Auftragsverarbeitungsvertrag

Auftraggeber wie im Hauptvertrag genannt, dessen Bestandteil diese Auftragsverarbeitungsvereinbarung ist.

und

The MedGuide Company B.V., handelnd unter dem Namen The MedGuide Company, eingetragen im Handelsregister der Handelskammer unter der Nummer 76091465, mit Sitz und Geschäftsstelle in (1013 AP) Amsterdam, Danzigerkade 227 B (im Folgenden als MedGuide oder Auftragsverarbeiter bezeichnet), hierbei rechtswirksam vertreten durch ihren Geschäftsführer, Herrn J.T. van der Kleij;

im Folgenden gemeinsam bezeichnet als: Parteien.

Die Parteien berücksichtigen Folgendes:

Der Auftraggeber ist als Verantwortlicher für die personenbezogenen Daten auf der Grundlage der Datenschutz-Grundverordnung (im Folgenden: DSGVO) verpflichtet, eine Auftragsverarbeitungsvereinbarung mit dem Auftragsverarbeiter abzuschließen;
Im Rahmen der zwischen den Parteien vereinbarten und in einer Vereinbarung festgelegten Tätigkeiten, die vom Auftragsverarbeiter ausgeführt werden, verarbeitet der Auftragsverarbeiter im Auftrag und auf Anweisung des Auftraggebers personenbezogene Daten, die dem Auftraggeber gehören, ohne der direkten Weisungsbefugnis des Auftraggebers unterstellt zu sein;
Der Auftragsverarbeiter wird bei der Durchführung der Tätigkeiten personenbezogene Daten gemäß den Anweisungen und unter der Verantwortung des Auftraggebers verarbeiten;
Auftraggeber und Auftragsverarbeiter haben Artikel 32 DSGVO zur Kenntnis genommen, um ein angemessenes Schutzniveau zu wählen;
Zusätzlich können dem Auftragsverarbeiter vom Auftraggeber schriftlich weitere Verarbeitungstätigkeiten übertragen werden, die dieser Auftragsverarbeitungsvereinbarung als Anhang beigefügt werden;
Der Auftragsverarbeiter führt nur solche Datenverarbeitungen durch, die vom Auftraggeber schriftlich angewiesen wurden;
Werden im Auftrag des Auftraggebers mehr oder andere personenbezogene Daten verarbeitet oder erfolgt die Verarbeitung anders als im anwendbaren Anhang beschrieben, gilt diese Auftragsverarbeitungsvereinbarung auch für diese Verarbeitungen und personenbezogenen Daten.

Und vereinbaren Folgendes:

Artikel 1. Definitionen

Sofern in dieser Vereinbarung nicht anders definiert, haben die verwendeten Begriffe die ihnen in der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) zugewiesene Bedeutung.

Artikel 2. Verarbeitung personenbezogener Daten

Der Auftraggeber erteilt dem Auftragsverarbeiter den Auftrag, den der Auftragsverarbeiter annimmt, personenbezogene Daten in Übereinstimmung mit dieser Auftragsverarbeitungsvereinbarung zu verarbeiten.
Der Auftraggeber bleibt der Verantwortliche für die Datenverarbeitung. Der Auftragsverarbeiter hat keine eigenständige Verfügungsgewalt über die personenbezogenen Daten, die für den Auftraggeber gemäß dieser Auftragsverarbeitungsvereinbarung verarbeitet werden.
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf der Grundlage schriftlicher Weisungen des Auftraggebers, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist durch für ihn geltendes Recht zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
Soweit der Auftragsverarbeiter pseudonymisierte oder anonymisierte Daten zum Zwecke der Weitergabe an Dritte für eigene kommerzielle oder Forschungszwecke des Auftragsverarbeiters verarbeitet, gilt der Auftragsverarbeiter für diese spezifische Verarbeitung als eigenständiger Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO. Diese Verarbeitung fällt nicht in den Anwendungsbereich der Weisungsbefugnis des Verantwortlichen gemäß diesem Artikel und wird gesondert in Anhang 3 (Regelung zur Weitergabe an Dritte) geregelt.
Der Auftraggeber ist dafür verantwortlich, dass gemäß den Datenschutzgesetzen eine gültige Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten vorliegt.
Der Auftragsverarbeiter wird die in dem anwendbaren Anhang 1 genannten und vom Auftraggeber zwingend erforderlich bereitgestellten personenbezogenen Daten ausschließlich für die dort beschriebenen Tätigkeiten verarbeiten. Der Auftragsverarbeiter wird keine anderen Handlungen vornehmen, es sei denn, im anwendbaren Anhang ist etwas anderes vereinbart.

