Auftragsbearbeitungsvereinbarung

1. Gegenstand der Vereinbarung

Im Rahmen der Leistungserbringung gemäss der Nutzungsvereinbarung vom 09. August 2024 bearbeitet der Auftragnehmer Personendaten, für die der Auftraggeber als Verantwortlicher und der Auftragnehmer als Bearbeiter im datenschutzrechtlichen Sinn agieren („Auftraggeber-Daten“). Die vorliegende Vereinbarung legt die Datenschutzpflichten und -rechte der Parteien im Zusammenhang mit der Bearbeitung der Auftraggeber-Daten zur Erbringung der Leistungen nach dem Hauptvertrag fest.

2. Weisungsbefugnisse des Auftraggebers

2.1. Der Auftragnehmer bearbeitet die Auftraggeber-Daten ausschliesslich im Auftrag und gemäss den Weisungen des Auftraggebers, es sei denn, der Auftragnehmer ist gesetzlich zur Bearbeitung verpflichtet. In diesem Fall informiert der Auftragnehmer den Auftraggeber vor der Bearbeitung über die rechtlichen Anforderungen, sofern das betreffende Gesetz eine solche Mitteilung nicht aus wichtigen öffentlichen Interessen verbietet.

2.2. Die Bearbeitung der Auftraggeber-Daten durch den Auftragnehmer erfolgt ausschliesslich in der Art, dem Umfang und zu dem Zweck wie in Anhang 1 festgelegt. Die Bearbeitung betrifft ausschliesslich die dort bezeichneten Arten von Personendaten und Kategorien betroffener Personen.

2.3. Die Dauer der Bearbeitung entspricht der Laufzeit des Hauptvertrages.

2.4. Der Auftraggeber behält sich das Recht vor, jederzeit Weisungen bezüglich der Art, des Umfangs, der Zwecke und der Mittel der Bearbeitung der Auftraggeber-Daten zu erteilen.

2.5. Der Auftraggeber sichert zu, dass keine gesetzlichen oder vertraglichen Geheimhaltungspflichten der Übertragung entgegenstehen.

2.6. Der Auftraggeber sichert zu, dass die Übertragung der Bearbeitung an den Auftragnehmer gemäss den datenschutzrechtlichen Grundsätzen zulässig ist.

3. Vertraulichkeitsverpflichtung

Der Auftragnehmer verpflichtet sich zur Wahrung der Vertraulichkeit und stellt sicher, dass alle Personen, die unter seiner Verantwortung mit der Verarbeitung der Auftraggeber-Daten betraut sind, ebenfalls zur Vertraulichkeit verpflichtet werden.

4. Datensicherheit

4.1. Der Auftragnehmer trifft die geeigneten technischen und organisatorischen Massnahmen, um ein angemessenes Schutzniveau für die Auftraggeber-Daten zu gewährleisten. Dabei berücksichtigt er den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, die Umstände und die Zwecke der Datenbearbeitung. Zudem werden Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten der betroffenen Personen beachtet.

4.2. Vor Beginn der Datenbearbeitung muss der Auftragnehmer die im Anhang 2 festgelegten technischen und organisatorischen Massnahmen umsetzen und während der gesamten Vertragslaufzeit aufrechterhalten. Er stellt sicher, dass die Datenbearbeitung im Einklang mit diesen Massnahmen erfolgt.

5. Unterauftragnehmer

5.1. Der Auftraggeber erlaubt dem Auftragnehmer in allgemeiner Weise, Unterauftragnehmer zur Bearbeitung der Auftraggeber-Daten hinzuzuziehen. Die derzeitigen Unterauftragnehmer des Auftragnehmers sind in Anhang 3 aufgeführt.

5.2. Der Auftragnehmer wird den Auftraggeber über jede geplante Änderung bezüglich der Hinzuziehung oder Ersetzung von Unterauftragsnehmern informieren. Der Auftraggeber hat das Recht, gegen jede geplante Änderung Einspruch zu erheben. Im Falle eines Einspruchs darf die geplante Änderung nicht durchgeführt werden, das Kündigungsrecht gemäss Hauptvertrag bleibt jedoch bestehen. Bei genehmigten Änderungen wird der Auftragnehmer die Liste der Unterauftragnehmer in Anhang 3 entsprechend aktualisieren und dem Auftraggeber zur Verfügung stellen.

5.3. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich dazu, dieselben Datenschutzpflichten einzuhalten, die auch für den Auftragnehmer gelten.

