Seite 1 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Nutzungsbedingungen ScanAdhoc und Pharma-Control 1. Gegenstand (Allgemeines, Geltungsbereich) 1.1. Die NOVENTI HealthCare GmbH, Berg-am-Laim-Str. 105, 81673 München (im Folgenden „NHC“), hat die exklusiven Nutzungs- und Verwertungsrechte an der Software „ScanAdhoc“ und „Pharma-Control“ (im Fol- genden zusammen „Vertragsprodukte“) inne. 1.2. Gegenstand dieser AGB ist die Regelung der Nutzung der dem Anwender/Nutzer in Form der jeweiligen Apo- theke (im Folgenden „Vertragspartner“) durch NHC zur Verfügung gestellten Vertragsprodukte. 1.3. Die Vertragsprodukte richten sich an Unternehmer (i.S.v. § 14 BGB) in Form von Apotheken. Ein Nut- zungsvertrag auf Grundlage dieser AGB kann somit nur zwischen einem Unternehmer als Vertragspartner (in Form eines Institutionskennzeichens, IK) und dem Li- zenzgeber zustande kommen („B2B-Fall“). 1.4. Von diesen AGB abweichende oder sie ergänzende Bedingungen des Vertragspartners werden vom Li- zenzgeber nicht anerkannt, auch wenn NHC nicht wi- derspricht oder der Vertragspartner erklärt, nur zu sei- nen Bedingungen liefern zu wollen. 2. Vertragsschluss 2.1. Das Vertragsverhältnis über die Nutzung der Vertrags- produkte kommt erst nach einer (Online-) Registrierung des Vertragspartners und der anschließenden Annah- meerklärung von NHC zustande. 2.2. Bei der (Online-) Registrierung gibt der Vertragspartner zunächst seine zur Vertragsdurchführung erforderlichen Daten an. Änderungen dieser Daten teilt der Vertrags- partner dem Lizenzgeber während des mit Vertrags- schluss (siehe nachstehende Regelungen) eigegange- nen Vertragsverhältnisses unverzüglich mit. 2.3. Mit seiner vorzugsweise im Internet (z.B. https://www.vsa.de/formulare/scanadhoc-bestellung) abgegebenen Bestellung (Erklärung) gibt der Vertrags- partner einen Antrag an NHC auf Abschluss eines Ver- trages über die Nutzung der o. g. Vertragsprodukte zu den jeweiligen Konditionen ab. Dieser Antrag muss vom Lizenzgeber im Wege einer Annahmeerklärung angenommen werden. Die Bestell-/Eingangsbestäti- gung stellt noch keine solche Annahmeerklärung dar. Die Annahmeerklärung liegt vielmehr in der ausdrückli- chen Erklärung von NHC, wonach dieser seine Zustim- mung zum o. g. Antrag des Vertragspartners erklärt. Dies erfolgt spätestens mit der Zurverfügungstellung der Vertragsprodukte. Erst durch besagte Annahmeer- klärung von NHC kommt ein Vertrag zwischen Ver- tragspartner und Lizenzgeber auf Basis dieser AGB zu- stande. 2.4. Nach erfolgtem Vertragsschluss werden die ggf. bereits installierten Vertragsprodukte, je nach getroffener Aus- wahl, für den Vertragspartner freigeschaltet. Erforderli- chenfalls erhält der Vertragspartner bei noch nicht in- stallierten Vertragsprodukten einen Link zum Download der jeweiligen Software. Für den Fall, dass Installati- onsunterstützung und/oder für den Betrieb der Software erforderliche Komponenten (etwa der unten genannte Scanner) erforderlich sind, wird sich NHC zeitnah mit dem Lizenzgeber in Verbindung setzen. 3. Produktbeschreibung 3.1. ScanAdhoc dient zur umfangreichen Rezeptkontrolle mit den Schwerpunkten Retaxationssicherheit sowie Abgabekontrolle. Ziel des Programmes ist das grund- sätzliche Auffinden von fehlerhaften Informationen auf Rezepten sowie der bestmögliche Schutz vor Retaxati- onen. Wesentliche Aufgaben des Programms ScanAd- hoc sind vor allem das Scannen und Auslesen der Re- zeptinformationen und das anschließende Prüfen auf Abrechnungskonformität. 3.2. Pharma-Control ist ein ggf. optionales Zusatzmodul von ScanAdhoc. Pharma-Control soll bei der Überprü- fung unterstützen, ob das taxierte Arzneimittel der Ver- ordnung entspricht. 3.3. Für den Leistungs- und Funktionsumfang der Vertrags- produkte sind ausschließlich diese Bedingungen (AGB) maßgeblich. Etwaige anderslautende Beschreibungen (etwa im Internet, Werbemedien, etc.) enthalten ledig- lich freibleibende Angaben. 4. Systemanforderungen 4.1. Die folgenden Anforderungen müssen auf Seiten des Vertragspartners und auf dessen Kosten erfüllt sein: 4.1.1. Technische Voraussetzungen • Dokumentenscanner mit Duplex-Scanfunktion und TWAIN-Schnittstelle (Scan-Auflösung min- destens 300 dpi) • Internetverbindung (während der Nutzung der Vertragsprodukte) • PC-Arbeitsplatz (Mindestanforderungen: Prozes- sor mind. Intel Core-2 Duo 6600; 2.4 GHz oder vergleichbar, Arbeitsspeicher: mind. 4 GB, mini- male Bildschirmauflösung: 1280x1024 4.1.2. Softwarevoraussetzungen • Microsoft Windows-Betriebssystem ab Version Windows 10 5. Laufzeit, Vertragsbeginn, Vertragsende, Kündi- gungsmöglichkeiten 5.1. Der Vertrag über die Nutzung der Vertragsprodukte be- ginnt mit der Annahmeerklärung von NHC (vgl. oben unter Ziff. 2. Vertragsschluss) und wird auf unbe- stimmte Zeit geschlossen. Er kann von beiden Seiten mit einer Frist von einem Monat zum Ende eines Kalen- dermonats ordentlich gekündigt werden. 5.2. Das Recht zur außerordentlichen Kündigung richtet sich nach den gesetzlichen Bestimmungen. Dem Li- zenzgeber steht dabei ein außerordentliches Kündi- gungsrecht insbesondere zu, wenn sich der Vertrags- partner mit mindestens zwei Monatsgebühren in Ver- zug befindet. 5.3. Nach Beendigung des Vertrages ist die Nutzung der Vertragsprodukte und insbesondere die Online-Prüfung nicht mehr möglich. Der Vertragspartner hat damit kei- nen Zugriff mehr auf die erfassten und geprüften Re- zeptdaten. 6. Nutzungsrecht 6.1. NHC räumt dem Vertragspartner mit vollständiger und termingerechter Bezahlung der vereinbarten Gebühren für die Dauer des Vertragsverhältnisses und für die in diesen Bedingungen geregelten Verwendungszwecke ein einfaches Nutzungsrecht an den Vertragsprodukten (Software ScanAdhoc und ggf. Pharma-Control), zur In- stallation und Nutzung durch den Vertragspartner, be- zogen auf das jeweilige IK (Institutionskennzeichen), ein. 6.2. Sofern nicht anderweitig schriftlich vereinbart, ist der Vertragspartner pro lizenziertem Institutionskennzei- chen (IK) zur Installation der Software ScanAdhoc auf einem Server bei unbegrenzter Anzahl von Clients be- rechtigt. Nicht von dem beschriebenen Nutzungsrecht umfasst ist das Recht zur Erteilung von Unterlizenzen, zur Übertragung auf Dritte oder anderweitigen Verwer- tung (Vervielfältigung, Verbreitung, Ausstellung, Verlei- hen, Vermieten, Verkauf), zur öffentlichen Wiedergabe, zur Bearbeitung, Umgestaltung, Weiterentwicklung oder Zurückentwicklung (Dekompilierung). 6.3. Der Vertragspartner hat das Recht, eine Sicherungsko- pie der Software (in Form der Datenbank) zu erstellen, die von ihm sicher verwahrt und vor Missbrauch und Diebstahl geschützt werden muss. 6.4. Der Vertragspartner hat dem Lizenzgeber auf Verlan- gen von NHC zu ermöglichen, den ordnungsgemäßen Seite 2 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Einsatz der Vertragsprodukte zu überprüfen. Der Ver- tragspartner wird dem Lizenzgeber auf Verlangen in- nerhalb einer angemessenen Frist schriftlich Auskunft darüber erteilen, ob die Vertragsprodukte vertragsge- mäß genutzt werden, insbesondere ob der vertraglich vereinbarte Nutzungsumfang (z.B. hinsichtlich der An- zahl bzw. des Umfangs der zur Verfügung gestellten Li- zenz) sowie die Nutzungsbedingungen nicht überschrit- ten werden. 6.5. Die Vertragsprodukte sind rechtlich geschützt. Alle Ur- heberrechte, Patentrechte, Markenrechte und sonsti- gen Leistungsschutzrechte an den Vertragsprodukten stehen im Verhältnis zum Vertragspartner unbeschadet der vertraglich eingeräumten Nutzungsrechte aus- schließlich dem Lizenzgeber zu. Urhebervermerke, Se- riennummern oder andere der Identifikation dienende Merkmale dürfen vom Vertragspartner nicht entfernt oder verändert werden. 