Dieser Vertrag liegt in Deutsch und Englisch vor. Eine unterzeichnete PDF-Fassung in beiden Sprachen ist auf Anfrage erhältlich.
RechtlichesAuftragsbearbeitungsvertrag (AVV / DPA)
Vertrag zwischen AgendaPlus als Auftragsbearbeiter und der Klinik als Verantwortlicher gemäss Art. 9 nDSG.
Zuletzt aktualisiert: 27. September 2026
Dieser Auftragsbearbeitungsvertrag (nachfolgend „AVV") regelt die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Bereitstellung der AgendaPlus-Plattform. Parteien: • Auftragsbearbeiter: AgendaPlus, Hombrechtikon Zürich, Schweiz (nachfolgend „AgendaPlus") • Verantwortlicher: die Praxis, Klinik oder andere Organisation, die AgendaPlus gemäss den Allgemeinen Geschäftsbedingungen nutzt, auch während einer kostenlosen Testphase (nachfolgend „Klinik") Dieser AVV ist integraler Bestandteil der AGB zwischen den Parteien. Bei Widersprüchen zwischen AGB und AVV hat der AVV Vorrang in Datenschutzfragen.
§ 1 Gegenstand, Dauer und Zweck der Verarbeitung
Gegenstand: AgendaPlus verarbeitet personenbezogene Daten ausschliesslich im Auftrag und nach dokumentierten Weisungen der Klinik (Ausnahme: «Eigene Vermerke von AgendaPlus» unten), um folgende Leistungen zu erbringen: • Warteliste, Terminanfragen, Online-Buchung und Terminverwaltung • Angebot freier Termine: frühere Termine, wenn ein Termin frei wird, und Ersatztermine, wenn die Klinik Termine verschieben muss • Versand von Terminangeboten, Bestätigungen und Terminerinnerungen per SMS und WhatsApp (Angebote an Personen ohne Einwilligung: nur per SMS, § 4b); Recall-Erinnerungen nur per SMS (§ 4a); Mitteilungen des Personals an eine Person zu ihrem eigenen Termin, «SMS an Patienten», nur per SMS (§ 4b) • Benachrichtigungen über besetzte oder verschobene Termine an die Behandelnden der Klinik und, sofern die Klinik sie nutzt, an ihr Labor • Einholen, Protokollieren und Widerrufen von Einwilligungen für digitale Kommunikation • Zurverfügungstellung der Dashboard- und Administrationsoberfläche Dauer: Die Verarbeitung beginnt mit der ersten Bearbeitung von Personendaten für die Klinik, auch während einer kostenlosen Testphase, und endet mit der Beendigung des Vertrags. Nach Beendigung gilt § 11 (Löschung nach Beendigung). Zweck: Die Erbringung der oben beschriebenen Dienstleistung; jede davon abweichende Nutzung der Daten bedarf einer ausdrücklichen schriftlichen Weisung der Klinik oder einer gesetzlichen Grundlage. Eigene Vermerke von AgendaPlus: Wenige technische Vermerke gehören keiner Klinik; für sie ist AgendaPlus selbst der Verantwortliche. Sie dienen nur dazu, automatische Antworten zu begrenzen und eine Abmeldung zu beachten, und werden nach höchstens 30 Tagen gelöscht. Auskunft darüber gibt AgendaPlus selbst. Auch die Angaben für die Rechnungsstellung an die Klinik bearbeitet AgendaPlus als Verantwortlicher (Datenschutzerklärung von AgendaPlus).
§ 2 Kategorien betroffener Personen
• Patientinnen und Patienten der Klinik • Behandelnde der Klinik (als Angabe in Terminen und als Empfängerinnen und Empfänger von Benachrichtigungen) • Mitarbeitende der Klinik, die die Plattform nutzen • Gesetzliche Vertreter oder Bezugspersonen (soweit als Kontakt hinterlegt)
§ 3 Kategorien personenbezogener Daten
Von Patientinnen und Patienten: • Patientennummer, Mobilnummer, Vorname und Nachname; die Anrede ist freiwillig, und ohne Nachnamen und Anrede begrüssen die Nachrichten neutral. Datensätze, die nur eine Einwilligung festhalten (eine Person, deren Einwilligung erfasst wurde, die aber nicht auf der Warteliste steht), führen keinen Namen, wenn eine Patientennummer vorliegt; ein Name wird nur für eine Person ohne Mobilnummer geführt, damit ihre Einwilligung der Patientennummer zugeordnet werden kann, und nur, bis sie die Einwilligungsanfrage beantwortet hat. • Keine E-Mail-Adresse. Für eine Einwilligungskampagne, welche die Klinik selbst per E-Mail durchführt: nur, ob die Patientin oder der Patient bei der Klinik eine E-Mail-Adresse hat (ja/nein), und