunden während der Laufzeit dieses Vertrages die Möglichkeit zur Verfügung, die Software für seine Patient*innen zu nutzen. Der Leistungsumfang ist auf meinrezept.io einsehbar.
Das Angebot richtet sich ausschließlich an Unternehmer im Sinn des Konsumentenschutzrechts.
Schulungen und Beratungsleistung sind nicht Teil dieses Vertrages und gesondert zu vereinbaren.
Die Software enthält Open Source Komponenten. Eine Liste der verwendeten Komponenten ist auf der Website meinrezept.io einsehbar.
4. Portaladministration, Benutzerkonto, Subkonten
Der Kunde kann sich mit dem für ihn angelegten Benutzerkonto auf dem Onlineportal Meinrezept.io anmelden und das für die Patient*innen angezeigte Layout verwalten (Designs, Logo) sowie die den Patient*innen zur Verfügung stehenden Aktionen wählen (z.B. welche Rezepte bestellt werden können).
Der Kunde kann über das Benutzerkonto Subkonten für weitere Teammitglieder seiner Ordination anlegen. Alle Handlungen, die unter Verwendung eines Subkontos durchgeführt werden, werden dem Kunden als Inhaber des Hauptkontos zugerechnet. Der Kunde ist für alle Aktivitäten mit Subkontos selbst und unmittelbar verantwortlich.
5. Nutzungsrechte
Mit dem Vertragsabschluss erwirbt der Kunde das nicht ausschließliche, zeitlich auf die Vertragslaufzeit beschränkte Recht, die Software und das Webinterface Meinrezept.io für die Zwecke seines Unternehmens zu verwenden.
Der Kunde ist ausschließlich zum unternehmensinternen Gebrauch der Software berechtigt. Die Überlassung der Software zur Verwendung durch Dritte, etwa im Wege der Vermietung, ist nicht gestattet.
Die Software ist ausschließlich über das Internet abrufbar und erfordert ein dem Stand der Technik entsprechendes Computersystem mit einem funktionsfähigen Internetzugang und ausreichendem Datentransfervolumen. Die durch den Kunden eingesetzte Ordinationssoftware muss über eine Datenschnittstelle verfügen und Datenformate exportieren und importieren können, die die jeweils aktuellen Kompatibilitätsanforderungen von Meinrezept.io erfüllen. Alternativ zu einer direkten Einbindung von Meinrezept.io in die Ordinationssoftware kann der Kunde mit dem Benutzerkonto (und allfälligen Subkonten) das Webinterface benutzen, um online die Rezepte einzusehen und deren Bearbeitungsstatus zu ändern.
6. Service-Level und Support
Der Anbieter verpflichtet sich, die Software dem Kunden im Ausmaß von 98%, gerechnet auf ein Jahr, betriebsbereit zur Verfügung zu stellen (im Folgenden kurz: die Verfügbarkeit). Die Verfügbarkeit ist gegeben, wenn die Software über einen den Systemspezifikationen entsprechenden und funktionsfähigen Internetanschluss in Österreich über eine Ordinationssoftware mit den nach Punkt 5.3 vorgesehenen Eigenschaften, Schnittstellen und Datenformaten abgerufen werden kann.
Supportanfragen sind per E-Mail oder sonstige, auf der Website des Anbieters veröffentlichte Supportkanäle an den Kundensupport zu richten.
Der Anbieter reagiert auf Supportanfragen innerhalb von einem Werktag mit einer ersten Antwort und ist bemüht innerhalb von zwei Werktagen zu bearbeiten.
Kosten für die Behebung von Störungen, die vom Kunden zu vertreten sind, wie zum Beispiel bei Nichterfüllung der Hard- und Softwarevoraussetzungen, Störungen der Internetverbindung oder einer unsachgemäßen Bedienung, werden vom Anbieter entsprechend einer mit dem Kunden im Vorhinein getroffenen Vereinbarung verrechnet.
7. Pflichten des Kunden
Der Kunde wird den Anbieter bei der Erbringung von Support- und Wartungsleistungen im erforderlichen Umfang nach besten Kräften unterstützen.
