Vertrag zur Auftragsverarbeitung (AVV)
nach Art. 28 DSGVO zwischen der einreichenden Tierarztpraxis (Verantwortlicher) und Equipixel Veterinary Teleradiology (Auftragsverarbeiter).
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter erbringt für den Verantwortlichen teleradiologische Befundungsleistungen über das Portal https://portal.equipixel.com. Der Vertrag läuft für die Dauer der Geschäftsbeziehung und endet mit deren Beendigung.
§ 2 Art, Umfang und Zweck der Verarbeitung
Verarbeitet werden die vom Verantwortlichen übermittelten Falldaten zum Zweck der Erstellung radiologischer Befunde und der Abrechnung der erbrachten Leistung.
§ 3 Art der Daten und Kreis der Betroffenen
Datenarten: Bilddaten einschließlich DICOM-Kopfdaten, Patientenname (Tier), Tierart, Rasse, Alter, Geschlecht, Name des Besitzers, Vorbericht und Fragestellung, Name und Kontaktdaten des überweisenden Tierarztes, Praxisanschrift und Abrechnungsdaten.
Betroffene: Mitarbeitende und Inhaber der Praxis, überweisende Tierärztinnen und Tierärzte sowie Tierhalterinnen und Tierhalter, soweit deren Namen in den übermittelten Daten enthalten sind.
§ 4 Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
- Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit.
- Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1.
- Unterstützung des Verantwortlichen bei Betroffenenanfragen und bei Meldepflichten nach Art. 33 und 34 DSGVO.
- Unverzügliche Mitteilung von Verletzungen des Schutzes personenbezogener Daten.
- Nach Beendigung des Vertrags Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Nachweis der Einhaltung dieser Pflichten auf Anfrage.
§ 5 Unterauftragsverhältnisse
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unterauftragnehmer | Leistung | Ort |
|---|---|---|
| Host Europe GmbH | Serverbetrieb und Datenspeicherung | Deutschland / Germany |
| Dropbox International Unlimited Company | Speicherung der übermittelten Bilddaten | Irland / USA |
| Microsoft Ireland Operations Ltd. | E-Mail-Versand (Benachrichtigungen, Rechnungen) | Irland / EU |
Ein Wechsel oder die Hinzunahme weiterer Unterauftragnehmer wird mit einer Frist von vier Wochen angekündigt; der Verantwortliche kann widersprechen.
§ 6 Ort der Verarbeitung
Die Verarbeitung findet in der Europäischen Union statt. Soweit Unterauftragnehmer Daten in einem Drittland verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.
§ 7 Wissenschaftliche Nutzung anonymisierter Aufnahmen
Der Auftraggeber gestattet dem Auftragnehmer, die übermittelten Aufnahmen zu anonymisieren und die anonymisierten Aufnahmen für Lehre, Forschung, Fachvorträge und wissenschaftliche Veröffentlichungen zu verwenden.
Die Anonymisierung entfernt aus Bild und Metadaten die Namen von Patient, Besitzer und Praxis, den überweisenden Tierarzt, Fall- und Untersuchungsnummern, Aufnahmedatum und Geräte-Kennungen. Erhalten bleiben nur fachlich notwendige Angaben wie Tierart, Rasse, Altersgruppe, Geschlecht, anatomische Region und Modalität. Soweit dadurch kein Personenbezug mehr herstellbar ist, unterliegen die Daten nicht mehr der DSGVO; der Auftragnehmer handelt insoweit nicht als Auftragsverarbeiter, sondern in eigener Verantwortung.
Der Auftraggeber kann dieser Nutzung jederzeit formlos per E-Mail widersprechen. Ab dem Widerspruch werden Aufnahmen des Auftraggebers nicht mehr für diese Zwecke verwendet. Der Widerspruch ist kostenlos und hat keinen Einfluss auf Leistungsumfang, Bearbeitungszeit oder Vergütung. Bereits erschienene Veröffentlichungen bleiben unberührt. Die Praxis des Auftraggebers wird nicht genannt, sofern sie dies nicht ausdrücklich wünscht.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | Ausschließlich TLS-verschlüsselte Übertragung (HTTPS, HSTS). Passwörter nur als scrypt-Hashwert. |
| Zugangskontrolle | Persönliche Benutzerkonten, signierte Sitzungs-Cookies mit zeitlicher Begrenzung, Begrenzung der Anmeldeversuche und vorübergehende Kontosperrung. |
| Zugriffskontrolle | Mandantentrennung: Jede Praxis sieht ausschließlich eigene Fälle, Befunde und Rechnungen. Jeder Datei- und Dokumentenabruf wird serverseitig geprüft. |
| Eingabekontrolle | Protokollierung von Anmeldungen, Falleinreichungen, Befundfreigaben und Rechnungsvorgängen mit Zeitpunkt, Benutzer und IP-Adresse. |
| Verfügbarkeit | Tägliche Sicherung von Datenbank und Dateien mit Integritätsprüfung, Vorhaltung von vierzehn Generationen, dokumentiertes Wiederherstellungsverfahren. |
| Trennungskontrolle | Produktivbetrieb getrennt von Test- und Entwicklungsumgebungen. |
| Systemhärtung | Dienst ohne Administratorrechte, eingeschränkte Schreibrechte, Reverse Proxy mit automatischer Zertifikatserneuerung, Firewall. |
Unterschriften
Name / Anschrift: ______________________________
Ort, Datum, Unterschrift: _______________________
Equipixel Veterinary Teleradiology
Dr. Mahmoud Mageed, DipECVDI-LA
Alte Dorfstraße 21, 49456 Bakum
Ort, Datum, Unterschrift: _______________________
Stand: 28.09.2026