ein Vermerk, wenn die Klinik meldet, dass ihre E-Mail nicht zugestellt werden konnte. • Terminbezogene Daten (gewünschter Zeitraum, Status auf der Warteliste, Behandlungsart, Behandlerin oder Behandler — kein detaillierter medizinischer Befund) • Inhalt von SMS- und WhatsApp-Nachrichten im Rahmen der Terminkoordination • IP-Adresse und technische Daten bei Nutzung des Selbstbedienungs-Links Von Behandelnden der Klinik: • Vorname und Name, Titel, Funktion, Geschlecht (für die Anrede in Nachrichten), Sprache der Nachrichten, Mobilnummer für Benachrichtigungen (optional) Von Mitarbeitenden der Klinik: • Name, E-Mail-Adresse, Rolle • Anmeldedaten und Angaben zum zweiten Faktor • Audit-Protokolle zu Aktionen innerhalb der Plattform Erhebung über die AgendaPlus Bridge: Setzt die Klinik die optionale lokale Bridge-Anwendung ein, werden die oben genannten Patientendaten zusätzlich dadurch erhoben, dass die Bridge auf Auslösung durch das Klinikpersonal die aktuell angezeigten Termin- und Patientenangaben aus der Bildschirmdarstellung des Praxisverwaltungssystems ausliest und an die Plattform übermittelt. Schaltet die Klinik in der Bridge die automatische Prüfung ein, liest die Bridge beim Öffnen einer Patientenkarte im Praxisverwaltungssystem die Patientennummer und die Mobilnummer und prüft das E-Mail-Feld auf dem Praxis-PC. Sie zeigt dem Klinikpersonal an, wenn eine Mobilnummer fehlt oder nicht mit AgendaPlus übereinstimmt (dann mit der in AgendaPlus hinterlegten Nummer), eine Einwilligung fehlt oder noch aussteht (mit dem Datum der letzten Anfrage), die Person in AgendaPlus noch nicht erfasst ist, das E-Mail-Feld leer oder fehlerhaft ist oder die Klinik die Adresse als unzustellbar gemeldet hat, sowie, wenn die Klinik es einschaltet, eine Abmeldung. Für den Abgleich mit der Plattform übermittelt sie nur schlüsselbasierte Fingerabdrücke dieser Angaben; Angaben übernimmt sie erst, wenn das Klinikpersonal es auslöst. Die Prüfung lässt sich je Praxis-PC ein- und ausschalten. Nutzt die Klinik Recall-Erinnerungen (§ 4a), liest die Bridge auf einem Praxis-PC zudem die Recall-Listen, welche die Klinik aus dem Praxisverwaltungssystem exportiert, reduziert sie dort auf die nötigen Angaben und lädt diese automatisch auf die Plattform hoch: Patientennummer, Nachname, Mobilnummer und Geschlechtsangabe (für die Anrede); bei fälligen Kontrollen Monat, Art und Dauer der Behandlung; bei überfälligen Kontrollen Alter, behandelnde Person, Datum des letzten Termins, Monat des letzten Recalls und ob ein Termin bevorsteht. Unterstützt die Bridge das Praxisverwaltungssystem der Klinik, trägt sie einen über die Plattform gebuchten Termin dort ein oder verschiebt dort den bestehenden Termin der Patientin oder des Patienten auf den gebuchten Termin, jeweils nur auf Auslösung durch das Klinikpersonal im Dashboard; sie bedient dafür das Programm der Klinik auf dem Praxis-PC und gibt nur Datum, Uhrzeiten, Behandlerin oder Behandler und die Patientennummer ein. Darüber hinaus verändert die Bridge keine Daten im PMS; auf die PMS-Datenbank greift sie nicht zu. Die Auslösung durch das Klinikpersonal gilt als Weisung im Sinne von § 4, das automatische Hochladen der Recall-Listen als Weisung nach § 4a. Gesundheitsdaten: Zu den Patientendaten gehören Gesundheitsdaten, also besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c nDSG. Schon die Angabe, dass jemand Patientin oder Patient der Klinik ist, ist ein Gesundheitsdatum, ebenso die Behandlungsart und der Terminzweck. Erfasst die Klinik eine Vorlaufzeit wegen Medikamenten oder Notizen, gehören auch diese dazu. AgendaPlus bearbeitet diese Daten nur für die Terminkoordination; Befunde und Diagnosen braucht AgendaPlus dafür nicht. Trägt die Klinik solche Angaben in Freitextfelder ein, bearbeitet AgendaPlus sie nach diesem AVV; die Klinik verantwortet, dass sie dort nötig sind. Aufbewahrung (Übersicht; nach Beendigung gilt zusätzlich § 11): • Patientendaten: Ein inaktiver Patient wird zur Löschung fällig, standardmässig 1 Arbeitstag nach Beginn der Inaktivität; ein archivierter Patient wird nach der eingestellten Archivdauer inaktiv, standardmässig nach 1 Arbeitstag — zusammen mindestens 48 Stunden; Arbeitstage sind die Öffnungstage der Klinik ohne die landesweiten Feiertage. Die Klinik wählt die Fristen in den Einstellungen oder schaltet die automatische Löschung aus. • Gelöscht wird erst, wenn die Klinik die Löschung bestätigt («Verstanden»). Hat die Klinik die automatische Lösch-Freigabe eingeschaltet, entfällt die Bestätigung. 