Vereinbarung zur Auftragsverarbeitung

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der webbasierten Software Kennify.

(2) Der Hauptvertrag ergibt sich aus den Allgemeinen Geschäftsbedingungen sowie dem jeweiligen Angebot oder einer individuellen Vereinbarung über die Nutzung von Kennify.

(3) Diese AVV gilt nur, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für Datenverarbeitungen, bei denen der Anbieter selbst über Zwecke und Mittel entscheidet (insbesondere Vertragsanbahnung, Abrechnung, Website-Nutzung, eigene Supportanfragen), gilt diese AVV nicht.

(4) Soweit Angaben in dieser AVV und im Hauptvertrag voneinander abweichen, gehen die datenschutzrechtlichen Regelungen dieser AVV für die Auftragsverarbeitung vor.

(1) Die Verarbeitung beginnt mit der Bereitstellung des Kundenzugangs oder dem vereinbarten Vertragsbeginn.

(2) Die Verarbeitung dauert für die Laufzeit des Hauptvertrags an.

(3) Nach Beendigung des Hauptvertrags werden personenbezogene Daten nach Maßgabe von § 12 gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(1) Gegenstand der Verarbeitung ist die technische Bereitstellung von Kennify als webbasierter Anwendung.

(2) Die Verarbeitung kann insbesondere folgende Vorgänge umfassen: Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Übermitteln, Einschränken, Löschen sowie Erstellen zusammengefasster Auswertungen.

(3) Zwecke der Verarbeitung sind insbesondere:

• Bereitstellung und Verwaltung von Leitungszugängen,
• Bereitstellung freigegebener Kenntnisabfragen,
• Verarbeitung von Teilnehmerantworten,
• Schutz vor Mehrfachteilnahmen,
• Erstellung zusammengefasster Teamauswertungen,
• Erkennung auffälliger Themenbereiche,
• Erstellung strukturierter Berichte,
• technische Fehleranalyse, Betriebssicherheit,
• Support auf dokumentierte Anfrage des Kunden.

(4) Kennify ist grundsätzlich auf zusammengefasste Teamauswertungen ausgelegt. Eine personenbezogene Leistungsüberwachung einzelner Mitarbeitender ist nicht Bestandteil des vorgesehenen produktiven Betriebs.

Die Verarbeitung kann folgende Kategorien betroffener Personen umfassen:

1. Nutzerinnen und Nutzer mit Leitungszugang (AEMP-Leitung, Einrichtungsleitung, Praxisanleitung, Qualitätsmanagement, sonstige berechtigte Personen).
2. Teilnehmende an Kenntnisabfragen (Mitarbeitende, Auszubildende, sonstige eingeladene Personen).
3. Ansprechpartner des Kunden (administrativ, technisch, vertraglich oder datenschutzrechtlich).

(1) Abhängig von der Nutzung können insbesondere folgende Daten verarbeitet werden:

A. Leitungs- und Ansprechpartnerdaten

• Name, E-Mail-Adresse, Einrichtung, Abteilung,
• Rollen- und Berechtigungsdaten,
• Authentifizierungs- und Kontometadaten,
• technische Protokolldaten.

B. Daten aus Kenntnisabfragen

• Zugangscode, Befragungs-ID,
• Frage- und Antwortdaten, Zeitstempel,
• Bearbeitungs- und Abbruchstatus,
• Zuordnung zu Themenbereichen oder Nachschulungen,
• zusammengefasste Ergebniswerte.

C. Technische Daten zum Schutz vor Mehrfachteilnahmen

• lokal im Browser erzeugte zufällige Geräte-ID,
• serverseitig erzeugter Teilnahme-Guard,
• technische Zeitstempel, sicherheitsbezogene Protokolldaten.

D. Vom Kunden bereitgestellte Inhalte

• Fragenkataloge, Kategorien, Logos, Berichte, interne Bezeichnungen.

(2) Der Kunde darf ohne vorherige ausdrückliche Vereinbarung keine Patientendaten, keine Gesundheitsdaten und keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in Kennify einstellen.

(3) Falls der Kunde besondere Kategorien personenbezogener Daten verarbeiten möchte, ist vorab eine gesonderte schriftliche Vereinbarung und technische Prüfung erforderlich.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

(2) Weisungen ergeben sich zunächst aus dem Hauptvertrag, dieser AVV und der Nutzung der bereitgestellten Funktionen.

(3) Einzelweisungen können in Textform an info@kennify.de gerichtet werden.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter darf die Umsetzung bis zur Klärung aussetzen.

(1) Der Auftragsverarbeiter verarbeitet Daten nur im Rahmen dieser AVV und der dokumentierten Weisungen.

