1 Geltungsbereich
1.1 Diese Allgemeinen
Geschäftsbedingungen (AGB) regeln die Nutzung der von der Care Order GmbH,
Porzellangasse 39/5, 1090 Wien, FN 646740p (im Folgenden: „Provider“)
bereitgestellten Software und der damit verbundenen Dienste.
1.2 Nutzer im Sinne dieser AGB
sind ausschließlich Pflegeorganisationen, Ärzte und Ärztinnen sowie deren
berechtigte Mitarbeiter (im Folgenden: „Nutzer“). Als berechtigte Mitarbeiter gelten Personen,
die in einem Dienst- oder Arbeitsverhältnis zum jeweiligen Nutzer stehen und
von diesem ausdrücklich für die Nutzung der Software durch Einrichtung eines
personengebundenen Benutzerkontos freigeschaltet wurden. Der Nutzer
verpflichtet sich: (a) für jeden Mitarbeiter ein eigenes personengebundenes
Benutzerkonto anzulegen; (b) ausgeschiedenen Mitarbeitern den Zugang zu
sperren; (c) Mitarbeitern nur die für ihre Tätigkeit erforderlichen
Zugriffsrechte einzuräumen (Principle of Least Privilege); (d) sicherzustellen,
dass Mitarbeiter auf die Vertraulichkeitspflichten und datenschutzrechtlichen
Anforderungen hingewiesen wurden.
1.3 Abweichende Bedingungen des
Nutzers finden keine Anwendung, es sei denn, der Provider stimmt diesen
ausdrücklich schriftlich zu.
2. Vertragsgegenstand
2.1 Der Provider erbringt für den
Nutzer Dienstleistungen im Bereich Application Service Providing (ASP) über das
Internet.
2.2 Gegenstand ist:
– die Überlassung von Software
des Providers zur Nutzung über das Internet („Cloud“) sowie
– die Speicherung und
Verarbeitung der Daten des Nutzers („Cloud-Speicher“).
2.3 Über die Softwareplattform
erhalten Nutzer die Möglichkeit, insbesondere Pflegeverordnungen zu erstellen
bzw. zu genehmigen und an Sanitätshäuser zu übermitteln und im Rahmen dieser
Funktionalitäten Produkte und Dienstleistungen Dritter zu beziehen.
3. Bereitstellung der Software
3.1 Der Provider stellt dem
Nutzer für die Dauer der Vertragsbeziehung die Software in der jeweils
aktuellen Version unentgeltlich zur Verfügung.
3.2 Der Funktionsumfang ergibt
sich aus der aktuellen Software-Version und den jeweils bereitgestellten
Release Notes.
3.3 Der Provider überwacht die
Funktionsfähigkeit, beseitigt Fehler und behebt sicherheitsrelevante
Schwachstellen nach Maßgabe des Stands der Technik.
3.4 Updates und Upgrades erfolgen
durch den Provider fortlaufend. Im Cloud-Betrieb stellt der Provider diese
automatisch bereit.
4. Nutzungsrechte an der Software
4.1 Der Nutzer erhält ein
einfaches, nicht übertragbares Recht, die Software während der Vertragslaufzeit
bestimmungsgemäß zu nutzen. Die bestimmungsgemäße Nutzung dieser Software liegt
primär darin, dass der Nutzer Waren und/oder Dienstleistungen eines
Sanitätshauses mittels Verordnungen bzw. Genehmigung derselbigen bezieht.
4.2 Eine Vervielfältigung,
Bearbeitung oder Weitergabe an Dritte ist untersagt, es sei denn, zwingende
gesetzliche Rechte sehen anderes vor.
4.3 Die Weitergabe der Software
oder von Zugangsdaten an Dritte (außer interne Mitarbeiter) ist ausgeschlossen.
4.4 Der Nutzer verpflichtet sich,
seine etwaigen Vertragsbeziehungen zu Mitarbeitern, Lieferanten, etc. derart
auszugestalten, dass eine vertragswidrige Nutzung der Software ausgeschlossen
ist.
