Allgemeine Nutzungsbedingungen für medizinische Institutionen

Einschließlich integrierter Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO
Stand: 03.08.2026, 23:35 Uhr CEST

Teil A. Allgemeine Institutionsbedingungen

1. Anbieter, Geltungsbereich und Vertragsstruktur

1.1 Diese Bedingungen gelten zwischen der CONUS Medical Solutions GmbH, Alte Ziegelei 2 - 4, 51491 Overath, Deutschland, eingetragen im Handelsregister des Amtsgericht Köln, HRB 110987, vertreten durch den Geschäftsführer Vincent Paffrath, nachfolgend „CONUS“, und der medizinischen Einrichtung oder Bildungseinrichtung, die eine Institutionsnutzung beantragt oder freischaltet, nachfolgend „Institution“.

1.2 Diese Bedingungen gelten nicht für entgeltliche Herstellerlizenzen. Für Medizinproduktehersteller gelten gesonderte Herstellerlizenzverträge.

1.3 Natürliche Personen nutzen CONUS über persönliche Nutzerkonten und akzeptieren zusätzlich die Allgemeinen Nutzungsbedingungen für Nutzer und den Medizinischen Nutzungs- und Sicherheitshinweis.

1.4 Individuelle Vereinbarungen und gesonderte Leistungsangebote haben Vorrang.

2. Vertragsabschluss und Vertretungsberechtigung

2.1 Der Institutionsvertrag kommt zustande, sobald ein hierzu berechtigter Vertreter diese Bedingungen einschließlich Teil B akzeptiert und CONUS den Institutionsbereich freischaltet.

2.2 Die akzeptierende Person versichert, zur Vertretung der Institution oder zum Abschluss des Institutionsvertrags berechtigt zu sein.

2.3 CONUS kann Nachweise zur Identität, Funktion und Vertretungsberechtigung verlangen.

2.4 Die jeweils akzeptierte Fassung, der Zeitpunkt, die Institution und die akzeptierende Person werden dokumentiert.

3. Leistungsgegenstand und Zweckbestimmung

3.1 CONUS Basic stellt eine digitale Informations-, Dokumentations- und Rechercheplattform für medizinische, wissenschaftliche, produktbezogene und institutionelle Informationen bereit.

3.2 Die Institution kann abhängig von der Freischaltung insbesondere Produktportfolios, SOPs, interne Ansprechpartner, Organisationsinformationen und weitere institutionelle Inhalte bereitstellen.

3.3 CONUS Intelligence kann als zusätzliche KI-gestützte Informations- und Recherchefunktion verfügbar sein.

3.4 CONUS definiert keine medizinische Zweckbestimmung im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) 2017/745. CONUS ist nicht für patientenspezifische Diagnose-, Therapie-, Dosierungs-, Indikations-, Kontraindikations- oder Produktauswahlentscheidungen bestimmt.

3.5 CONUS ersetzt keine Gebrauchsanweisung, verpflichtende Einweisung, klinische Freigabe, verbindliche Dienstanweisung, SOP oder eigenverantwortliche fachliche Entscheidung.

3.6 Eine Schnittstelle zu Krankenhausinformationssystemen, Patientenakten oder patientenführenden Systemen ist nicht Gegenstand der regulären Institutionsnutzung.

4. Unentgeltliche Bereitstellung und künftige Angebote

4.1 CONUS Basic wird medizinischen Institutionen im jeweils freigeschalteten Umfang derzeit unentgeltlich bereitgestellt.

4.2 Mit der unentgeltlichen Bereitstellung sind keine Mindestnutzung, Beschaffungsvolumina, Produktentscheidungen, Herstellerpräferenzen, Referenzgespräche oder sonstigen operativen Gegenleistungen verbunden.

4.3 Ein Anspruch auf zeitlich unbegrenzte unentgeltliche Bereitstellung, unveränderten Funktionsumfang oder dauerhafte Fortführung einzelner Funktionen besteht nicht.

4.4 CONUS darf unentgeltliche Leistungen mit einer Frist von 30 Tagen ändern, beschränken oder einstellen. Bei Sicherheitsrisiken, rechtlichen Anforderungen, Missbrauch, Wegfall externer Dienste oder unzumutbarem Betriebsaufwand ist eine kurzfristige oder sofortige Änderung zulässig.

4.5 CONUS kann der Institution eine Fortsetzung oder Erweiterung zu kostenpflichtigen Bedingungen anbieten. Eine Zahlungspflicht entsteht ausschließlich durch ausdrückliche Annahme eines gesonderten Angebots.

