Der Verantwortliche erbringt medizinische Leistungen, insbesondere nach dem Bundesgesetz über die Krankenversicherung (KVG) und dem Bundesgesetz über die Unfallversicherung (UVG). Er bearbeitet dabei besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c Ziff. 2 DSG (Daten über die Gesundheit) und untersteht dem Berufsgeheimnis nach Art. 321 StGB.

Der Auftragsbearbeiter stellt die Browser-Erweiterung «DeskGate Operator» bereit. Sie unterstützt Fachpersonen des Verantwortlichen bei Rechnungsbeanstandungen, TARDOC-Kürzungen und Auskunftsbegehren von Versicherern nach Art. 42 Abs. 4 KVG, indem sie im Browser des Verantwortlichen Entwürfe für ärztliche Stellungnahmen vorbereitet.

Diese Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 9 DSG. Sie ist integrierender Bestandteil der DeskGate Master Terms einschliesslich der Schedules S, I und M (nachfolgend «Master Terms»).

Gegenstand. Gegenstand dieser Vereinbarung ist die Bearbeitung von Personendaten durch den Auftragsbearbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und dem Betrieb von DeskGate Operator.

Zweck. Die Bearbeitung dient ausschliesslich (a) der automatisierten Analyse von Auszügen aus der Krankengeschichte (KG), von Kürzungsbescheiden und von Anfragen der Kostenträger, (b) der Vorbereitung von Entwürfen für ärztliche Stellungnahmen und (c) der Lizenzverwaltung und Nutzungserfassung nach Anhang 3.

Art der Bearbeitung. Auslesen des Seitentexts im fokussierten Browser-Tab einschliesslich seiner Frames, Strukturierung und Analyse im Browser, Zuordnung zu Formularfeldern mittels Wortlisten im Browser, Vorbefüllen von Feldern und Erstellung von Entwürfen; Übermittlung der Lizenz-, Nutzungs- und Verbindungsdaten nach Anhang 3 Ziff. 5–7 an den Auftragsbearbeiter.

Daten und betroffene Personen. Die bearbeiteten Datenkategorien, die betroffenen Personen, die Bearbeitungsorte und die Speicherdauer ergeben sich aus Anhang 3.

Dauer. Diese Vereinbarung gilt für die Laufzeit der Master Terms. Die Bestimmungen über Geheimhaltung (§ 4), Haftung (§ 13) sowie Rückgabe und Löschung (§ 15) gelten über das Vertragsende hinaus.

Geltungsbereich: Schweiz-Modus. Diese Vereinbarung gilt für den Einsatz von DeskGate Operator im Schweiz-Modus (Einstellung «Schweiz-Modus: 100 % lokale Ausführung»). Im Schweiz-Modus bearbeitet die Erweiterung Patientendaten ausschliesslich lokal in der Laufzeitumgebung des Browsers auf dem Arbeitsplatzrechner der Fachperson des Verantwortlichen. Im Schweiz-Modus werden keine Personendaten von Patientinnen und Patienten an den Auftragsbearbeiter, an Unterauftragsbearbeiter oder an sonstige Dritte übermittelt. Insbesondere wird kein Bildschirminhalt erfasst (§ 3.1), und die Zuordnung zu Formularfeldern erfolgt ohne KI-Modell ausserhalb des Browsers.

Test- und Demonstrationsfunktionen. Ausserhalb des Schweiz-Modus enthält die Erweiterung Test- und Demonstrationsfunktionen, insbesondere eine Bildschirmlesung und eine Feldzuordnung über Cloud-KI-Modelle. Diese Funktionen sind ausschliesslich für synthetische Testdaten bestimmt und nicht Gegenstand dieser Vereinbarung. Der Verantwortliche setzt sie nicht mit Personendaten ein (§ 6.5).

Flüchtige Bearbeitung. Patientendaten (insbesondere Namen, Geburtsdaten, AHV- und Versichertennummern, Befunde, Diagnosen und Freitexte) werden nur im Arbeitsspeicher der Erweiterung gehalten. Die Erweiterung schreibt keine Patientendaten in persistente Speicher, insbesondere nicht in den Erweiterungsspeicher (chrome.storage), localStorage, IndexedDB, den Cache-Speicher des Browsers oder das Dateisystem.

