Datentransfervereinbarung

Vereinbarung zur Erfüllung der Pflichten nach Art. 26 DSGVO 

bei Vorliegen einer gemeinsamen Verantwortlichkeit  

zwischen der 

Carl von Ossietzky Universität Oldenburg 

vertreten durch den Präsidenten Prof. Dr. Ralph Bruder 

Ammerländer Heerstr. 114-118 

26129 Oldenburg 

Ausführende Stelle: Fakultät VI, Department für Humanmedizin 

Verantwortlicher Hochschullehrer: Prof. Dr. Dirk Weyhe 

– im Folgenden auch „UOL“ oder „Verantwortlicher A“ genannt – 

und 

Universität zu Lübeck 

vertreten durch die Präsidentin Frau Professor Dr. Gabriele Gillesen-Kaesbach  

Ratzeburger Allee 160 

23562 Lübeck  

Ausführende Stelle: NWG MoveGroup, Institut für Medizinische Informatik 

– im Folgenden auch „MOVE“ oder „Verantwortlicher B“ genannt – 

und 

ASCORA GmbH 

Birkenallee 43 

27777 Ganderkesee 

– im Folgenden auch „ASCORA“ oder „Verantwortlicher C“ genannt – 

und 

ProLog, Therapie- und Lernmittel GmbH 

Olpener Str. 59 

51103 Köln  

– im Folgenden auch „PROLOG“ oder „Verantwortlicher D“ genannt – 

alle gemeinsam auch „Parteien“ oder „Vertragsparteien“ genannt – 

​ Präambel: 

Die Parteien haben einen Kooperationsvertrag (Fassung 23.11.2023) geschlossen (im Folgenden kurz: „Hauptvertrag“).  

Dieser Hauptvertrag regelt die Zusammenarbeit der Parteien, u.a. in Zusammenhang mit der gemeinsamen Durchführung des vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Verbundvorhabens „LAOLA – Interaktive Therapieunterstützung mittels KI-basierter Mund-, Körperhaltungs- und Spracherkennung am Beispiel der Therapie von Stimmstörungen“.  

Für verschiedene dabei erfolgende Verarbeitungen personenbezogener Daten sind die Parteien „gemeinsame Verantwortliche“ im Sinne von Art. 4 Abs. 7, Art. 26 DSGVO. 

Mit der hiesigen Vereinbarung (im Folgenden: „Vereinbarung“) kommen die Parteien der Pflicht und den dazugehörigen Regelungen im Innenverhältnis zwischen ihnen aus Art. 26 Abs. 1 S. 2 DSGVO nach. 

Regelungen, die die datenschutzrechtliche Zulässigkeit der Datenverarbeitung als solche betreffen, sind dagegen nicht Inhalt dieser Vereinbarung und bleiben dem Hauptvertrag oder anderen Vereinbarungen zum Datenschutz zwischen den Parteien vorbehalten.  

Dies vorausgeschickt vereinbarten die Parteien Folgendes:  

§ 1 Regelungsgegenstand 

(1) Mit der vorliegenden Vereinbarung regeln die Parteien für die Verarbeitungen, für die sie nach Art. 26 DSGVO gemeinsam Verantwortliche sind, wechselseitig ihre Rechte und Pflichten. Dazu legen sie in Form der Vereinbarung gemäß Art. 26 Abs. 1 Satz 2 DSGVO Form ebenfalls fest, wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Personen angeht, und wer welchen Informationspflichten gemäß den Art. 13 und 14 nachkommt. 

(2) Diese Vereinbarung mit ihren Anlagen begründet selbst keine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DSGVO zwischen den Parteien, sondern setzt diese aufgrund anderweitiger Vereinbarungen oder Konstellationen zwischen den Parteien als gegeben voraus. Insoweit ist diese Vereinbarung mit ihren Anlagen rein deklaratorisch, um die bei einer bestehenden gemeinsamen Verantwortlichkeit aus Art. 26 DSGVO folgenden Pflichten zu erfüllen. 

