Auftragsverarbeitung personenbezogener Daten (Stand 01.07.2026)

Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz.

1. Gegenstand der Auftragsverarbeitung ist die Bereitstellung, der Betrieb und die Wartung der SMART.VO Praxissoftware Suite für medizinische Leistungserbringer einschließlich zugehöriger mobiler Anwendungen (Apps) sowie angebundener technischer Dienste.
2. Die Software dient der Verwaltung von Patientenstammdaten, Terminplanung, Dokumentation medizinischer Leistungen, Abrechnung, Kommunikation sowie ggf. weiterer administrativer Prozesse innerhalb der Praxis.
3. Der Verarbeitungszeitraum richtet sich nach der Laufzeit des individuellen Vertrages.

Erfassen bzw. Aufnehmen von Verordnungen und deren Patientendaten, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung an die entsprechenden Kostenträger durch Übermittlung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschen oder Vernichtung von Daten.

Erfassen bzw. Aufnehmen von Verordnungen und deren Patientendaten, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung an die entsprechenden Kostenträger durch Übermittlung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschen oder Vernichtung von Daten.

Es werden folgende Daten verarbeitet:

1. Patientendaten (Name, Geburtstag, Adressdaten, Krankenkassendetails, Gesundheitsdaten)
2. Daten von Mitarbeitenden (Name, Qualifikation, ggf. weitere freiwillig hinterlegte personenbezogenen Daten)
3. Verordnungen (Krankheitscode, Verschreibung des Arztes, Leistung des Vertragspartners am Patienten, Leistungserbringung gegenüber dem Patienten, Dokumentation)
4. Daten zu Erzeugung von Rechnungen und Gutschriften gegenüber den Kostenträgern bzw. Vertragspartnern

Sofern der Vertragspartner eine gültige Lizenz für die Praxissoftwarelösung von Henara auf Zeit erworben hat (Softwaremiete), stellt Henara für einige Optionen eine eigene Datenbank für den Vertragspartner in einem deutschen Rechenzentrum zur Verfügung. Zu dieser Datenbank haben ausschließlich der Vertragspartner und Henara Zugriff. Auf Anfrage des Vertragspartners stellt Henara dem Vertragspartner den Standort des Rechenzentrums zur Verfügung. Erlischt die Lizenz, wird der Zugang zur Datenbank deaktiviert. Gelöscht wird die Datenbank nach 6 Monaten nach Kündigung, sofern eine Reaktivierung nicht eintritt.

1. Die Beurteilung der Zulässigkeit der Datenverarbeitung und die Wahrung der Rechte der Betroffenen ist die Pflicht des Auftraggebers.
2. Jeder Weisung bedarf der Schriftform.
3. Der Auftraggeber hat das Recht, Weisungen zu erteilen, die die Datenverarbeitung betreffen, insbesondere die unter § 6 genannten sowie die Rückgabe von Daten. Die Weisung Daten endgültig zu löschen (einschließlich aller Sicherungen) bleibt bis zum Vertragsende dem Auftraggeber vorbehalten.
4. Falls Weisungen die getroffenen Festlegungen dieses Vertrages ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Festlegung erfolgt.

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Der Auftragnehmer darf, die zur Verarbeitung überlassen Daten nicht für andere Zwecke verarbeiten oder nutzen. Der Auftragnehmer ist nicht befugt, eigenmächtig Veränderungen an den Daten vorzunehmen.
2. Mündliche Weisungen sind zu ignorieren, jede Weisung bedarf der Schriftform.
3. Die Verarbeitung und Nutzung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Der Einsatz von Cloud-Diensten ist nur zulässig, wenn die Datenverarbeitung entweder in der Europäischen Union vereinbart ist oder für den Fall eines Datentransfers in Drittländer Maßnahmen getroffen werden, die die Sicherheit der personenbezogenen Daten der Betroffenen und die Durchsetzung ihrer Rechte so schützen, dass ein vergleichbarer Schutz erreicht wird, wie er in der Europäischen Union gilt. Jede Verlagerung in ein Drittland bedarf der vorherigen Information des Auftraggebers durch den Auftragnehmer.
4. Der Auftragnehmer verpflichtet sich, bei der Verarbeitung der Daten des Auftraggebers die Vertraulichkeit zu wahren. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter auf die Vertraulichkeit gemäß Art. 29 DSGVO verpflichtet (ehemals Datengeheimnis gemäß § 5 BDSG). Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind und überwacht deren Einhaltung.
5. Der Auftragnehmer kontrolliert regelmäßig die Verpflichtung auf das Datengeheimnis und die Einhaltung der technischen und organisatorischen Maßnahmen.
6. Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen eine Vorschrift verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
7. Der Auftragnehmer darf die Daten nicht länger speichern, als der Auftraggeber schriftlich bestimmt hat (Ausschluss von Aufbewahrungspflichten z.B. nach HGB).
8. Der Auftragnehmer hat einen Datenschutzbeauftragten zu benennen. Seine Kontaktdaten, sowie ein Wechsel ist den Auftraggeber anzuzeigen. Siehe Anhang Zu benennende Personen (Weisungsbefugte, DSB).

