uwupa

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Archivfassung)

Dies ist die archivierte Fassung vom 21. August 2026. Für Verträge, die vor der Veröffentlichung der Fassung vom 30. August 2026 geschlossen wurden, gilt sie fort, bis die neue Fassung für den jeweiligen Vertrag wirksam wird. Wer eine noch ältere Fassung akzeptiert hat, erhält diese auf Anfrage in Textform. Die aktuelle Fassung steht unter uwupa.de/avv.

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung des Dienstes Uwupa ergeben. Er ergänzt die Allgemeinen Geschäftsbedingungen und hat in Datenschutzfragen Vorrang vor entgegenstehenden Regelungen der AGB.

Parteien

Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist die Kundin, die den Dienst nutzt, in der Regel die freiberuflich tätige Hebamme (nachfolgend „Verantwortliche“).

Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist:
Uwupa, Inhaber Justus Kosfeld
Mataréstraße 7
52078 Aachen
Deutschland
E-Mail: uwupasocial@gmail.com
(nachfolgend „Auftragsverarbeiter“)

Zustandekommen und Form

Dieser Vertrag wird zwischen den Parteien elektronisch geschlossen, indem die Verantwortliche ihn bei der Registrierung in der zu diesem Zeitpunkt geltenden Fassung annimmt. Die elektronische Form genügt nach Art. 28 Abs. 9 DSGVO. Auf Wunsch der Verantwortlichen wird der Vertrag zusätzlich in Textform zur Verfügung gestellt und kann gegengezeichnet werden.

1. Gegenstand und Dauer

1.1 Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag der Verantwortlichen im Rahmen der Bereitstellung des Dienstes Uwupa, einer webbasierten Software zur Dokumentation und Abrechnung der Hebammentätigkeit.

1.2 Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags. Endet der Nutzungsvertrag, endet auch dieser Vertrag; die Regelungen zur Rückgabe und Löschung der Daten gelten fort, bis sie vollständig erfüllt sind.

2. Art, Umfang und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu dem Zweck, der Verantwortlichen die vertraglich vereinbarten Leistungen des Dienstes bereitzustellen, insbesondere die Erfassung von Leistungen, die Verwaltung von Patientinnen, Terminen, Belegen und Rechnungen sowie die Aufbereitung und, soweit gebucht, die elektronische Einreichung der Abrechnung.

2.2 Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln im Rahmen der gebuchten Funktionen sowie das Löschen der Daten.

2.3 Art der Daten

Gegenstand der Verarbeitung sind insbesondere folgende Datenarten:

2.4 Kategorien betroffener Personen

3. Weisungsbindung

3.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, soweit er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. In diesem Fall teilt er der Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Nutzung des Dienstes im Rahmen seiner Funktionen gilt als die maßgebliche Weisung. Einzelweisungen erteilt die Verantwortliche in Textform an die oben genannte Kontaktadresse.

3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Verantwortliche darauf hin und kann die Ausführung bis zu einer Bestätigung aussetzen.

3.4 Schließt sich die Verantwortliche einem Praxisverbund an, so umfasst die Weisung nach Ziffer 3.2 auch, einzelne von ihr ausdrücklich ausgewählte betriebliche Angaben für die übrigen Mitglieder dieses Verbunds lesbar zu machen. Das betrifft ausschließlich Räume, Geräteverzeichnisse, Dokumente des Qualitätsmanagements, Vorlagen sowie eigene Dienst- und Abwesenheitszeiten. Personenbezogene Daten von Patientinnen werden hiervon nicht erfasst und über einen Verbund weder lesbar gemacht noch übermittelt.

3.5 Die Sichtbarmachung nach Ziffer 3.4 begründet keine gemeinsame Verantwortlichkeit im Sinne von Art. 26 DSGVO. Die Daten bleiben dem Konto der Verantwortlichen zugeordnet; die übrigen Mitglieder erhalten ein reines Leserecht und keine Befugnis zur Änderung. Die Weisung ist jederzeit widerruflich, einzeln je Angabe und insgesamt durch Austritt aus dem Verbund. Der Widerruf wirkt sofort und ist ohne Rücksicht auf den gebuchten Tarif möglich.

4. Vertraulichkeit und Schweigepflicht (§ 203 StGB)

4.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Personen sind über die Vorgaben dieses Vertrags und die besondere Schutzbedürftigkeit von Gesundheitsdaten unterrichtet.

4.2 Die Verantwortliche unterliegt als Angehörige eines Heilberufs der Schweigepflicht nach § 203 StGB. Der Auftragsverarbeiter und die von ihm eingesetzten Personen wirken an ihrer beruflichen Tätigkeit als sonstige mitwirkende Personen im Sinne von § 203 Abs. 3 und 4 StGB mit. Der Auftragsverarbeiter verpflichtet sich hiermit gegenüber der Verantwortlichen zur Geheimhaltung aller geschützten Geheimnisse, von denen er bei der Ausführung des Auftrags Kenntnis erlangt. Ihm ist bekannt, dass eine unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbewehrt ist und die Geheimhaltungspflicht nach dem Ende des Vertrags fortbesteht. Er offenbart Geheimnisse nur, soweit dies für die Erbringung der vertraglichen Leistungen erforderlich ist.

