Datum des Inkrafttretens: 30. Juni 2025

Diese Auftragsverarbeitungsbedingungen sind Bestandteil der zwischen Ihnen und uns geschlossenen Vereinbarung und regeln die gesamte Verarbeitung personenbezogener Daten durch uns im Rahmen der Erbringung der Dienstleistungen gemäß der Vereinbarung. Sie dienen dazu, uns in die Lage zu versetzen, die auf die Verarbeitung personenbezogener Daten durch uns als Ihren Auftragsverarbeiter bei der Erbringung der Dienstleistungen anwendbaren Datenschutzvorschriften einzuhalten, und Ihnen, die auf Ihre Inanspruchnahme der Dienstleistungen anwendbaren Datenschutzvorschriften einzuhalten. Soweit die Art und Weise, wie Sie den Vetera-Dienst und Ihre Daten nutzen, weiteren Vorschriften unterliegt – einschließlich datenschutzrechtlicher Vorschriften, die für uns als Anbieter der Dienstleistungen nicht gelten und daher von diesen Auftragsverarbeitungsbedingungen nicht erfasst werden –, obliegt Ihnen deren Einhaltung.

1. Begriffsbestimmungen

Begriffe, die im Glossar der Vetera-Nutzungsbedingungen definiert sind, haben in diesen Auftragsverarbeitungsbedingungen dieselbe Bedeutung. Ergänzend gelten folgende Definitionen:

Verantwortlicher (Controller) bezeichnet Sie oder eines Ihrer verbundenen Unternehmen, in dessen Auftrag die Verarbeitung von Relevanten Personenbezogenen Daten erfolgt.

Datenschutzvorschriften (Data Protection Regulations) bezeichnet die auf die Erbringung der Dienstleistungen (in unserem Fall) bzw. auf deren Inanspruchnahme (in Ihrem Fall) anwendbaren Rechts- und Verwaltungsvorschriften zum Schutz personenbezogener Daten und der Privatsphäre, einschließlich der Nutzung des Vetera-Dienstes zur Verarbeitung Relevanter Personenbezogener Daten durch den Verantwortlichen sowie der DSGVO (soweit anwendbar); ausgenommen ist die sonstige Verarbeitung Ihrer Daten in Ihrem Unternehmen.

Datenschutzrechtliches Beendigungsereignis (Data Protection Termination Event) bezeichnet das Eintreten eines der folgenden Umstände: (i) der Verantwortliche erhebt Einwand gegen die Bestellung eines Unterauftragsverarbeiters gemäß Ziffer 5.3 oder gilt als solcher; (ii) eine Weisung des Verantwortlichen ist zur Erfüllung zwingender gesetzlicher Anforderungen erforderlich, kann jedoch von einem Unterauftragsverarbeiter nicht umgesetzt werden; oder (iii) wir sind aufgrund von Bedingungen, die zwischen uns und unseren Unterauftragsverarbeitern (mit Ausnahme verbundener Unternehmen) gelten, oder aufgrund der Einstellung von Dienstleistungen durch einen Unterauftragsverarbeiter – sofern dies nicht auf unser Verschulden oder das unserer verbundenen Unternehmen zurückzuführen ist – nicht in der Lage, diese Auftragsverarbeitungsbedingungen in Bezug auf die Verarbeitung Relevanter Personenbezogener Daten einzuhalten.

DSGVO (GDPR) bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.

Infrastrukturdienstleistungen (Infrastructure Services) bezeichnet Dienstleistungen zur Unterstützung der Vetera-Plattform in Form von Software-as-a-Service, Platform-as-a-Service oder Infrastructure-as-a-Service im Sinne der Definitionen des National Institute of Standards and Technology (USA) oder einer etwaigen Nachfolgebehörde.

Datenschutzverletzung (Personal Data Breach) bezeichnet eine Verletzung der Sicherheit personenbezogener Daten, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt.

Relevante Personenbezogene Daten (Relevant Personal Data) bezeichnet diejenigen Ihrer Daten, die personenbezogene Daten im Sinne der DSGVO darstellen und von uns im Rahmen der Erbringung der Dienstleistungen verarbeitet werden, wie in Anhang 1 (Beschreibung der Verarbeitung) näher beschrieben.

Relevantes Personal (Relevant Personnel) bezeichnet Berater, denen im Rahmen der Erbringung der Dienstleistungen Zugang zu Relevanten Personenbezogenen Daten gewährt wird.

