Vertrag über die Auftrags­verarbeitung

§ 1 Gegenstand, Geltungsbereich und Rangfolge

(1) Gegenstand. dentime stellt dem Kunden die Software dentime als Online-Dienst für Zeiterfassung, Dienstplanung und die Verwaltung seines Personals bereit. Grundlage ist der Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen von dentime („AGB“). Dabei verarbeitet dentime personenbezogene Daten im Auftrag und nach Weisung des Kunden. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien der betroffenen Personen beschreibt Anlage 1.

(2) Umfang. Dieser Vertrag gilt für alle personenbezogenen Daten, die dentime im Rahmen des Nutzungsvertrags im Auftrag des Kunden verarbeitet („Auftragsdaten“). Dazu gehören auch Daten, die dentime bei Support, Fehleranalyse und Wartung zur Kenntnis nimmt, sowie Kopien in Datensicherungen.

(3) Abgrenzung – eigene Verarbeitung von dentime. Nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet dentime insbesondere:

• a) Daten der Registrierung und der Prüfung vor der Freischaltung (zum Beispiel Name, Funktion und Kontaktdaten der registrierenden Person, Angaben zur Praxis, Prüfergebnis),
• b) Vertrags-, Abrechnungs- und Zahlungsdaten sowie die Kommunikation mit den Ansprechpersonen des Kunden über den Vertrag,
• c) die Kundenverwaltung im Betreiberbereich (zum Beispiel Praxisname, Status, Name und E-Mail der Inhaber-Zugänge, Anzahl der Mitglieder),
• d) Maßnahmen zum Schutz der Plattform als Ganzes, soweit sie nicht einer einzelnen Praxis dienen (zum Beispiel Schutz vor Angriffen und Missbrauch, Protokoll der Konto- und Freischaltungsvorgänge),
• e) die Website dentime.de,
• f) Fragen an die Hilfe „Denti“ und Bewertungen ihrer Antworten: dentime entfernt daraus vor dem Speichern Namen und andere Angaben, die auf Personen oder Gesundheit schließen lassen, und nutzt sie ohne Bezug zu Praxis und Person, um die Hilfe zu verbessern (Lernliste),
• g) Ideen und Wünsche, die Nutzer dentime über die Hilfe schicken (Ideenliste).

Dafür gelten die Datenschutzhinweise von dentime.

(4) Rangfolge. Bei Widersprüchen gehen in Fragen des Datenschutzes die Regeln dieses Vertrags den AGB und sonstigen Vereinbarungen vor (AGB § 1 Abs. 6 und § 20 Abs. 3). Die Anlagen sind Bestandteil dieses Vertrags.

(5) Begriffe. Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verletzung des Schutzes personenbezogener Daten“, „Verantwortlicher“ und „Auftragsverarbeiter“ haben die Bedeutung aus Art. 4 der Datenschutz-Grundverordnung (DSGVO). Die übrigen Begriffe (zum Beispiel „Inhaber-Zugang“, „Nutzer“, „Standort“, „Textform“) haben die Bedeutung aus § 2 der AGB.

§ 2 Abschluss, Beginn und Dauer

(1) Elektronischer Abschluss. Der Kunde schließt diesen Vertrag bei der Registrierung ab, indem die für ihn handelnde Person den Vertrag durch eine eigene, eindeutig beschriftete Bestätigung annimmt. Das ist die elektronische Form nach Art. 28 Abs. 9 DSGVO. dentime speichert die angenommene Fassung, den Zeitpunkt, das handelnde Nutzerkonto und die Praxis und stellt die jeweils geltende Fassung in dentime und auf dentime.de zum Abruf und Download bereit. Dasselbe gilt, wenn ein Kunde eine weitere Praxis anlegt, und für Praxen, die vor Einführung dieses Vertrags angelegt wurden (Bestätigung vor der weiteren Nutzung).

(2) Vertretung. Die annehmende Person versichert, dass sie den Kunden vertreten darf. Nutzen mehrere rechtlich selbstständige Verantwortliche eine gemeinsame Praxis in dentime (zum Beispiel mehrere Gesellschaften unter einer MVZ-Gruppe), schließt der Kunde diesen Vertrag zugleich im Namen jeder dieser Stellen; er versichert, dazu bevollmächtigt zu sein, und nennt dentime auf Anfrage die einzelnen Verantwortlichen.

(3) Beginn. Die Verarbeitung von Auftragsdaten beginnt mit der Freischaltung der Praxis (Beginn der Testphase, AGB § 3 Abs. 4).

(4) Dauer. Dieser Vertrag gilt, solange dentime Auftragsdaten des Kunden verarbeitet: in der Testphase, während des kostenpflichtigen Vertrags, im Nur-Lesen-Modus, im Übergangs- und Datenabrufzeitraum (AGB §§ 4, 13, 14) und bis zur vollständigen Löschung nach § 12. Er endet automatisch, wenn die Löschung abgeschlossen ist. Eine gesonderte ordentliche Kündigung dieses Vertrags ist ausgeschlossen; § 14 bleibt unberührt.

§ 3 Weisungen

(1) Grundsatz. dentime verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden – auch was Übermittlungen in Drittländer oder an internationale Organisationen betrifft. Das gilt nicht, soweit dentime nach dem Recht der Europäischen Union oder eines Mitgliedstaats, dem dentime unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt dentime dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Was als Weisung gilt. Weisungen des Kunden sind

• a) dieser Vertrag mit seinen Anlagen, die AGB und die Leistungsbeschreibung von dentime – sie legen die Verarbeitung im Grundsatz fest,
• b) die Einstellungen und Handlungen der Nutzer in dentime im Rahmen der Rechte, die der Kunde ihnen eingeräumt hat (zum Beispiel Personen anlegen, Rechte vergeben, Daten erfassen, ändern oder löschen, Exporte auslösen, dem dentime-Support eine Einsicht freigeben, § 5 Abs. 3); sie sind durch den gespeicherten Datenstand dokumentiert, wichtige Änderungen zusätzlich im Protokoll der Praxis,
• c) Einzelweisungen in Textform über die Kontaktwege (Eingang dieses Vertrags).

(3) Wer Weisungen erteilen darf. Einzelweisungen nach Absatz 2 Buchstabe c können Nutzer mit Inhaber-Zugang erteilen sowie Personen, die der Kunde dentime in Textform als weisungsberechtigt benannt hat. Weisungen nach Absatz 2 Buchstabe b erteilt der Kunde über seine Nutzer im Rahmen der Rechte, die er ihnen in dentime eingeräumt hat. dentime darf bei Einzelweisungen die Berechtigung in angemessener Weise prüfen (zum Beispiel durch Rückfrage an einen Inhaber-Zugang). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform; dentime dokumentiert Einzelweisungen und bewahrt sie zusammen mit diesem Vertrag auf.

(4) Grenzen. dentime ist ein standardisierter Dienst für viele Kunden. Einzelweisungen, die über den vereinbarten Leistungsumfang hinausgehen oder in einer mandantenfähigen Software nicht mit vertretbarem Aufwand umsetzbar sind, darf dentime ablehnen; dentime teilt das dem Kunden unverzüglich mit Begründung mit. Der Kunde kann den Nutzungsvertrag dann jederzeit nach AGB § 12 Abs. 2 kündigen. Nicht ablehnen darf dentime Weisungen, die der Kunde zur Erfüllung von Rechten betroffener Personen (Art. 15 bis 21 DSGVO) oder zur Löschung, Berichtigung, Einschränkung oder Herausgabe von Auftragsdaten erteilt; hierfür gelten §§ 9 und 12.

