AV-Vertrag Praxis: Pflichtinhalte & Prüfung in 30 Minuten

Ein AV-Vertrag ist Pflicht, sobald ein Software-Anbieter Patientendaten verarbeitet. Das gilt für Terminsysteme, Cloud-Praxissoftware und Patienten-Apps. Viele Inhaber unterschreiben den Vertrag, ohne ihn zu lesen. Dieser Beitrag zeigt, welche 9 Pflichtinhalte Art. 28 DSGVO verlangt, welche Klauseln Sie fordern sollten und woran Sie einen schwachen Vertrag erkennen.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Die finale Prüfung gehört zu Ihrem Datenschutzbeauftragten oder Anwalt.

Was ist Auftragsverarbeitung

Die DSGVO unterscheidet zwei Rollen: Verantwortliche und Auftragsverarbeiter.

Sie als Praxis entscheiden, welche Daten zu welchem Zweck verarbeitet werden. Sie sind Verantwortliche.

Der Software-Anbieter führt die Verarbeitung nach Ihren Weisungen aus. Er ist Auftragsverarbeiter.

Diese Rollenverteilung ändert sich nicht, nur weil der Anbieter die Technik kontrolliert.

Der AV-Vertrag hält diese Rollen schriftlich fest. Er schützt nicht nur Patienten, sondern auch Sie: Ohne Vertrag verstoßen Sie gegen die DSGVO – unabhängig davon, wie sorgfältig der Anbieter arbeitet. Bei Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO) wiegt dieser Verstoß besonders schwer.

Welche weiteren Anforderungen bei Gesundheitsdaten gelten, lesen Sie im Beitrag DSGVO und Patienten-App.

Die 9 Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Das Gesetz schreibt den Mindestinhalt vor. Fehlt einer dieser Punkte, ist der Vertrag unvollständig.

Prüfen Sie jeden AV-Vertrag anhand dieser Liste:

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien betroffener Personen
2. Verarbeitung nur auf dokumentierte Weisung der Praxis
3. Verpflichtung der Mitarbeiter des Anbieters zur Vertraulichkeit
4. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
5. Regelungen zu Unterauftragnehmern, inklusive Informations- und Widerspruchsrecht
6. Unterstützung bei Betroffenenanfragen wie Auskunft und Löschung
7. Unterstützung bei Datenschutz-Folgenabschätzung und bei Meldungen von Datenpannen
8. Löschung oder Rückgabe aller Daten nach Vertragsende
9. Bereitstellung aller Informationen zum Nachweis der Einhaltung, inklusive Kontrollrecht

Ein Anbieter, der diese neun Punkte nicht abdeckt, hat entweder keinen Datenschutzjuristen konsultiert oder verarbeitet Ihre Daten nicht rechtskonform. Beides ist bei Patientendaten ein Ausschlusskriterium.

Klauseln, die Sie zusätzlich fordern sollten

Die Pflichtinhalte sind das Minimum. Für Gesundheitsdaten sollten Sie genauer hinschauen.

Diese Punkte sind keine Sonderwünsche. Seriöse Anbieter für den Gesundheitsmarkt haben sie bereits im Standardvertrag, weil Praxen und Datenschutzbeauftragte danach fragen.

Technische und organisatorische Maßnahmen prüfen

Der AV-Vertrag verweist meist auf eine Anlage mit technischen und organisatorischen Maßnahmen (TOM). Diese Anlage ist der eigentliche Beleg, dass der Anbieter Daten angemessen schützt.

Lesen Sie die TOM-Anlage und gleichen Sie sie mit dem ab, was Sie über die Software wissen.

Relevante Fragen an die TOM

• Werden Daten bei der Übertragung und bei der Speicherung verschlüsselt?
• Gibt es ein Rollen- und Berechtigungskonzept, sodass nicht jeder Mitarbeiter des Anbieters alle Daten sehen kann?
• Werden Zugriffe protokolliert und die Protokolle regelmäßig ausgewertet?
• Wie oft werden Sicherungskopien erstellt und wo liegen sie?
• Gibt es eine Zwei-Faktor-Authentifizierung für das Dashboard der Praxis?
• Wie werden Mitarbeiter des Anbieters geschult und zur Vertraulichkeit verpflichtet?

Eine TOM-Anlage, die nur aus allgemeinen Floskeln besteht, ist ein Warnsignal. Konkrete Angaben zu Verschlüsselung, Backups und Zugriffskontrolle zeigen, dass der Anbieter seine eigenen Prozesse kennt.

Typische Fehler in der Praxis

Aus Gesprächen mit Praxen fallen drei wiederkehrende Fehler auf.

Fehler 1: Der Vertrag liegt irgendwo

Der häufigste Fehler: Der AV-Vertrag existiert, aber niemand weiß, wo er liegt.

Legen Sie alle AV-Verträge zentral ab und verknüpfen Sie sie mit Ihrem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Fehler 2: Unterauftragnehmer sind unbekannt

Viele Anbieter nutzen Hosting-, E-Mail- oder Push-Dienste großer Plattformen. Das ist zulässig, muss aber im Vertrag stehen.

Fragen Sie nach, wenn die Liste leer ist. Kein moderner Software-Anbieter arbeitet ganz ohne Dienstleister.

Fehler 3: Zahlungsdaten werden falsch eingeordnet

Wenn Patienten in einer App bezahlen, ist der Zahlungsdienstleister in der Regel kein Auftragsverarbeiter der Praxis, sondern eigenständig verantwortlich. Der App-Anbieter sollte deshalb selbst keine Kartendaten berühren.

Wie das technisch abläuft, beschreibt der Beitrag Online-Zahlungen in der Praxis.

Mach den Selbsttest: Ist Ihr AV-Vertrag vollständig?

Beantworten Sie diese Fragen mit Ja oder Nein:

• Enthält der Vertrag alle 9 Pflichtinhalte nach Art. 28 Abs. 3 DSGVO?
• Steht der Serverstandort konkret im Vertrag (z. B. „Deutschland" oder „EU")?
• Sind alle Unterauftragnehmer namentlich aufgeführt?
• Gibt es eine feste Frist für die Meldung von Datenpannen (z. B. „innerhalb von 24 Stunden")?
• Enthält die TOM-Anlage konkrete Angaben zu Verschlüsselung, Backups und Zugriffskontrolle?
• Wissen Sie, wo der Vertrag liegt, und ist er mit Ihrem Verzeichnis der Verarbeitungstätigkeiten verknüpft?

Wenn Sie eine Frage mit Nein beantwortet haben, sollten Sie nachbessern.

Wie Sie den Vertrag in 30 Minuten prüfen

Sie brauchen keinen Volljuristen, um einen AV-Vertrag auf grobe Lücken zu prüfen.

Gehen Sie in dieser Reihenfolge vor:

1. Suchen Sie die neun Pflichtinhalte aus Art. 28 Abs. 3 und haken Sie sie ab.
2. Prüfen Sie Serverstandort und Unterauftragnehmerliste.
3. Prüfen Sie die Frist für die Meldung von Datenpannen.
4. Lesen Sie die TOM-Anlage auf konkrete Angaben.
5. Notieren Sie offene Punkte und schicken Sie sie an den Anbieter, bevor Sie unterschreiben.

Wenn der Anbieter auf Rückfragen ausweichend reagiert, ist das eine wertvolle Information. Seriöse Anbieter beantworten solche Fragen schriftlich und ohne Aufpreis, denn sie werden regelmäßig gestellt.

Was passiert, wenn Sie nichts ändern

Ohne vollständigen AV-Vertrag verstoßen Sie gegen die DSGVO. Bei einer Prüfung durch die Aufsichtsbehörde oder bei einem Datenvorfall müssen Sie nachweisen, dass Sie den Anbieter sorgfältig ausgewählt haben. Ohne Vertrag fehlt dieser Nachweis.

Die Folgen: Bußgelder, Haftung gegenüber Patienten und Reputationsschaden. Jeder Monat ohne vollständigen Vertrag erhöht dieses Risiko.

Fazit

Der AV-Vertrag ist kein Formalismus, sondern die Grundlage dafür, dass Sie Patientendaten überhaupt an einen Anbieter geben dürfen. Fordern Sie die 9 Pflichtinhalte nach Art. 28 DSGVO ein, achten Sie auf EU-Standort, klare Unterauftragnehmer und feste Meldefristen. Lassen Sie das Ergebnis von Ihrem Datenschutzbeauftragten oder Anwalt freigeben.

lumelle liefert den AV-Vertrag als Bestandteil des Angebots mit, ist ein deutscher Anbieter und berührt weder Kartendaten noch Geldflüsse. Wenn Sie sehen möchten, wie Ihre eigene Patienten-App aussieht und welche Unterlagen dazugehören, vereinbaren Sie ein unverbindliches 15-Minuten-Gespräch.