Auftragsverarbeitungsvertrag — Carewell Pool

1. Parteien

Der vorliegende Auftragsverarbeitungsvertrag (der „DPA”) wird geschlossen zwischen:

• Carewell SA, Rue du Grand-Pré 4, 1007 Lausanne, Schweiz („Carewell” oder die „Auftragsverarbeiterin”), und
• der im Hauptvertrag bezeichneten Institution (die „Verantwortliche” oder „Sie”).

Carewell und die Institution werden gemeinsam als die „Parteien” bezeichnet.

2. Gegenstand und Anwendungsbereich

Der vorliegende DPA regelt die Bearbeitungen personenbezogener Daten, die Carewell im Auftrag der Institution im Rahmen der Erbringung der Dienste Carewell Pool durchführt (Verwaltung des internen Pools von Fachpersonen durch die Institution: Planung, Verfügbarkeiten, Dokumentenverwaltung).

Der DPA ist integraler Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags. Im Falle von Widersprüchen geht der DPA in Fragen des Datenschutzes den Bestimmungen des Hauptvertrags vor.

3. Begriffsbestimmungen

Die Begriffe „personenbezogene Daten”, „Bearbeitung”, „Verantwortlicher”, „Auftragsverarbeiter”, „betroffene Person” und „Datenschutzverletzung” haben die Bedeutung, die ihnen das Schweizer Bundesgesetz über den Datenschutz (DSG/revDSG) und, soweit anwendbar, die Verordnung (EU) 2016/679 (DSGVO) zuweisen.

4. Laufzeit

Der DPA tritt mit dem Datum der Unterzeichnung des Hauptvertrags in Kraft und bleibt in Kraft, solange Carewell personenbezogene Daten im Auftrag der Institution bearbeitet.

5. Art und Zwecke der Bearbeitung

Carewell bearbeitet die personenbezogenen Daten ausschliesslich zu den folgenden Zwecken:

• Verwaltung des internen Pools von Fachpersonen der Institution (Planung, Verfügbarkeiten, Dokumente);
• Erstellung und Verwaltung der Konten der Fachpersonen und des Personals der Institution;
• Dokumentation der Einsatzpläne und der erbrachten Leistungen;
• Service-Kommunikation (Benachrichtigungen, Erinnerungen);
• Nutzersupport;
• jeder weitere von der Institution ausdrücklich dokumentierte Zweck.

6. Datenkategorien und betroffene Personen

Kategorie betroffener Personen	Datenkategorien
Fachpersonen des Pools der Institution	Identität, Kontaktdaten, Anmeldedaten, Verfügbarkeiten, Einsatzpläne, Nutzungsdaten
Personal der Institution	Identität, berufliche Kontaktdaten, Anmeldedaten
Patientinnen und Patienten (gegebenenfalls)	Carewell bearbeitet keine Patientendaten.

7. Aufbewahrungsdauer

Grundsätzlich werden personenbezogene Daten so lange aufbewahrt, wie es in einem angemessenen Verhältnis zu den mit ihrer Bearbeitung verfolgten Zwecken steht, und nicht länger, als es zur Erreichung dieser Zwecke erforderlich ist. Nach Ablauf der geltenden Aufbewahrungsfristen werden die Daten archiviert und anschliessend gelöscht oder anonymisiert, im Einklang mit den geltenden gesetzlichen Verpflichtungen oder überwiegenden Interessen, die eine längere Aufbewahrung rechtfertigen.

Beispielsweise werden die mit dem Benutzerkonto verbundenen Daten während der gesamten Dauer der Vertragsbeziehung aufbewahrt und anschliessend gemäss den geltenden gesetzlichen und regulatorischen Verpflichtungen archiviert, insbesondere in buchhalterischer, steuerlicher und beweisrechtlicher Hinsicht.

8. Pflichten von Carewell

Carewell verpflichtet sich:

1. die personenbezogenen Daten nur auf dokumentierte Weisung der Institution zu bearbeiten;
2. sicherzustellen, dass sich die zur Bearbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichten;
3. die in der Sicherheitsrichtlinie beschriebenen technischen und organisatorischen Massnahmen umzusetzen;
4. die Institution bei der Bearbeitung der Anliegen betroffener Personen zu unterstützen (Rechte auf Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch) und ihr jedes Anliegen, das eine betroffene Person direkt an Carewell richtet, unverzüglich weiterzuleiten;
5. die Institution im Falle einer Datenschutzverletzung so rasch wie möglich, in jedem Fall aber spätestens innerhalb von 48 Stunden, zu benachrichtigen;
6. der Institution alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der vorliegenden Pflichten nachzuweisen;
7. die personenbezogenen Daten nach Beendigung des Hauptvertrags nach Wahl der Institution zu löschen oder zurückzugeben.

9. Unterauftragsverarbeiter

Carewell ist berechtigt, im Rahmen der Erbringung von Carewell Pool Unterauftragsverarbeiter beizuziehen. Die aktuelle Liste ist veröffentlicht unter: Auftragsverarbeiter — Carewell Pool.

Carewell informiert die Institution mit angemessener Vorankündigung über jede Änderung dieser Liste. Der Institution steht ein begründetes Widerspruchsrecht zu.

10. Internationale Übermittlungen

Carewell hostet die personenbezogenen Daten in der Schweiz. Soweit eine Übermittlung ausserhalb der Schweiz oder des EWR erforderlich ist, setzt Carewell geeignete Garantien um (Standardvertragsklauseln, Angemessenheitsbeschluss usw.), wie in der Liste der Unterauftragsverarbeiter dokumentiert.

11. Audit

Die Institution kann einmal jährlich und mit angemessener Vorankündigung ein Audit der Einhaltung der Pflichten aus dem DPA durch Carewell verlangen. Carewell kann nach eigener Wahl anstelle eines Audits vor Ort einen bestehenden unabhängigen Auditbericht (zum Beispiel ISO 27001) vorlegen.

12. Haftung

Die Haftung der Parteien aus dem DPA ist nach Massgabe der Bestimmungen des Hauptvertrags beschränkt.

13. Anwendbares Recht und Gerichtsstand

Der vorliegende DPA untersteht schweizerischem Recht. Für alle Streitigkeiten sind ausschliesslich die ordentlichen Gerichte in Lausanne zuständig.

---

Unterschriften und Inkrafttreten

Der vorliegende DPA wird bei der Unterzeichnung des Hauptvertrags elektronisch angenommen.