5. Speicherung und Nutzung von Daten
5.1 Der Provider stellt dem
Nutzer Speicherplatz für seine Daten zur Verfügung.
5.2 Im Cloud-Betrieb sorgt der
Provider für Abrufbarkeit und verschlüsselte Übertragung.
5.3 Der Nutzer verpflichtet sich, keine
rechtswidrigen Inhalte hochzuladen und keine Rechte Dritter zu verletzen.
5.4 Der
Provider erstellt laufende Backups aller Nutzerdaten mittels
Point-in-Time-Restore Möglichkeit. Backups werden 30 Tage lang aufbewahrt und
anschließend automatisch gelöscht. Eine weitergehende eigene Datensicherung
bleibt Verantwortung des Nutzers.
5.5 Der
Nutzer bleibt Eigentümer seiner Daten. Er kann jederzeit den Export seiner
Daten in einem maschinenlesbaren Format verlangen. Ein Anspruch auf Herausgabe
der Software selbst besteht nicht.
6. Kundendienst
6.1 Supportanfragen sind
ausschließlich an support@care-order.at zu richten.
6.2 Anfragen werden in
angemessener Frist per E-Mail oder telefonisch beantwortet.
7. Verfügbarkeit und Wartung
7.1 Erforderliche
Wartungsarbeiten, technische Anpassungen oder Störungen können temporär zu
Einschränkungen führen.
7.2 Bei schwerwiegenden Fehlern
sorgt der Provider nach Kenntnisnahme für raschestmögliche Behebung oder stellt
eine Zwischenlösung bereit.
7.3.
Service Level Agreement (SLA): Der Provider garantiert eine monatliche
Systemverfügbarkeit der Kernfunktionen von mindestens 99,0 % (exklusive
angekündigter Wartungsfenster und Ereignisse höherer Gewalt). Geplante
Wartungsfenster werden im Voraus angekündigt und nach Möglichkeit außerhalb der
Kerngeschäftszeiten (Montag–Freitag, 08:00–18:00 Uhr MEZ) durchgeführt.
8. Pflichten des Nutzers
8.1 Nutzer müssen Zugangsdaten
vertraulich behandeln.
8.2 Nutzer sind für Eingabe,
Richtigkeit und Sicherheit ihrer Daten selbst verantwortlich.
8.3 Vor Nutzung ist auf
Virenschutz zu achten.
8.4 Es ist untersagt, Inhalte
oder Funktionen rechtsmissbräuchlich zu verwenden, den technischen Betrieb zu
beeinträchtigen oder automatisiert auszulesen.
8.5 Nutzer müssen Störungen
unverzüglich melden.
8.6 Der
Provider erhält ein technisch notwendiges, eng begrenztes, nicht übertragbares
und unentgeltliches Nutzungsrecht an den vom Nutzer hochgeladenen Inhalten,
ausschließlich soweit dies für die Bereitstellung, den Betrieb und die Wartung
der vertragsgegenständlichen ASP-Dienste unbedingt erforderlich ist. Jede
Nutzung der Inhalte – insbesondere personenbezogener Daten und Gesundheitsdaten
– zu eigenen wirtschaftlichen Zwecken, zu Forschungs- oder Analysezwecken oder
zur Weitergabe an Dritte ist dem Provider ausdrücklich untersagt. Der Nutzer
behält sämtliche Rechte an seinen Daten und Inhalten.
8.7
Zugangsdaten sind personengebunden (Named User) und streng vertraulich
zu behandeln. Die Weitergabe von Passwörtern ist untersagt. Der Provider stellt
für alle Nutzerkonten eine Zwei-Faktor-Authentifizierung (2FA) bereit. Nutzer,
die 2FA trotz Verfügbarkeit nicht aktiviert haben, haften für Schäden aus
unbefugtem Zugang, die kausal auf das Fehlen der 2FA zurückzuführen sind,
sofern diese nicht vom Provider verschuldet wurden. Bei Verdacht auf Missbrauch
von Zugangsdaten ist der Provider unverzüglich unter support@care-order.at zu
benachrichtigen.
