Auftrags­bearbeitungs­vereinbarung (ABV)

1 Gegenstand und Geltung

1.1 Vitabyte stellt dem Kunden die Praxissoftware E-PAT gemäss Software-Lizenz- und Software as a Service-Vertrag (Vertrag) und Allgemeinen Geschäftsbedingungen (AGB) zur Verfügung und bearbeitet dabei Personendaten im Auftrag des Kunden. Diese Vereinbarung regelt die Rechte und Pflichten der Parteien bei dieser Bearbeitung. In Fragen der Auftragsbearbeitung geht diese ABV den AGB und allfälligen Besonderen Bedingungen für Zusatzfunktionen vor. Begriffe haben die Bedeutung gemäss AGB.

1.2 Der Kunde bleibt für die bearbeiteten Personendaten Verantwortlicher im Sinne des DSG. Vitabyte bearbeitet sie nur so, wie der Kunde es selbst tun dürfte.

1.3 Soweit Vitabyte Personendaten als eigene Verantwortliche bearbeitet, z.B. Kontaktdaten des Kunden und seiner Mitarbeitenden für Vertrag, Support und Rechnungsstellung sowie Nutzungs- und Betriebsdaten ohne Patientenbezug (z.B. Log-, Performance- und Funktionsnutzungsdaten) für Betrieb, Sicherheit und Weiterentwicklung von E-PAT, gilt nicht diese ABV, sondern die Datenschutzerklärung von Vitabyte unter www.vitabyte.ch/firma/datenschutz.

2 Art, Zweck und Umfang der Bearbeitung

2.1 Art, Zweck und Umfang der Bearbeitung, die Kategorien der Personendaten und der betroffenen Personen sind in Anhang 1 beschrieben (Verzeichnis der Bearbeitungstätigkeiten, Teil A): Betrieb und Hosting von E-PAT, Support und Datenübernahme, Versand von SMS und E-Mails und, sofern vom Kunden genutzt, VitaByte.AI.

2.2 Bearbeitet werden insbesondere Gesundheitsdaten der Patientinnen und Patienten des Kunden. Sie gelten als besonders schützenswerte Personendaten (Art. 5 lit. c DSG).

2.3 Vitabyte verwendet die Personendaten nicht für eigene Zwecke, insbesondere nicht für das Training von KI-Modellen. Vorbehalten bleibt die Verwendung anonymisierter Daten, die keinen Rückschluss auf Patientinnen und Patienten oder den Kunden zulassen, für statistische Zwecke gemäss AGB Ziffer 14; die Anonymisierung erfolgt auf Weisung des Kunden.

3 Dauer

3.1 Die ABV gilt so lange, wie Vitabyte Personendaten im Auftrag des Kunden bearbeitet, mindestens für die Dauer des Vertrags.

3.2 Die Pflichten zur Vertraulichkeit sowie zur Rückgabe und Löschung gelten über das Vertragsende hinaus.

4 Weisungen

4.1 Vitabyte bearbeitet die Personendaten nur auf dokumentierte Weisung des Kunden. Als Weisungen gelten der Vertrag, diese ABV und die Einstellungen, die der Kunde in E-PAT vornimmt. Weitere Weisungen erteilt der Kunde in Textform, z.B. per E-Mail an support@vitabyte.ch. Weisungen, die über den vertraglichen Leistungsumfang hinausgehen, kann Vitabyte ablehnen oder nach Aufwand zum Supportstundensatz verrechnen.

4.2 Ist Vitabyte der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, informiert sie den Kunden umgehend. Sie darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4.3 Ist Vitabyte gesetzlich zu einer Bearbeitung verpflichtet, informiert sie den Kunden vorgängig, soweit das Gesetz es nicht verbietet.

5 Pflichten des Kunden

5.1 Der Kunde ist für die Rechtmässigkeit der Bearbeitung und den Beizug von Vitabyte verantwortlich. Er holt erforderliche Einwilligungen ein und erfüllt die Informationspflichten gegenüber den betroffenen Personen. Der Kunde hält Vitabyte schadlos für Ansprüche Dritter und behördliche Massnahmen, die darauf beruhen, dass die Bearbeitung oder eine Weisung des Kunden gegen Datenschutzrecht verstösst.

5.2 Der Kunde vergibt die Zugriffsrechte seiner Benutzer, hält die Zugangsdaten geheim und schützt seine eigenen Geräte und Netzwerke angemessen (AGB Ziffern 5, 6 und 15).

5.3 Übermittlungen, die der Kunde selbst über eingebundene Schnittstellen veranlasst, z.B. an Labore, Intermediäre, Versicherer oder HIN, liegen in seiner Verantwortung.