Unterauftragsverarbeiter (Sub-processor) bezeichnet jede natürliche oder juristische Person, einschließlich unserer Unterauftragnehmer und sonstiger Dritter, die zur Verarbeitung Relevanter Personenbezogener Daten befugt ist oder befugt werden soll.

Soweit in diesen Auftragsverarbeitungsbedingungen auf Begriffe der DSGVO Bezug genommen wird, insbesondere auf personenbezogene Daten, Verarbeitung, Verantwortlicher und Auftragsverarbeiter, haben diese die in der DSGVO festgelegte Bedeutung.

2. Rollen der Parteien nach den Datenschutzvorschriften

2.1 Soweit wir im Rahmen der Dienstleistungen personenbezogene Daten verarbeiten, um Ihnen oder Ihren verbundenen Unternehmen die Möglichkeit zur Verarbeitung personenbezogener Daten bereitzustellen – insbesondere durch die Speicherung personenbezogener Daten im Vetera-Dienst –, handeln wir dabei als Ihr Auftragsverarbeiter bzw. als Auftragsverarbeiter des jeweiligen verbundenen Unternehmens. Jede darüber hinausgehende Verarbeitung durch uns erfolgt als eigenverantwortlicher Verantwortlicher für eigene Geschäftszwecke. Verarbeiten Sie oder Ihre verbundenen Unternehmen personenbezogene Daten im Rahmen der Nutzung des Vetera-Dienstes, handeln Sie bzw. diese jeweils als Verantwortliche.

2.2 Ein Zugriff unserer Berater auf personenbezogene Daten, die von einem Verantwortlichen verarbeitet werden, ist weder von uns noch von Ihnen beabsichtigt; er ist allenfalls insoweit zulässig, als er für die Wartung und den Support des Vetera-Dienstes unbedingt erforderlich ist. Ein solcher Zugriff erfolgt rein beiläufig und anlassbezogen und ist daher in der Praxis auf ein Minimum beschränkt. In diesem Rahmen handeln wir in Bezug auf eine solche Verarbeitung weder als Auftragsverarbeiter noch als Verantwortlicher in eigenem Recht.

3. Dienstleistungen

3.1 Beauftragung

3.1.1 Vorbehaltlich der Vereinbarung beauftragen Sie Nordhealth mit der nicht-exklusiven Erbringung der Dienstleistungen; Nordhealth nimmt diese Beauftragung an. Sie sind verpflichtet, die Entgelte zu zahlen.

3.1.2 Vorbehaltlich Ihrer Einhaltung der Vereinbarung räumen wir Ihnen eine nicht-exklusive, nicht-übertragbare Lizenz ein, die es Autorisierten Nutzern gestattet, den Vetera-Dienst zu nutzen. Die Beschaffung etwaiger weiterer erforderlicher Rechte zur Nutzung anderer Software, Werke oder Materialien, die für den Zugang zu und die Nutzung des Vetera-Dienstes erforderlich sind, obliegt Ihnen auf eigene Kosten. Sollten Sie dies unterlassen und infolgedessen nicht in der Lage sein, den Vetera-Dienst zu nutzen, bleiben Sie gleichwohl zur Zahlung der Entgelte verpflichtet.

3.1.3 Sie räumen uns eine nicht-exklusive Lizenz ein, (i) Ihre Daten zu nutzen, zu vervielfältigen, anzupassen, anzuordnen, zu verändern und offenzulegen, soweit dies zur Erbringung der Dienstleistungen vernünftigerweise erforderlich ist, sowie (ii) Ihre Daten und Nutzungsdaten Autorisierter Nutzer zum Zweck der Anonymisierung, der Aggregation mit vergleichbaren anonymisierten Daten anderer Kunden, der Nutzungsanalyse, des Benchmarkings sowie der Erstellung, Offenlegung und sonstigen wirtschaftlichen Verwertung von Dokumenten und Berichten zum Vetera-Dienst zusammenzustellen und zu verwenden – ohne dabei Ihre Identität oder die Identität einzelner Autorisierter Nutzer offenzulegen. Handlungen im Rahmen dieser Lizenz können durch unsere Mitarbeiter, Beauftragten und Auftragnehmer sowie durch Dienstleister von Nordhealth in unserem Namen vorgenommen werden.