5.4. Der Auftragnehmer überprüft vor und regelmässig während der Beauftragung, dass die Unterauftragnehmer geeignete technische und organisatorische Massnahmen ergriffen haben, um sicherzustellen, dass die Bearbeitung der Auftraggeber-Daten gemäss dieser Vereinbarung erfolgt.

6. Rechte der betroffenen Personen

6.1. Der Auftragnehmer wird den Auftraggeber im Rahmen des Zumutbaren mit technischen und organisatorischen Massnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen.

6.2. Der Auftragnehmer wird insbesondere:

a) den Auftraggeber unverzüglich informieren, falls sich eine betroffene Person mit einem Antrag auf Wahrnehmung ihrer Rechte in Bezug auf Auftraggeber-Daten unmittelbar an den Auftragnehmer wenden sollte;

b) dem Auftraggeber auf Anfrage alle bei ihm vorhandenen Informationen über die Bearbeitung von Auftraggeber-Daten geben, die der Auftraggeber zur Beantwortung des Antrags einer betroffenen Person benötigt und über die der Auftraggeber nicht selbst verfügt.

7. 1. Weitere Unterstützungspflichten des Auftragnehmers

7.1. Der Auftragnehmer informiert den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes der Auftraggeber-Daten bekannt wird. Dies schliesst Ereignisse ein, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu Auftraggeber-Daten führen.

7.2. Die Meldung sollte nach Möglichkeit Folgendes enthalten:

a) Eine Beschreibung der Art der Verletzung des Schutzes der Auftraggeber-Daten, einschliesslich der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze;

b) Die wahrscheinlichen Folgen dieser Verletzung;

c) Die vom Auftragnehmer ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und gegebenenfalls Massnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.

7.3. Falls der Auftraggeber verpflichtet ist, die Aufsichtsbehörden und/oder die Betroffenen zu informieren, wird der Auftragnehmer den Auftraggeber auf dessen Anfrage hin unterstützen, diese Pflichten zu erfüllen.

7.4. Der Auftragnehmer wird den Auftraggeber in zumutbarem Umfang bei etwaigen Datenschutz-Folgenabschätzungen und gegebenenfalls anschliessenden Konsultationen mit den Aufsichtsbehörden unterstützen.

8. Datenlöschung und - rückgabe

Auf Anweisung des Auftraggebers wird der Auftragnehmer mit Beendigung des Hauptvertrages alle Daten des Auftraggebers entweder vollständig und unwiderruflich löschen oder an den Auftraggeber zurückgeben, es sei denn, gesetzliche Vorschriften verpflichten den Auftragnehmer zur weiteren Speicherung dieser Daten.

9. Nachweise und Überprüfungen

9.1. Der Auftragnehmer muss sicherzustellen und regelmässig überprüfen, dass die Bearbeitung der Auftraggeber-Daten mit dieser Vereinbarung und den Anweisungen des Auftraggebers, einschliesslich des in Anhang 1 festgelegten Umfangs, erfolgt.

9.2. Der Auftragnehmer dokumentiert die Erfüllung dieser Pflichten und legt dem Auftraggeber auf Anfrage entsprechende Nachweise in geeigneter Form vor.

9.3. Insbesondere dokumentiert der Auftragnehmer:

a) die Vertraulichkeitsverpflichtungen von Personen, die Auftraggeber-Daten bearbeiten;

b) alle Verletzungen des Schutzes von Auftraggeber-Daten innerhalb seines Einflussbereichs, einschliesslich aller relevanten Fakten, Auswirkungen und ergriffenen Massnahmen;

c) alle Verträge mit Unterauftragsnehmern und deren Überprüfung gemäss Ziffer 6;

d) alle auf Anweisung des Auftraggebers erfolgten Löschungen von Auftraggeber-Daten.

9.4. Der Auftraggeber ist berechtigt, den Auftragnehmer vor Beginn der Bearbeitung von Auftraggeber-Daten und regelmässig während der Vertragslaufzeit hinsichtlich der Einhaltung dieser Vereinbarung, einschliesslich der Umsetzung der technischen und organisatorischen Massnahmen gemäss Anhang 2 selbstständig oder durch einen Dritten zu überprüfen.

9.5. Der Auftragnehmer unterstützt solche Überprüfungen durch angemessene und zumutbare Massnahmen, einschliesslich:

a) die Gewährung der notwendigen Zugangs- und Zugriffsrechte; und

b) der Bereitstellung aller notwendigen Informationen.