4.6 Nimmt die Institution ein kostenpflichtiges Angebot nicht an, kann die bisherige unentgeltliche Leistung zum angekündigten Zeitpunkt beendet werden.

5. Institutionsadministration und Nutzerverwaltung

5.1 Die Institution benennt mindestens einen Administrator.

5.2 Administratoren dürfen Nutzer einladen, Rollen vergeben, Stammdaten verwalten und den Einladungs- und Aktivierungsstatus sehen.

5.3 Die Institution ist dafür verantwortlich, dass Einladungen nur an berechtigte Personen versendet werden und dass sie für die Übermittlung der Kontaktdaten über eine ausreichende Rechtsgrundlage verfügt.

5.4 Die Institution muss Berechtigungen unverzüglich entfernen oder sperren, wenn eine Person nicht mehr berechtigt ist.

5.5 CONUS darf Berechtigungen sperren, wenn konkrete Sicherheits-, Rechts- oder Missbrauchsrisiken bestehen.

5.6 Eine personenbezogene Auswertung von Suchbegriffen, aufgerufenen Inhalten, Prompts, KI-Antworten, Nutzungsdauer, Arbeitsleistung oder Verhalten wird der Institution im regulären Produkt nicht bereitgestellt.

6. Pflichten und innerbetriebliche Verantwortung der Institution

6.1 Die Institution stellt sicher, dass CONUS ausschließlich im vorgesehenen Informations- und Recherchekontext genutzt wird.

6.2 Die Institution weist ihre Nutzer auf das Verbot der Eingabe von Patientendaten und personenbezogenen Gesundheitsdaten hin.

6.3 Die Institution ist für fachliche Prüfung, Freigabe, Versionierung, Aktualität und Rechtmäßigkeit ihrer institutionellen Inhalte verantwortlich.

6.4 Die Institution stellt sicher, dass hochgeladene Inhalte keine Rechte Dritter, Geheimhaltungspflichten, Datenschutzvorgaben oder sonstigen gesetzlichen Pflichten verletzen.

6.5 Die Institution ist für erforderliche innerbetriebliche Freigaben, Beteiligung von Arbeitnehmervertretungen, Informationssicherheitsprüfungen und die Festlegung ihrer internen Nutzungsregeln verantwortlich.

6.6 Die Institution wirkt bei der Aufklärung von Sicherheits-, Datenschutz- und Rechtsverstößen angemessen mit.

7. Institutionelle Inhalte und Nutzungsrechte

7.1 Die Institution bleibt Inhaber ihrer Rechte an SOPs, Ansprechpartnern, Organisationsinformationen und sonstigen institutionellen Inhalten.

7.2 Die Institution räumt CONUS für die Vertragsdauer ein einfaches, nicht ausschließliches, unentgeltliches und an eingesetzte Auftragsverarbeiter unterlizenzierbares Recht ein, die institutionellen Inhalte im erforderlichen Umfang zu speichern, zu vervielfältigen, zu übertragen, technisch aufzubereiten, zu formatieren, zu strukturieren, zu verschlagworten, zu indexieren, zu übersetzen, zusammenzufassen, Embeddings und Suchindizes zu erzeugen und berechtigten Nutzern der Institution innerhalb der CONUS Software zugänglich zu machen.

7.3 Institutionelle Inhalte werden nicht zum Training allgemeiner eigener oder externer KI-Modelle verwendet und nicht institutionsübergreifend für Antworten anderer Institutionen genutzt.

7.4 Technisch privilegierte CONUS-Mitarbeiter dürfen nur zugreifen, soweit dies für Betrieb, Sicherheit, Wartung, Support, Fehlerbehebung oder gesetzliche Pflichten erforderlich ist. Zugriffe werden durch Rollen, Vertraulichkeitsverpflichtungen und Protokollierung begrenzt.

7.5 Die Institution kann ihre Inhalte während der Vertragsdauer in einem von CONUS bereitgestellten oder angemessen unterstützten gängigen Format exportieren, soweit die technische Struktur dies zulässt.

7.6 Nach Vertragsende löscht CONUS institutionelle Inhalte innerhalb von 30 Tagen aus produktiven Systemen. Sicherungskopien werden spätestens innerhalb von 90 Tagen überschrieben, sofern keine gesetzlichen Pflichten oder berechtigten Nachweiszwecke entgegenstehen.

