Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO 

Diese Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 der EU-Datenschutzgrundverordnung („Art. 26-Vereinbarung“) ist Bestandteil des institutionellen Lizenzvertrages über Strahlenschutzkurse („Hauptvertrag“) zwischen der AMBOSS Novaheal GmbH, Von-Werth-Straße 12, 50670 Köln („Novaheal") und der jeweiligen Institution („Institutioneller Vertragspartner“. Zusätzliche Partei dieser Art. 26-Vereinbarung ist die AMBOSS SE, Torstraße 19, 10119 Berlin („AMBOSS") als zusätzliche Verantwortliche für die Datenverarbeitung unter dem Hauptvertrag. Novaheal, AMBOSS und der Institutionelle Vertragspartner werden jeweils einzeln „Partei“ und zusammen „Parteien“ bezeichnet. Der Institutionelle Vertragspartner erhält Zugang zu dem von AMBOSS bereitgestellten Insights Dashboard. Diese Art. 26-Vereinbarung gilt für die Dauer des Hauptvertrages in Ergänzung zu den im Hauptvertrag verlinkten Allgemeinen Geschäftsbedingungen für Institutionen (abrufbar unter www.novaheal.de/agb-institutionen). Soweit in dieser Vereinbarung Begriffe in Großschreibung verwendet werden, ohne dass sie hier ausdrücklich definiert sind, haben diese Begriffe die Bedeutung, die ihnen im Hauptvertrag zugewiesen wurde.

1. Hintergrund und Rollenverteilung

Novaheal ist als Anbieter von Strahlenschutzkursen gemäß der Strahlenschutzverordnung (StrlSchV) behördlich akkreditiert und tritt als direkter Vertragspartner des Institutionellen Vertragspartners auf. Die Kurse werden auf der digitalen Lernplattform von AMBOSS durchgeführt, die sowohl den Self-Learn-Anteil als auch die Live-Schulung mit integrierter Prüfung umfasst. AMBOSS schließt mit den einzelnen Nutzern (Ärztinnen und Ärzten) einen separaten Plattformnutzungsvertrag ab.

Der Institutionelle Vertragspartner schreibt seinen Mitarbeiterinnen und Mitarbeitern die Absolvierung von Strahlenschutzkursen vor und/oder übernimmt die Kurskosten. Er erhält über das Insights Dashboard auf der AMBOSS-Plattform Zugang zu Leistungs- und Abschlussdaten der bei ihm beschäftigten Nutzenden.

Die drei Parteien stellen gemeinsam fest, dass sie hinsichtlich der nachfolgend beschriebenen Verarbeitungsvorgänge zwingend gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO sind, da jede Partei wesentliche Zwecke und/oder Mittel der Verarbeitung bestimmt:

  • Unterstützung der Schulungen von Nutzungsberechtigten; 
  • Zuweisung von Schulungen/Inhalten/Aufgaben an Nutzungsberechtigten; und
  • Compliance (z. B. Absolvierung von Pflichtkursen), Qualitäts- und Kostenkontrolle.

2. Gegenstand der gemeinsamen Verarbeitung

  1. AMBOSS bietet Institutionellen Vertragspartnern, die das Strahlenschutz Programm lizenzieren, über sog. „Educator Tools“ kontinuierlich Zugang zu Übersichten mit den folgenden personalisierten Leistungs- und Nutzungsdaten („Insights Daten“) von Nutzern, die das AMBOSS Programm über die Institutionelle Lizenz nutzen („Insights Dashboards“):
    • Vor- und Nachname;
    • E-Mail-Adresse;
    • Abteilung;
    • Zeitpunkt Kurszuteilung;
    • Kursfortschritt (Self-Learn-Anteil: Bearbeitungsstand, Zeitaufwand);
    • Zertifikatsdaten (Ausstellungsdatum, Zertifikatsnummer, Gültigkeitsdauer);
    • Teilnahmebestätigungen für die Live-Schulung.
  2. Im Rahmen der gemeinsamen Datenverarbeitung darf der institutionelle Vertragspartner Insights Daten nur für die oben genannten Zwecke verarbeiten. Novaheal und AMBOSS dürfen in diesem Rahmen Insights Daten darüber hinaus verarbeiten, um ihre vertraglichen Verpflichtungen aus dem Hauptvertrag und dieser Vereinbarung zu erfüllen, d.h. um relevante Nutzer zu registrieren, in transaktionale Kommunikation mit solchen Nutzern in Bezug auf deren AMBOSS Konto zu treten und Nutzer bei ihrem Lernprozess mit dem AMBOSS Programm zu unterstützen, z. B. durch personalisierte Lernempfehlungen in Bezug auf Inhalte und Tools, technischen Benutzersupport etc. Wenn eine der Parteien Insights Daten außerhalb der gemeinsamen Verarbeitung für eigene Zwecke nutzt, handelt diese Partei als eigenständiger Verantwortlicher für diese Verarbeitung. 
  3. Die Parteien verarbeiten die Insights Daten für die Dauer des Hauptvertrags und löschen sie anschließend. Zertifikatsdaten und Prüfungsnachweise werden von Novaheal darüber hinaus für die gesetzlich vorgeschriebene Dauer gemäß StrlSchV aufbewahrt. Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten gelöscht oder anonymisiert.
  4. Der Institutionelle Vertragspartner stellt sicher, dass sich aus den auf das Rechtsverhältnis zwischen dem Institutionellen Vertragspartner und dem jeweiligen Nutzer anwendbaren gesetzlichen oder vertraglichen Regelungen keine Einschränkungen für die Verarbeitung ergeben.

