Firmenname. Name. Vorname. Straße. PLZ, Ort. Fachlicher Ansprechpartner. Telefon. Fax. -Adresse. Bundesland. Verbandsmitglied bei. IK-Nr.

Transkript

1 zwischen der und Datum-BGR-VB-Nr. opta data Abrechnungs GmbH Berthold-Beitz-Boulevard Essen - im Folgenden oda genannt Firmenname Name Vorname Straße PLZ, Ort Fachlicher Ansprechpartner Telefon Fax -Adresse Bundesland Verbandsmitglied bei -Nr. Kundennummern Abrechnung (wird von oda ausgefüllt) - im Folgenden Kunde genannt - Präambel Ziel der oda ist es, ihren Kunden mit dem Produkt opta data KV als zentrale Stelle für die Annahme und Übermittlung von elektronischen Kostenvoranschlägen zur Verfügung zu stehen. Hierfür hat die oda mit den derzeitigen Anbietern von ekv-online-portalen Vereinbarungen getroffen, um dieses Angebot für ihre Kunden umfassend abzubilden. Zwecks Vereinbarung der notwendigen Anforderungen und Modalitäten zur zentralen Übermittlung der Kostenvoranschläge an die jeweils angebundenen Krankenkassen schließen die Parteien die nachfolgende Vereinbarung.

2 1. Vertragsgegenstand a. Vertragsgegenstand ist die Erfassung und Übermittlung von Kostenvoranschlägen über die derzeitigen und künftigen Anbieter von ekv-online-portalen gegenüber den jeweils angebundenen gesetzlichen Kostenträgern. b. Die Einreichung der Kostenvoranschläge durch den Kunden kann dabei in Papierform oder in digitalisierter Form per Datenträger oder Schnittstelle erfolgen. oda wird die Kostenvoranschläge erfassen, falls notwendig digitalisieren und innerhalb von fünf Arbeitstagen (Mo. - Fr.) ab Eingang im Hause der oda an das zuständige ekv-online-portal senden. Hierzu wird oda für den Kunden beim jeweiligen Portalanbieter einen Zugang beantragen und diesen dort registrieren lassen. c. Um auch künftig, etwa bei Hinzukommen neuer Anbieter elektronischer Portale am Markt oder bei Veränderung der derzeitigen Marktsituation dem Kunden einen umfassenden Service und eine vollständige Abdeckung aller, den jeweiligen Portalen angebundenen Kostenträgern bieten zu können, wird der Kunde der oda Vollmacht erteilen, für diesen dort ebenfalls einen Zugang zu beantragen und die Übermittlung der Kostenvoranschläge für ihn als zentrale Stelle durchzuführen. Die entsprechende Vollmacht wird als Anlage 1 Bestandteil des Vertrages. 2. Voraussetzungen für die elektronische Datenübertragung a. Eine Übermittlung der digitalisierten Kostenvoranschläge durch die oda setzt voraus, dass diese für den Kunden vom jeweiligen Portalanbieter einen eindeutigen Zugangsschlüssel erhält. Hierzu vergeben die Portalanbieter für jeden Kunden eine individuelle Benutzerkennung und ein Kennwort. Dem Kunden ist bekannt, dass der jeweilige Portalanbieter einen Nachweis für die Berechtigung der oda, ihn zu vertreten und die Dienstleistung durchzuführen, verlangen kann. Als Nachweis dient primär die dem Vertrag beigefügte Vollmacht (Anlage 1), es sei denn, der jeweilige Portalanbieter besteht auf die Verwendung eines eigenen vorgegebenen Musters. Dieses ist dann ergänzend vom Kunden gegenzuzeichnen. b. Eine Registrierung des Kunden beim jeweiligen Portalanbieter ist nur möglich, wenn bei der dortigen Anmeldung bestimmte Mindestangaben zum Kunden übermittelt werden. Mitzuteilen sind den Anbietern der Portale u. a. der Firmenname, -Nummer(n), die vollständige Firmenanschrift, Fachlicher Ansprechpartner, Handelsregisternummer falls vorhanden, Telefonnummern, Faxnummern, -Adresse, Bundesland und Verbandszugehörigkeit. Die Aufzählung erhebt keinen Anspruch auf Vollständigkeit und kann je nach Anbieter abweichen. Der Kunde verpflichtet sich, der oda gegenüber wahrheitsgemäß alle auf Seite 1 des Vertrages anzugebenden notwendigen Daten für die Registrierung vollständig zu übermitteln und auf Anforderung durch oda oder den Portalanbieter durch Dokumente nachzuweisen. Änderungen dieser Daten sind der oda unmittelbar mitzuteilen. Für jede Filiale