Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter (Anbieter) verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Abonnent) im Rahmen der Bereitstellung der Doctrend-Plattform.

(2) Die Verarbeitung beginnt mit Vertragsschluss und endet mit Beendigung des Hauptvertrags.

(3) Die Einzelheiten der Verarbeitung ergeben sich aus dem Hauptvertrag (AGB) sowie aus diesem AVV.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung dient der Erbringung folgender Leistungen:

• Hosting und Bereitstellung des Online-Magazins,

• Darstellung von Einrichtungsinformationen und Inhalten,

• Import und Anzeige von Bewertungen (z.B. Google Reviews),

• Technische Verwaltung und Speicherung von Nutzerinhalten,

• Erhebung und Auswertung von Nutzungsstatistiken des Online-Magazins.

(2) Die Art der Verarbeitung umfasst:

• Erhebung, Speicherung, Anpassung,

• Bereitstellung, Übermittlung,

• Auswertung (Statistiken),

• Löschung.

§ 3 Art der personenbezogenen Daten

Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung:

Einrichtungs- und Mitarbeiterdaten:

• Namen und Kontaktdaten von Mitarbeitern,

• Fotos von Mitarbeitern,

• Einrichtungsinformationen (Adresse, Öffnungszeiten, Fachrichtung).

Patientendaten (aus öffentlichen Quellen):

• Namen und Bewertungstexte von Patienten (aus Google Reviews),

• ggf. Profilbilder aus öffentlichen Bewertungsportalen.

Websitebesucher-Daten:

• IP-Adressen der Besucher des Online-Magazins,

• Zugriffsdaten (Zeitpunkt, aufgerufene Seiten, Verweildauer, Referrer),

• Geräteinformationen (Browser, Betriebssystem),

• ggf. technisch notwendige Cookie-Kennungen.

Nutzungsstatistiken:

• Aggregierte Zugriffszahlen und Seitenaufrufe,

• Verweildauer und Absprungraten,

• Herkunft der Besucher (Suchmaschinen, Direktzugriffe, Verweise).

§ 4 Kategorien betroffener Personen

Von der Verarbeitung betroffen sind:

• Mitarbeiter des Verantwortlichen,

• Patienten des Verantwortlichen (soweit deren Bewertungen importiert werden),

• Besucher des Online-Magazins des Verantwortlichen,

• sonstige Personen, deren Daten der Verantwortliche über die Plattform bereitstellt.

§ 5 Ort der Verarbeitung und Drittlandtransfers

(1) Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

(2) Soweit Unterauftragsverarbeiter mit Sitz in Drittländern (insbesondere USA) eingesetzt werden, stellt der Auftragsverarbeiter sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist durch:

• Angemessenheitsbeschlüsse der EU-Kommission (insbesondere EU-US Data Privacy Framework),

• EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914,

• verbindliche interne Datenschutzvorschriften (BCR).

(3) Die konkret genutzten Garantien für jeden Unterauftragsverarbeiter sind in der Liste gemäß § 9 Abs. 2 dokumentiert.

(4) Der Auftragsverarbeiter führt für Drittlandtransfers eine Transferfolgenabschätzung (Transfer Impact Assessment, TIA) durch und stellt diese dem Verantwortlichen auf Anfrage zur Verfügung.

(5) Änderungen der Rechtsgrundlage für Drittlandtransfers (insbesondere bei Wegfall eines Angemessenheitsbeschlusses) werden dem Verantwortlichen unverzüglich mitgeteilt.

§ 6 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs). Die Maßnahmen umfassen mindestens:

• Verschlüsselung personenbezogener Daten bei Übertragung (TLS/SSL) und Speicherung,

• Zugangskontrollen und Authentifizierung,

• regelmäßige Sicherheitsupdates,

• Backup-Verfahren mit regelmäßiger Überprüfung der Wiederherstellbarkeit,

• Protokollierung von Zugriffen,

• Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Die Einzelheiten sind in den technisch-organisatorischen Maßnahmen (TOMs) dokumentiert, abrufbar unter doctrend.de/toms.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten, insbesondere bei:

• Sicherheit der Verarbeitung,

• Meldung von Datenschutzverletzungen,

• Datenschutz-Folgenabschätzungen,

• vorherige Konsultation der Aufsichtsbehörde.

(5) Nach Abschluss der Verarbeitung:

• (a) gibt der Auftragsverarbeiter dem Verantwortlichen sämtliche personenbezogenen Daten in dem in § 18.2 des Hauptvertrags beschriebenen Format (HTML und/oder JSON) zurück,

• (b) löscht der Auftragsverarbeiter nach erfolgter Rückgabe oder auf Weisung des Verantwortlichen sämtliche personenbezogenen Daten innerhalb von dreißig (30) Tagen und bestätigt die Löschung in Textform,

• (c) bleiben gesetzliche Aufbewahrungspflichten unberührt; in diesem Fall werden die betreffenden Daten bis zum Ablauf der Aufbewahrungspflicht gesperrt und anschließend gelöscht.

(6) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen.