Verwerfen von Falldaten. Beim Auslösen der Funktion «Neuer Fall», beim Schliessen des Panels oder beim Beenden der Sitzung verwirft die Erweiterung sämtliche Referenzen auf Falldaten; diese werden damit zur Freigabe durch die Speicherverwaltung des Browsers bestimmt. Die Parteien halten fest, dass Zeitpunkt und Art des physischen Überschreibens des Arbeitsspeichers von Browser und Betriebssystem bestimmt werden und nicht von der Erweiterung gesteuert werden können. Die Sicherung des Arbeitsplatzes, auch gegen Auslagerungs- und Ruhezustandsdateien, regelt § 6.4.

Keine serverseitige Speicherung von Patientendaten. Die Systeme des Auftragsbearbeiters speichern, protokollieren oder cachen keine Patientendaten, insbesondere keine Klarnamen, Identifikatoren, medizinischen Inhalte, Dokumente oder Bildausschnitte. Serverseitig bearbeitet der Auftragsbearbeiter ausschliesslich die in Anhang 3 Ziff. 5–7 bezeichneten Daten.

Auslieferung und Nachprüfbarkeit. Die Erweiterung wird als signierte CRX-Datei über den Update-Kanal deskgate.app/ext/updates.xml ausgeliefert und auf Google Chrome oder Microsoft Edge über eine Richtlinie des Verantwortlichen installiert; sie ist nicht im Chrome Web Store gelistet. Der Quellcode ist öffentlich einsehbar unter github.com/deskgate-app/deskgate-operator-2.6.8-public bzw. im Repository der jeweils ausgelieferten Version. Der Auftragsbearbeiter veröffentlicht zu jeder ausgelieferten Version die Versionsnummer und den SHA-256-Prüfwert der CRX-Datei, so dass der Verantwortliche oder ein beauftragter Prüfer nachvollziehen kann, dass die ausgelieferte Datei dem veröffentlichten Quellcode entspricht. Serverseitige Komponenten unterliegen den Prüfrechten nach § 14.

Im Schweiz-Modus nicht verfügbar. Im Schweiz-Modus ist die Bildschirmlesung (Erfassung von Bildausschnitten zur Texterkennung, z. B. bei PDF- oder Citrix-Darstellungen) deaktiviert und kann vom Verantwortlichen nicht aktiviert werden. Angaben, die nicht als Seitentext vorliegen, überträgt die Fachperson von Hand.

Voraussetzungen einer Einführung. Der Auftragsbearbeiter kann die Bildschirmlesung im Schweiz-Modus nur einführen, wenn Entfällt eine dieser Voraussetzungen, deaktiviert der Auftragsbearbeiter die Funktion unverzüglich und informiert den Verantwortlichen.

Vertragsgrundlage mit Google. Für eine Bearbeitung nach Einführung gelten im Verhältnis zu Google LLC (Anhang 2) das Google Cloud Data Processing Addendum (CDPA) und die jeweils geltenden Service Specific Terms von Google Cloud. Danach darf Google Kundendaten nicht ohne Zustimmung des Kunden zum Training von KI-Modellen verwenden; der Auftragsbearbeiter erteilt keine solche Zustimmung. Zusätzlich besteht zwischen Google LLC und dem Auftragsbearbeiter ein Google Cloud Platform HIPAA Business Associate Addendum.

Hilfspersonen. Der Auftragsbearbeiter und die von ihm eingesetzten Personen handeln als Hilfspersonen des Verantwortlichen im Sinne von Art. 321 Ziff. 1 StGB.

Geheimhaltung. Der Auftragsbearbeiter behandelt alle ihm im Rahmen dieser Vereinbarung zugänglich werdenden Personendaten und Tatsachen streng vertraulich. Die Geheimhaltungspflicht gilt nach Beendigung dieser Vereinbarung zeitlich unbeschränkt fort.