bzw. Lagerstätte des Kunden ist eine gesonderte Registrierung erforderlich. c. Dem Kunden ist bekannt, dass, trotz Angabe aller Daten, kein Rechtsanspruch auf Zulassung zu einem Portal besteht oder eine bereits erteilte Zugangsberechtigung auf Anordnung der Krankenkasse temporär entzogen werden kann. oda kann daher keine Garantie für die Registrierung übernehmen. Bei auftretenden Hindernissen wird oda den Kunden bei Bekanntwerden umgehend informieren, damit dieser selbst eine Klärung mit dem Kostenträger oder dem Portalanbieter herbeiführen kann. 3. Entgelte a. Die Entgelte für diese Dienstleistung und die Portalnutzung sind direkt gegenüber oda zu entrichten. Die Rechnungsstellung erfolgt einmal monatlich durch oda. In der Rechnung werden alle Portalanbieter gesondert benannt. Der Betrag ist sofort und ohne Abzug zur Zahlung fällig und wird per SEPA-Mandat eingezogen. Hierzu wird der Kunde der oda eine gesonderte Einzugsermächtigung erteilen. Die notwendigen Formulare zur Sepa- Einzugsermächtigung werden dem Kunden gesondert seitens der oda übermittelt. Die Wirksamkeit des Vertrages steht unter der aufschiebenden Bedingung der Erteilung der Einzugsermächtigung. Das SEPA-Mandat wird damit ein wesentlicher Bestandteil des Vertrages. b. Die oda ist berechtigt, sofern das Konto des Kunden nicht die zum Einzug erforderliche Deckung aufgewiesen hat oder der Einzug der Entgelte aus anderem Grunde, welchen oda nicht zu vertreten hat, nicht möglich war, die fälligen Entgeltforderungen einschließlich der entstandenen Rücklastschriftgebühren, mit den Abrechnungsguthaben des Kunden unter den derzeitigen und künftigen bei der oda geführten Abrechnungskonten /Kundenkonten) zu verrechnen.

3 c. Die Rechnung kann vom Benutzer als Datei im PDF-Format heruntergeladen werden. Alternativ ist die Zusendung der Rechnung an eine vom Benutzer bestimmte adresse möglich. Für die Zusendung der Rechnung per Post fällt eine Bearbeitungsgebühr in Höhe von derzeit 5,00 an. d. Die Höhe der Entgelte ergibt sich aus dem Rahmenvertrag mit EXCELLENCE CONNECT zu dieser Vereinbarung. Die oda ist berechtigt, bei Erhöhung der Nutzungsgebühren durch den Anbieter eines ekv-online-portals ihre Entgelte entsprechend anzupassen. Mögliche einmalige Einrichtungsgebühren der jeweiligen Service-Provider oder Kosten für zusätzliche Dienstleistungen, die der Partnerbetrieb direkt beim Service-Provider in Anspruch nimmt, sind mit dem in der Anlage 4 enthaltenen Entgelten nicht abgegolten. e. Alle in diesem Vertrag und seinen Anlagen genannten Preise verstehen sich zuzüglich der jeweils gültigen gesetzlichen Mehrwertsteuer. 4. Haftung a. Die oda haftet nur für Vorsatz und grobe Fahrlässigkeit. Eine Haftung für leichte Fahrlässigkeit wird ausgeschlossen. Die Haftung der oda ist insgesamt auf einen Betrag von begrenzt. b. Für Verzögerungen in der Übermittlung der Kostenvoranschläge, die auf Störungen des Internets oder technische Mängel an den jeweiligen Portalen oder wartungsbedingte Ausfallzeiten entstehen, übernimmt oda keine Haftung. Dem Kunden ist bekannt, dass auch in diesem Falle eine Haftung des jeweiligen Portalanbieters ausgeschlossen ist. c. Der Kunde haftet der oda gegenüber für die Richtigkeit und Vollständigkeit der im Kostenvoranschlag gemachten Angaben. oda übernimmt die Daten wie vom Kunden mitgeteilt. Eine inhaltliche Prüfung der Angaben des Kunden durch oda ist nicht geschuldet. Die oda übermittelten Daten sind verbindlich. Dies gilt nach deren Übermittlung auch gegenüber dem jeweiligen Portalanbieter. oda übernimmt keine Garantie für die Genehmigung des Kostenvoranschlages durch den Kostenträger. 