Auftragsverarbeitungsvertrag

1. Parteien und Annahme

Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen SIMILIA LTD, mit eingetragener Anschrift 71–75 Shelton Street, Covent Garden, London, Vereinigtes Königreich, WC2H 9JQ (Similia), und dem im elektronischen Annahmenachweis genannten Behandler, der dort genannten Klinik oder einer anderen dort genannten Organisation (Kunde) geschlossen.

Die annehmende Person bestätigt, dass sie befugt ist, den Kunden rechtlich zu binden. Ist ein Behandler persönlich und nicht über eine eigenständige juristische Person tätig, ist dieser Behandler der Kunde. Der Annahmenachweis nennt den Kunden, den Vertreter, das authentifizierte Konto, die angenommene Version des AVV und die zugehörigen Anlagen sowie das Annahmedatum. Similia stellt eine Kopie dieses Nachweises und der vereinbarten Dokumente bereit.

Sobald der Kunde das Angebot von Similia zum Abschluss dieses AVV über den Aktivierungsprozess für Patientendaten annimmt, sind beide Parteien daran gebunden. Dieser AVV wird Bestandteil des Dienstleistungsvertrags und gilt für die nachfolgend beschriebene Verarbeitung. Er muss nicht für jeden Patienten oder Fall erneut angenommen werden. Die Annahme gilt für die Nutzung durch den genannten Kunden über das im Nachweis angegebene Konto. Sie gilt nicht automatisch für andere Kontoinhaber. Ein anderer Kunde benötigt einen eigenen Vertrag.

2. Anwendungsbereich und Rollen

„Patientendaten des Kunden“ bezeichnet personenbezogene Informationen, die vom oder für den Kunden über Patienten und in deren Akten erwähnte Personen übermittelt werden, einschließlich daraus abgeleiteter identifizierbarer Informationen. Dazu gehören Gesundheitsnotizen, Symptome, Krankengeschichten, Kontaktdaten, Fotografien, Aufzeichnungen, Transkripte und Analyseergebnisse. Informationen, die über eine Kennung oder andere mit vertretbarem Aufwand verfügbare Informationen mit einem Patienten verknüpft sind, fallen weiterhin darunter.

Der Kunde bestimmt die Zwecke dieser Verarbeitung und handelt als Verantwortlicher. Similia verarbeitet Patientendaten des Kunden im Auftrag des Kunden als Auftragsverarbeiter. Die Beschreibung der Verarbeitung befindet sich in Anlage A.

Handelt der Kunde selbst als Auftragsverarbeiter für einen anderen Verantwortlichen, gilt dieser AVV für Similia als dessen Unterauftragsverarbeiter. Der Kunde muss von diesem Verantwortlichen befugt sein, Similia zu beauftragen und die in diesem AVV enthaltenen Weisungen und Genehmigungen zu erteilen; Verweise auf Pflichten des Verantwortlichen gelten für den Kunden im Umfang seiner Verantwortlichkeiten und autorisierten Weisungen.

Die gesonderte Verarbeitung von Konto-, Abrechnungs- und Geschäftsverwaltungsinformationen durch Similia für eigene Zwecke wird in seiner Datenschutzerklärung beschrieben. Diese Rolle berechtigt Similia nicht dazu, Patientendaten des Kunden für eigene Zwecke zu verwenden. Dieser AVV gilt nicht für das Durchsuchen von Referenzinhalten oder für vollständig fiktives oder wirksam anonymisiertes Studienmaterial, wobei die allgemeinen Datenschutzpflichten für Kontodaten fortbestehen.

„Anwendbares Datenschutzrecht“ bezeichnet die für die jeweilige Partei und Verarbeitung geltenden Gesetze über personenbezogene Daten, einschließlich der UK GDPR, des britischen Data Protection Act 2018 und, soweit anwendbar, der EU-DSGVO. Die internationale Verwendung dieses einheitlichen AVV führt für sich genommen nicht dazu, dass jeder Kunde der EU- oder UK GDPR unterliegt.

3. Weisungen und zulässige Nutzung

Similia verarbeitet Kundenpatientendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich Weisungen zu Übermittlungen. Der Dienstleistungsvertrag, diese DPA, die ausgewählten Funktionen und die autorisierten Handlungen innerhalb des Dienstes stellen diese Weisungen dar. Zusätzliche Weisungen können schriftlich vereinbart werden.