Anhang 1 - Art, Zweck und Umfang der Bearbeitung von Personendaten

Bearbeitung

Der Auftragnehmer bearbeitet Auftraggeber-Daten zur Erbringung der Leistungen gemäss Hauptvertrag, insbesondere:

Generierung von medizinischer Dokumentation: Der Auftragnehmer bearbeitet Personendaten mit Hilfe von Maschine Learning Modellen zur Transkription und Erstellung von medizinischen Dokumenten basierend auf einer aufgezeichneten Sprechstunde oder ähnlichen Gesprächen.
Kommunikation: Der Auftragnehmer verwendet personenbezogene Daten, um mit Personen, die vom Auftraggeber beschäftigt oder beauftragt sind zu kommunizieren, z.B. bei Support Anfragen via Mail. Dazu bearbeitet der Auftragnehmer die personenbezogenen Inhalte der Kommunikation, aber auch Log-Daten über Art und Zeit der Kommunikation.
Betrieb und Verbesserungen der App: Der Auftragnehmer verwendet personenbezogene Daten, um den störungsfreien Betrieb der App sicherzustellen und die App laufend zu verbessern (z.B. Anpassung oder Neuentwicklung von Inhalten). Dazu kann der Auftragnehmer unter anderem Statistiken über die Nutzung der App oder App-Inhalte auswerten.

Arten von Personendaten

Die nachfolgenden Arten von Auftraggeber-Daten werden vom Auftragnehmer bearbeitet:

Personendaten:

Kontaktdaten wie Vorname und Nachname
Stammdaten wie Alter und AHV-Nummer

Besonders schützenswerte Personendaten:

Gesundheitsdaten wie bspw. eine Anamnese
Möglich: politische, religiöse oder weltanschauliche Überzeugung
Möglich: rassistische und ethische Herkunft
Möglich: Sexualleben oder sexuelle Orientierung

Kategorien betroffener Personen

Von folgenden Kategorien natürlichen Personen werden im Zusammenhang mit der Dienstleistungserbringung gemäss Hauptvertrag Personendaten bearbeitet:

Personal:
Personen, die vom Auftraggeber beschäftigt oder beauftragt sind und in Auftraggeber-Daten erwähnt sein können, einschließlich:

Ärztinnen und Ärzte, Pflegepersonal, Sanitäter und anderes klinisches Personal;
Verwaltungspersonal, das an der Koordination oder Dokumentation von Patientenkontakten beteiligt ist;
IT-Personal, das für die Integration oder den technischen Betrieb zuständig ist;
Support-Mitarbeitende, die Supportanfragen im Zusammenhang von Auftraggeber-Daten bearbeiten oder darin erwähnt werden;
Entscheidungsträger und autorisierte Kontaktpersonen des Auftraggebers mit Benutzerzugang zum System.

Patienten und verwandte Personen:
Natürliche Personen, deren personenbezogene Daten in Auftraggeber-Daten erfasst oder referenziert werden können, einschließlich:

Patienten, deren gesundheitsbezogene Informationen gemäss Hauptauftrag aufgezeichnet, diktiert oder verarbeitet werden;
Dritte, die während klinischer Interaktionen erwähnt werden (z. B. Angehörige, Pflegepersonen oder Notfallkontakte), soweit diese Personen in diktierten Notizen, Sprachaufnahmen, Transkriptionen oder zugehörigen Metadaten referenziert werden.

Standorte der Datenbearbeitung

Die Auftraggeber-Daten werden an folgenden Standorten bearbeitet:

Zürich, Schweiz (Bearbeitung)
Gävle, Schweden (Bearbeitung)
Frankfurt, Deutschland (Bearbeitung und Speicherung)

Alle Daten at-rest und Daten in-transit sind verschlüsselt.

Anhang 2 - Technische und organisatorische Schutzmassnahmen

Im Folgenden werden die technischen und organisatorischen Massnahmen beschrieben, die der Auftragnehmer im Zusammenhang mit der Bearbeitung von Auftraggeber-Daten und der Erfüllung seiner Verpflichtungen im Rahmen dieser Auftragsbearbeitungsvereinbarung trifft.