7. Besondere Bestimmungen AVOXA 7.1. Das im Rahmen der Nutzung der Vertragsprodukte überlassene AVOXA-Datenmaterial ist ebenfalls urhe- berrechtlich geschützt. Alle Rechte an dem besagten Datenmaterial stehen ausschließlich der AVOXA - Me- diengruppe Deutscher Apotheker GmbH, Eschborn zu. Über die in diesen Nutzungsbedingungen geregelten Nutzungsrechte hinaus, erwirbt der Vertragspartner keine Rechte an dem Datenmaterial. Der Vertrags- partner darf die AVOXA-Datenbanken ausschließlich zu apothekenspezifischen Zwecken über die zentral vom Lizenzgeber zur Verfügung gestellte Rezeptprüfung in- nerhalb der ScanAdhoc-Applikation bzw. Pharma-Con- trol nutzen. Der Vertragspartner darf die AVOXA-Da- tenbanken ohne entsprechende Lizenzierung nicht on- line, insbesondere nicht im Internet, verfügbar machen. Der Vertragspartner darf die AVOXA-Datenbanken nur für eigene Zwecke nutzen und nicht an Dritte weiterge- ben, auch nicht in Form von Ausdrucken aus dem Da- tenmaterial, selbst wenn es sich um unwesentliche Teile handelt. Der Vertragspartner ist verpflichtet, einen unbefugten Zugriff auf das Datenmaterial sowie die un- befugte Nutzung oder Kenntnisnahme des Datenmate- rials durch Dritte auszuschließen. Der Vertragspartner darf das AVOXA-Datenmaterial nicht verändern oder verändertes Datenmaterial verwenden. 8. Weitere Rechte und Pflichten des Vertragspartners 8.1. Der Vertragspartner ist berechtigt, pro IK (Institutions- kennzeichen) eine Kopie des Programms auf einem Server (bei unbegrenzter Anzahl von Clients) zu instal- lieren und zu verwenden. Der Vertragspartner ist wei- terhin berechtigt, Listen, Summen und andere Auswer- tungen lediglich für den eigenen Bedarf zu erstellen und zu verwerten. 8.2. Der Vertragspartner verpflichtet sich, durch geeignete Maßnahmen den unbefugten Zugriff Dritter auf die Soft- ware ScanAdhoc und ggf. Pharma-Control nebst Re- zeptdaten zu verhindern. Zu diesem Zweck kann u. a. bei der Installation des Programms ein Passwort verge- ben werden. Die Mitarbeiter des Vertragspartners sind auf die Einhaltung der vorliegenden AGB wie auch der Bestimmungen der DSGVO und des Urheberrechtsge- setzes hinzuweisen. 8.3. Ein Missbrauch der Daten auf Seiten des Vertragspart- ners (z.B. unbefugter Zugriff nicht autorisierter Mitarbei- ter des Vertragspartners auf die Datenbank) liegt au- ßerhalb der Verantwortung von NHC. 8.4. Der Vertragspartner wird darauf hingewiesen, dass NHC nach entsprechender Information durch den Ver- tragspartner durch Vergabe eines neuen Passwortes einen weiteren unbefugten Zugriff verhindern kann. Die Kosten für eine solche Passwort-Änderung trägt der Vertragspartner. NHC darf diese Kosten dem Vertrags- partner mit der nächstfolgenden Abrechnung belasten. 8.5. Dem Vertragspartner ist bekannt, dass die von ScanA- dhoc erfassten Informationen bzw. Rezeptdaten (inkl. der Bilddateien bzw. „Images“ der gescannten Re- zepte) lediglich für eine Dauer von 90 Tagen (Kalender- tage) in der Software vorgehalten werden bzw. einseh- bar sind. Ein Zugriff auf die Daten ist nach diesem Zeit- raum grundsätzlich nicht mehr möglich. 8.6. Es obliegt dem Vertragspartner, sich in regelmäßigen Abständen durch Datensicherung gegen Datenverlust zu schützen. Auch eine Datensicherung kann allerdings nicht das Löschen der Daten nach der o. g. 90 Tage- Dauer verhindern. 8.7. Der Internetzugang ist nicht Gegenstand dieser Nut- zungsbedingungen. Für den Zugriff auf das Internet so- wie für die Anschaffung und den Zustand der eigenen Hard- und Software ist der Vertragspartner selbst ver- antwortlich. Die Kosten für die Nutzung des Internets, die bei der Nutzung der Vertragsprodukte entstehen, trägt der Vertragspartner ebenfalls selbst. 9. Prüfungsobliegenheiten und Mitwirkung des Ver- tragspartners 9.1. Die durch die Software ScanAdhoc mögliche On- lineprüfung dient dazu, dem Auftragnehmer bei der Kontrolle seines Handelns zu unterstützen. Der Auf- tragnehmer bleibt allerdings dafür verantwortlich, die Abfrageergebnisse auf Aktualität, Unstimmigkeiten oder Fehler zu überprüfen und eigenverantwortlich die durch die Software ScanAdhoc gelieferten Hinweise zu be- werten und auf Basis der Gesetzgebung und Vertrags- situation zu entscheiden. Diese Eigenverantwortung kann die Software ScanAdhoc nicht ersetzen. Aufgetre- tene Mängel, Unstimmigkeiten oder Fehler hat der Ver- tragspartner unverzüglich per E-Mail an info@vsa.de unter Angabe einer möglichst genauen Fehlerbeschrei- bung zu melden. 9.2. Der Vertragspartner verpflichtet sich, durch geeignete Maßnahmen den unbefugten Zugriff Dritter auf die Soft- ware ScanAdhoc sowie die Daten zu verhindern. Die Mitarbeiter des Vertragspartners sind auf die Einhal- tung der vorliegenden Vertragsbedingungen sowie der Bestimmungen der DSGVO und des UrhG hinzuwei- sen. 9.3. Es obliegt dem Vertragspartner, sich in regelmäßigen Abständen durch Datensicherung gegen Datenverlust zu schützen. 10. Preise 10.1. Preise sind netto zzgl. der jeweils gültigen gesetzlichen Umsatzsteuer. 10.2. Die zu zahlenden Preise werden, soweit nicht anders angegeben, grundsätzlich mit Leistungserbringung von NHC, und bei fortdauernder Leistungserbringung mit erstmaliger Zurverfügungstellung der Vertragsprodukte (beispielsweise der Überlassung der Software ScanAd- hoc), sofort fällig. Sofern ein monatlicher Preis verein- bart ist, wird dieser monatlich im Voraus fällig. 10.3. Der Vertragspartner ist, sofern er nicht Abrechnungs- kunde von NHC auf Basis eines gesonderten Abrech- nungsvertrages ist, verpflichtet, am SEPA-Lastschrift- verfahren teilzunehmen, um die vereinbarten monatli- chen Preise für die Nutzung der Vertragsprodukte bei Fälligkeit zu begleichen. Er ist verpflichtet, dem Lizenz- geber bei Vertragsschluss ein Lastschriftmandat zu er- teilen und dieses während der Vertragsdauer aufrecht zu halten. Bei Zahlung per Lastschrift informiert NHC den Vertragspartner über die Belastung (Betrag und Fälligkeit) mit einer Ankündigungsfrist von einem Tag (Pre-Notification). Fällt das Fälligkeitsdatum auf einen Nicht-Bankarbeitstag, erfolgt die Belastung am nächs- ten Bankarbeitstag. 10.4. Besteht aktuell oder in Zukunft zwischen den Vertrags- parteien eine Abrechnungs- und Factoringvereinbarung (AFV) oder ein vergleichbares Rechtsgeschäft, ist NHC berechtigt, die Preise für die Nutzung der Vertragspro- dukte im Rahmen dieses Factoringvertrags bzw. ver- gleichbaren Rechtsgeschäfts/Vertrags zu berech- Seite 3 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 nen/verrechnen. Gleiches gilt für die jeweils gültige ge- setzliche Umsatzsteuer, die auf den Preis erhoben wird. 10.5. Nutzt der Vertragspartner die Vertragsprodukte über den vereinbarten Umfang hinaus, so hat NHC An- spruch auf eine gesonderte Vergütung, die auf der Grundlage der tatsächlichen Nutzung und der aktuellen Preisgestaltung von NHC berechnet und bestimmt wird. 10.6. In allen Fällen, in denen der Vertragspartner mit Zah- lungen im Zusammenhang Ansprüchen aus diesem Vertrag in Verzug gerät und dem Vertragspartner er- folglos eine Nachfrist gesetzt wurde, ist NHC berech- tigt, seine Leistungen einzustellen, ohne dass es einer weiteren Fristsetzung bedarf. 10.7. Eine Aufrechnung oder die Geltendmachung eines Zu- rückbehaltungsrechtes wegen seitens von NHC nicht anerkannter oder nicht rechtskräftig festgestellter Ge- genansprüche ist ausgeschlossen. 11. Preisanpassung 11.1. NHC darf Preise nach billigem Ermessen der Entwick- lung der Kosten, die für die Preisberechnung maßgeb- lich sind, anpassen. Preisänderungsrelevante Kosten sind insbesondere, Versandkosten, Energiekosten, IT- Betriebs- und Entwicklungskosten, Versicherungskos- ten und Personalkosten sowie Kosten für die Service- Hotline und Programmieraufwand 11.2. Kostensenkungen werden für die Preisanpassung in gleichem Umfang berücksichtigt, wie Kostensteigerun- gen. Kostensteigerungen dürfen nur in dem Umfang zur Preiserhöhung herangezogen werden, in dem kein Ausgleich durch rückläufige Kosten bei anderen kos- tenrelevanten Faktoren erfolgt. 11.3. NHC teilt dem Vertragspartner die Anpassung der Preise in Textform oder über ScanAdhoc mindestens fünf Wochen vor dem Wirksamwerden der Anpassung mit. 11.4. Der Vertragspartner kann im Falle einer Preiserhöhung den Vertrag zum Zeitpunkt des Wirksamwerdens der Anpassung kündigen. Die Kündigung seitens des Ver- tragspartners muss innerhalb von vier Wochen nach Zugang der Änderungsmitteilung erfolgen; die Kündi- gung bedarf der Textform. NHC wird den Vertrags-part- ner auf die Folgen seines Schweigens auf die Ankündi- gung zur Anpassung der Preise hinweisen. 