Similia informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen geltendes Datenschutzrecht des Vereinigten Königreichs, der EU oder eines Mitgliedstaats verstößt, und setzt die betreffende Weisung bis zur Klärung aus.

Ist eine Verarbeitung über diese Weisungen hinaus nach geltendem Recht des Vereinigten Königreichs, der EU oder eines Mitgliedstaats erforderlich, benachrichtigt Similia den Kunden vor der Verarbeitung, sofern dieses Recht eine Benachrichtigung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Andere behördliche Auskunftsverlangen werden nach dem anwendbaren Recht und den Schutzmaßnahmen für Datenübermittlungen beurteilt; sie begründen keine allgemeine Ausnahme von dieser DPA.

Kundenpatientendaten werden weder verkauft noch für Werbung oder zum Trainieren beziehungsweise Feinabstimmen von KI-Modellen verwendet. Similia gestattet seinen Unterauftragsverarbeitern nicht, sie für diese Zwecke zu verwenden. Die KI-Verarbeitung ist auf die autorisierte Funktion sowie auf die in Anlage C offengelegten Anbieter, Zwecke und Aufbewahrungsregelungen beschränkt. Diese Klausel verspricht nicht, dass jeder Anbieter die Daten überhaupt nicht speichert.

4. Verantwortlichkeiten des Kunden

Der Kunde ist für die rechtmäßige Erhebung, Verwendung und Offenlegung von Kundenpatientendaten, angemessene Patienteninformationen, Datenminimierung sowie den autorisierten Zugriff und die autorisierte Weitergabe verantwortlich. Soweit anwendbar, muss er eine Rechtsgrundlage gemäß Artikel 6 und eine Voraussetzung gemäß Artikel 9 für Gesundheitsdaten bestimmen sowie die einschlägigen Anforderungen an die Vertraulichkeit und nach nationalem Recht erfüllen.

Der Kunde muss eine Einwilligung einholen, sofern diese erforderlich ist. Die Annahme dieser DPA oder die Aktivierung einer KI-Funktion stellt keine Einwilligung des Patienten dar. Studierende müssen bei der Verwendung von Patienteninformationen einer Praxis oder Institution im Rahmen der ihnen von der verantwortlichen Praxis oder Institution erteilten Befugnisse handeln; ein Studierendenkonto allein verleiht keine solche Befugnis.

Diese Verantwortlichkeiten lassen die eigenen gesetzlichen oder vertraglichen Verpflichtungen von Similia unberührt.

5. Vertraulichkeit und Sicherheit

Similia beschränkt den Zugriff auf Personen, die ihn für die vereinbarte Verarbeitung benötigen und vertraglichen oder gesetzlichen Vertraulichkeitspflichten unterliegen.

Similia unterhält gemäß Anlage B technische und organisatorische Maßnahmen, die den Risiken, einschließlich der Sensibilität von Gesundheitsdaten, angemessen sind. Diese betreffen die Zugriffskontrolle, Verschlüsselung, Widerstandsfähigkeit und Wiederherstellung, die Behandlung von Sicherheitsvorfällen sowie die regelmäßige Bewertung der Schutzmaßnahmen. Wesentliche Änderungen dürfen das vereinbarte Schutzniveau nicht verringern.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die in Anlage C beschriebenen Unterauftragsverarbeiter, vorbehaltlich der dort festgelegten Offenlegungspflichten, die angegebene Verarbeitung durchzuführen. Similia wird eine geplante Hinzuziehung oder Ersetzung mindestens 30 Tage im Voraus schriftlich ankündigen und dabei ausreichende Informationen zur Beurteilung ihrer Auswirkungen bereitstellen.

Der Kunde kann innerhalb dieses Zeitraums aus berechtigten Datenschutzgründen Widerspruch einlegen. Die Parteien werden sich um eine Alternative oder geeignete Garantien bemühen. Der geplante Unterauftragsverarbeiter erhält keine Daten dieses Kunden, solange dessen fristgerecht erhobener Widerspruch nicht geklärt ist. Ist keine Lösung möglich, kann jede Partei die betroffene Funktion oder Dienstleistung beenden; der Kunde kann seine Daten abrufen und erhält eine anteilige Erstattung nicht verbrauchter vorausbezahlter Gebühren für die eingestellte Dienstleistung.

