Auftragsverarbeitungsvertrag

Der Vertrag wird zwischen dem Unternehmen oder der selbstständig erwerbstätigen Person, die FlowDule abonniert (“der Verantwortliche”), und FlowDule ApS (“der Auftragsverarbeiter”) geschlossen. Er ist integraler Bestandteil des Vertrages des Kunden über FlowDule und gilt ab der dokumentierten Annahme oder ab dem späteren Datum des Inkrafttretens, das sich aus der veröffentlichten Fassung ergibt.

Nur eine Person, die nachweislich zur Verpflichtung des Verantwortlichen bevollmächtigt ist, darf den Vertrag und die Anhänge annehmen. FlowDule protokolliert mindestens Kunde, annehmende Person, Vertretungsmacht, Versionen, Dokumenten-Hash, Methode und Zeitpunkt. Materielle Änderungen werden nach Ziffer 16 angekündigt und können aktiv in der Plattform oder durch fortgesetzte Nutzung nach dem Inkrafttreten angenommen werden.

Dieser Vertrag regelt ausschließlich die Verarbeitung durch FlowDule im Auftrag des Verantwortlichen. Die Verarbeitung durch FlowDule zu eigenen Vertrags-, Abrechnungs-, Benutzerverwaltungs-, Support-, Sicherheits- und gesetzlich vorgeschriebenen Zwecken ist in der Datenschutzerklärung von FlowDule beschrieben und fällt nicht unter diesen Vertrag.

FlowDule stellt eine mandantenfähige SaaS-Plattform mit den Modulen zur Verfügung, die der Verantwortliche auswählt, beispielsweise Buchung, Klientenverwaltung, Journal und Dokumentation, Kommunikation, Zahlung, Webshop/Event, Berichtswesen und KI-Unterstützung, die Teil des Journalmoduls ist und für die Kette auf Anfrage ausgeschaltet werden kann.

Die Verarbeitung dauert an, solange FlowDule die Leistung erbringt, sowie während des kontrollierten Export-, Rückgabe-, Lösch- und Sicherungszeitraums nach Beendigung. Zwecke, Module, betroffene Personen, Datenkategorien, Verarbeitungsorte und Aufbewahrung werden durch die Einstellungen der Kette in der Plattform festgelegt.

Die Verarbeitung kann das Erheben, Erfassen, Organisieren, Speichern, Abfragen, Anzeigen, Anpassen, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen umfassen. Zweck ist ausschließlich die Bereitstellung, Absicherung, Wartung und Unterstützung der Funktionen, die der Verantwortliche bestellt und zu denen er Weisung erteilt hat.

FlowDule darf die Klienten- oder Journaldaten des Kunden nicht für Marketing, allgemeine Produktanalysen, Modelltraining oder andere eigene Sekundärzwecke verwenden. Betriebstelemetrie darf nur zu eigenen Sicherheits- und Betriebszwecken von FlowDule verwendet werden, sofern sie keine Weiterverwendung der Inhalte des Kunden beinhaltet und die Verarbeitung auf einer eigenständigen Rechtsgrundlage beruht.

Die endgültige Abgrenzung folgt den eigenen Einstellungen der Kette in der Plattform: aktivierte Module und die KI-Funktionen darin, Aufbewahrungsregeln und Länderprofil. Die Einstellungen sind für den Kunden in den Einstellungen der Kette einsehbar und bilden zusammen mit diesem Vertrag die dokumentierte Weisung des Kunden. Der Kunde darf keine Kategorie und keine Gruppe betroffener Personen aktivieren, die nicht von der angenommenen Weisung umfasst ist.

FlowDule verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich bei Übermittlungen in Drittländer. Die Weisung besteht aus diesem Vertrag, den jeweils geltenden Einstellungen der Kette in der Plattform und nachfolgenden schriftlichen Anweisungen, die FlowDule akzeptiert hat. Der Kunde ändert seine Weisung, indem er die Einstellungen ändert; jede Änderung wird mit Zeitpunkt und Benutzer protokolliert.