3.2 Umfang der Auftragsverarbeitung

3.2.1 Die von uns im Auftrag des Verantwortlichen durchzuführende Verarbeitung ist in Anhang 1 (Beschreibung der Verarbeitung) beschrieben. Wir führen diese Verarbeitung gemäß den dokumentierten Weisungen des Verantwortlichen durch; hiervon ausgenommen sind (i) Verarbeitungen, zu denen wir oder von uns beauftragte Personen nach Vorschriften verpflichtet sind und über die wir den Verantwortlichen angemessen vorab in Kenntnis gesetzt haben – es sei denn, Vorschriften untersagen oder beschränken eine solche Vorabinformation aus wichtigen Gründen des öffentlichen Interesses –, sowie (ii) Weisungen, die ein Datenschutzrechtliches Beendigungsereignis auslösen. Im letztgenannten Fall sind wir von der Befolgung der betreffenden Weisung befreit, bis das auslösende Problem von uns beiden gelöst wurde, die Vereinbarung endet oder unser Kündigungsrecht gemäß Ziffer 11 (Datenschutzrechtliche Beendigungsereignisse) erlischt.

3.2.2 Jede Verarbeitung Relevanter Personenbezogener Daten auf Grundlage der Vereinbarung gilt als auf dokumentierten Weisungen des Verantwortlichen beruhend.

3.2.3 Sind wir der Auffassung, dass eine Weisung des Verantwortlichen gegen Datenschutzvorschriften verstößt, teilen wir dem Verantwortlichen unsere Einschätzung unter Darlegung der uns vorliegenden Informationen unverzüglich mit.

3.2.4 Sie ermächtigen – in eigenem Namen sowie als Vertreter etwaiger weiterer Verantwortlicher – uns, das Relevante Personal und die gemäß Ziffer 5 bestellten Unterauftragsverarbeiter, Relevante Personenbezogene Daten ab dem Vertragsbeginn im Rahmen der Dienstleistungen gemäß der Vereinbarung zu verarbeiten.

4. Löschung oder Rückgabe von Daten

Nach Beendigung der Vereinbarung geben wir auf Weisung des Verantwortlichen alle Relevanten Personenbezogenen Daten zurück oder löschen diese, sofern keine Vorschriften deren weitere Aufbewahrung gebieten. Diese Regelung lässt Ihre Pflicht, sämtliche Ihrer Daten gemäß der Vereinbarung aus dem Vetera-Dienst abzurufen und zu löschen, unberührt.

5. Unterauftragsverarbeiter

5.1 Eine aktuelle Liste der Unterauftragsverarbeiter sowie eine Beschreibung der in Anspruch genommenen Infrastrukturdienstleistungen ist unter https://www.vetera.cloud/sub-processors/ abrufbar.

5.2 Die Befugnis zur Verarbeitung Relevanter Personenbezogener Daten darf einem Unterauftragsverarbeiter nur erteilt werden, wenn – im Falle der Beauftragung als Unterauftragnehmer – zuvor ein Vertrag mit dem Unterauftragsverarbeiter geschlossen wurde, durch den dieser Pflichten übernimmt, die diesen Auftragsverarbeitungsbedingungen im Wesentlichen entsprechen, soweit sie für die betreffende Verarbeitung maßgeblich sind. Jede sonstige Erteilung einer Verarbeitungsbefugnis an einen Unterauftragsverarbeiter ist nur unmittelbar oder mittelbar auf Grundlage eines solchen Unterauftragsvertrags zulässig.

5.3 Beabsichtigen wir, einen neuen Unterauftragsverarbeiter – sei es als Unterauftragnehmer oder anderweitig – mit der Verarbeitung Relevanter Personenbezogener Daten zu beauftragen, aktualisieren wir die Liste unter https://www.vetera.cloud/sub-processors/ und können Sie über den Vetera-Dienst oder die Website benachrichtigen. Sie haben das Recht, innerhalb von zwanzig (20) Werktagen nach Zugang der Benachrichtigung Einwand gegen die Bestellung zu erheben. Wird innerhalb dieser Frist kein Einwand erhoben, gehen wir davon aus, dass Sie gegen die Bestellung keinen Einwand haben.