Similia wird jedem Unterauftragsverarbeiter durch einen verbindlichen Vertrag gleichwertige einschlägige Datenschutzpflichten auferlegen und bleibt gegenüber dem Kunden für die Leistung seines Unterauftragsverarbeiters verantwortlich. Das KI-Routing stellt keine pauschale Genehmigung für nicht offengelegte nachgelagerte Anbieter dar.

7. Internationale Verarbeitung

Similia wird die betreffenden Länder der Verarbeitung und des Zugriffs sowie die gemäß Anlage C geltenden Übermittlungsregelungen offenlegen, bevor die betroffene Verarbeitung beginnt. Bevor eine Übermittlung stattfindet, die Schutzmaßnahmen erfordert, wird die verantwortliche Partei den erforderlichen Mechanismus sowie alle notwendigen Bewertungen und ergänzenden Maßnahmen einrichten. Similia bleibt für Übermittlungen verantwortlich, die es an seine Unterauftragsverarbeiter veranlasst.

Soweit anwendbar, können die Schutzmaßnahmen einen gültigen Angemessenheitsbeschluss, vollständig abgeschlossene EU-Standardvertragsklauseln für Datenübermittlungen oder ein anwendbares britisches Instrument für internationale Datenübermittlungen umfassen. Diese müssen die tatsächliche Übermittlung und die beteiligten Parteien abdecken; dieser AVV allein ersetzt keine fehlenden Übermittlungsklauseln. Auch der Fernzugriff aus einem anderen Land muss berücksichtigt werden.

8. Unterstützung und Vorfälle

Unter Berücksichtigung der Art der Verarbeitung wird Similia angemessene Unterstützung leisten, damit der Kunde Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und die Ausübung anderer anwendbarer Rechte betroffener Personen beantworten kann. Similia wird Anträge von Patienten bezüglich der Patientendaten des Kunden unverzüglich an den Kunden weiterleiten und darüber weder eigenständig entscheiden noch sie eigenständig erfüllen, außer auf Anweisung oder soweit gesetzlich vorgeschrieben.

Unter Berücksichtigung der ihm zur Verfügung stehenden Informationen wird Similia bei der Erfüllung von Sicherheitspflichten, der Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen sowie erforderlichen vorherigen Konsultationen mit Aufsichtsbehörden unterstützen.

Similia wird den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen, die Patientendaten des Kunden betrifft. Die erste Benachrichtigung wird nicht bis zum Abschluss einer vollständigen Untersuchung aufgeschoben. Die verfügbaren Informationen werden die Art des Vorfalls, die betroffenen Daten und Personen, die wahrscheinlichen Folgen, die ergriffenen Gegenmaßnahmen sowie eine Kontaktstelle umfassen; weitere Informationen werden nachgereicht, sobald sie verfügbar sind. Der Kunde bleibt für seine eigenen Entscheidungen und Fristen bezüglich Benachrichtigungen verantwortlich, unbeschadet der unmittelbaren Pflichten von Similia.

Benachrichtigungen an den Kunden werden an den im Annahmenachweis angegebenen Datenschutzkontakt oder an einen schriftlich mitgeteilten Ersatzkontakt gerichtet. Datenschutzanfragen, Vorfallmeldungen und Mitteilungen an Similia sind an info@similia.io zu senden. Similia wird diesen Kontakt überwachen und Anfragen an die zuständigen Personen weiterleiten.

9. Rückgabe, Löschung und Dauer

Der AVV gilt fort, solange Similia Patientendaten des Kunden für den Kunden verarbeitet, einschließlich geschützter Restkopien nach Beendigung der Dienstleistung.

Nach Beendigung der betreffenden Verarbeitungsdienste kann der Kunde zwischen der Rückgabe mit anschließender Löschung oder der Löschung der Patientendaten des Kunden wählen. Similia wird bestehende Kopien löschen, sofern das anwendbare Recht des Vereinigten Königreichs, der EU oder eines Mitgliedstaats keine Speicherung vorschreibt. Export, Löschung und der Umgang mit Restkopien richten sich nach Anlage B.

