gemäß Art. 28 DSGVO
zwischen
[Name des Optikbetriebs, Anschrift]
— nachfolgend "Verantwortlicher" —
und
vertiq Software UG (haftungsbeschränkt), Eichenau
handelnd unter der Marke "Occuly"
— nachfolgend "Auftragsverarbeiter" —
zusammen die "Parteien"
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software "Occuly" (Praxisverwaltungssoftware für Augenoptiker) gemäß dem zwischen den Parteien geschlossenen Occuly-Abonnementvertrag ("Hauptvertrag").
(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, vorbehaltlich der Regelungen zu Löschung/Rückgabe in § 9.
(1) Art und Zweck der Verarbeitung: Bereitstellung der Occuly-Software zur Verwaltung von Kundendaten, Terminen, Sehwerten/Anamnese, Aufträgen, Rechnungen und Marketing-Kommunikation des Verantwortlichen.
(2) Art der personenbezogenen Daten:
(3) Kreis der betroffenen Personen: Kunden des Verantwortlichen sowie dessen Mitarbeitende, soweit sie die Software nutzen.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet.
(2) Dieser Vertrag sowie die durch die bestimmungsgemäße Nutzung der Software vorgesehenen Funktionen gelten als dokumentierte Erstweisung. Der Verantwortliche kann weitere Weisungen in Textform (auch per E-Mail) erteilen.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.
Der Auftragsverarbeiter gewährleistet:
(1) Vertraulichkeit: Personen, die zur Verarbeitung befugt sind, wurden zur Vertraulichkeit verpflichtet.
(2) Technische und organisatorische Maßnahmen (TOMs): Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen gemäß Art. 32 DSGVO, insbesondere: Verschlüsselung der Daten (Transportverschlüsselung TLS, Verschlüsselung ruhender Daten), technisch erzwungene Mandantentrennung zwischen Kunden des Auftragsverarbeiters, rollenbasierte Zugriffskontrollen, Speicherung ausschließlich auf Servern innerhalb der EU.
(3) Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit).
(4) Unterstützung bei Sicherheitspflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), soweit diese Pflichten die Verarbeitung im Rahmen dieses Vertrages betreffen.
(5) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung.
(6) Nachweispflicht: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen (Hinzuziehung/Austausch von Unterauftragsverarbeitern). Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem, sachlich begründetem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
(3) Der Auftragsverarbeiter stellt sicher, dass mit jedem Unterauftragsverarbeiter Datenschutzverpflichtungen vereinbart werden, die den Verpflichtungen aus diesem Vertrag im Wesentlichen entsprechen.
Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag festgelegten Pflichten des Auftragsverarbeiters zu überzeugen. Der Auftragsverarbeiter stellt hierfür auf Anfrage geeignete Nachweise (z. B. Selbstauskünfte, verfügbare Zertifizierungen der eingesetzten Unterauftragsverarbeiter) zur Verfügung. Vor-Ort-Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Frist und auf Kosten des Verantwortlichen.
Soweit im Rahmen der Beauftragung von Unterauftragsverarbeitern eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR erfolgt, stellt der Auftragsverarbeiter sicher, dass hierfür geeignete Garantien (insbesondere EU-Standardvertragsklauseln) bestehen.
Weisungsberechtigt beim Verantwortlichen ist die im Occuly-Kundenkonto hinterlegte Inhaber-/Ansprechperson. Beim Auftragsverarbeiter nimmt die Geschäftsführung der vertiq Software UG (haftungsbeschränkt) Weisungen entgegen.
Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Fristen, GoBD) entgegenstehen. Auf Anfrage des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende stellt der Auftragsverarbeiter eine Exportmöglichkeit der Daten in einem gängigen Format bereit.
Es gelten die gesetzlichen Haftungsregelungen der Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrages.
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt deutsches Recht.
(Zusammenfassung)
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Supabase Pte. Ltd. | Datenbank- und Hosting-Infrastruktur | EU (Frankfurt), Unternehmenssitz Singapur |
| Resend, Inc. | Transaktionaler E-Mail-Versand | USA (San Francisco) — auf Basis von EU-Standardvertragsklauseln |
| OpenAI Ireland Limited | KI-gestützte Funktionen (Texte, Antwortentwürfe, Auswertungen, Erfassung per Foto oder Sprache, Zusammenfassungen, Glasberatung) | Irland; Verarbeitung teilweise durch OpenAI, L.L.C. in den USA |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Abo-Zahlungen) | EU (Irland), ggf. Weiterleitung an Stripe, Inc. (USA) auf Basis von EU-Standardvertragsklauseln |
Weitere Angaben zu OpenAI: Übermittelt werden nur die Daten, die die jeweilige Funktion braucht:
Rechtsgrundlage der Übermittlung ist ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln. Die Nutzung der Daten zum Training der Modelle ist ausgeschlossen.