Artikel 3. Weitergabe an Dritte

Der Auftragsverarbeiter ist berechtigt, pseudonymisierte oder anonymisierte Daten, die aus den im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten abgeleitet wurden, an Dritte (darunter Pharmaunternehmen, wissenschaftliche Einrichtungen und Regierungsbehörden) weiterzugeben, und zwar ausschließlich dann, wenn:
1. Der Auftragsverarbeiter eine dokumentierbare Rechtsgrundlage für diese Verarbeitung festgestellt hat, die unabhängig von der Rechtsgrundlage ist, die der Verantwortliche für die primäre Dienstleistung nutzt.
2. Der Verantwortliche die betroffenen Patienten vorab gemäß den Artikeln 13 und 14 DSGVO informiert und, sofern gesetzlich vorgeschrieben, eine ausdrückliche Einwilligung gemäß Artikel 9 Absatz 2 Buchstabe a DSGVO eingeholt hat.
3. Die angewandte Anonymisierungs- oder Pseudonymisierungsmethode dokumentiert ist und auf Anfrage des Verantwortlichen oder einer Aufsichtsbehörde vorgelegt wird.
4. Der Auftragsverarbeiter vor Beginn der Verarbeitung eine Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO durchgeführt hat.
Der Verantwortliche verpflichtet sich, den Patienten die Möglichkeit zu bieten, der Weitergabe ihrer Daten für die in diesem Artikel genannten Zwecke zu widersprechen, ohne dass dies Auswirkungen auf den Zugang zu den regulären pharmazeutischen Dienstleistungen hat.
Der Auftragsverarbeiter ist für die in diesem Artikel genannte Verarbeitung eigenständiger Verantwortlicher und übernimmt die daraus resultierende Haftung gegenüber den betroffenen Personen und Aufsichtsbehörden.

Artikel 4. Einhaltung von Gesetzen und Vorschriften

Der Auftragsverarbeiter wird bei der Verarbeitung personenbezogener Daten, wie in Artikel 2 und dem anwendbaren Anhang beschrieben, in Übereinstimmung mit der DSGVO und anderen anwendbaren Gesetzen und Vorschriften zum Datenschutz handeln.

Artikel 5. Haftung

Der Auftragsverarbeiter haftet für den direkten Schaden, der aus einer schuldhaften Nichterfüllung dieser Auftragsverarbeitungsvereinbarung sowie im Zusammenhang mit einer schuldhaften Verletzung der DSGVO und aller anderen geltenden europäischen Datenschutzvorschriften und Selbstregulierungen resultiert. Unter direktem Schaden werden ausschließlich verstanden: die angemessenen Kosten, die aufgewendet werden, um die mangelhafte Leistung des Auftragsverarbeiters mit der Auftragsverarbeitungsvereinbarung in Einklang zu bringen, soweit diese dem Auftragsverarbeiter zugerechnet werden können.
Der Auftragsverarbeiter haftet niemals für indirekte Schäden, Folgeschäden, Imageschäden, entgangenen Gewinn, entgangenen Umsatz oder Einsparungen und/oder geminderten Firmenwert (Goodwill).
Die Gesamthaftung des Auftragsverarbeiters aus welchem Rechtsgrund auch immer ist auf den Betrag begrenzt, der im jeweiligen Fall von der Haftpflichtversicherung des Auftragsverarbeiters tatsächlich ausgezahlt wird.
Falls der Versicherer des Auftragsverarbeiters keine Entschädigung leistet und der Auftragsverarbeiter dennoch aufgrund eines Urteils zum Schadensersatz verpflichtet sein sollte, ist der Umfang der Haftung des Auftragsverarbeiters auf die Gesamtheit der Rechnungsbeträge begrenzt, die vom Auftraggeber über einen Zeitraum von maximal 12 Monaten vor dem Ereignis an den Auftragsverarbeiter gezahlt wurden.
Die Bestimmungen dieses Artikels gelten auch für die (juristischen) Personen, die vom Auftragsverarbeiter für die Erbringung der Dienstleistungen eingeschaltet wurden.
Die in diesem Artikel genannten Beschränkungen und Ausschlüsse entfallen im Falle von Vorsatz oder bewusster Grobfahrlässigkeit durch die Geschäftsleitung des Auftragsverarbeiters.