30 Tage nach der Löschung werden die Daten endgültig entfernt, Nachrichteninhalte eingeschlossen. • Auf Verlangen einer betroffenen Person kann die Klinik den Patienten sofort und vollständig löschen («Vollständig löschen»), mit seinem Einwilligungsverlauf; die anderen Patienten der Klinik auf derselben Nummer werden dabei mitgelöscht, und die Klinik sieht vor der Bestätigung, welche das sind. • Datensätze, die nur eine Einwilligung festhalten: Der Name entfällt wie oben beschrieben; nach einem Widerruf oder einer Ablehnung wird der Datensatz wie jeder inaktive Patient gelöscht, sonst bleibt er ohne Frist erhalten. • Aufträge an die Bridge (Einträge im Praxisverwaltungssystem): Datum, Uhrzeiten, Behandlerin oder Behandler und Patientennummer eines Eintrags oder einer Verschiebung; erledigte Aufträge werden 30 Tage nach der Erledigung gelöscht, offene 60 Tage nach der Erstellung. • Einwilligungsnachweise: Alle Einträge zu einem Patienten der Klinik bilden einen Verlauf mit einer gemeinsamen Frist. Solange der Patient erfasst ist und seine Einwilligung gilt, bleibt der Verlauf ohne Frist erhalten. Nach einem Widerruf oder einer Ablehnung wird der ganze Verlauf spätestens 3 Jahre danach gelöscht. Willigt der Patient in dieser Zeit erneut ein, gilt der Verlauf wieder ohne Frist; bereits abgelaufene Einträge kommen nicht zurück. Wird ein Patient ohne Widerruf automatisch gelöscht, bleibt seine Einwilligung 10 Jahre nach dem letzten Besuch erhalten und gilt weiter, wenn er zurückkommt; eine nie beantwortete Anfrage bleibt 3 Jahre nach dem letzten Besuch. • Die Frist von 3 bzw. 10 Jahren ist keine gesetzliche Aufbewahrungsfrist. Sie ist begründet mit Art. 6 Abs. 4 nDSG und der Verjährung nach OR Art. 60 Abs. 1 (3 Jahre relativ, 10 Jahre absolut); die 10 Jahre zudem mit der kantonalen Pflicht, die Patientendokumentation mindestens 10 Jahre nach der letzten Behandlung aufzubewahren. • Abmeldungen (§ 4a): Gespeichert werden schlüsselbasierte Fingerabdrücke der Mobilnummer und der Patientennummer, verschlüsselte Kopien davon, die Quelle der Abmeldung, wer sie erfasst hat und wann — kein Name und keine Verknüpfung mit dem Patientendatensatz. Eine Abmeldung bleibt ohne Frist bestehen, bis die Klinik sie aufhebt oder der Vertrag endet; der Protokolleintrag zur Aufhebung bleibt als Nachweis 12 Monate erhalten. «Vollständig löschen» entfernt die verschlüsselten Kopien; die Fingerabdrücke bleiben, damit die Abmeldung die Löschung überdauert. • Audit-Protokolle: 12 Monate in der Datenbank; die vom System getrennte Archivkopie wird nach 400 Tagen gelöscht (Art. 4 Abs. 5 DSV verlangt mindestens ein Jahr getrennt vom System). • Datensicherungen: bis zu ihrem Ablauf, höchstens rund drei Monate.
§ 4 Weisungen des Verantwortlichen
AgendaPlus verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung der Klinik. Als Weisungen gelten: • die Konfiguration der Klinikeinstellungen im Dashboard, • die durch die Klinik in der Plattform erfassten Aufbewahrungs- und Löschfristen, • einzelfallbezogene schriftliche Weisungen an . Ist AgendaPlus der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert es die Klinik unverzüglich. Die Klinik beurteilt als Verantwortliche allein, ob ihre Bearbeitung zulässig ist, auch der Versand von Recall-Erinnerungen (§ 4a) und von Nachrichten ohne Einwilligung (§ 4b). Die Beschreibung dieser Funktionen in diesem AVV ist keine Rechtsberatung durch AgendaPlus.