• Verlangt das Unionsrecht oder das dänische Recht eine Verarbeitung außerhalb der Weisung, informiert FlowDule den Kunden vor der Verarbeitung über diese Anforderung, es sei denn, das Gesetz verbietet die Information aus wichtigen Gründen des öffentlichen Interesses.
• FlowDule informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von FlowDule gegen die DSGVO oder sonstiges Datenschutzrecht verstößt, und kann die betroffene Handlung aussetzen, während die Parteien den Sachverhalt klären.
• Neue Module, KI-Use-Cases, Datenkategorien, Regionen oder Zwecke sind nicht automatisch umfasst. Sie erfordern eine aktualisierte Weisung und, sofern die Änderung materiell ist, eine erneute Annahme.

Der Verantwortliche bestimmt die Zwecke und die wesentlichen Mittel und ist dafür verantwortlich, dass die Weisung und die Verarbeitung rechtmäßig sind. Dies umfasst unter anderem die Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO, nationale Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, fachliche Journal- und Aufbewahrungsanforderungen, Benutzerverwaltung und etwaige Einwilligungen.

Der Kunde hat das zutreffende Berufsprofil zu wählen. Eine selbstständige psychotherapeutisch tätige Person unterliegt nicht allein aufgrund der Berufsbezeichnung den Journalvorschriften, die für zugelassene Angehörige der Gesundheitsberufe gelten. Ist der Kunde ein zugelassener Angehöriger eines Gesundheitsberufs oder unterliegt er Sondervorschriften, sind das einschlägige Profil und die Aufbewahrung vor dem Produktivbetrieb zu dokumentieren.

FlowDule stellt sicher, dass Personen mit Zugriff auf personenbezogene Daten einer angemessenen Vertraulichkeitspflicht unterliegen und diese Daten nur auf Weisung verarbeiten. Der Zugriff wird nach arbeitsbedingtem Bedarf, dem Grundsatz der geringsten Rechte und persönlicher Identität gewährt und regelmäßig überprüft.

Ein Supportzugriff auf die Inhalte des Kunden setzt einen konkreten Vorgang oder eine anderweitig dokumentierte Erforderlichkeit, eine angemessene Genehmigung und eine Protokollierung voraus. Notfallzugriffe sind zeitlich zu begrenzen, nachträglich zu kontrollieren und unmittelbar nach Wegfall des Bedarfs zu schließen.

FlowDule trifft und unterhält geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung von Art, Umfang, Umständen, Zwecken und Risiko der Verarbeitung. Die verbindlichen Maßnahmen ergeben sich aus dem versions- und hashgebundenen TOM-Anhang, der zusammen mit diesem Vertrag angenommen wird.

• Zugriffskontrolle, Authentifizierung, Rollen- und Rechteverwaltung sowie Protokollierung und Nachkontrolle
• Verschlüsselung während der Übertragung und, soweit relevant, im Ruhezustand, Schlüssel- und Geheimnisverwaltung sowie Umgebungstrennung
• Schwachstellen-, Änderungs-, Patch- und Lieferantenmanagement
• Sicherung, Wiederherstellung, Kontinuität, Löschung und dokumentierte Kontrollen
• Vorfallmanagement sowie regelmäßige Erprobung und Bewertung der Wirksamkeit der Maßnahmen

Interne Ziele für Sicherungen, RPO, RTO oder Reaktionszeiten sind keine Zusagen gegenüber dem Kunden, sofern sie nicht ausdrücklich in ein angenommenes SLA aufgenommen wurden. Der TOM-Anhang beschreibt die Maßnahmen, die im Produktivbetrieb angewendet werden.

Unter Berücksichtigung der Art der Verarbeitung und der FlowDule zur Verfügung stehenden Informationen unterstützt FlowDule den Kunden bei der Erfüllung der Pflichten nach Art. 12-23 und Art. 32-36 DSGVO.