Artikel 6. Sicherheitsmaßnahmen und Überprüfung

Der Auftragsverarbeiter wird geeignete technische und organisatorische Maßnahmen ergreifen, aufrechterhalten, bewerten und erforderlichenfalls anpassen und aktualisieren, um personenbezogene Daten vor Verlust, Diebstahl oder jeglicher Form unrechtmäßiger Verarbeitung zu schützen. Diese Maßnahmen gewährleisten unter Berücksichtigung der Art, des Umfangs, des Kontextes und des Zwecks der Verarbeitung, des Stands der Technik und der Implementierungskosten ein angemessenes Schutzniveau im Hinblick auf die Wahrscheinlichkeit und Schwere unterschiedlicher Risiken, die mit der Verarbeitung der zu schützenden personenbezogenen Daten verbunden sind, und entsprechen den Bestimmungen des Artikels 32 DSGVO.
Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Bestimmungen in Absatz 1 nachzuweisen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Europäischen Wirtschaftsraum (EWR) oder lässt sie dort verarbeiten. Wenn der Auftragsverarbeiter jedoch die personenbezogenen Daten des Auftraggebers außerhalb des Europäischen Wirtschaftsraums verarbeiten oder verarbeiten lassen möchte, wird er dies nur mit vorheriger schriftlicher Zustimmung des Auftraggebers und ausschließlich in Ländern tun oder tun lassen, die von der Europäischen Kommission als Länder mit einem angemessenen Schutzniveau anerkannt wurden oder die durch zusätzliche Maßnahmen ein angemessenes Schutzniveau bieten.
Der Auftragsverarbeiter ermöglicht dem Auftraggeber, einmal jährlich ein Audit durchzuführen oder durchführen zu lassen, mit dem Ziel, die Einhaltung der Bestimmungen dieser Auftragsverarbeitungsvereinbarung zu überprüfen. Der Auftragsverarbeiter wird hierbei mitwirken und alle für das Audit relevanten Informationen, die zum Nachweis der Einhaltung der in der Auftragsverarbeitungsvereinbarung festgelegten Verpflichtungen erforderlich sind, rechtzeitig zur Verfügung stellen.
Der Auftraggeber wird kein Audit bei Unterauftragsverarbeitern durchführen, da der Auftragsverarbeiter hierfür selbst verantwortlich ist.
Die Personen, die ein Audit durchführen, werden sich an die beim Auftragsverarbeiter geltenden Sicherheitsverfahren halten. Die Kosten für un Audit gehen vollständig zu Lasten des Auftraggebers, es sei denn, aus dem Audit geht hervor, dass der Auftragsverarbeiter in nicht unwesentlichen Punkten schuldhaft gegen diese Auftragsverarbeitungsvereinbarung verstoßen hat.
Der Auftraggeber wird das Audit auf das beschränken, was in dieser Auftragsverarbeitungsvereinbarung festgelegt ist, sowie auf die Datenverarbeitungstätigkeiten und die personenbezogenen Daten des Auftraggebers. Datenverarbeitungen, die der Auftragsverarbeiter für andere Auftraggeber durchführt, sind von diesem Audit ausgeschlossen. Alle Informationen, die dem Auftraggeber während des Audits zur Kenntnis gelangen, werden vom Auftraggeber geheim gehalten. Dies gilt auch für den vom Auftraggeber eingeschalteten Dritten, der das Audit durchführt. Der Auftraggeber stellt sicher, dass die normalen Arbeitsprozesse des Auftragsverarbeiters während eines Audits nicht gestört werden, und wird den Auftragsverarbeiter vorab rechtzeitig über ein zu planendes Audit informieren.

Artikel 7. Meldepflicht bei Datenpannen

Wenn der Auftragsverarbeiter bei der Verarbeitung personenbezogener Daten Kenntnis von einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) erlangt, wird der Auftragsverarbeiter den Auftraggeber spätestens innerhalb von 48 Stunden nach der Entdeckung darüber informieren. Der Auftragsverarbeiter ergreift in der Zwischenzeit alle möglichen technischen und organisatorischen Maßnahmen, um die Datenpanne zu stoppen, zu verhindern und/oder zu beheben. Der Auftragsverarbeiter stellt bei der Meldung Informationen (soweit bekannt) über die Art der Verletzung, die Art der betroffenen personenbezogenen Daten, die technischen Schutzmaßnahmen und andere relevante Fakten und Umstände zur Verfügung, die wichtig sind, um zu bestimmen, ob die Aufsichtsbehörde und/oder die betroffene Person vom Auftraggeber informiert werden müssen.
Der Auftragsverarbeiter wird Anhang 2 „Meldung einer Datenpanne durch den Auftragsverarbeiter“ vollständig ausfüllen und digital an den Auftraggeber senden. Der Auftraggeber ist dafür verantwortlich, den Auftragsverarbeiter unverzüglich zu informieren, wenn sich hierbei Änderungen ergeben. Der Auftragsverarbeiter geht von der Richtigkeit der vom Auftraggeber bereitgestellten Informationen aus.
Der Auftragsverarbeiter dokumentiert alle Datenpannen und Sicherheitsvorfälle. Die Dokumentation wird auf schriftliche Anfrage des Auftraggebers zur Verfügung gestellt, um sicherzustellen, dass der Auftraggeber in der Lage ist, diese der Datenschutzbehörde (Autoriteit Persoonsgegevens) vorzulegen.
Sofern eine Verpflichtung zur Meldung an die Aufsichtsbehörde oder zur Information der betroffenen Personen besteht, wird dies ausschließlich durch den Auftraggeber erfolgen. Der Auftragsverarbeiter wird hierbei mitwirken.
Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Artikel 35 DSGVO (Datenschutz-Folgenabschätzung) und Artikel 36 DSGVO (Vorherige Konsultation).