5.4 Soweit der Vetera-Dienst – einschließlich der Verarbeitung Relevanter Personenbezogener Daten – auf Infrastrukturdienstleistungen beruht, gilt Folgendes:

(i) Die Datenschutzbestimmungen und sonstigen einschlägigen Bedingungen der jeweiligen Unterauftragsverarbeiter für Infrastrukturdienstleistungen, die die Verarbeitung Relevanter Personenbezogener Daten im Rahmen der Infrastrukturdienstleistungen (Relevante Unterauftragsverarbeitung) betreffen und auf Anfrage bei uns einsehbar sind, werden Bestandteil der Vereinbarung (mit den erforderlichen Anpassungen, die als vorgenommen gelten) (Zusätzliche Auftragsverarbeitungsbedingungen) und gelten für die Relevante Unterauftragsverarbeitung vorrangig vor etwaigen entgegenstehenden Bestimmungen der Vereinbarung.

(ii) Die Ausübung von Rechten des Verantwortlichen aus der Vereinbarung in Bezug auf Relevante Personenbezogene Daten, die Gegenstand einer Relevanten Unterauftragsverarbeitung sind, richtet sich nach den Zusätzlichen Auftragsverarbeitungsbedingungen.

6. Unterstützungspflichten

6.1 Wir stellen dem Verantwortlichen unverzüglich – und stets rechtzeitig, um ihm die Erfüllung seiner Pflichten nach den Datenschutzvorschriften zu ermöglichen – alle vernünftigerweise erforderlichen Informationen in Bezug auf Relevante Personenbezogene Daten oder deren Verarbeitung zur Verfügung. Soweit hierfür Leistungen erforderlich sind, die über den Vetera-Dienst hinausgehen, erbringen wir diese als Professional Services im Rahmen einer gesondert vereinbarten Leistungsbeschreibung.

6.2 Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung oder Widerspruch gegen die Verarbeitung Relevanter Personenbezogener Daten sowie sonstige datenschutzrechtliche Anfragen leiten wir unverzüglich an den Verantwortlichen weiter. Auf dessen Ersuchen hin unterstützen wir den Verantwortlichen im Rahmen des Vetera-Dienstes bei der Bearbeitung dieser Anträge; erforderliche Leistungen, die über den Vetera-Dienst hinausgehen, erbringen wir als Professional Services im Rahmen einer gesondert vereinbarten Leistungsbeschreibung.

6.3 Wir unterstützen den Verantwortlichen im Rahmen des Vetera-Dienstes bei der Erfüllung seiner Pflichten nach den Datenschutzvorschriften, insbesondere in Bezug auf Datensicherheit, die Meldung von Datenschutzverletzungen und die Durchführung von Datenschutz-Folgenabschätzungen, unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Daten. Leistungen, die über den Vetera-Dienst hinausgehen, erbringen wir als Professional Services im Rahmen einer gesondert vereinbarten Leistungsbeschreibung.

6.4 Anfragen von Datenschutzbehörden leiten wir unverzüglich an den jeweiligen Verantwortlichen weiter und handeln erst nach dessen Weisung. Zur Vertretung des Verantwortlichen gegenüber Aufsichtsbehörden oder zur Abgabe von Erklärungen in seinem Namen sind wir ohne gesonderte Vereinbarung nicht befugt.

7. Drittlandübermittlungen

7.1 Wir übermitteln Relevante Personenbezogene Daten nicht aus dem Land ihrer Speicherung in ein anderes Land oder Gebiet oder an eine internationale Organisation, ohne die vorherige schriftliche Zustimmung des Verantwortlichen – es sei denn, dies erfolgt auf dessen dokumentierte Weisung hin, im Rahmen der ordnungsgemäßen Erbringung der Dienstleistungen gemäß der Vereinbarung (in Übereinstimmung mit den Datenschutzvorschriften) oder aufgrund einer rechtlichen Verpflichtung, die mit den Datenschutzvorschriften vereinbar ist (Beschränkte Übermittlung).

7.2 Beschränkte Übermittlungen sind zulässig in Mitgliedstaaten des Europäischen Wirtschaftsraums, in das Vereinigte Königreich sowie in Drittstaaten, für die ein Angemessenheitsbeschluss der EU-Kommission nach Artikel 45 DSGVO vorliegt, oder auf Grundlage eines anderen nach den Datenschutzvorschriften anerkannten Übermittlungsmechanismus, insbesondere Standardvertragsklauseln.