• Rechte betroffener Personen: Suche, Auskunft, Export, Berichtigung, Einschränkung und Löschung, soweit die Plattform und das Gesetz dies zulassen. FlowDule antwortet der betroffenen Person nicht unmittelbar ohne Weisung des Kunden.
• Sicherheit und Verletzungen: einschlägige technische Informationen, Vorfalldaten und Abhilfe nach Ziffer 11.
• Datenschutz-Folgenabschätzung und vorherige Konsultation: Produkt-, Sicherheits-, Lieferanten- und Verarbeitungsangaben, die der Kunde vernünftigerweise benötigt. Die Produkt-Datenschutz-Folgenabschätzung von FlowDule ersetzt nicht die eigene Bewertung des Kunden.
• Behördenanfragen: FlowDule informiert den Kunden, soweit dies nicht gesetzlich untersagt ist, und gibt Daten nur auf gültiger Rechtsgrundlage und so eng wie möglich begrenzt heraus.

Übliche, angemessene Unterstützung ist inbegriffen. Unverhältnismäßig umfangreiche Sonderleistungen können nach vorheriger Information und Zustimmung in Rechnung gestellt werden, es sei denn, der Bedarf beruht auf einer Vertragsverletzung durch FlowDule.

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter, die sich aus der angenommenen Liste ergeben. Die Liste weist mindestens die juristische Einheit, die Leistung bzw. den Zweck, die Datenkategorien, die Verarbeitungsländer, etwaige Drittlandübermittlungen und deren Grundlage aus.

FlowDule kündigt eine geplante Hinzuziehung oder einen Austausch mindestens 30 Tage vor Inkrafttreten an. Der Kunde kann innerhalb der Frist einen sachlich begründeten datenschutzrechtlichen Widerspruch einlegen. Die Parteien suchen eine angemessene Lösung; findet sich keine Lösung, kann der Kunde die betroffene Leistung mit Wirkung ab dem Änderungsdatum kündigen und erhält nicht genutzte Vorauszahlungen für diesen Teil anteilig zurück.

FlowDule schließt eine schriftliche Vereinbarung, die dem Unterauftragsverarbeiter mindestens dieselben einschlägigen Datenschutzpflichten auferlegt, und FlowDule bleibt gegenüber dem Kunden für deren Erfüllung durch den Unterauftragsverarbeiter in vollem Umfang verantwortlich.

FlowDule informiert den Kunden ohne unangemessene Verzögerung, nachdem FlowDule eine Verletzung bekannt geworden ist, die die personenbezogenen Daten des Kunden betrifft. Ziel ist eine erste Information spätestens 24 Stunden nach interner Bestätigung; dieses Ziel schränkt die Pflicht zur Information ohne unangemessene Verzögerung nicht ein.

Die Information erfolgt erforderlichenfalls schrittweise und enthält soweit möglich die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. FlowDule dokumentiert den Vorfall und arbeitet bei Eindämmung und Untersuchung mit.

Der Kunde entscheidet als Verantwortlicher über die Meldung an die dänische Datenschutzbehörde (Datatilsynet) und über die Benachrichtigung der betroffenen Personen. FlowDule nimmt die Meldung nicht im Namen des Kunden vor, sofern keine ausdrückliche schriftliche Weisung vorliegt.

Die Verarbeitung erfolgt grundsätzlich in der EU/im EWR in den Regionen, die sich aus der Unterauftragsverarbeiterliste ergeben. Ein Fernzugriff aus einem Drittland stellt ebenfalls eine Übermittlung dar und muss von der Weisung umfasst sein.

Jede Übermittlung ohne Angemessenheitsbeschluss erfordert eine gültige Grundlage nach Kapitel V DSGVO, in der Regel die geltenden Standardvertragsklauseln der Europäischen Kommission, sowie ein dokumentiertes Transfer Impact Assessment und die erforderlichen ergänzenden Maßnahmen. FlowDule stellt für jede Übermittlung eine gültige Übermittlungsgrundlage sicher, die die tatsächliche Lieferanten-, Support- und Zugriffskette abdeckt.

Erhält FlowDule oder ein Unterauftragsverarbeiter eine behördliche Anfrage, werden Gültigkeit und Umfang geprüft, der Kunde wird informiert, soweit dies rechtlich zulässig ist, und es wird nur das Erforderliche herausgegeben. FlowDule dokumentiert die Anfrage und bestreitet unverhältnismäßige oder rechtswidrige Forderungen, sofern hierfür ein vernünftiger Anlass besteht.