Restkopien bleiben geschützt, stehen für die gewöhnliche Nutzung der Dienstleistung nicht zur Verfügung und werden im nächsten anwendbaren planmäßigen Löschzyklus gelöscht. Wird eine Sicherungskopie zur Wiederherstellung eingespielt, werden bereits ausgeführte Löschanweisungen erneut angewendet, bevor die wiederhergestellten Daten wieder in die gewöhnliche Nutzung übergehen. Similia wird auf Anfrage eine Bestätigung über den Abschluss bereitstellen.

Informationen über Patienten werden nicht aufgrund einer allgemeinen Ausnahme für Dienstverbesserungen, gemeinsam genutzte Inhalte oder De-Identifizierung aufbewahrt. Jeder andere Verarbeitungszweck bedarf einer eigenen gültigen gesetzlichen und vertraglichen Grundlage.

10. Rechenschaftspflicht, Audits und Änderungen

Similia wird die erforderlichen Informationen bereitstellen, um die Einhaltung seiner Pflichten als Auftragsverarbeiter nachzuweisen, und Prüfungen durch den Kunden, einschließlich Inspektionen durch einen bevollmächtigten unabhängigen Prüfer, ermöglichen und dazu beitragen. Soweit ausreichend, können zunächst einschlägige Berichte und im Fernzugriff bereitgestellte Nachweise verwendet werden; sie beseitigen nicht das Recht auf eine Inspektion, wenn diese erforderlich ist. Angemessene Vorkehrungen müssen die Daten anderer Kunden und die Sicherheit der Dienstleistung schützen, ohne eine wirksame Aufsicht oder die Tätigkeit von Aufsichtsbehörden zu behindern.

Steht dieser AVV hinsichtlich der Patientendaten des Kunden im Widerspruch zu den allgemeinen Bedingungen, hat dieser AVV Vorrang. Anwendbare zwingende Übermittlungsklauseln haben Vorrang vor entgegenstehenden Bestimmungen. Nichts beschränkt gesetzliche Verantwortlichkeiten oder die Rechte betroffener Personen.

Änderungen dieses AVV erfordern eine direkte Benachrichtigung und einen gültigen Vereinbarungsmechanismus, bevor sie wirksam werden. Das bloße Ersetzen der veröffentlichten Seite reicht nicht aus. Änderungen bei Unterauftragsverarbeitern richten sich nach Klausel 6. Dieser AVV unterliegt dem Recht von England und Wales, und die dortigen Gerichte sind zuständig, vorbehaltlich zwingender Datenschutzgesetze, gesetzlicher Rechte betroffener Personen und der Anforderungen aus Übermittlungsklauseln. Die angenommene Sprachfassung und ihre Anlagen werden im Annahmenachweis aufbewahrt.

Anlage A — Beschreibung der Verarbeitung

Anlage B — Sicherheit und Aufbewahrung

Similia wird die folgenden Maßnahmen für Patientendaten des Kunden umsetzen und aufrechterhalten. Diese Verpflichtungen gelten für die eigenen Systeme von Similia und, durch angemessene vertragliche und technische Kontrollen, für die von Similia beauftragten Dienste.

Aktive Aufzeichnungen und Rückgabe. Aufzeichnungen bleiben verfügbar, solange der Kunde die Dienstleistung nutzt, bis der Kunde die Löschung anweist oder die betreffende Verarbeitung endet. Der Kunde kann Kontodaten im verfügbaren maschinenlesbaren Format exportieren und aufbewahrte Anhänge abrufen. Similia wird bei Rückgabeanfragen unterstützen, die mit den Exportwerkzeugen nicht erfüllt werden können. Bei Beendigung wird Similia eine angemessene Gelegenheit zum Erhalt der Daten bieten, bevor diese gelöscht werden, es sei denn, der Kunde hat die sofortige Löschung angewiesen oder eine Rückgabe ist gesetzlich untersagt.

Löschung. Eine authentifizierte Löschung einer Aufzeichnung oder eines Kontos weist Similia an, die betroffenen Daten aus der aktiven Nutzung der Dienstleistung zu entfernen. Similia wird die Löschung aus aktiven Systemen unverzüglich abschließen und die Anweisung an die betreffenden Unterauftragsverarbeiter weitergeben. Gelöschte Objekte in Google Cloud Storage können bis zu sieben Tage in einem zugriffsbeschränkten Speicher für vorläufig gelöschte Daten verbleiben. Dieser Zeitraum betrifft diese Objekte und beschreibt nicht die Aufbewahrung in sämtlichen Systemen.

