Nutzungsbedingungen

zur Software-Lösung und Datenbank für ein MIR-Spektrometer der Firma WiredSense GmbH, Luruper Hauptstraße 1, 22547 Hamburg - nachstehend: WiredSense -
(Stand: 10.09.2025)

1. Vorbemerkung

1.1 WiredSense bietet Apotheken in Kooperation mit der WEPA Apothekenbedarf GmbH & Co. KG, Hillscheid, das MIR-Spektrometer Sweeb an.

1.2 Das MIR-Spektrometer unterstützt Apotheken bei der Überprüfung der Zusammensetzung von selbst in der Apotheke hergestellten Rezepturen bzw. deren Ausgangsstoffen.

1.3 Zur Durchführung der Identitätsprüfung greift das MIR-Spektrometer mittels einer Software-as-a-Service-Lösung (SaaS) auf eine von WiredSense betriebene Datenbank zu. Der Zugriff auf die Datenbank mittels der von WiredSense zur Verfügung gestellten Software wird durch die nachfolgenden Nutzungsbedingungen geregelt.

2. Vertragsgegenstand

2.1 Gegenstand dieses Vertrages ist

2.2 die auf die Vertragslaufzeit befristete entgeltliche Bereitstellung der SaaS-Lösung (im Nachfolgenden: VERTRAGSSOFTWARE) des MIR-Spektrometers. Der Nutzer erhält zu diesem Zweck an der VERTRAGSSOFTWARE Nutzungsrechte nach Maßgabe von Ziff. 8 dieses Vertrags sowie

2.2.1 das auf die Vertragslaufzeit befristete Recht, auf die von WiredSense betriebene Datenbank (im Nachfolgenden: DATENBANK) in dem aus der Auftragsbestätigung ersichtlichen Umfang mittels der VERTRAGSSOFTWARE zuzugreifen.

2.3 WiredSense ist berechtigt, Dritte als Subunternehmer für die Erbringung der vertraglich geschuldeten Leistungen einzusetzen.

3. Vertragsschluss und Registrierung

3.1 Der Vertrag über die Nutzung von VERTRAGSSOFTWARE und DATENBANK (im Nachfolgenden VERTRAGSSOFTWARE und DATENBANK gemeinsam: ANALYSEPLATTFORM) wird zwischen dem Käufer des MIR-Spektrometers (im Nachfolgenden: VERTRAGSPARTNER) und WiredSense im Rahmen des Erwerbs des MIR-Spektrometers zusätzlich zu dem Kaufvertrag über das MIR-Spektrometer abgeschlossen.

3.2 Zur Nutzung der ANALYSEPLATTFORM hat sich der VERTRAGSPARTNER auf der Internetseite https://sweeb.wiredsense.com/ zu registrieren und hier mindestens ein Administrator-Nutzerkonto zu erstellen. Insgesamt kann der Vertragspartner als Administrator für seine Apotheke bis zu 10 Nutzerkonten erstellen.

3.3 Im Rahmen des Registrierungsprozesses werden alle Nutzerkonten des VERTRAGSPARTNERS einem Team für seine Apotheke zugeordnet. Der VERTRAGSPARTNER kann im Rahmen seines dem Team zugeordneten Administrator-Accounts bis zu 9 weitere Team-Mitglieder (VERTRAGSPARTNER und Team-Mitglieder gemeinsam: NUTZER) unter Angabe von Vorname, Nachname, Nutzernamen und E-Mail Adressen anlegen und zur Nutzung autorisieren.

3.4 Nach erfolgreicher Registrierung erhält der NUTZER eine Bestätigungsemail von WiredSense, um die Anmeldung per Link zu verifizieren. Nach der Verifizierung wird der NUTZER von WiredSense zur Nutzung der ANALYSEPLATTFORM freigeschaltet.

3.5 Nach Freischaltung des Nutzerkontos kann der NUTZER sich mit seinem Benutzernamen und einem selbst vergebenen Passwort einloggen.