5. Datenschutz a. Die oda unterliegt den Bestimmungen des Bundesdatenschutzgesetzes und wird bei der Durchführung dieses Vertrages im Auftrage des Kunden tätig. Insofern gilt die Erklärung der oda zum Datenschutz entsprechend. Diese Erklärung wird ergänzender Bestandteil dieser Vereinbarung. Sie wird diesem Vertrag als Anlage 2 beigefügt. b. Als Übertragungsmedium der Daten zu den jeweiligen Portalen dient das Internet. Hierbei handelt es sich um einen öffentlichen, nur bedingt sicheren Datenweg. Die Übermittlung der Daten an die jeweiligen ekv-online-portale erfolgt durch den Einsatz aktueller Verschlüsselungstechnologien. Dem Kunden ist bekannt, dass die für ihn in den jeweiligen Systemen vorgenommenen Zugriffe durch oda dort protokolliert werden. c. Die oda versichert, dass ausschließlich zum Datenschutz verpflichtete Mitarbeiter Zugang zu den Daten des Kunden und den jeweiligen ekv-online-portalen haben. Insoweit wird ebenfalls auf die Datenschutzerklärung zu diesem Vertrag verwiesen. 6. Verwendung gespeicherter Daten oda teilt dem Kunden auf diesem Wege mit, dass die Portalanbieter, die im Zuge der Nutzung vom Kunden zugänglich gewordenen Daten speichern, verarbeiten und für eigene Zwecke nutzen. Inhalt des Rechts des Portalanbieters ist es dabei, die Daten zum Zwecke der Abrechnung mit dem Kunden oder gegenüber der oda zu nutzen. 7. Erfüllungsgehilfin oda ist berechtigt, sich zur Erfüllung ihres vertraglichen Auftrages der optadata.com GmbH, Leimkugelstr. 13, Essen als Erfüllungsgehilfin zu bedienen. Insofern stimmt der Kunde einer Übermittlung der Daten an die optadata.com GmbH und dem Einsatz des von der optadata.com GmbH entwickelten Online-Systems egeko ausdrücklich zu. 8. Laufzeit und Kündigung a. Der Vertrag wird auf unbestimmte Zeit geschlossen. Er kann jederzeit von einer Partei mit einer Frist von 4 Wochen zum Ende des darauffolgenden Monats schriftlich gekündigt werden. und Fax genügen dieser Schriftform nicht. Die Nichteinhaltung der Form führt zur Unwirksamkeit der Erklärung. b. Das Recht zur außerordentlichen Kündigung für beide Parteien bleibt davon unberührt. Ein

4 solches Recht besteht insbesondere für eine Partei dann, wenn die von oda mit den jeweiligen Anbietern getroffenen Vereinbarungen zur Durchführung der Dienstleistung für den Kunden aufgekündigt, bzw. eine Übermittlung der Kostenvoranschläge durch oda, trotz Vollmacht-erteilung des Kunden, durch den Anbieter eines ekv-online-portals nicht mehr akzeptiert wird. Ein solches Recht besteht zudem dann, wenn der Kunde seinerseits von der Nutzung eines ekv-online-portals im Bereich der jeweiligen Krankenkasse ausgeschlossen wird. 9. Schlussbestimmungen a. Gerichtsstand für beide Vertragspartner ist, sofern es sich bei diesen um Vollkaufleute handelt, Essen. Auf die vorliegende Vereinbarung ist ausschließlich deutsches Recht anwendbar. b. Änderungen und Ergänzungen sowie sämtliche Erklärungen, die im Rahmen dieser Vereinbarungen abgegeben werden, bedürfen der Schriftform. Allgemeine Geschäftsbedingungen des Kunden sind ausgeschlossen. c. Sollten einzelne Bestimmungen dieser Vereinbarungen ganz oder teilweise rechtsunwirksam oder nichtig sein oder werden, wird hierdurch die Gültigkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder nichtigen Bestimmungen ist eine solche Bestimmung wirksam zu vereinbaren, die der unwirksamen oder nichtigen Bestimmung entspricht. Dies gilt analog im Fall von etwaigen Vertragslücken. 10. Inanspruchnahme weiterer Leistungen der ekv-portalanbieter und Bedingungen HMM a. Durch diesen Vertrag wird nur die zentrale Annahme und Übermittlung von elektronischen Kostenvoranschlägen abgedeckt. Dem Kunden ist bekannt, dass einzelne Portalanbieter auf ihren Plattformen weitergehende Leistungen anbieten, welche über die erhaltenen Zugangsdaten genutzt werden können. Diese Leistungen sind nicht Bestandteil des opta data KV Vertrages. Nimmt der Kunde diese Leistungen daher selbständig in Anspruch, erfolgt dies zu den Nutzungsbedingungen und den jeweils gültigen Entgelten der Portalbetreiber.