1. Der Auftragnehmer beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen.
2. Der Auftragnehmer gewährleistet die Einhaltung angemessener technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO.
   Die jeweils aktuellen technischen und organisatorischen Maßnahmen des Auftragnehmers werden dem Auftraggeber auf Anfrage zur Verfügung gestellt und sind Bestandteil dieses Vertrages.“
3. Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Sofern bei dieser Anpassung das Schutzniveau erhalten bleibt oder verbessert wird, ist der Auftraggeber nicht gesondert zu informieren, wesentliche Änderungen sind dem Auftraggeber schriftlich anzuzeigen.
4. Der Auftraggeber kann durch Weisung eine Ergänzung der technischen und organisatorischen Maßnahmen verlangen. Entstehende Kosten hat der Auftraggeber zu tragen.

1. Henara wird personenbezogene Daten, die im Rahmen dieses Vertrages verarbeitet werden, ausschließlich entsprechend den vertraglichen Vereinbarungen oder auf dokumentierte Weisung des Vertragspartners berichtigen, löschen oder sperren.
2. Henara wird entsprechende Weisungen des Vertragspartners auch nach Beendigung dieses Vertrages umsetzen, soweit sich die betreffenden Daten noch im Verantwortungs- oder Verfügungsbereich von Henara befinden und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

Die Beauftragung von Subunternehmern ist ausschließlich unter folgenden Bedingungen erlaubt:

1. Der Auftragnehmer teilt Namen, Anschrift und Art der Dienstleistung des Subunternehmers dem Auftraggeber mit. Die in Anhang Unterauftragnehmer aufgeführten Subunternehmer gelten als genehmigt.
2. Außerdem muss der Auftragnehmer versichern, dass er den Subunternehmer unter besonderer Berücksichtigung der Eignung und der von ihm getroffenen organisatorisch-technischen Maßnahmen ausgewählt hat. Der Auftragnehmer hat die Einhaltung derselben beim Subunternehmer regelmäßig zu überprüfen: Das Ergebnis der Überprüfungen ist zu dokumentieren und auf Anfrage an den Auftraggeber weiterzuleiten.
3. Der Auftragnehmer hat vertraglich sicherzustellen, dass die vereinbarten Regelungen zwischen Auftraggeber und Auftragnehmer auch gegenüber Subunternehmern gelten. Insbesondere muss der Auftraggeber berechtigt sein, Kontrollen vor Ort beim Subunternehmer durchzuführen oder durch Dritte durchführen zu lassen.
4. In dem Vertrag mit dem Subunternehmer sind die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers deutlich voneinander abzugrenzen. Werden mehrere Subunternehmer eingesetzt, so gilt dies auch für die Verantwortlichkeiten zwischen diesen Subunternehmern.
5. Der Auftragnehmer informiert den Auftraggeber immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Subunternehmern, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
6. Die Weiterleitung von Daten ist erst zulässig, wenn der Subunternehmer die Verpflichtung nach Art. 28 DSGVO erfüllt hat. Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Subunternehmers.

Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern.

