Datenschutzvertrag
Vereinbarung zur Auftragsverarbeitung
gemäß Art. 28 DSGVO · Stand: 3. November 2026
1. Vertragsparteien
Auftragsverarbeiter: Niklas Müller, 's-Heerenberger Straße 201, 46446 Emmerich am Rhein, kontakt@praxislager.info.
Verantwortlicher: die im PraxisLager-Konto bezeichnete Praxis oder medizinische Einrichtung. Diese Vereinbarung wird Bestandteil des Nutzungsvertrags, sobald die Praxis sie bei Registrierung oder Vertragsschluss elektronisch annimmt.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist die Bereitstellung der webbasierten Lagerverwaltung PraxisLager für die Laufzeit des Nutzungsvertrags. Verarbeitet werden Daten ausschließlich zur Authentifizierung, Benutzer- und Rollenverwaltung, Lagerorganisation, Bestell- und Lieferverwaltung, technischen Sicherung, Fehleranalyse und auf Weisung aktivierten Zusatzfunktionen.
3. Datenarten und betroffene Personen
Betroffen sein können Beschäftigte, Praxisinhaber, Lieferantenkontakte und sonstige berechtigte Nutzer. Verarbeitet werden insbesondere Namen, geschäftliche E-Mail-Adressen, Praxiszuordnung, Rollen, Anmelde- und Protokolldaten sowie organisatorische Lager-, Bestell- und Lieferdaten.
Patientendaten, Diagnosen, Behandlungsdaten und besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Vertragsgegenstand und dürfen nicht in PraxisLager gespeichert werden.
4. Weisungen
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Pflicht entgegensteht. Die anfänglichen Weisungen ergeben sich aus Nutzungsvertrag, App-Funktionen und Konfiguration. Weitere Weisungen können in Textform an kontakt@praxislager.info erteilt werden. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen und darf ihre Ausführung bis zur Klärung aussetzen.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet eingesetzte Personen zur Vertraulichkeit, unterstützt den Verantwortlichen angemessen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und Meldungen von Datenschutzverletzungen und stellt die nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Er führt ein Verzeichnis der Verarbeitungskategorien, soweit gesetzlich erforderlich.
6. Sicherheit
Es gelten insbesondere folgende technische und organisatorische Maßnahmen:
- verschlüsselte Übertragung über TLS;
- Authentifizierung mit individuellen Benutzerkonten;
- rollenbasierte Rechte für Admin, Lagerverwaltung und Mitarbeitende;
- logische Trennung der Praxen auf Datenbankebene;
- beschränkte Administrations- und Geheimniszugänge;
- Protokollierung wesentlicher Buchungen und sicherheitsrelevanter Vorgänge;
- regelmäßige interne sowie verschlüsselte externe Sicherungen;
- Wiederherstellungs-, Aktualisierungs- und Löschverfahren;
- Datenminimierung und Exportmöglichkeit für Praxis-Admins.
Die Maßnahmen werden entsprechend Risiko und technischem Fortschritt weiterentwickelt, ohne das vereinbarte Schutzniveau zu unterschreiten.
7. Unterauftragnehmer
Der Verantwortliche erteilt eine allgemeine Genehmigung für folgende Unterauftragnehmer:
- IONOS SE, Deutschland: Website-Hosting und E-Mail;
- Supabase, EU-Region eu-west-1: Authentifizierung, Datenbank und Serverfunktionen;
- Cloudflare, Inc., EU-konfigurierter R2-Speicher: verschlüsselte Backups;
- Stripe Payments Europe, Limited, Irland: Abonnement- und Zahlungsabwicklung;
- Groq, Inc.: optionale KI-Auswertung von Lieferscheinen.
Über wesentliche Änderungen der Unterauftragnehmer wird der Verantwortliche vorab informiert und kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Für Drittlandübermittlungen werden die Voraussetzungen der Art. 44 ff. DSGVO und geeignete Garantien beachtet.
8. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über bekannt gewordene Verletzungen des Schutzes von Auftragsdaten und stellt die verfügbaren Informationen für Bewertung und gesetzliche Meldungen bereit.
9. Kontrollen
Der Verantwortliche darf die Einhaltung dieser Vereinbarung in angemessenem Umfang prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Prüfungen sind rechtzeitig anzukündigen, dürfen Betrieb und Rechte anderer Kunden nicht beeinträchtigen und sollen vorrangig durch Dokumentation und Nachweise erfolgen.
10. Rückgabe und Löschung
Während der Vertragslaufzeit steht dem Praxis-Admin eine Exportfunktion zur Verfügung. Nach Vertragsende werden Auftragsdaten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Produktivdaten werden grundsätzlich innerhalb von 30 Tagen entfernt; verschlüsselte Sicherungen werden spätestens nach Ablauf von 90 Tagen überschrieben oder gelöscht.
11. Verantwortlichkeit des Auftraggebers
Der Verantwortliche stellt die Rechtmäßigkeit der Verarbeitung sicher, erfüllt Informationspflichten und vergibt Zugriffsrechte nur an berechtigte Personen. Er trägt insbesondere dafür Sorge, dass keine Patienten- oder Gesundheitsdaten in PraxisLager eingegeben werden.
12. Schlussbestimmungen
Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung vor. Im Übrigen gelten die Nutzungsbedingungen. Änderungen bedürfen der Textform.