11.5. Abweichend von Ziff. 11.1 bis 18 werden Änderungen der Umsatzsteuer gemäß Umsatzsteuergesetz zum Zeitpunkt des Wirksamwerdens der Änderung ohne An- kündigung und ohne außerordentliche Kündigungsmög- lichkeit an den Vertragspartner weitergegeben; gleiches gilt, soweit nach Vertragsschluss neue Abgaben, insb. Steuern, oder sonstige staatlich veranlasste Be- oder Entlastungen wirksam werden. 11.6. Preisanpassungen bei zusätzlichen Leistungen berech- tigen nur zur Kündigung der von der Preisanpassung betroffenen Leistung, nicht jedoch zur Kündigung nicht von der Preisanpassung betroffener zusätzlicher Leis- tungen bzw. des Abrechnungsvertrages 12. Updates Updates der Vertragsprodukte werden dem Vertrags- partner vom Lizenzgeber bei Bedarf (vgl. nachstehende Bestimmungen) und zu gegebener Zeit zur Verfügung gestellt. Es kann für die ordnungsgemäße Funktion der Vertragsprodukte erforderlich sein, diese Updates auch tatsächlich einzuspielen, was prinzipiell durch den Ver- tragspartner selbstständig erfolgen muss. 13. Installationsunterstützung und Beratung 13.1. ScanAdhoc (und Pharma-Control) ist ein grundsätzlich selbsterklärendes Programm. Kenntnisse zur Verwen- dung von Datenbankprogrammen sind jedoch von Vor- teil. Die Installation erfolgt, so erforderlich, über eine automatisch ablaufende Installationsroutine. Vorausset- zung ist in jedem Fall, dass die Hard- und Software-An- forderungen (siehe oben) erfüllt sind, die dem Vertrags- partner bekannt sind. Etwaig erforderliche Installations- unterstützung kann der Vertragspartner gegenüber dem Lizenzgeber gegen zusätzliches Entgelt auf An- frage in Anspruch nehmen. 13.2. Sollte der Vertragspartner die o. g. Anforderungen nicht rechtzeitig vor Inbetriebnahme der Software umsetzen und ein mangelfreier Einsatz der Software daher nicht möglich sein, trägt der Vertragspartner hierfür allein die Verantwortung und hat keinen Anspruch auf eine Rück- erstattung der Lizenzgebühren. 13.3. Sollte es trotz der o. g. Umstände erforderlich sein, eine technische Unterstützung zu bieten oder eine Schulung durchzuführen, so ist diese Hilfe kostenpflichtig. Hierfür kann der Vertragspartner beispielsweise mit dem Li- zenzgeber eine vom Nutzungsvertrag gesonderte Ser- vicevereinbarung abschließen. 14. Gewährleistung, Mängel 14.1. Der Vertragspartner hat vor Vertragsabschluss über- prüft, dass der Funktionsumfang der Vertragsprodukte seinen Erwartungen und Bedürfnissen entspricht. Ihm sind die wesentlichen Funktionsmerkmale und -bedin- gungen bekannt. Es besteht keine Gewährleistung da- für, dass die Vertragsprodukte den speziellen Anforde- rungen des Vertragspartners entsprechen. Der Ver- tragspartner trägt die alleinige Verantwortung für Aus- wahl, Installation und Nutzung der Vertragsprodukte so- wie für die damit erzielten Ergebnisse und den wirt- schaftlichen Erfolg. 14.2. Der Vertragspartner erkennt ausdrücklich an, dass Funktionsstörungen der Vertragsprodukte auch bei größter Sorgfalt nicht ausgeschlossen werden können. 14.3. NHC ist während der Vertragslaufzeit für die Aufrecht- erhaltung der vertraglich vorgesehenen Funktionstüch- tigkeit der Vertragsprodukte verantwortlich und behebt in diesem Zusammenhang Mängel und Funktionsstö- rungen, die den vertraglich vorgesehenen Gebrauch der Vertragsprodukte erheblich mindern (Sachmängel). Im Zuge der Mangelbeseitigung kann NHC Updates, Upgrades, Patches und neue Versionen (Programmak- tualisierungen) zum Download oder auf einem Daten- träger zur Selbstinstallation bereitstellen. Einen eigen- ständigen Anspruch auf entsprechende Programmaktu- alisierungen zum Zwecke der Mangelbeseitigung bzw. Gewährleistung und darüber hinaus hat der Vertrags- partner nicht. 14.4. NHC gewährleistet, dass die Vertragsprodukte frei von Sachmängeln sind. NHC haftet nicht für Sachmängel, die auf einer fehlerhaften Anwendung der Vertragspro- dukte oder darauf beruhen, dass die Voraussetzungen zum Einsatz der Vertragsprodukte nicht oder nicht voll- ständig durch den Vertragspartner geschaffen worden sind, Software Dritter einen Mangel aufweist, die Ver- tragsprodukte in einer falschen Systemumgebung ein- gesetzt werden oder die aus von dem Vertragspartner vorgenommenen Änderungen oder Ergänzungen der Vertragsprodukte oder der Systemumgebung sowie verbundener Software, insbesondere Software Dritter, nach Installation der Vertragsprodukte resultieren. Et- was anderes gilt nur, soweit der Vertragspartner nach- weist, dass die Sachmängel bereits bei Überlassung der Vertragsprodukte vorlagen und mit vorstehend be- nannten Umständen in keinem ursächlichen Zusam- menhang stehen oder der Vertragspartner zu den be- treffenden Änderungen aus gesetzlichen Vorschriften berechtigt ist und diese fachgerecht ausgeführt hat so- wie die Änderungen nachvollziehbar dokumentiert wer- den. Mängelansprüche bestehen auch nicht bei einer unerheblichen Abweichung von der vereinbarten Be- schaffenheit oder einer unerheblichen Beeinträchtigung der Gebrauchstauglichkeit der Vertragsprodukte. 14.5. Im Rahmen der Mangelbeseitigung ist NHC berechtigt, nach seiner Wahl den Mangel durch Beseitigung des Mangels (Nachbesserung), ggf. mehrfach, oder Ersatz- lieferung zu beheben oder zu umgehen. Das Recht von NHC, die gewählte Art der Nacherfüllung unter den ge- Seite 4 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 setzlichen Voraussetzungen zu verweigern, bleibt un- berührt. NHC ist im Rahmen der Mangelbeseitigung un- ter Beibehaltung des vertraglich vorgesehenen Funkti- onsumfangs berechtigt, dem Vertragspartner zur In- standsetzung Programmaktualisierungen zu überlas- sen, die den gerügten Mangel nicht mehr enthalten. 14.6. Der Vertragspartner ist verpflichtet, die Vertragspro- dukte unverzüglich nach Bereitstellung zu untersuchen und erkannte Sachmängel schriftlich oder in Textform unter genauer Beschreibung des Fehlers zu rügen. Im Übrigen ist der Vertragspartner verpflichtet, NHC unver- züglich nach erstmaliger Kenntnis von einem Sachman- gel schriftlich oder in Textform zu unterrichten und nachprüfbare Unterlagen über Art und Auftreten des behaupteten Sachmangels zur Verfügung zu stellen so- wie einen sachkundigen Mitarbeiter zu benennen, der die zur Durchführung des Vertrages und zur Mangelbe- seitigung erforderlichen Auskünfte erteilen und Ent- scheidungen treffen oder Maßnahmen veranlassen kann. Der Vertragspartner hat darüber hinaus die Pflicht, bei der Eingrenzung von Fehlern ernsthaft und nach besten Kräften mitzuwirken sowie dem Lizenzge- ber ggf. Zugriff auf seine IT-Systeme zu verschaffen und dessen Anweisungen zur Fehlerbehebung zu be- folgen. 14.7. Stellt sich bei Überprüfung des gemeldeten Mangels heraus, dass kein gewährleistungspflichtiger Mangel der Vertragsprodukte vorliegt, kann NHC von dem Ver- tragspartner Ersatz der nachweislich angefallenen Kos- ten der Mangelbeseitigung verlangen, insbesondere Prüf- und Transportkosten, es sei denn das Fehlen ei- nes zur Instandsetzung verpflichtenden Mangels war für den Vertragspartner nicht erkennbar. Dies gilt insbe- sondere bei fehlerhafter Bedienung durch den Ver- tragspartner. 14.8. NHC übernimmt keine Gewähr für den Inhalt, die Aktu- alität und Vollständigkeit der Datenbanken wenn das Datenmaterial von Dritten (z.B. der AVOXA - Medien- gruppe Deutscher Apotheker GmbH) stammt. 14.9. Ansprüche aus Sachmängeln verjähren in einem Jahr ab Überlassung der Vertragsprodukte. 15. Haftung 15.1. NHC erstellt die mittels der Vertragsprodukte generier- ten Rezept-Prüfdaten nach bestem Wissen und mit größtmöglicher Sorgfalt. Da jedoch die Daten zunächst in der Apotheke per Scanner erfasst werden, können Daten- und Verarbeitungsfehler, welche die Prüfergeb- nisse beeinflussen, nicht ausgeschlossen werden. 15.2. NHC haftet daher insbesondere nicht für Fehler in Zu- sammenhang mit den seitens des Vertragspartners be- reitgestellten Daten, insbesondere Rezeptinhalten. 