(5) Rechtswidrige Weisungen. Ist dentime der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert dentime den Kunden unverzüglich. dentime darf die Ausführung dieser Weisung aussetzen, bis der Kunde sie bestätigt, ändert oder zurücknimmt. Offensichtlich rechtswidrige Weisungen führt dentime nicht aus.

(6) Aufbewahrung und Löschung. Über die Speicherdauer entscheidet der Kunde als Verantwortlicher; er bleibt für seine gesetzlichen Aufbewahrungs- und Löschfristen verantwortlich. Für Aufbewahrung und Löschung gilt:

• a) Keine automatische Löschung. dentime löscht während der Vertragslaufzeit keine Auftragsdaten von sich aus, auch nicht nach Ablauf gesetzlicher Fristen – außer nach Einstellungen, die der Kunde in dentime selbst wählt. Ausgenommen sind technische Daten mit festen Fristen nach Anlage 1 Nr. 6 (Support-Gespräche, Nachweise einer Einsicht des Supports, Anmeldungen von Geräten für Push-Benachrichtigungen und Zustelldaten, Inhalte der E-Mail-Warteschlange). Im Übrigen wird nur auf Weisung des Kunden (lit. b) oder nach dem Ende des Vertrags bzw. der Testphase gelöscht (§ 12 Abs. 3 und 7).
• b) Löschung auf Weisung. Der Kunde löscht Daten selbst, soweit die Software dafür Funktionen bietet (zum Beispiel einzelne Anhänge, versehentlich angelegte Personen). Im Übrigen weist er dentime in Textform an, bestimmte Auftragsdaten zu löschen oder zu anonymisieren – zum Beispiel alle Daten einer Datenklasse, die älter als eine bestimmte Frist sind, oder alle Daten einer ausgeschiedenen Person. dentime führt die Weisung nach § 12 Abs. 6 aus. Absatz 4 gilt dafür nicht.
• c) Hinweise von dentime zu Aufbewahrungsfristen sind keine Rechtsberatung und keine Weisung.

§ 4 Pflichten und Verantwortung des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten und für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 5 Abs. 2, Art. 24 DSGVO). Das betrifft insbesondere

• a) die Rechtsgrundlagen der Verarbeitung von Beschäftigtendaten (zum Beispiel Art. 6 Abs. 1 lit. b und c, Art. 9 Abs. 2 lit. b, Art. 88 DSGVO in Verbindung mit § 26 BDSG, für Gesundheitsdaten § 26 Abs. 3 BDSG und § 22 Abs. 2 BDSG, soweit anwendbar),
• b) die Information seiner Beschäftigten nach Art. 13 DSGVO – dentime kann dafür eine unverbindliche Vorlage bereitstellen,
• c) die Beteiligung einer Arbeitnehmervertretung, soweit vorhanden,
• d) eine Datenschutz-Folgenabschätzung, soweit sie erforderlich ist (Art. 35 DSGVO),
• e) die Festlegung der Speicherdauer (§ 3 Abs. 6) und die Einhaltung gesetzlicher Aufbewahrungspflichten.

(2) Datensparsamkeit bei Gesundheitsdaten. Der Kunde sorgt dafür, dass bei Krankmeldungen nur die Tatsache der Arbeitsunfähigkeit, ihr Zeitraum und die für Nachweis und Entgeltfortzahlung nötigen Angaben erfasst werden – keine Diagnosen und keine weiteren medizinischen Angaben, auch nicht in Freitexten. Als Nachweis lädt er, wenn überhaupt, nur die Ausfertigung der Arbeitsunfähigkeitsbescheinigung für den Arbeitgeber (ohne Diagnose) hoch. Schutzprofile nach Mutterschutz- oder Jugendarbeitsschutzrecht legt er nur an, soweit das für die Planung nötig ist.

(3) Keine Patientendaten. dentime ist nicht für Patientendaten bestimmt. Der Kunde gibt keine Daten von Patientinnen und Patienten ein (auch nicht in Freitexten, Aufgaben oder Dienstplan-Notizen). Geschieht dies dennoch, gilt § 5 Abs. 3.

(4) Der Kunde vergibt Rechte nach dem Grundsatz „so wenig wie nötig“, insbesondere für Krankmeldungsnachweise, Entgeltfortzahlung und Schutzprofile, und hält Zugangsdaten geheim (AGB § 7 Abs. 2).

(5) Der Kunde informiert dentime unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung der Auftragsdaten feststellt.

(6) Der Kunde kann dentime in Textform eine Ansprechperson für Datenschutzfragen nennen; hat er eine Datenschutzbeauftragte bzw. einen Datenschutzbeauftragten, nennt er sie bzw. ihn. Solange er niemanden benennt, sind die Inhaber-Zugänge die Ansprechpersonen.

§ 5 Pflichten von dentime, Vertraulichkeit, Ort der Verarbeitung

(1) Zweckbindung. dentime verarbeitet Auftragsdaten nur, um die vertraglichen Leistungen für den Kunden zu erbringen, und nur nach § 3. dentime verwendet Auftragsdaten nicht für eigene Zwecke und nicht für Zwecke Dritter, insbesondere nicht für Werbung, nicht zum Verkauf und nicht zum Training von KI-Modellen.

(2) Technische Betriebsdaten. Um dentime sicher zu betreiben und zu verbessern, darf dentime technische Betriebsdaten (zum Beispiel Auslastung, Antwortzeiten, feste Fehlertexte, Anzahl der Aufrufe einzelner Funktionen) ausschließlich von vornherein ohne Personenbezug erfassen, also ohne Namen, E-Mail-Adressen, IP-Adressen oder Inhalte. Auftragsdaten (zum Beispiel Zeiten, Pläne, Abwesenheiten) wertet dentime dafür nicht aus und anonymisiert sie auch nicht zu eigenen Zwecken. Für Fragen an Denti und Bewertungen ihrer Antworten gilt § 1 Abs. 3 lit. f.