§ 4a Erinnerungen und Recalls
Nutzt die Klinik die Recall-Erinnerungen, weist sie AgendaPlus damit an, Personen, die bei ihr in Behandlung sind oder waren, per SMS an eine fällige oder überfällige Kontrolle zu erinnern, etwa eine zahnärztliche Kontrolle oder eine Dentalhygiene («Recall-Erinnerungen»). Grundlage sind die Recall-Listen, welche die Klinik aus ihrem Praxisverwaltungssystem exportiert und welche die AgendaPlus Bridge auf einem Praxis-PC auf die nötigen Angaben reduziert und automatisch auf die Plattform hochlädt (§ 3). Lädt die Klinik eine solche Liste im Dashboard hoch, liest die Plattform die Datei, behält nur dieselben Angaben und speichert die Datei nicht. Recall-Erinnerungen gehören zum Behandlungsverhältnis der Klinik und sind keine Werbung. Sie enthalten nur Gesundheitsinformationen, keine Angebote, keine Preise und keinen Hinweis auf freie Termine. Sie nennen im Text die Klinik als Absenderin und werden ausschliesslich per SMS versandt, nie per WhatsApp. Recall-Erinnerungen setzen keine Einwilligung in die übrige digitale Kommunikation voraus. Diese SMS sind Mitteilungen der Klinik im Rahmen ihres Behandlungsverhältnisses mit der Person: Sie tragen die Absenderkennung der Klinik, gehen nur an die Mobilnummer, welche die Person der Klinik für den Kontakt zu ihrer Behandlung angegeben hat, und sind die Art Nachricht, welche die Klinik sonst selbst senden würde; AgendaPlus stellt sie nur in ihrem Auftrag zu. Sie gehen auch an Personen, deren Einwilligung noch aussteht oder die in AgendaPlus nicht erfasst sind. Wer die Einwilligung abgelehnt oder widerrufen hat oder abgemeldet ist, erhält keine. Jede Recall-Erinnerung enthält einen Link «Abmelden». Eine Abmeldung gilt ohne zeitliche Begrenzung: Die Klinik sendet über AgendaPlus an diese Mobilnummer — für alle Personen, die sie bei der Klinik nutzen — und an diese Patientennummer nichts Automatisches mehr, also keine Erinnerungen (auch keine Terminerinnerungen), keine Recall-Erinnerungen, keine Terminangebote, keine Einwilligungsanfragen und keine Kampagnen-SMS. Ausgenommen ist nur die Bestätigung von etwas, das die Person soeben selbst veranlasst hat, etwa ihrer eigenen Online-Buchung. Als Abmeldung gilt: • «Abmelden» auf der Seite, die der Link einer Recall-Erinnerung öffnet, • der Abmelde-Link einer anderen Nachricht, welche die Klinik über AgendaPlus sendet, • die Ablehnung oder der Widerruf der Einwilligung, durch die Person oder durch die Klinik, auch das Entfernen einer offenen Einwilligungsanfrage durch die Klinik, • eine Abmeldung, welche die Klinik selbst erfasst, etwa am Telefon oder am Empfang («Nicht mehr kontaktieren»), • «Vollständig löschen» (§ 3). AgendaPlus setzt die Abmeldung technisch durch. Aufgehoben wird sie nur auf eigenen Wunsch der Person: durch eine Person aus dem Team der Klinik, die mit einer Begründung festhält, wie die Person darum gebeten hat (die Aufhebung wird protokolliert), oder durch die Person selbst von dieser Mobilnummer aus — mit einer Einwilligung auf der Seite der Einwilligungskampagne oder per Stichwort-Antwort, oder mit dem angekreuzten Kästchen auf dem Buchungs- oder Anmeldeformular, nachdem die Nummer mit einem SMS-Code bestätigt wurde. Nichts anderes hebt sie auf: weder eine in der Klinik erfasste Einwilligung allein (das Team hebt sie im selben Schritt auf Wunsch der Person auf) noch ein neuer Datensatz, eine Vorab-Einwilligung oder eine neue Liste. Einzige Ausnahme: Hat die Klinik einen Widerruf irrtümlich erfasst, kann ein Administrator ihn innert 30 Tagen mit Begründung berichtigen; dann entfällt genau die Abmeldung, die dieser Widerruf ausgelöst hat. Eine Abmeldung, welche die Person selbst veranlasst hat, bleibt bestehen. Eine Mobilnummer steht für alle Personen, welche die Klinik unter dieser Nummer führt; eine Abmeldung über diese Nummer gilt deshalb für alle. Wer weiterhin eigene Nachrichten erhalten möchte, hinterlegt bei der Klinik eine eigene Mobilnummer. Die Klinik informiert ihre Patientinnen und Patienten darüber in ihrer Datenschutzerklärung (Textbaustein: Auftragsbestätigung, Anhang 1.1).