(2) Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der interne Zugang zu mandantenbezogenen Verarbeitungssystemen ist auf Personen beschränkt, für die ein betrieblicher Erforderlichkeitsgrund besteht. Zugang wird nur in dem Umfang gewährt, der zur Erfüllung der jeweiligen Aufgabe notwendig ist. Eine Nutzung der zugänglichen Daten zu anderen als den in dieser AVV genannten Zwecken ist unzulässig.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Erfüllung von Betroffenenrechten, der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen sowie Konsultationen mit Aufsichtsbehörden.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Verantwortlichen betrifft.

(6) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten, soweit dies gesetzlich erforderlich ist.

(7) Der Auftragsverarbeiter arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen.

(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die vorgesehenen Maßnahmen sind in Anlage 2 beschrieben.

(3) Die Maßnahmen dürfen weiterentwickelt werden, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche sicherheitsrelevante Änderungen werden dokumentiert.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, sofern die Voraussetzungen des Art. 28 DSGVO eingehalten werden.

(2) Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform.

(4) Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

(5) Kann keine angemessene Lösung gefunden werden, können die Parteien die betroffene Leistung beenden. Weitergehende gesetzliche Rechte bleiben unberührt.

(6) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu einem angemessenen Datenschutzniveau.

(1) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Als Übermittlungsgrundlage kommen insbesondere Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln sowie geeignete zusätzliche Maßnahmen in Betracht.

(3) Einzelheiten zu den vorgesehenen Dienstleistern und Übermittlungsgrundlagen ergeben sich aus Anlage 3.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

(2) Der Verantwortliche ist berechtigt, angemessene Kontrollen durchzuführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Kontrollen sind grundsätzlich mit angemessener Frist anzukündigen.

(3) Vor-Ort-Kontrollen sind nur zulässig, wenn dokumentenbasierte Nachweise nicht ausreichen oder ein besonderer Anlass besteht. Der Verantwortliche trägt die angemessenen Kosten einer Kontrolle, sofern kein erheblicher Verstoß festgestellt wird.

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Kunden für 30 Tage ab Vertragsende die Möglichkeit bereit, die eigenen Daten zu exportieren (Exportfenster).

(2) Nach Ablauf des Exportfensters werden alle personenbezogenen Daten des Kunden innerhalb von weiteren 30 Tagen vollständig gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Gesamtzeitraum bis zur Löschung beträgt damit maximal 60 Tage nach Vertragsende.

(3) Der Kunde ist dafür verantwortlich, erforderliche Exporte rechtzeitig vor Ende des Exportfensters zu sichern. Eine Wiederherstellung nach vollständiger Löschung ist nicht möglich.

(4) Technische Protokolldaten bei den eingesetzten Cloud-Dienstleistern (Vercel, Firebase/Google Cloud, Resend) werden gemäß den jeweiligen Bedingungen dieser Dienstleister gelöscht.

(5) Gesetzlich erforderliche Aufbewahrungen bleiben unberührt. Solche Daten werden nur noch für den jeweiligen gesetzlichen Zweck verarbeitet.

(1) Richtet eine betroffene Person eine Anfrage unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage grundsätzlich unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter beantwortet Betroffenenanfragen nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer eigenen Antwort besteht.

(1) Änderungen und Ergänzungen dieser AVV bedürfen der Textform, soweit nicht gesetzlich eine strengere Form erforderlich ist.

(2) Sollte eine Bestimmung dieser AVV unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt. Es gelten die gesetzlichen Regelungen.

(3) Im Übrigen gelten die Regelungen des Hauptvertrags.

Gegenstand: Technische Bereitstellung und Betrieb der webbasierten Software Kennify zur anonymen, themenbezogenen Erfassung und zusammengefassten Auswertung von Kenntnislücken auf Teamebene.

Zweck: Erstellung und Verwaltung von Kenntnisabfragen, Bereitstellung von QR-Codes und Zugangscodes, Verarbeitung von Antworten, Schutz vor Mehrfachteilnahmen, zusammengefasste Teamauswertung, Erkennung auffälliger Themenbereiche, Erstellung strukturierter Berichte, Support und Betriebssicherheit.

Dauer: Laufzeit des Hauptvertrags zuzüglich 30 Tage Exportfenster und weiterer 30 Tage bis zur vollständigen Löschung (maximal 60 Tage nach Vertragsende).

Betroffene Personen: Leitungsnutzer, administrative Ansprechpartner, eingeladene Teilnehmende.

Datenarten: Konto- und Kontaktdaten der Leitungsnutzer, Rollen- und Einrichtungsdaten, Frage- und Antwortdaten, Befragungsmetadaten, Zeitstempel, lokale zufällige Geräte-ID, Protokolldaten, vom Kunden bereitgestellte Inhalte.

Besondere Kategorien personenbezogener Daten: Nicht vorgesehen. Verarbeitung nur nach gesonderter schriftlicher Vereinbarung.