8. Datenschutzrechtliche Rollen

8.1 CONUS verarbeitet Daten persönlicher Nutzerkonten, Authentifizierungs-, Sicherheits-, Abrechnungs-, Support- und allgemeine Plattformdaten grundsätzlich in eigener datenschutzrechtlicher Verantwortung.

8.2 Soweit CONUS institutionelle Inhalte, initiale Einladungsdaten oder sonstige personenbezogene Daten ausschließlich nach dokumentierten Weisungen und für Zwecke der Institution verarbeitet, handelt CONUS als Auftragsverarbeiter.

8.3 Für diese Auftragsverarbeitung gilt Teil B dieser Bedingungen.

8.4 Die Institution bleibt für Rechtmäßigkeit, Transparenz, Zweckfestlegung, Datenminimierung, Richtigkeit und die Wahrung der Betroffenenrechte in ihrem Verantwortungsbereich zuständig.

9. Nutzungsdaten, Statistik und Schutz vor Mitarbeiterüberwachung

9.1 CONUS darf Nutzungs- und Betriebsdaten im Rahmen eigener datenschutzrechtlicher Verantwortung zur Bereitstellung, Sicherheit, Missbrauchsprävention, Fehleranalyse, Produktentwicklung und Kapazitätsplanung verarbeiten.

9.2 CONUS darf aus rechtmäßig verarbeiteten Daten anonymisierte und ausreichend aggregierte Statistiken erzeugen und zeitlich unbeschränkt für Produktentwicklung, Benchmarking, Forschung, Marktanalyse, Vertriebsplanung, kommerzielle Auswertungen und Unternehmenskommunikation verwenden.

9.3 Eine Reidentifizierung von Personen oder einzelnen medizinischen Institutionen ist ausgeschlossen.

9.4 Hersteller erhalten keine personenbezogenen oder institutionsbezogenen Nutzungsdaten.

10. Herstellerfinanzierung, Produktinhalte und Neutralität

10.1 CONUS finanziert sich unter anderem durch entgeltliche digitale Dienstleistungen für Medizinproduktehersteller.

10.2 Hersteller erhalten aufgrund einer Geschäftsbeziehung keinen Zugriff auf das Produktportfolio der Institution, einzelne Beschäftigte, Suchanfragen, aufgerufene Inhalte, KI-Verläufe oder institutionsbezogene Nutzungsdaten.

10.3 Hersteller erhalten keine Informationen über im jeweiligen Haus eingesetzte Konkurrenzprodukte.

10.4 Hersteller können durch Zahlungen keine bevorzugte Sortierung einzelner Produkte erwerben.

10.5 CONUS entscheidet nach technischen, redaktionellen, inhaltlichen und nutzerbezogenen Kriterien über Darstellung und Suchlogik.

10.6 Herstellerinformationen werden als solche erkennbar gemacht, soweit die Herkunft nicht bereits eindeutig ist. Die Darstellung ist keine Empfehlung und beeinflusst keine Beschaffungsentscheidung der Institution.

10.7 Hersteller können Nutzer nicht unmittelbar über CONUS kontaktieren. Allgemeine Veranstaltungen können auf Herstellerseiten dargestellt werden. Gezielte kommerzielle Nachrichten setzen die erforderliche Einwilligung des betroffenen Nutzers voraus.

10.8 CONUS kann nach eigener Prüfung konkret produktbezogene Sicherheitsinformationen, Rückrufe und Field Safety Notices kommunizieren.

11. Verfügbarkeit, Wartung und Support

11.1 Unentgeltliche Institutionsleistungen werden ohne zugesagte Mindestverfügbarkeit, Reaktionszeit, Wiederherstellungszeit oder Service Level bereitgestellt.

11.2 CONUS darf Wartung durchführen und den Zugang bei Störungen, Sicherheitsrisiken, Kapazitätsgrenzen, höherer Gewalt oder Ausfällen externer Dienstleister einschränken.

11.3 Die Institution ist für geeignete Endgeräte, Betriebssysteme, Internetverbindungen, Gerätesicherheit und innerbetriebliche Nutzungsregeln verantwortlich.

11.4 Support wird nach verfügbaren Kapazitäten erbracht, sofern keine gesonderte Supportvereinbarung besteht.

12. Referenznennung und Nutzung von Name und Logo

12.1 Mit Annahme dieser Bedingungen räumt die Institution CONUS für die Vertragsdauer ein einfaches, räumlich unbeschränktes und unentgeltliches Recht ein, ihren Namen und ihr Logo ausschließlich zur sachlichen Benennung als teilnehmende oder nutzende Institution zu verwenden.