FlowDule stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten unabhängigen Prüfer durchgeführt werden, und trägt zu ihnen bei.

Die Kontrolle erfolgt risikobasiert und beginnt in der Regel mit den aktuellen TOM, Lieferanten- und Kontrollunterlagen, Testergebnissen sowie einschlägigen unabhängigen Bescheinigungen. Der Kunde kann einmal jährlich eine weitergehende Prüfung durchführen und darüber hinaus nach einer Verletzung, einer behördlichen Anordnung oder bei dokumentiertem konkretem Verdacht auf eine wesentliche Nichteinhaltung.

Eine Prüfung wird in der Regel mindestens 30 Tage im Voraus angekündigt, auf die Verarbeitung für den Kunden begrenzt und ohne Zugang zu Daten anderer Kunden, zu Zugangsdaten oder zu Einzelheiten durchgeführt, die ein neues Sicherheitsrisiko schaffen. Der Kunde trägt angemessene gesonderte Kosten, es sei denn, die Prüfung deckt eine wesentliche Vertragsverletzung durch FlowDule auf. Die Beschränkungen dürfen eine erforderliche Prüfung oder die Befugnisse einer zuständigen Behörde nicht behindern.

Bei Beendigung löscht FlowDule nach Wahl des Kunden alle personenbezogenen Daten und bestehenden Kopien oder gibt sie zurück, es sei denn, das Unionsrecht oder das dänische Recht verlangt eine Aufbewahrung. Die Wahl des Kunden und etwaige Ausnahmen werden dokumentiert.

• Der Kunde kann während der Vertragslaufzeit und mindestens 30 Kalendertage nach dem vereinbarten Übergangszeitraum exportieren. Formate, Datenkategorien, Beziehungen und Metadaten richten sich nach den Allgemeinen Geschäftsbedingungen und der geltenden Exportbeschreibung.
• Nach Ablauf des Exportzeitraums werden die Produktionsdaten kontrolliert gelöscht. FlowDule stellt einen Löschbeleg mit Kunde, Weisung/Version, Kategorien, Zeitpunkt, verantwortlicher Stelle, Ablauf der Sicherungen und etwaigen gesetzlichen Ausnahmen aus - ohne die gelöschten Inhalte.
• Sicherungskopien werden mit der dokumentierten Rotation (30 Tage) gelöscht. Bis zum Ablauf sind sie isoliert, unterliegen demselben Schutz und dürfen nicht in den regulären Betrieb zurückgeführt werden. Bei einer Wiederherstellung werden das Löschregister und gültige Aufbewahrungssperren erneut angewendet, bevor die Umgebung geöffnet wird.
• Die Buchführungspflicht von FlowDule kann eigene Rechnungs- und Buchhaltungsdaten umfassen, begründet für sich genommen jedoch keine Grundlage für die Aufbewahrung der Klienten- oder Journaldaten des Kunden.

Die KI-Funktionen im Journal sind Teil des Journalmoduls und stehen den Ketten zur Verfügung, die das Journalmodul eingeschaltet haben, sowie den Nutzenden der Kette entsprechend ihrer Rolle; einen gesonderten Aktivierungsschritt für jede einzelne KI-Funktion gibt es nicht. FlowDule schaltet KI für die Kette auf Anfrage aus, mit den Ausnahmen, die sich aus den KI-Informationen ergeben. Die meisten KI-Ergebnisse sind Entwürfe, die eine fachlich kompetente Person vor Speicherung, Kommunikation oder fachlicher Verwendung aktiv prüfen muss. Einige Ergebnisse werden nicht einzeln freigegeben: das automatische Notiz-Feedback an die behandelnde Person, die maschinelle Übersetzung geteilter Inhalte für die Klientin oder den Klienten und die Übersetzung von Supportfällen und Plattformmitteilungen. Zusammenfassung, Schlüsselwörter und nächste Schritte werden in die Notiz geschrieben, wenn die behandelnde Person sie angefordert hat; die behandelnde Person muss sie lesen und kann sie korrigieren oder entfernen.