(3) Die materiellrechtliche, datenschutzrechtliche Zulässigkeit der dieser Vereinbarung unterfallenden Verarbeitungstätigkeit, insbesondere eine zwischen den Parteien erfolgende Übermittlung von personenbezogenen Daten (wie zum Beispiel das Vorliegen einer Erlaubnis nach Art. 6 DSGVO, etc.), beurteilt sich nicht nach der Vereinbarung, sondern wird vorausgesetzt. Insofern gewährleistet jede Partei die Einhaltung der gesetzlichen Bestimmungen, insbesondere die Rechtmäßigkeit der durch sie auch im Rahmen der gemeinsamen Verantwortlichkeit durchgeführten Datenverarbeitungen. 

Zur datenschutzrechtlichen Zulässigkeit können die Parteien anderweitig Absprachen und Regelungen treffen, die neben der Vereinbarung stehen. Die Vereinbarung entfaltet lediglich insoweit Vorrang, soweit es um die Erfüllung der sich aus Art. 26 DSGVO ergebenden Pflichten geht.  

(4) Die Vereinbarung regelt ausschließlich das Verhältnis der Parteien untereinander als gemeinsam Verantwortliche im Sinne der DSGVO. Über die DSGVO hinausgehende Verpflichtungen der Parteien gegenüber Dritten (insbesondere gegenüber den betroffenen Personen) werden durch diese Vereinbarung nicht begründet. Die Vereinbarung ist von den Parteien weder als echter noch als unechter Vertrag zugunsten Dritter oder als Vertrag mit Schutzwirkung für Dritte gewollt und kann nicht als solcher ausgelegt werden. 

(5) Diese Vereinbarung begründet betreffend die Datenverarbeitung, bezüglich derer die Parteien gemeinsame Verantwortliche sind, keine gesellschaftsrechtliche Verbundenheit zwischen den Parteien, insbesondere nicht in der Form einer Gesellschaft bürgerlichen Rechts.  

§ 2 Festlegung der Zuständigkeiten/ Verteilung der Verpflichtungen nach DSGVO 

  1. Die  
  • unter diese Vereinbarung fallenden Verarbeitungstätigkeiten, bei denen die Parteien gemeinsam Verantwortliche sind, und 
  • die jeweilige Festlegung, wer von den Parteien dabei jeweils welche Verpflichtung gemäß der DSGVO erfüllt, 

ergeben sich aus Anlage 1 zu dieser Vereinbarung.  

Für nicht in Anlage 1 genannte Datenverarbeitungen ist jede Vertragspartei eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO. 

Soweit sich Änderungen der in der Anlage 1 beschriebenen Datenverarbeitungen ergeben, haben die Parteien die Anlage 1 unverzüglich anzupassen und die geänderte Anlage als neue und die alte Anlage ersetzende Anlage zum Vertrag zu verwenden. 

Aus Nachweisgründen sind die alten Anlagen mit einem entsprechenden klaren Änderungsvermerk („Geändert am …“) zu kennzeichnen und zusammen mit dieser Vereinbarung aufzubewahren.  

(2) Ungeachtet der Regelungen dieser Vereinbarung kann eine betroffene Person gemäß Art. 26 Abs. 3 DSGVO ihre gegebenenfalls nach der DSGVO zustehenden Rechte bei und gegenüber jedem einzelnen der gemeinsam Verantwortlichen geltend machen. Auf die nachfolgenden Regelungen dieser Vereinbarung zum Innenverhältnis der Parteien und den dortigen Regelungen zur Bearbeitung einer solchen Anfrage wird verwiesen.  