15.3. Die Parteien haften wechselseitig aus und im Zusam- menhang mit diesem Vertragsverhältnis – gleich ob aus dem Vertrag oder aus dem Gesetz – nur bei grober Fahrlässigkeit oder bei Vorsatz. Für die Verletzung von Vertragspflichten, die zur Erreichung des Vertragszieles unverzichtbar sind (Kardinalpflichten) sowie für Schä- den aus der Verletzung des Lebens, des Körpers oder der Gesundheit haften die Vertragsparteien auch im Falle leichter Fahrlässigkeit. Bei der haftungsbegrün- denden Verletzung vertragswesentlicher Pflichten ist die Ersatzpflicht der Höhe nach beschränkt auf die bei Vertragsschluss vorhersehbaren und vertragstypischen Schäden. 15.4. Die Haftungsausschlüsse und Beschränkungen gelten nicht, soweit NHC den Mangel arglistig verschwiegen hat, oder im Fall der Übernahme ausdrücklicher Garan- tien und nicht für Schäden aus der Verletzung des Le- bens, des Körpers oder der Gesundheit sowie im Fall entgegenstehender zwingender gesetzlicher Regelun- gen. Die Vorschriften des Produkthaftungsgesetzes bleiben unberührt. 15.5. Mittelbare Schäden und Folgeschäden, die Folge von Mängeln des Vertragsprodukts sind, sind nur ersatzfä- hig, soweit solche Schäden bei bestimmungsgemäßer Verwendung des Vertragsprodukts typischerweise zu erwarten sind. Die Haftung für Datenverlust wird auf den typischen Wiederherstellungsaufwand beschränkt, der bei regelmäßiger und Gefahr entsprechender An- fertigung von Sicherungskopien eingetreten wäre. So- weit NHC technische Auskünfte gibt oder beratend tätig wird und diese Auskünfte oder Beratung nicht zu dem von dem Lizenzgeber geschuldeten, vertraglich verein- barten Leistungsumfang gehören, geschieht dies un- entgeltlich und unter Ausschluss der vertraglichen Haf- tung. 15.6. Die von den Vertragsprodukten vorgenommenen Aus- wertungen erfolgen teilweise auf Basis der von der AVOXA (einem Dritten) bereitgestellten Informationen und ABDA-Artikelstamm-Daten, deren Verwendung der Vertragspartner ausdrücklich zustimmt und für deren Richtigkeit und Vollständigkeit eine Haftung von NHC und von AVOXA ausgeschlossen ist. Fehler in den von der AVOXA zur Verfügung gestellten Datenbeständen hat der Vertragspartner der AVOXA und dem Lizenzge- ber unverzüglich schriftlich oder in Textform mitzuteilen. Die Haftung ist ebenfalls für einen von AVOXA zu ver- tretenden Verlust von Daten des Vertragspartners aus- geschlossen, in jedem Fall aber auf den Aufwand be- schränkt, der bei einer üblichen, mindestens täglichen Datensicherung zur Wiederherstellung der Daten not- wendig ist. 15.7. Vorgenannte Haftungsbeschränkungen gelten in glei- cher Weise zugunsten der Organe, sonstigen Vertreter, Mitarbeiter und Erfüllungsgehilfen der NHC. 16. Höhere Gewalt 16.1. Bei höherer Gewalt und unvorhergesehenen Ereignis- sen, die die AVOXA und NHC nicht zu vertreten haben und welche die Einschränkung oder Einstellung des Betriebes von der AVOXA und von NHC oder von de- ren Erfüllungsgehilfen erforderlich machen, sind die AVOXA und NHC für die Dauer der Behinderung sowie einer angemessenen Anlaufzeit von der Pflicht zur Leistung und der Vertragspartner von der Verpflichtung zur Entrichtung des vereinbarten Entgeltes befreit. 16.2. Höherer Gewalt stehen Feuer, Streik, Aussperrung, der Ausfall von fremden Telekommunikationssystemen und sonstige Umstände gleich, die die AVOXA und NHC nicht zu vertreten haben, die aber deren Leistungen wesentlich erschweren oder unmöglich machen. Höhe- rer Gewalt steht schließlich gleich, wenn die Leistungen von der AVOXA und von NHC infolge eines sogenann- ten Schadprogramms in deren Systemen oder in den Systemen von deren Erfüllungsgehilfen beeinträchtigt oder unmöglich werden, gegen dessen Eindringen die AVOXA und NHC oder der betroffene Erfüllungsgehilfe sich nicht oder nicht zu angemessenen Bedingungen schützen konnten. 17. Datenschutz 17.1. Im Rahmen des Vertragsverhältnisses werden Informa- tionen und Daten des Vertragspartners vom Lizenzge- ber erhoben. Die Einzelheiten insoweit ergeben sich aus der Datenschutzerklärung: https://www.vsa.de/foo- ter/datenschutz/ 17.2. Da die Vertragsprodukte vom Vertragspartner ggf. in der Konstellation einer Auftragsdatenverarbeitung ein- gesetzt werden, schließen die Vertragsparteien gleich- zeitig mit dem Nutzungsvertrag über ScanAdhoc (und ggf. Pharma-Control) außerdem einen Vertrag über eine Auftragsverarbeitung gemäß Art. 28 DSGVO, wie in der Anlage 1 zu diesen Nutzungsbedingungen voll- ständig wiedergegeben. 18. Änderung der Vertragsbedingungen 18.1. NHC kann die Vertragsbedingungen ändern. Ziff. 18 gilt nicht für die Änderung von Hauptleistungspflichten, so- weit die Änderung nicht auf einer Änderung der zwin- genden gesetzlichen Rahmenbedingungen beruht; für Preisanpassungen gilt Ziff. 17. 18.2. NHC informiert den Vertragspartner in Textform oder über ScanAdhoc mindestens fünf Wochen vorher über Seite 5 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 die geplante Änderung. Darin teilt NHC dem Vertrags- partner auch den Zeitpunkt mit, ab dem die geänderten Bedingungen gelten sollen. 18.3. Bei Änderungen hat der Vertragspartner ein Sonder- kündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderungen. Die Kündigung seitens des Vertrags- partners muss innerhalb von vier Wochen nach Zugang der Änderungsmitteilung erfolgen; andernfalls werden die Änderungen zum Zeitpunkt des Wirksamwerdens Vertragsbestandteil. Die Kündigung bedarf der Text- form. NHC wird den Vertragspartner auf seine Rechte und die Folgen seines Schweigens hinweisen. 18.4. Ein Kündigungsrecht des Vertragspartners besteht nicht, wenn die Änderungen (1) ausschließlich zum Vorteil des Vertragspartners sind, (2) rein administrati- ver Art sind und keine negativen Auswirkungen auf den Vertragspartner haben, oder (3) unmittelbar durch Uni- onsrecht oder innerstaatlich geltendes Recht vorge- schrieben sind. 18.5. Erweist sich eine Änderung als ungültig, nichtig oder aus irgendeinem Grund nicht durchsetzbar, wird hier- durch die Gültigkeit und Durchsetzbarkeit der übrigen Änderungen nicht berührt. 19. Schlussbestimmungen 19.1. Änderungen und Ergänzungen dieser AGB einschließ- lich dieser Klausel bedürfen der Textform; Änderungen und/oder Ergänzungen dieses Vertrages können auch in elektronischer Form über das Postfach des Vertrags- partners durchgeführt werden. 19.2. Diese AGB und die anlässlich des Vertragsschlusses von den Vertragsparteien abgegebenen Erklärungen enthalten alle zwischen den Parteien über den Ver- tragsgegenstand getroffenen Vereinbarungen. Mündli- che Nebenabreden bestehen nicht. Abweichende, ent- gegenstehende oder ergänzende Geschäftsbedingun- gen des Vertragspartners werden, selbst bei Kenntnis von NHC, nicht Vertragsbestandteil. 19.3. Bei Widersprüchen zwischen den vertraglichen Rege- lungen eines etwaigen zwischen den Vertragsparteien gegenwärtig oder zukünftig bestehenden Abrechnungs- und Factoringvertrages (oder ähnlichen Rechtsge- schäfts) und diesen Regelungen haben die Regelungen dieses Vertrages in Bezug auf die Vertragsprodukte Vorrang. 19.4. Sollten eine oder mehrere Bestimmungen dieser Nut- zungsbedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen hiervon unberührt. Sofern die Bestimmungen eine Regelungslücke enthalten soll- ten, gelten zur Ausfüllung dieser diejenigen rechtlich wirksamen Regelungen als vereinbart, welche die Par- teien nach den wirtschaftlichen Zielsetzungen und dem Zweck des Vertragsverhältnisses vereinbart hätten, wenn sie die Regelungslücke gekannt hätten. 19.5. Erfüllungsort und ausschließlicher Gerichtsstand für alle sich aus dem Vertragsverhältnis unmittelbar oder mittelbar ergebenden Streitigkeiten ist München. Für sämtliche Rechtsbeziehungen gilt ausschließlich deut- sches Recht unter Ausschluss internationalen Einheits- rechts, insbesondere des UN-Kaufrechts. 