Hinweis für Vertragspartner: Die aktuelle Versionsnummer dieser Anlagen lautet: Version 1.0 (Stand: 01.07.2026). AVV-Vertragspartner stimmen mit Unterzeichnung der zu diesem Zeitpunkt veröffentlichten Version zu. Änderungen werden unter Angabe der neuen Versionsnummer per E-Mail mit einer Frist von mindestens 4 Wochen vor Wirksamwerden angekündigt. Ohne fristgerechten Widerspruch gelten Änderungen gemäß §8 und §14 des AVV als genehmigt.
Inhalt
Anlage 1 – Technische und organisatorische Maßnahmen (TOMs) Anlage 2 – Datensicherung und Fernwartung Anlage 3 – UnterauftragsverarbeiterAnlage 1
Technische und organisatorische Maßnahmen (TOMs)
Version 1.0 (Stand: 01.07.2026)
Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Diese umfassen insbesondere:
Zutrittskontrolle
- Abgesicherter Zugang zu Büro- und Serverräumen
- Besucherregelung und Protokollierung von Fremdzutritten
Zugangskontrolle
- Passwortschutz auf allen Systemen; Mindestanforderungen an Passwortkomplexität
- Mehr-Faktor-Authentifizierung (MFA) für Fernzugriffe und privilegierte Konten
- Automatische Bildschirmsperre bei Inaktivität
- Zentrale Verwaltung und sofortige Sperrmöglichkeit von Benutzerkonten
Zugriffskontrolle / Berechtigungskonzept
- Rollenbasiertes Berechtigungskonzept nach dem Least-Privilege-Prinzip
- Regelmäßige Überprüfung und Bereinigung von Zugriffsrechten
- Protokollierung administrativer Zugriffe (Datum, Zeit, Person, Aktion)
- Protokollierung von Fernwartungszugriffen (Datum, Dauer, Person, Zweck, System)
- Aufbewahrung der Zugriffsprotokolle mindestens 12 Monate bzw. länger, soweit gesetzliche Aufbewahrungspflichten dies erfordern
Verschlüsselung
- Verschlüsselung von Datensicherungen (AES-256 oder gleichwertig, soweit technisch einsetzbar)
- Verschlüsselung übertragener Daten (TLS 1.2 oder höher)
- Festplattenverschlüsselung auf mobilen Endgeräten und Wechseldatenträgern
Integrität
- Firewall- und UTM-Schutz
- Managed Antivirus / EDR auf Endgeräten und Servern
- Regelmäßige Sicherheitsupdates und Patchmanagement
- Schutz vor unbefugter Veränderung von Daten
Verfügbarkeit
- Automatisierte, verschlüsselte Datensicherungen
- Regelmäßige Kontrolle der Sicherungsvorgänge
- Dokumentierte Notfall- und Wiederherstellungsverfahren
- USV-Absicherung kritischer Systeme soweit vorhanden
Incident Response
- Internes Meldeverfahren bei Sicherheitsvorfällen
- Benachrichtigung des Auftraggebers unverzüglich, spätestens innerhalb von 24 Stunden
- Dokumentation von Sicherheitsvorfällen und ergriffenen Maßnahmen
Organisatorische Maßnahmen
- Schriftliche Verpflichtung aller Mitarbeitenden auf Vertraulichkeit, Datenschutz und ggf. § 203 StGB
- Regelmäßige Datenschutzschulungen
- Datenschutz- und Berechtigungskonzepte
- Regelmäßige Überprüfung der Maßnahmen
Anlage 2
Datensicherung und Fernwartung
Version 1.0 (Stand: 01.07.2026)
Soweit entsprechende Leistungen beauftragt wurden, gelten ergänzend folgende Regelungen:
Datensicherung
- Bereitstellung und Überwachung verschlüsselter Cloud- und Online-Backup-Lösungen
- Durchführung automatisierter Online-Datensicherungen
- Überwachung und Kontrolle von Sicherungsvorgängen soweit technisch vorgesehen
- Unterstützung bei Wiederherstellungsmaßnahmen im Fehlerfall
- Speicherung von Datensicherungen in Rechenzentrumsumgebungen innerhalb der EU soweit technisch vorgesehen
Online-Backup
Soweit Online-Backup-Leistungen erbracht werden, erfolgt die Speicherung ausschließlich verschlüsselt in Rechenzentren innerhalb der EU.
