Vertrag zur Auftragsverarbeitung (AVV) – Mit-Care Portal

nach Art. 28 Abs. 3 und 4 DSGVO auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021)

Teil A – Einbeziehung der Standardvertragsklauseln

1. Die Parteien vereinbaren die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Art. 28 Abs. 7 DSGVO (Anhang des Durchführungsbeschlusses (EU) 2021/915) in ihrer jeweils geltenden Fassung. Der vollständige Wortlaut ist abrufbar unter: https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj (Amtsblatt der EU L 199 vom 7. Juni 2021). Der Wortlaut der Klauseln wird nicht verändert; dieser Vertrag füllt lediglich die vorgesehenen Optionen und Anhänge aus.

2. Gewählte Optionen:

   • Klausel 7.7 (Unterauftragsverarbeiter): Option 2 – Allgemeine schriftliche Genehmigung. Der Auftragsverarbeiter hat die allgemeine Genehmigung des Verantwortlichen für die Beauftragung der in Anhang IV genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage im Voraus in Textform (Anzeige im Portal und E-Mail an den Hauptansprechpartner). Der Verantwortliche kann binnen dieser Frist in Textform Einspruch erheben.
   • Klausel 9.1 (Meldung von Datenschutzverletzungen durch den Auftragsverarbeiter): unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.
   • Klausel 10 (Beendigung): Bei Beendigung werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben; ohne anderslautende Weisung stellt der Auftragsverarbeiter einen vollständigen Export bereit und löscht nach 90 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Nutzungsvereinbarung Ziffer 6).

3. Dieser Vertrag ist Anlage der Nutzungsvereinbarung Mit-Care Portal und wird zusammen mit ihr geschlossen. Bei Widersprüchen gehen die Standardvertragsklauseln vor.

Teil B – Anhänge zu den Standardvertragsklauseln

Anhang I – Liste der Parteien

Verantwortlicher: Der Kunde, wie im Mit-Care Portal angelegt (Name, Anschrift, Ansprechpartner werden aus dem Portal übernommen und in der Bestätigungs-PDF ausgewiesen). Vertreten durch die zustimmende, zeichnungsberechtigte Person.

Auftragsverarbeiter: Mit-Care GmbH, Teplitzer Straße 28–30, 14193 Berlin, Deutschland Vertreten durch den Geschäftsführer Leo Knezic Kontakt für Datenschutzfragen: info@mit-care.de, Telefon 030 23520035 Ansprechpartner für das Portal: Blend Jashanica, portal@mit-care.de

Anhang II – Beschreibung der Verarbeitung

Kategorien betroffener Personen:

• Mitarbeiter und Beauftragte des Verantwortlichen (Ansprechpartner, Geräteverantwortliche, Beauftragte für Medizinproduktesicherheit, eingewiesene Personen, Portalnutzer)
• Externe Kontaktpersonen des Verantwortlichen, soweit vom Verantwortlichen eingetragen (z. B. Hausverwaltung für Zugang)

Kategorien personenbezogener Daten:

• Name, Funktion/Rolle, geschäftliche Telefonnummer und E-Mail-Adresse
• Einweisungsdaten: eingewiesene Person, einweisende Person, Datum, Gerät, Art der Einweisung, optionaler Nachweis (Unterschriftsliste als PDF oder Foto)
• Portal-Nutzungsdaten der benannten Nutzer: Anmeldezeitpunkte, vorgenommene Änderungen (Änderungsprotokoll)
• Freitextangaben des Verantwortlichen (Bemerkungen, Anfragen), soweit sie Personenbezug enthalten

Sensible Daten: Keine. Die Verarbeitung von Patientendaten, Gesundheitsdaten oder anderen besonderen Kategorien nach Art. 9 DSGVO ist ausgeschlossen; der Verantwortliche verpflichtet sich, solche Daten nicht einzubringen.

Art der Verarbeitung: Speicherung, Anzeige, Verknüpfung mit Geräten und Prüfungen, Versand von Erinnerungs-E-Mails an die eingetragenen Ansprechpartner, Erstellung von Exporten (PDF, CSV, ZIP), Sicherung, Löschung.

Zweck der Verarbeitung: Betrieb des Mit-Care Portals für den Verantwortlichen: Verwaltung von Medizinprodukten und elektrischen Betriebsmitteln, Fristenüberwachung, Dokumentation nach MPBetreibV und DGUV Vorschrift 3, Kommunikation zu Prüfaufträgen.

Dauer der Verarbeitung: Für die Laufzeit der Nutzungsvereinbarung; danach Export und Löschung nach Klausel 10 bzw. Aufbewahrung, soweit gesetzlich vorgeschrieben (§ 13 MPBetreibV: fünf Jahre nach Außerbetriebnahme; vereinbart: zehn Jahre).