Es liegt in der alleinigen Verantwortung des Kunden, dass sein Internetanschluss, seine IT-Umgebung und die eingesetzte Hard- und Software die Voraussetzungen für Meinrezept.io erfüllen.
Der Kunde wird die von ihm verwendeten Benutzerkonten sowie deren Logindaten geheim halten, vor unberechtigten Dritten schützen und nicht an unberechtigte Nutzer weitergeben. Der Kunde haftet für die missbräuchliche oder unberechtigte Nutzung der Logindaten, sofern ihm die missbräuchliche oder unberechtigte Nutzung zuzurechnen ist. Zudem hat der Kunde bei Kenntnis einer missbräuchlichen oder unberechtigten Nutzung den Anbieter umgehend zu informieren.
Der Kunde stellt sicher, dass Störungen ausschließlich über die für den technischen Support genannten Kanäle (Punkt 6.2) gemeldet werden und dass die zur Störungsbehebung notwendigen Informationen (Kundennummer, Problembeschreibung) bereitgestellt werden.
Der Kunde hat den Anbieter bei geplanten Wartungsarbeiten angemessen zu unterstützen und insbesondere alle erforderlichen Auskünfte zu erteilen.
Der Kunde ist für die Funktion seiner Ordinationssoftware, für die Richtigkeit der dort verwalteten Patientendaten und für die Ausstellung der Rezepte selbst verantwortlich.
8. Datenschutz, Datensicherheit und Datenverarbeitung
Der Anbieter beachtet bei der Erbringung der Vertragsleistungen alle einschlägigen Rechtsvorschriften der Datenschutz-Grundverordnung (DSGVO), des österreichischen Datenschutzgesetzes (DSG) sowie des Telekommunikationsgesetzes (TKG 2021).
Der Anbieter wird als Auftragsverarbeiter des Kunden tätig. Es gelten in diesem Zusammenhang die Regelungen des Auftragsverarbeitungsvertrags (Abschnitt III.), der einen integrierten Bestandteil dieser Vereinbarung darstellt.
Die Kommunikation der Software mit der IT-Umgebung des Kunden erfolgt über eine gesicherte Internetverbindung (SSL-Verschlüsselung). Die Software hat ausschließlich Lesezugriff auf die Daten der Ordinationssoftware. Der Zugriff erfolgt über ein beim Kunden installiertes Programm. Für den sicheren Betrieb dieses Programms (Firewall, Virenschutz, etc.) ist der Kunde verantwortlich. Der Anbieter übernimmt keine Haftung für Schäden jeglicher Art durch den Einsatz dieses Tools. Die Software wird auf Servern mit einem Standort in Europa zur Verfügung gestellt.
Weitere Informationen dazu, wie wir Ihre Daten bei der Vertragserfüllung verwenden, finden Sie in der Datenschutzinformation auf meinrezept.io.
9. Funktionsänderungen
Die vertragsgegenständliche Software wird ständig weiterentwickelt. Der Anbieter behält sich daher das Recht vor, die vertragsgegenständliche Software in neue Versionen zu überführen und diese ohne vorherige Zustimmung oder Ankündigung zu implementieren. Die aktuelle Produktbeschreibung kann über meinrezept.io abgerufen werden. Updates werden dem Kunden ohne gesondertes Entgelt zur Verfügung gestellt. Neue und/oder erweiterte Funktionen können den Abschluss eines zusätzlichen Leistungspakets erfordern.
Der Anbieter ist berechtigt, einzelne Funktionen der Software durch gleichwertige Alternativen zu ersetzen oder neue Funktionen hinzuzufügen.
10. Gewährleistung und Haftungsbeschränkung
Der Anbieter gewährleistet, dass die vertragsgegenständliche Software die in der Produktbeschreibung auf meinrezept.io angeführten Funktionen enthält und den hier vertraglich vereinbarten Bedingungen entspricht.
Der Kunde nimmt zur Kenntnis, dass der Anbieter die von der Ordinationssoftware importierten und die durch die Patient*innen eingegebenen Daten und Bestellungen nicht auf Vollständigkeit, Richtigkeit und Aktualität prüfen kann und daher auch nicht für die Vollständigkeit, Richtigkeit und Aktualität dieser Inhalte haftet. Die fachliche Beurteilung der Bestellungen sowie die fachlich korrekte Ausstellung der Rezepte obliegen allein dem Kunden.