§ 4b Einzelne Terminvorschläge und Terminmitteilungen ohne Einwilligung
Wählt das Personal der Klinik für einen früheren Termin von Hand eine Person aus, für die keine Einwilligung in die digitale Kommunikation vorliegt, sendet AgendaPlus ihr diesen Terminvorschlag nur per SMS, nie per WhatsApp, und nur an die Mobilnummer, welche die Klinik für sie führt. Das Personal wählt jede Person einzeln aus und löst den Versand selbst aus; das gilt als Weisung nach § 4. Wer die Einwilligung abgelehnt oder widerrufen hat oder abgemeldet ist (§ 4a), erhält keinen Vorschlag. Ein solcher Vorschlag erfasst keine Einwilligung; Name und Anrede der Person werden am Ende der Aktion gelöscht. Diese SMS sind Mitteilungen der Klinik im Rahmen ihres Behandlungsverhältnisses mit der Person: Sie tragen die Absenderkennung der Klinik, gehen nur an die Mobilnummer, welche die Person der Klinik für den Kontakt zu ihrer Behandlung angegeben hat, und sind die Art Nachricht, welche die Klinik sonst selbst senden würde; AgendaPlus stellt sie nur in ihrem Auftrag zu. Sendet das Personal der Klinik über «SMS an Patienten» einer Person eine SMS zu ihrem eigenen Termin — etwa weil die Behandlerin oder der Behandler ausfällt, die Klinik geschlossen ist oder die Person telefonisch nicht erreichbar war —, sendet AgendaPlus sie nur per SMS, nie per WhatsApp, sofort oder zu dem Zeitpunkt, den das Personal festlegt. Das Personal gibt jede Person einzeln mit ihrer Patientennummer an; ist die Person in AgendaPlus nicht erfasst, gibt es ihre Mobilnummer ein. Den Text wählt es aus den namensfreien Vorlagen der Klinik; er betrifft nur den Termin der Person, enthält keine Angebote und keine Werbung und nennt die Klinik als Absenderin. Der Versand gilt als Weisung nach § 4 und setzt keine Einwilligung in die digitale Kommunikation voraus. Wer die Einwilligung abgelehnt oder widerrufen hat oder abgemeldet ist (§ 4a), erhält keine solche SMS; das wird bei der Auswahl und unmittelbar vor dem Versand geprüft. Der Text der SMS wird nach dem Versand gelöscht; das Versandprotokoll (Vorlage, Patientennummer und Mobilnummer verschlüsselt, Status und Zeitpunkte) wird nach 90 Tagen gelöscht.
§ 5 Vertraulichkeit
AgendaPlus verpflichtet alle zur Verarbeitung eingesetzten Personen schriftlich zur Vertraulichkeit oder unterstellt sie einer angemessenen gesetzlichen Verschwiegenheitspflicht. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. Untersteht die Klinik einem Berufsgeheimnis, etwa nach Art. 321 StGB, handelt AgendaPlus bei der Bearbeitung ihrer Patientendaten als ihre Hilfsperson. AgendaPlus wahrt dieses Geheimnis wie die Klinik selbst, auch nach Vertragsende, und gibt Patientendaten nur nach diesem AVV oder aufgrund einer gesetzlichen Pflicht bekannt. AgendaPlus verpflichtet seine Unterauftragsverarbeiter vertraglich zur Vertraulichkeit. Verlangt eine Behörde, auch eine ausländische, Zugang zu Patientendaten der Klinik, informiert AgendaPlus die Klinik vorgängig, soweit das Recht es erlaubt, und gibt nur heraus, wozu AgendaPlus rechtlich verpflichtet ist.
§ 6 Technische und organisatorische Massnahmen (TOMs)
AgendaPlus trifft angemessene technische und organisatorische Massnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus gemäss Art. 8 nDSG und Art. 1–3 DSV. Eine Zusammenfassung der aktuellen Massnahmen findet sich in Anhang A. AgendaPlus darf die Massnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.
§ 7 Unterauftragsverarbeiter (Subprozessoren)
Die Klinik erteilt AgendaPlus eine allgemeine Genehmigung zur Hinzuziehung der in Anhang B aufgeführten Unterauftragsverarbeiter. AgendaPlus vereinbart mit jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten, die den Anforderungen von Art. 9 nDSG genügen und denen dieses AVV im Wesentlichen entsprechen. Über Änderungen der Liste der Unterauftragsverarbeiter (Hinzuziehung oder Ersetzung) informiert AgendaPlus die Klinik mindestens 30 Tage im Voraus per E-Mail an die im Konto hinterlegte Adresse. Die Klinik hat während dieser Frist ein Widerspruchsrecht aus wichtigem datenschutzrechtlichen Grund; in diesem Fall kann die Klinik den Vertrag auf den Zeitpunkt der Änderung ausserordentlich kündigen und erhält im Voraus bezahlte Gebühren für die Zeit danach anteilig zurück. Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, um den Betrieb aufrechtzuerhalten oder die Daten zu schützen, etwa weil ein Anbieter seinen Dienst einstellt oder nach einem Sicherheitsvorfall, informiert AgendaPlus die Klinik unverzüglich nach der Änderung. Die Klinik kann dann innert 30 Tagen nach dieser Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag mit sofortiger Wirkung ausserordentlich kündigen; im Voraus bezahlte Gebühren für die Zeit danach erhält sie anteilig zurück.
§ 8 Rechte der betroffenen Personen
AgendaPlus unterstützt die Klinik angemessen bei der Erfüllung von Betroffenenrechten (Auskunft, Herausgabe oder Übertragung, Berichtigung, Löschung, Widerspruch). Die Klinik kann Patientendatensätze über das Dashboard exportieren oder löschen; für darüber hinausgehende Anfragen steht zur Verfügung. Gehen Auskunfts-, Berichtigungs- oder Löschungsersuchen unmittelbar bei AgendaPlus ein, leitet AgendaPlus diese unverzüglich an die Klinik weiter.