9. Entgelt
9.1 Die Nutzung der Software ist
unentgeltlich.
10. Gewährleistung und Haftung
10.1 Die Software wird dem Nutzer
unentgeltlich bereitgestellt. Der Provider übernimmt keine Gewähr für
ununterbrochene Verfügbarkeit, Fehlerfreiheit oder die Eignung der Software für
einen bestimmten Zweck des Nutzers.
10.2 Da die Leistung
unentgeltlich erbracht wird, haftet der Provider ausschließlich für Schäden,
die auf Vorsatz oder grober Fahrlässigkeit des Providers oder seiner
Erfüllungsgehilfen beruhen. Jede Haftung für leichte Fahrlässigkeit ist –
soweit gesetzlich zulässig – vollständig ausgeschlossen.
10.3 Die Haftung für grobe
Fahrlässigkeit ist auf direkte Sachschäden begrenzt und beträgt maximal EUR
1.000 pro Schadensereignis und EUR 2.000 pro Kalenderjahr. Die Haftung für
mittelbare Schäden, Folgeschäden, entgangenen Gewinn und Datenverluste ist –
soweit gesetzlich zulässig – auch bei grober Fahrlässigkeit ausgeschlossen.
10.4 Die vorstehenden
Haftungsbeschränkungen gelten nicht für:
(a) Schäden aus der Verletzung des Lebens, des Körpers oder der
Gesundheit;
(b) Produkthaftungsansprüche nach dem Produkthaftungsgesetz (PHG);
(c) arglistig verschwiegene Mängel.
10.5 Schäden aus unsachgemäßer
Bedienung, ungeeigneter Systemumgebung oder eigenmächtigen Eingriffen des
Nutzers sind vom Provider nicht zu ersetzen.
10.6 Eine Haftung für durch
Dritte oder durch unbefugte Nutzung von Zugangsdaten verursachte Schäden wird
ausgeschlossen, es sei denn, diese sind vom Provider verschuldet.
11. Höhere Gewalt
11.1 Der Provider haftet nicht
für Leistungsausfälle aufgrund höherer Gewalt (z. B. Naturkatastrophen,
Kriege, Pandemien, Streiks, Sabotage, behördliche Anordnungen).
12. Laufzeit und Kündigung
12.1 Das Vertragsverhältnis läuft
unbefristet. Nutzer können jederzeit ohne Frist kündigen, allgemein und
insbesondere aus wichtigem Grund.
12.2 Der Provider kann mit
sofortiger Wirkung kündigen, wenn der Nutzer seine Pflichten erheblich verletzt
oder gegen Datenschutz-, Urheber- und Schutzrechte verstößt.
13. Datenschutz und Vertraulichkeit
13.1 Der Nutzer ist selbst für
die nach den Bestimmungen der DSGVO und des österreichischen
Datenschutzgesetzes zur Nutzung der ASP-Dienste allenfalls erforderlichen
Einwilligungserklärungen verantwortlich sowie für die Einhaltung des GTelG und
insbesondere für die ausschließliche Verarbeitung von Daten innerhalb der
zulässigen Rollen gemäß GTelG bzw. GTelV Anlage 1. Der Provider stellt sicher,
dass die Software den technischen und datenschutzrechtlichen Anforderungen des
GTelG und der einschlägigen Durchführungsverordnungen in der jeweils geltenden
Fassung entspricht.
13.2 Der Provider setzt
technische, organisatorische und personelle Maßnahmen nach dem Stand der
Technik zum Schutz personenbezogener Daten ein.
13.3 Der Provider setzt ausschließlich die im
Auftragsverarbeitungsvertrag (Anhang zu diesen AGB, Anhang 3) aufgeführten
Unterauftragsverarbeiter ein. Beabsichtigt der Provider, weitere
Unterauftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen,
informiert er den Nutzer mindestens 30 Tage im Voraus. Der Nutzer kann
innerhalb von 14 Tagen aus datenschutzrechtlichen Gründen schriftlich Einspruch
erheben. Kommt keine Einigung zustande, steht dem Nutzer ein außerordentliches
Kündigungsrecht zu. Der Provider verpflichtet alle Unterauftragsverarbeiter
vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag festgelegt.