20. Daten des Anbieters (Lizenzgebers) NOVENTI HealthCare GmbH Berg-am-Laim-Str. 105, 81673 München Telefon: +49 89 43184-0 Telefax: +49 89 43184-460 info@noventi.healthcare www.noventi.healthcare http://www.noventi.healthcare/ Seite 6 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 - Anlage 1 - Vertrag über eine Auftragsverarbeitung gemäß Art. 28 Da- tenschutz-Grundverordnung (DS-GVO) vereinbart durch Vertragsschluss der Nutzungsvereinbarung zu ScanAdhoc zwischen dem Lizenznehmer (Apotheke bzw. Apotheker/in) für die Verarbeitung Verantwortlicher, nachfolgend „Auf- traggeber“ genannt und Lizenzgeber (NOVENTI HealthCare GmbH), Berg-am-Laim-Str. 105, 81673 München Auftragsverarbeiter, nachfolgend „Auftragnehmer“ ge- nannt Präambel Um die Rechte und Pflichten aus dem Auftragsverarbeitungs- verhältnis gemäß der gesetzlichen Verpflichtung aus Art. 28 DSGVO zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung. 1. Gegenstand des Auftrags, Art und Zweck der Ver- arbeitung 1.1. Der Auftragnehmer stellt dem Auftraggeber die Soft- warelösung ScanAdhoc zur Prüfung und Korrektur der Verordnungen bereit. Der Abgleich der Rezeptdaten erfolgt auf Systemen des Auftragnehmers. Der Auf- traggeber kann hierfür erforderliche Rezeptdaten über eine Schnittstelle bereitstellen. Der Auftragnehmer führt zudem Support- und (Fern-)Wartungsarbeiten („Arbeiten“) an der Software ScanAdhoc (on-premise) des Auftraggebers durch. Die Arbeiten erfolgen entwe- der vor Ort, per Fernzugriff auf den Systemen des Auf- traggebers oder auf den Systemen des Auftragneh- mers. Im Übrigen ergibt sich der Gegenstand des Auf- trags aus dem (auf Basis der Nutzungsbedingungen für ScanAdhoc und Pharma-Control abgeschlossenen bzw. abzuschließenden) Nutzungsvertrag, auf den hier verwiesen wird (im Folgenden „Hauptvertrag“). 1.2. Es kann nicht ausgeschlossen werden, dass der Auf- tragnehmer im Rahmen dieser Arbeiten Zugriff auf per- sonenbezogene Daten erlangt, die in den zu warten- den Systemen gespeichert sind und dort verarbeitet werden. Diese werden nur im Auftrag und nach doku- mentierter Weisung des Auftraggebers gemäß Art. 28 DSGVO (Auftragsverarbeitung) und den nachfolgen- den Bestimmungen verarbeitet. 1.3. Die Verarbeitung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mit- gliedsstaat der Europäischen Union oder in einem an- deren Vertragsstaat des Abkommens über den Euro- päischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen dokumentierten Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO) und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44-49 DSGVO erfüllt sind. 2. Dauer des Auftrages 2.1. Die Laufzeit dieser Auftragsvereinbarung („Vereinba- rung‘‘) entspricht der Laufzeit des jeweiligen Hauptver- trags zwischen Auftraggeber und Auftragnehmer. 3. Art der personenbezogenen Daten und Kategorien betroffener Personen 3.1. Im Rahmen von ScanAdhoc werden die folgenden per- sonenbezogenen Daten verarbeitet: • Alle erforderlichen Daten gemäß der jeweils aktu- ellen Version der technischen Anlage 3 und An- lage 4 zur Vereinbarung zur Datenübermittlung nach § 300 SGB V. • Alle erforderlichen Daten gemäß der jeweils aktu- ellen Version der Anlage 1 der technischen An- lage für die maschinelle Abrechnung (elektroni- sche Datenübermittlung) zu den Richtlinien der Spitzenverbände der Krankenkassen nach § 302 Abs. 2 SGB V • Ggf. weitere personenbezogene Daten gemäß den technischen Anlagen zu den §§ 300 oder 302 SGB V. • Log-In Daten von Mit- arbeitern (Benutzername, Passwort) 3.2. Unabhängig von der Art der Abrechnung werden die folgenden personenbezogenen Daten verarbeitet • Versichertenstamm: Name, Geburtsdatum, An- schrift, Versichertennummer • Arztstamm Arzt-/Praxisname, Anschrift Arztpra- xis, BSNR • Herstellerstamm: Name, Anschrift • Sozialversicherungs- und Gesundheitsdaten 3.3. Kreis der betroffenen Personen • Kunden der Auftraggeber bzw. Patienten • Ärzte, Leistungserbringer • Beschäftigte bei Leistungserbringern, Lieferanten und Leistungsträgern 4. Verantwortlichkeit und Weisungsbefugnis 4.1. Der Auftraggeber ist für die Einhaltung der daten- schutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftrag- nehmer sowie für die Rechtmäßigkeit der Datenverar- beitung verantwortlich (Art. 4 Nr. 7 DSGVO). Der Auf- tragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Etwas anderes gilt nur in dem in Absatz 4.2 genannten Um- fang. 4.2. Die Verarbeitung der Daten erfolgt ausschließlich ge- mäß dem zwischen den Parteien geschlossenen Hauptvertrag und auf dokumentierte Weisung des Auf- traggebers, es sei denn es besteht eine anderweitige Verpflichtung durch Unionsrecht oder dem Recht des Mitgliedsstaates, dem der Auftragnehmer unterliegt. Im Falle einer anderweitigen Verpflichtung teilt der Auf- tragnehmer dem Auftraggeber vor der Verarbeitung unverzüglich die entsprechenden rechtlichen Anforde- rungen mit. 4.3. Mündliche Weisungen wird der Auftraggeber unver- züglich schriftlich oder per E-Mail (in Textform) bestäti- gen. 4.4. Ist der Auftragnehmer der Auffassung, dass eine Wei- sung gegen datenschutzrechtliche Vorschriften ver- stößt, informiert er gemäß Art. 28 Abs. 3 S. 3 DSGVO unverzüglich den Auftraggeber. Bis zur Bestätigung oder Änderung der entsprechenden Weisung ist der Auftragnehmer berechtigt, die Durchführung der Wei- sung auszusetzen. 5. Vertraulichkeit und Verpflichtung zur Geheimhal- tung 5.1. Der Auftragnehmer setzt bei der Durchführung der Ar- beiten nur Beschäftigte ein, die gemäß Art. 28 Abs. 3 S. 2 lit. b DSGVO auf die Vertraulichkeit sowie gemäß § 35 Abs. 1 SGB I auf das Sozialgeheimnis verpflichtet worden sind und zuvor mit den für sie relevanten Best- immungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer un- terstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entspre- chend der Weisung des Auftraggebers verarbeiten, einschließlich der in diesem Vertrag eingeräumten Be- fugnisse, es sei denn, dass sie gesetzlich zur Verar- beitung verpflichtet sind. 5.2. Im Rahmen der Vereinbarung werden auch Daten ver- arbeitet, die gemäß § 203 StGB unter ein Berufsge- heimnis fallen. Der Auftragnehmer verpflichtet sich, über Berufsgeheimnisse Stillschweigen zu bewahren und sich nur insoweit Kenntnis von diesen Daten zu Seite 7 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 verschaffen, wie dies zur Erfüllung der ihm zugewiese- nen Aufgaben erforderlich ist. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich Personen, die an der beruflichen Tätigkeit eines Berufsgeheim- nisträgers mitwirken und unbefugt ein fremdes Ge- heimnis offenbaren, das ihnen bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt geworden ist, nach § 203 Abs. 4 S. 1 StGB strafbar machen. Zudem macht sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar, sollte sie sich einer weiteren mit- wirkenden Person bedienen, die ihrerseits unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegen- heit ihrer Tätigkeit bekannt gewordenes Geheimnis of- fenbart, und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde. 5.3. Der Auftragnehmer stellt sicher, dass alle mit der Ver- arbeitung von dem Berufsgeheimnis unterliegenden Daten des Auftraggebers befassten Beschäftigten und andere für den Auftragnehmer tätigen Personen (z.B. Subunternehmer), die damit befasst sind, sich in Text- form dazu verpflichtet haben, die ihnen bei der Aus- übung oder bei Gelegenheit ihrer Tätigkeit bekannt ge- wordenen Berufsgeheimnisse nicht unbefugt zu offen- baren und sie über die mögliche Strafbarkeit nach § 203 Abs. 4 StGB belehrt wurden. Der Auftraggeber weist den Auftragnehmer darauf hin, dass sich eine mitwirkende Person nach § 203 Abs. 4 S. 2 StGB strafbar macht, sollte sie sich einer weiteren mitwirken- den Person bedienen, die ihrerseits unbefugt ein frem- des, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, und die mitwirkende Person nicht dafür Sorge getra- gen hat, dass die weitere mitwirkende Person zur Ge- heimhaltung verpflichtet wurde. 