Artikel 8. Einschaltung von Unterauftragsverarbeitern

Dem Auftragsverarbeiter ist es nicht gestattet, im Rahmen dieser Auftragsverarbeitungsvereinbarung einen Unterauftragsverarbeiter einzusetzen, es sei denn, der Auftraggeber hat hierzu seine vorherige schriftliche Zustimmung erteilt.
Wenn der Auftragsverarbeiter die personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten möchte, darf dies nur in Ländern erfolgen, die von der Europäischen Kommission als Länder mit einem angemessenen Schutzniveau anerkannt wurden oder die durch zusätzliche Maßnahmen ein angemessenes Schutzniveau bieten.
Der Auftraggeber erteilt dem Auftragsverarbeiter die Zustimmung zur Einschaltung der im anwendbaren Anhang genannten Unterauftragsverarbeiter.
Der Unterauftragsverarbeiter bietet hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen dieser Auftragsverarbeitungsvereinbarung und der DSGVO entspricht.
Wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter einschaltet, haftet der Auftragsverarbeiter unbeschränkt für die Erfüllung aller Pflichten durch diesen Unterauftragsverarbeiter. Der Auftragsverarbeiter wird dem Unterauftragsverarbeiter in einer schriftlichen Vereinbarung dieselben Pflichten auferlegen, die sich für ihn aus dieser Auftragsverarbeitungsvereinbarung ergeben, sodass auch der Unterauftragsverarbeiter an diese Bestimmungen gebunden ist.
Der Auftragsverarbeiter muss eine Liste der Unterauftragsverarbeiter einschließlich der auszuführenden Aufgaben führen.
Pharmaunternehmen, wissenschaftliche Einrichtungen und Regierungsbehörden, die Daten im Rahmen von Artikel 3 dieser Vereinbarung erhalten, gelten nicht als Unterauftragsverarbeiter im Sinne dieses Artikels, da sie nicht im Namen oder auf Weisung des Auftragsverarbeiters handeln, sondern die Daten für eigene Zwecke verarbeiten. Auf diese Weitergabe ist ausschließlich Artikel 3 anwendbar.

Artikel 9. Geheimhaltungspflicht

Der Auftragsverarbeiter, sein Personal und von ihm eingeschaltete Dritte sind zur Geheimhaltung der personenbezogenen Daten verpflichtet, von denen sie Kenntnis erlangen.
Der Auftragsverarbeiter gewährt seinen Mitarbeitern und von ihm eingeschalteten Dritten nur insoweit Zugang zu den personenbezogenen Daten, als dies für die Durchführung der vom Auftraggeber angewiesenen Datenverarbeitung erforderlich ist.
Der Auftragsverarbeiter wird die bei ihm beschäftigten oder für ihn tätigen Personen nachweislich zur Geheimhaltung (einschließlich einer Sanktionsregelung) in Bezug auf die personenbezogenen Daten verpflichten, von denen sie Kenntnis erlangen können.
Die Geheimhaltungspflicht des Auftragsverarbeiters darf nur dann durchbrochen werden, wenn eine gesetzliche Vorschrift zur Offenlegung von personenbezogenen Daten verpflichtet oder der vom Auftraggeber hierfür benannte Beauftragte dem Auftragsverarbeiter die Notwendigkeit der Offenlegung mitgeteilt hat.
Wenn eine Aufsichtsbehörde des Auftraggebers Einsicht in die Datenverarbeitung verlangt, hat der Auftragsverarbeiter jede notwendige Mitwirkung zu leisten, damit der Auftraggeber seinen Verpflichtungen nachkommen kann.
Die Geheimhaltungspflicht gilt sowohl während als auch nach Beendigung der Tätigkeiten und bleibt auch nach Beendigung dieser Auftragsverarbeitungsvereinbarung bestehen.
Der Auftragsverarbeiter wird den Auftraggeber über jedes Ersuchen um Einsichtnahme, Bereitstellung oder eine andere Form des Abrufs und der Mitteilung der personenbezogenen Daten informieren, es sei denn, gesetzliche Vorschriften verbieten diese Benachrichtigung aus wichtigen Gründen des öffentlichen Interesses.

