TPSOLUTION Vertrag zur Auftragsverarbeitung
 
§1 GEGENSTAND UND DAUER DER AUFTRAGSVERARBEITUNG
1.1. Um die nachfolgend unter Ziffer 2.1. beschriebenen Dienste ausführen zu können, erheben, 
verarbeiten und nutzen wir personenbezogene Daten.
1.2. Dieser Vertrag ist wirksam, sobald Sie ihn unten akzeptieren. Er wird auf unbestimmte Zeit 
geschlossen und kann sowohl von Ihnen als auch von uns mit einer Frist von vier Wochen zum 
Monatsende gekündigt werden. Die Möglichkeit zur fristlosen Kündigung bleibt hiervon 
unberührt. Da dieser Vertrag abhängig vom Medical-Device-Support-Vertrag ist, wird dieser 
Vertrag beendet, sobald der Medical-Device-Support-Vertrag beendet wird.
1.3. Die hier aufgeführten Regelungen ergänzen den Medical-Device-Support-Vertrag. Im Falle 
eines Widerspruchs zwischen den Regelungen gehen die hier aufgeführten Regelungen vor.
§2 KONKRETISIERUNG DES AUFTRAGSINHALTS
2.1. Wir unterstützen Sie beim Einsatz spezieller Medizin- und Zahntechnik, insbesondere bei 
der Verwendung des von Ihnen angegebenen Alignersystems und der diesem System zugrunde 
liegenden Anwendersoftware (Setup-Software).
2.2. Wir verwenden die uns zur Verfügung gestellten personenbezogenen Daten ausschließlich 
zur Erbringung der vertraglich vereinbarten Leistung. Um die personenbezogenen Daten 
leistungsgemäß verarbeiten oder nutzen zu können, dürfen wir Zwischen-, Temporär- oder 
Duplikatsdateien der personenbezogenen Daten erstellen, wenn es verfahrens- oder 
sicherheitstechnisch notwendig sein sollte. Wir dürfen personenbezogene Daten nicht in 
Systeme Dritter einspielen, auch nicht zu Testzwecken, außer, der Dritte ist genehmigter 
Unterauftragsnehmer von TPSOLUTION. Im Übrigen dürfen wir nicht unautorisiert Kopien der 
personenbezogenen Daten erstellen.
2.3. Nach vorheriger Absprache mit Ihnen und zum Zwecke der Hilfestellung und Überprüfung 
von Fehlern dürfen wir einzelne Datensätze, wie beispielsweise Kundenkonten, überprüfen. 
Wenn wir hier Fehler oder Unregelmäßigkeiten feststellen sollten, informieren wir Sie 
unverzüglich.
2.4. Weitere Einzelheiten zu Umfang, Art und Zweck der Datenerhebung, -verarbeitung oder -
nutzung sind unter Buchstabe A. der Anlage 1 zu diesem Vertrag aufgeführt.
2.5. Die Arten der personenbezogenen Daten sind unter Buchstabe B. der Anlage 1 aufgeführt.
2.6. Der Kreis der Betroffenen ist unter Buchstabe C. der Anlage 1 aufgeführt.
2.7. Wir verarbeiten Ihre Daten ausschließlich in einem Mitgliedsstaat der Europäischen Union 
oder in einem anderen Vertragsstaat des Abkommens über den Europäischen 
Wirtschaftsraum. Sollten wir jemals die Daten in ein Land außerhalb der Europäischen Union 
oder des Europäischen Wirtschaftsraums verlagern oder von dort aus darauf Zugriff darauf 
erlauben, werden wir Sie vorher schriftlich um Ihre Zustimmung bitten. Dies würde auch nur 
dann erfolgen, wenn durch angemessenes Datenschutzniveau die besonderen 
Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Angemessenes Datenschutzniveau 
erfordert (a) einen Angemessenheitsbeschluss der Europäischen Kommission, (b) verbindliche 
interne Datenschutzvorschriften, (c) den Einsatz von EU-Standarddatenschutzklauseln oder 
(d) genehmigte Verhaltensregeln.