13.4 Informationen darüber, wie der Provider im
Rahmen seiner eigenen Verantwortlichkeit (z. B. Zugangsdaten, technische
Logdaten, Support-Kommunikation) personenbezogene Daten verarbeitet, finden
sich in der Datenschutzerklärung des Providers, abrufbar unter
https://care-order.at/datenschutz_software/. Diese Datenschutzerklärung ist
Bestandteil dieser AGB. Sollte der Provider zur Bestellung eines
Datenschutzbeauftragten verpflichtet sein, werden dessen Kontaktdaten an
gleicher Stelle veröffentlicht.
13.5 Soweit im Rahmen der Nutzung der Software
besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere
Gesundheitsdaten, verarbeitet werden, trifft der Provider über die allgemeinen
technisch-organisatorischen Maßnahmen hinaus folgende zusätzliche
Schutzmaßnahmen: (a) Zugriff auf Gesundheitsdaten ausschließlich nach dem
Need-to-know-Prinzip; (b) Ende-zu-Ende-Verschlüsselung aller Gesundheitsdaten;
(c) gesonderte revisionssichere Protokollierung aller Zugriffe auf
Gesundheitsdaten; (d) besondere schriftliche Vertraulichkeitsverpflichtung für
alle Mitarbeiter mit Zugang zu Gesundheitsdaten. Der Nutzer als
datenschutzrechtlich Verantwortlicher stellt sicher, dass für die Verarbeitung
von Gesundheitsdaten eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt.
14. Änderungen dieser AGB
14.1 Der Provider behält sich das Recht vor, diese
AGB mit Wirkung für die Zukunft zu ändern. Änderungen werden dem Nutzer
mindestens sechs Wochen vor dem beabsichtigten Inkrafttreten per E-Mail an die
hinterlegte Adresse oder durch Hinweis beim nächsten Login mitgeteilt. Die
Mitteilung enthält einen ausdrücklichen Hinweis auf das Widerspruchsrecht und
die Folgen des Schweigens. Widerspricht der Nutzer nicht innerhalb von vier
Wochen nach Zugang der Mitteilung schriftlich, gelten die Änderungen als
angenommen. Bei wesentlichen Leistungseinschränkungen oder Verschlechterungen
des Datenschutzniveaus steht dem Nutzer unabhängig davon ein außerordentliches
Kündigungsrecht zu. Änderungen des Auftragsverarbeitungsvertrags (§ 19 und
Anhang) bedürfen stets der ausdrücklichen schriftlichen Zustimmung des Nutzers.
15. Mitteilungen
15.1 Mitteilungen erfolgen
schriftlich oder per E-Mail. Änderungen von Kontaktdaten sind vom Nutzer
unverzüglich mitzuteilen.
16. Salvatorische Klausel
16.1 Sollten einzelne
Bestimmungen dieser AGB unwirksam sein, bleibt die Wirksamkeit der übrigen
unberührt.
17. Anwendbares Recht und Gerichtsstand
17.1 Es gilt ausschließlich
österreichisches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist
Wien, soweit gesetzlich zulässig.
18. Mediation
18.1 Vor Anrufung eines Gerichts
bemühen sich die Parteien um Mediation durch eingetragene
Wirtschaftsmediatoren. Erst nach deren Scheitern können rechtliche Schritte
eingeleitet werden.
Diese
Mediationspflicht gilt nicht für: (a) die Beantragung einstweiliger Verfügungen
oder sonstiger gerichtlicher Eilmaßnahmen; (b) Fälle, in denen Verjährung oder
Verfristung droht; (c) Beschwerden bei Aufsichtsbehörden, insbesondere der
österreichischen Datenschutzbehörde; (d) Forderungen bis EUR 5.000. Kommt
innerhalb von acht Wochen ab schriftlicher Einleitung des Mediationsverfahrens
keine Einigung zustande, können die Parteien ohne weitere Wartefrist
gerichtliche Schritte einleiten.