Personal. Alle beim Auftragsbearbeiter tätigen Personen mit Zugang zu Systemen, in denen Personendaten des Verantwortlichen bearbeitet werden, sind schriftlich zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen einer Verletzung des Berufsgeheimnisses belehrt. Administrative Zugriffe erfolgen nur durch namentlich bezeichnete Personen. Der Auftragsbearbeiter legt dem Verantwortlichen auf Anfrage die Liste dieser Personen einschliesslich des Landes offen, aus dem sie zugreifen.

Unterauftragsbearbeiter. Unterauftragsbearbeiter nach Anhang 2 sind nach ihren Standardvertragsbedingungen verpflichtet, insbesondere zu Vertraulichkeit und Datensicherheit. Eine individuelle Verpflichtung als Hilfspersonen im Sinne von Art. 321 StGB wird mit ihnen nicht vereinbart. Im Schweiz-Modus erhalten sie keine Patientendaten (§ 2.1).

Der Auftragsbearbeiter bearbeitet Personendaten ausschliesslich im Rahmen dieser Vereinbarung und nach dokumentierten Weisungen des Verantwortlichen. Die Einstellungen, die der Verantwortliche im Konfigurationsmenü vornimmt, gelten als Weisungen.

Ist der Auftragsbearbeiter der Ansicht, dass eine Weisung gegen das DSG oder andere Datenschutzvorschriften verstösst, teilt er dies dem Verantwortlichen unverzüglich mit.

Der Auftragsbearbeiter bearbeitet Personendaten des Verantwortlichen nicht für eigene Zwecke, ausgenommen die Vertragsabwicklung nach Anhang 3 Ziff. 5. Er unternimmt keine Versuche, pseudonymisierte Daten (Anhang 1 Ziff. 1.5) Personen oder Fällen zuzuordnen.

Rechtmässigkeit. Der Verantwortliche ist für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Erhebung der Daten, die Information der betroffenen Personen (Art. 19 DSG) und die Bekanntgabe an Kostenträger.

Datenschutz-Folgenabschätzung. Der Verantwortliche prüft, ob für den Einsatz von DeskGate eine Datenschutz-Folgenabschätzung nach Art. 22 DSG erforderlich ist. Der Auftragsbearbeiter unterstützt ihn dabei nach § 10.2.

Menschliche Freigabe (Human in the Loop).

Arbeitsplatzsicherheit. Der Verantwortliche setzt DeskGate nur auf Arbeitsplatzrechnern mit aktuellem Betriebssystem und Browser, Festplattenverschlüsselung, automatischer Bildschirmsperre und persönlichen Benutzerkonten ein.

Einsatz im Schweiz-Modus. Der Verantwortliche setzt DeskGate mit Personendaten von Patientinnen und Patienten ausschliesslich im Schweiz-Modus ein und prüft dies vor dem ersten Einsatz und nach jeder neuen Version anhand der Anzeige im Panel. Er verwendet die Funktionen nach § 2.2 nicht mit Personendaten, hinterlegt keine eigenen API-Schlüssel von KI-Anbietern und ändert die voreingestellte Server-Adresse https://deskgate.app nicht. Der Auftragsbearbeiter weist bei der Einrichtung auf diese Pflichten hin.

Der Auftragsbearbeiter trifft die in Anhang 1 beschriebenen technischen und organisatorischen Massnahmen, um eine dem Risiko angemessene Datensicherheit nach Art. 8 DSG und Art. 1–4 DSV zu gewährleisten.

Der Auftragsbearbeiter überprüft die Massnahmen regelmässig und passt sie dem Stand der Technik an. Änderungen, die das Schutzniveau senken oder die Datenflüsse nach Anhang 3 erweitern, sind nur nach vorgängiger Mitteilung an den Verantwortlichen zulässig; § 8.2 und § 8.3 gelten sinngemäss.

Genehmigung. Der Verantwortliche genehmigt im Sinne von Art. 9 Abs. 3 DSG den Beizug der in Anhang 2 genannten Unterauftragsbearbeiter für die dort beschriebenen Leistungen.