5.4. Der Auftragnehmer ist nach Ziffer 7 dieser Vereinba- rung berechtigt, Unterauftragnehmer zur Vertragserfül- lung heranzuziehen. Im Ausland dürfen Unterauftrag- nehmer zur Vertragserfüllung nur dann herangezogen werden, wenn der dort bestehende Schutz der Ge- heimnisse dem Schutz im Inland vergleichbar ist. Der Auftragnehmer wird etwaige Unterauftragnehmer sorg- fältig auswählen und diese, soweit sie im Rahmen ih- rer Tätigkeit Kenntnis von fremden Geheimnissen im Sinne dieser Vereinbarung erlangen könnten, zum Stillschweigen verpflichten. Der Auftragnehmer wird ferner etwaige Unterauftragnehmer dazu verpflichten, sämtliche von diesen eingesetzte Personen und etwa- ige weitere Unterauftragnehmer, die bestimmungsge- mäß mit Geheimnisschutzdaten in Berührung kommen oder bei denen dies nicht auszuschließen ist, nach den zuvor genannten Grundsätzen zur Verschwiegenheit zu verpflichten und über die Folgen einer Pflichtverlet- zung zu belehren. Diese Verpflichtung gilt für sämtli- che weitere Unterbeauftragungen. 6. Datensicherheit 6.1. Der Auftragnehmer trifft geeignete technische und or- ganisatorische Maßnahmen zum angemessenen Schutz der personenbezogenen Daten gemäß Art. 28 Abs. 3 lit. c DSGVO in Verbindung mit Art. 32 Abs. 1 DSGVO, um die Sicherheit der Verarbeitung im Auf- trag zu gewährleisten. Dazu wird der Auftragnehmer • die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zu- sammenhang mit der Verarbeitung auf Dauer si- cherstellen, • die Fähigkeit, die Verfügbarkeit der personenbe- zogenen Daten und den Zugang zu ihnen bei ei- nem physischen oder technischen Zwischenfall rasch wiederherzustellen, sicherstellen sowie • ein Verfahren zur regelmäßigen Überprüfung, Be- wertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbei- tung unterhalten. Dabei sind der Stand der Technik, die Implementie- rungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintritts- wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. 6.2. Die Vertragsparteien vereinbaren die in dem Anlage 2 „Technische und organisatorische Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten Daten- sicherheitsmaßnahmen. 6.3. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Wei- terentwicklung. Insoweit ist es dem Auftragnehmer ge- stattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. 7. Einbeziehung weiterer Auftragsverarbeiter (Subun- ternehmer) 7.1. Als Subunternehmer im Sinne dieser Regelung gelten vom Auftragnehmer beauftragte Auftragsverarbeiter, deren Dienstleistungen sich unmittelbar auf die Erbrin- gung der Hauptleistung beziehen. Nicht dazu gehören Nebenleistungen, die der Auftragnehmer z.B. als Tele- kommunikationsleistungen, Post/Transportdienstleis- tungen und Reinigung in Anspruch nimmt. Der Auftrag- nehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistun- gen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergrei- fen. 7.2. Die Auslagerung auf Subunternehmer oder der Wech- sel des bestehenden Subunternehmers sind zulässig, soweit: • der Auftragnehmer eine solche Auslagerung auf Subunternehmer dem Auftraggeber mindestens 14 Tage vor Datenübergabe vorab schriftlich oder in Textform anzeigt und • der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten schriftlich oder in Textform gegenüber dem Auftragnehmer Einspruch gegen die geplante Auslagerung erhebt. und, soweit zutreffend, die Vorgaben der Ziffer 5 die- ser Vereinbarung eingehalten werden. 7.3. Mit dem Subunternehmer ist eine vertragliche Verein- barung nach Maßgabe des Art. 28 Abs. 3 und 4 DSGVO abzuschließen, die den Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit die- ser Vereinbarung entspricht. Der Auftraggeber ist be- rechtigt, beim Auftragnehmer Einsicht in dessen Ver- träge mit Subunternehmern zu nehmen. 7.4. Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Subunternehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestat- tet. Die durch den Auftraggeber zum Zeitpunkt des Vertragsschlusses genehmigten Subunternehmer sind in der Anlage 4 zu diesem Vertrag aufgelistet. 8. Unterstützung bei der Wahrung der Betroffenen- rechte 8.1. Der Auftragnehmer ist verpflichtet, den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Wahrung der in Art. 12 bis 22 DSGVO genannten Rechte der betroffenen Personen zu unterstützen (Art. 28 Abs. 3 S. 2 lit. e DSGVO). 8.2. 8.2.Der Auftragnehmer darf personenbezogene Daten nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung ein- schränken. Auskünfte an Dritte oder betroffene Perso- nen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber ertei- len. 8.3. Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer wendet, um ihre Rechte gemäß Art. 12 bis 22 DSGVO geltend zu machen, wird der Auftrag- nehmer das Ersuchen unverzüglich an den Auftragge- ber weiterleiten. Seite 8 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 9. Unterstützung bei Dokumentations- und Melde- pflichten 9.1. Wenn dem Auftragnehmer eine Verletzung des Schut- zes personenbezogener Daten bekannt wird, meldet er diese dem Auftraggeber unverzüglich Art. 28 Abs. 3 lit. f, Art. 33 Abs. 2 DSGVO). Das Gleiche gilt, wenn beim Auftragnehmer beschäftigte Personen gegen diese Vereinbarung verstoßen. 9.2. Nach Absprache mit dem Auftraggeber trifft der Auf- tragnehmer unverzüglich die erforderlichen Maßnah- men zur Sicherung der Daten und zur Minderung mög- licher nachteiliger Folgen für die Betroffenen. 9.3. Der Auftragnehmer unterstützt den Auftraggeber mit allen ihm zur Verfügung stehenden Informationen bei der Erfüllung der Meldepflichten gegenüber der zu- ständigen Aufsichtsbehörde gemäß Art. 33 DSGVO und ggf. gegenüber den von der Verletzung des Schut- zes personenbezogener Daten Betroffenen gemäß Art. 34 DSGVO. 9.4. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unter- stützt der Auftragnehmer den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genann- ten Pflichten. 10. Beendigung des Auftrags 10.1. Nach Abschluss der Erbringung der Verarbeitungsleis- tungen hat der Auftragnehmer alle personenbezoge- nen Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezoge- nen Daten besteht. 10.2. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlas- tung bei Vertragsende dem Auftraggeber übergeben. 11. Kontrollrecht des Auftraggebers 11.1. Der Auftraggeber ist berechtigt, vor Beginn der Verar- beitungsleistungen und währenddessen regelmäßig die technischen und organisatorischen Maßnahmen sowie die Einhaltung dieser Vereinbarung und daten- schutzrechtlicher Vorgaben zu kontrollieren. Hierfür kann er z. B. Auskünfte des Auftragnehmers einholen, sich vorhandene Testate von Sachverständigen, Zerti- fizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnah- men des Auftragnehmers sowie die Einhaltung dieser Vereinbarung nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten selbst persönlich prüfen bzw. durch einen sachkundigen Dritten prüfen lassen, so- fern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht. Der Auftraggeber wird Kontrollen nur im erforderlichen Umfang durchführen und die Be- triebsabläufe des Auftragnehmers dabei nicht unver- hältnismäßig stören. 11.2. Der Auftragnehmer ist verpflichtet, dem Auftraggeber zu den üblichen Geschäftszeiten Zutritt zu den Räum- lichkeiten zu gewähren, in denen die Daten des Auf- traggebers physisch oder elektronisch verarbeitet wer- den. Der Auftraggeber stimmt die Durchführung der In- spektionen mit dem Auftragnehmer so ab, dass der Betriebsablauf beim Auftragnehmer so wenig wie mög- lich beeinträchtigt wird. Vor Ort Kontrollen sind grund- sätzlich vier Wochen vor der Durchführung der Kon- trolle anzukündigen. Der Auftraggeber wird vor Ort Kontrollen nicht häufiger als einmal Jährlich durchfüh- ren, soweit eine Kontrolle aufgrund besonderer Um- stände nicht zwingend erforderlich ist. Die Umstände sind dem Auftragnehmer darzulegen. 11.3. Der Auftragnehmer stellt dem Auftraggeber alle erfor- derlichen Informationen zum Nachweis der techni- schen und organisatorischen Maßnahmen sowie der Einhaltung dieser Vereinbarung und datenschutzrecht- licher Vorgaben zur Verfügung. Zu diesen Informatio- nen gehören insbesondere aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, externe Sachverständige, IT-Sicher- heits- oder Datenschutzauditoren) und geeignete Zerti- fizierung (z.B. nach BSI-Grundschutz). Der Auftrag- nehmer erteilt dem Auftraggeber unverzüglich kon- krete Auskunft im Einzelfall. 