6 Vertraulichkeit und Berufsgeheimnis

6.1 Vitabyte untersteht als Hilfsperson des Kunden dem Berufsgeheimnis nach Art. 321 des Strafgesetzbuches (StGB).

6.2 Vitabyte verpflichtet alle Personen, die Zugang zu Personendaten des Kunden haben, schriftlich zur Geheimhaltung und gewährt den Zugang nur, soweit er für die Aufgabe nötig ist. Vor der Anstellung verlangt Vitabyte einen Strafregisterauszug.

7 Datensicherheit

7.1 Vitabyte trifft angemessene technische und organisatorische Massnahmen nach Art. 8 DSG und Art. 1 bis 6 der Datenschutzverordnung (DSV). Sie sind in Anhang 2 beschrieben.

7.2 Vitabyte darf die Massnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.

8 Subauftragsbearbeiter

8.1 Der Kunde genehmigt den Beizug der in Anhang 3 aufgeführten Subauftragsbearbeiter.

8.2 Vitabyte informiert den Kunden im Voraus über den geplanten Beizug oder Wechsel eines Subauftragsbearbeiters. Lehnt der Kunde den Beizug nicht innert 30 Tagen ab, gilt er als genehmigt. Lehnt der Kunde den Beizug aus wichtigem datenschutzrechtlichem Grund ab und finden die Parteien innert 30 Tagen keine einvernehmliche Lösung, kann jede Partei den Vertrag auf den Zeitpunkt des geplanten Beizugs ausserordentlich kündigen; im Voraus bezahlte Beträge werden pro rata zurückerstattet.

8.3 Vitabyte überbindet den Subauftragsbearbeitern vertraglich dieselben Pflichten zu Datenschutz, Datensicherheit und Vertraulichkeit, die sie selbst nach dieser ABV treffen.

8.4 Nebenleistungen wie Transport, Wartung, Reinigung oder Telekommunikationsdienstleistungen gelten nicht als Subauftragsbearbeitung, sofern dabei kein bestimmungsgemässer Zugriff auf Personendaten des Kunden erfolgt.

9 Bearbeitung im Ausland

9.1 Vitabyte bearbeitet und speichert die Personendaten des Kunden in der Schweiz. Ein zur Vertragserfüllung erforderlicher Fernzugriff durch Mitarbeitende oder Subauftragsbearbeiter von Vitabyte aus anderen Staaten ist unter Einhaltung von Art. 16 und 17 DSG zulässig, sofern das im Anhang 2 definierte Schutzniveau eingehalten wird (AGB Ziffer 14).

9.2 Ausgenommen sind Nachrichten, die über E-PAT versendet werden: Bei SMS können Mobilnummer und SMS-Text beim Messaging-Provider in Staaten der EU oder des EWR bearbeitet werden, die nach Anhang 1 DSV über einen angemessenen Datenschutz verfügen. E-Mails (z.B. Terminerinnerungen) werden an den vom Empfänger gewählten E-Mail-Anbieter zugestellt, der sich auch ausserhalb der Schweiz befinden kann.

9.3 Eine weitere Bekanntgabe ins Ausland erfolgt nur mit vorgängiger Zustimmung des Kunden und unter Einhaltung von Art. 16 und 17 DSG.

10 Unterstützung des Kunden

10.1 E-PAT stellt Funktionen bereit, mit denen der Kunde die Rechte der betroffenen Personen erfüllen kann, insbesondere Auskunft, Herausgabe, Berichtigung und Löschung. Wendet sich eine betroffene Person direkt an Vitabyte, leitet Vitabyte das Anliegen an den Kunden weiter.

10.2 Vitabyte unterstützt den Kunden auf Anfrage bei der Erfüllung dieser Rechte, bei einer Datenschutz-Folgenabschätzung (Art. 22 DSG) und bei Anfragen von Behörden.

10.3 Aufwand, der über den vertraglichen Support hinausgeht, kann Vitabyte zum Supportstundensatz verrechnen.

11 Verletzungen der Datensicherheit

11.1 Vitabyte meldet dem Kunden eine Verletzung der Datensicherheit, die Personendaten des Kunden betrifft, so rasch als möglich in Textform (Art. 24 Abs. 3 DSG, AGB Ziffer 14).

11.2 Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die möglichen Folgen und die getroffenen oder vorgesehenen Massnahmen. Fehlende Angaben reicht Vitabyte nach. Die Meldung gilt nicht als Anerkennung einer Verantwortlichkeit oder eines Verschuldens von Vitabyte.