§ 3 Zurverfügungstellung des Wesentlichen der Vereinbarung / Anlaufstelle 

(1) Anlage 1 ist wesentlicher Bestandteil der Vereinbarung. Die Parteien sind sich einig, dass Anlage 1 zugleich das „Wesentliche“ der Vereinbarung i.S.v. Art. 26 Abs. 2 Satz 2 DSGVO enthält. 

(2) In Anlage 1 ist die Partei bestimmt, die die Verpflichtung nach Art. 26 Abs. 2 S. 2 DSGVO erfüllen muss, das Wesentliche dieser Vereinbarung den betroffenen Personen zur Verfügung zu stellen. Die in Anlage 1 bestimmte Partei wird den betroffenen Personen insofern die Anlage 1 in der jeweils aktuellen und gültigen Version zur Verfügung stellen. 

Dies geschieht wie in Anlage 1 festgelegt.  

  1. Soweit eine betroffene Person nach Art. 26 Abs. 2 S. 2 DSGVO das Wesentliche der Vereinbarung (nochmals) zur Verfügung gestellt wünscht, darf die angefragte Vertragspartei zunächst nur die Anlage 1 zur Verfügung stellen. 

Die Zurverfügungstellung weiterer oder anderer Informationen betreffend die gemeinsame Verantwortlichkeit im Sinne von Art. 26 DSGVO ist vorab mit den jeweils anderen Parteien abzustimmen. 

  1. Als Anlaufstelle für die betroffenen Personen i.S.v. Art. 26 Abs. 1 Satz 3 DSGVO wird die insofern in Anlage 1 bestimmte Partei nach außen angegeben. 

Nimmt eine betroffene Person mit der Partei, die Anlaufstelle ist, Kontakt auf, richtet sich das weitere Vorgehen nach den Regelungen der Vereinbarung, insbesondere den Ziffern 4 bis 6. 

§4 Wechselseitige Unterstützungs-, Informations- und Abstimmungspflichten 

  1. Grundsatz 

Soweit eine der Parteien gemäß Anlage 1 eine Verpflichtung ganz oder teilweise übernommen hat, gewähren die jeweils anderen Partei bei der Erfüllung der Pflicht unentgeltlich angemessene Unterstützung (z.B. bei Durchführung einer Datenschutzfolgenabschätzung, Erfüllung eines Auskunftsanspruchs, Bereitstellung von Informationen für die Beschreibung der Verarbeitungstätigkeiten nach Art. 30 DSGVO, etc.).  

Weitere Details dazu finden sich in den folgenden Regelungen. 

(2) Verlangen durch Dritte oder staatliche Stellen 

1. Sollte sich  

  • ein Dritter hinsichtlich der Geltendmachung seiner Betroffenenrechten oder  
  • eine öffentliche und/ oder staatliche Stelle, wie zum Beispiel eine Aufsichtsbehörde für den Datenschutz oder eine Ermittlungsbehörde (Polizei, Staatsanwaltschaft, etc.) (im Folgenden: „Behörde“),  

an eine der Parteien bezüglich solcher Verarbeitungstätigkeiten wenden, die ausschließlich oder teilweise die unter die Vereinbarung fallenden Verarbeitungstätigkeiten betreffen, oder 

  • werden im Zusammenhang mit den unter diese Vereinbarung fallenden Verarbeitungstätigkeiten gegenüber einer Partei datenschutzrechtliche Ansprüche, wie insbesondere Schadensersatzansprüche i.S.v. Art. 82 DSGVO, Geldbußen i.S.v. Art. 83 DSGVO und/oder andere Sanktionen i.S.v. Art. 84 DSGVO angedroht oder geltend gemacht, 

(für alle drei Varianten jeweils im Folgenden: „Verlangen“) 

so informiert diese Partei die anderen Parteien über dieses Verlangen unverzüglich in Textform und leitet insbesondere eine Kopie des Verlangens weiter. Die Information ist zu senden an die jeweils von den Parteien bestimmten und in Anlage 1 genannten Datenschutzbeauftragten.  