12.2 Die Referenzregelung wird der Institution im Annahmeprozess gesondert und hervorgehoben angezeigt.

12.3 Die Nutzung ist insbesondere in allgemeinen Kunden-, Partner- und Referenzlisten, auf der Website, in Präsentationen, Pitch Decks, Vertriebsunterlagen und gegenüber Geschäftspartnern, Finanzierern und Investoren zulässig.

12.4 Die Referenznennung darf nicht den Eindruck einer medizinischen Empfehlung, exklusiven Partnerschaft, Produktfreigabe oder Unterstützung einzelner Hersteller erwecken.

12.5 Eigenständige Pressemitteilungen, Kampagnen, Fallstudien, Zitate oder hervorgehobene Social-Media-Kommunikation bedürfen einer gesonderten Abstimmung.

12.6 Die Institution kann der weiteren Referenznennung jederzeit in Textform widersprechen. CONUS beendet die Nutzung innerhalb einer angemessenen technischen Umsetzungsfrist.

13. Vertraulichkeit und Geschäftsgeheimnisse

13.1 Beide Parteien behandeln nicht öffentliche kaufmännische, technische, organisatorische und institutionelle Informationen vertraulich.

13.2 Eine Weitergabe ist an Mitarbeiter, Berater, verbundene Unternehmen und Dienstleister zulässig, soweit sie die Informationen zur Vertragserfüllung benötigen und angemessen zur Vertraulichkeit verpflichtet sind.

13.3 Die bestimmungsgemäße Anzeige institutioneller Inhalte gegenüber berechtigten Nutzern bleibt unberührt.

13.4 Gesetzliche Offenlegungspflichten bleiben unberührt. Soweit zulässig, wird die andere Partei vorab informiert.

13.5 Die Vertraulichkeitsverpflichtung gilt nach Vertragsende fort. Für Geschäftsgeheimnisse gilt sie, solange die gesetzlichen Voraussetzungen eines Geschäftsgeheimnisses bestehen.

14. Gewährleistung und fachliche Verantwortung

14.1 CONUS stellt die Software als Plattform bereit.

14.2 CONUS übernimmt keine fachliche Verantwortung für Herstellerinhalte, institutionelle Inhalte, Drittquellen oder automatisiert erzeugte KI-Ausgaben.

14.3 CONUS schuldet keine fachliche Prüfung oder Freigabe institutioneller SOPs und keine Überwachung, ob Hersteller sämtliche Änderungen, Rückrufe oder Dokumente bereitgestellt haben.

14.4 Zwingende gesetzliche Gewährleistungsrechte für ausdrücklich vereinbarte kostenpflichtige Leistungen bleiben unberührt.

15. Haftung

15.1 CONUS haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei arglistigem Verschweigen, bei übernommener Garantie und nach zwingenden gesetzlichen Haftungsvorschriften.

15.2 Bei einfacher Fahrlässigkeit haftet CONUS nur bei Verletzung einer wesentlichen Vertragspflicht. Die Haftung ist auf den vorhersehbaren, vertragstypischen Schaden begrenzt.

15.3 Für unentgeltliche Leistungen ist die Haftung bei einfacher Fahrlässigkeit zusätzlich auf 10.000 EUR je Schadensereignis und 20.000 EUR je Vertragsjahr begrenzt, soweit dies gesetzlich zulässig ist.

15.4 CONUS haftet im gesetzlich zulässigen Umfang nicht für fachliche Entscheidungen, die auf ungeprüften, fehlerhaft verwendeten oder entgegen der Zweckbestimmung eingesetzten Inhalten beruhen.

15.5 CONUS haftet nicht für Verlust institutioneller Inhalte, soweit der Schaden durch eine angemessene Sicherung oder einen zumutbaren Export vermeidbar gewesen wäre.

15.6 Die Haftungsbeschränkungen gelten auch zugunsten der Organe, Mitarbeiter und Erfüllungsgehilfen von CONUS.

16. Freistellung

16.1 Die Institution stellt CONUS von Ansprüchen Dritter frei, die auf einer schuldhaften Verletzung dieser Bedingungen durch die Institution oder ihre Administratoren beruhen.

16.2 Dies gilt insbesondere für unberechtigte Einladungen, rechtswidrige institutionelle Inhalte, Verletzungen von Rechten Dritter, fehlende innerbetriebliche Berechtigungen und die Eingabe von Patientendaten.