8. Audit

8.1 Der Verantwortliche oder ein von ihm bevollmächtigter, nicht in einem Wettbewerbsverhältnis zu uns stehender Prüfer ist berechtigt, die Verarbeitung Relevanter Personenbezogener Daten durch uns zu prüfen. Zeitpunkt, Umfang und sonstige Einzelheiten eines Audits sind vorab abzustimmen, wobei die Ankündigung spätestens vierzehn (14) Tage vor der Prüfung zu erfolgen hat. Das Audit ist so durchzuführen, dass unsere Verpflichtungen gegenüber Dritten und die unserer Unterauftragnehmer nicht beeinträchtigt werden. Die Vertreter des Verantwortlichen sowie der beauftragte Prüfer haben vor Beginn des Audits übliche Vertraulichkeitsverpflichtungen zu unterzeichnen.

8.2 Die durch das Audit entstehenden Kosten trägt der Verantwortliche. Werden beim Audit wesentliche Mängel festgestellt, tragen wir die Kosten des Audits.

9. Datensicherheit

9.1 Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz Relevanter Personenbezogener Daten entsprechend der guten Branchenübung. Dabei berücksichtigen wir insbesondere die Risiken einer unbeabsichtigten oder unrechtmäßigen Vernichtung, eines Verlusts, einer Veränderung sowie einer unbefugten Offenlegung oder eines unbefugten Zugangs, wie in Anhang 2 (Beschreibung der organisatorischen und technischen Maßnahmen) näher ausgeführt. Bei der Ausgestaltung der Sicherheitsmaßnahmen werden die technischen Möglichkeiten und deren Kosten in angemessenem Verhältnis zu den spezifischen Risiken der jeweiligen Verarbeitung und der Sensibilität der Relevanten Personenbezogenen Daten bewertet. Die Wirksamkeit der getroffenen Maßnahmen wird von uns regelmäßig überprüft, bewertet und evaluiert.

9.2 Es obliegt Ihnen sicherzustellen, dass die von uns getroffenen Maßnahmen für die Verarbeitung Ihrer Daten im Kontext Ihres Unternehmens angemessen sind.

9.3 Wir stellen sicher, dass das Relevante Personal zur Einhaltung der Vertraulichkeit verpflichtet ist.

10. Datenschutzverletzungen

10.1 Wir melden dem Verantwortlichen jede uns bekannt gewordene Datenschutzverletzung unverzüglich nach Kenntnisnahme.

10.2 Auf Ersuchen des Verantwortlichen stellen wir diesem unverzüglich alle verfügbaren relevanten Informationen zur Datenschutzverletzung zur Verfügung. Soweit uns die betreffenden Informationen vorliegen, umfasst die Meldung: (i) eine Beschreibung der eingetretenen Datenschutzverletzung, (ii) die Kategorien und die geschätzte Anzahl der betroffenen Personen sowie die Kategorien der betroffenen personenbezogenen Daten, (iii) eine Darstellung der voraussichtlichen Folgen der Datenschutzverletzung sowie (iv) eine Beschreibung der ergriffenen oder geplanten Abhilfemaßnahmen, einschließlich gegebenenfalls Maßnahmen zur Minderung nachteiliger Auswirkungen.

10.3 Wir dokumentieren den Sachverhalt und die ergriffenen Maßnahmen und erstatten dem Verantwortlichen hierüber Bericht.

10.4 Die Pflicht zur Meldung der Datenschutzverletzung an die zuständigen Aufsichtsbehörden obliegt dem Verantwortlichen.

11. Datenschutzrechtliche Beendigungsereignisse

11.1 Tritt ein Datenschutzrechtliches Beendigungsereignis ein, ist jede Partei berechtigt, die Vereinbarung durch Mitteilung an die andere Partei mit einer Frist von mindestens sechzig (60) Tagen zu kündigen. In diesem Fall erstatten wir etwaige für den nicht abgelaufenen Vertragszeitraum im Voraus geleistete Entgelte.

11.2 Das Kündigungsrecht nach Ziffer 11.1 erlischt, sofern es nicht innerhalb von zwanzig (20) Werktagen nach dem Zeitpunkt ausgeübt wird, zu dem Sie oder wir (je nach Lage der Dinge) erstmals Kenntnis vom Eintritt des Datenschutzrechtlichen Beendigungsereignisses erlangt haben.