4.3 Zieht der Auftragsverarbeiter zur Ausführung des Auftrags weitere Personen oder Unterauftragsverarbeiter hinzu, die von geschützten Geheimnissen Kenntnis erlangen können, wählt er sie sorgfältig aus und verpflichtet sie ihrerseits zur Geheimhaltung entsprechend § 203 Abs. 4 Satz 2 Nr. 1 StGB (siehe Ziffer 6.2).

5. Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 1 beschrieben. Er ist berechtigt, die Maßnahmen an den Stand der Technik anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

6.1 Die Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten Unterauftragsverarbeiter.

6.2 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein Datenschutzniveau, das den Pflichten dieses Vertrags entspricht, insbesondere durch einen Vertrag nach Art. 28 DSGVO. Soweit ein Unterauftragsverarbeiter von Geheimnissen im Sinne von § 203 StGB Kenntnis erlangen kann, verpflichtet ihn der Auftragsverarbeiter zusätzlich zur Geheimhaltung nach Ziffer 4.3.

6.3 Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu wechseln, informiert er die Verantwortliche vorab aktiv in Textform, etwa per E-Mail oder durch eine Mitteilung in der Anwendung; zusätzlich hält er die Liste in Anlage 2 aktuell. Die Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von vier Wochen ab Zugang der Mitteilung widersprechen; vor Ablauf dieser Frist wird die Änderung nicht vollzogen. Ausgenommen sind Fälle, in denen ein sofortiger Wechsel zur Abwehr einer Gefahr für die Sicherheit oder Verfügbarkeit der Daten erforderlich ist; dann erfolgt die Mitteilung unverzüglich nachträglich und die Widerspruchsfrist läuft ab Zugang. Kann eine Einigung nicht erzielt werden, steht der Verantwortlichen ein Sonderkündigungsrecht zu.

7. Unterstützung der Verantwortlichen

7.1 Der Auftragsverarbeiter unterstützt die Verantwortliche im Rahmen seiner Möglichkeiten dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 12 bis 23 DSGVO zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an die Verantwortliche weiter.

7.2 Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und einer etwaigen Datenschutz-Folgenabschätzung.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet der Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, damit die Verantwortliche ihre Frist aus Art. 33 Abs. 1 DSGVO wahren kann. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie verfügbar sind, und benennt getroffene oder vorgeschlagene Maßnahmen; noch fehlende Angaben werden unverzüglich nachgereicht.

9. Rückgabe und Löschung

9.1 Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl der Verantwortlichen alle Daten oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht.

9.2 Hierzu stellt der Auftragsverarbeiter der Verantwortlichen nach dem Ende des Abonnements für mindestens 90 Tage eine Möglichkeit zum Export ihrer Daten bereit; der Export steht darüber hinaus jederzeit im Konto zur Verfügung. Solange die Verantwortliche weder die Löschung in Textform verlangt noch ihr Konto über die dafür vorgesehene Funktion selbst endgültig löscht, bleiben das Konto und die gespeicherten Daten für eine spätere Fortsetzung der Nutzung erhalten; die Speicherung erfolgt in diesem Fall weiterhin im Auftrag der Verantwortlichen nach diesem Vertrag. Ausgenommen sind Konten, die über die Registrierung hinaus nie genutzt wurden, kein Abonnement hatten und keine gespeicherten Inhaltsdaten tragen; solche leeren Konten kann der Auftragsverarbeiter nach vorheriger, mindestens zweifacher Ankündigung per E-Mail löschen. Verlangt die Verantwortliche die Löschung oder löscht sie ihr Konto, werden die Daten unverzüglich gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Nachweise und Kontrollen

10.1 Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, oder trägt zu solchen bei.

10.2 Überprüfungen erfolgen mit angemessener Vorankündigung, zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Der Nachweis kann auch durch geeignete Berichte, Zertifizierungen oder Testate erbracht werden; solche Nachweise gehen einer Inspektion vor Ort vor, soweit sie zur Kontrolle ausreichen. Für eine Inspektion ohne konkreten Anlass kann der Auftragsverarbeiter eine angemessene Erstattung des entstehenden Aufwands verlangen.

11. Haftung

Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen der AGB. Im Verhältnis zur betroffenen Person bleibt die Verantwortlichkeit nach der DSGVO unberührt.

12. Schlussbestimmungen

12.1 In Datenschutzfragen geht dieser Vertrag entgegenstehenden Regelungen der AGB vor.

12.2 Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen nach Art. 32 DSGVO:

Vertraulichkeit

Integrität und Nachvollziehbarkeit

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Anlage 2: Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind genehmigt:

Soweit ein Unterauftragsverarbeiter oder dessen Mutterunternehmen in einem Drittland sitzt, wird die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO gestützt, insbesondere die Standardvertragsklauseln der EU-Kommission. Weitere Angaben enthält die Datenschutzerklärung.

Stand: 21. August 2026, veröffentlicht am 21. August 2026 · Frühere Fassungen: 20. August 2026 (Archiv), 18. August 2026 (Archiv), 12. August 2026 (Archiv), ältere Fassungen auf Anfrage in Textform

Impressum · Datenschutz · AGB · Widerruf · AVV · Barrierefreiheit