Der Anbieter haftet keinesfalls für Schäden, welche aus einer Ausstellung von Rezepten entstehen (wie beispielsweise falsche Medikation, falsche Dosis, falsche Einnahmehinweise).
Der Anbieter haftet nur für vorsätzlich oder grob fahrlässig verursachte Schäden. Eine Haftung für leichte Fahrlässigkeit oder entgangenen Gewinn ist – im gesetzlich zulässigen Ausmaß – ausgeschlossen. Der Anbieter übernimmt keinerlei Haftung für Mangelfolgeschäden (insbesondere für Inhalts-, Daten- und Programmverluste), mittelbare und indirekte Schäden sowie für reine Vermögensschäden jeglicher Art.
11. Entgelt
Die Software wird ausschließlich als Abonnement zeitlich befristet zur Verfügung gestellt und nicht verkauft. Es gelten die Entgelte im Zeitpunkt der Bestellung.
Die Entgelte sind zu Beginn jedes Abozeitraums im Voraus zur Zahlung fällig.
Der Kunde kann die im Zuge des Bestellvorgangs angebotenen Zahlungsmethoden wählen. Der Kunde ist mit dem Erhalt von elektronischen Rechnungen als PDF-Datei einverstanden.
Im Fall des Zahlungsverzugs stehen dem Anbieter Verzugszinsen im gesetzlichen Ausmaß (§ 456 UGB) zu. Der Anbieter ist berechtigt, Mahnspesen in Höhe von EUR 12,00 pro berechtigte Mahnung zu verlangen. Weiters hat der Kunde angemessenen Kosten für die zweckentsprechende Geltendmachung von offenen Forderungen durch ein Inkassobüro oder eine Rechtsanwaltskanzlei zu ersetzen.
Sollte der Kunde für mehr als ein Monat im Zahlungsrückstand sein, ist der Anbieter berechtigt, dem Kunden die weitere Nutzung der Software bis zur Begleichung aller offenen Forderungen zu untersagen und alle oder einzelne Vertragsleistungen bis zu diesem Zeitpunkt einzustellen. Der Kunde kann daraus keine Ansprüche ableiten.
Die Vertragsparteien vereinbaren die Wertbeständigkeit der Entgelte, wobei als Wertmaßstab der von der Bundesanstalt Statistik Austria monatlich verlautbarte Index der Verbraucherpreise 2020 dient. Das Wartungsentgelt erhöht sich jährlich in dem Maß, das sich aus der Veränderung des Verbraucherpreisindex 2020 im Jahresabstand gegenüber dem Monat des Abschlusses dieses Vertrags bzw. der letzten Erhöhung oder Minderung des Wartungsentgelts ergibt. Sollte der oben genannte Index nicht mehr veröffentlicht werden, ist der Anbieter berechtigt, einen anderen vergleichbaren Index, wie er von der Bundesanstalt Statistik Austria oder deren Rechtsnachfolger oder einer ähnlichen Institution ermittelt wird, anzuwenden.
12. Vertragslaufzeit und Beendigung des Vertrags
Der Vertrag über die Nutzung der Software wird für den bei der Bestellung gewählten Zeitraum geschlossen.
Er verlängert sich immer wieder um dieselbe Laufzeit, wenn er nicht von einer der Vertragsparteien bis spätestens zum Ablauf des aktuellen Zeitraums über die Kundenverwaltung gekündigt wird.
Davon unberührt bleibt das Recht beider Parteien, den Vertrag jederzeit aus wichtigem Grund fristlos zu kündigen. Ein wichtiger Grund, der den Anbieter zur fristlosen Kündigung berechtigt, besteht unter anderem dann,
- 12.3.1wenn der Kunde unrichtige Daten (Name, Firma, Adresse etc) für das Benutzerkonto eingetragen hat;
- 12.3.2wenn der Kunde die Software Dritten zur Verfügung stellt;
- 12.3.3wenn der Kunde trotz Mahnung und Setzung einer angemessenen, mindestens zweiwöchigen Mahnfrist mit Zahlungen an den Anbieter in Verzug ist;
- 12.3.4wenn der Kunde sonst schuldhaft eine vertragliche Pflicht verletzt; oder
- 12.3.5wenn der Kunde der Änderung der Nutzungsbedingungen widerspricht (Punkt 1.3).