5 11. Anlagen Anlage 1 Einverständniserklärung und Vollmacht Anlage 2 Bestimmungen zum Datenschutz Anlage 3 Anforderungsformular für zusätzliche egeko-benutzerdaten Anlage 4 Gebühren Die gekennzeichneten Anlagen sind vertraglicher Bestandteil dieser Vereinbarung....,......,... (Ort) (Datum) (Ort) (Datum)... i. A.... Stempel und Unterschrift des Kunden opta data Abrechnungs GmbH Inhaber/Geschäftsführer/Gesellschafter (Vor- und Zuname) (Vor- und Zuname)... (Vor- und Zuname in Druckbuchstaben) (Bestätigung der eigenhändigen Unterschrift des Kd.) Zentrale Kontaktdaten für den opta data KV: opta data Abrechnungs GmbH Abteilung Qualitäts- und Produktmanagement/ opta data KV Essen Fragen zum Portal und der Rechnung support@optadata.com Tel.: 0201 / Fragen zum Vertrag und Partnern optadatakv@optadata-gruppe.de Tel.: 0201 / Fax: 0201 /

6 Anlage 1 zum Vertrag opta data KV Zwischen der opta data Abrechnungs GmbH, Berthold-Beitz-Boulevard 514, Essen - im Folgenden oda genannt - und dem (Kunde) Einverständniserklärung und Vollmacht Der Kunde erklärt sich damit einverstanden, dass die oda für diesen beim jeweiligen Anbieter von ekv-online-portalen für die Übermittlung elektronischer Kostenvoranschläge eine Registrierung beantragt, dessen Kostenvoranschläge erfasst und für diesen die Übermittlung an das jeweilige Portal übernimmt. oda ist berechtigt, für den Kunden Erklärungen gegenüber den Portalanbietern abzugeben und die dem Kunden betreffende Daten aus dem Portal zu empfangen. Dies gilt insbesondere auch für die individuellen Benutzerkennungen und Kennwörter. Die Rechnungslegung des Portalanbieters soll zentral gegenüber der oda erfolgen. Die Abrechnungen dem Kunden gegenüber werden von der oda vorgenommen. Für den Fall, dass oda mit einem derzeitigen oder künftigen Portalanbieter keine zentrale Nutzungsvereinbarung geschlossen hat oder die Zentralvereinbarung gekündigt wird, bevollmächtigt der Kunde die oda schon jetzt, für diesen beim jeweiligen Anbieter einen Einzelnutzungsvertrag abzuschließen und anschließend die Dienstleistung der Erfassung der Kostenvoranschläge und deren Übermittlung an das jeweilige Portal vorzunehmen. Die Erklärungen der oda gegenüber den Portalanbietern wirken für und gegen den Kunden. Ort, Datum (Unterschrift/Kunde)

7 Anlage 2 zur Vereinbarung opta data KV Datenschutz und Datensicherheit 1. Allgemeines Die oda und ihre Niederlassungen unterliegen den einschlägigen datenschutzrechtlichen Bestimmungen des SGB V und des SGB X sowie des BDSG in seiner jeweiligen Fassung, sofern diese Vorschriften nicht durch vorrangige Vorschriften des SGB anders geregelt sind. Auftraggeber im Sinne dieser Anlage der Kunde, Auftragnehmerin die opta data Abrechnungs GmbH, Bamlerstraße 114, Essen (im folgenden oda genannt). Zuständige Aufsichtsbehörde der oda in Essen ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Nordrhein Westfalen, Herr Ulrich Lepper, Kavalleriestraße 2-4, Düsseldorf., Tel.: 0211/ Gegenstand und Dauer des Auftrags Der Gegenstand des Auftrags ergibt sich aus der Dienstleistungsvereinbarung der Parteien zur Abrechnung Anlage A-, auf welche vorliegend verwiesen wird. Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Dienstleistungsvereinbarung. Die Auftragnehmerin und ihre Niederlassungen verarbeiten und nutzen die Daten ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. 3. Konkretisierung des Auftragsinhalts Umfang, Art und Zweck der Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber sind konkret in der Dienstleistungsvereinbarung beschrieben. 4. Art der Daten Der Auftraggeber ist Dienstleister im Gesundheitswesen und erhebt nach 28 BDSG die abrechnungsbegründenden Unterlagen/Daten zunächst zu eigenen Zwecken beim Patienten bzw. seinen Kunden. Zur Abrechnung mit den gesetzlichen Kostenträgern nach 302 SGB V, 300 SGB V oder den Pflegekassen 105 SGB XI oder auch gegenüber den Leistungsempfängern leitet der Auftraggeber diese abrechnungsbegründenden Unterlagen, wie etwa Verordnungen Rezepte, Kostenvoranschläge, Lieferscheine etc., an die Auftragnehmerin weiter. Zusammenfassend handelt es sich hierbei um Abrechnungs- und Zahlungsdaten. 