Auftragsverarbeitungsvertrag

Dieser Vertrag wird geschlossen zwischen dem Zentrum oder der Fachkraft, die Daten in ProABA einträgt (nachfolgend „Verantwortlicher“), und der Einzelunternehmerin (ukrainische FOP) Yuliia Anatoliivna Lastovetska, die den Dienst ProABA erbringt (nachfolgend „Auftragsverarbeiter“), Kontaktadresse julia.lastovetska@gmail.com.

Der Verantwortliche entscheidet, wessen Daten eingetragen werden und zu welchem Zweck. Der Auftragsverarbeiter speichert diese Daten auf Weisung des Verantwortlichen und zeigt sie an; er verwendet sie nicht für eigene Zwecke.

Der Vertrag tritt in Kraft, sobald der Inhaber des Zentrums ihn in der Anwendung akzeptiert, und gilt, solange das Zentrum ProABA nutzt.

Der Auftragsverarbeiter speichert und verarbeitet Daten ausschließlich, damit der Verantwortliche Förderprogramme für seine Schüler durchführen kann: Ziele anlegen, Proben erfassen, ein Verhaltensprotokoll führen, Berichte erstellen und Online-Sitzungen durchführen.

Die Verarbeitung dauert an, solange der Verantwortliche ein Konto bei ProABA hat. Nach Vertragsende bleiben die Daten weitere 90 Tage zum Export verfügbar; danach werden sie auf Verlangen des Verantwortlichen gelöscht.

Der Auftragsverarbeiter trifft keine Entscheidungen über Kinder, erbringt keine Therapie und greift nicht in den Inhalt der Programme ein.

Betroffene Personen: Kinder, die vom Verantwortlichen therapeutisch betreut werden; ihre Eltern oder Erziehungsberechtigten; die Fachkräfte und Kuratoren des Verantwortlichen.

Daten der Kinder: Vor- und Nachname oder Code, Geburtsdatum, Geschlecht, Diagnose und klinische Notizen, Adresse und Kontaktdaten der Eltern, Therapieziele, Ergebnisse von Proben, Beobachtungen, Foto- und Audiomaterial sowie Video von Online-Sitzungen, solange diese stattfinden.

Daten der Fachkräfte: E-Mail-Adresse, Vor- und Nachname, Rolle im Zentrum, gewählte Sprache, technische Anmeldeprotokolle.

Gesundheitsdaten eines Kindes gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Der Verantwortliche bestätigt, dass ihm für deren Verarbeitung die schriftliche Einwilligung der Eltern oder Erziehungsberechtigten vorliegt.

Der Auftragsverarbeiter verpflichtet sich:

Daten nur auf dokumentierte Weisung des Verantwortlichen und nur in dem Umfang zu verarbeiten, der für den Betrieb des Dienstes erforderlich ist;

sicherzustellen, dass nur Personal Zugriff hat, das ihn benötigt, und dass dieses Personal zur Vertraulichkeit verpflichtet ist;

den Verantwortlichen bei der Beantwortung von Anträgen der Eltern auf Wahrnehmung ihrer Rechte zu unterstützen: Auskunft, Berichtigung, Löschung und Erhalt einer Kopie;

dem Verantwortlichen jederzeit zu ermöglichen, alle seine Daten in gewöhnlichen Dateien zu exportieren, ohne sich dafür an den Auftragsverarbeiter wenden zu müssen;

den Verantwortlichen zu informieren, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Beauftragung von Unterauftragsverarbeitern. Der Auftragsverarbeiter haftet für deren Handlungen wie für eigene und schließt mit jedem von ihnen einen Vertrag, der nicht weniger streng ist als dieser.

Zum Stand dieser Fassung sind folgende Unterauftragsverarbeiter beauftragt:

Supabase Inc. (USA; Datenhaltung in der EU-Region, Irland) - Datenbank, Dateispeicher und Authentifizierung. Erhält alle vom Verantwortlichen eingetragenen Daten.

Vercel Inc. (USA) - Hosting der Anwendung. Erhält technische Anfragedaten: IP-Adresse, Browsertyp, aufgerufene Seiten.