2. Die Bearbeitung und weitere Kommunikation übernimmt diejenige Partei, der nach in Anlage 1 die Zuständigkeit dafür zugewiesen ist („bearbeitende Partei“). Die bearbeitende Partei ist immer diejenige, auf deren Seite der vermeintliche Verstoß begangen worden ist (siehe Anlage 1, II). 

Die anderen Parteien unterstützen die bearbeitende Partei dabei auf Aufforderung im erforderlichen und angemessenen Umfang. Sie sind insbesondere verpflichtet, der bearbeitenden Partei die zur Bearbeitung des Verlangens notwendigen Informationen aus ihren eigenen Bereichen zur Verfügung zu stellen, der ihren Teil der Datenverarbeitung betrifft. 

Findet sich in Anlage 1 keine Zuständigkeitszuweisung, beginnt die Partei, die der Adressat ist, mit der Bearbeitung und informiert unverzüglich die anderen Parteien. 

3. Die bearbeitende Partei wird die anderen Parteien über den Status der Bearbeitung und Kommunikation von sich aus informiert halten sowie bei der Außen-Kommunikation auf die gemeinsame Verantwortlichkeit mit den anderen Vertragsparteien hinweisen. 

Es gelten ergänzend folgende Sonderregelungen: 

a. Inhaltliche Stellungnahmen sowie rechtlich verbindliche Erklärungen 

Ohne vorherige Abstimmung mit den jeweils anderen Parteien wird die betroffene Partei jedoch in den Fällen der Ziffer 4.2.1 keine inhaltlichen Stellungnahmen oder rechtlich verbindliche Erklärungen gegenüber Dritten oder Behörden abgeben, insbesondere kein Anerkenntnis oder eine vergleichbare Erklärung. 

b. Löschverlangen 

Betrifft ein Verlangen eine Löschung von Daten (etwa im Falle der Geltendmachung des Betroffenenrechts nach Art. 17 DSGVO), hat die bearbeitende Partei die anderen Parteien darüber gesondert zu informieren. Die jeweils anderen Parteien können binnen 2 Wochen der Löschung aus berechtigtem Grund widersprechen, etwa sofern sie eine gesetzliche Aufbewahrungspflicht trifft. Eine Löschung hat dann bis zur gemeinsamen Klärung des Vorgehens zu unterbleiben.  

(3) Verletzung des Schutzes personenbezogener Daten 

1. Hat eine Verletzung des Schutzes personenbezogener Daten i.S.v. Art. 4 Nr. 12 DSGVO auf Seiten einer Partei Auswirkungen auf die dieser Vereinbarung unterfallenden Daten oder besteht dazu ein begründeter Verdacht, hat diese Partei die anderen Parteien nach Bekanntwerden unverzüglich, spätestens innerhalb von 24 Stunden in Textform darüber zu informieren.  

Dazu hat sie – soweit schon möglich – insbesondere Informationen zu den in Art. 33 Abs. 3 DSGVO genannten Punkten mitzuliefern. 

2. Die Parteien haben sich im Anschluss abzustimmen, ob ein meldepflichtiger Vorfall (Art. 33, 34 DSGVO) vorliegt.  

Im Zweifel entscheidet diejenige Partei, bei der die Verletzung aufgetreten ist/ der begründete Verdacht besteht.  

3. Die Bearbeitung und weitere Kommunikation übernimmt die bearbeitende Partei . Die anderen Parteien („unterstützende Parteien“) unterstützen die bearbeitende Partei dabei auf Aufforderung im angemessenen Umfang.  

4. Die bearbeitende Partei wird die unterstützenden Parteien über den Status der Bearbeitung von sich aus informiert halten sowie bei der Außen-Kommunikation auf die gemeinsame Verantwortlichkeit mit den anderen Vertragsparteien hinweisen 

(4) Unregelmäßigkeiten bei der jeweiligen Datenverarbeitung 

Soweit eine Partei bei der Prüfung solcher Verarbeitungstätigkeiten (inkl. Auftragsergebnisse), die der Vereinbarung unterliegen, Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt, hat sie die anderen Parteien darüber unverzüglich, spätestens innerhalb von 24 Stunden und vollständig in Textform zu informieren.  