5. Kreis der Betroffenen Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags umfasst neben den gesetzlichen Kostenträgern, die privaten Leistungsempfänger. Einzelheiten hierzu regelt der Dienstleistungsvertrag zwischen dem Auftraggeber und der Auftragnehmerin. 6. Technisch-organisatorische Maßnahmen Die Auftragnehmerin hat die Umsetzung der im Vorfeld der Auftragsvergabe dargelegten technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung, insbesondere hinsichtlich der konkreten Auftragsdurchführung zu dokumentieren und dem Auftraggeber auf Verlangen zur Prüfung zu übergeben. Ein öffentliches Verfahrensverzeichnis mit den Angaben nach BDSG 4e Ziffer 1-8 ist beim Auftragnehmer vorhanden und kann jedermann auf Antrag zur Verfügung gestellt werden. Auch das interne Verfahrensverzeichnis für den Vorgang der Abrechnung wird vorgehalten. Die Angaben nach 9 BDSG und der Anlagen zu 9 Satz 1 sind in einem Datenschutzhandbuch hinterlegt. Ein Exemplar befindet sich beim Auftragnehmer und ein Weiteres im Büro des externen Datenschutzbeauftragten (siehe Ziffer 8.). Bei Akzeptanz durch den Auftraggeber werden die dokumentierten Maßnahmen Grundlage des Auftrags. Soweit die Prüfung, ein Audit des Auftraggebers, einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen. Insgesamt handelt es sich bei den Angaben im Datenschutzhandbuch um die zu treffenden technischen und organisatorischen Maßnahmen hinsichtlich der Organisationskontrolle, Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle sowie des Trennungsgebots und des Gebots der Datenvermeidung. Sind andererseits auftragsspezifische Maßnahmen, insbesondere im Hinblick auf die Art des Datenaustausches / Bereitstellung von Daten, Art / Umstände der Verarbeitung / der Datenhaltung sowie Art / Umstände beim Output / Datenversand, die soweit sie sich nicht aus dem zugrunde liegenden Dienstleistungsvertrag ergeben getroffen, sind diese Angaben ebenfalls im Datenschutzhandbuch enthalten. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind im nächsten Handbuch zu dokumentieren. 7. Berichtigung, Sperrung und Löschung von Daten Die Auftragnehmerin hat die Daten, die nur im Auftrag verarbeitet werden, nur nach Weisung des Auftragebers zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an die Auftragnehmerin zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird die Auftragnehmerin dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. 8. Kontrollen und sonstige Pflichten des Auftragnehmers Die Auftragnehmerin hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags folgende Pflichten: Bestellung eines externen Datenschutzbeauftragten. Ein externer betrieblicher Datenschutzbeauftragter wurde am schriftlich bestellt. Die notwendigen Fachkenntnisse liegen vor. Datenschutzbeauftragter ist Herr Joachim Kramer, Datenschutz - Auditor (TÜV). Er ist zu erreichen unter: Büro für Datenschutz und Datensicherheit, Dipl. Ing (FH) Sylvia Kramer und Joachim Kramer GbR, Richard Wagner Str. 11, Radebeul (Hauptstelle), Tel.: 0351/ , Fax 0351/ sowie unter der Weberplatz 3, Essen (Niederlassung NRW), Tel.: 0201/ , Fax: 0201/ Verpflichtung der Mitarbeiter auf das Datengeheimnis. Alle Personen, die auftragsgemäß auf personenbezogene Daten des Auftraggebers zugreifen können, sind nach 5 BDSG auf das Datengeheimnis verpflichtet und über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehrt worden. Alle Mitarbeiter die personenbezogene Daten des Auftraggebers erheben, verarbeiten oder nutzen, werden regelmäßig durch den betrieblichen Datenschutzbeauftragten geschult. Die Teilnahme wird in den Personalakten dokumentiert und die Originallisten mit den Unterschriften beim betrieblichen Datenschutzbeauftragten archiviert. Die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen entsprechen 9 BDSG und der Anlage zu 9 Satz 1. Die unverzügliche Information des Auftraggebers über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach 38 BDSG. Dies gilt auch, soweit eine zuständige Behörde nach 43, 44 BDSG beim Auftragnehmer ermittelt. Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. - erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags. Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Auftraggeber. Hierzu kann der Auftragnehmer auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.b. nach BSI-Grundschutz) vorlegen. In diesem Zusammenhang wird noch einmal auf das einsehbare Datenschutzhandbuch der Auftragnehmerin hingewiesen. 9. Unterauftragsverhältnisse Die Weitergabe von Daten im Rahmen eines Unterauftragsverhältnisses ist, da es sich beim Auftraggeber um besondere Daten nach 3 Abs. 9 BDSG und 35 I SGB I handelt, nur mit der ausdrücklichen Einwilligung der Betroffenen oder in anonymisierter Form möglich. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.b. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungs-kräfte, Prüfer oder die Entsorgung von Datenträgern. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen. 10. Kontrollrechte des Auftraggebers Der Auftraggeber hat das Recht, die in Nr. 6 der Anlage zu 9 BDSG vorgesehene Auftragskontrolle im Benehmen mit der Auftragnehmerin durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen Unabhängiger Instanzen (z.b. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitäts-Auditoren) oder einer geeigneten Zertifizierung durch IT-Sicerheits- oder Datenschutzaudit (z.b. nach BSI-Grundschutz) erbracht werden. Die Auftragnehmerin ist berechtigt, dem Auftraggeber die ihr bei einer Prüfung entstehenden Selbstkosten zu berechnen. Im Hinblick auf die Kontrollverpflichtungen des Auftraggebers nach 11 Abs. 2 Satz 4 BDSG vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragnehmer dem Auftraggeber auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß 9 BDSG und der Anlage nach. Die Auftragnehmerin verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen. Kann die Auftragnehmerin dem Auftraggeber Prüfprotokolle zur Verfügung stellen, aus denen objektiv hervorgeht, dass alle getroffenen technischen und organisatorischen Maßnahmen den angestrebten Schutzzweck erfüllen, dann sind sich Auftraggeber und Auftragnehmerin darüber einig, dass damit das Kontrollrecht des Auftraggebers vor Ort abgegolten ist. 11. Mitteilung bei Verstößen des Auftragnehmers Der Auftragnehmer erstattet in allen Fällen dem Auftraggeber eine Meldung, wenn durch ihn oder die bei ihm beschäftigten Personen Verstöße gegen Vorschriften zum Schutz personenbezogener Daten des Auftraggebers oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind. Es ist bekannt, dass nach 42a BDSG Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten bestehen können. Deshalb sind solche Vorfälle ohne Ansehen der Verursachung unverzüglich dem Auftraggeber mitzuteilen. Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten des

8 Auftraggebers. Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit den Auftraggeber Pflichten nach 42a BDSG treffen, hat der Auftragnehmer ihn hierbei zu unterstützen. 12. Weisungsbefugnis des Auftraggebers Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers (vgl. 11 Abs. 3 Satz 1 BDSG). Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. Der Auftragnehmer hat den Auftraggeber unverzüglich entsprechend 11 Abs. 3 Satz 2 BDSG zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber zurück genommen oder geändert wird. 13. Löschung von Daten und Rückgabe von Datenträgern Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch den Auftraggeber spätestens mit Beendigung der Dienstleistungsvereinbarung hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben. 14. Texterstellung Erstellt durch die oda, in Zusammenarbeit mit dem bdsb Joachim Kramer, Datenschutz - Auditor (TÜV).