12. Rechte des Verantwortlichen

So bald wie vernünftigerweise möglich nach einem entsprechenden Ersuchen Ihrerseits werden wir mit einem weiteren Verantwortlichen, d. h. einem anderen als Ihnen, einen Abonnementvertrag abschließen, um die Anwendung dieser Auftragsverarbeitungsbedingungen sicherzustellen und diesem Verantwortlichen die Einhaltung der anwendbaren Datenschutzvorschriften zu ermöglichen.

Anhang 1 – Beschreibung der Verarbeitung

Verarbeitung	Der Vetera-Dienst wird Ihnen zur Verfügung gestellt, um Ihre Tierarztpraxis zu betreiben, zu verwalten und zu administrieren. Dies umfasst insbesondere die Anlage und Verwaltung von Kunden und deren Tieren, die Terminvereinbarung, die Diagnose und Behandlung von Erkrankungen der Tiere Ihrer Kunden, die Rechnungsstellung und den Einzug von Honoraren sowie alle damit zusammenhängenden Aufgaben. Die Daten werden von uns gehostet und von unseren Beratern von Zeit zu Zeit aufgerufen, soweit dies für die Wartung des Vetera-Dienstes und den Support Ihrer Nutzung unbedingt erforderlich ist.
Unterauftragnehmer	Die Liste der Unterauftragsverarbeiter ist unter https://www.vetera.cloud/sub-processors/ abrufbar.
Geografischer Standort personenbezogener Daten	EU (Irland eu-west-1, Stockholm eu-north-1), Vereinigtes Königreich (London eu-west-2), USA (North Virginia us-east-1, Northern California us-west-1)
Kategorien betroffener Personen	Bestehende, frühere und potenzielle Kunden, Mitarbeiter, Lieferanten, Direktoren und sonstige leitende Angestellte des Verantwortlichen.
Kategorien personenbezogener Daten	Namen und Kontaktdaten von Kunden und kundenseitigen Kontaktpersonen, die für die Verwaltung der Kundenbeziehung mit dem Verantwortlichen relevant sind; Finanzdaten; Termininformationen; Angaben zu Erkrankungen und Behandlungen der Tiere von Kunden.
Dauer der Verarbeitung	Die Verarbeitung erfolgt für die Dauer der Erbringung des Vetera-Dienstes sowie für einen sich daran anschließenden vorübergehenden Zeitraum, bis die personenbezogenen Daten von Ihnen oder durch uns gemäß der Vereinbarung gelöscht werden.