Fernwartung
- Zugriffe ausschließlich durch autorisierte Mitarbeitende, zweckgebunden und protokolliert
- Protokollierung: Datum, Uhrzeit, Dauer, ausführende Person, betroffenes System, Zweck
- Protokollaufbewahrung mindestens 12 Monate bzw. länger, soweit gesetzliche Aufbewahrungspflichten längere Fristen vorsehen; auf Anfrage dem Auftraggeber verfügbar
- Fernwartung über Splashtop (EU-Server; SCCs 2021 + TIA vorhanden) oder vergleichbare Lösungen
- Monitoring und RMM über Atera (EU-Server; SCCs vorhanden) oder vergleichbare Plattformen
- Cloud-Backup und Hosting über Wortmann terra cloud (Deutschland) oder vergleichbare Anbieter
Anlage 3
Unterauftragsverarbeiter
Version 1.0 (Stand: 01.07.2026)
Der Auftragnehmer setzt – soweit für die jeweilige Leistung erforderlich – folgende Unterauftragnehmer, Cloudanbieter und technische Dienstleister ein. Reine Warenlieferanten ohne Zugriff auf personenbezogene Daten im Auftrag des Auftraggebers sind nicht aufgeführt.
| Unternehmen / Anschrift | Zweck | Verarbeitungsort | Schutzinstrument | Verarbeitete Daten |
|---|---|---|---|---|
| medatixx GmbH & Co. KG, Waldstraße 36, 64546 Mörfelden-Walldorf | Praxissoftware, Support, TI, Updates | EU / Deutschland | — | Adresse, Kommunikationsdaten, Ansprechpartner, Vertragsdaten, ggf. Patientenstammdaten |
| Wortmann AG / terra cloud GmbH, Bredenhop 20, 32609 Hüllhorst | Cloudbackup, Hosting, IaaS, virtuelle Server | EU / Deutschland | — | Adresse, Ansprechpartner, Infrastruktur-, System- und Serverdaten |
| Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland | Microsoft 365 einschließlich Exchange Online und weiterer Microsoft-Clouddienste | EU / Irland | SCCs für etwaige US-Transfers | Adresse, Kommunikationsdaten, Benutzerdaten |
| Atera Networks Ltd., HaArba 30, Tel Aviv, Israel | Monitoring, RMM, Fernverwaltung | EU-Server | SCCs + TIA vorhanden | Infrastruktur-, System- und Gerätedaten |
| Bitdefender SRL, Lake View Business Park, Bukarest, Rumänien | Managed Antivirus / EDR | EU / Rumänien | — | Infrastruktur-, System- und Gerätedaten |
| Securepoint GmbH, Jade 1, 21337 Lüneburg | Firewall-, UTM- und Mailsecurity-Lösungen | EU / Deutschland | — | Netzwerk-, Firewall- und Zugangsdaten |
| Splashtop Inc., 1054 S. De Anza Blvd., San Jose, CA, USA | Fernwartung | EU-Server | SCCs 2021 + TIA vorhanden | Verbindungs- und Systemdaten |
| Placetel / BroadSoft Germany GmbH, Nymphenburger Str. 4, 80335 München | Cloudtelefonie | EU / Deutschland | — | Kommunikations- und Vertragsdaten |
| Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich | Versand von Kunden-E-Mails (Newsletter, Kampagnen, Servicemitteilungen) | EU / Frankreich | — | Name, E-Mail-Adresse |
Der Einsatz der jeweiligen Unterauftragnehmer erfolgt ausschließlich, soweit dies für die beauftragte Leistung erforderlich ist. Der Auftragnehmer stellt sicher, dass alle Unterauftragnehmer gemäß Art. 28 DSGVO verpflichtet werden. Unterauftragnehmer mit möglichem Zugang zu Gesundheitsdaten oder dem ärztlichen Berufsgeheimnis unterliegenden Informationen werden zusätzlich auf § 203 StGB verpflichtet. Änderungen dieser Liste werden dem Auftraggeber gemäß §8 AVV mit mindestens 4 Wochen Vorlauf in Textform mitgeteilt.