1. Pty Ltd, Level 6, 341 George Street, Sydney NSW 2000, Australien
2. Docusign International (EMEA) Ltd, 5 Hanover Quay, Erdgeschoss, Dublin 2, Republik Irland
3. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen
4. IONOS SE, Elgendorfer Str. 57, 56410 Montabaur
5. Microsoft, One Microsoft Way, Redmond, WA 98052-6399, USA Bereitstellung und Wartung der Rechenzentren in Amsterdam, Office 365 und CRM Dynamics Software
6. Pcvisit Software AG, Manfred-von-Ardenne-Ring 20, D-01099 Dresden Kundenservice
7. Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin

Über Änderungen und Ergänzungen der eingesetzten Subunternehmer sowie Änderungen an diesem AV-Vertrag informiert der Auftragnehmer den Auftraggeber mittels elektronischer Benachrichtigung. Hierzu stellt der Auftragnehmer ein Registrierungsformular zur Verfügung, über das der Auftraggeber einen oder mehrere Ansprechpartner für entsprechende Mitteilungen benennen kann. Der Auftraggeber ist dafür verantwortlich, die hinterlegten Kontaktdaten aktuell zu halten.

1. Der Auftragnehmer hat den Auftraggeber bei seinen Pflichten gegenüber betroffenen Personen zu unterstützen
2. Der Auftraggeber erteilt Weisung über die Unterstützung bei:
   1. Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
   2. Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben, wurde
   3. Auskunftsrecht der betroffenen Person
   4. Recht auf Berichtigung
   5. Recht auf Löschung („Recht auf Vergessenwerden“)
   6. Recht auf Einschränkung der Verarbeitung
   7. Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung
   8. Recht auf Datenübertragbarkeit
   9. Widerspruchsrecht
   10. Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
3. Sofern nicht anders vereinbart (d.h. in einer Dienstleistung inklusive), trägt der Auftraggeber entstehende Kosten. Diese sind dem Auftraggeber vorher mitzuteilen.

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten. Diese sind:
   Sicherheit der Verarbeitung
   1. Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
   2. Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person
   3. Datenschutz-Folgenabschätzung
   4. Vorherige Konsultation
2. Sofern der Auftragnehmer den Umstand nicht zu verantworten hat, trägt der Auftraggeber entstehende Kosten. Diese sind dem Auftraggeber vorher mitzuteilen. Bei Art. 32 DSGVO ist davon auszugehen, dass der Auftragnehmer dies bei einer Datenschutzverletzung zu verantworten hat, wenn sich die Verletzung beim Auftragnehmer ereignete.

1. Der Vertragspartner behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
2. Der Vertragspartner und Henara benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen.
3. Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.
4. Henara wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Vertragspartner erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Henara ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Vertragspartner bestätigt oder geändert wird.
5. Henara hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

1. Der Vertragspartner behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.
2. Der Vertragspartner und Henara benennen die zur Erteilung und Annahme von Weisungen ausschließlich befugten Personen.
3. Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.
4. Henara wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Vertragspartner erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Henara ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Vertragspartner bestätigt oder geändert wird.
5. Henara hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

1. Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Vertragspartners hat Henara die im Auftrag verarbeiteten Daten nach Wahl des Vertragspartners entweder zu vernichten oder an den Vertragspartner zu übergeben, soweit sie nicht für gesetzlich vorgeschriebene Dokumentationspflichten von Henara aufbewahrt werden müssen. Spätestens danach sind die Daten zu vernichten. Ebenfalls zu vernichten sind sämtliche vorhandene Kopien der Daten. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399.
2. Henara ist verpflichtet, die unverzügliche Rückgabe bzw. Löschung auch bei Subunternehmern herbeizuführen.
3. Henara hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Vertragspartner unverzüglich vorzulegen.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch Henara den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus aufzubewahren. Henara kann sie zu seiner Entlastung dem Vertragspartner bei Vertragsende übergeben.

1. Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften der Vertragspartner und Henara als Gesamtschuldner.
2. Henara trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt Henara den Vertragspartner auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Vertragspartner erhoben werden. Unter diesen Voraussetzungen ersetzt Henara dem Vertragspartner ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.
3. Henara haftet dem Vertragspartner für Schäden, die Henara, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.
4. Nummern (2) und (3) gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Vertragspartner erteilten Weisung entstanden ist.

1. Der Vertragspartner kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“), wenn ein schwerwiegender Verstoß von Henara gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, Henara eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will oder Henara Kontrollrechte des Auftraggebers vertragswidrig verweigert.
2. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn Henara die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.
3. Bei unerheblichen Verstößen setzt der Vertragspartner Henara eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Vertragspartner zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt.
4. Henara hat dem Vertragspartner alle Kosten zu erstatten, die diesem durch die verfrühte Beendigung des Hauptvertrages oder dieses Vertrages in Folge einer außerordentlichen Kündigung durch den Vertragspartner entstehen.