KI darf keine eigenständige Diagnose, Triage, Behandlungsentscheidung, Zugriffsentscheidung oder sonstige automatisierte Einzelfallentscheidung treffen. Die Klienten- und Journaldaten des Kunden dürfen nicht zum Training allgemeiner Modelle verwendet werden. FlowDule muss Anbieterbedingungen, Datenflüsse, Aufbewahrung und Löschung vor der Produktivaktivierung dokumentieren können.

FlowDule kann bei Gesetzes-, Sicherheits- oder Produktänderungen Änderungen vorschlagen. Eine Änderung darf Zwecke, Datenkategorien, KI-Use-Cases, Regionen oder Übermittlungen nicht einseitig erweitern und das Schutzniveau nicht absenken. Materielle Änderungen werden mindestens 30 Tage vor dem Inkrafttreten angekündigt. Der Verantwortliche kann die Änderung vor diesem Datum in der Plattform annehmen oder ihr widersprechen. Nutzt der Verantwortliche die Plattform nach diesem Datum weiter, gilt diese fortgesetzte Nutzung als Annahme der neuen Fassung, und die Annahme wird mit Version, Dokumenten-Hash und Zeitpunkt der Ankündigung protokolliert. Möchte der Verantwortliche nicht gebunden sein, können die betroffenen Teile des Vertrages mit Wirkung zu dem Zeitpunkt gekündigt werden, zu dem die Änderung in Kraft treten würde.

Eine spätere Weisung hat nur innerhalb ihres ausdrücklichen Umfangs Vorrang und darf FlowDule nicht zu rechtswidrigem Handeln verpflichten. Bei Widersprüchen über die Verarbeitung personenbezogener Daten gehen dieser Vertrag und die Anhänge den Allgemeinen Geschäftsbedingungen vor.

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und zwingendem Recht. Etwaige vertragliche Beschränkungen richten sich nach den Allgemeinen Geschäftsbedingungen, können jedoch weder die Rechte betroffener Personen oder Behörden beschränken noch von einer Haftung abweichen, die rechtlich nicht beschränkt werden kann.

Der Vertrag endet, wenn FlowDule keine personenbezogenen Daten mehr im Auftrag des Kunden verarbeitet und alle Rückgabe-, Lösch- und Dokumentationspflichten erfüllt sind. Bestimmungen über Vertraulichkeit, Audit, Haftung und Dokumentation bleiben bestehen, soweit ihr Zweck dies erfordert.

Der Vertrag unterliegt dänischem Recht. Der Gerichtsstand richtet sich nach den Allgemeinen Geschäftsbedingungen, ohne dass dies die Befugnisse der dänischen Datenschutzbehörde (Datatilsynet) oder anderer zuständiger Behörden beschränkt.

Ein gesonderter Anhang wird nicht je Kunde ausgefüllt. Die dokumentierte Weisung des Kunden sind die eigenen Einstellungen der Kette in der Plattform zusammen mit diesem Vertrag, vgl. Ziffer 4 und 5. Änderungen der Einstellungen werden mit Zeitpunkt und Benutzer protokolliert. Die Tabelle zeigt, wo sich die einzelnen Teile der Weisung ergeben.

Der angenommene TOM-Anhang wird in Anhang A mit Titel, Version und Dokumenten-Hash bezeichnet. Der Anhang wird dem Kunden bei Annahme des Vertrages ausgehändigt und kann jederzeit über privacy@flowdule.com angefordert werden. Die öffentliche Sicherheitsbeschreibung ist lediglich informativ; bei Widersprüchen hat der angenommene TOM-Anhang Vorrang.

Die angenommene öffentliche Unterauftragsverarbeiterliste wird in Anhang A mit Version und Hash bezeichnet. FlowDule nimmt einen Unterauftragsverarbeiter nur dann für personenbezogene Daten in Anspruch, wenn juristische Einheit, Leistung, Zweck, Datenkategorien, Verarbeitungsregion, Supportzugriff, Auftragsverarbeitungsvertrag und Übermittlungsgrundlage vorliegen und, bei einer Übermittlung in ein Land außerhalb der EU und des EWR, eine Übermittlungsfolgenabschätzung (Transfer Impact Assessment) mit den ergänzenden Maßnahmen, die erforderlich sind.