19. Auftragsverarbeitung
19.1 Soweit der Provider im Rahmen der Erbringung
der Leistungen personenbezogene Daten im Auftrag des Nutzers verarbeitet, gilt
der als Anhang zu diesen AGB beigefügte Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO. Der AVV tritt automatisch mit Akzeptanz dieser AGB in
Kraft; einer gesonderten Unterzeichnung bedarf es nicht, sofern die Parteien
nicht ausdrücklich eine solche vereinbaren.
19.2 Im Zweifel geht der AVV den
datenschutzrechtlichen Regelungen dieser AGB vor, soweit der AVV strengere oder
konkretisierende Pflichten enthält.
19.3 Der Nutzer ist im Sinne der DSGVO
Verantwortlicher für die von ihm in die Software eingespeisten
personenbezogenen Daten (insbesondere Gesundheitsdaten aus Pflegeverordnungen).
Der Provider ist Auftragsverarbeiter im Sinne von Art. 4 Z 8 DSGVO.
Anhang zu den AGB zur Nutzung der Software „Care
Order“
Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
zwischen
„Nutzer“, „Auftraggeber“ oder „Verantwortlicher“ –
und
Care Order GmbH, FN 646740p
Porzellangasse 39/5, 1090 Wien, Österreich
– nachfolgend „Care Order“
oder „Auftragsverarbeiter“ –
gemeinsam die „Parteien“
1. Präambel und Rollenverständnis
1.1 Der Auftraggeber ist
Verantwortlicher (Art. 4 Z 7 DSGVO) für die Verarbeitung
personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener
Daten (Gesundheitsdaten gemäß Art. 9 DSGVO), im Rahmen seiner Tätigkeit (insbesondere
im Bereich der Pflege) und der Nutzung der Software „Care Order“.
1.2 Care Order erbringt für den
Auftraggeber Leistungen im Zusammenhang mit einer Applikation
(ASP-Dienste/Cloud-Software und Datenspeicherung) und verarbeitet dabei
personenbezogene Daten ausschließlich im Auftrag und nach Weisung des
Auftraggebers als Auftragsverarbeiter (Art. 4 Z 8 DSGVO).
1.3 Dieser AVV konkretisiert die
datenschutzrechtlichen Pflichten aus dem Auftragsverarbeitungsverhältnis gemäß
Art. 28 DSGVO und ist Bestandteil der AGB zur Nutzung der Software „Care
Order“. Er tritt automatisch mit Akzeptanz der AGB in Kraft.
2. Begriffsbestimmungen
Soweit in diesem AVV nicht abweichend geregelt, gelten die Begriffe der
DSGVO (insb. personenbezogene Daten, Verarbeitung, Verantwortlicher,
Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten).
3. Gegenstand, Art, Zweck und Umfang der
Verarbeitung
3.1 Gegenstand sind die von Care
Order für den Auftraggeber zu erbringenden Leistungen gemäß
Leistungsbeschreibung in Anhang 1 (nachfolgend „Leistungen“).
3.2 Art und Zweck der
Verarbeitung, Kategorien betroffener Personen sowie Kategorien
personenbezogener Daten ergeben sich aus Anhang 1.
3.3 Care Order verarbeitet
personenbezogene Daten ausschließlich zur Erbringung der Leistungen und nicht
für eigene Zwecke, insbesondere nicht zur Produktentwicklung, Profilbildung,
Analyse, Trainingszwecken oder sonstigen Sekundärnutzungen, sofern dies nicht
ausdrücklich schriftlich vom Auftraggeber angewiesen wurde.
4. Weisungsbindung
4.1 Care Order verarbeitet
personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers.
Weisungen können in Textform (z. B. E-Mail), schriftlich oder über ein
dokumentiertes Ticket-/Portal-System erteilt werden.