(5) Auftragsverarbeitung 

Den Vertragsparteien ist es gestattet, Auftragsverarbeiter hinzuziehen. Vor der vorgesehenen Hinzuziehung eines Auftragsverarbeiters sind die jeweils anderen Vertragsparteien schriftlich zu informieren. Die jeweilige Vertragspartei schließt die notwendigen Vereinbarungen mit dem Auftragsverarbeiter gem. Art. 28 Abs. 4 DSGVO ab. Der Verantwortliche, welcher einen Auftragsverarbeiter hinzuzieht, haftet für die Einhaltung der Datenschutzpflichten des Auftragsverarbeiters. 

(6) Maßnahmen zur Datensicherheit  

Die Vertragsparteien gewährleisten, alle zur Sicherheit führenden Maßnahmen gemäß Art. 32 DSGVO ergriffen zu haben und diese stets auf dem aktuellen Stand der Technik zu halten. Bei Veränderungen des Schutzniveaus sind die anderen Vertragspartner zu informieren. 

§ 5 Regelungen zur Gesamtschuld im Innenverhältnis  

Nach Art. 26 Abs. 3 DSGVO und Art. 82 Abs. 4 DSGVO haftet im Falle von Schadensersatzansprüchen einer betroffenen Person jeder der gemeinsam Verantwortlichen für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist. Hat nach den vorstehenden Vorschriften eine der Parteien der betroffenen Person Schadensersatz für den erlittenen Schaden gezahlt, so ist diese Vertragspartei gemäß Art. 82 Abs. 5 DSGVO berechtigt, von den anderen Vertragspartei den Teil des Schadensersatzes zurückzufordern, der ihrem jeweiligen Anteil an der Verantwortung für den Schaden entspricht.   

Ergänzend gelten die Regelungen des BGB zur Gesamtschuld. 

§ 6 Inkrafttreten und Vertragsbeendigung 

  1. Diese Vereinbarung gilt ab Unterzeichnung durch die Parteien. 

Diese Vereinbarung endet automatisch, wenn der Hauptvertrag endet, ohne dass es einer Kündigung bedarf.  

  1. Diese Vereinbarung kann von den Parteien nur aus wichtigem Grund gekündigt werden.  Ein wichtiger Grund liegt insbesondere bei einem schwerwiegenden oder fortgesetzten Verstoß gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vor.  

Kündigungen bedürfen zu ihrer Wirksamkeit der Schriftform. 

(3) Die Regelungen der §§4, 5 und 7 dieser Vereinbarung behalten auch nach der Kündigung bzw. der sonstigen Beendigung dieser Vereinbarung ihre Wirksamkeit. 

(4) Dokumentationen im Sinne von Art. 5 Abs. 2 DSGVO, die dieser Vereinbarung unterfallende Datenverarbeitungen betreffen und dem Nachweis deren Rechtmäßigkeit und der Einhaltung der DSGVO oder anderen datenschutzrechtlichen Vorgaben dienen, bewahrt jede Partei über das Vertragsende hinaus und zwar mindestens zwanzig (20) Jahre auf.  

Die jeweils anderen Parteien erhalten darauf Zugriff, soweit die Dokumentation eine Datenverarbeitung betrifft, für die nach Anlage 1 auch diese jeweils anderen Parteien ein gemeinsamer Verantwortlicher sind.  

§ 7 Schlussbestimmungen 

(1) Wird eine Partei aufgrund der Vereinbarung gegenüber Dritten (etwa bei der Bearbeitung von Betroffenenanfragen) und/ oder gegenüber den anderen Parteien tätig, erfolgt dies jeweils unentgeltlich, es sei denn, im Hauptvertrag ist ausdrücklich etwas Anderes geregelt.  