Gewährleistung der Vertraulichkeit

Der Auftragnehmer ergreift folgende Massnahmen, um sicherzustellen, dass die bearbeiteten Auftraggeber-Daten nur autorisierten Personen zugänglich sind:

Zugriffskontrolle: Der Auftragnehmer vergibt Zugriffsrechte nach dem Need-to-know-Prinzip. Das bedeutet, dass der Zugriff auf Auftraggeber-Daten auf Personen beschränkt wird, die diesen benötigen, um ihre berufliche Tätigkeit auszuführen.
Zugangskontrolle: Der Auftragnehmer beschränkt den Zugang zu den physischen Räumlichkeiten, in denen Daten des Auftraggebers bearbeitet werden, auf identifizierte und autorisierte Personen, die im Rahmen ihrer Tätigkeit Zugang zu diesen Räumlichkeiten benötigen. Diese Sicherheitsbereiche sind durch angemessene Zutrittskontrollen geschützt, um sicherzustellen, dass ausschliesslich autorisierte Mitarbeiter Zutritt erhalten.
Benutzerkontrolle: Durch eine sorgfältige Prüfung der fachlichen und persönlichen Eignung sowie durch eine umfassende Einführung und Schulung der Mitarbeitenden stellt der Auftragnehmer sicher, dass die Mitarbeitenden ihre Verantwortlichkeiten verstehen und für die vorgesehenen Datenbearbeitungen geeignet sind.

Gewährleistung der Verfügbarkeit und Integrität

Der Auftragnehmer trifft folgende Massnahmen, um sicherzustellen, dass die bearbeiteten Auftraggeber-Daten verfügbar sind, wenn sie benötigt werden, und dass sie weder unberechtigt noch unbeabsichtigt verändert werden können:

Datenträger- und Speicherkontrolle: Um die Sicherheit und Verfügbarkeit von Auftraggeber-Daten zu gewährleisten, werden Daten auf Speichersystemen nach erfolgreicher Bearbeitung automatisch gelöscht, und wo technisch möglich, nach aktuell gültigen Industriestandards verschlüsselt. Der Zugriff wird durch eine Zwei-Faktor Authentifizierung auf befugte Personen beschränkt. Zugriffsrechte und die Erteilung von Befugnissen werden laufend überprüft. Durch diese Massnahmen wird so weit als möglich verhindert, dass unbefugte Personen auf Daten zugreifen, oder Daten speichern, kopieren, verändern, verschieben, löschen oder vernichten können.
Wiederherstellung: Der Auftragnehmer erstell keine Backups von Auftraggeber-Daten.
Verfügbarkeit: Die Verfügbarkeit von Auftraggeber-Daten ist auf eine minimale Dauer reduziert. Die Speichersysteme als auch die betriebsrelevanten Komponenten der Datenbearbeitungssysteme sind durch die Stromversorgung, Server-, Netzwerk- und Speichersysteme nicht redundant ausgelegt.
Zuverlässigkeit: Sämtliche Events und Logdaten werden zentral gesammelt und mit Hilfe von Analyse-Tools aufbereitet und ausgewertet. Damit wird sichergestellt, dass allfällige Fehlfunktionen im System erkannt und gemeldet werden.
Datenintegrität: Die Speichersysteme und die betriebsrelevanten Komponenten der Datenverarbeitungssysteme sind nicht redundant ausgelegt.
Systemsicherheit: Der Auftragnehmer stellt sicher, dass Informationen über technische Schwachstellen der eingesetzten IT-Systeme rechtzeitig verfügbar sind, die Gefährdung der Organisation gegenüber den Schwachstellen bewertet und angemessene Massnahmen getroffen werden, um das damit verbundene Risiko zu minimieren. Zudem werden sämtliche IT-Risiken im Unternehmen regelmässig identifiziert, analysiert und bewertet, behandelt und überwacht. Die Infrastruktur der Auftragsnehmer steht unter regelmässiger Überprüfung mit externen Partnern.

Gewährleistung der Nachvollziehbarkeit

Der Auftragnehmer trifft folgende Massnahmen, damit Auftraggeber-Daten nachvollziehbar bearbeitet werden:

Eingabekontrolle: Der Auftragnehmer stellt sicher, dass eventuelle Zugriffe auf Datenbearbeitungssysteme durch Audit Logs nachvollziehbar und auf autorisierte Mitarbeiter eingeschränkt sind. Dadurch kann lückenlos überprüft werden, welche Daten zu welchem Zeitpunkt und von welcher Person bearbeitet wurden.

Anhang 3 – Liste der Unterauftragnehmer

Bearbeitung und Speicherung:

Amazon Web Services, Inc. 410 Terry Avenue North, Seattle, WA 98109, Vereinigte Staaten,
Serverstandorte:

"eu-central-1", Frankfurt, GER

Bearbeitung, Zugriff zu Test- und Wartungszwecken

Microsoft, One Microsoft Way, Redmond, WA 98052, Vereinigte Staaten
Serverstandorte:

"switzerland north", Region Zürich, CH
"eu west", Amsterdam, NED
“Central-Gavle”, Gävle, SWE