§ 9 Meldung von Verletzungen der Datensicherheit
AgendaPlus informiert die Klinik so rasch als möglich, spätestens innert 48 Stunden nach Kenntnis, über Verletzungen der Datensicherheit (Art. 5 lit. h nDSG), die personenbezogene Daten der Klinik betreffen. Die Meldung enthält soweit möglich: • Art und Kategorien der Verletzung, • Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, • wahrscheinliche Folgen, • ergriffene oder geplante Massnahmen zur Eindämmung. Angaben, die noch fehlen, reicht AgendaPlus nach, sobald sie vorliegen. Die Meldepflicht der Klinik gegenüber dem EDÖB bzw. den betroffenen Personen bleibt unberührt.
§ 10 Audits und Nachweise
AgendaPlus stellt der Klinik auf schriftliche Anfrage folgende Nachweise zur Verfügung: • eine aktuelle Zusammenfassung der TOMs, • vorliegende AVV mit Unterauftragsverarbeitern, Reichen diese Nachweise nicht aus, damit sich die Klinik von der Einhaltung dieses AVV vergewissern kann (Art. 9 Abs. 2 nDSG), kann sie nach angemessener Vorankündigung (mindestens 30 Tage) und zu normalen Geschäftszeiten eine Überprüfung durchführen, selbst oder durch von ihr beauftragte, zur Verschwiegenheit verpflichtete Dritte; Form und Umfang stimmen die Parteien ab. Die Kosten trägt die Klinik, sofern die Überprüfung nicht einen begründeten Verdacht auf einen Verstoss bestätigt.
§ 11 Löschung nach Beendigung
Führendes System für die Patientendokumentation bleibt das Praxisverwaltungssystem (PMS) der Klinik. Sämtliche Patienten- und Termindaten, die AgendaPlus im Auftrag der Klinik bearbeitet, stammen aus diesem System; AgendaPlus hält keine Patientendokumentation, über die die Klinik nicht bereits selbst verfügt. Verlangt die Klinik es bis zum Vertragsende, stellt AgendaPlus ihr die zu diesem Zeitpunkt noch gespeicherten Daten kostenlos in einem gängigen, lesbaren Format (Tabellen und JSON) im Dashboard zum Herunterladen bereit, nur für Administratorinnen und Administratoren der Klinik. Was nach Vertragsende bereits gelöscht ist, kann nicht mehr herausgegeben werden; Einwilligungsnachweise gibt AgendaPlus der Klinik auf Anfrage für eine bestimmte Person heraus, solange sie aufbewahrt werden. Nach Beendigung des Vertrags werden sämtliche personenbezogenen Daten der Klinik innerhalb von 30 Tagen unwiderruflich gelöscht, ausgenommen: • Einwilligungsnachweise: Sie werden spätestens 3 Jahre nach der Beendigung gelöscht, früher, wenn ihre eigene Frist früher endet. Diese Frist von 3 Jahren ist keine gesetzliche Aufbewahrungsfrist; sie ist begründet mit Art. 6 Abs. 4 nDSG und der Verjährung nach OR Art. 60. Solange ein Nachweis aufbewahrt wird, gibt AgendaPlus ihn der Klinik auf Anfrage für eine bestimmte Person heraus. • Audit-Protokolle: 12 Monate in der Datenbank; die vom System getrennte Archivkopie wird nach 400 Tagen gelöscht (Art. 4 Abs. 5 DSV verlangt mindestens ein Jahr getrennt vom System). • Rechnungen von AgendaPlus an die Klinik: 10 Jahre (Aufbewahrungspflicht nach Art. 958f OR). • Datensicherungen: bis zu ihrem Ablauf, höchstens rund drei Monate. AgendaPlus darf aus den Daten anonymisierte, zusammengefasste Nutzungs- und Versandstatistiken erstellen, die weder auf eine Person noch auf eine Klinik schliessen lassen, und sie für eigene Zwecke verwenden, etwa für die Weiterentwicklung der Plattform und für Angaben auf der Website; diese Statistiken werden auf unbestimmte Zeit aufbewahrt.
§ 12 Haftung, Laufzeit und Änderungen
Die Haftungsregelungen der AGB gelten entsprechend. AgendaPlus kann diesen AVV zusammen mit den AGB auf eine Gesellschaft übertragen, die sie gründet oder beherrscht (AGB Ziff. 17). Dieser AVV gilt ab der Unterzeichnung der Auftragsbestätigung, spätestens ab der ersten Bearbeitung von Personendaten für die Klinik, auch während einer kostenlosen Testphase, und endet mit der Beendigung des Vertrags, einschliesslich einer allfälligen Nachwirkung nach § 11. Änderungen dieses AVV bedürfen der Textform (E-Mail genügt) und werden wirksam, wenn die Klinik ihnen nicht innerhalb von 30 Tagen nach Bekanntgabe widerspricht. Widerspricht die Klinik, gilt die bisherige Fassung weiter; jede Partei kann den Vertrag dann auf den Zeitpunkt kündigen, auf den die Änderung wirksam geworden wäre, und im Voraus bezahlte Gebühren für die Zeit danach werden anteilig erstattet. Es gilt Schweizer Recht unter Ausschluss der Kollisionsnormen. Ausschliesslicher Gerichtsstand ist der Sitz von AgendaPlus.
