Vertrag zur Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO zwischen der einreichenden Tierarztpraxis (Verantwortlicher) und Equipixel Veterinary Teleradiology (Auftragsverarbeiter).
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter erbringt für den Verantwortlichen teleradiologische Befundungsleistungen über das Portal https://portal.equipixel.com. Der Vertrag läuft für die Dauer der Geschäftsbeziehung und endet mit deren Beendigung.
§ 2 Art, Umfang und Zweck der Verarbeitung
Verarbeitet werden die vom Verantwortlichen übermittelten Falldaten zum Zweck der Erstellung radiologischer Befunde und der Abrechnung der erbrachten Leistung.
§ 3 Art der Daten und Kreis der Betroffenen
Datenarten: Bilddaten einschließlich DICOM-Kopfdaten, Patientenname (Tier), Tierart, Rasse, Alter, Geschlecht, Name des Besitzers, Vorbericht und Fragestellung, Name und Kontaktdaten des überweisenden Tierarztes, Praxisanschrift und Abrechnungsdaten.
Betroffene: Mitarbeitende und Inhaber der Praxis, überweisende Tierärztinnen und Tierärzte sowie Tierhalterinnen und Tierhalter, soweit deren Namen in den übermittelten Daten enthalten sind.
§ 4 Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
- Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit.
- Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1.
- Unterstützung des Verantwortlichen bei Betroffenenanfragen und bei Meldepflichten nach Art. 33 und 34 DSGVO.
- Unverzügliche Mitteilung von Verletzungen des Schutzes personenbezogener Daten.
- Nach Beendigung des Vertrags Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Nachweis der Einhaltung dieser Pflichten auf Anfrage.
§ 5 Unterauftragsverhältnisse
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unterauftragnehmer | Leistung | Ort |
|---|---|---|
| Host Europe GmbH | Serverbetrieb und Datenspeicherung | Deutschland / Germany |
| Dropbox International Unlimited Company | Speicherung der übermittelten Bilddaten | Irland / USA |
| Microsoft Ireland Operations Ltd. | E-Mail-Versand (Benachrichtigungen, Rechnungen) | Irland / EU |
Ein Wechsel oder die Hinzunahme weiterer Unterauftragnehmer wird mit einer Frist von vier Wochen angekündigt; der Verantwortliche kann widersprechen.
§ 6 Ort der Verarbeitung
Die Verarbeitung findet in der Europäischen Union statt. Soweit Unterauftragnehmer Daten in einem Drittland verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.
§ 7 Wissenschaftliche Nutzung anonymisierter Aufnahmen
Eine Nutzung der Aufnahmen für Lehre, Forschung oder Veröffentlichungen ist nicht Gegenstand dieses Vertrages. Sie erfolgt ausschließlich auf Grundlage einer gesonderten, freiwilligen Einwilligung des Auftraggebers, die im Portal erteilt und jederzeit mit Wirkung für die Zukunft widerrufen werden kann.
Vor einer solchen Nutzung werden die Aufnahmen anonymisiert: Namen von Patient, Besitzer und Praxis, der überweisende Tierarzt, Fall- und Untersuchungsnummern, Aufnahmedatum und Geräte-Kennungen werden aus Bild und Metadaten entfernt. Soweit dadurch kein Personenbezug mehr herstellbar ist, unterliegen die Daten nicht mehr der DSGVO; der Auftragnehmer handelt insoweit nicht als Auftragsverarbeiter.
Ohne diese Einwilligung werden die Aufnahmen ausschließlich zur Erstellung des jeweiligen Befundes und zur Erfüllung gesetzlicher Aufbewahrungspflichten verwendet. Die Erteilung oder Verweigerung der Einwilligung hat keinen Einfluss auf Leistungsumfang oder Vergütung.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | Ausschließlich TLS-verschlüsselte Übertragung (HTTPS, HSTS). Passwörter nur als scrypt-Hashwert. |
| Zugangskontrolle | Persönliche Benutzerkonten, signierte Sitzungs-Cookies mit zeitlicher Begrenzung, Begrenzung der Anmeldeversuche und vorübergehende Kontosperrung. |
| Zugriffskontrolle | Mandantentrennung: Jede Praxis sieht ausschließlich eigene Fälle, Befunde und Rechnungen. Jeder Datei- und Dokumentenabruf wird serverseitig geprüft. |
| Eingabekontrolle | Protokollierung von Anmeldungen, Falleinreichungen, Befundfreigaben und Rechnungsvorgängen mit Zeitpunkt, Benutzer und IP-Adresse. |
| Verfügbarkeit | Tägliche Sicherung von Datenbank und Dateien mit Integritätsprüfung, Vorhaltung von vierzehn Generationen, dokumentiertes Wiederherstellungsverfahren. |
| Trennungskontrolle | Produktivbetrieb getrennt von Test- und Entwicklungsumgebungen. |
| Systemhärtung | Dienst ohne Administratorrechte, eingeschränkte Schreibrechte, Reverse Proxy mit automatischer Zertifikatserneuerung, Firewall. |
Unterschriften
Name / Anschrift: ______________________________
Ort, Datum, Unterschrift: _______________________
Equipixel Veterinary Teleradiology
Dr. Mahmoud Mageed, DipECVDI-LA
Alte Dorfstraße 21, 49456 Bakum
Ort, Datum, Unterschrift: _______________________
Stand: 28.09.2026