(3) Vertraulichkeit. dentime gewährt nur Personen Zugang zu Auftragsdaten, die ihn für Betrieb, Support oder Wartung von dentime benötigen, und nur im nötigen Umfang. Alle diese Personen sind vor Beginn ihrer Tätigkeit in Textform zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht; die Pflicht gilt über das Ende ihrer Tätigkeit hinaus. dentime unterrichtet sie über die Datenschutzpflichten aus diesem Vertrag und über die Weisungsgebundenheit (Art. 29, Art. 32 Abs. 4 DSGVO). Erlangt dentime trotz § 4 Abs. 3 Kenntnis von Geheimnissen im Sinne von § 203 StGB, wahrt dentime sie als mitwirkende Person nach § 203 Abs. 3 und 4 StGB, nimmt von ihnen nur Kenntnis, soweit unerlässlich, und sorgt dafür, dass eingesetzte Personen und Unterauftragsverarbeiter zur Verschwiegenheit verpflichtet sind. Für den Zugriff von dentime auf die Inhalte einer Praxis gilt:

• a) Ohne Freigabe sieht dentime nur Vertragsdaten (§ 1 Abs. 3) und Nutzungszahlen (nur Zählwerte), aber keine Inhalte wie Personen, Zeiten, Dienstpläne, Abwesenheiten oder Krankmeldungen. Einen Export der Auftragsdaten durch dentime (Betreiber-Export) erstellt dentime ohne Freigabe nur auf dokumentierte Weisung des Kunden oder zur Rückgabe nach § 12, und zwar ohne Gesundheitsdaten (Anlage 1 Nr. 5); bei Abwesenheiten bleiben nur Art und Zeitraum.
• b) Einsicht mit Freigabe. Auf weitere Inhalte greift dentime nur zu, wenn die Praxis es freigibt (Einsicht). Freigeben kann nur ein Inhaber-Zugang oder ein Nutzer, dem der Kunde das Recht „Einsicht für den Support freigeben“ eingeräumt hat – entweder im Support-Chat in dentime oder indem er eine Bitte des dentime-Supports um Einsicht in dentime annimmt. Die Freigabe ist befristet und kann jederzeit vorzeitig beendet werden. Sie ist eine Weisung nach § 3 Abs. 2 lit. b.
• c) Umfang der Einsicht. Solange die Freigabe besteht, darf dentime für den Zweck der Support-Anfrage alle Auftragsdaten der Praxis lesen, einschließlich Krankmeldungen und ihrer Nachweise, und einen vollständigen Betreiber-Export erstellen. dentime ändert dabei keine Daten und nimmt nur so viel zur Kenntnis, wie für die Anfrage nötig ist. Soll ein Export durch dentime Gesundheitsdaten enthalten (zum Beispiel zur Rückgabe nach § 12 Abs. 2), gibt der Kunde dafür eine Einsicht frei.
• d) Nachweis. Freigaben, Zugriffe während einer Einsicht und Betreiber-Exporte werden protokolliert; die Praxis kann das Protokoll in dentime einsehen. Betreiber-Exporte werden den Inhaber-Zugängen mit Grund angezeigt.

(4) Test- und Supportkopien. dentime entwickelt und testet mit erfundenen oder anonymisierten Daten. Kopien von Auftragsdaten außerhalb des Produktivsystems legt dentime nur an, soweit es für Support oder Fehlerbehebung für den Kunden nötig ist, speichert sie nur auf verschlüsselten Geräten von dentime, gibt sie nicht weiter und löscht sie, sobald sie nicht mehr gebraucht werden, spätestens nach § 12.

(5) Ort der Verarbeitung. dentime speichert Auftragsdaten in Rechenzentren in der Europäischen Union bzw. im Europäischen Wirtschaftsraum (derzeit Deutschland, siehe Anlage 3 Teil A). Abgesehen von der Zustellung von Push-Benachrichtigungen über A-5 und A-6 (Anlage 3 Teil A) übermittelt dentime keine Auftragsdaten in Drittländer. Ausnahmen nur nach § 8.

(6) Weitere Pflichten. dentime

• a) führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO; Auszüge nach § 13 Abs. 1),
• b) informiert den Kunden unverzüglich über Kontrollen, Maßnahmen oder Auskunftsersuchen einer Aufsichtsbehörde, einer anderen Behörde oder eines Gerichts, soweit sie Auftragsdaten betreffen und die Information nicht gesetzlich untersagt ist,
• c) nennt als Ansprechpartner für Datenschutzfragen Attila Roßburger, erreichbar über die Kontaktwege. Einen Datenschutzbeauftragten hat dentime nicht benannt, weil nach eigener Prüfung keine Pflicht dazu besteht.

§ 6 Technische und organisatorische Maßnahmen

(1) dentime trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 Teil A beschrieben sind. Bei ihrer Auswahl hat dentime den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen berücksichtigt – insbesondere, dass dentime Gesundheitsdaten (Art. 9 DSGVO) von Beschäftigten verarbeitet. Zugesagt sind die Maßnahmen, die Anlage 2 Teil A beschreibt; die in Anlage 2 Teil B genannten Punkte sind keine Zusage. Für Gesundheitsdaten gelten zusätzlich die Garantien nach Anlage 1 Nr. 5.

(2) Anpassung. dentime entwickelt die Maßnahmen weiter und darf sie durch gleichwertige oder bessere ersetzen. Das Schutzniveau darf nicht sinken. Wesentliche Änderungen teilt dentime dem Kunden in Textform mit; die geltende Fassung von Anlage 2 steht in dentime und auf dentime.de.

(3) Überprüfung. dentime überprüft die Wirksamkeit der Maßnahmen regelmäßig und anlassbezogen, insbesondere nach Sicherheitsvorfällen oder wesentlichen Änderungen der Software oder Infrastruktur.

§ 7 Unterauftragsverarbeiter

(1) Allgemeine Genehmigung. Der Kunde erteilt dentime die allgemeine Genehmigung, die in Anlage 3 Teil A genannten Unterauftragsverarbeiter einzusetzen. Die in Anlage 3 Teil B genannten, nur geplanten Dienste sind damit nicht genehmigt; für sie gilt das Verfahren nach den Absätzen 3 bis 6.

(2) Voraussetzungen. dentime setzt Unterauftragsverarbeiter nur ein, wenn

• a) dentime sie sorgfältig ausgewählt hat, insbesondere im Hinblick auf die Eignung ihrer technischen und organisatorischen Maßnahmen,
• b) mit ihnen ein Vertrag nach Art. 28 Abs. 4 DSGVO besteht, der ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser Vertrag, einschließlich Kontrollrechten, und
• c) eine Verarbeitung außerhalb der EU bzw. des EWR nur unter den Voraussetzungen des § 8 stattfindet.

dentime vergewissert sich in angemessener Weise, dass die Unterauftragsverarbeiter diese Pflichten einhalten.

(3) Mitteilung von Änderungen. Will dentime einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt dentime dies dem Kunden mindestens 14 Tage vorher in Textform mit: per E-Mail an alle Inhaber-Zugänge und, soweit technisch möglich, zusätzlich durch einen Hinweis in dentime. Die Mitteilung nennt den Unterauftragsverarbeiter, seine Tätigkeit, die betroffenen Daten, den Ort der Verarbeitung, gegebenenfalls die Grundlage einer Übermittlung in ein Drittland und den geplanten Beginn. Die aktuelle Liste steht unter dentime.de/unterauftragnehmer.

(4) Einspruch. Der Kunde kann der Änderung bis zum Ende der Frist nach Absatz 3 in Textform widersprechen, wenn er einen datenschutzrechtlichen Grund hat; er soll den Grund nennen. Erhebt der Kunde innerhalb der Frist keinen Einspruch, gilt die Änderung als genehmigt. Der Kunde kann der Änderung auch schon vorher in Textform zustimmen; für ihn gilt sie dann ab sofort.

(5) Folgen eines Einspruchs.

• a) dentime prüft den Einspruch und sucht mit dem Kunden nach einer Lösung (zum Beispiel zusätzliche Garantien oder den Verzicht auf die betroffene Funktion für diesen Kunden).
• b) Betrifft die Änderung eine Zusatzfunktion, die der Kunde nicht nutzen muss (zum Beispiel KI-Funktionen von Denti), bleibt diese Funktion für den Kunden ausgeschaltet; seine Auftragsdaten werden an den neuen Unterauftragsverarbeiter nicht übermittelt.
• c) Ist keine Lösung möglich, kann der Kunde den Nutzungsvertrag und diesen Vertrag fristlos zum Zeitpunkt vor dem Einsatz des Unterauftragsverarbeiters kündigen. dentime erstattet in diesem Fall bereits bezahlte Entgelte für die Zeit nach dem Vertragsende anteilig. Bis zum Vertragsende setzt dentime den neuen Unterauftragsverarbeiter für die Auftragsdaten dieses Kunden nicht ein.

(6) Ausweichdienste. dentime kann in Anlage 3 Teil A Ausweichdienste benennen, die ausschließlich bei Ausfall oder akuter Gefährdung eines genehmigten Unterauftragsverarbeiters eingesetzt werden. Sie sind mit der allgemeinen Genehmigung nach Absatz 1 genehmigt; dentime informiert den Kunden unverzüglich, wenn ein Ausweichdienst tatsächlich zum Einsatz kommt. Ein anderer Anbieter wird auch im Notfall nur nach den Absätzen 3 bis 5 eingesetzt.

(7) Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter ohne vorgesehenen Zugriff auf Auftragsdaten (zum Beispiel Telekommunikations- und Internetdienste, TLS-Zertifikate, die Push-Dienste der Browser für Ende-zu-Ende verschlüsselte Benachrichtigungen) sowie Dienste, die dentime nur für eigene Zwecke nach § 1 Abs. 3 nutzt (zum Beispiel die Zahlungsabwicklung); siehe Anlage 3 Teil C.

(8) Haftung und Unterlagen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet dentime gegenüber dem Kunden für die Einhaltung seiner Pflichten wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Auf Verlangen stellt dentime dem Kunden die Datenschutzvereinbarungen mit Unterauftragsverarbeitern zur Verfügung; Geschäftsgeheimnisse darf dentime dabei schwärzen. Bei großen Anbietern mit öffentlich abrufbaren Bedingungen genügt der Verweis auf die jeweilige Fundstelle.

§ 8 Übermittlungen in Drittländer

(1) Eine Übermittlung von Auftragsdaten in ein Land außerhalb der EU bzw. des EWR oder an eine internationale Organisation findet nur auf dokumentierte Weisung des Kunden und nur unter Einhaltung von Kapitel V DSGVO (Art. 44 ff.) statt. Die Genehmigung eines Unterauftragsverarbeiters nach § 7, bei dem Anlage 3 Teil A oder die Mitteilung nach § 7 Abs. 3 eine Verarbeitung in einem Drittland ausdrücklich nennt, gilt als solche Weisung.

(2) Grundlage einer Übermittlung ist ein Angemessenheitsbeschluss der EU-Kommission (für die USA: EU-US Data Privacy Framework für zertifizierte Empfänger) oder, falls ein solcher fehlt, die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3 zwischen dentime und dem Unterauftragsverarbeiter) samt der nötigen Prüfung und gegebenenfalls zusätzlicher Maßnahmen.

(3) Abgesehen von der Zustellung von Push-Benachrichtigungen über A-5 und A-6 (Anlage 3 Teil A) übermittelt dentime keine Auftragsdaten in Drittländer. Google und Apple können die dafür nötigen Daten auch in den USA verarbeiten; Grundlage ist das EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln. Benachrichtigungen im Browser sind Ende-zu-Ende verschlüsselt; der Push-Dienst des Browsers kann ihren Inhalt nicht lesen (Anlage 3 Teil C). Bei Anbietern in Anlage 3 mit Konzernmutter außerhalb der EU sind Zugriffe aus Drittländern nicht völlig ausgeschlossen; die Anlage nennt die jeweilige Grundlage.

(4) Wird eine Grundlage nach Absatz 2 unwirksam (zum Beispiel durch ein Urteil des Europäischen Gerichtshofs), informiert dentime den Kunden unverzüglich, stellt die betroffene Übermittlung auf eine andere zulässige Grundlage um oder stellt sie ein.

§ 9 Unterstützung bei den Rechten der betroffenen Personen

(1) Weiterleitung. Wendet sich eine betroffene Person (zum Beispiel eine Beschäftigte) mit einem Anliegen zu ihren Auftragsdaten an dentime, leitet dentime das Anliegen unverzüglich an den Kunden weiter und teilt der Person mit, dass die Praxis als Verantwortliche zuständig ist. dentime beantwortet solche Anliegen nicht selbst, es sei denn, der Kunde weist dentime dazu an.

(2) Selbstbedienung. dentime unterstützt den Kunden vor allem durch Funktionen in der Software, mit denen der Kunde Auftragsdaten selbst einsehen, berichtigen, einschränken (zum Beispiel Person deaktivieren, Rechte entziehen), exportieren und – soweit vorhanden – löschen kann.

(3) Unterstützung durch den Support. Soweit die Software eine Maßnahme nicht selbst ermöglicht – insbesondere eine vollständige Auskunft oder einen Export aller Daten einer Person (Art. 15, 20 DSGVO) oder die Löschung bzw. Anonymisierung einer Person einschließlich ihrer Anhänge und Protokolleinträge (Art. 17 DSGVO) –, führt dentime die Maßnahme auf Einzelweisung des Kunden so rechtzeitig aus, dass der Kunde die Fristen nach Art. 12 Abs. 3 DSGVO einhalten kann, und stellt ihm das Ergebnis in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

(4) Die Unterstützung nach diesem Paragrafen ist für den Kunden kostenfrei.

§ 10 Unterstützung bei Sicherheit, Datenschutz-Folgenabschätzung und Konsultation

(1) dentime unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der dentime zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Dazu stellt dentime insbesondere die Anlagen 1 bis 3 bereit und gibt dem Kunden auf Anfrage in angemessener Frist weitere Informationen, die er für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation der Aufsichtsbehörde benötigt.

(2) Stellt dentime fest, dass Auftragsdaten durch einen Softwarefehler erheblich verfälscht wurden, informiert dentime den Kunden unverzüglich.

§ 11 Meldung von Datenschutzverletzungen und sonstigen Vorfällen

(1) Meldung an den Kunden. dentime meldet dem Kunden jede Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem dentime davon Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO), damit der Kunde seine eigene Meldefrist gegenüber der Aufsichtsbehörde einhalten kann. Das gilt auch für Verletzungen bei Unterauftragsverarbeitern. dentime meldet unabhängig davon, ob die Verletzung voraussichtlich zu einem Risiko führt; die Bewertung des Risikos und die Entscheidung über eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) trifft der Kunde.

(2) Weg der Meldung. dentime meldet in Textform, in der Regel per E-Mail an die Inhaber-Zugänge und, falls benannt, an die Ansprechperson nach § 4 Abs. 6, und soweit technisch möglich zusätzlich durch einen Hinweis in dentime.

(3) Inhalt. Die Meldung enthält, soweit bekannt,

• a) eine Beschreibung der Art der Verletzung, möglichst mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• b) Name und Kontaktdaten einer Anlaufstelle für weitere Informationen,
• c) die wahrscheinlichen Folgen der Verletzung,
• d) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Folgen.

Was noch nicht bekannt ist, meldet dentime ohne unangemessene Verzögerung nach, sobald es vorliegt.