12. Haftung 12.1. Auftraggeber und Auftragnehmer haften im Außenver- hältnis nach Art. 82 Abs. 1 und 4 DSGVO für den ma- teriellen und immateriellen Schaden, den eine Person wegen eines Verstoßes gegen die DSGVO erleidet. Sind für einen solchen Schaden sowohl der Auftragge- ber als auch der Auftragnehmer verantwortlich, haften die Parteien im Innenverhältnis für diesen Schaden entsprechend ihres Anteils an der Verantwortung. Nimmt eine Person in einem solchen Fall eine Partei ganz oder überwiegend auf Schadensersatz in An- spruch, so kann diese von der jeweils anderen Partei Freistellung oder Schadloshaltung verlangen, soweit es ihrem Anteil an der Verantwortung für den Schaden entspricht. 13. Schlussbestimmungen 13.1. Überlassene Datenträger und Datensätze verbleiben im Eigentum des Auftraggebers. 13.2. Sollten einzelne oder mehrere Regelungen dieser Ver- einbarung unwirksam sein, so wird die Wirksamkeit der übrigen Vereinbarung hiervon nicht berührt. Für den Fall der Unwirksamkeit einzelner oder mehrere Regelungen werden die Vertragsparteien die unwirk- same Regelung unverzüglich durch eine solche Rege- lung ersetzen, die der unwirksamen Regelung wirt- schaftlich und datenschutzrechtlich am ehesten ent- spricht. 13.3. Im Falle eines Widerspruchs zwischen dem Hauptver- trag und dieser Vereinbarung geht diese Vereinbarung vor, soweit der Widerspruch die Verarbeitung perso- nenbezogener Daten betrifft. 13.4. Die folgenden Anhänge sind Bestandteil dieser Verein- barung: • Anlage 3 (technische und organisatorische Maß- nahmen) • Anlage 4 (Unterauftragnehmer Seite 9 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 - Anlage 3 - Technische und organisatorische Maßnahmen gem. Art. 32 Abs. 1 DSGVO 1 Maßnahmen zu Gewährleistung der Vertraulichkeit 1.1 Zutrittskontrolle Soll verhindern, dass Unbefugte räumlich Zugang zu Datenverarbeitungsanlagen erhalten. Maßnah- men zur Gebäude- und Raumsicherung. Zutreffend (falls ja, bitte ankreuzen) • Schließsystem/ Schließanlage • Sorgfältige Auswahl externer Wachdienst • Alarmanlage • Verbindung Alarmanlage zu Wachdienst/ Polizei • Lichtschranken/ Bewegungsmelder • Verbindung Bewegungsmelder zu Wachdienst/ Polizei • Videoüberwachung im NOVENTI Rechenzentrum Tomannweg 6, München • Wachdienst vor Ort/ Sicherung außerhalb der Arbeitszeiten • Personenüberprüfung bei Pförtner /Empfang Berechtigungsausweise Besucherausweise Protokollierung von Besucherzutritten / Besucherbuch Begleitung von Besucherzutritten durch eigene Mitarbeiter Elektronische Zutrittscodekarten/ Zutrittstransponder Schlüsselregelung Zutrittsberechtigungskonzept Abgestufte Sicherheitsbereiche und kontrollierter Zutritt Gesicherter Eingang für An- und Ablieferungen Gesondert gesicherter Zutritt zum Serverraum Gesondert gesicherter Zutritt zum Rechenzentrum Arbeitsanweisungen /Richtlinien bzgl. des Verschließens von Räumlichkeiten bei Verlassen/Arbeits- ende Sorgfältige Auswahl von Reinigungspersonal Seite 10 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Sonstiges: -- 1.2 Zugangskontrolle Soll den Zugang Unbefugter zu Datenverarbeitungssystemen und deren unbefugte Nutzung verhin- dern. Systemabsicherung Zutreffend (falls ja, bitte ankreuzen) Zuordnung von Benutzerrechten Erstellen von Benutzerprofilen Berechtigungsmanagement Dokumentierter Prozess zu Rechtevergabe bei Neueintritt von Mitarbeitern Dokumentierter Prozess zum Rechteentzug bei Abteilungswechseln von Mitarbeitern Dokumentierter Prozess zum Rechteentzug bei Austritt von Mitarbeitern Funktionelle und/oder zeitlich limitierte Vergabe von Benutzerberechtigungen Verwendung von individuellen Passwörtern Login mit Benutzername und Passwort Login mit biometrischen Daten Separates BIOS-Passwort Automatische passwortgesicherte Sperrung des Bildschirms nach Inaktivität (Bildschirmschoner) Passwortrichtlinie mit Mindestvorgaben zur Passwortkomplexität • Mindestens 8 Zeichen • Groß- und Kleinschreibung, Sonderzeichen, Zahl (davon mind. 4 Kriterien) • Verhinderung von Trivialpasswörtern (z.B. Passwort1, Passwort2, 123456, qwertz) • Passworthistorie • Verhinderung von PW nach positivem Abgleich mit Wörterbüchern • Eingabebeschränkung bestimmter Sonderzeichen zur Verhinderung von SQL-In- jections • Automatische Sperrung von Nutzeraccounts nach mehrfacher Fehleingabe von Passwörtern • Angemessen sicheres Verfahren zum Zurücksetzen von Passwörtern Sonstiges: (z.B. Nutzung von Fido2) Seite 11 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Hashing von gespeicherten Passwörtern Hashes werden „gesalzen“ (Salt) oder „gepfeffert“ (Pepper) Verschlüsselung von Netzwerken Verschluss von Datenverarbeitungsanlagen (z.B. verschlossener Cage für Server) Sperrung von externen Schnittstellen (z.B: USB) Programmprüfungs- und Freigabeverfahren bei Neuinstallationen Verwendung von Intrusion-Prevention-Systemen Nutzung von VPN-Technologie Einsatz von Anti-Viren-Software: Server Einsatz von Anti-Viren-Software: Clients Einsatz einer Software-Firewall Einsatz einer Hardware-Firewall Mobile-Device-Management Aufbewahrung personenbezogener Daten/Datenträgern in verschließbaren Sicherheitsschränken oder in gesondert gesicherten Räumen Regelung zum Home Office / zu Telearbeit Sonstige Maßnahmen: - 1.3 Zugriffskontrolle Soll unerlaubte Tätigkeiten in Datenverarbeitungssystemen außerhalb eingeräumter Berechtigungen verhindern Zutreffend (falls ja, bitte ankreuzen) Nutzung eines Berechtigungskonzepts Minimaler Einsatz von Administratoren-Konten Trennung von Berechtigungsbewilligung (organisatorisch) und Berechtigungsvergabe (technisch) Regelung zur Wiederherstellung von Daten aus Backups (wer, wann, auf wessen Anforderung) Aufbewahrung von Datensicherungen (z.B. Bänder, CDs) im zutrittsgeschützten Safe Regelmäßige Überprüfung von Berechtigungen Beschränkung der freien und unkontrollierten Abfragemöglichkeit von Datenbanken Regelmäßige Auswertung von Protokollen (Logfiles) Zeitliche Begrenzung von Zugriffsmöglichkeiten Teilzugriffsmöglichkeiten auf Datenbestände und Funktionen (Read, Write, Execute) Protokollierung von Datenzugriffen Seite 12 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Protokollierung von Datenlöschung Protokollierung von Datenveränderungen • SPAM-Filter • Intrusiondetection (IDS) • Software für das Security Information and Event Management (SIEM) Beschränkter Zugriff auf LogFiles (nur Log-Admin) Speicherung von Log-Files auf dediziertem LogFile-Server Verschlüsselte Speicherung der Daten • Verwendete Verschlüsselungsalgorithmen - AES (128/256 bit) - RSA (1024/2048 bit) - Sonstiges: • Verwendete Hash-Funktion - SHA2 (256,384, 512 bit) - SHA3 - bcrypt - Andere Verfahren: - Hashes werden „gesalzen“ (Salt) oder „gepfeffert“ (Pepper) Kontrollierte Vernichtung der Daten: Verschlossene Behältnisse aus Metall (sog. Datenschutztonnen), Entsorgung durch Dienstleister Datenträgerentsorgung – sichere Löschung von Datenträgern (DIN 66399): Sonstiges Vernichtungsverfahren: Richtlinie zur Datenvernichtung Clean Desk-Policy Sonstige Maßnahmen: - Seite 13 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 1.4 Auftragskontrolle Soll sicherstellen, dass Daten, die im Auftrag durch Dienstleister (Subauftragnehmer) verarbeitet werden, nur gemäß der Weisung des Auftraggebers verarbeitet werden. Zutreffend (falls ja, bitte ankreuzen) Vertragsgestaltung gem. gesetzlichen Vorgaben (ART. 28 DSGVO) Zentrale Erfassung vorhandener Dienstleister (einheitliches Vertragsmanagement) Vorabkotrollen beim Auftragnehmer vor Vertragsbeginn Regelmäßige Kontrollen beim Auftragnehmer nach Vertragsbeginn (Während Vertragsdauer) Vor-Ort-Kontrollen beim Auftragnehmer Überprüfung des Datensicherheitskonzepts beim Auftragnehmer Sichtung vorhandener IT-Sicherheitszertifikate der Auftragnehmer Auftragnehmer hat Datenschutzbeauftragten benannt Erteilung von Weisungen zur Verbesserung des Datenschutzes ggü. Auftragnehmer Sonstige