In all diesen Fällen ist der Anbieter auch berechtigt, den Kunden zu verwarnen und/oder die Nutzung der Software ohne Vorankündigung vorläufig zu sperren. Der Kunde kann daraus keine Ansprüche ableiten. Zugleich mit der Sperre wird der Kunde zur Beseitigung des Verstoßes binnen angemessener Frist aufgefordert.
Ausstehende Entgelte werden mit Vertragsende fällig. Der Kunde hat keinen Anspruch auf aliquoten Rückersatz. Das gilt nicht, wenn der Anbieter den Grund für die Vertragsauflösung vorsätzlich oder grob fahrlässig herbeigeführt hat.
Im Fall der Vertragsbeendigung ist der Anbieter nicht verpflichtet, die Daten des Kunden weiterhin zu speichern. Es liegt in der Verantwortung des Kunden, seine Daten rechtzeitig vor der Vertragsbeendigung zu sichern. Nach der Löschung des Kundenkontos ist eine Wiederherstellung der Kundendaten nicht möglich. Im Fall einer Kündigung durch den Anbieter erhält der Kunde eine 14tägige Frist für die Sicherung seiner Daten.
13. Vertraulichkeit
Die Vertragsparteien verpflichten sich, alle im Zusammenhang mit der Vertragserfüllung bekannt gewordenen oder bekannt werdenden vertraulichen Informationen, Geschäfts- und Betriebsgeheimnisse über die jeweils andere Partei geheimzuhalten, nicht an Dritte weiterzugeben, aufzuzeichnen oder in anderer Weise zu verwerten, sofern die jeweils andere Partei der Offenlegung oder Verwendung nicht ausdrücklich und schriftlich zugestimmt hat oder die Daten und Informationen aufgrund Gesetzes, einer Gerichtsentscheidung oder einer Verwaltungsentscheidung offengelegt werden müssen. Ausgenommen von dieser Verpflichtung sind Informationen, die allgemein bekannt sind oder bereits vor beiderseitigem Vertragsabschluss der jeweiligen Vertragspartei bekannt waren.
Diese Verpflichtung entfällt drei Jahre nach Kündigung des Rahmenvertrags.
14. Referenzen
Der Anbieter ist berechtigt, den Kunden öffentlich (z.B. auf seiner Website) mit Namen bzw Firma und Logo als Kunden zu nennen.
15. Übertragung von Rechten und Pflichten
Jedwede Abtretung von Rechten und Pflichten aus diesem Vertrag ist nur nach Rücksprache und vorheriger schriftlicher Zustimmung des Anbieters zulässig. Der Anbieter ist berechtigt, Dritte mit der Erfüllung der Pflichten aus diesem Vertrag zu betrauen.
16. Schlussbestimmungen
Etwaige Nebenabreden, Änderungen oder Ergänzungen des Vertrags sowie der Beilagen bedürfen zu ihrer Wirksamkeit der Schriftform, dies gilt auch für die Aufhebung desselbigen.
Die Anwendung von jedweden ergänzenden Bedingungen (Allgemeinen Geschäftsbedingungen, Einkaufsbedingungen oder sonstigen Vertragsformblättern) des Kunden ist ausgeschlossen.
Die Nichtigkeit oder Unwirksamkeit einzelner Bestimmungen dieses Vertrags berührt nicht die Gültigkeit der übrigen Vertragsbestimmungen. Sollten Teile dieses Vertrags oder einzelne Bestimmungen unwirksam oder nichtig sein, so führt dies nicht zum gänzlichen Entfall dieser Bestimmung oder zum Entfall der übrigen Bestimmungen, sondern es gelten dann jene Bestimmungen als vereinbart, welche gesetzlich zulässig sind und dem Zweck der jeweiligen Bestimmung sowie der Absicht der Parteien am nächsten kommen.