3. Datenschutzrechtliche Verantwortung

  1. Verteilung der Verantwortlichkeiten: Die Verantwortlichkeiten zur Erfüllung der sich aus der gemeinsamen Datenverarbeitung ergebenden Pflichten sind wie folgt definiert:

    1. a) Rechtsgrundlage: Die Parteien stützen die gemeinsame Datenverarbeitung der Insights Daten auf die Erforderlichkeit zur Erfüllung des Vertrags mit dem Nutzer; die Educator Tools einschließlich der Insights Dashboards sind Teil der Dienste, für die der Nutzer die Nutzungsbedingungen akzeptiert (Art. 6 Abs. 1 lit. b DSGVO).

    2. b) Bereitstellung von Informationen und Betroffenenrechten: AMBOSS stellt den Nutzern die erforderlichen Datenschutzinformationen im Zusammenhang mit den Insights Dashboards zur Verfügung und ist primärer Ansprechpartner für Betroffenenrechte. Der Institutionelle Vertragspartner kann seine Nutzer zusätzlich informieren und leitet eingehende Nutzeranfragen unverzüglich an AMBOSS weiter. Die Parteien stellen zudem sicher, dass der Kern dieser Vereinbarung den Nutzern in geeigneter Form, insbesondere in Form von Datenschutzhinweisen, zur Verfügung gestellt wird. 

    3. c) Datensicherheit: Jede Partei bleibt selbst für die Gewährleistung der Datensicherheit und insbesondere für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO) zur Gewährleistung eines angemessenen Datenschutzniveaus in ihrem eigenen Verantwortungsbereich verantwortlich. Die Parteien verpflichten sich darüber hinaus, die Verarbeitung der Daten ausschließlich innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) durchzuführen. Eine Übermittlung der Daten in ein Drittland ist nur nach vorheriger schriftlicher Zustimmung der anderen Partei und unter Einhaltung der Art. 44 ff. DSGVO zulässig.

    4. d) Datenschutzverletzungen/Aufsichtsbehörden: AMBOSS ist gemäß Art. 26 DSGVO als zentrale Anlaufstelle für Aufsichtsbehörden benannt. Die Parteien informieren sich gegenseitig unverzüglich über Verletzungen des Schutzes personenbezogener Daten oder Anfragen von Aufsichtsbehörden im Zusammenhang mit ihrer gemeinsamen Verarbeitung. Sie arbeiten im Rahmen ihrer jeweiligen Zuständigkeiten bei der Bearbeitung solcher Angelegenheiten zusammen. Jede Partei ergreift innerhalb ihrer eigenen Organisation unverzüglich die notwendigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mildern.

    5. e) Datenschutz-Folgenabschätzungen und Rechenschaftspflicht: Sofern eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist, führt AMBOSS diese in Abstimmung mit dem Institutionellen Vertragspartner durch. Jede Partei dokumentiert die in dieser Vereinbarung festgelegte Verantwortlichkeitsverteilung und trifft interne Maßnahmen im Einklang mit dem Rechenschaftsgrundsatz gemäß Art. 5 Abs. 2 DSGVO.
  2. Haftung: Die Parteien haften gegenüber den Betroffenen gemäß Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei nur für Pflichtverletzungen, die in ihren eigenen Verantwortungsbereich fallen.

Wenn sie auf “Akzeptieren” klicken, stimmen Sie der Speicherung von Cookies auf Ihrem Gerät zu, um die Navigation auf der Website zu verbessern, die Nutzung der Website zu analysieren und unsere Marketingaktivitäten zu unterstützen. Weitere Informationen finden Sie in unserer Datenschutzrichtlinie.