(2) Alle Änderungen und Ergänzungen dieser Vereinbarung sowie der Anlagen haben schriftlich zu erfolgen. Dies gilt auch für eine Vereinbarung, die das hier vereinbarte Schriftformerfordernis ändert oder aufhebt. Schriftform im Sinne dieser Vereinbarung meint die gesetzliche Schriftform i.S.v. § 126 BGB oder die elektronische Form i.S.v. § 126a BGB. Textform im Sinne dieser Vereinbarung meint die Textform nach § 126b BGB. 

(3) Soweit in dieser Vereinbarung nichts Abweichendes geregelt ist, gelten die Bestimmungen des Hauptvertrags im Verhältnis zwischen den Parteien auch für diese Vereinbarung und im Übrigen unverändert fort. 

(4) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so berührt dies nicht die Gültigkeit der übrigen Bestimmungen dieser Vereinbarung. Dasselbe gilt, wenn diese Vereinbarung eine Lücke aufweist. In einem jeden solchen Fall sind die Parteien verpflichtet, anstelle der fehlenden, unwirksamen oder undurchführbaren Bestimmung eine gültige Bestimmung zu vereinbaren, die dem mit dieser Vereinbarung verfolgten wirtschaftlichen Zweck möglichst nahekommt. 

  1. Auf diese Vereinbarung und ihre Durchführung finden die Regelungen der DSGVO, ergänzend ausschließlich deutsches Recht unter Ausschluss des UN-Kaufrechts Anwendung.  

§ 8 Anlagen 

Anlage 1 Darstellung des Wesentlichen der Vereinbarung und Zuständigkeiten 

ANLAGE 1 

Vereinbarung zur gemeinsamen Verantwortlichkeit – das „Wesentliche“ der Vereinbarung 