Mitteilung von Änderungen. Der Auftragsbearbeiter teilt dem Verantwortlichen jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters mindestens 30 Tage im Voraus in Textform mit. Die Mitteilung nennt Firma, Sitz, Bearbeitungsort, Zweck und vertragliche Garantien.

Widerspruchsrecht. Der Verantwortliche kann innert dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Bei einem Widerspruch verzichtet der Auftragsbearbeiter gegenüber diesem Verantwortlichen auf den Beizug oder bietet ihm die betroffene Funktion nicht mehr an. Ist beides nicht möglich, kann der Verantwortliche die Master Terms ohne Kostenfolge auf den Zeitpunkt des Wechsels kündigen; vorausbezahlte Gebühren werden anteilig zurückerstattet. Erhebt der Verantwortliche innert der Frist keinen Widerspruch, gilt die Genehmigung als erteilt.

Dringende Änderungen. Ist ein Wechsel aus zwingenden Sicherheitsgründen kurzfristiger erforderlich, informiert der Auftragsbearbeiter den Verantwortlichen unverzüglich. Die betroffene Funktion bleibt bis zum Ablauf der Widerspruchsfrist deaktiviert, sofern der Verantwortliche dem Wechsel nicht vorher zustimmt.

Weiterverpflichtung und Haftung. Der Auftragsbearbeiter verpflichtet Unterauftragsbearbeiter vertraglich auf Datenschutz- und Datensicherheitspflichten, die den Anforderungen des DSG und dieser Vereinbarung entsprechen, soweit diese für ihre Leistung massgeblich sind. Er haftet gegenüber dem Verantwortlichen für Unterauftragsbearbeiter im Rahmen von § 13.

Weitere Stufen. Google und Flow Swiss setzen für ihre Leistungen eigene Unterauftragsbearbeiter ein. Google veröffentlicht sie unter cloud.google.com/terms/subprocessors, Flow Swiss in Anhang A ihres Auftragsbearbeitungsvertrags. Diese gelten als mitgenehmigt. Änderungen, die Google oder Flow Swiss dem Auftragsbearbeiter mitteilen und die die Bearbeitung von Personendaten des Verantwortlichen betreffen können, gibt der Auftragsbearbeiter unverzüglich an den Verantwortlichen weiter.

Patientendaten. Personendaten von Patientinnen und Patienten werden im Schweiz-Modus ausschliesslich im Browser des Verantwortlichen in der Schweiz bearbeitet und nicht übermittelt; eine Bekanntgabe ins Ausland findet nicht statt. Wird die Bildschirmlesung nach § 3.2 eingeführt, erfolgt die Bearbeitung in der Region europe-west6. Vertragspartnerin ist dann Google LLC mit Sitz in den USA; soweit ein Zugriff von Google aus dem Ausland als Bekanntgabe ins Ausland gilt, stützt sich diese auf die Zertifizierung von Google LLC nach dem Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG in Verbindung mit Anhang 1 DSV) sowie auf das CDPA.

Übrige Personendaten. Der Auftragsbearbeiter ist eine nach dem Recht des US-Bundesstaates Delaware gegründete Gesellschaft mit operativem Standort in der Schweiz. Die Server von deskgate.app werden bei Flow Swiss AG, Baar, betrieben (Anhang 2). Die Daten nach Anhang 3 Ziff. 5–7 werden dort in Rechenzentren in der Schweiz gespeichert und bearbeitet. Eine Bekanntgabe ins Ausland, einschliesslich eines Fernzugriffs aus dem Ausland und einer Bekanntgabe durch Unterauftragsbearbeiter von Flow Swiss, erfolgt nur unter Einhaltung von Art. 16 und 17 DSG.

Anfragen von Behörden. Erhält der Auftragsbearbeiter eine Anfrage oder Anordnung einer in- oder ausländischen Behörde auf Herausgabe von Personendaten des Verantwortlichen, einschliesslich Anordnungen nach US-Recht, so Die Parteien halten fest, dass der Auftragsbearbeiter nach § 2.4 keine Patientendaten speichert und solche deshalb nicht herausgeben kann.