Anhang A — Technische und organisatorische Massnahmen (TOMs)
Gegliedert nach den vier Schutzzielen von Art. 2 der Datenschutzverordnung (DSV) — Vertraulichkeit, Verfügbarkeit, Integrität, Nachvollziehbarkeit — mit den Massnahmen nach Art. 3 DSV, sowie nach der Verhältnismässigkeit und Löschung nach Art. 6 Abs. 2 und 4 nDSG. Fragen zu den Massnahmen beantwortet AgendaPlus der Klinik und ihrem IT-Dienstleister unter ; dort erhalten sie auf Anfrage auch eine ausführliche Beschreibung, die vertraulich zu behandeln ist.
Vertraulichkeit (Art. 2 lit. a DSV; Massnahmen nach Art. 3 DSV: Zugriffs-, Zugangs- und Benutzerkontrolle)
- 01Verschlüsselte Verbindungen zur Plattform.
- 02Zusätzliche Verschlüsselung besonders schützenswerter und direkt identifizierender Inhalte in der Datenbank, insbesondere Namen, Telefonnummern, Notizen und Nachrichteninhalte.
- 03Logische Trennung der Daten jeder Klinik (Mandantentrennung), in der Anwendung und in der Datenbank.
- 04Passwörter werden nur als geschützte Hashwerte gespeichert; Sitzungen laufen automatisch ab.
- 05Zweiter Faktor (Authenticator-App oder Passkey) für Administratorkonten verpflichtend; die Klinik kann ihn für alle Konten ihres Personals vorschreiben.
- 06Rollenbasierte Zugriffskontrolle auf Klinik-, Mitarbeiter- und Patientenebene.
- 07Alle Mitarbeitenden und Auftragnehmer sind schriftlich zur Vertraulichkeit verpflichtet.
Verfügbarkeit (Art. 2 lit. b DSV; Art. 3 DSV: Wiederherstellung und Systemsicherheit)
- 08Verschlüsselte Datensicherungen, getrennt vom Betrieb der Plattform; die Wiederherstellung ist dokumentiert.
- 09Schutz vor Angriffen und Überlastung am Netzwerkrand.
- 10Überwachung der Systeme und Behandlung bekannter Schwachstellen nach ihrem Risiko.
Integrität (Art. 2 lit. c DSV; Art. 3 DSV: Datenträger-, Speicher- und Transportkontrolle)
- 11Getrennte Umgebungen für Betrieb und Entwicklung.
- 12Serverseitige Prüfung der Eingaben.
- 13Änderungen an der Plattform werden automatisiert geprüft.
- 14Die Sicherheitsmassnahmen werden regelmässig überprüft.
Nachvollziehbarkeit (Art. 2 lit. d DSV; Art. 3 DSV und Protokollierung nach Art. 4 DSV)
- 15Protokollierung sicherheits- und datenschutzrelevanter Aktionen, einschliesslich Lesezugriffen auf einzelne Patientenakten und Datenexporten, geschützt gegen nachträgliche Änderung (Aufbewahrung: 12 Monate, das gesetzliche Minimum nach Art. 4 Abs. 5 DSV; eine Archivkopie höchstens 400 Tage).
- 16Einwilligungen werden mit Methode, Quelle und Zeitpunkt nachvollziehbar dokumentiert.
Datenminimierung und Löschung (Art. 6 Abs. 2 und 4 nDSG)
- 17Automatische Löschung inaktiver Patientendaten nach der von der Klinik gewählten Frist (standardmässig 1 Arbeitstag, siehe § 3); endgültige Entfernung 30 Tage nach der Löschung.
- 18Unwiderrufliche Löschung von Nachrichteninhalten bei endgültiger Patientenlöschung; anonymisierte Statistiken verbleiben.
- 19Einwilligungsnachweise: ein Verlauf mit einer gemeinsamen Frist je Patient (siehe § 3); abgelaufene Einträge werden automatisch gelöscht.
Dritt-Infrastruktur: Die Daten werden in Rechenzentren in Deutschland bearbeitet; verschlüsselte Sicherungen liegen in Deutschland und in der Schweiz. Die eingesetzten Anbieter mit Standort und Übermittlungsgrundlage nennt Anhang B.
Anhang B — Liste der Unterauftragsverarbeiter
Die folgende Liste ist der vertraglich verbindliche Stand der eingesetzten Subprozessoren. Änderungen werden gemäss § 7 angekündigt.