16.3 Die Freistellung umfasst angemessene Kosten der Rechtsverteidigung. CONUS informiert die Institution und ermöglicht eine angemessene Mitwirkung.

17. Laufzeit, Sperrung und Beendigung

17.1 Der Vertrag läuft auf unbestimmte Zeit.

17.2 Die Institution kann die unentgeltliche Institutionsnutzung jederzeit in Textform beenden.

17.3 CONUS kann die unentgeltliche Institutionsnutzung mit einer Frist von 30 Tagen beenden.

17.4 Das Recht zur sofortigen Sperrung oder außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

17.5 Ein wichtiger Grund liegt insbesondere bei Sicherheitsrisiken, Rechtsverstößen, unberechtigter Nutzung, wiederholter Eingabe von Patientendaten, falschen Berechtigungsangaben oder unzumutbarem Betriebsaufwand vor.

17.6 Persönliche Nutzerkonten können nach Ende der Institutionszuordnung als individuelle Konten fortbestehen, soweit keine institutionellen Inhalte oder Rechte fortbestehen.

18. Änderungen

18.1 CONUS kann diese Bedingungen bei Änderungen von Gesetzen, Rechtsprechung, Behördenpraxis, Technik, Sicherheitsanforderungen, Funktionen oder Geschäftsmodell anpassen.

18.2 Wesentliche Änderungen werden mindestens 30 Tage vor ihrem Inkrafttreten mitgeteilt, soweit keine kurzfristige Änderung aus rechtlichen oder sicherheitsbezogenen Gründen erforderlich ist.

18.3 Soweit eine ausdrückliche Zustimmung erforderlich ist, holt CONUS diese ein. CONUS kann die Fortsetzung der Institutionsnutzung von der Zustimmung zur aktualisierten Fassung abhängig machen.

18.4 Änderungen gelten nicht rückwirkend.

19. Rechtswahl, Gerichtsstand und Schlussbestimmungen

19.1 Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

19.2 Ausschließlicher Gerichtsstand ist der Sitz von CONUS, soweit die Institution Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

19.3 Sollte eine Bestimmung unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Teil B. Integrierte Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO

20. Gegenstand und Dauer der Auftragsverarbeitung

20.1 CONUS verarbeitet im Auftrag der Institution personenbezogene Daten, soweit dies zur Speicherung, Verwaltung, Indexierung und Bereitstellung institutioneller Inhalte, zur Verwaltung initialer Einladungen oder zur Erbringung ausdrücklich vereinbarter institutioneller Funktionen erforderlich ist.

20.2 Die Verarbeitung beginnt mit der Übermittlung der betreffenden Daten und endet mit ihrer Rückgabe, Löschung oder Anonymisierung nach Vertragsende.

21. Art, Zweck und Umfang

21.1 Die Verarbeitung umfasst Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Abrufen, Abfragen, Verwenden, Übermitteln an berechtigte Nutzer, Einschränken und Löschen.

21.2 Zwecke sind die technische Bereitstellung des Institutionsbereichs, rollenbasierte Anzeige, Suche, Indexierung, Embeddings, Support, Sicherheit, Wartung und Fehlerbehebung.

21.3 Eine Verarbeitung für eigene fachliche Zwecke von CONUS oder für institutionsübergreifendes Modelltraining findet nicht statt.

22. Kategorien betroffener Personen und Daten

22.1 Betroffene Personen sind insbesondere Beschäftigte, Beauftragte, Administratoren und Ansprechpartner der Institution.

22.2 Datenarten können Namen, dienstliche E-Mail-Adressen, Rollen, Abteilungen, institutionelle Ansprechpartner, Einladungsstatus und in institutionellen Dokumenten enthaltene personenbezogene Angaben umfassen.

22.3 Patientendaten und personenbezogene Gesundheitsdaten sind nicht Gegenstand der vereinbarten Verarbeitung und dürfen nicht übermittelt werden.

23. Weisungen

23.1 Die dokumentierten Weisungen ergeben sich aus Teil A, der Nutzung der Administrationsfunktionen und ergänzenden Weisungen in Textform.

23.2 CONUS informiert die Institution, wenn eine Weisung nach Auffassung von CONUS gegen Datenschutzrecht verstößt. CONUS darf die Ausführung bis zur Klärung aussetzen.