Anhang III – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts- und Zugangskontrolle

• Verarbeitung in zertifizierten Rechenzentren in Frankfurt am Main (Supabase, Vercel – Rechenzentren mit ISO-27001-/SOC-2-Nachweisen der Betreiber); kein physischer Zugang durch Mit-Care.
• Zugang zum Portal nur mit persönlichem Nutzerkonto (E-Mail und Passwort, Passwörter nur als Hash gespeichert); interne Konten von Mit-Care mit Zwei-Faktor-Authentisierung (Authenticator-App, Pflicht; sensible Aktionen verlangen eine erneute Code-Eingabe).
• Zugänge werden von Mit-Care eingeladen, nie selbst registriert; ausgeschiedene Nutzer werden auf Mitteilung unverzüglich gesperrt.

Zugriffskontrolle und Mandantentrennung

• Jeder Kunde sieht ausschließlich eigene Daten. Die Trennung ist auf Datenbankebene durch Row Level Security erzwungen und wird automatisiert getestet.
• Interne Mitarbeiter von Mit-Care greifen nur im Rahmen ihrer Aufgaben zu; interne Felder (z. B. Bemerkungen, Phasen) sind für Kunden technisch nicht erreichbar.
• Dateien (Protokolle, Dokumente, Nachweise) liegen in privaten Speicherbereichen und sind nur über kurzlebige, personalisierte Links abrufbar; Kunden erhalten nur Zugriff auf freigegebene Dateien.

Weitergabe- und Transportkontrolle

• Alle Verbindungen sind mit TLS verschlüsselt; Daten ruhen verschlüsselt (AES-256 bei den Anbietern).
• Kein Export in Drittländer außerhalb der in Anhang IV genannten Dienste; US-Anbieter nur mit EU-Rechenzentrum und Garantien nach Kapitel V DSGVO. Einzige Ausnahme ist die Datensicherung bei GitHub (USA): Sie wird vor der Übertragung verschlüsselt, der Schlüssel verlässt Mit-Care nicht.

Eingabe- und Nachvollziehbarkeitskontrolle

• Jede Änderung an Geräten, Fristen, Protokollen, Ansprechpartnern und Einweisungen wird in einem Änderungsprotokoll mit Nutzer, Zeitpunkt, altem und neuem Wert festgehalten.
• Freigeschaltete Prüfprotokolle sind unveränderlich; Korrekturen erfolgen als neue Version mit sichtbarer Historie. Daten werden grundsätzlich nicht gelöscht, sondern als beendet/storniert markiert, bis die Aufbewahrungsfrist abläuft.

Verfügbarkeitskontrolle

• Nächtliche Datensicherung von Datenbank und Dateien, clientseitig verschlüsselt (age), getrennt vom Produktivsystem 90 Tage aufbewahrt; Vollständigkeit wird bei jeder Sicherung geprüft, die Wiederherstellung regelmäßig geprobt.
• Der Verantwortliche kann seine Daten jederzeit selbst exportieren (Bestandsverzeichnis, Protokolle, Dokumente).

Trennungsgebot und Datensparsamkeit

• Getrennte Umgebungen für Entwicklung/Test und Produktivbetrieb (ab Produktivbetrieb); Testdaten enthalten keine echten Personen.
• Es werden nur die für den Zweck erforderlichen Daten erhoben; Patientendaten sind ausgeschlossen (technische Hinweise in allen Freitextfeldern und Upload-Dialogen).

Organisation

• Verantwortlich für Datenschutz und IT-Sicherheit bei Mit-Care: Geschäftsführung; interne Nutzer sind auf Vertraulichkeit verpflichtet.
• Datenschutzverletzungen werden intern dokumentiert und dem Verantwortlichen innerhalb von 48 Stunden gemeldet.
• Regelmäßige Überprüfung der Maßnahmen, mindestens jährlich und bei wesentlichen Änderungen des Portals.

Anhang IV – Liste der Unterauftragsverarbeiter

Mit allen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge, die den Anforderungen von Art. 28 DSGVO entsprechen.

Zustimmung

Dieser Vertrag wird elektronisch im Mit-Care Portal geschlossen (Art. 28 Abs. 9 DSGVO: elektronisches Format). Mit-Care protokolliert die zustimmende Person, deren Funktion, den Zeitpunkt und die Vertragsversion und stellt dem Verantwortlichen eine Bestätigung als PDF in dessen Portal-Dokumenten bereit.

Für die Mit-Care GmbH: Leo Knezic, Geschäftsführer

Änderungen in Version 2.0: GitHub, Inc. als Unterauftragsverarbeiter für die verschlüsselte Datensicherung (Anhang IV); Anhang III zu Zwei-Faktor-Authentisierung, Datensicherung und Drittlandübermittlung aktualisiert.

Version 2.0, Oktober 2026