(4) Mitwirkung. dentime ergreift unverzüglich die nötigen Maßnahmen, um die Auftragsdaten zu sichern und nachteilige Folgen zu begrenzen, stimmt sich dazu mit dem Kunden ab und unterstützt ihn bei seinen Meldungen und Benachrichtigungen (zum Beispiel durch Informationen für die Meldung an die Aufsichtsbehörde). dentime dokumentiert jede Verletzung mit ihren Auswirkungen und den ergriffenen Maßnahmen und stellt dem Kunden diese Dokumentation zur Verfügung.

(5) Keine eigenen Meldungen im Namen des Kunden. dentime meldet Verletzungen nicht selbst an Aufsichtsbehörden oder betroffene Personen des Kunden, es sei denn, der Kunde weist dentime dazu an oder dentime ist gesetzlich dazu verpflichtet. Eigene Pflichten von dentime als Verantwortlicher für die Daten nach § 1 Abs. 3 bleiben unberührt.

(6) Sonstige Vorfälle. dentime informiert den Kunden außerdem unverzüglich, wenn

• a) Auftragsdaten durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Ereignisse oder Maßnahmen Dritter gefährdet sind – dentime weist die Dritten dann darauf hin, dass die Daten dem Kunden zustehen und dieser Verantwortlicher ist,
• b) dentime diesen Vertrag aus welchem Grund auch immer nicht mehr einhalten kann.

§ 12 Rückgabe und Löschung

(1) Wahl des Kunden. Nach Ende der Leistungen entscheidet der Kunde, ob dentime ihm die Auftragsdaten zurückgibt oder sie löscht. Die Rückgabe erfolgt durch Export (Absatz 2); danach löscht dentime alle Auftragsdaten und vorhandene Kopien (Absätze 3 und 4), soweit nicht eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Trifft der Kunde keine Wahl, bleiben die Daten bis zum Ende des Datenabrufzeitraums exportierbar und werden danach gelöscht.

(2) Rückgabe (Export). Der Kunde kann seine Auftragsdaten während der gesamten Vertragslaufzeit, im Übergangszeitraum und im anschließenden Datenabrufzeitraum von 30 Kalendertagen nach Vertragsende (AGB §§ 13, 14) exportieren, nach Vertragsende im Nur-Lesen-Modus. Inhaber-Zugänge erstellen den vollständigen Export jederzeit selbst in dentime, auch im Nur-Lesen-Modus und während einer Sperre; Nutzer, denen der Kunde das Recht zum Gesamtexport eingeräumt hat, können ihn ebenfalls selbst erstellen. Inhalt und Formate beschreibt AGB Anlage 1. Auf Anforderung in Textform erstellt dentime den Export in angemessener Frist kostenfrei selbst; ohne Freigabe einer Einsicht enthält er keine Gesundheitsdaten (§ 5 Abs. 3).

(3) Löschung im Produktivsystem. dentime löscht alle Auftragsdaten des Kunden mit Ablauf des Datenabrufzeitraums (AGB § 13 Abs. 6; in der Regel 30 Tage nach Vertragsende), spätestens 14 Tage danach, vollständig und unwiederbringlich aus dem Produktivsystem – einschließlich der Nutzerkonten, die nur zu dieser Praxis gehören, der Anhänge, Einladungen und Protokolle der Praxis. Nutzerkonten, die zugleich Mitglied einer anderen Praxis sind, bleiben für diese Praxis bestehen; ihre Zuordnung zum Kunden wird gelöscht. dentime weist die Inhaber-Zugänge mindestens 14 Tage vor der Löschung per E-Mail darauf hin.

(4) Datensicherungen. In Datensicherungen enthaltene Auftragsdaten werden im Rahmen der regulären Sicherungsrotation gelöscht, spätestens 30 Tage nach der Löschung im Produktivsystem. Bis dahin sind sie gegen Zugriff geschützt und werden nicht mehr verarbeitet; eine Sicherung wird nur zur Wiederherstellung nach einem Störfall eingespielt, und bereits gelöschte Daten werden danach sofort erneut gelöscht.

(5) Bestätigung. Nach der Löschung nach Absatz 3 bestätigt dentime sie den Inhaber-Zugängen in Textform an die zuletzt hinterlegten E-Mail-Adressen; Kopien in Datensicherungen sind nach Absatz 4 spätestens 30 Tage später gelöscht.

(6) Löschung während der Laufzeit. Weist der Kunde während der Laufzeit die Löschung bestimmter Auftragsdaten an, die er in der Software nicht selbst löschen kann, führt dentime die Löschung in angemessener Frist aus, bei Anliegen betroffener Personen nach § 9 Abs. 3 so rechtzeitig, dass der Kunde die Fristen nach Art. 12 Abs. 3 DSGVO einhalten kann; für Datensicherungen gilt Absatz 4 entsprechend. Der Kunde kann jederzeit auch die vorzeitige Löschung aller Auftragsdaten verlangen.

(7) Testphase ohne Buchung. Endet die Testphase, ohne dass der Kunde einen Tarif bucht, gelten AGB § 4 Abs. 4 und 5; für die Löschung gelten die Absätze 3 bis 5 mit dem Ende der Testphase anstelle des Vertragsendes.

(8) Aufbewahrungspflichten des Kunden. Gesetzliche Aufbewahrungspflichten treffen den Kunden (AGB § 14 Abs. 5); dentime bewahrt Auftragsdaten nicht über die Fristen dieses Paragrafen hinaus für ihn auf.

§ 13 Nachweise und Kontrollen

(1) Informationen. dentime stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und aus diesem Vertrag nötig sind, insbesondere die aktuellen Anlagen 1 bis 3, auf Anfrage Auszüge aus dem Verzeichnis nach Art. 30 Abs. 2 DSGVO, Nachweise über die Verpflichtung auf Vertraulichkeit, Zertifikate und Prüfberichte von Unterauftragsverarbeitern sowie in angemessener Frist Antworten auf angemessene Fragen des Kunden.

(2) Prüfungen – zuerst Nachweise. Der Kunde kann die Einhaltung dieses Vertrags überprüfen, auch durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von dentime ist. Geprüft wird in erster Linie anhand der Unterlagen nach Absatz 1 und einer schriftlichen Selbstauskunft von dentime. Für die Server gelten die Nachweise des Rechenzentrumsbetreibers (netcup ist nach eigenen Angaben nach ISO/IEC 27001 zertifiziert).

(3) Inspektion vor Ort. Reichen die Nachweise nach Absatz 2 im Einzelfall nicht aus, insbesondere nach einer Verletzung nach § 11, bei begründeten Anhaltspunkten für einen Verstoß oder auf Anordnung einer Aufsichtsbehörde, kann der Kunde eine Inspektion bei dentime durchführen, nach Absprache auch per Videokonferenz; den Ort teilt dentime mit der Bestätigung der Ankündigung vertraulich mit. Die Inspektion betrifft Arbeitsplatz, Zugänge, Abläufe und Nachweise; Rechenzentren werden nicht vor Ort geprüft. Dafür gilt:

• a) Ankündigung mindestens 30 Tage vorher in Textform; bei einer Verletzung nach § 11 oder einer behördlichen Anordnung genügt eine angemessen kürzere Frist,
• b) zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs,
• c) höchstens einmal je Vertragsjahr, außer bei einem Anlass nach Satz 1,
• d) unter Wahrung der Vertraulichkeit: Daten anderer Kunden und Geschäftsgeheimnisse von dentime bleiben geschützt (zum Beispiel Einsicht nur in Anwesenheit von dentime, keine Kopien fremder Daten). Die Rechenzentren der Unterauftragsverarbeiter prüft der Kunde anhand ihrer Zertifikate und Prüfberichte; soweit diese nicht genügen, übt dentime die vertraglichen Kontrollrechte gegenüber dem Unterauftragsverarbeiter auf Verlangen des Kunden aus.