Erfüllungsort ist der Sitz des Anbieters.
Das gesamte Vertragsverhältnis unterliegt ausschließlich dem Recht der Republik Österreich unter Ausschluss der Kollisionsnormen des internationalen Privatrechts und des UN-Kaufrechts.
Für alle Streitigkeiten aus und im Zusammenhang mit dem Vertragsverhältnis ist ausschließlich das jeweils sachlich zuständige Gericht am Sitz des Anbieters zuständig.
Nutzungsbedingungen und -hinweise für Patientinnen und Patienten
Hinweise zur Nutzung
Die Bedingungen und Hinweise in diesem Abschnitt II gelten für Sie, wenn Sie Meinrezept.io als Patientin bzw. als Patient oder als deren gesetzliche(r) Vertreter(in) verwenden.
-
Meinrezept.io ermöglicht Ihnen, die von Ihrem Arzt bzw. Ihrer Ärztin ausgestellten Verschreibungen anzuzeigen und, wenn Sie die Medikamente erneut benötigen, direkt über das Internet die erneute Ausstellung des Rezepts zu veranlassen.
-
Unser Internetportal soll Ihnen bei der Nachbestellung von Medikamenten helfen. Es kann einen Besuch bei Ihrem Arzt / Ihrer Ärztin nicht ersetzen.
-
Für die Nutzung müssen Sie sich von Ihrem Arzt / Ihrer Ärztin Ihre Patienten-ID geben lassen.
-
Die Entscheidung darüber, ob das von Ihnen beantragte Rezept ausgestellt wird, trifft ausschließlich Ihr Arzt / Ihre Ärztin. Wir leiten lediglich Ihre Anforderung weiter. Wir können und dürfen nicht beurteilen, ob Ihnen die bestellten Medikamente verschrieben werden dürfen und ob Ihre Rezeptanforderung richtig und vollständig ist.
-
Wenn die Ordination die Rezeptausstellung ablehnt und/oder um einen Besuch in der Ordination bittet – das liegt alleine im Ermessen Ihres Arztes / Ihrer Ärztin und liegt nicht im Zuständigkeitsbereich von Meinrezept.io –, leiten wir Ihnen diese Nachricht über die genannten Kontaktdaten weiter. Bitte wenden Sie sich in diesen Fällen direkt an Ihren Arzt / Ihre Ärztin.
-
Informationen dazu, wie wir Ihre Daten verarbeiten, finden Sie in der Datenschutzerklärung (Punkt II) auf meinrezept.io.
Auftragsverarbeitungsvertrag für Ärztinnen und Ärzte
Auftragsverarbeitungsvertrag
abgeschlossen zwischen dem Kunden und
Graystack IT GmbH
Am Pilgerweg 25
3131 Inzersdorf ob der Traisen
– im Folgenden „Auftragnehmer" genannt.
1. Präambel
Der Auftragnehmer stellt dem Verantwortlichen das Service Meinrezept.io zur Nutzung zur Verfügung. Die Parteien haben dazu einen gesonderten Vertrag abgeschlossen (nachfolgend der „Hauptvertrag").
Im Zusammenhang mit den Leistungen aus dem Hauptvertrag verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Verantwortlichen. Im Bereich dieser Auftragsverarbeitung ergänzt dieser Vertrag den Hauptvertrag. Abweichende Regelungen in diesem Vertrag gehen den Regelungen des Hauptvertrages vor.
Bei der Verarbeitung personenbezogener Daten beachten die Parteien die datenschutzrechtlichen Vorschriften, insbesondere die Vorschriften der Datenschutzgrundverordnung (DSGVO) und der jeweils anwendbaren nationalen Datenschutzvorschriften.
2. Vertragsgegenstand
Gegenstand dieser Vereinbarung ist die Verarbeitung von personenbezogenen Daten im Zusammenhang mit der Erbringung von Leistungen aus dem Hauptvertrag. Die konkrete Verarbeitungstätigkeit und die eingesetzte Technologie ergibt sich aus dem Hauptvertrag.
