Auftragsverarbeitungsvertrag

Vertragsparteien

Auftraggeber und Auftragnehmer schließen folgenden Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DS-GVO ab (nachfolgend „Vertrag“):

§ 1 – Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung und Nutzung des webbasierten SaaS-Dienstes mein-nutrikompass.de (nachfolgend „Dienst“) gemäß den zugrunde liegenden Allgemeinen Geschäftsbedingungen (AGB) sowie den vertraglichen Vereinbarungen zwischen den Parteien.

(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages (über die Nutzung des Dienstes). Er endet automatisch mit Beendigung des Hauptvertrages, es sei denn, die Parteien haben eine gesonderte Regelung zur Datenlöschung oder –rückgabe vereinbart.

§ 2 – Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Speicherung, Verarbeitung, Übermittlung an KI-Dienste (pseudonymisiert), Strukturierung und Löschung personenbezogener Daten.

(2) Zweck: KI-gestützte Erstellung von Ernährungsplänen, Generierung von Einkaufslisten, PDF-Export sowie Handover-Dokumentation im Rahmen der Betreuung von Personen mit Essstörungen in der jeweiligen Einrichtung des Auftraggebers.

(3) Kategorien betroffener Personen: Bewohner:innen der Einrichtung des Auftraggebers (ausschließlich in pseudonymisierter Form ohne Klarnamen).

(4) Kategorien personenbezogener Daten:

• Pseudonyme/Kürzel (keine Klarnamen), Alter, Geschlecht
• Diagnose-Kürzel und Ernährungsdiagnosen (z. B. Essstörungstyp)
• Ernährungspräferenzen, Unverträglichkeiten, Allergien
• Körpergewicht, Zielgewicht, Energiebedarf (kkal)
• Erstellte Ernährungspläne und Einkaufslisten
• Nutzungsdaten der Mitarbeiter des Auftraggebers (Login-Zeiten, bearbeitete Datensätze)

Nicht alle im Dienst gespeicherten Datenkategorien werden an KI-Dienste übermittelt. Für die KI-gestützte Planerstellung wird ausschließlich ein pseudonymisierter, strukturierter Mindestdatensatz verwendet.

(5) Besondere Kategorien (Art. 9 DSGVO): Die verarbeiteten Diagnosedaten können Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO darstellen. Der Auftraggeber ist verpflichtet, sicherzustellen, dass die Verarbeitung dieser Daten auf einer geeigneten Rechtsgrundlage gemäß Art. 9 Abs. 2 DSGVO beruht. Es dürfen ausschließlich pseudonymisierte Daten ohne direkte Identifizierungsmerkmale eingegeben werden.

§ 3 – Weisungsbindung des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet.

(2) Weisungen erteilt der Auftraggeber grundsätzlich schriftlich. In dringenden Fällen können Weisungen mündlich erteilt werden; diese sind unverzüglich schriftlich zu bestätigen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, eine Weisung verstößt gegen datenschutzrechtliche Bestimmungen. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung so lange auszusetzen, bis der Auftraggeber sie bestätigt oder geändert hat.

§ 4 – Pflichten des Auftragnehmers

Vertraulichkeit

(1) Der Auftragnehmer gewährleistet, dass alle Personen, die mit der Verarbeitung der personenbezogenen Daten des Auftraggebers betraut sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Technische und organisatorische Maßnahmen (TOMs)

(2) Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherung der Verarbeitung. Die zum Zeitpunkt des Vertragsschlusses implementierten TOMs sind in Anlage 2 dieses Vertrages aufgeführt. Der Auftragnehmer ist berechtigt, die Maßnahmen fortzuschreiben und anzupassen, sofern das Sicherheitsniveau nicht unterschritten wird.

Unterstützung bei Betroffenenrechten

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, seinen Verpflichtungen zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen nachzukommen.

Unterstützung bei Datenschutzpflichten

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

Rückgabe und Löschung

(5) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

Der Auftraggeber hat nach Vertragsbeendigung 30 Tage Zeit, seine Daten über die Export-Funktion des Dienstes selbst zu exportieren. Danach werden die personenbezogenen Daten gemäß dem Lösch- und Aufbewahrungskonzept gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Nachweispflicht

(6) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zur Nachweisführung der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Audits einschließlich Inspektionen, die vom Auftraggeber oder einem anderen vom Auftraggeber beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

§ 5 – Pflichten des Auftraggebers

(1) Der Auftraggeber ist im Verhältnis zum Auftragnehmer allein Verantwortlicher für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten, insbesondere für die Beurteilung der Zulässigkeit der Datenverarbeitung und die Wahrung der Rechte der betroffenen Personen.

(2) Der Auftraggeber ist verpflichtet, ausschließlich pseudonymisierte Daten ohne Klarnamen in den Dienst einzugeben. Die fachliche Verantwortung für alle generierten Ernährungspläne liegt beim qualifizierten Fachpersonal des Auftraggebers.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich und vollständig, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.

§ 6 – Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, sobald er davon Kenntnis erhält, spätestens jedoch innerhalb von 72 Stunden.

(2) Die Meldung erfolgt per E-Mail an die vom Auftraggeber hinterlegte Kontaktadresse und enthält mindestens:

• Art der Verletzung (soweit möglich)
• Kategorien und ungefähre Anzahl betroffener Personen
• Kategorien und ungefähre Anzahl betroffener Datensätze
• Wahrscheinliche Folgen der Datenschutzverletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung

§ 7 – Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 1 aufgeführten weiteren Auftragsverarbeiter (Unterauftragnehmer). Der Auftragnehmer informiert den Auftraggeber rechtzeitig über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter, damit der Auftraggeber die Möglichkeit hat, Einwände zu erheben.

(2) Der Auftragnehmer legt seinen Unterauftragnehmern vergleichbare datenschutzrechtliche Verpflichtungen auf, wie sie in diesem Vertrag enthalten sind.

(3) Werden Daten in Drittländer übermittelt (insbesondere an OpenAI, USA), erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder anderer geeigneter Garantien.

§ 8 – Kontroll- und Prüfungsrechte

(1) Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang zu kontrollieren oder durch im Einzelfall zu benennende Prüfer kontrollieren zu lassen.

(2) Der Auftragnehmer kann als gleichwertigen Nachweis aktuelle Zertifizierungen, Auditberichte oder Eigenauskünfte vorlegen. Umfassendere Vor-Ort-Prüfungen sind nach vorheriger Ankündigung von mindestens 14 Tagen möglich und dürfen den Geschäftsbetrieb nicht unzumutbar beeinträchtigen.

(3) Kosten einer Prüfung trägt der Auftraggeber, es sei denn, die Prüfung ergibt wesentliche Pflichtverletzungen des Auftragnehmers.

§ 9 – Schlussbestimmungen

(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Erfüllungsort und Gerichtsstand ist, soweit gesetzlich zulässig, Dortmund.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform oder einer gleichwertigen elektronischen Form. Dies gilt auch für das Abweichen vom Schriftformerfordernis selbst.

(3) Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden, berührt dies die Gültigkeit der übrigen Bestimmungen nicht.