Restkopien. Sicherungskopien, Notfallwiederherstellungskopien und Sicherheitsaufzeichnungen von Anbietern, die nicht sofort selektiv gelöscht werden können, müssen der gewöhnlichen Nutzung entzogen, weiterhin geschützt und so bald wie möglich im nächsten anwendbaren Löschzyklus gelöscht werden. Similia wird jeden anwendbaren Aufbewahrungszeitraum dokumentieren, dem Kunden die entsprechenden Einzelheiten zur Verfügung stellen und sicherstellen, dass jede Verzögerung notwendig und verhältnismäßig ist. Similia wird die Löschung auf Anfrage bestätigen. Jede gesetzlich vorgeschriebene Speicherung wird auf die gesetzlich erforderlichen Daten und den gesetzlich erforderlichen Zeitraum beschränkt, wobei der Grund offengelegt wird, sofern dies nicht gesetzlich untersagt ist.

Audio, Bilder und KI. Es dürfen nur die für die ausgewählte Funktion benötigten Inhalte weitergeleitet werden. Vorab aufgezeichnete Audioaufnahmen von Arzneimittelprüfungen werden nur vorübergehend gespeichert und nach der Transkription aus dem aktiven Speicher entfernt; das gelöschte Speicherobjekt unterliegt der oben beschriebenen Behandlung vorläufig gelöschter Daten. Gespeicherte Transkripte, Bilder und Analyseergebnisse unterliegen den Anweisungen des Kunden für Aufzeichnungen. Die anbieterseitige Aufbewahrung zu Sicherheits- oder Betriebszwecken muss begrenzt und offengelegt sein sowie den Pflichten für Unterauftragsverarbeiter unterliegen; dieser AVV gestattet weder das Training noch eine zweckfremde Weiterverwendung und verspricht keine universelle Aufbewahrungsdauer von null.

Anlage C — Dienstleister und Verarbeitung

Der Kunde erteilt Similia eine allgemeine schriftliche Genehmigung, gemäß Ziffer 6 Dienste im nachstehend beschriebenen Umfang zu beauftragen. Dies stellt keine Genehmigung einer nicht offengelegten Verarbeitungskette dar. Bevor ein Dienst Kundenpatientendaten erhält, wird Similia dem Kunden die Identität und Kontaktdaten des vertragsschließenden Rechtsträgers, den Zweck, die Verarbeitungs- und Zugriffsländer, die geltenden Aufbewahrungsregelungen sowie alle erforderlichen Garantien für Datenübermittlungen mitteilen. Similia wird diese Informationen für die Verarbeitungskette einschließlich nachgelagerter Anbieter auf dem neuesten Stand halten und leicht zugänglich machen. Änderungen erfolgen gemäß Ziffer 6.

Die Nutzung einer optionalen Funktion gilt als Anweisung für die zur Bereitstellung dieser Funktion erforderliche Verarbeitung. Sie stellt keine Befugnis für zusätzliche Zwecke dar. Similia wird Kundenpatientendaten nicht allein deshalb an einen optionalen KI- oder Transkriptionsdienst übermitteln, weil der Kunde diesem DPA zugestimmt hat.

Hosting, Modellverarbeitung und autorisierter Supportzugriff können internationale Datenübermittlungen umfassen. Die Marke eines Anbieters oder der Standort einer Datenbank gibt keinen Aufschluss darüber, wo jeder einzelne Verarbeitungsvorgang stattfindet. Similia muss die tatsächlichen Standorte und die nachgelagerte Verarbeitung vor der Übermittlung gemäß Ziffer 7 offenlegen und rechtmäßig absichern.

Der Datenschutzkontakt von Similia ist info@similia.io. Die rechtliche Identität, Anschrift, das Land, der bevollmächtigte Vertreter und der Datenschutzkontakt des Kunden werden bei der Annahme erfasst. Patientendaten dürfen in diesem Datensatz nicht enthalten sein.