Hosting, Datensicherung und E-Mail
- Datenkategorien
- Sämtliche Plattformdaten (PII, Termine, Nachrichten, Audit-Logs)
- Standort
- Deutschland (EU)
- Übermittlungsgrundlage
- Innerhalb EU/EWR
- Datenkategorien
- Datenbank-Sicherungen, verschlüsselt · E-Mail: Adresse und Name der Empfängerin oder des Empfängers; Inhalt der E-Mail (Rechnung, Zugangsdaten, Bericht mit Zahlen und Namen von Behandelnden, Hinweise); Name und E-Mail-Adresse der anfragenden Person des Klinikpersonals, Telefonnummer der Praxis sowie der Freitext einer Support- oder Bestellanfrage; Anfragen, die betroffene Personen direkt an AgendaPlus senden (Name, E-Mail-Adresse, Praxis, Inhalt der Anfrage) · kMeet: E-Mail, Name, Meeting-Metadaten
- Standort
- Schweiz
- Übermittlungsgrundlage
- Innerhalb der Schweiz
Website und Schutz
- Datenkategorien
- IP-Adresse · Browserkennung · aufgerufene Adressen, auch mit dem Code eines Links · Build-Logs
- Standort
- Funktionen in Frankfurt, Deutschland; Auslieferung über das weltweite Edge-Netzwerk von Vercel; US-Unternehmen, Bearbeitung in den USA vertraglich vorgesehen (Vercel-DPA Ziff. 13)
- Übermittlungsgrundlage
- Drittland — EU-Standardvertragsklauseln mit Schweizer Anpassungen
- Datenkategorien
- IP-Adresse · Request-Header · Challenge-Tokens · Inhalt der durchgeleiteten Anfragen und Antworten, Patientendaten eingeschlossen (nur im Durchlauf)
- Standort
- Globales Edge-Netzwerk
- Übermittlungsgrundlage
- Drittland — EU-Standardvertragsklauseln mit Schweizer Anpassungen
Versand von SMS und WhatsApp
- Datenkategorien
- Telefonnummer (E.164) · Nachrichteninhalt
- Standort
- Schweiz
- Übermittlungsgrundlage
- Innerhalb der Schweiz
- Datenkategorien
- Telefonnummer (E.164) · Nachrichteninhalt · Absenderkennung der Praxis
- Standort
- Schweiz (St. Gallen)
- Übermittlungsgrundlage
- Innerhalb der Schweiz
- Datenkategorien
- Telefonnummer · Vorname · Termindetails · Nachrichteninhalt
- Standort
- Irland (EU) — US-Mutterkonzern unter SCC / DPF
- Übermittlungsgrundlage
- Drittland — EU-Standardvertragsklauseln mit Schweizer Anpassungen
Fehlerüberwachung
- Datenkategorien
- Stack-Traces · Anonyme Benutzer-ID · Browser / Betriebssystem · Request-Pfad
- Standort
- Sentry EU-Region (Deutschland) — Vertragspartnerin Functional Software, Inc. (USA); Bearbeitung in den USA und in Ländern der Unterauftragsverarbeiter vertraglich zulässig (Sentry-DPA Ziff. 6.1); Data Privacy Framework (EU-US / Swiss-US), SCC mit Schweizer Anpassung als Rückfall (Sentry-DPA Schedule 3)
- Übermittlungsgrundlage
- USA — Data Privacy Framework (Swiss-US) + SCC
Terminvereinbarung
- Datenkategorien
- E-Mail · Name · Angeforderter Meeting-Termin
- Standort
- Vereinigte Staaten — DPF & SCC
- Übermittlungsgrundlage
- USA — Data Privacy Framework (Swiss-US) + SCC
Marketing (nur nach Einwilligung)
Die folgenden Anbieter werden erst nach Cookie-Einwilligung der jeweils betroffenen Person bzw. nach einem späteren Startschritt kontaktiert. Sie betreffen die öffentliche Website von AgendaPlus, nicht die Patientendaten der Klinik.
- Datenkategorien
- IP-Adresse (anonymisiert) · Cookies · Seitenaufrufe
- Standort
- Irland / Vereinigte Staaten — SCC & DPF
- Übermittlungsgrundlage
- USA — Data Privacy Framework (Swiss-US) + SCC
- Datenkategorien
- IP-Adresse · Cookies · Conversion-Events
- Standort
- Irland / Vereinigte Staaten — SCC & DPF
- Übermittlungsgrundlage
- USA — Data Privacy Framework (Swiss-US) + SCC
- Datenkategorien
- IP-Adresse · Cookies · Conversion-Events
- Standort
- Irland / Vereinigte Staaten — SCC & DPF
- Übermittlungsgrundlage
- USA — Data Privacy Framework (Swiss-US) + SCC
Dieser AVV ist die verbindliche Fassung von AgendaPlus. Eine unterschriebene PDF-Version kann auf Anfrage per E-Mail bereitgestellt werden.
Anfragen zu diesem AVV: