1. Parteien und Rollen
Verantwortliche: die Praxis / Klinik („Organisation“), die FollowOP für die Nachsorge einsetzt.
Auftragsverarbeiter: INSIDE Enterprises GmbH & Co. KG, Edisonstraße 63, Haus A, 12459 Berlin („Anbieter“).
Diese Bedingungen regeln die Verarbeitung personenbezogener Daten im Auftrag der Organisation gemäß Art. 28 DSGVO. Sie gelten mit der Bestätigung im Praxis-Zugang (Version 2026-10-28-v1) bzw. mit gesonderter schriftlicher Vereinbarung.
2. Gegenstand und Dauer
Gegenstand ist der technische Betrieb der FollowOP-Plattform (Hosting, Authentifizierung, Speicherung und Übermittlung von Nachsorge-Daten einschließlich Gesundheitsdaten, Benachrichtigungen) für die Dauer der Nutzung durch die Organisation. Mit Beendigung der Nutzung endet die Auftragsverarbeitung; Löschung bzw. Rückgabe richtet sich nach Weisung der Organisation und gesetzlichen Aufbewahrungspflichten.
3. Art der Daten und betroffene Personen
- Stammdaten und Kontaktdaten von Patientinnen und Praxismitgliedern
- Gesundheits- und Behandlungsbezogene Angaben (Tagesberichte, Medikation, OP-Angaben, Evaluationen)
- optionale Wundfotos und Nachrichteninhalte
- technische Protokoll- und Gerätedaten, soweit für Betrieb und Sicherheit erforderlich
Betroffene: Patientinnen der Organisation sowie deren behandelnde Mitarbeitende.
4. Weisungen
Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung der Organisation, einschließlich dieser AV-Bedingungen und der in der Plattform vorgesehenen Funktionen (Aufnahme, Korrektur, Löschanträge). Ist der Anbieter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er das der Organisation mit.
5. Sicherheit und Vertraulichkeit
Der Anbieter trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) und stellt sicher, dass Personen mit Zugang zur Verarbeitung zur Vertraulichkeit verpflichtet sind. Einzelheiten zu Hosting und Unterauftragsverarbeitern ergeben sich aus der Betriebsdokumentation / der Datenschutzerklärung und können aktualisiert werden; wesentliche Änderungen werden der Organisation mitgeteilt.
6. Unterauftragsverarbeiter
Die Organisation erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit der Anbieter einen Vertrag mit gleichwertigen Pflichten schließt und die Organisation über wesentliche Änderungen informiert wird (Widerspruchsrecht, soweit gesetzlich vorgesehen). Typische Kategorien: Hosting, E-Mail-/OTP-Versand, Push-Benachrichtigungen.
7. Unterstützung bei Betroffenenrechten und Meldepflichten
Der Anbieter unterstützt die Organisation nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung und bei Datenschutzverletzungen. Anfragen von Betroffenen zur klinischen Akte werden an die Organisation verwiesen bzw. weitergeleitet.
8. Nachweis und Prüfungen
Der Anbieter stellt der Organisation die erforderlichen Informationen zum Nachweis der Art.-28-Pflichten zur Verfügung und ermöglicht Prüfungen in angemessenem Umfang (unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie Rechten Dritter), nach vorheriger Abstimmung.
9. Löschung / Rückgabe
Nach Ende der Auftragsverarbeitung löscht oder gibt der Anbieter die Daten nach Wahl der Organisation zurück, soweit nicht gesetzliche Speicherpflichten entgegenstehen. Klinikseitige Aufbewahrungspflichten bleiben unberührt; Löschanträge von Patientinnen werden über den Praxis-Prozess (Löschanträge) unter Mitwirkung der Organisation bearbeitet.
10. Schlussbestimmungen
Es gilt deutsches Recht. Sollten einzelne Klauseln unwirksam sein, bleibt der Rest unberührt. Diese Online-AV-Bedingungen ersetzen nicht die Pflicht der Organisation, ihre eigene Datenschutz-Compliance (inkl. Verzeichnis, TOMs, ggf. DSB) sicherzustellen. Counsel-Prüfung vor produktivem Dauerbetrieb empfohlen.