Auftragsverarbeitungsvertrag

zwischen

Auftraggeber: Die im Online-Onboarding angegebene Praxis (im Folgenden „Verantwortlicher" gemäß Art. 4 Nr. 7 DSGVO)

und

Auftragnehmer: Mosaic Medical UG (haftungsbeschränkt), Stubbenhof 16, 21147 Hamburg, vertreten durch Viktor Kessler, betrieben unter der Marke „Dermalia" (im Folgenden „Auftragsverarbeiter" gemäß Art. 4 Nr. 8 DSGVO)

§ 1 Gegenstand und Dauer

(1) Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Dienstleistung „Dermalia 3D-Hautbefund".

(2) Die Verarbeitung umfasst das Abrufen der Scan-Rohdaten aus dem Isemeco-3D-Hautscanner des Verantwortlichen, deren Speicherung, Aufbereitung in einen visuellen Hautbefund sowie den Versand des Befund-Links an Patient:innen per E-Mail. Nutzt der Verantwortliche den Behandlungsplan, umfasst sie zusätzlich dessen Erstellung aus dem Behandlungskatalog der Praxis und die Speicherung des von der Patient:in unterschriebenen Kostenvoranschlags.

(3) Dieser Vertrag tritt mit der elektronischen Annahme im Rahmen des Praxis-Onboardings in Kraft und gilt für die Dauer der Nutzung des Dienstes durch den Verantwortlichen.

§ 2 Art, Zweck und Umfang der Datenverarbeitung

(1) Art der Daten: - Gesichts-Scan-Bilder und 3D-Geometrie aus dem Isemeco-Gerät - Algorithmische Messwerte zu Hautmerkmalen (Falten, Poren, Pigmentierung, Rötungen) - Vor- und Nachname, Geburtsdatum, Geschlecht, Telefonnummer und E-Mail-Adresse der Patient:innen, soweit sie am Gerät oder bei der Einwilligung erfasst wurden - Erstellungsdatum, Mess-Algorithmus-Version, Geräte-Seriennummer - bei Nutzung des Behandlungsplans: die ausgewählten Behandlungen mit Preisen und der unterschriebene Kostenvoranschlag

(2) Zweck: Erstellung und Versand eines visuellen 3D-Hautbefunds an die Patient:innen sowie Bereitstellung des Befunds im Praxis-Dashboard. Soweit der Verantwortliche diese Funktionen nutzt, kommen der Verlaufsvergleich mehrerer Scans derselben Patient:in und der Behandlungsplan mit Kostenvoranschlag hinzu.

(3) Betroffene: Patient:innen, die in der Praxis des Verantwortlichen einen 3D-Hautscan durchführen lassen.

(4) Umfang: Beschränkt auf den für diese Zwecke erforderlichen Datenumfang. Es werden keine Krankenakten, keine Versicherungsdaten und keine Rechnungen verarbeitet.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

(1) personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten und sicherzustellen, dass auch die ihm unterstellten Personen mit Zugang zu den Daten diese nur auf Weisung des Verantwortlichen verarbeiten (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO);

(2) zur Vertraulichkeit verpflichtete Personen einzusetzen (Art. 28 Abs. 3 lit. b DSGVO) und die Verpflichtung zur Geheimhaltung nach Anlage 2 einzuhalten;

(3) angemessene technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO zu treffen, im Detail beschrieben in Anlage 1;

(4) den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO);

(5) Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs-, Datenportabilitäts- und Widerspruchsrechte Betroffener durch geeignete technische und organisatorische Maßnahmen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO);

(6) Datenpannen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, dem Verantwortlichen zu melden (Art. 33 DSGVO);

(7) eine schriftliche Aufzeichnung aller Verarbeitungstätigkeiten zu führen (Art. 30 Abs. 2 DSGVO);

(8) nach Beendigung der Dienste sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (Art. 28 Abs. 3 lit. g DSGVO);

(9) den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung dieser Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 4 Pflichten des Verantwortlichen

Der Verantwortliche bleibt im Sinne der DSGVO für die Rechtmäßigkeit der Datenverarbeitung verantwortlich, insbesondere

(1) Einholung einer wirksamen Einwilligung der Patient:innen oder Sicherstellung einer anderen Rechtsgrundlage nach Art. 6 und 9 DSGVO vor Übermittlung des Scans an Dermalia;

(2) Information der Patient:innen gemäß Art. 13 DSGVO über den Einsatz von Dermalia als Auftragsverarbeiter;

(3) Erteilung schriftlicher Weisungen an den Auftragsverarbeiter, soweit diese über die vertraglich geregelten Tätigkeiten hinausgehen.

§ 5 Unterauftragsverhältnisse

(1) Der Auftragsverarbeiter darf folgende Unterauftragsverarbeiter einsetzen:

An das Sprachmodell werden ausschließlich Messwerte des Scans, Haut- und Lebensalter sowie bei Patientenfragen der von der Patient:in eingegebene Fragetext übergeben, keine Namen, kein Geburtsdatum, keine E-Mail-Adresse und keine Bilder. Der Verantwortliche kann beide Module jederzeit im Praxis-Dashboard abschalten.

(2) Die Scan-Rohdaten stammen aus dem System des Geräteherstellers (Meicet/Isemeco), das der Verantwortliche mit dem Isemeco-Hautscanner selbst nutzt. Dieses Quellsystem ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; der Auftragsverarbeiter ruft die dort bereits vorliegenden Daten lediglich in EU-Infrastruktur ab.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen in Textform mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb dieser Frist widersprechen (Art. 28 Abs. 2 DSGVO). Widerspricht er, setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter für die Daten dieses Verantwortlichen nicht ein. Ist das nicht möglich, kann der Verantwortliche den Vertrag fristlos kündigen.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die er in diesem Vertrag übernommen hat (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen dafür.