2.8. Durch die Vergabe eines Auftrages an uns erklären Sie sich ausdrücklich damit 
einverstanden, dass wir in Ihrem Namen den Kundendienst des Alignerherstellers zu 
Behandlungen Ihrer Patienten kontaktieren und, falls nötig, diesen zu beauftragen. Sie erklären 
sich weiterhin damit einverstanden, dass wir Informationen zu Ihren Patienten für Sie 
entgegennehmen.
§3 TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN
3.1. Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko 
angemessenes Schutzniveau zu gewährleisten. Hierbei berücksichtigen wir technischen 
Fortschritt und Weiterentwicklung, Implementierungskosten und die Art, den Umfang und die 
Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit 
und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Bevor wir mit der 
Verarbeitung beginnen, dokumentieren wir die Umsetzung der technischen und 
organisatorischen Maßnahmen insbesondere hinsichtlich der konkreten 
Auftragsdurchführung. Dies tun wir schriftlich oder in anderer, zur Vorlage gegenüber Dritten 
geeigneter Form, und stellen sie Ihnen auf Anfrage zur Verfügung.
3.2. Die hier festgelegten Maßnahmen umfassen Aspekte der Pseudonymisierung, 
Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und 
Dienste sowie die Verfügbarkeit der Daten. Zudem ist ein Verfahren zur regelmäßigen 
Überprüfung und Bewertung der Wirksamkeit dieser technischen und organisatorischen 
Maßnahmen eingeführt. Stellen sich diese Maßnahmen während der Überprüfung und 
Bewertung, insbesondere unter Berücksichtigung des technischen Fortschritts, als unwirksam 
zur Gewährleistung der Sicherheit der Verarbeitung heraus, implementieren wir unverzüglich 
geeignete technische und organisatorische Maßnahmen i.S.v. Ziffer 3.1. und dokumentieren 
dieses Vorgehen. Auch dieses stellen wir Ihnen auf Anfrage zur Verfügung.
3.3. Wir dürfen alternative adäquate Maßnahmen umsetzen, wobei das Sicherheitsniveau der 
festgelegten Maßnahmen nicht unterschritten werden darf. Wesentliche Änderungen werden 
wir dokumentieren und Ihnen auf Anfrage zur Verfügung stellen.
§4 BERICHTIGUNG, LÖSCHUNG UND SPERRUNG VON DATEN
4.1. Die Daten, die wir in Ihrem Auftrag verarbeiten, dürfen wir nur nach Ihrer Weisung 
berichtigen, löschen oder deren Verarbeitung einschränken. Sollte sich eine betroffene Person 
zwecks Berichtigung, Löschung oder Einschränkung der Verarbeitung seiner Daten direkt an 
uns wenden, werden wir dieses Ersuchen unverzüglich in Textform an Sie weiterleiten.
4.2. Löschkonzept, Recht auf Vergessenwerden, Berichtigung, Daten Portabilität und Auskunft 
nach Ihrer Weisung im Sinne der Ziffer 9 dieses Vertrags werden wir unmittelbar sicherstellen, 
soweit im Medical-Device-Support-Vertrag nichts Abweichendes mit Ihnen vereinbart wurde.
§5 PFLICHTEN VON TPSOLUTION
5.1. Wir verpflichten uns, personenbezogene Daten nur auf Ihre dokumentierte Weisung zu 
verarbeiten.
5.2. Wir verpflichten alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt 
sind, zur Vertraulichkeit und stellen sicher, dass sie einer angemessenen gesetzlichen 
Verschwiegenheitspflicht unterliegen. Vor der Durchführung der Arbeiten haben wir diese 
Personen mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht. Ziffer 
5.1. gilt für diese Personen entsprechend.
5.3. Wir unterstützen Sie nach besten Kräften bei der Einhaltung Ihrer Pflichten bezüglich der 
Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes 
personenbezogener Daten gegenüber Aufsichtsbehörden und den betroffenen Personen. 
Ebenso unterstützen wir Sie bei der Datenschutz-Folgenabschätzung und bei einem sich 
daraus ergebenen Konsultationserfordernis gegenüber Aufsichtsbehörden. In allen Fällen 
werden die Art der Verarbeitung und die uns zur Verfügung stehenden Informationen 
berücksichtigt.