Artikel 10. Rechte der betroffenen Personen

Wenn eine betroffene Person eines ihrer Rechte gemäß den Artikeln 15 bis 22 DSGVO gegenüber dem Auftragsverarbeiter geltend macht, wird der Auftragsverarbeiter diesen Antrag so schnell wie möglich an den Auftraggeber weiterleiten.
Der Auftragsverarbeiter wird dem Auftraggeber vollständige und rechtzeitige Unterstützung bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen leisten. Die damit verbundenen Kosten gehen zu Lasten des Auftraggebers.

Artikel 11. Schlussbestimmungen

Auf diese Auftragsverarbeitungsvereinbarung finden keine allgemeinen Geschäftsbedingungen Anwendung. Es gilt niederländisches Recht. Die Anwendbarkeit des Wiener Kaufrechts (CISG) wird ausgeschlossen. Streitigkeiten werden dem Bezirksgericht (Rechtbank) des Bezirks vorgelegt, in dem der Auftragsverarbeiter seinen Sitz hat.
Falls in einer anderen Vereinbarung oder einem anderen Dokument zwischen dem Auftraggeber und dem Auftragsverarbeiter Bestimmungen enthalten sind, die von den Bestimmungen dieser Auftragsverarbeitungsvereinbarung abweichen, gehen die Bestimmungen dieser Auftragsverarbeitungsvereinbarung vor.
Änderungen dieser Auftragsverarbeitungsvereinbarung sind nur wirksam, wenn sie schriftlich zwischen den Parteien vereinbart wurden. Die Parteien sind nicht berechtigt, diese Auftragsverarbeitungsvereinbarung auf einen Dritten zu übertragen.
Diese Auftragsverarbeitungsvereinbarung tritt in Kraft, sobald sie von den Parteien unterzeichnet wurde, und hat eine Laufzeit, die der des Hauptvertrags entspricht. Diese Auftragsverarbeitungsvereinbarung kann vorab nicht separat gekündigt werden.
Bestimmungen der Auftragsverarbeitungsvereinbarung, die ihrer Natur nach dazu bestimmt sind, auch nach dem Ende der Auftragsverarbeitungsvereinbarung fortzugelten, einschließlich, aber nicht beschränkt auf den Artikel über die Haftung, bleiben unberührt in Kraft.

Anhang 1 - Beschreibung der Verarbeitungstätigkeiten

Tätigkeiten

Die folgenden Tätigkeiten werden vom Auftragsverarbeiter durchgeführt:

Das Analysieren, Priorisieren und Berichten pharmakotherapeutischer Probleme für Patienten des Auftraggebers mittels einer pharmakotherapeutischen Analyse.
Das Präsentieren von Ergebnissen für den Auftraggeber in einem Online-Ergebnis-Dashboard.
Das Bereitstellen der Forschungsergebnisse für den Export aus dem Online-Ergebnis-Dashboard durch den Auftraggeber.
Das Generieren von pseudonymisierten oder anonymisierten Erkenntnisdaten zum Zwecke der Weitergabe an Dritte für die pharmazeutische Forschung, wissenschaftliche Forschung oder für politische Zwecke von Regierungsbehörden.

Betroffene Personen

Patienten des Auftraggebers.

Personenbezogene Daten

Der Auftragsverarbeiter erhält hierfür die folgenden personenbezogenen Daten:

Patientennummer
Name
Adresse
Wohnort
E-Mail-Adresse
Telefonnummer
Geschlecht
Alter oder Geburtsdatum
Zusätzliche für die Erbringung der Dienstleistung erforderliche personenbezogene Daten

Der Auftraggeber stellt sicher, dass im Rahmen der vereinbarten Verarbeitung personenbezogener Daten nicht mehr personenbezogene Daten bereitgestellt werden, als für die Durchführung des Vertrags zwingend erforderlich ist.

Aufbewahrungsfristen

Datendateien
Um zu vermeiden, dass Kundendaten unnötig auf den Servern der MedGuide-Plattform gespeichert werden, werden Datendateien, sofern diese automatisiert bereitgestellt werden, nach 30 Tagen gelöscht.

Unterauftragsverarbeiter innerhalb des Europäischen Wirtschaftsraums
Der Auftraggeber erteilt die Zustimmung zur Einschaltung der folgenden Unterauftragsverarbeiter mit Sitz innerhalb des Europäischen Wirtschaftsraums:

Name		Adressdaten		Verarbeitungen
Microsoft Niederlande		Evert van Beekstraat 354, 1118 CZ Schiphol		MS Azure

Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums
Der Auftraggeber erteilt die Zustimmung zur Einschaltung der folgenden Unterauftragsverarbeiter mit Sitz außerhalb des Europäischen Wirtschaftsraums:

Nicht zutreffend.

Anhang 2 - Meldung von Verletzungen des Schutzes personenbezogener Daten durch den Auftragsverarbeiter

Meldung einer Datenpanne

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen innerhalb von 48 Stunden nach Entdeckung über eine Verletzung des Schutzes personenbezogener Daten. Aktualisierungen werden bereitgestellt, sobald sie verfügbar sind.

Anhang 3 - Regelung zur Weitergabe an Dritte

Dieser Anhang konkretisiert die Weitergabe pseudonymisierter oder anonymisierter Daten durch den Auftragsverarbeiter an Dritte gemäß Artikel 2 Absatz 4 und Artikel 3 (Weitergabe an Dritte) der Auftragsverarbeitungsvereinbarung. Dieser Anhang bildet somit den Rahmen für die Durchführung, innerhalb dessen die tatsächliche Weitergabe stattfindet und mit dem MedGuide die erforderliche Sorgfalt und Rechenschaftspflicht (Accountability, Art. 5 Abs. 2 DSGVO) nachweisen kann.

1. Kategorien der zulässigen Empfänger und anwendbare Rechtsgrundlage

MedGuide gibt pseudonymisierte oder anonymisierte Erkenntnisdaten ausschließlich an die unten genannten Kategorien von Empfängern und ausschließlich auf der Grundlage der jeweils angegebenen Rechtsgrundlage weiter. Vor jeder Weitergabe an einen (neuen) Empfänger stellt MedGuide schriftlich fest, dass die geltende Rechtsgrundlage erfüllt ist, und dokumentiert dies in der in Artikel 3.1 sub A und C der Auftragsverarbeitungsvereinbarung genannten Dokumentationsakte.

Empfängerkategorie	Zweck der Weitergabe	Anwendbare Rechtsgrundlage
Pharmaunternehmen	Pharmazeutische Forschung, einschließlich Wirksamkeits- und Sicherheitsprüfungen sowie Arzneimittelüberwachung (Pharmakovigilanz)	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) in Verbindung mit der Forschungsausnahme nach Art. 9 Abs. 2 lit. j DSGVO i.V.m. Art. 24 UAVG, soweit die Daten pseudonymisiert sind; wenn die Daten vollständig anonymisiert sind, findet die DSGVO keine Anwendung
Wissenschaftliche Einrichtungen (Universitäten, Forschungsinstitute)	Wissenschaftliche Forschung zu Polypharmazie, Arzneimittelsicherheit und Wirksamkeit der pharmazeutischen Versorgung	Art. 9 Abs. 2 lit. j DSGVO i.V.m. Art. 24 UAVG, unter Berücksichtigung der Garantien des Art. 89 DSGVO (Datenminimierung und Pseudonymisierung)
Regierungsbehörden (u.a. IGJ, RIVM, Ministerium für VWS)	Politische Zwecke und Überwachung der öffentlichen Gesundheit	Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), sofern eine konkrete Auskunftspflicht besteht, oder Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DSGVO); andernfalls wird auf eine (weitere) Anonymisierung zurückgegriffen

Diese Liste ist abschließend: Die Weitergabe an andere als die oben genannten Empfängerkategorien ist ohne vorherige schriftliche Ergänzung dieses Anhangs nicht gestattet.