Der Auftragnehmer verarbeitet die personenbezogenen Daten als Auftragsverarbeiter iSd Artikel 28 DSGVO. Die Verarbeitung erfolgt für die in dieser Vereinbarung und im Hauptvertrag angeführten Zwecke und ausschließlich im Auftrag des Verantwortlichen.
Die personenbezogenen Daten, die gemäß diesem Vertrag verarbeitet werden, sind solche, die der Auftragnehmer im Auftrag des Verantwortlichen erhoben hat, oder die dem Auftragnehmer vom Verantwortlichen zur Auftragsverarbeitung übermittelt oder sonst zur Verfügung gestellt worden sind.
3. Umfang und Inhalt der Datenverarbeitung
Der Verantwortliche hat den Auftragnehmer mit der Erbringung folgender Dienstleistungen beauftragt (im Folgenden kurz: die Datenanwendung):
Betrieb einer webbasierten Lösung für die Einsichtnahme in Verschreibungen und die Anforderung einer Rezeptausstellung durch Patient*innen
Diese Datenverarbeitung erfolgt für die Dauer des zwischen den Vertragsparteien abgeschlossenen Hauptvertrags.
Im Rahmen der Datenanwendung verarbeitet der Auftragnehmer folgende Datenkategorien:
Stammdaten, Kontaktdaten, Kommunikationsdaten, Gesundheitsdaten, Bestelldaten
Die Daten folgender Kategorien von betroffenen Personen werden im Rahmen der Datenanwendung verarbeitet:
Patienten des Verantwortlichen oder sonst in einer Beziehung zum Verantwortlichen stehende Personen
Der Auftragnehmer wird die Daten zu keinen anderen als den vertraglichen Zwecken verarbeiten. Insbesondere wird er die Daten nicht außerhalb des Auftrags an Dritte übermitteln.
Der Verantwortliche bleibt für die Verarbeitung personenbezogener Daten, die in seinem Auftrag erfolgt, allein verantwortlich. Der Auftragnehmer wird diese Daten daher nur auf Weisung des Verantwortlichen verarbeiten, sofern er nicht nach den gesetzlichen Vorschriften zu einer anderweitigen Verarbeitung verpflichtet ist. Dies teilt der Auftragnehmer dem Verantwortlichen vor der anderweitigen Verarbeitung jedoch mit, sofern ihm das Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Verantwortlichkeit des Verantwortlichen bezieht sich insbesondere darauf, dass die vertrags- und weisungsgemäße Datenverarbeitung rechtmäßig ist, die Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden und deren Einhaltung nachgewiesen werden kann.
Die Weisungen des Verantwortlichen an den Auftragnehmer ergeben sich aus dem Hauptvertrag und/oder dem Angebotsschreiben. Diese anfänglichen Weisungen kann der Verantwortliche durch gesonderte Weisung ändern, ersetzen oder ergänzen. Jede Weisung muss sich im Rahmen des Auftrages bewegen und ist zu dokumentieren. Wird eine Weisung wegen besonderer Dringlichkeit mündlich erteilt, ist sie unverzüglich in dokumentierter Form durch den Verantwortlichen nachzureichen bzw. zu bestätigen. Dabei meint Weisung jede Vorgabe, die sich auf einen bestimmten datenschutzmäßigen Umgang mit den nach diesem Vertrag im Auftrag verarbeitenden Daten bezieht (bspw. Löschung, Anonymisierung oder Einschränkung der Datenverarbeitung).
Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die gesetzlichen Vorschriften verstößt, wird er den Verantwortlichen darüber in Kenntnis setzen. Der Auftragnehmer ist in einem solchen Fall berechtigt, die Umsetzung der Weisung so lange auszusetzen, bis sie vom Verantwortlichen in dokumentierter Form geändert oder bestätigt wird. Bestimmt der Auftragnehmer die Zwecke und Mittel der Verarbeitung unter Verstoß gegen die Weisung des Verantwortlichen selbst, gilt er in Bezug auf diese Verarbeitung als verantwortlich.