5.4. Wir unterwerfen uns eventuellen Kontrollmaßnahmen der Datenschutzaufsichtsbehörden. 
Über eine solche Kontrollmaßnahme werden wir Sie umgehend in Textform informieren, wenn 
Daten aus Ihrem Auftrag betroffen sind. Dies gilt auch, soweit eine zuständige Behörde im 
Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung 
personenbezogener Daten bei der Auftragsverarbeitung bei TPSOLUTION ermittelt. Soweit Sie 
Ihrerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder 
Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder 
einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung bei TPSOLUTION 
ausgesetzt sind, unterstützen wir Sie nach besten Kräften. Die Unterstützungsleistungen 
umfassen die Informationsbeschaffung und sind nur dann vorzunehmen, wenn sie gesetzlich 
möglich sind und der Aufwand der Unterstützungsleistungen angemessen ist. Insbesondere 
besteht keine Kostentragungspflicht seitens TPSOLUTION.
5.5. Wir verpflichten uns, die einschlägigen Vorschriften zur Bestellung des 
Datenschutzbeauftragen zu beachten. Sollten Sie diesen direkt kontaktieren wollen, stellen wir 
Ihnen die Kontaktdaten zur Verfügung. Bei einem Wechsel des Datenschutzbeauftragten 
werden wir Sie unverzüglich informieren.
5.6. Wir verpflichten uns, in einem angemessenen Verhältnis zum angestrebten Schutzzwecke 
technische und organisatorische Maßnahmen einzuhalten, umzusetzen sowie regelmäßig zu 
kontrollieren. Dies gilt ebenso für die diesbezüglichen internen Prozesse. Wir gewährleisten 
Ihnen gegenüber die Nachweisbarkeit der getroffenen technischen und organisatorischen 
Maßnahmen.
5.7. Wir führen ein Verzeichnis zu allen Kategorien von in Ihrem Auftrag durchgeführten 
Verarbeitungstätigkeiten.
5.8. Wir informieren Sie unverzüglich in Textform, falls wir der Auffassung sind, dass eine 
Weisung gegen deutsche oder europäische Datenschutzvorschriften verstößt.
§6 UNTERAUFTRAGSVERHÄLTNISSE
6.1. Sie sind grundsätzlich damit einverstanden, dass wir Unteraufträge an sorgfältig 
ausgewählte Drittunternehmen erteilen. Über jede beabsichtigte Änderung in Bezug auf 
Hinzuziehung oder Ersetzung anderer Unterauftragsverarbeiter wird mindestens 14 Tage im 
Voraus informiert. Sie willigen ein, einer Änderung der Unterauftragsverarbeiter nur aus 
wichtigem Grunde zu widersprechen.
6.2. Sollten wir einen Unterauftragsverarbeiter einsetzen, werden wir einen Vertrag über die 
Verarbeitung von Daten mit diesem schließen. Der Unterauftrag wird schriftlich fixiert. Die 
Datenschutzpflichten des Vertrags zwischen uns und dem Unterauftragsverarbeiter 
entsprechen den Festlegungen des Vertrags zwischen Ihnen und uns.
6.3. Wir haften Ihnen gegenüber für die Einhaltung der Pflichten jedes 
Unterauftragsverarbeiters. Die allgemeinen Vorschriften hinsichtlich des Verhältnisses 
zwischen uns und dem Unterauftragsverarbeiter bleiben hiervon unberührt.
6.4. Sämtliche Unterauftragsverarbeiter, mit denen wir zum Zeitpunkt des Vertragsschlusses 
arbeiten, sind in Anlage 2 aufgeführt.
6.5. Die Weitergabe von Ihren personenbezogenen Daten an den Unterauftragsverarbeiter ist 
erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet. Erbringt der 
Unterauftragsverarbeiter die vereinbarte Leistung außerhalb der EU/des EWR, stellt 
TPSOLUTION die datenschutzrechtliche Zulässigkeit durch geeignete Maßnahmen sicher.
6.6. Eine weitere Auslagerung des Unterauftragsverarbeiters an weitere 
Unterauftragsverarbeiter bedarf Ihrer ausdrücklichen Zustimmung.