Maßnahmen: - 1.5 Trennungskontrolle Daten, die zu unterschiedlichen Zwecken erhoben wurden, sind auch getrennt voneinander zu verar- beiten. Zutreffend (falls ja, bitte ankreuzen) Trennung von Kunden (Mandatenfähigkeit des verwendeten Systems? Logische Datentrennung (z.B. auf Basis von Kunden- oder Mandantennummern) Datensicherungen der Auftraggeber-Daten auf separaten Datenträgern (ohne Daten anderer Kun- den) Berechtigungskonzept, das der getrennten Verarbeitung der Auftraggeber-Daten von Daten anderer Kunden Rechnung trägt Trennung von Entwicklungs-, Test- und Produktivsystem Sonstige Maßnahmen: - Seite 14 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 2 Maßnahmen zu Gewährleistung der Integrität 2.1 Weitergabekontrolle Soll die Sicherheit der Daten bei elektronischer Übertragung und Datentransport und die Nachvollzieh- barkeit der Weitergabe gewährleisten Zutreffend (falls ja, bitte an- kreuzen) Wie werden Daten zwischen Verantwortlichem und Dritten übermittelt? • VPN-Verbindung • Secure File Transfer Protocol (sftp) • Citrix-Verbindung • E-Mail-Verschlüsselung • SMIME • OpenPGP • E-Mail Versand mit verschlüsselten ZIP-Dateien • Datenaustausch über https-Verbindung • Verwendetes Verschlüsselungsprotokoll: - TLS 1.3 Sonstige Versendungsart: Gem. SGB V • Verwendete Verschlüsselungsalgorithmen - AES (128/256 bit) - RSA (1024/2048 bit) - Diffie-Hellmann - Sonstiges: Nutzung von Signaturverfahren Verwendetes Signaturverfahren - RSA - EIGAMAL - DSA - Sonstige: PGP, eigene Digitales Signieren von Makros Seite 15 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Dokumentierte Verwaltung von Datenträgern, Bestandskontrolle Verschlüsselung vertraulicher Datensätze Verschlüsselung mobiler Datenträger (z.B. Laptop-Festplatten, externe Festplatten, USB-Sticks) Verbot der Mitnahme von Taschen und sonstigen Gepäckstücken sowie Mobiltelefonen in Sicherheits- bereiche Regelung zu Anfertigung von Datensatz-Kopien Erstellen von Sicherheitskopien von Datenträgern, die transportiert werden müssen Dokumentation der Stellen, an die eine Übermittlung vorgesehen ist, sowie der Übermittlungswege Direktabholung, Kurierdienst, Transportbegleitung Vollständigkeits- und Richtigkeitsprüfung Sonstiges: -- 2.2 Eingabekontrolle Soll gewährleisten, dass nachvollzogen werden kann, ob, wer, wann personenbezogene Daten in Da- tenverarbeitungssysteme eingeben, geändert oder gelöscht hat Zutreffend (falls ja, bitte an- kreuzen) Technische Protokollierung der Eingabe, Änderung und Löschung von Daten Manuelle oder automatisierte Auswertung der Protokoll Differenzierte Benutzerberechtigungen: • Einzelne Benutzernamen, keine Benutzergruppen • Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts • Feldzugriff bei Datenbanken Organisatorische Festlegung von Eingabezuständigkeiten Verpflichtung auf das Datengeheimnis Dezidierter Logserver Regelung der Zugriffsberechtigungen für Logserver (LogAdmin) Regelung zu Aufbewahrungsfristen für Revision/Nachweiszwecke Sonstige Maßnahmen: - Seite 16 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 3 Maßnahmen zur Gewährleistung der Verfügbarkeit & Belastbarkeit 3.1 Verfügbarkeitskontrolle Soll Daten gegen zufällige Zerstörung oder Verlust schützen. Zutreffend (falls ja, bitte ankreu- zen) Brandmeldeanlagen in Serverräumen Rauchmelder in Serverräumen Brandschutztüren an papierverarbeitenden Standorten und im Rechenzentrum Wasserlose Brandbekämpfungssysteme in Serverräumen Wassersensoren in Serverräumen - Wasserableitung Blitz-/ Überspannungsschutz Klimatisierte Serverräume Serverräumlichkeiten in separaten Brandabschnitt Unterbringung von Backupsystemen in separaten Räumlichkeiten und in separatem Brandabschnitt Serverräume nicht unter oder neben sanitären Anlagen Zutrittsbegrenzung bei Serverräumen auf notwendiges Personal Alarmmeldung bei unberechtigtem Zutritt zu Serverräumen Lagerung von Archiv-Speichermedien unter notwendigen Lagerbedingungen (Klimatisierung, Schutz- bedarf etc.) CO2-Feuerlöscher in unmittelbarer Nähe der Serverräume USV-Anlage (Unterbrechungsfreie Stromversorgung) Stromgenerator Datenschutztresor Dokumentiertes Datensicherungs- und Backupkonzept Durchführung von Datensicherungen und Erstellen von Backups Regelmäßige Tests zur Datenwiederherstellung Spiegeln der Festplatten (z.B. RAID) Getrennte Partitionen für Betriebssystem und Daten Havariearchiv (Auslagerung von Daten) Notfallplan vorhanden (BSI-Standard 100-4) Gewährleistung der langfristigen technischen Lesbarkeit von Backupspeichermedien Sonstige Maßnahmen: -- Seite 17 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 3.2 Belastbarkeit (Widerstandsfähigkeit und Ausfallkontrolle) Soll Systeme befähigen, mit risikobedingten Veränderungen umgehen zu können und Toleranz und Ausgleichsfähigkeit gegenüber Störungen aufzuweisen. Zutreffend (falls ja, bitte ankreu- zen) Redundante Stromversorgung Redundante Datenanbindung Redundante Klimatisierung Ausweich-Rechenzentren vorhanden (Hot- bzw. Cold-Stand-by?): Hot sonstige redundante Systeme/Verfahren: Einsatz einer hochverfügbaren SAN-Lösung (Storage Area Network) Computer Emergency Response Team (CERT) Einsatz von Lastenverteilung (Load Balancing) Abgrenzung kritischer Komponenten Durchführung von Penetrationstests Systemhärtung (Deaktivierung nicht erforderlicher Komponenten) Unverzügliche und regelmäßige Aktivierung von verfügbaren Soft- und Firmwareupdates Regelmäßige Sensibilisierung der Mitarbeiter (mind. jährlich) Prozess zur unverzüglichen Meldung von Vorkommnissen an die IT ist allen Mitarbeitern bekannt Abschluss einer Cyber-Versicherung Sonstige Maßnahmen: -- 4 Cloudlösungen bei Partnerunternehmen Unsere Partner sind sorgfältig ausgewählt und verfügen über entsprechende Zertifizierungen. Seite 18 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 5 Maßnahmen zur regelmäßigen Überprüfung, Bewertung und Evaluierung 5.1 Kontrollverfahren Soll die Wirksamkeit der Datensicherheitsmaßnahmen gewährleisten. Zutreffend (falls ja, bitte an- kreuzen) Verarbeitungsverzeichnisse (Art. 30 I und II DSGVO) werden jährlich aktualisiert Meldung neuer/veränderter Datenverarbeitungsverfahren an den Datenschutzbeauftragten Meldung neuer/veränderter Datenverarbeitsungsverfahren an den IT-Sciherheitsbeauftragten Prozesse zur Meldung neuer/veränderter Verfahren sind dokumentiert Prüfung der Wirksamkeit getroffener Sciherheitsmaßnahmen mind. jährlich Bei negativen Feststellungen im Rahmen der zuvor gen. Überprüfung werden die Sicherheitsmaßnah- men risikobezogen angepasst Prozess zur Reaktion auf Sicherheitsverletzungen (Angriffe) und Systemstörungen existiert (Incident- Response-Management) Dokumentation von Sicherheitsvorfällen Einsatz Security Intelligence Sicherheitszertifizierungen (ISO 27001, BSI IT-Grundschutz etc.) Sonstige Maßnahmen: -- 5.2 Sonstiges Datenschutzmanagement Zutreffend (falls ja, bitte an- kreuzen) Einsatz einer Datenschutzmanagement-Software Datenschutzbeauftragter benannt IT-Sicherheitsbeauftragter benannt Dokumentierter Prozess zum Umgang mit Datenschutzvorfällen Klare Verantwortlichkeiten bei der Handhabung von Datenschutz- und Sicherheitsvorfällen Dokumentierter Prozess zur Sicherstellung von Betroffenenrechten Zentrale, für alle Mitarbeiter zugängliche Ablage von Richtlinien/Verfahrensanweisungen Sonstige Maßnahmen: -- Seite 19 von 19 NOVENTI HealthCare GmbH – Allgemeine Nutzungsbedingungen ScanAdhoc und Pharma-Control, Stand 20.07.2023, V1.1 Anlage 4 Unterauftragnehmer Im Zusammenhang mit der Erbringung der vertraglichen Leistungen beauftragt der Auftragnehmer folgende Subunterneh- mer: Unterauftragnehmer Aufgabenfeld NOVENTI HEALTH SE Berg-am-Laim 105 81673 München IT Services, techn. Support Privat Code Sp. z o.o. Plac Lasoty 3/1 30-539 Kraków Programm- und Schnittstellenentwick- lung pace-IT GmbH Kimplerstr. 294 47807 Krefeld Managed Cloud Service Microsoft Deutschland GmbH Walter-Gropius-Straße 5 80807 München Kundensupport TeamViewer Germany GmbH Bahnhofsplatz 2 73033 Göppingen Kundensupport
Dateityp
: application/pdf
Verlinkt bei
: