Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO)

Vorlage — wirksam mit Gegenzeichnung. Stand: 16. Mai 2026

Diese Auftragsverarbeitungsvereinbarung wird zwischen Project Line (קו פרויקטים, ein in Israel eingetragenes Einzelunternehmen, Reg.-Nr. 310333984, D-U-N-S 532247086, Keren ha-Yesod 23/9, Ashdod 7740412, Israel) („Auftragsverarbeiter") und der im Intelligente Klinikmanagement-Plattform-Konto bezeichneten Praxis („Verantwortlicher") gemäß Art. 28 Verordnung (EU) 2016/679 (DSGVO) geschlossen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung des Dienstes Intelligente Klinikmanagement-Plattform. Die Verarbeitung dauert für die Laufzeit des Dienstabonnements.

2. Art, Zweck; Kategorien betroffener Personen

Verarbeitete personenbezogene Daten: Patientenkennungen, Kontaktdaten, Termininformationen, klinische Notizen sowie für die Rechnungsstellung erforderliche, begrenzte Finanzdaten. Kategorien betroffener Personen: Patientinnen und Patienten des Verantwortlichen, Personal des Verantwortlichen sowie autorisierte Endnutzerinnen und Endnutzer. Besondere Kategorien (Art. 9 DSGVO) — Gesundheitsdaten — werden auf Grundlage des Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) verarbeitet.

3. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf Übermittlungen in Drittländer oder an internationale Organisationen.
• Gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umsetzen, wie in der Datenschutzerklärung §11 aufgeführt.
• Unterauftragsverarbeiter nur mit vorheriger allgemeiner Genehmigung und mit mindestens 30 Tagen Vorankündigung bei Änderungen einsetzen (aktuelle Liste unter /sub-processors).
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten gemäß Art. 12–23 DSGVO unterstützen.
• Verletzungen des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden.
• Alle personenbezogenen Daten nach Beendigung der Leistungserbringung nach Wahl des Verantwortlichen innerhalb von 30 Tagen löschen oder zurückgeben.
• Dem Verantwortlichen alle zum Nachweis der Einhaltung von Art. 28 erforderlichen Informationen zur Verfügung stellen und Überprüfungen, einschließlich Inspektionen, ermöglichen.

4. Internationale Datenübermittlungen

Die Primärverarbeitung erfolgt in Azure Israel Central. Israel wird gemäß dem Angemessenheitsbeschluss 2011/61/EU der Kommission als Land mit angemessenem Datenschutzniveau anerkannt. Bei Übermittlungen in andere Jurisdiktionen (z. B. OpenAI USA, Stripe USA/EU, Twilio USA) gelten die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und ergänzende Maßnahmen gemäß den EDPB-Empfehlungen 01/2020.

UK-Übermittlungen. Für Übermittlungen personenbezogener Daten aus dem Vereinigten Königreich gilt das UK Addendum (B1.0) des ICO zu den EU-SCC oder das UK International Data Transfer Agreement (IDTA), zusammen mit einem Transfer Risk Assessment. Israel ist durch die UK-Angemessenheitsregelungen abgedeckt; Übermittlungen an Microsoft und Twilio können sich zusätzlich auf die UK Extension zum EU-US Data Privacy Framework (UK-US Data Bridge) stützen.

4A. Israel-Anhang (Datenschutzgesetz)

Für in Israel niedergelassene Kliniken stellt dieser AVV zugleich die nach Regel 15 der Privacy Protection (Data Security) Regulations 5777-2017 erforderliche Vereinbarung zwischen Datenbankinhaber und Halter dar: Verarbeitungszwecke gemäß §2; Sicherheitsstufe der Datenbank: hoch; der Auftragsverarbeiter setzt die Maßnahmen dieser Regulations um (Verschlüsselung, Zugriffskontrolle, manipulationssicheres Audit-Log), meldet Sicherheitsvorfälle gemäß §3, zieht Unterauftragsverarbeiter gemäß §5 hinzu und gibt die Daten gemäß §3 zurück oder löscht sie. Die Parteien handeln nach dem Privacy Protection Law 5741-1981 (einschließlich Amendment 13) zusätzlich zu den GDPR-Bestimmungen dieses AVV. Auslandsübermittlungen erfolgen nach Regel 2(4) der Privacy Protection (Transfer of Data Abroad) Regulations 5761-2001.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die unter /sub-processors aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter zeigt jede beabsichtigte Aufnahme oder Ersetzung mit einer Frist von mindestens 30 Tagen schriftlich an; der Verantwortliche kann innerhalb dieser Frist aus berechtigten Gründen widersprechen.

6. Haftung

Vorbehaltlich der Haftungsbeschränkung in den Nutzungsbedingungen haftet jede Partei für Schäden, die durch eine Verarbeitung verursacht wurden, nur, soweit sie den ihr nach der DSGVO speziell auferlegten Pflichten nicht nachgekommen ist oder den rechtmäßig erteilten Weisungen des Verantwortlichen zuwider oder unter Nichtbeachtung dieser Weisungen gehandelt hat (Art. 82 DSGVO).

7. Unterzeichnung

Die Annahme wird serverseitig über den Legal-Acceptance-Dialog protokolliert (Name + Funktion + E-Mail + IP + UTC-Zeitstempel). Eine gegengezeichnete PDF-Kopie wird auf Anfrage an support@projectlineil.com übermittelt.