Stand: Juli 2026 · Gesundheits-Variante: zusätzlich § 203 StGB und Art-9-TOMs.

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Version health-v1 — Gesundheitsbranchen

Stand: 1. Juli 2026

Präambel und Parteien

Dieser Vertrag konkretisiert die Datenschutzpflichten der Parteien im Rahmen der Auftragsverarbeitung. Er gilt für alle Tätigkeiten, bei denen orbisite (Norman Voellings) als Auftragsverarbeiter personenbezogene Daten im Auftrag des Kunden (Verantwortlicher) verarbeitet. Diese Fassung gilt für Verantwortliche aus dem Gesundheitsbereich (z. B. Physiotherapie, Podologie), bei denen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Erstellung und der Betrieb der Website des Verantwortlichen einschließlich der Terminbuchungs- und Kontaktfunktionen. Verarbeitet werden Stammdaten der Endkunden des Verantwortlichen (Name, Kontaktdaten), Buchungs- und Termindaten sowie technische Nutzungs- und Protokolldaten. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrages. Es können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden (Gesundheitsdaten, soweit sich diese aus der Art der gebuchten Behandlung ergeben).

§ 2 Weisungsgebundenheit

orbisite verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten dies verlangt. In letzterem Fall teilt orbisite dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. orbisite informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.

§ 3 Vertraulichkeit

orbisite verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). § 203-Schweigepflicht: Soweit orbisite als „sonstige mitwirkende Person" im Sinne des § 203 Abs. 3, 4 StGB an der Berufsausübung des Verantwortlichen (Berufsgeheimnisträger) mitwirkt, verpflichten sich orbisite und alle eingesetzten Personen ausdrücklich zur Wahrung des Berufsgeheimnisses. Ein Zugriff auf geheimnisrelevante Daten erfolgt nur, soweit dies zur Leistungserbringung unerlässlich ist; Verstöße können nach § 203 Abs. 4 StGB strafbar sein. Die Einbindung weiterer Personen (Sub-Prozessoren) erfolgt nur unter entsprechender Verpflichtung. Die Einzelheiten regelt die gesonderte Verschwiegenheitsverpflichtung nach § 203 StGB (Anlage 3, Textform, inkl. Belehrung über die Strafbarkeit und Ketten-Belehrung von Beschäftigten und Subunternehmern).

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO) — Anlage 1

orbisite gewährleistet ein dem Risiko angemessenes Schutzniveau, insbesondere:

• Transportverschlüsselung TLS 1.2/1.3 durchgängig, HSTS aktiviert;
• Verschlüsselung im Ruhezustand (AES-256), Schlüsselverwaltung innerhalb der EU;
• rollenbasiertes Zugriffskonzept (RBAC), Mehr-Faktor-Authentisierung für Administratoren, keine geteilten Logins;
• revisionssichere Zugriffs- und Änderungsprotokolle;
• getestete, verschlüsselte Backups innerhalb der EU;
• dokumentiertes Lösch- und Aufbewahrungskonzept mit Nachweis;
• mandantengetrennte Datenhaltung (tenant-scoping) gegen mandantenübergreifende Zugriffe;
• regelmäßiges Review der Maßnahmen (mindestens jährlich) sowie Sicherheitstests.

Zusätzliche Art-9-Maßnahmen (Gesundheitsdaten)

• Pseudonymisierung: Trennung der Behandlungs-/Terminart von der Identität, soweit technisch möglich;
• verschärfte Zugriffsbeschränkung auf gesundheitsbezogene Buchungsdaten (Need-to-know);
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) für die Verarbeitung; bei verbleibendem hohen Restrisiko Konsultation der Aufsichtsbehörde (Art. 36 DSGVO);
• Prüfraster nach dem Standard-Datenschutzmodell (DSK SDM V3.1, Mai 2024).

§ 5 Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Prozessoren)

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Sub-Prozessoren. orbisite informiert den Verantwortlichen über beabsichtigte Änderungen vorab; der Verantwortliche kann innerhalb von 14 Tagen widersprechen. orbisite erlegt jedem Sub-Prozessor durch Vertrag dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO, back-to-back) und haftet für deren Einhaltung voll weiter. Eine Übermittlung in Drittländer erfolgt nur auf Grundlage geeigneter Garantien (SCC 2021/914 + Transfer-Impact-Assessment + Zusatzmaßnahmen); der Stack ist auf EU/EWR ausgerichtet.

§ 6 Unterstützung des Verantwortlichen

orbisite unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanträgen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 7 Meldung von Datenschutzverletzungen

orbisite meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, damit dieser seine Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO erfüllen kann.

§ 8 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht orbisite nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 9 Nachweise und Kontrollen

orbisite stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Audits) in angemessenem Umfang.

Anlage 2 — Sub-Prozessoren (Stand 2026-07-01)

Die laufend gepflegte Fassung ist unter orbisite.de/subunternehmer abrufbar.