(4) Kosten. Jede Partei trägt ihre eigenen Kosten; dentime verlangt für die Mitwirkung an Prüfungen keine Vergütung.

§ 14 Verstöße, Aussetzung und Kündigung

(1) Aussetzung. Verstößt dentime gegen diesen Vertrag, kann der Kunde dentime anweisen, die Verarbeitung seiner Auftragsdaten auszusetzen, bis der Verstoß behoben ist oder der Vertrag endet. Der Export der Daten (§ 12 Abs. 2) bleibt möglich.

(2) Kündigung durch den Kunden. Der Kunde kann diesen Vertrag und den Nutzungsvertrag fristlos kündigen, wenn

• a) er die Verarbeitung nach Absatz 1 ausgesetzt hat und der vertragsgemäße Zustand nicht innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, wiederhergestellt ist,
• b) dentime erheblich oder wiederholt gegen diesen Vertrag oder die DSGVO verstößt oder
• c) dentime eine bindende Entscheidung eines Gerichts oder einer Aufsichtsbehörde zu seinen Pflichten aus diesem Vertrag oder der DSGVO nicht befolgt.

(3) Das Recht des Kunden, den Nutzungsvertrag jederzeit nach AGB § 12 Abs. 2 zu kündigen, bleibt unberührt.

(4) Kündigung durch dentime. dentime kann diesen Vertrag und den Nutzungsvertrag fristlos kündigen, wenn der Kunde auf der Ausführung einer Weisung besteht, nachdem dentime ihn nach § 3 Abs. 5 darauf hingewiesen hat, dass die Weisung gegen geltendes Recht verstößt.

(5) Nach jeder Kündigung gelten § 12 und AGB §§ 13, 14. Bis zur Rückgabe und Löschung der Daten hält dentime diesen Vertrag weiter ein.

§ 15 Haftung

(1) Für die Haftung gegenüber betroffenen Personen und den Ausgleich zwischen den Parteien gilt Art. 82 DSGVO.

(2) Für den Ausgleich nach Art. 82 Abs. 5 DSGVO gilt AGB § 17 Abs. 7, für andere Ansprüche zwischen den Parteien AGB § 17.

(3) Geldbußen und Zwangsgelder, die gegen eine Partei verhängt werden, trägt diese Partei selbst.

§ 16 Schlussbestimmungen

(1) Form. Erklärungen nach diesem Vertrag bedürfen der Textform (§ 126b BGB), soweit dieser Vertrag nichts anderes bestimmt. Nachrichten über die Kontaktwege (Eingang dieses Vertrags), E-Mails an die E-Mail-Adresse eines Inhaber-Zugangs und Erklärungen in dentime genügen.

(2) Änderungen. Die Anlagen 2 und 3 werden nach § 6 Abs. 2 und § 7 aktualisiert. Andere Änderungen dieses Vertrags teilt dentime mindestens 6 Wochen vor dem geplanten Wirksamwerden in Textform mit; sie werden nur wirksam, wenn ein Inhaber-Zugang ihnen ausdrücklich zustimmt (zum Beispiel per Bestätigung in dentime). Ausgenommen sind Änderungen, die ausschließlich zwingende gesetzliche oder behördliche Vorgaben umsetzen und den Kunden nicht schlechter stellen; diese teilt dentime ebenfalls mit. Stimmt der Kunde einer sonstigen Änderung nicht zu, gilt dieser Vertrag unverändert weiter; das Kündigungsrecht nach AGB § 12 bleibt unberührt.

(3) Teilunwirksamkeit. Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO. Dieser Vertrag ist so auszulegen, dass er den Anforderungen der DSGVO entspricht.

(4) Anwendbares Recht. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts; die DSGVO bleibt unberührt.

(5) Übertragung. Überträgt dentime den Nutzungsvertrag nach AGB § 23 Abs. 4 (zum Beispiel auf eine künftige dentime GmbH), geht dieser Vertrag mit über.

Anlage 1: Gegenstand, Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

1. Gegenstand und Zweck

dentime verarbeitet die Auftragsdaten, um dem Kunden die Software dentime bereitzustellen, damit er

• Arbeitszeiten seiner Beschäftigten erfasst, prüft und für die Lohnabrechnung auswertet (einschließlich der Aufzeichnungspflichten nach Arbeitszeitrecht),
• Dienstpläne und Abwesenheiten verwaltet, auch über mehrere Standorte hinweg,
• Zugänge, Rollen und Rechte vergibt und Änderungen nachvollzieht,
• seinen Beschäftigten Einsicht in eigene Daten und Anträge ermöglicht,
• sowie Support, Wartung, Fehlerbehebung und Datensicherung für diese Zwecke erhält.

Die Verantwortung für die Zwecke der Beschäftigtendatenverarbeitung liegt beim Kunden. dentime verfolgt mit den Auftragsdaten keine eigenen Zwecke (§ 5 Abs. 1).

2. Art der Verarbeitung

Erheben (durch Eingaben der Nutzer und durch Stempeln), Speichern, Ordnen, Anpassen und Verändern, Auslesen, Abfragen, Verwenden (zum Beispiel Berechnung von Salden, Pausen und Hinweisen), Offenlegen gegenüber den vom Kunden berechtigten Nutzern, Übermitteln an Unterauftragsverarbeiter nach Anlage 3, Exportieren auf Veranlassung des Kunden, Einschränken, Sichern, Löschen.

Es findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO durch dentime statt. Hinweise der Software (zum Beispiel zu Pausen, Höchstarbeitszeiten oder fehlenden Stempelungen) sind Hilfen für die Entscheidungen der Menschen in der Praxis. dentime erhebt keine Standortdaten (kein GPS). Zu Zeitbuchungen, Nutzerkonten und Sitzungen speichert dentime keine IP-Adressen; zum Schutz der Plattform nutzt dentime sie nur kurzzeitig (§ 1 Abs. 3 lit. d).

3. Kategorien betroffener Personen

• Beschäftigte des Kunden: Angestellte, Zahnärztinnen und Zahnärzte im Angestelltenverhältnis, Auszubildende (auch Minderjährige), Praktikantinnen und Praktikanten, Aushilfen,
• weitere Personen, denen der Kunde einen Zugang einräumt (zum Beispiel Praxisinhaber/innen, Verwaltung, Standortleitungen, ggf. Lohnbüro oder Steuerberatung mit eigenem Zugang),
• Notfallkontakte von Beschäftigten (Dritte), soweit der Kunde sie erfasst.

Keine Patientinnen und Patienten (§ 4 Abs. 3).

4. Kategorien personenbezogener Daten

Nicht vorgesehen und nicht verarbeitet: Diagnosen oder ICD-Codes (es gibt dafür kein Feld), Patientendaten, Gehalts- und Bankdaten, Steuer-ID, Sozialversicherungsnummer, Religionszugehörigkeit, Ausweisdaten, biometrische Daten, Standortdaten (GPS).

5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und besondere Garantien

Betroffen: Gesundheitsdaten, nämlich (a) die Tatsache und der Zeitraum einer Arbeitsunfähigkeit mit Nachweis- und Entgeltfortzahlungsverlauf, (b) eine hochgeladene Arbeitsunfähigkeitsbescheinigung und (c) die Angabe „schwanger“ oder „stillend“ in einem Mutterschutz-Profil. Freitexte und hochgeladene Dateien können gegen die Vorgaben in § 4 Abs. 2 weitere Gesundheitsangaben enthalten.

Besondere Garantien (Einzelheiten in Anlage 2):

• keine Diagnosen: Es gibt kein Diagnosefeld; die Felder zu Abwesenheiten, Krankmeldungen und Schutzprofilen weisen darauf hin, keine Diagnosen einzutragen,
• Zugriff nur mit eigenem Recht: Inhaber-Zugänge haben immer Zugriff. Alle anderen Nutzer sehen Krankmeldungen anderer Personen (Art – auch Kind krank, Mutterschutz und Beschäftigungsverbot –, Zeitraum und Nachweisstatus) nur mit dem Recht „Krankmeldungen“; hochgeladene Bescheinigungen und die Bewertung der Entgeltfortzahlung zusätzlich nur mit dem Recht „Krankmeldungen prüfen“; Schutzprofile anderer Personen nur mit dem Recht „Arbeitszeitschutz“, die Angaben „schwanger“ und „stillend“ nur mit dessen Zusatz „inkl. besonders geschützter Profile“; den Gesamtexport aller Praxisdaten nur mit dem Recht „Gesamtexport aller Praxisdaten“. Allgemeine Verwaltungs-, Planungs- oder Personalrechte schließen diesen Zugriff nicht ein; im Dienstplan erscheint eine solche Abwesenheit dann ohne ihre Art. Die Rolle „Verwaltung“ enthält diese Rechte standardmäßig; der Kunde kann sie abwählen,
• Protokoll der Änderungen an Krankmeldungsnachweisen,
• Betreiber-Export ohne Gesundheitsdaten, Einsicht durch dentime nur mit Freigabe der Praxis (§ 5 Abs. 3),
• Benachrichtigungen ohne Gesundheitsdaten; in den Apps auch ohne Namen, im Browser Ende-zu-Ende verschlüsselt,
• keine Übermittlung an einen KI-Anbieter (Anlage 3 Teil B).

Keine zusätzliche Verschlüsselung der Datenbank und der Anhänge im laufenden Betrieb (Anlage 2 Teil B).

6. Dauer der Verarbeitung

Für die Laufzeit des Nutzungsvertrags einschließlich Testphase, Nur-Lesen-Modus, Übergangs- und Datenabrufzeitraum und bis zur Löschung nach § 12. Innerhalb dieser Zeit bestimmt der Kunde die Speicherdauer einzelner Daten (§ 3 Abs. 6). Feste Fristen gelten nur für diese technischen Daten (§ 3 Abs. 6 lit. a):

7. Ort der Verarbeitung

Deutschland: Server bei der netcup GmbH in Nürnberg, E-Mail-Versand über Amazon SES in Frankfurt, Postfächer bei STRATO, ab Einrichtung Datensicherung außer Haus bei der Hetzner Online GmbH. Push-Benachrichtigungen in den Apps stellen Google und Apple zu, mit möglicher Verarbeitung in den USA (§ 8 Abs. 3). Einzelheiten in Anlage 3.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 24.10.2026. Teil A beschreibt nur Maßnahmen, die umgesetzt sind. Teil B nennt offene Punkte (TOM B-1 bis TOM B-8); sie sind keine Zusage, solange sie nicht in Teil A übernommen sind.

Teil A – Umgesetzte Maßnahmen

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Physischer Zutritt

• dentime betreibt keine eigenen Serverräume. Anwendung, Datenbank und Datensicherungen laufen auf einem angemieteten Server der netcup GmbH in einem Rechenzentrum in Nürnberg (Deutschland).
• Die physische Sicherheit richtet sich nach den technischen und organisatorischen Maßnahmen von netcup, die Bestandteil des AV-Vertrags zwischen dentime und netcup sind.
• Administrationsarbeitsplatz: der persönliche Arbeitsrechner des Inhabers mit vollständiger Datenträgerverschlüsselung und automatischer Bildschirmsperre; nur er hat Zugang.

1.2 Zugang zu Systemen

• Server-Administration nur über SSH mit Schlüssel; Anmeldung per Passwort und als Root abgeschaltet.
• Server-Firewall: von außen nur SSH und HTTP/HTTPS erreichbar. Datenbank und Anwendung haben keinen öffentlichen Port.
• Automatische Sicherheitsupdates des Betriebssystems.
• Anmeldung an dentime mit E-Mail-Adresse und Passwort. Passwörter nur als Hash mit individuellem Salt; Sperrliste leicht erratbarer Passwörter; Begrenzung der Anmeldeversuche.
• Zwei-Faktor-Anmeldung: vorhanden, derzeit nicht eingeschaltet (Teil B, TOM B-3).
• Sitzungen: zufällige Schlüssel, in der Datenbank nur als Hash; geschützte Cookies; begrenzte Laufzeit; Abmelden beendet die Sitzung, eine Passwortänderung alle Sitzungen des Kontos.
• Bestätigungs-, Einladungs- und Rücksetzlinks sind einmalig nutzbar, nur begrenzt gültig und nur als Hash gespeichert; E-Mail-Codes sind kurz gültig und nur begrenzt oft eingebbar.
• Terminals und Handys werden über einmalige, kurz gültige Kopplungscodes an die Praxis gebunden; Geräteschlüssel und Terminal-PINs nur als Hash, Geräteschlüssel mit begrenzter Laufzeit.
• Stempeln von unterwegs ist nur möglich, wenn die Praxis es für die Person oder ihren Einsatzbereich freigeschaltet hat, und nur für die angemeldete Person selbst.

1.3 Zugriff auf Daten (Berechtigungen)

• Rollen mit Einzelrechten, je Standort oder praxisweit vergebbar und befristet delegierbar. Jede Anfrage prüft auf dem Server Mitgliedschaft und Einzelrecht.
• Krankmeldungsnachweise, AU-Dateien, Entgeltfortzahlung und Schutzprofile: Inhaber-Zugänge haben immer Zugriff, alle anderen Nutzer nur mit eigenen Rechten („Krankmeldungen prüfen“, „Arbeitszeitschutz“, „Gesamtexport aller Praxisdaten“), die allgemeine Verwaltungs-, Planungs- oder Personalrechte nicht einschließen. Die Rolle „Verwaltung“ enthält diese Rechte standardmäßig; der Kunde kann sie abwählen (Anlage 1 Nr. 5).
• Das Protokoll der Praxis sehen nur Inhaber-Zugänge und Nutzer, denen der Kunde das Recht dazu eingeräumt hat.
• Betreiberbereich von dentime: zeigt nur Vertrags- und Registrierungsdaten und Nutzungszahlen (Zählwerte), keine Inhalte der Praxis. Konten von dentime sind nie Mitglied einer Praxis.
• Einsicht des dentime-Supports in Inhalte einer Praxis nur mit Freigabe der Praxis (Inhaber-Zugang oder Nutzer mit dem Recht „Einsicht für den Support freigeben“), befristet, vorzeitig beendbar, ohne Änderung von Daten; jede Freigabe und jeder Zugriff wird protokolliert und ist der Praxis angezeigt (§ 5 Abs. 3).
• Betreiber-Export nur auf Weisung bzw. zur Rückgabe (§ 5 Abs. 3): ohne Freigabe ohne Gesundheitsdaten, vollständig nur während einer Einsicht; jeder Export wird protokolliert und den Inhaber-Zugängen mit Grund angezeigt.
• Direkter Zugriff auf Datenbank und Datensicherungen ist technisch nur dem Server-Administrator möglich und wird nur für Betrieb, Wartung, Fehlerbehebung und Weisungen nach diesem Vertrag genutzt. Administrator ist derzeit ausschließlich Attila Roßburger.