3.6 Der NUTZER ist verpflichtet, die Nutzungsdaten nicht an Dritte weiterzugeben. Darüber hinaus ist er verpflichtet, ein möglichst sicheres Passwort zu wählen und die erforderlichen Maßnahmen zu ergreifen, um dieses gegen unbefugten Gebrauch zu schützen. Er hat WiredSense unverzüglich über einen Verlust/Missbrauch der Zugangsdaten zu unterrichten.

3.7 Der NUTZER kann sein Nutzerkonto jederzeit wieder durch WiredSense löschen lassen. Soweit sich die persönlichen Angaben des NUTZERS ändern, kann er diese in seinem Nutzerkonto selbst anpassen.

4. Bereitstellung der VERTRAGSSOFTWARE, Verfügbarkeit, Wartung und Support

4.1 WiredSense stellt die ANALYSEPLATTFORM dadurch zur Verfügung, dass der VERTRAGSPARTNER die Zugangsberechtigung nach Maßgabe der Leistungsbeschreibung gem. Anlage 1 und in dem aus der Auftragsbestätigung ersichtlichen Umfang erhält.

4.2 WiredSense schuldet die Verfügbarkeit der ANALYSEPLATTFORM am Knotenpunkt des jeweiligen Rechenzentrums während der Laufzeit des Vertrages gem. dem als Anlage 2 beigefügten Service-Level-Agreement (SLA). Die Einzelheiten zur Verfügbarkeit sind im SLA geregelt. WiredSense übernimmt für die Verfügbarkeit der ANALYSEPLATTFORM ausdrücklich keine Garantie.

4.3 Die in Ziff. 4.2 genannte Verfügbarkeit besteht nicht für Zeiten, in denen die ANALYSEPLATTFORM aufgrund von technischen oder sonstigen Problemen, die nicht im Einflussbereich von WiredSense liegen, über das Internet nicht zu erreichen ist. Insbesondere dann, wenn ein Ausfall durch folgende Umstände herbeigeführt wird, gilt dies nicht als Downtime (mangelnde Verfügbarkeit):

4.3.1 aufgrund von Faktoren, die außerhalb der Kontrolle von WiredSense liegen (z.B. Naturkatastrophen, Kriege, Terroranschläge, Aufstände, staatliche Maßnahmen, Netz- und Geräteausfall außerhalb der Rechenzentren von WiredSense, u.a. am Standort des NUTZERS oder zwischen dem Standort des NUTZERS und dem Rechenzentrum von WiredSense);

4.3.2 die aus der Nutzung von Diensten, Hard- oder Software hervorgehen, die nicht von WiredSense bereitgestellt wurden, darunter u.a. Probleme im Zusammenhang mit unzureichender Bandbreite oder Software bzw. Diensten von Dritten, wie z.B. Ausfall von Mobilfunknetzen oder Push Diensten, Störungen des Netzwerkes (LAN, Firewall) des Nutzers, Stromabschaltungen an den Standorten des Nutzers;

4.3.3 die durch die Verwendung eines Dienstes verursacht wurden, nachdem WiredSense den NUTZER angewiesen hat, die Verwendung des Dienstes zu ändern und der Nutzer seine Verwendung nicht wie angewiesen abgeändert hat;

4.3.4 die durch Nichterfüllung oder Verletzung der Mitwirkungspflichten des NUTZERS oder nichtautorisierte Handlungen oder Unterlassungen einer erforderlichen Handlung des Nutzers oder seiner Mitarbeiter, Vertreter, Vertragspartner oder Lieferanten oder durch andere Personen verursacht wurden, die sich mit Hilfe der Kennwörter oder Geräte des Nutzers Zugriff auf die VERTRAGSSOFTWARE verschafft haben oder die auf andere Weise von der Nichtbefolgung angemessener Sicherheitsverfahren durch den Nutzer verursacht werden;

4.3.5 Störungsmeldungen durch den NUTZER, obwohl keine Störung vorliegt.

4.4 WiredSense bietet dem NUTZER bei Auftreten von Störungen oder Anwendungsproblemen mit der ANALYSEPLATTFORM einen Support nach Maßgabe des in Anlage 2 niedergelegten SLA an. Der NUTZER ist verpflichtet, vor Einschaltung/Beauftragung des Supports zu prüfen, ob seine Anfrage durch Konsultation, der von WiredSense zur Verfügung gestellten Dokumentationen, beantwortet werden kann.