Die Auftragsverarbeitung erfolgt in den Mitgliedsstaaten der Europäischen Union (EU). Die Übermittlung der verarbeiteten Daten in ein Drittland ist dem Auftragnehmer gestattet, wenn im betreffenden Drittland ein Schutzniveau für die personenbezogenen Daten im Sinn des Kapitels 5 der DSGVO – z.B. Angemessenheitsbeschluss, geeignete Garantien, Standardvertragsklauseln – sichergestellt ist.
4. Pflichten des Auftragnehmers
Der Auftragnehmer gewährleistet, dass sich Personen, die Kenntnis von den im Auftrag verarbeiteten Daten haben oder erhalten können, vor Verarbeitung bzw. Kenntnis dieser Daten schriftlich zur Vertraulichkeit verpflichten, sofern diese nicht ohnedies einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragnehmer wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau auf Seiten des Auftragnehmers zu gewährleisten. Er wird dazu geeignete Maßnahmen vorschlagen und diese ggf. mit dem Verantwortlichen evaluieren. Maßnahmen sind nur dann erforderlich, wenn der Aufwand in angemessenem Verhältnis zum angestrebten Schutzniveau steht.
Der Auftragnehmer wird den Verantwortlichen bei der Einhaltung der in den Art 32 bis 36 DSGVO genannten Pflichten (Ergreifung technischer und organisatorischer Maßnahmen, Security Breach Notification, Erstellung einer Datenschutzfolgenabschätzung) im Einflussbereich des Auftragsnehmers unterstützen. Wendet ein Betroffener sich an den Auftragnehmer, leitet dieser den Antrag des Betroffenen unverzüglich an den Verantwortlichen weiter. Ohne eine Weisung des Verantwortlichen wird der Auftragnehmer Betroffenenanträge nicht selbst beantworten.
Die Parteien stellen sich auf Verlangen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag zum Datenschutz niedergelegten Pflichten zur Verfügung. Das gleiche gilt für die Informationen, die zum Nachweis der Einhaltung der in den gesetzlichen Vorschriften über die Auftragsverarbeitung niedergelegten Pflichten erforderlich sind. Darüber hinaus ermöglicht der Auftragnehmer Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Der Auftragnehmer kann gegen einen Prüfer, der mit ihm in Wettbewerb steht, Einspruch erheben. Für Inspektionen, die vor Ort beim Auftragnehmer durchgeführt werden müssen, vereinbart der Auftraggeber rechtzeitig vorher einen Termin. Vor der Überprüfung hat sich der Verantwortliche bzw. Prüfer zur Vertraulichkeit zu verpflichten.
Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag verarbeitet werden, meldet er dies unverzüglich dem Verantwortlichen. Das gleiche gilt, wenn die im Auftrag verarbeiteten Daten beim Auftragnehmer von einer Pfändung oder Beschlagnahme, von einem Insolvenzverfahren oder von ähnlichen Maßnahmen betroffen sind. Bei Gefahr im Verzug ist der Auftragnehmer berechtigt und verpflichtet, darauf hinzuweisen, dass die Verantwortung für die betroffenen Daten beim Verantwortlichen liegt. Die Parteien werden angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Auswirkungen, insbesondere auch für die betroffenen Personen, ergreifen und einander bei der Dokumentation unterstützen. Auch über Maßnahmen, die eine Aufsichtsbehörde in Zusammenhang mit der Auftragsverarbeitung ergreift, werden sich die Parteien informieren, soweit dies zulässig ist.
Der Auftragnehmer wird nach Abschluss der Datenanwendung alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
5. Pflichten des Verantwortlichen
Der Verantwortliche unterrichtet den Auftragnehmer so bald wie möglich über jede aus gesetzlichen Gründen erfolgende Einsichtnahme oder Prüfung der Datenverarbeitung durch eine zuständige Behörde, die in Verbindung mit der Datenverarbeitung durch den Auftragnehmer steht.
Der Verantwortliche wird den Auftragnehmer so schnell wie möglich über jedes Verlangen einer betroffenen Person auf Durchsetzung ihrer Rechte informieren.