  1. Gemeinsame Anlaufstelle nach Art. 26 Abs. 1 S. 3 DSGVO 

Carl von Ossietzky Universität Oldenburg 

vertreten durch den Präsidenten Prof. Dr. Ralph Bruder 

Ammerländer Heerstr. 114-118 

26129 Oldenburg 

Ausführende Stelle: Fakultät VI, Department für Humanmedizin 

Verantwortlicher Hochschullehrer: Prof. Dr. Dirk Weyhe 

Ansprechpartnerin: Dr. Verena Uslar 

E-Mail: [email protected]Telefon: 0441 229-1490 

  1. Welcher Partner ist für welche Verarbeitungen mitverantwortlich im Sinne von Art. 26 Abs. 1 DSGVO? 
 Verarbeitung Datenerhebung  Verarbeitung  RGB-D Videos Verarbeitung  Audiorecordings Stimme Verarbeitung Klinische Parameter und Entscheidungsunterstützung  Verarbeitung Namen, Adressen, E-Mail-Adressen 
Kurzbeschreibung der Verarbeitung Datenerhebung der Ton-, Bild- und RGB-D Videoaufnahmen sowie der Medizinischen Fragebögen und sonst. Daten auf dem Smartphone mittels LAOLA App auf Smartdevice und Datentransfer durch UOL, MOVE und ASCORA auf die durch ASCORA betriebenen LAOLA-Datenserver. Die erhobenen RGB-D Bild- und Videodaten, Bildannotationen und Patientendaten werden jeweils über nach dem Stand der Technik verschlüsselte Verbindung vom Datenserver von ASCORA für die Verarbeitung auf Datenserver von MOVE  übertragen: Auf Basis der Daten werden durch MOVE entsprechend Vorhaben Verfahren zur Analyse (z.B. Keypointdetektion und Facemeshberechnung) der physiologischen Bewegungsmerkmale extrahiert und auf dieser Basis die Korrektheit der Keypunkte  zu Referenz- Annotationen ermittelt, sowie klinisch relevante Parameter aus diesen extrahiert und validiert. Hierfür annotiert UOL vorab die Daten auf dem ASCORA Datenserver oder mittels standalone Software und beteiligt sich an der klinischen Interpretation der Ergebnisse. MOVE koordiniert die Erstellung des OpenAccess Datensatzes. Die mit der LAOLA-App auf Smartdevices erhobenen und an den Datenserver von ASCORA übermittelten Audio-Stimmdaten (der Übungsdurchführung) werden jeweils über nach dem Stand der Technik verschlüsselte Verbindung vom Datenserver von ASCORA für die Verarbeitung auf Datenserver von PROLOG, MOVE und UOL übertragen: Auf Basis der Daten werden durch alle drei gemeinsam Verfahren zur Analyse (z.B. Behauchheit, Heiserkeit, Rauhheit, Lautstärke etc. ) extrahiert und mit Referenzannotationen verglichen. Ebenso werden klinisch relevante Parameter aus diesen extrahiert und validiert. Hierfür annotiert UOL vorab die Daten und beteiligt sich an der klinischen Interpretation der Ergebnisse. Prozessierung der Datensätze auf Rechnern von MOVE zur Entwicklung und Erprobung von Entscheidungsunterstützungs-algorithmen zur Trainingsauswahl basierend auf den Fragebogendaten, und den aus der Verarbeitung RGB-D Videos und der Verarbeitung der Audiorecordings Stimme resultierenden interpretierten Daten. UOL und PROLOG beteiligen sich hinsichtlich der Auswahl der Indikatoren für die Eignung bestimmter Trainings und den zugehörigen Indikatoren bzw. bei der Score-Berechnung. Erhebung und Speicherung von E-Mail-Adressen und Namen der Nutzer*innen der LAOLA App auf dem Datenserver von ASCORA.  
Zweck der (Daten-)Verarbeitung Datentransfer Datentransfer und Datenanalyse im Sinne der Forschungsaufgabe RGB-D Videoanalyse zur Gesichts-Körperspannung und korrekten Übungsausführung Erstellung eines OpenAccess Datensatzes Datentransfer und Datenanalyse im Sinne der Forschungsaufgabe Stimmklang Analyse Erstellung eines OpenAccess Datensatzes Datentransfer und Datenanalyse im Sinne der Forschungsaufgabe Entscheidungsunterstützung Trainingsauswahl Erstellung eines OpenAccess Datensatzes   Identifikation von Patient*innen durch Therapeut*innen Kontaktierung für weitere Aufnahmen und Studien 
Verantwortliche: Wer sind für diese Verarbeitungen jeweils die gemeinsamen Verantwortlichen? 
UOL   X  X  X  
MOVE   
ASCORA  X   X  X   
PROLOG  X    
Pflichten: Für welche der folgenden Pflichten ist bei welcher Verarbeitung welcher Verantwortliche zuständig? 
Art. 13 Informationspflicht bei Erhebung personenbezogener Daten. UOL, MOVE UOL, MOVE UOL, MOVE UOL, MOVE  UOL, MOVE 
Art. 14 Informationspflicht, wenn Daten nicht bei der betroffenen Person erhoben wurden. UOL, MOVE, ASCORA, PROLOG UOL, MOVE UOL, MOVE, PROLOG UOL, MOVE UOL, ASCORA, PROLOG  
Art. 15 Bearbeitung von Auskunftsverlangen ASCORA ASCORA, UOL, MOVE UOL, MOVE, PROLOG, ASCORA  MOVE ASCORA, PROLOG 
Art. 16 Bearbeitung von Berichtigungsanfragen. ASCORA ASCORA, MOVE, UOL PROLOG, ASCORA MOVE ASCORA, PROLOG  
Art. 17 o. 18 Bearbeitungen von Löschbegehren oder Beschränkung der Verarbeitung und Art. 19 Mitteilung der Löschpflicht. ASCORA MOVE, UOL,  PROLOG, UOL,  UOL, MOVE, ASCORA,  ASCORA, PROLOG 
Art. 20 Abwicklung von Herausgabeverlangen (Datenportabilität). ASCORA ASCORA, MOVE ASCORA, PROLOG MOVE ASCORA, PROLOG 
Art. 21 Bearbeitung von Widersprüchen. ASCORA ASCORA PROLOG , ASCORA,  PROLOG ASCORA, PROLOG 
Art. 24 Abs. 1 i.V. m. Art. 32 Festlegung der techn.-org. Maßnahmen nach Risikoabschätzung und ggf. Datenschutzfolgeabschätzung (Art. 35) und 
Konsultation einer Aufsichtsbehörde/ Übermittlung der notwendigen 
Informationen (Art. 36 (3)). 
ASCORA ASCORA PROLOG PROLOG ASCORA, PROLOG 
Art. 24 Abs. 1 Dokumentation der Auswahl der techn.-org. Maßnahmen (als Nachweis). ASCORA, PROLOG ASCORA, MOVE ASCORA, PROLOG ASCORA, MOVE ASCORA, PROLOG  
Art. 24 Abs. 1 Überprüfung und Aktualisierung der Maßnahmen ASCORA, PROLOG ASCORA, MOVE ASCORA, PROLOG ASCORA, MOVE ASCORA, PROLOG  
Art. 26 – Bereitstellung des Wesentlichen der Vereinbarung der gemeinsamen Verantwortlichen ASCORA ASCORA ASCORA ASCORA  ASCORA 
Art. 28 Einschaltung von Auftragsverarbeitern bzw. Unterauftragsverarbeitern und deren Überprüfung. ASCORA ASCORA, MOVE ASCORA, PROLOG ASCORA, PROLOG ASCORA, PROLOG 
Art. 30 Führung des Verzeichnisses der Verarbeitungstätigkeiten. ASCORA MOVE ASCORA MOVE ASCORA, PROLOG 
Art. 33, 34 Prozess bei meldepflichtigen Datenpannen. ASCORA ASCORA ASCORA ASCORA, PROLOG ASCORA, PROLOG 
Art. 37 Benennung eines Datenschutzbeauftragten. UOL, MOVE, ASCORA, PROLOG UOL, MOVE, ASCORA UOL, MOVE, ASCORA, PROLOG UOL, MOVE, ASCORA, PROLOG ASCORA, PROLOG 
  1. Auflistung der zuständigen Datenschützer 

Datenschutzbeauftragter UOL:  

Ass. iur. Patrick Rüscher 

Tel.: 0441 798-4196 

E-Mail: [email protected] 

Postanschrift 

Carl von Ossietzky Universität Oldenburg 

Der Datenschutzbeauftragte 

Ammerländer Heerstraße 114-118 

26129 Oldenburg 

Datenschutzbeauftragter MOVE:  

x-tention Informationstechnologie GmbH 
Margot-Becke-Ring 37 
69124 Heidelberg 
Tel.: +49 451 3101 1903 
E-Mail: [email protected] 

Datenschutzbeauftragter ASCORA:  

Rafael Karbowski,   

Ascora GmbH,  

Birkenallee 43,  

27777 Ganderkesee 

E-Mail: [email protected] 

Datenschutzbeauftragter PROLOG:  

ProLog, Therapie- und Lernmittel GmbH 
Oliver Schmid 
Olpener Str. 59 
51103 Köln 
Tel.: +49 221 66091 1932 

  1. Art der Bereitstellung  

Die hiesigen Informationen als das „Wesentliche“ der Vereinbarung zwischen den Parteien wird den Betroffenen wie folgt zur Verfügung gestellt:  

  1. Über eine Projektwebseite.  
  1. Auf Probandenwunsch als Ausdruck und oder per E-Mail.