Daily.co (USA; Server in der EU und in den USA je nach Verbindung) - Video und Audio für Online-Sitzungen. Erhält den Datenstrom der Sitzung, solange sie läuft. Eine Aufzeichnung wird nur mit gesonderter Einwilligung der Teilnehmer eingeschaltet.

Resend Inc. (USA) - Versand von Service-E-Mails. Erhält die E-Mail-Adresse und den Namen des Empfängers.

Der KI-Assistent (Google, Gemini API) erhält nur den Text der Fragen der Nutzer und den Namen der Ansicht; die vom Verantwortlichen eingetragenen Daten erhält er nicht.

Der Auftragsverarbeiter informiert den Verantwortlichen über jeden Austausch und jede Hinzunahme eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail an den Inhaber der Organisation. Innerhalb dieser Frist kann der Verantwortliche Einspruch erheben; einigen sich die Parteien nicht, kann der Verantwortliche diesen Vertrag kündigen.

Der Auftragsverarbeiter trifft dem Risiko angemessene technische und organisatorische Maßnahmen:

Verschlüsselung der Daten bei der Übertragung (TLS/HTTPS) und im Ruhezustand;

Zugriffskontrolle auf Zeilenebene in der Datenbank, sodass eine Fachkraft nur die Schüler sieht, auf die ihr Zugriff gewährt wurde;

ein Audit-Protokoll, aus dem hervorgeht, wer klinische Einträge wann geändert hat;

tägliche Sicherungskopien mit Prüfung ihrer Integrität;

ein gesonderter Nur-Lese-Modus für Eltern, der auf Datenbankebene durchgesetzt wird und nicht nur in der Oberfläche.

Im Fall einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist.

Die Meldung enthält die Art der Verletzung, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

Die Pflicht zur Meldung an die Aufsichtsbehörde und zur Benachrichtigung der Eltern liegt beim Verantwortlichen. Der Auftragsverarbeiter stellt alle dafür erforderlichen Informationen bereit.

Der Verantwortliche kann jederzeit alle seine Daten aus der Anwendung exportieren: fertige Dokumente zu jedem Schüler, die ursprünglich hochgeladenen Dateien und einen vollständigen maschinenlesbaren Export.

Nach Vertragsende bleiben die Daten weitere 90 Tage zum Export verfügbar. Danach gibt der Auftragsverarbeiter sie nach Wahl des Verantwortlichen zurück oder löscht sie.

Sicherungskopien werden für einen begrenzten Zeitraum aufbewahrt und planmäßig überschrieben. Nach einer Löschung auf Verlangen des Verantwortlichen werden daraus keine Daten wiederhergestellt, es sei denn, eine Aufbewahrung ist gesetzlich vorgeschrieben.

Gesondert: Der Verantwortliche kann einen Schüler ins Archiv verschieben. Archivierte Daten werden so lange aufbewahrt, wie es der Ethikkodex für Verhaltensanalytiker verlangt, und zählen nicht zum Limit des Tarifs.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

Der Verantwortliche kann höchstens einmal jährlich mit einer Ankündigungsfrist von 30 Tagen ein Audit durchführen oder einen unabhängigen Prüfer damit beauftragen. Ein Audit darf die Vertraulichkeit der Daten anderer Kunden nicht gefährden.

Die Kosten des Audits trägt der Verantwortliche, es sei denn, das Audit deckt einen Verstoß des Auftragsverarbeiters auf.

Klinische Daten werden in der EU-Region gespeichert. Einzelne in Abschnitt 5 genannte Unterauftragsverarbeiter haben ihren Sitz in den USA und erhalten einen Teil der Daten.

Solche Übermittlungen erfolgen auf der Grundlage der Standardvertragsklauseln der Europäischen Kommission oder, für nach dem EU-U.S. Data Privacy Framework zertifizierte Dienste, auf der Grundlage dieses Angemessenheitsbeschlusses.

Der Auftragsverarbeiter legt Behörden von Drittländern keine Daten offen, es sei denn, dies ist gesetzlich vorgeschrieben, und informiert den Verantwortlichen über jede solche Anforderung, sofern ihm dies nicht untersagt ist.