6.7. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen 
zu verstehen, die wir bei Dritten als Nebenleistung zur Unterstützung bei der 
Auftragsdurchführung in Anspruch nehmen. Dazu zählen z.B. Telekommunikationsleistungen, 
Post/Transportdienstleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder 
die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der 
Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von 
Datenverarbeitungsanlagen. Wir sind jedoch verpflichtet, zur Gewährleistung des Schutzes 
und der Sicherheit Ihrer Daten auch bei fremd vergebenen Nebenleistungen angemessene und 
gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu 
ergreifen.
§7 IHRE KONTROLLRECHTE; MITWIRKUNGSPFLICHTEN VON TPSOLUTION
7.1. Wir räumen Ihnen und/oder Ihren Bevollmächtigten bezüglich der getroffenen 
Datenschutz- und Datensicherungsvorkehrungen ein Besichtigungs- und Kontrollrecht 
(Inspektionsrecht) ein.
7.2. Dieses Inspektionsrecht hat das Ziel, die Einhaltung der TPSOLUTION obliegenden Pflichten 
in unserem Geschäftsbetrieb zu überprüfen. Der Nachweis kann neben Vor-Ort-Kontrollen 
auch durch unabhängige Prüfberichte und Zertifizierungen sichergestellt werden. Sofern Vor-
Ort-Kontrollen durchgeführt werden sollen, sind diese als Stichprobenkontrollen 
auszugestalten und grundsätzlich rechtzeitig anzumelden. TPSOLUTION erteilt Ihnen ferner 
alle erforderlichen Auskünfte. Die Ausübung des Inspektionsrechts darf den Geschäftsbetrieb 
nicht unangemessen stören oder missbräuchlich sein. Sie stimmen der Benennung eines 
unabhängigen externen Prüfers durch TPSOLUTION zu, sofern wir Ihnen eine Kopie des 
Auditberichts zur Verfügung stellen. Sollte der durch TPSOLUTION beauftragte Prüfer in einem 
Wettbewerbsverhältnis zu Ihnen stehen, haben Sie gegen diesen ein Einspruchsrecht. Die 
Kosten für einen externen Prüfer sind von Ihnen zu tragen. Für die Unterstützung bei der 
Durchführung einer Prüfung dürfen wir eine angemessene Vergütung verlangen.
§8 MITTEILUNG BEI VERSTÖSSEN SEITENS TPSOLUTION
8.1. Wir sind verpflichtet, Sie unverzüglich in Textform zu benachrichtigen, wenn ein 
begründeter Verdacht besteht, dass durch uns oder durch von uns beauftragte Dritte die in 
diesem Vertrag festgelegten Datenschutz- und Datensicherheitsbestimmungen verletzt 
wurden.
8.2. Wir unterstützen Sie bei der Einhaltung der Pflichten zur Sicherheit personenbezogener 
Daten, der Meldepflichten bei Datenschutzverstößen, bei Datenschutzfolgeabschätzungen 
und im Rahmen der vorherigen Konsultation einer Aufsichtsbehörde.
8.3. Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder nicht 
auf ein Fehlverhalten von TPSOLUTION zurückzuführen sind, kann TPSOLUTION eine 
angemessene Vergütung beanspruchen. Bevor wir zur Erfüllung unserer 
Unterstützungsleistungen externe Dienstleister hinzuziehen, stimmen wir uns zur Erhaltung 
unseres Kostenerstattungsanspruches vorab mit Ihnen wegen der dabei entstehenden Kosten 
ab.
§9 IHRE WEISUNGSBEFUGNIS
9.1. Wir dürfen die Daten nur im Rahmen Ihrer Weisungen verarbeiten. Diese Weisungen 
müssen schriftlich dokumentiert werden, oder in einer anderen Form, die zur Vorlage 
gegenüber Dritten geeignet ist. Dies gilt insbesondere in Bezug auf die Übermittlung 
personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Im Rahmen 
der in diesem Vertrag getroffenen Auftragsbeschreibung behalten Sie sich ein umfassendes 
Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor. Diese können Sie 
durch Einzelanweisungen konkretisieren. Änderungen des Verarbeitungsgegenstands oder der 
Verfahren sind gemeinsam abzustimmen.