Rechte der betroffenen Personen. Der Auftragsbearbeiter unterstützt den Verantwortlichen bei der Erfüllung von Begehren betroffener Personen nach Art. 25–32 DSG, insbesondere durch Auskunft über die bei ihm vorhandenen Daten. Richtet eine betroffene Person ein Begehren direkt an den Auftragsbearbeiter, leitet dieser es innert fünf Arbeitstagen an den Verantwortlichen weiter.

Datenschutz-Folgenabschätzung. Der Auftragsbearbeiter stellt dem Verantwortlichen die Informationen über die Bearbeitung, ihre Risiken und die getroffenen Massnahmen zur Verfügung, die für eine Datenschutz-Folgenabschätzung (Art. 22 DSG) und eine allfällige Konsultation des EDÖB (Art. 23 DSG) erforderlich sind.

Verzeichnis. Der Auftragsbearbeiter führt ein Verzeichnis seiner Bearbeitungstätigkeiten nach Art. 12 DSG.

Meldung. Der Auftragsbearbeiter meldet dem Verantwortlichen jede Verletzung der Datensicherheit, die Personendaten des Verantwortlichen betrifft oder betreffen könnte, unverzüglich, spätestens innert 24 Stunden nach Kenntnisnahme (Art. 24 Abs. 3 DSG), an die vom Verantwortlichen bezeichnete Kontaktadresse.

Inhalt. Die Meldung enthält, soweit bekannt, Art und Zeitpunkt der Verletzung, die betroffenen Datenkategorien und Personen, die möglichen Folgen sowie die ergriffenen und vorgeschlagenen Massnahmen. Spätestens innert 72 Stunden nach Kenntnisnahme liefert der Auftragsbearbeiter einen ausführlichen Bericht; noch nicht verfügbare Angaben werden laufend nachgereicht.

Unterstützung. Der Auftragsbearbeiter unterstützt den Verantwortlichen bei einer allfälligen Meldung an den EDÖB und bei der Information der betroffenen Personen (Art. 24 DSG). Er informiert betroffene Personen oder die Öffentlichkeit nicht ohne vorgängige Absprache mit dem Verantwortlichen, es sei denn, er ist dazu gesetzlich verpflichtet.

Ereignisse bei Unterauftragsbearbeitern. Sicherheitsrelevante Ereignisse, die ein Unterauftragsbearbeiter dem Auftragsbearbeiter meldet, gibt dieser nach § 11.1 weiter.

Sicherheitsupdates. Der Auftragsbearbeiter behebt Sicherheitslücken in der Erweiterung und in seinen serverseitigen Komponenten oder trifft wirksame Abhilfemassnahmen, einschliesslich der Deaktivierung betroffener Funktionen, innert folgender Fristen ab Kenntnisnahme:

Anpassung an Portaländerungen. Beeinträchtigen Änderungen an den Portalen der Kostenträger die Funktion von DeskGate, stellt der Auftragsbearbeiter eine Anpassung innert fünf Arbeitstagen ab Kenntnisnahme bereit (Zielwert). Bis dahin informiert er die Nutzerinnen und Nutzer in der Erweiterung über die Einschränkung.

Versionshinweise. Jede Version wird mit Versionshinweisen veröffentlicht. Sicherheitsrelevante Änderungen und Änderungen der Datenflüsse nach Anhang 3 teilt der Auftragsbearbeiter dem Verantwortlichen vorgängig in Textform mit; für Änderungen der Datenflüsse gilt § 7.2.

Weitere Service Levels. Weitergehende Service Levels richten sich nach den Master Terms.

Haftungsobergrenze. Die Gesamthaftung jeder Partei aus oder im Zusammenhang mit dieser Vereinbarung ist pro Vertragsjahr auf den Betrag der Abonnementgebühren begrenzt, die der Verantwortliche in den zwölf Monaten vor dem schadenstiftenden Ereignis bezahlt hat oder schuldet.