11.3 Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Information der betroffenen Personen obliegen dem Kunden. Vitabyte unterstützt ihn dabei.

12 Kontrollrechte

12.1 Vitabyte stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieser ABV benötigt, insbesondere die technischen und organisatorischen Massnahmen und die Zertifikate der Subauftragsbearbeiter.

12.2 Reichen die Informationen nach Ziffer 12.1 zum Nachweis nicht aus, kann der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Vitabyte ist, die Einhaltung nach Voranmeldung von mindestens 30 Tagen, während der Geschäftszeiten und höchstens einmal jährlich vor Ort prüfen. Bei konkretem Anlass, z.B. nach einer Verletzung der Datensicherheit, ist eine Prüfung auch ausserhalb dieses Rhythmus möglich. Die Kosten trägt der Kunde. Bei Subauftragsbearbeitern erfolgt der Nachweis über deren Zertifikate und Prüfberichte. Prüfungen vor Ort bei Subauftragsbearbeitern richten sich nach deren Prüfbedingungen.

13 Rückgabe und Löschung

13.1 Bei Vertragsende stellt Vitabyte dem Kunden auf den gewünschten Zeitpunkt eine vollständige Kopie seiner Daten in einem gängigen, strukturierten Format zur Verfügung. Dieser Export wird nach Aufwand zum Supportstundensatz verrechnet. Für die Einhaltung gesetzlicher Aufbewahrungspflichten ist allein der Kunde verantwortlich. Auf Wunsch kann E-PAT gemäss separater Vereinbarung als reine Lese-Version (Archivmodus) weiterbetrieben werden.

13.2 Vitabyte löscht die Daten des Kunden spätestens drei Monate nach Vertragsende bzw. nach ihrer Herausgabe, auf Verlangen des Kunden früher, von sämtlichen Speichermedien vollständig und unwiderruflich. Sicherungskopien laufen nach höchstens 30 Tagen aus.

13.3 Vorbehalten bleiben Aufbewahrungen und Datenbekanntgaben, zu denen Vitabyte aufgrund zwingender gesetzlicher Pflichten oder vollstreckbarer behördlicher oder gerichtlicher Anordnungen verpflichtet ist. Liegt Vitabyte eine Editions-, Herausgabe- oder Beschlagnahmeverfügung vor, die Daten des Kunden betrifft, schiebt Vitabyte die Löschung der betroffenen Daten bis zum Abschluss des Verfahrens auf. Vitabyte informiert den Kunden unverzüglich, soweit rechtlich zulässig, damit er seine Rechte wahrnehmen kann (insbesondere Zeugnis- und Editionsverweigerungsrechte sowie Siegelung), und gibt Daten nur gestützt auf eine vollstreckbare Anordnung heraus.

14 Haftung

14.1 Die Haftung richtet sich nach dem Vertrag und den AGB (insbesondere AGB Ziffer 11). Zwingende gesetzliche Bestimmungen bleiben vorbehalten.

15 Schlussbestimmungen

15.1 Vitabyte kann die ABV und ihre Anhänge nach dem Verfahren gemäss AGB Ziffer 18 anpassen. Eine neue Fassung wird unter www.vitabyte.ch/firma/rechtliches veröffentlicht und in E-PAT visiert. Individuelle Abweichungen bedürfen einer Vereinbarung in Textform.

15.2 Sollte eine Bestimmung unwirksam sein, bleibt die Gültigkeit der übrigen Bestimmungen unberührt.

15.3 Diese ABV untersteht Schweizer Recht. Ausschliesslicher Gerichtsstand ist Horgen, Schweiz. Vitabyte ist jedoch berechtigt, den Kunden auch an dessen Sitz oder Wohnsitz zu belangen.

15.4 Der Kunde nimmt die ABV mit der Unterzeichnung des Vertrags oder durch das Visum eines Admins der Praxis unter Hilfe > Rechtliches in E-PAT an. E-PAT protokolliert beim Visum den Namen des Admins, den Zeitpunkt und die visierte Revision. Das Visum ersetzt die Unterschrift. Vitabyte hat die ABV mit der Bereitstellung in E-PAT angenommen.

Anhänge

Anhang 1

Verzeichnis der Bearbeitungstätigkeiten (Rev. 2026-10), Teil A

Anhang 2

Technische und organisatorische Massnahmen der Vitabyte AG (Rev. 2026-12)

Anhang 3

Information über Beizug Subauftragsbearbeiter (Rev. 2026-12)

Die Anhänge sind in E-PAT unter Hilfe > Rechtliches verlinkt; ihre Änderung richtet sich nach den Ziffern 7.2, 8.2 und 15.1.