9.2. Sollten wir eine Weisung nicht einhalten können, werden wir Sie unverzüglich darüber 
informieren. In diesem Fall sind Sie berechtigt, die Datenweitergabe auszusetzen und/oder von 
diesem Vertrag und vom Medical-Device-Support-Vertrag, zu dem dieser Vertrag geschlossen 
wurde, zurückzutreten.
9.3. Mündliche Weisungen bestätigen Sie unverzüglich in Textform. Solange die Weisungen 
nicht in schriftlicher Form vorliegen, sind wir berechtigt, die Durchführung der entsprechenden 
Weisungen auszusetzen.
9.4. Sollte eine von Ihnen erteilte Weisung unserer Meinung nach gegen die Vorschriften über 
den Datenschutz verstoßen, werden wir Sie unverzüglich schriftlich hierüber informieren.
§10 LÖSCHUNG DER DATEN NACH BEENDIGUNG DES AUFTRAGS
10.1. Nach Abschluss der Arbeiten, oder früher nach Ihrer Aufforderung oder bei Beendigung 
oder Kündigung dieses Vertrages werden wir Ihnen sämtliche in unseren Besitz gelangten 
Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im 
Zusammenhang mit dem Auftragsverhältnis stehen, aushändigen oder nach Ihrer vorherigen 
schriftlichen Zustimmung datenschutzgerecht vernichten. Die Datenlöschung und 
Datenvernichtung wird vollständig und nach anerkannten, dem Stand der Technik 
entsprechenden Verfahren zum mehrfachen Überschreiben von Daten vorgenommen. Das 
gleiche gilt auch für Test- und Ausschussmaterial, das bis zur Löschung oder Rückgabe unter 
datenschutzgerechtem Verschluss gehalten wird. Auf Anforderung legen wir Ihnen das 
Protokoll der Löschung vor und händigen Ihnen eine Kopie des Protokolls aus.
10.2. Soweit und solange wir die Daten im Einzelfall für berechtigte eigene Zwecke, 
insbesondere zur Dokumentation des Nachweises der auftrags- und ordnungsgemäßen 
Datenverarbeitung benötigen (beispielsweise zur Rechnungsstellung), oder soweit und 
solange wir aufgrund gesetzlicher Vorgaben oder behördlicher Anordnung zur Speicherung 
verpflichtet sind, unterbleibt eine Datenlöschung.
ANLAGEN
ANLAGE 1
A. ZU ZIFFER 2 - ART UND ZWECK DER DATENVERARBEITUNG
Begleitung des EDV-gestützten Planungsprozesses unter zahntechnischen Gesichtspunkten, 
bis hin zur Genehmigung der Planung durch die Kieferorthopädin/des Kieferorthopäden 
gegenüber des Alignerherstellers. Führung der Korrespondenz und der Kommunikation mit 
dem seitens des Alignerherstellers betriebenen externen Zahntechniklabors einerseits und der 
Kieferorthopädin/des Kieferorthopäden andererseits. Bearbeitung der digitalen 
Behandlungsplan-Entwurfes unter Berücksichtigung der spezifischen klinischen Präferenzen 
der Kieferorthopädin/des Kieferorthopäden, unter möglichst effizienter Verwendung der 
Medizinprodukte und möglichst weitreichender Erfüllung der zahntechnischen 
Planungsanforderungen der Kieferorthopädin/des Kieferorthopäden.
Der Umfang der Support-Leistungen wird nach den Anforderungen des Einzelfalls durch den 
Kieferorthopäden/die Kieferorthopädin im Zeitpunkt der Auftragserteilung bestimmt.
B. ZU ZIFFER 2 - ART DER PERSONENBEZOGENEN DATEN
Name, Vorname, Fotos, Röntgenbilder, Geburtsdatum und E-Mail-Adresse des Patienten/der 
Patientin, Behandlungsablauf.
C. ZU ZIFFER 2 - KREIS DER BETROFFENEN
Patienten, die an einer entsprechenden Behandlung teilnehmen.
ANLAGE 2: LISTE DER UNTERAUFTRAGSVERARBEITER
Zur Zeit werden keine Unterauftragsverarbeiter eingesetzt.