Auftragsverarbeitungsvertrag für Stenoly

Dieser Auftragsverarbeitungsvertrag («Vertrag») wird abgeschlossen zwischen:

• Verantwortlicher: die juristische Person, die Stenoly zur Verarbeitung personenbezogener Daten nutzt.
• Auftragsverarbeiter: Stenoly AS («Stenoly»), die den Stenoly-Dienst bereitstellt.

Zweck des Vertrags ist die Regelung der Verarbeitung personenbezogener Daten gemäss DSGVO, wobei Stenoly als Auftragsverarbeiter handelt und der Verantwortliche für die Rechtsgrundlage der Verarbeitung verantwortlich ist.

• Personenbezogene Daten: Informationen, die eine natürliche Person direkt oder indirekt identifizieren können.
• Verarbeitung: jeder mit personenbezogenen Daten ausgeführte Vorgang.
• Auftragsverarbeiter: Stenoly, das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Stenoly verpflichtet sich zur Vertraulichkeit; alle Mitarbeitenden und Unterauftragsverarbeiter, die Daten verarbeiten, sind zur Vertraulichkeit verpflichtet. Die Informationen werden ohne ausdrückliche Erlaubnis des Verantwortlichen nicht an Dritte weitergegeben.

Die Mitarbeitenden von Stenoly lesen den Inhalt von Konsultationen im normalen Betrieb nicht. Zwei namentlich bezeichnete Personen bei Stenoly können auf den Inhalt einer Konsultation zugreifen, um ein Problem zu beheben, und nur dann, wenn die Benutzerin oder der Benutzer um Hilfe bittet: entweder auf jeweils eine Konsultation oder indem sie das Konto während höchstens 60 Minuten so ansehen, wie die Benutzerin oder der Benutzer es sieht, ohne etwas ändern zu können. Jeder Zugriff wird mit Person, Zeitpunkt und Grund protokolliert, und der Verantwortliche erhält dieses Protokoll auf Anfrage. Beim Ansehen des Kontos umfasst das Protokoll die Sitzung, nicht jede darin geöffnete Konsultation.

Stenoly kann Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen. Jeder Unterauftragsverarbeiter unterliegt denselben Datenschutzpflichten, die in diesem Auftragsverarbeitungsvertrag festgelegt sind. Eine aktuelle Liste der Unterauftragsverarbeiter von Stenoly ist in unserer Datenschutzerklärung veröffentlicht und kann ausserdem auf Anfrage zur Verfügung gestellt werden. Stenoly informiert den Verantwortlichen vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters und gibt dem Verantwortlichen eine angemessene Möglichkeit, Einwände zu erheben.

Stenoly unterstützt den Verantwortlichen bei der Wahrnehmung der Rechte der betroffenen Personen. Die Verantwortung für die Beantwortung solcher Anfragen liegt beim Verantwortlichen.

Stenoly unterstützt den Verantwortlichen zudem bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der Stenoly zur Verfügung stehenden Informationen.

Patientendaten werden ausschliesslich innerhalb der EU/des EWR gespeichert und verarbeitet. Die einzige Ausnahme ist eine Videokonsultation in einem Netzwerk, das eine direkte Verbindung blockiert: Dann werden Bild und Ton des Gesprächs Ende-zu-Ende-verschlüsselt über das globale Netzwerk von Cloudflare weitergeleitet, das sie nicht lesen kann und nicht speichert. Abrechnungsdaten können zudem von Stripe ausserhalb der EU/des EWR verarbeitet werden. Solche Übermittlungen beruhen auf den Standardvertragsklauseln der EU-Kommission oder einem Angemessenheitsbeschluss. Im Übrigen übermittelt Stenoly personenbezogene Daten nicht ohne schriftliche Zustimmung des Verantwortlichen ausserhalb der EU/des EWR.

Stenoly strebt eine hohe Verfügbarkeit an, garantiert jedoch keine ununterbrochene Betriebszeit. Stenoly haftet nicht für Verluste, die durch Nichtverfügbarkeit entstehen; Wartungen können ohne Vorankündigung erfolgen.

Bei Beendigung des Vertrags werden personenbezogene Daten von Stenoly nach den Wünschen des Verantwortlichen gelöscht oder zurückgegeben; Stenoly behält keine Kopien, sofern nicht das Recht der EU oder eines EWR-Staats dies verlangt. Eine Löschbestätigung kann auf Anfrage bereitgestellt werden.

Der Verantwortliche:

• Stellt sicher, dass eine Rechtsgrundlage für die Verarbeitung besteht.
• Informiert betroffene Personen über die Verarbeitung ihrer Daten.
• Erteilt Stenoly Weisungen zur Verarbeitung.
• Setzt etwaige Weisungen zu Auskunft, Berichtigung und Löschung um.

Stenoly ist nicht für die Pflichten des Verantwortlichen nach DSGVO verantwortlich. In jedem Fall haftet Stenoly nur für Schäden, die aus einer Verletzung des Vertrags oder der DSGVO entstehen, und der Höhe nach begrenzt auf den Betrag, den der Verantwortliche in den letzten 12 Monaten für den Dienst gezahlt hat. Die Parteien verpflichten sich, im Falle von Schadenersatzforderungen zusammenzuarbeiten.

Der Vertrag gilt, solange Stenoly personenbezogene Daten für den Verantwortlichen verarbeitet. Bei Beendigung werden alle Daten zurückgegeben oder gelöscht.

Dieser Vertrag unterliegt norwegischem Recht; Streitigkeiten werden vom Bezirksgericht Oslo entschieden.