1.4 Trennung (Mandantentrennung)

• Jede Praxis ist ein eigener Mandant. Praxisdaten liegen in Tabellen mit erzwungener Zeilensicherheit (PostgreSQL Row Level Security).
• Kontodaten und Praxisdaten liegen in getrennten Datenbankschemata mit getrennten Datenbankrollen, die die Zeilensicherheit nicht umgehen dürfen.
• Test- und Entwicklungssysteme sind vom Produktivsystem getrennt und arbeiten mit erfundenen oder anonymisierten Daten. Kopien von Kundendaten außerhalb des Produktivsystems nur nach § 5 Abs. 4.

1.5 Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

• Die Anwendung ist nur über HTTPS (TLS) mit HSTS erreichbar; zwischen Webserver und Anwendung besteht nur eine lokale, geschützte Verbindung.
• Passwörter, PINs, Sitzungs-, Geräte- und Einladungsschlüssel werden nur als Hash gespeichert.
• Die Warteschlange ausgehender E-Mails und die E-Mail-Codes sind verschlüsselt; nach dem Versand wird der Mailinhalt entfernt. Die Übertragung an den E-Mail-Dienst ist verschlüsselt.
• Datenbank und Dateianhänge sind im laufenden Betrieb nicht zusätzlich verschlüsselt (siehe Teil B, TOM B-2). Die Sicherungsdateien sind dagegen verschlüsselt (Nr. 3).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabe

• Keine Weitergabe von Auftragsdaten außer an die Unterauftragsverarbeiter nach Anlage 3 und an die vom Kunden berechtigten Nutzer.
• E-Mail-Versand über Amazon SES in der Region Frankfurt; der technische Zugang ist auf das Senden von noreply@dentime.de beschränkt.
• Keine Analyse-, Tracking- oder Werbedienste; keine externen Schriftarten oder Content-Delivery-Netzwerke.
• Exporte nur mit eigenem Recht; den Gesamtexport aller Praxisdaten nur für Inhaber-Zugänge und Nutzer, denen der Kunde das Recht dazu eingeräumt hat; Gesamtexport mit Prüfsummen.
• Sicherheits-Header (unter anderem eine Content-Security-Policy ohne Fremdquellen und ohne Einbettung in fremde Seiten); Schutz vor Cross-Site-Anfragen.

2.2 Eingabekontrolle

• Protokoll der Praxis: wer hat wann welche Art von Änderung vorgenommen (zum Beispiel an Zeiten, Dienstplan, Abwesenheiten, Rechten, Krankmeldungsnachweisen), ohne IP-Adressen.
• Plattformprotokoll für Konto-, Zustimmungs- und Betreibervorgänge (zum Beispiel Einladungen, Rollenänderungen, Sperren und Freigaben, Passwortänderungen, Exporte, Löschungen).
• Korrekturen an Zeitbuchungen verlangen eine Begründung; der Korrektur- und Prüfverlauf bleibt erhalten, bis der Nachweis auf Weisung gelöscht wird (dann gemeinsam).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche automatische Datenbanksicherung auf dem Server und zusätzlich vor jedem Software-Update; die Lesbarkeit wird beim Erstellen geprüft.
• Die Sicherungsdateien sind verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server. Sie liegen auf dem dentime-Server bei netcup in Deutschland und werden nach 30 Tagen automatisch gelöscht.
• Software-Updates als geprüfte Pakete: vor dem Umschalten frische Sicherung, danach Prüfung des Betriebs, bei Fehlern automatische Rückkehr zur vorigen Version.
• Gehärtete Laufzeitumgebung mit minimalen Rechten und automatischem Neustart.
• Automatische Überwachung der Erreichbarkeit und der täglichen Sicherung; bei Ausfällen oder fehlgeschlagenen Sicherungen wird der Betreiber alarmiert.
• Anfragebegrenzungen gegen Überlastung.
• Ungesendete Änderungen bleiben bei Verbindungsabbrüchen im Browser, bis der Server sie bestätigt.

4. Wiederherstellung (Art. 32 Abs. 1 lit. c DSGVO)

• Wiederherstellung aus der letzten Datenbanksicherung; Änderungen seit dieser Sicherung können verloren gehen. Feste Wiederherstellungszeiten sagt dentime nicht zu.
• Rückkehr zur vorigen Software-Version möglich.
• Solange die Datensicherung außer Haus (TOM B-1) nicht aktiv ist, liegen alle Sicherungen auf demselben Server wie die Daten.

5. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Automatisierte Tests für Rechte, Mandantentrennung, Export, Löschung und Sicherheitsfunktionen vor jedem Release.
• Überprüfung dieser Maßnahmen regelmäßig und anlassbezogen (§ 6 Abs. 3) durch Attila Roßburger.

6. Organisatorische Maßnahmen und Datenschutz durch Technikgestaltung (Art. 25 DSGVO)

• Kein GPS beim Stempeln, kein Diagnosefeld, kein Tracking; sensible Angaben hinter eigenen Rechten.
• Keine automatische Löschung von Auftragsdaten während der Vertragslaufzeit außer nach § 3 Abs. 6 lit. a.
• Neue Praxen werden vor Beginn der Testphase geprüft; nur Unternehmen.
• Verpflichtung aller Personen mit Zugriff auf Vertraulichkeit (§ 5 Abs. 3).
• Verfahren für Datenschutzverletzungen nach § 11 (Meldung an Kunden, Dokumentation).

Teil B – Offene Punkte (keine Zusage)

Anlage 3: Unterauftragsverarbeiter

Stand: 24.10.2026. Änderungen nur nach § 7. Die jeweils aktuelle Liste steht unter dentime.de/unterauftragnehmer.

Teil A – Genehmigte Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter der genannten Anbieter (zum Beispiel Konzerngesellschaften) ergeben sich aus deren Unterlagen; dentime nennt sie dem Kunden auf Anfrage mit Name, Anschrift und Tätigkeit.

Teil B – Geplant, noch nicht genehmigt

Die folgenden Dienste sind in Planung. Sie werden erst nach dem Verfahren des § 7 Abs. 3 bis 5 eingesetzt; bis dahin erhalten sie keine Auftragsdaten.

Teil C – Keine Unterauftragsverarbeiter im Sinne dieses Vertrags