4.2 Hält Care Order eine Weisung
für rechtswidrig oder datenschutzrechtlich bedenklich, informiert Care Order
den Auftraggeber unverzüglich und setzt die Weisung bis zur Klärung aus, soweit
dies rechtlich zulässig ist.
4.3 Care Order stellt sicher,
dass die zur Verarbeitung befugten Personen ausschließlich nach den Weisungen
des Auftraggebers handeln.
5. Vertraulichkeit
5.1 Care Order verpflichtet alle
zur Verarbeitung befugten Personen zur Vertraulichkeit oder stellt sicher, dass
diese einer gesetzlichen Verschwiegenheitspflicht unterliegen.
5.2 Zugriffe erfolgen nach dem
Need-to-know-Prinzip; Care Order sorgt für geeignete Zugriffskontrollen und
Berechtigungsmanagement.
6. Technische und organisatorische Maßnahmen
(TOMs)
6.1 Care Order implementiert und
unterhält die in Anhang 2 beschriebenen TOMs und gewährleistet ein dem
Risiko angemessenes Sicherheitsniveau gemäß Art. 32 DSGVO.
6.2 Care Order dokumentiert
wesentliche Änderungen der TOMs; Änderungen, die das Sicherheitsniveau
wesentlich beeinflussen können, teilt Care Order dem Auftraggeber vorab mit.
7. Unterstützungspflichten des
Auftragsverarbeiters
Care Order unterstützt den Auftraggeber in angemessenem Umfang dabei,
seine datenschutzrechtlichen Pflichten zu erfüllen, insbesondere bei:
7.1 Betroffenenrechten (Auskunft,
Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
soweit dies die Sphäre von Care Order betrifft;
7.2 Datenschutz-Folgenabschätzung
und Konsultationen mit Aufsichtsbehörden, soweit für die von Care Order
erbrachten Leistungen erforderlich;
7.3 Nachweisen (z. B.
TOM-Dokumentation, Auditberichte, Zertifizierungen), soweit vorhanden und
zumutbar.
8. Meldung von Datenschutzverletzungen
8.1 Care Order meldet dem
Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich,
spätestens innerhalb von 24 Stunden ab Bekanntwerden.
8.2 Die Meldung enthält – soweit
verfügbar – mindestens: Art des Vorfalls, betroffene Systeme/Datenkategorien,
ungefährer Umfang, wahrscheinliche Folgen, bereits ergriffene bzw.
vorgeschlagene Abhilfemaßnahmen und eine Kontaktstelle.
8.3 Care Order unterstützt den
Auftraggeber bei der Aufklärung, Eindämmung und Dokumentation des Vorfalls.
9. Löschung und Rückgabe
9.1 Nach Beendigung der
Leistungen oder auf Weisung des Auftraggebers löscht oder gibt Care Order –
nach Wahl des Auftraggebers – alle personenbezogenen Daten (inkl. Kopien)
zurück bzw. löscht diese, sofern keine gesetzliche Aufbewahrungspflicht
entgegensteht.
9.2 Bestehen gesetzliche
Aufbewahrungspflichten, sperrt Care Order die Daten und verarbeitet sie nur
soweit zwingend erforderlich.
9.3 Care Order bestätigt die
Löschung/Rückgabe in Textform auf Anfrage des Auftraggebers.
10. Nachweisführung, Audit und Kontrolle
10.1 Care Order stellt dem
Auftraggeber Informationen zur Verfügung, die erforderlich sind, um die
Einhaltung dieses AVV nachzuweisen, inkl. Dokumentation der Nutzer-Zustimmung
(Zeitpunkt, User).
11. Einsatz von Unterauftragsverarbeitern
11.1 Care Order darf
Unterauftragsverarbeiter nur einsetzen, wenn (i) diese verlässlich ausgewählt
werden, (ii) vertraglich mindestens gleichwertige Pflichten wie in diesem AVV
auferlegt werden und (iii) der Auftraggeber gemäß den nachstehenden Regeln
zugestimmt hat.
