Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO)

Vorlage — wirksam mit Gegenzeichnung. Stand: 16. Mai 2026

Diese Auftragsverarbeitungsvereinbarung wird zwischen Project Line (קו פרויקטים, ein in Israel eingetragenes Einzelunternehmen, Reg.-Nr. 310333984, D-U-N-S 532247086, Keren ha-Yesod 23, 1. Etage, Büro 9, Ashdod 7740412, Israel) („Auftragsverarbeiter“) und der im Project-Line-Konto bezeichneten Praxis („Verantwortlicher“) gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO) geschlossen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung der intelligenten Klinikmanagement-Plattform. Die Verarbeitung dauert so lange, wie das Abonnement des Dienstes läuft.

2. Art, Zweck; Kategorien betroffener Personen

Verarbeitete personenbezogene Daten: Patientenkennungen, Kontaktdaten, Termininformationen, klinische Notizen sowie für die Rechnungsstellung erforderliche, begrenzte Finanzdaten. Kategorien betroffener Personen: Patientinnen und Patienten des Verantwortlichen, Personal des Verantwortlichen sowie autorisierte Endnutzerinnen und Endnutzer. Besondere Kategorien (Art. 9 DSGVO) — Gesundheitsdaten — werden auf Grundlage des Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) verarbeitet.

3. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch in Bezug auf Übermittlungen in Drittländer oder an internationale Organisationen.
• Gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umsetzen, wie in Abschnitt 11 der Datenschutzerklärung aufgeführt.
• Unterauftragsverarbeiter nur mit vorheriger allgemeiner Genehmigung und mit einer Vorankündigung von mindestens 30 Tagen bei Änderungen einsetzen (aktuelle Liste auf der Seite Unterauftragsverarbeiter).
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten gemäß Art. 12–23 DSGVO unterstützen.
• Verletzungen des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden.
• Alle personenbezogenen Daten nach Beendigung der Leistungserbringung nach Wahl des Verantwortlichen innerhalb von 30 Tagen löschen oder zurückgeben.
• Dem Verantwortlichen alle zum Nachweis der Einhaltung von Art. 28 erforderlichen Informationen zur Verfügung stellen und Überprüfungen, einschließlich Inspektionen, ermöglichen.

4. Internationale Datenübermittlungen

Die Primärverarbeitung erfolgt in Azure Israel Central. Israel wird gemäß dem Angemessenheitsbeschluss 2011/61/EU der Kommission als Land mit angemessenem Datenschutzniveau anerkannt. Bei Übermittlungen in andere Jurisdiktionen (z. B. OpenAI USA, Stripe USA/EU, Twilio USA) gelten die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und ergänzende Maßnahmen gemäß den EDPB-Empfehlungen 01/2020. Ein Vertreter in der Union nach Art. 27 DSGVO ist derzeit nicht benannt; er wird vor Beginn der Verarbeitung von Daten in der EU niedergelassener Praxen benannt und in der Datenschutzerklärung genannt. Bis dahin ist support@projectlineil.com die Kontaktstelle für Betroffene und Aufsichtsbehörden.

UK-Übermittlungen. Für Übermittlungen personenbezogener Daten aus dem Vereinigten Königreich gilt das UK Addendum (B1.0) des ICO zu den EU-SCC oder das UK International Data Transfer Agreement (IDTA), zusammen mit einem Transfer Risk Assessment. Israel ist durch die UK-Angemessenheitsregelungen abgedeckt; Übermittlungen an Microsoft und Twilio können sich zusätzlich auf die UK Extension zum EU-US Data Privacy Framework (UK-US Data Bridge) stützen.

4A. Israel-Anhang (Datenschutzgesetz)

Für in Israel niedergelassene Praxen stellt dieser AVV zugleich die nach Regel 15 der Privacy Protection (Data Security) Regulations 5777-2017 erforderliche Vereinbarung zwischen Datenbankinhaber und Halter dar: Verarbeitungszwecke gemäß §2; Sicherheitsstufe der Datenbank: hoch; der Auftragsverarbeiter setzt die Maßnahmen dieser Regulations um (Verschlüsselung, Zugriffskontrolle, manipulationssicheres Audit-Log), meldet Sicherheitsvorfälle gemäß §3, zieht Unterauftragsverarbeiter gemäß §5 hinzu und gibt die Daten gemäß §3 zurück oder löscht sie. Die Parteien handeln nach dem Privacy Protection Law 5741-1981 (einschließlich Amendment 13) zusätzlich zu den DSGVO-Bestimmungen dieses AVV. Auslandsübermittlungen erfolgen nach Regel 2(4) der Privacy Protection (Transfer of Data Abroad) Regulations 5761-2001.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die auf der Seite Unterauftragsverarbeiter aufgeführten Unternehmen. Der Auftragsverarbeiter zeigt jede beabsichtigte Aufnahme oder Ersetzung mit einer Frist von mindestens 30 Tagen schriftlich an; der Verantwortliche kann innerhalb dieser Frist aus berechtigten Gründen widersprechen.

6. Haftung

Vorbehaltlich der Haftungsbeschränkung in den Nutzungsbedingungen haftet jede Partei für Schäden, die durch eine Verarbeitung verursacht wurden, nur, soweit sie den ihr nach der DSGVO speziell auferlegten Pflichten nicht nachgekommen ist oder den rechtmäßig erteilten Weisungen des Verantwortlichen zuwider oder unter Nichtbeachtung dieser Weisungen gehandelt hat (Art. 82 DSGVO).

7. Unterzeichnung

Die Annahme wird serverseitig über den Zustimmungsdialog für Rechtsdokumente protokolliert (Name + Funktion + E-Mail + IP + UTC-Zeitstempel). Eine gegengezeichnete PDF-Kopie wird auf Anfrage an support@projectlineil.com übermittelt.