Anhang 2 – Beschreibung der organisatorischen und technischen Maßnahmen

Maßnahme	Beschreibung
Maßnahmen zur Pseudonymisierung und Verschlüsselung personenbezogener Daten	Ihre Daten werden bei der Übertragung über öffentliche Netze (einschließlich des Internets) – von uns zu Ihnen sowie zwischen Instanzen des Vetera-Dienstes – und bei der Speicherung im Vetera-Dienst verschlüsselt.
Unterauftragnehmer	Die Liste der Unterauftragsverarbeiter ist unter https://www.vetera.cloud/sub-processors/ abrufbar.
Maßnahmen zur Gewährleistung der laufenden Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten	Der Vetera-Dienst ermöglicht die Einrichtung differenzierter Benutzerberechtigungen unter Verwendung von Standardvorlagen und nutzerindividueller Anpassungen sowie die Zuweisung von Nutzern zu bestimmten Diensten und Kostenstellen; darüber hinaus können Standardberechtigungen für Nutzer mit mehreren Rollen festgelegt werden. Die Zugriffsverwaltung obliegt Ihnen; die Verwaltungsfunktionen des Vetera-Dienstes stehen Ihnen hierfür zur Verfügung. Ein dauerhafter Zugang zu Ihren Daten durch unser Personal oder das unserer Unterauftragsverarbeiter besteht nicht; ein etwaiger Zugang zu Wartungs- und Supportzwecken ist strikt auf diesen Zweck beschränkt und darf nur durch autorisierte und geschulte Berater erfolgen. Wir unterhalten Notfallwiederherstellungs- und Geschäftskontinuitätskapazitäten, die darauf ausgelegt sind, die Erbringung des Vetera-Dienstes nach einer Störung durch einen Notfall oder eine sonstige wesentliche Betriebsunterbrechung schnellstmöglich wieder aufzunehmen. Der Vetera-Dienst ist gegen unbefugte oder rechtswidrige physische und elektronische Eingriffe, Sabotage, Denial-of-Service-Angriffe und sonstige Sicherheitsrisiken sowie gegen physische Schäden durch Sturm, Brand, Wasserschäden und ähnliche Ereignisse geschützt.
Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung	Die Sicherheit des Vetera-Dienstes wird mindestens einmal jährlich geprüft; Korrekturmaßnahmenpläne werden unter Aufsicht des Managements erarbeitet und umgesetzt, um festgestellte Sicherheitsmängel zu beheben.
Maßnahmen zur Nutzeridentifikation und -autorisierung	Es gelten die vorstehenden Maßnahmen zur Gewährleistung der laufenden Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen und -diensten.
Maßnahmen zum Schutz personenbezogener Daten bei der Übertragung	Ihre Daten werden bei der Übertragung über öffentliche Netze (einschließlich des Internets), von uns zu Ihnen sowie zwischen Instanzen des Vetera-Dienstes, verschlüsselt.
Maßnahmen zum Schutz personenbezogener Daten bei der Speicherung	Ihre Daten werden im Vetera-Dienst bei der Speicherung verschlüsselt. Der Vetera-Dienst setzt rollenbasierte Sicherheitsfunktionen ein, um unbefugten Zugriff zu verhindern.
Maßnahmen zur Gewährleistung der physischen Sicherheit von Standorten, an denen personenbezogene Daten verarbeitet werden	Alle unsere Betriebsstätten sind mit physischen Zutrittskontrollsystemen und -protokollen ausgestattet, die den Zutritt auf autorisierte Mitarbeiter und zugelassene Besucher beschränken. Instanzen des Vetera-Dienstes werden in unserem Auftrag von Amazon Web Services EMEA SARL gehostet und unterliegen den Sicherheitsrichtlinien von AWS; weiterführende Informationen hierzu sind unter https://d1.awsstatic.com/legal/aws-gdpr/AWS_GDPR_DPA.pdf abrufbar.
Maßnahmen zur internen IT- und IT-Sicherheits-Governance und zum IT-Management	Wir treffen angemessene Maßnahmen, um die Zuverlässigkeit und Integrität des Relevanten Personals sicherzustellen und zu gewährleisten, dass es Relevante Personenbezogene Daten als Teil der Dienstleistungen ausschließlich gemäß der Vereinbarung verarbeitet. Zugang zu Relevanten Personenbezogenen Daten erhalten nur diejenigen Mitglieder des Relevanten Personals, die ihn für die Erfüllung ihrer Aufgaben benötigen, und nur im hierfür erforderlichen Umfang. Wir schulen das Relevante Personal, damit es sich seiner Pflichten nach den Datenschutzvorschriften bewusst ist und über die Bedeutung der Vermeidung von Datenschutzverletzungen informiert ist. Wir haben Disziplinarverfahren für den Fall der Nichteinhaltung datenschutzrechtlicher Anforderungen und Standards eingerichtet. Wir haben eine für Sicherheits- und Datenschutzfragen verantwortliche Person benannt und werden deren Namen auf Anfrage mitteilen.
Maßnahmen zur Gewährleistung der Datensparsamkeit	Die Einhaltung des Grundsatzes der Datensparsamkeit liegt in Ihrer Verantwortung im Rahmen Ihrer Nutzung des Vetera-Dienstes; die hierfür geeigneten Sicherheitsfunktionen des Vetera-Dienstes stehen Ihnen zur Verfügung.
Maßnahmen zur Gewährleistung der Datenqualität	Die Sicherstellung der Datenqualität liegt in Ihrer Verantwortung; die hierfür geeigneten Sicherheitsfunktionen des Vetera-Dienstes stehen Ihnen zur Verfügung.
Maßnahmen zur Gewährleistung einer begrenzten Datenspeicherung	Die Einhaltung von Datenspeicherungsfristen liegt in Ihrer Verantwortung; die hierfür geeigneten Sicherheitsfunktionen des Vetera-Dienstes stehen Ihnen zur Verfügung.
Maßnahmen zur Gewährleistung der Datenübertragbarkeit und Sicherstellung der Löschung	Die Regelungen zur Vertragsbeendigung und zum Datenexport sind in den Vetera-Nutzungsbedingungen festgelegt.