11.2 Genehmigung: Der
Auftraggeber erteilt Care Order eine allgemeine Vorab-Genehmigung zum Einsatz
der in Anhang 3 aufgeführten Unterauftragsverarbeiter.
11.3 Änderungen: Care Order
informiert den Auftraggeber über jede beabsichtigte Hinzunahme, Ersetzung oder
sonstige Änderung der Unterauftragsverarbeiter-Liste mindestens 30 Kalendertage
vor Wirksamwerden in Textform.
11.4 Widerspruch: Der
Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem
Grund widersprechen (z. B. Sicherheitsbedenken, Drittlandrisiko, fehlende
Garantien). In diesem Fall wird Care Order den betreffenden
Unterauftragsverarbeiter für den Auftraggeber nicht einsetzen und – soweit
möglich – eine zumutbare Alternative anbieten. Ist keine Alternative möglich,
sind die Parteien verpflichtet, eine sachgerechte Lösung zu vereinbaren; weitergehende
Rechte aus dem Hauptvertrag bleiben unberührt.
12. Drittlandverarbeitung / internationale
Übermittlungen
12.1 Eine Verarbeitung oder ein
Zugriff aus einem Staat außerhalb des EWR („Drittland“) ist nur zulässig, wenn
die Voraussetzungen der DSGVO für internationale Übermittlungen eingehalten
werden und der Auftraggeber vorab informiert wurde.
12.2 Sofern
Unterauftragsverarbeiter (insb. globale Cloud-Anbieter) Drittlandzugriffe nicht
gänzlich ausschließen, stellt Care Order sicher, dass geeignete Garantien
bestehen (z. B. EU-Standardvertragsklauseln, zusätzliche
technische/organisatorische Maßnahmen) und stellt dem Auftraggeber
entsprechende Nachweise auf Anfrage zur Verfügung.
13. Vertragsbeziehung / Vorrang
13.1 Dieser AVV gilt als
Datenschutz-Anlage zu den AGB zur Nutzung der Software „Care Order“
(Hauptvertrag).
13.2 Im Zweifel geht dieser AVV
den datenschutzrechtlichen Regelungen des Hauptvertrags vor, soweit der AVV
strengere oder konkretisierende Pflichten enthält.
14. Haftung
14.1 Die Haftung richtet sich
nach dem Hauptvertrag (AGB § 10); im Übrigen nach den gesetzlichen
Bestimmungen, insbesondere Art. 82 DSGVO.
14.2 Care Order haftet dem
Auftraggeber gegenüber für Verstöße gegen diesen AVV.
15. Ansprechpartner
15.1 Datenschutz-/Sicherheitskontaktstellen:
siehe https://care-order.at/datenschutz_software/.
16. Schlussbestimmungen
16.1 Änderungen und Ergänzungen
dieses AVV bedürfen der Textform (z. B. E-Mail), soweit nicht zwingendes
Recht Schriftform verlangt.
16.2 Sollten einzelne
Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen
unberührt; die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame,
die dem wirtschaftlichen Zweck am nächsten kommt.
16.3 Es gilt österreichisches
Recht. Gerichtsstand ist – soweit zulässig – Wien.
Anhang 1 –
Beschreibung der Verarbeitung (Leistungsbeschreibung / Processing Details)
1. Leistungen (ASP-Dienste)
1.1 Care Order erbringt für den
Auftraggeber mit der entwickelten Applikation ASP-Dienstleistungen über das
Internet im Bereich der Pflege. Nutzer der Plattform ist einerseits der
Auftraggeber (als Kunde) und andererseits ein Sanitätshaus, welches seine Waren
und Dienstleistungen dem Auftraggeber anbietet.
1.2 Gegenstand ist:
1.2.1 die Überlassung von
Software zur Nutzung über das Internet (Cloud), und
1.2.2 die Speicherung von Daten
des Kunden (Cloud).
Der Auftraggeber erhält über die Software die Möglichkeit, Produkte
eines Sanitätshauses über die Plattform zu beziehen, indem Pflegeverordnungen
an ein Sanitätshaus versendet werden.