Freistellung. Jede Partei hält die andere schadlos für Ansprüche Dritter, die auf einer schuldhaften Verletzung dieser Vereinbarung durch die freistellende Partei beruhen. Die Freistellung ist auf den Betrag nach § 13.1 begrenzt (Freistellungsmaximum) und wird auf diesen angerechnet. Bussen und andere strafrechtliche Sanktionen sind von der Freistellung ausgenommen.

Ausnahmen. Die Begrenzungen nach § 13.1 und § 13.2 gelten nicht bei rechtswidriger Absicht oder grober Fahrlässigkeit (Art. 100 Abs. 1 OR) sowie, soweit gesetzlich zwingend, bei weiteren Haftungstatbeständen.

Inhalt von Stellungnahmen. Der Auftragsbearbeiter haftet nicht für den Inhalt der vom Verantwortlichen freigegebenen Stellungnahmen und nicht für den Ausgang von Verfahren gegenüber Kostenträgern (§ 6.3 lit. d); § 13.3 bleibt vorbehalten.

Verhältnis zu den Master Terms. Dieser § 13 geht in datenschutzrechtlichen Belangen abweichenden Haftungsbestimmungen der Master Terms vor.

Der Verantwortliche ist berechtigt, sich von der Einhaltung dieser Vereinbarung zu überzeugen (Art. 9 Abs. 2 DSG).

Nachweise. Der Auftragsbearbeiter stellt dem Verantwortlichen auf Anfrage zur Verfügung:

Prüfungen. Der Verantwortliche kann die Einhaltung durch eine Prüfung vor Ort oder aus der Ferne überprüfen, selbst oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer. Prüfungen sind mit einer Frist von 30 Tagen anzukündigen und höchstens einmal pro Vertragsjahr zulässig, ausser bei begründetem Verdacht auf eine Verletzung dieser Vereinbarung oder nach einer Verletzung der Datensicherheit. Die Kosten trägt der Verantwortliche, es sei denn, die Prüfung ergibt eine wesentliche Verletzung dieser Vereinbarung.

Patientendaten. Da der Auftragsbearbeiter keine Patientendaten speichert (§ 2.4), sind bei Vertragsende keine Patientendaten zurückzugeben. Der Auftragsbearbeiter bestätigt dies dem Verantwortlichen schriftlich.

Lokale Daten. Mit der Deinstallation der Erweiterung werden sämtliche lokal gespeicherten Daten der Erweiterung (Einstellungen nach Anhang 3 Ziff. 4) entfernt. Der Verantwortliche kann die Einstellungen zudem jederzeit im Konfigurationsmenü ändern oder leeren.

Serverseitige Daten. Auf Verlangen des Verantwortlichen, das innert 30 Tagen nach Vertragsende zu stellen ist, übergibt der Auftragsbearbeiter die den Verantwortlichen betreffenden Lizenz- und Nutzungsdaten in einem gängigen maschinenlesbaren Format (CSV oder JSON). Er löscht diese Daten nach den Fristen von Anhang 3, ausgenommen Daten, die er aufgrund gesetzlicher Aufbewahrungspflichten aufbewahren muss.

Löschbestätigung. Der Auftragsbearbeiter bestätigt die Löschung auf Verlangen schriftlich.

Rangfolge. Bei Widersprüchen zwischen dieser Vereinbarung und den Master Terms oder anderen Lizenzvereinbarungen geht diese Vereinbarung in datenschutzrechtlichen Belangen vor.

Form. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform. Mitteilungen nach den §§ 7, 8, 11 und 12 können in Textform (E-Mail) erfolgen.

Teilnichtigkeit. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Bestimmung, die ihrem wirtschaftlichen und datenschutzrechtlichen Zweck möglichst nahekommt.

Anwendbares Recht. Diese Vereinbarung untersteht schweizerischem materiellem Recht unter Ausschluss der Kollisionsnormen des Bundesgesetzes über das Internationale Privatrecht (IPRG).

Gerichtsstand. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist der Sitz des Verantwortlichen.

Sprache. Massgebend ist die deutsche Fassung dieser Vereinbarung.