23.3 Zusätzliche Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können nach Aufwand vergütet werden.

24. Pflichten von CONUS

24.1 CONUS verarbeitet Auftragsdaten nur auf dokumentierte Weisung, soweit keine gesetzliche Verpflichtung besteht.

24.2 CONUS verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit.

24.3 CONUS setzt angemessene technische und organisatorische Maßnahmen ein. Hierzu gehören insbesondere Rollen- und Berechtigungskonzepte, Verschlüsselung bei Übertragung, Mandantentrennung, Datensicherung, Protokollierung privilegierter Zugriffe, Patch- und Schwachstellenmanagement und Verfahren zur Behandlung von Sicherheitsvorfällen.

24.4 CONUS unterstützt die Institution unter Berücksichtigung der Art der Verarbeitung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen und Meldepflichten, soweit die betreffenden Daten im Verantwortungsbereich der Institution verarbeitet werden.

24.5 CONUS informiert die Institution unverzüglich über eine Verletzung des Schutzes von Auftragsdaten, sobald CONUS Kenntnis erlangt und soweit eine Meldepflicht oder ein wesentliches Risiko bestehen kann.

25. Unterauftragsverarbeiter

25.1 Die Institution erteilt CONUS eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.

25.2 Die aktuelle Liste der Unterauftragsverarbeiter ergibt sich aus der Datenschutzerklärung oder einer dort verlinkten aktuellen Dienstleisterliste.

25.3 CONUS informiert über wesentliche Änderungen. Die Institution kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

25.4 Kann keine zumutbare Lösung gefunden werden, darf CONUS die betroffene Funktion beenden oder die Institution kann den Institutionsvertrag beenden.

25.5 CONUS verpflichtet Unterauftragsverarbeiter vertraglich mindestens zu den nach Artikel 28 DSGVO erforderlichen Pflichten.

26. Drittstaatenübermittlungen

26.1 Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Artikel 44 ff. DSGVO erfüllt sind.

26.2 CONUS verwendet insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln und erforderliche ergänzende technische und organisatorische Schutzmaßnahmen.

26.3 Soweit die Institution CONUS Intelligence mit institutionellen Inhalten aktiviert, können für die angeforderte Verarbeitung erforderliche Inhalte durch einzelne in der Datenschutzerklärung benannte KI-Dienstleister außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Regional in der Europäischen Union betriebene Infrastruktur- und Dokumentendienste bleiben hiervon unberührt.

27. Nachweise und Prüfungen

27.1 CONUS stellt der Institution auf Anfrage angemessene Informationen zum Nachweis der Einhaltung zur Verfügung. CONUS kann Zertifizierungen, Prüfberichte, TOM-Dokumentationen und standardisierte Auskünfte verwenden.

27.2 Vor-Ort-Prüfungen sind nur zulässig, wenn dokumentenbasierte Nachweise nicht ausreichen, ein konkreter Anlass besteht oder eine Aufsichtsbehörde dies verlangt.

27.3 Prüfungen sind rechtzeitig anzukündigen, auf erforderliche Bereiche zu beschränken und dürfen Geschäftsbetrieb, Sicherheitsinteressen, Geschäftsgeheimnisse und Rechte anderer Kunden nicht unangemessen beeinträchtigen.

27.4 Kosten anlassloser oder über den Standardnachweis hinausgehender Prüfungen trägt die Institution, soweit dies gesetzlich zulässig ist.

28. Rückgabe und Löschung

28.1 Nach Ende der Auftragsverarbeitung löscht CONUS die Auftragsdaten innerhalb von 30 Tagen aus produktiven Systemen, sofern keine Rückgabe vereinbart oder eine gesetzliche Aufbewahrung erforderlich ist.

28.2 Sicherungskopien werden spätestens innerhalb von 90 Tagen überschrieben. Während der technischen Nachlaufzeit werden sie nicht produktiv genutzt.

28.3 Anonymisierte Daten, die keinen Personen- oder Institutionsbezug mehr ermöglichen, sind keine Auftragsdaten und bleiben unberührt.

29. Verantwortlichkeit der Institution

29.1 Die Institution ist für Rechtmäßigkeit, Transparenz, Zweckfestlegung, Datenminimierung und Richtigkeit der Auftragsdaten verantwortlich.

29.2 Die Institution stellt sicher, dass keine Patientendaten übermittelt werden und ihre Administratoren rechtmäßig handeln.

29.3 Die Institution informiert CONUS unverzüglich, wenn sie eine unzulässige Übermittlung oder Verarbeitung erkennt.