2. Art der Verarbeitung
Speicherung, Bereitstellung, Anzeige/Verarbeitung innerhalb der
Applikation, Protokollierung (Logfiles), Sicherung/Backup, Wiederherstellung,
technische Wartung/Fehlerbehebung im vereinbarten Umfang.
3. Zweck der Verarbeitung
Erbringung und Betrieb der ASP-Dienste inkl. Datenspeicherung und
plattformbezogener Funktionen zur Abwicklung von Pflegeverordnungen und
Bestellprozessen.
4. Kategorien betroffener Personen
Je nach Einsatz: (i) Patienten/Betroffene, (ii) Nutzer beim
Auftraggeber, (iii) Nutzer beim Sanitätshaus/assoziierten Unternehmen, (iv)
ggf. Angehörige/Bevollmächtigte, (v) Administrations-/Supportnutzer.
5. Kategorien personenbezogener Daten
– Stammdaten (z. B. Name,
Adresse, Kontaktdaten, Kundennummern)
–
Kommunikations-/Transaktionsdaten (z. B. Bestell- und Versanddaten,
Plattforminteraktionen)
– Gesundheitsdaten (besondere
Kategorie gem. Art. 9 DSGVO), insbesondere Inhalte/Angaben aus
Pflegeverordnungen und damit zusammenhängende Informationen
– Nutzungs-/Protokolldaten
(z. B. Logins, Zeitstempel, Geräte-/IP-Daten soweit eingesetzt)
– Dokumente/Anhänge (z. B.
Verordnungsdokumente)
6. Verarbeitungsorte
Primär innerhalb des EWR, soweit nicht in Anhang 3 oder § 12 anders
geregelt.
Anhang 2 – Technische
und organisatorische Maßnahmen (TOMs) – Mindeststandard
a) Zugriffsschutz: rollenbasierte
Berechtigungen (Least-Privilege), starke Authentifizierung (mindestens MFA für
Administrationszugänge), regelmäßige Rezertifizierung von Berechtigungen;
b) Verschlüsselung:
Transportverschlüsselung (TLS) sowie Verschlüsselung ruhender Daten;
Schlüsselmanagement nach anerkannten Standards;
c) Protokollierung/Monitoring:
revisionssichere Protokollierung sicherheitsrelevanter Zugriffe und
Administrationshandlungen, Erkennung unbefugter Zugriffe,
Incident-Response-Prozess;
d) Integrität: Mechanismen zur
Eingabe- und Änderungskontrolle, Schutz vor unbefugter Veränderung;
e) Verfügbarkeit/Resilienz:
Backup- und Wiederherstellungskonzept, Notfall- und Wiederanlaufplanung,
Restore-Tests
f) Trennung: Mandantentrennung
(Datenhaltung in mehrmandantenfähiger Datenbank; Zugriffskontrolle über
striktes Berechtigungskonzept auf Basis des Klienten, dem
Pflegeorganisation/Standort technisch zwingend zugeordnet sind); Trennung von
Umgebungen (Produktiv/Test/Entwicklung) und Datenminimierung im Support;
g) Secure Development/Change
Management: geregelte Deployment-/Patch-Prozesse, Schwachstellenmanagement;
h) Belastbarkeit: Die genutzte
Microsoft Azure-Infrastruktur erfüllt gängige Sicherheitsstandards (u. a.
ISO 27001, ISO 27701). Die Datenspeicherung erfolgt in den
Rechenzentren Frankfurt (Deutschland) und Dublin (Irland).
Anhang 3 – Liste der
Unterauftragsverarbeiter von Care Order
1.
Microsoft Ireland Operations Ltd.
One Microsoft
Place, South County Business Park, Leopardstown, Dublin 18, Irland
Rolle/Leistung: Cloud-Infrastruktur/Hosting/Plattformdienste (je nach
konkret eingesetztem Microsoft-Service)
Vertragsgrundlage: Verarbeitung auf Grundlage des „Microsoft Data
Protection Addendum“ (DPA)