2. Verpflichtende vertragliche Bestimmungen mit Empfängern

Vor jeder Weitergabe schließt MedGuide mit dem jeweiligen Empfänger eine schriftliche Vereinbarung. Diese Vereinbarung enthält mindestens die folgenden Bestimmungen:

Zweckbindung: Der Empfänger darf die bereitgestellten Daten ausschließlich für den spezifischen, vereinbarten Zweck (z. B. das konkrete Forschungsprojekt) und für keinen anderen Zweck verwenden.
Rückführungsverbot: Dem Empfänger ist es ausdrücklich untersagt, zu versuchen, betroffene Personen zu identifizieren, die Daten mit anderen Dateien oder Quellen zum Zwecke der Rückführung zu verknüpfen oder die angewandte Pseudonymisierungs- oder Anonymisierungstechnik zu entschlüsseln oder zu umgehen (Reverse Engineering).
Sicherheitsanforderungen: Der Empfänger trifft geeignete technische und organisatorische Maßnahmen, die mindestens dem Niveau entsprechen, das MedGuide selbst auf Grundlage von Artikel 5 der Auftragsverarbeitungsvereinbarung und Artikel 32 DSGVO anwendet.
Auditrecht: MedGuide behält sich das Recht vor, die Einhaltung der vereinbarten Pflichten selbst oder durch einen unabhängigen Dritten zu überprüfen, und zwar in der Regel mindestens einmal alle zwei Jahre sowie zusätzlich bei begründetem Anlass.
Verbot der Weiterübertragung: Der Empfänger darf die Daten ohne vorherige schriftliche Zustimmung von MedGuide nicht an Dritte weitergeben oder unterlizenzieren.
Meldepflicht: Der Empfänger informiert MedGuide unverzüglich und in jedem Fall innerhalb von 24 Stunden, wenn der Verdacht besteht, dass die Daten trotz Pseudonymisierung oder Anonymisierung dennoch auf eine natürliche Person zurückgeführt werden können, oder wenn ein Sicherheitsvorfall auftritt.
Aufbewahrungs- und Löschungsfrist: Der Empfänger bewahrt die Daten nicht länger auf, als es für den vereinbarten Zweck erforderlich ist, und löscht oder sendet die Daten nach Abschluss der Forschung oder auf erste schriftliche Aufforderung von MedGuide zurück.
Übermittlung außerhalb des EWR: Nur zulässig, wenn der Empfänger in einem Land mit angemessenem Schutzniveau im Sinne von Kapitel V DSGVO ansässig ist oder die Übermittlung dorthin erfolgt, oder wenn geeignete zusätzliche Garantien (wie Standardvertragsklauseln) vereinbart wurden.
Freistellung und Haftung: Der Empfänger stellt MedGuide von Schäden frei, die aus der Nichteinhaltung der oben genannten Pflichten resultieren.

3. Verfahren zur regelmäßigen Überprüfung der Anonymisierungs- oder Pseudonymisierungsmethode

Häufigkeit. MedGuide überprüft die angewandte Anonymisierungs- oder Pseudonymisierungsmethode mindestens einmal jährlich. Eine außerordentliche Überprüfung findet statt bei (i) einer relevanten Änderung des zugrunde liegenden Datensatzes oder des Analyseprozesses, (ii) relevanten Entwicklungen des Stands der Technik im Bereich der Re-Identifizierungsrisiken oder (iii) einem konkreten Signal im Sinne von Kapitel 4 dieses Anhangs.

Zuständiger Beauftragter. Der Security Officer von MedGuide ist für die Initiierung, Durchführung und Dokumentation der Überprüfung verantwortlich, gegebenenfalls in Abstimmung mit dem Datenschutzbeauftragten.

Bewertungskriterien. Die Überprüfung umfasst in jedem Fall: einen Motivated-Intruder-Test (die Wahrscheinlichkeit, dass ein motivierter Dritter mit angemessenem Aufwand eine Re-Identifizierung durchführen kann), eine Bewertung des verbleibenden Re-Identifizierungsrisikos (gegebenenfalls anhand von Kennzahlen wie k-Anonymität oder l-Diversität), eine Bewertung der Verfügbarkeit zusätzlicher (öffentlicher) Datenquellen, die in Kombination mit den weitergegebenen Daten eine Rückführung ermöglichen könnten, sowie die Auswirkungen technologischer Entwicklungen auf das Schutzniveau.

Dokumentation. Das Ergebnis jeder Überprüfung wird schriftlich in einem Bewertungsbericht festgehalten, der die angewandte Methode, die Ergebnisse und etwaige Folgemaßnahmen enthält. Dieser Bericht wird auf Anfrage des Auftraggebers oder einer Aufsichtsbehörde gemäß Artikel 3.1 sub C der Auftragsverarbeitungsvereinbarung vorgelegt.

Folgemaßnahmen. Wenn die Überprüfung ergibt, dass die angewandte Methode kein angemessenes Schutzniveau mehr bietet, wird die Weitergabe an die betroffene(n) Empfängerkategorie(n) mit sofortiger Wirkung ausgesetzt, bis die Methode angepasst und erneut validiert wurde.