Der Verantwortliche gewährleistet gegenüber dem Auftragnehmer, dass alle Daten, die dem Auftragnehmer bei der Erbringung der vereinbarten Leistungen zur Verfügung gestellt werden, in Übereinstimmung mit den datenschutzrechtlichen Vorschriften erhoben wurden. Ferner gewährleistet der Verantwortliche dem Auftragnehmer, dass die dem Auftragnehmer zur Verfügung gestellten Daten rechtmäßig so verarbeitet werden könne, wie es zur Erbringung der vereinbarten Leistungen im Rahmen des Hauptvertrages erforderlich ist.
6. Subauftragnehmer
Die Beauftragung und Inanspruchnahme von Subauftragsverarbeitern (im Folgenden kurz: Subauftragnehmer) sind dem Auftragnehmer prinzipiell gestattet, sofern er den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Subauftragnehmer schriftlich informiert und es dem Verantwortlichen freisteht, dieser Beauftragung bzw. Inanspruchnahme begründungslos binnen vier Wochen ab Erhalt der Information zu widersprechen. Der Verantwortliche nimmt zur Kenntnis, dass ein Widerspruch gegen einen Subauftragnehmer zur Folge haben kann, dass der Zugang zu meinrezept.io technisch nicht mehr möglich ist, etwa weil der betreffende Subauftragnehmer – für sämtliche Kunden des Auftragnehmers – für den Betrieb von meinrezept.io eine essentielle Funktion übernimmt.
Der Auftragnehmer ist verpflichtet, sämtliche Subauftragnehmer im Sinne des Art 28 Abs 4 DSGVO schriftlich im Sinne dieses Vertrags zu verpflichten und sämtliche Pflichten, die den Auftragnehmer treffen, an den Subauftragnehmer zu überbinden. Dabei ist sicherzustellen, dass der Subauftragnehmer dieselben Verpflichtungen eingeht, die dem Auftragnehmer auf Grund dieser Vereinbarung obliegen. Sollte der Subauftragnehmer seine Pflichten verletzen, haftet der Auftragnehmer. Der Subauftragnehmer darf die Datenanwendung auch außerhalb der EU oder des EWR betreiben, wenn im betreffenden Drittland ein Schutzniveau für die personenbezogenen Daten im Sinn des Kapitels 5 der DSGVO – z.B. Angemessenheitsbeschluss, geeignete Garantien, Standardvertragsklauseln – sichergestellt ist.
Die Beauftragung bzw. Inanspruchnahme von weiteren Subunternehmern durch den Subauftragnehmer ist dem Subauftragnehmer nur unter den in Punkt 6. festgesetzten Voraussetzungen gestattet.
Die derzeit eingesetzten Subauftragnehmer sind nachstehend angeführt.
Liste der Subauftragnehmer
Der Auftragnehmer setzt folgende Subauftragnehmer für die definierten Aufgabenbereiche ein:
| Name | Anschrift | Aufgabenbereich |
|---|---|---|
| WebBuilds B.V. and Meer Development B.V. | Overvoorde 49, 1082GB Amsterdam, Niederlande | Cloud Hosting (Ploi Cloud) |
| HelpSpace GmbH | Backsteinweg 3, 61118 Bad Vilbel, Deutschland | Support Ticket Verwaltung |
| Emvi Software GmbH | Nickelstraße 1b, 33378 Rheda-Wiedenbrück, Deutschland | Webseitenstatistik |
| Mollie B.V. | Keizersgracht 126, 1015 CW Amsterdam, Niederlande | Zahlungsabwicklung |
| AhaSend B.V. | Nickelstraße 1b, 33378 Rheda-Wiedenbrück, Niederlande | Mailversand |
| united-domains GmbH | Gautinger Straße 10, 82319 Starnberg, Deutschland | Domain Verwaltung |
| Eris Networks S.A.S | 62 boulevard Jean Mermoz, 22700 Perros-Guirec, Frankreich | Geolokalisierung |
| Facade BV | Kruikstraat 22/12, 2018 Antwerp, Belgien | Server Monitoring |
| Infomaniak Network AG | Rue Eugène Marziano 25, 1227 Les Acacias (GE), Schweiz | Backup Server |