§ 6 Datenlokation und Übermittlung

(1) Patient:innen-Daten und Scan-Rohdaten werden durch den Auftragsverarbeiter in Rechenzentren innerhalb der EU gespeichert und verarbeitet (Frankfurt am Main). Der E-Mail-Versand läuft über die EU-Region Irland.

(2) Vercel Inc., Neon Inc. und Resend Inc. haben ihren Sitz oder ihre Konzernmutter in den USA. Für einen Zugriff von dort gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) aus den Verträgen mit diesen Anbietern. Für Google Ireland Ltd. ist der Ort der Verarbeitung nicht auf die EU festgelegt. Der Auftragsverarbeiter legt dem Verantwortlichen auf Verlangen die Vertragsbedingungen jedes Unterauftragsverarbeiters einschließlich des jeweiligen Übermittlungsmechanismus vor.

(3) Ein Zugriff auf personenbezogene Daten von einem Ort außerhalb der EU/des EWR gilt als Übermittlung, auch wenn die Daten dabei nicht verlagert werden. Personen des Auftragsverarbeiters greifen von dort nur zu, wenn der Verantwortliche vorher in Textform zugestimmt hat und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(4) Verlangt eine Behörde eines Drittlands vom Auftragsverarbeiter die Herausgabe von Daten des Verantwortlichen, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, soweit ihm das rechtlich nicht untersagt ist, und gibt Daten nur heraus, soweit er dazu rechtlich verpflichtet ist.

(5) Der Drittlandbezug nach China entsteht durch die Nutzung des Isemeco-Geräts und des Herstellersystems durch den Verantwortlichen und liegt in dessen Verantwortung. Der Auftragsverarbeiter ruft die im Herstellersystem bereits gespeicherten Daten in die EU ab (Datenimport), verarbeitet sie dort und schreibt nichts in das Herstellersystem zurück.

§ 7 Löschung und Aufbewahrung

(1) Patient:innen-Befunde werden für 24 Monate ab Erstellung aufbewahrt und danach automatisch gelöscht, sofern der Verantwortliche keine längere oder kürzere Frist schriftlich anweist. Diese Frist ersetzt nicht die Aufbewahrung der Behandlungsdokumentation nach § 630f BGB. Dafür übernimmt der Verantwortliche den Befund in seine eigene Dokumentation; der Befund steht ihm als PDF im Praxis-Dashboard zur Verfügung.

(2) Der Verantwortliche kann jederzeit die sofortige Löschung einzelner Befunde oder seines gesamten Datenbestands verlangen.

(3) Bei Beendigung des Vertrags werden sämtliche Daten des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende nach seiner Wahl gelöscht oder an ihn herausgegeben. Der Auftragsverarbeiter fordert den Verantwortlichen bei Vertragsende zur Ausübung dieser Wahl auf. Die Herausgabe erfolgt in einem maschinenlesbaren Format. Die Löschung wird protokolliert und dem Verantwortlichen auf Verlangen bestätigt.

§ 8 Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags und des Art. 28 DSGVO erforderlich sind. Er ermöglicht Überprüfungen einschließlich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen werden mit angemessener Frist angekündigt.

(2) Auf Anforderung stellt der Auftragsverarbeiter dem Verantwortlichen die aktuellsten TOM-Dokumente und vorhandene Zertifizierungen zur Verfügung.

§ 9 Haftung

(1) Für Schäden, die durch die Verarbeitung personenbezogener Daten entstehen, haften die Parteien gemäß Art. 82 DSGVO.

(2) Die zivilrechtliche Haftung des Auftragsverarbeiters für vertragliche und außervertragliche Ansprüche bleibt unberührt.

§ 10 Schlussbestimmungen

(1) Änderungen oder Ergänzungen dieser Vereinbarung bedürfen der Textform (auch elektronisch). Eine neue Version wird durch elektronische Annahme im Praxis-Dashboard wirksam.

(2) Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(3) Es gilt deutsches Recht. Gerichtsstand ist Hamburg.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

Die geltenden TOM sind in der jeweils aktuellen Version unter https://dermalia.de/sicherheit/tom abrufbar und Bestandteil dieses Vertrags.

Anlage 2: Verpflichtung zur Geheimhaltung (§ 203 StGB)

(1) Die Daten der Patient:innen unterliegen der ärztlichen Schweigepflicht. Der Auftragsverarbeiter wirkt an der beruflichen Tätigkeit des Verantwortlichen mit (§ 203 Abs. 3 Satz 2 StGB).

(2) Der Auftragsverarbeiter verpflichtet sich, über alle fremden Geheimnisse, die ihm bei dieser Tätigkeit bekannt werden, Stillschweigen zu bewahren und sich nur insoweit Kenntnis von ihnen zu verschaffen, wie es für die Erfüllung dieses Vertrags erforderlich ist. Die Verpflichtung gilt über das Ende des Vertrags hinaus.

(3) Dem Auftragsverarbeiter ist bekannt, dass sich strafbar macht, wer als mitwirkende Person unbefugt ein fremdes Geheimnis offenbart, das ihm bei dieser Tätigkeit bekannt geworden ist (§ 203 Abs. 4 Satz 1 StGB).

(4) Der Auftragsverarbeiter verpflichtet alle Personen, die bei ihm Zugang zu den Daten haben, sowie alle weiteren Personen und Unternehmen, derer er sich bedient, in Textform zur Geheimhaltung und belehrt sie über die Strafbarkeit nach § 203 Abs. 4 StGB. Er weist dem Verantwortlichen diese Verpflichtungen auf Verlangen nach.

Version 1.3.0 · Veröffentlicht am 2026-10-01