4. Eskalationsverfahren bei Verdacht auf Rückführbarkeit der weitergegebenen Daten

Schritt 1 - Meldung und sofortige Aussetzung. Jede interne oder externe Meldung über den Verdacht einer Rückführbarkeit ist unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Feststellung, dem Security Officer unter security@themedguidecompany.com zu melden. Ab dem Zeitpunkt der Meldung wird die weitere Weitergabe des betroffenen Datensatzes an den oder die beteiligten Empfänger sofort ausgesetzt.

Schritt 2 - Erstbewertung. Der Security Officer bewertet innerhalb von 48 Stunden nach der Meldung und gemeinsam mit den zuständigen technischen Experten, ob der Verdacht begründet ist und ob tatsächlich eine (potenzielle) Rückführbarkeit auf natürliche Personen vorliegt.

Schritt 3 - Einstufung als Datenpanne. Wenn sich der Verdacht als begründet erweist, wird dies als Verletzung des Schutzes personenbezogener Daten (Datenpanne) im Sinne von Artikel 6 der Auftragsverarbeitungsvereinbarung eingestuft. Die reguläre Meldepflicht bei Datenpannen — Meldung an den Auftraggeber innerhalb von 48 Stunden nach Entdeckung unter Verwendung des Formulars in Anhang 2 — gilt uneingeschränkt.

Schritt 4 - Abhilfemaßnahmen. MedGuide ergreift unverzüglich geeignete Maßnahmen, um eine weitere Rückführung zu verhindern. Je nach Art des Vorfalls kann dies unter anderem umfassen: die Vernichtung der Daten beim betroffenen Empfänger zu veranlassen, die Anonymisierungs- oder Pseudonymisierungsmethode gemäß Kapitel 3 dieses Anhangs zu verschärfen und andere Empfänger über etwaige zusätzliche Pflichten zu informieren.

Schritt 5 - Dokumentation und Nachsorge. Der gesamte Vorfall, einschließlich der ergriffenen Schritte, der betroffenen Empfänger und des Ergebnisses der Untersuchung, wird dokumentiert und in das Datenpannenregister von MedGuide aufgenommen. Erforderlichenfalls wird die Vereinbarung mit dem betroffenen Empfänger angepasst, ausgesetzt oder gekündigt.

Dieses Dokument wurde zuletzt am 15. Juli 2026 aktualisiert.

Auftragsverarbeitungsvertrag

Anhang 1 - Beschreibung der Verarbeitungstätigkeiten

Anhang 2 - Meldung von Verletzungen des Schutzes personenbezogener Daten durch den Auftragsverarbeiter

Meldeformular für Datenschutzverletzungen

1. Kontaktpersonen

Ansprechpartner Auftragsverarbeiter

2. Ist dies eine Folgemeldung zu einer früheren Benachrichtigung?

3. Falls Frage 2 mit 'ja' beantwortet wurde: Was ist das Datum der ursprünglichen Meldung?

4. Falls Frage 2 mit 'ja' beantwortet wurde: Was ist der Zweck der Folgemeldung?

5. Bei Wahl von Option B für Frage 4: Was ist der Grund für die Rücknahme?

6. Geben Sie eine Zusammenfassung des Vorfalls an, bei dem es zur Verletzung des Schutzes personenbezogener Daten kam.

7. Wie viele Personen sind von der Datenschutzverletzung betroffen?

8. Beschreiben Sie die Personengruppe, deren personenbezogene Daten von der Verletzung betroffen sind.

9. Wann ist die Verletzung aufgetreten?

10. Wann wurde die Verletzung entdeckt?

11. Welcher Art ist die Verletzung?

12. Welche Arten von personenbezogenen Daten sind betroffen?

13. Welche Folgen kann die Verletzung für la Privatsphäre der betroffenen Person haben?

14. Welche technischen und organisatorischen Maßnahmen hat Ihre Organisation ergriffen, um die Verletzung zu beheben und weitere Verletzungen zu verhindern?

15. Wann wurde die Datenschutzverletzung dem Kunden gemeldet?

16. Mit welchen Mitteln wurde die Meldung erstattet?

17. Wurden die personenbezogenen Daten verschlüsselt, gehasht oder auf andere Weise für unbefugte Parteien unleserlich ou unzugänglich gemacht?

18. Wenn die personenbezogenen Daten ganz oder teilweise unleserlich oder unzugänglich gemacht wurden, auf welche Weise geschah dies?

19. Ist dieser Bericht Ihrer Meinung nach vollständig?

20. Fazit

21. Das Formular ging beim Kunden ein am

Anhang 3 - Regelung zur Weitergabe an Dritte