9 Anlage 3 zur Vereinbarung opta data KV - Anforderungsformular für zusätzliche egeko-benutzerdaten - Bitte schalten Sie zusätzlich zum Hauptbetrieb (Angaben siehe S. 1 im Vertrag) für folgende Filiale/n einen egeko-zugang frei: 1) Name der Filiale 2) Name der Filiale 3) Name der Filiale 4) Name der Filiale 5) Name der Filiale 6) Name der Filiale Hiermit wird bestätigt, dass die oben aufgeführte/n Filiale/n rechtlich zu dem genannten Hauptbetrieb gehört bzw. gehören. Ort, Datum Stempel und Unterschrift Versionsstand: Versionsnummer: 1.0

10 ANLAGE 4: Entgeltvereinbarung opta data KV für Mitglieder der Einkaufsgemeinschaft EXCELLENCE CONNECT Aktivierungsgebühr- Einmalige Aktivierungsgebühren in Höhe von 49,00 (Erstregistrierung, unabhängig von der Anzahl der Filialen) Grundgebühren: Die monatliche Grundgebühr beinhaltet alle Grundgebühren für die Service-Provider opta data-egeko, MIP und HMM. Die monatliche Grundgebühr für ein Institutionskennzeichen beträgt 20,20. Diese Gebühr beinhaltet alle Grundgebühren der Service-Provider opta data com - egeko (5,- ), HMM (5,- ) sowie MIP (10,20 ). Je weiterem Institutionskennzeichen wird eine zusätzliche monatliche Grundgebühr in Höhe von 10,20 (MIP-Gebühr) erhoben. Die im opta data KV integrierten Gebühren von HMM, MIP und opta data com - egeko werden von der opta data an diese Service-Provider weitergeleitet. Transaktionsentgelte: Die Transaktionskosten betragen je übermitteltem ekv 0,69. Die Berechnung der übermittelten Kostenvoranschläge erfolgt zusammenfassend über alle in der Vereinbarung angegebenen Institutionskennzeichen. Weitere HMM-Transaktionskosten je: Lieferbestätigungen / Lieferabbruchanzeigen 0,17 Einlagerungsmeldungen 0,17 Nachrichten an den Kostenträger 0,05 Aufpreis für große Dokumente über 10 MB, pro angefangenem MB 0,10 opta data KV plus Erfassung (Anlieferung der Kostenvoranschläge in Papierform): Die Kosten für die Anlieferung eines Kostenvoranschlag in Papierform beträgt 3,99 je zu erfassenden Kostenvoranschlag. Alle Gebühren verstehen sich zzgl. der jeweils gültigen gesetzlichen Mehrwertsteuer. Portalzugänge Es bestehen bereits Zugänge zu folgenden ekv-portalen: egeko MIP HMM kein Zugang Wichtig: Im Rahmen der Nutzung des opta data KV werden bestehende Zugänge umgebucht Versionsstand: Versionsnummer: 1.0