(7) Der Auftragsverarbeiter benennt folgende Kontaktstelle für Datenschutzanfragen: datenschutz@doctrend.de. Soweit ein Datenschutzbeauftragter bestellt ist, teilt der Auftragsverarbeiter dessen Kontaktdaten dem Verantwortlichen gesondert mit.

§ 7 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Verantwortliche erteilt alle Weisungen zur Datenverarbeitung in der Regel über die Funktionen der Plattform. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen einer gesonderten Vereinbarung.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Verantwortliche benennt dem Auftragsverarbeiter eine Kontaktadresse für die Meldung von Datenschutzverletzungen gemäß § 10.

§ 7a Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Anfragen betroffener Personen gemäß Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Erhält der Auftragsverarbeiter eine Anfrage einer betroffenen Person direkt, leitet er diese unverzüglich, spätestens innerhalb von zwei (2) Werktagen, an den Verantwortlichen weiter.

(3) Der Auftragsverarbeiter beantwortet Anfragen betroffener Personen nicht eigenständig, es sei denn, der Verantwortliche hat ihn hierzu ausdrücklich schriftlich ermächtigt.

(4) Die Unterstützung umfasst insbesondere:

• Bereitstellung der beim Auftragsverarbeiter gespeicherten Daten der betroffenen Person,

• Umsetzung von Löschungs- oder Berichtigungsanfragen innerhalb der Plattform,

• technische Unterstützung bei der Datenübertragbarkeit.

§ 8 Weisungen

(1) Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen.

(2) Weisungen sind in der Regel über die Plattform oder in Textform (E-Mail) zu erteilen.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Weisungen und deren Durchführung werden vom Auftragsverarbeiter dokumentiert und für die Dauer des Vertrags zuzüglich drei (3) Jahre aufbewahrt.

§ 9 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen.

(2) Die aktuell eingesetzten Unterauftragsverarbeiter sind unter doctrend.de/subunternehmer einsehbar. Die Liste enthält für jeden Unterauftragsverarbeiter:

• Name und Anschrift,

• Art der Leistung,

• Ort der Verarbeitung,

• Rechtsgrundlage für Drittlandtransfers (soweit anwendbar).

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens vierzehn (14) Tagen vor der geplanten Änderung. Der Verantwortliche kann gegen solche Änderungen innerhalb dieser Frist Einspruch erheben.

(4) Bei Einsatz von Unterauftragsverarbeitern stellt der Auftragsverarbeiter vertraglich sicher, dass diese mindestens die gleichen Datenschutzpflichten einhalten wie in diesem AVV festgelegt.

(5) Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten durch Unterauftragsverarbeiter verantwortlich.

§ 10 Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen ohne unangemessene Verzögerung, spätestens jedoch innerhalb von vierundzwanzig (24) Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

(2) Die Meldung erfolgt per E-Mail an die vom Verantwortlichen gemäß § 7 Abs. 4 benannte Kontaktadresse und enthält mindestens:

• eine Beschreibung der Art der Verletzung,

• die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze,

• den Namen und die Kontaktdaten der Anlaufstelle beim Auftragsverarbeiter,

• eine Beschreibung der wahrscheinlichen Folgen,

• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

(3) Soweit nicht alle Informationen gleichzeitig bereitgestellt werden können, erfolgt die Meldung in Phasen ohne unangemessene weitere Verzögerung.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).

(5) Der Auftragsverarbeiter dokumentiert alle Datenschutzverletzungen einschließlich der zugrunde liegenden Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen.

§ 11 Überprüfungen und Audits

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses AVV zu überprüfen, insbesondere durch Einholung von Auskünften und Einsichtnahme in Zertifikate der eingesetzten Unterauftragsverarbeiter (z.B. SOC 2, ISO 27001).

(2) Der Auftragsverarbeiter stellt die erforderlichen Informationen auf Anfrage in angemessener Frist zur Verfügung.

(3) Die Ergebnisse von Überprüfungen werden vertraulich behandelt, es sei denn, eine Offenlegung ist gesetzlich vorgeschrieben.

§ 12 Haftung

(1) Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen sowie den Regelungen des Hauptvertrags (AGB).

(2) Gegenüber betroffenen Personen haftet jede Partei für den Schaden, den sie durch eine nicht DSGVO-konforme Verarbeitung verursacht hat (Art. 82 DSGVO).

(3) Hat eine Partei Schadensersatz für den gesamten Schaden gezahlt, ist sie berechtigt, von der anderen Partei den Teil des Schadensersatzes zurückzufordern, der deren Anteil an der Verantwortung für den Schaden entspricht.

§ 13 Laufzeit und Beendigung

(1) Dieser AVV gilt für die Dauer des Hauptvertrags.

(2) Bei Beendigung des Hauptvertrags gelten die Regelungen des § 6 Abs. 5 dieses AVV.

(3) Rechte und Pflichten, die ihrer Natur nach über die Beendigung hinaus fortbestehen (insbesondere Vertraulichkeit, Löschung, Dokumentationsaufbewahrung), bleiben unberührt.

Stand: 5. Oktober 2026