5. Weiterentwicklung und Update

5.1 WiredSense nimmt nach eigenem Ermessen Aktualisierungen der ANALYSEPLATTFORM und ggf. des zentralen IT-Systems vor. Sofern sich die ANALYSEPLATTFORM ändert, stellt WiredSense dem NUTZER eine aktualisierte Benutzerdokumentation zur Verfügung.

5.2 WiredSense wird die VERTRAGSSOFTWARE regelmäßig warten und den Nutzer über etwaige hiermit verbundene Einschränkungen rechtzeitig informieren. Die Wartung wird regelmäßig außerhalb der üblichen Geschäftszeiten der NUTZER durchgeführt, es sei denn, aufgrund zwingender Gründe muss eine Wartung zu einem anderen Zeitpunkt vorgenommen werden.

5.3 Soweit rechtliche Änderungen (z.B. Gesetzesänderungen) eine Anpassung der ANALYSEPLATTFORM erforderlich machen, um den vertragsgemäßen Gebrauch der VERTRAGSSOFTWARE sicherzustellen, wird WiredSense diese vornehmen. WiredSense ist berechtigt, eine Anpassung der ANALYSEPLATTFORM nach Satz 1 zu verweigern, sollte dies einen unzumutbaren Aufwand für WiredSense darstellen. Soweit die ANALYSEPLATTFORM in diesem Fall für den Nutzer nicht mehr nutzbar ist, steht dem Nutzer ein Recht zur fristlosen Kündigung aus wichtigem Grund nach Ziff. 9.4 zu.

5.4 Soweit Änderungen nach Ziff. 5.3 vorgenommen werden, ist WiredSense berechtigt, die Vergütung unter den Voraussetzungen von Ziff. 8.7 des Vertrages anzupassen.

5.5 WiredSense benötigt zur Weiterentwicklung des MIR-Spektrometers und der zugehörigen Dienste anonymisierte Daten der durchgeführten Substanzprüfungen. Die Apotheke weist als datenschutzrechtlich verantwortliche Stelle zur Durchführung von Substanzprüfungen WiredSense im Rahmen ihrer Weisungsbefugnis nach Art. 28 DSGVO dazu an, die Prüfdaten zu anonymisieren.

6. Technische Voraussetzungen / Mitwirkungspflichten des Nutzers

6.1 Die Möglichkeit, die VERTRAGSSOFTWARE zu nutzen, ist von den in der Leistungsbeschreibung gem. Anlage 1 genau bezeichneten System- und Hardwarevoraussetzungen beim NUTZER abhängig. Der NUTZER ist allein dafür verantwortlich und stellt sicher, dass seine IT-Systeme für die VERTRAGSSOFTWARE geeignet sind.

7. Nutzungsrechtseinräumung

7.1 WiredSense räumt dem NUTZER das nicht ausschließliche, nicht unterlizenzierbare, nicht übertragbare und zeitlich auf die Dauer des Vertrages befristete Recht ein, die ANALYSEPLATTFORM zu nutzen.

7.2 Das Nutzungsrecht umfasst die Nutzung durch je eine Apotheke. Im Rahmen der Softwarenutzung können für Mitarbeiter gem. 3.2 und 3.3 eigene Accounts angelegt werden.

7.3 Rechte, die dem NUTZER vorstehend nicht ausdrücklich eingeräumt werden, stehen dem NUTZER nicht zu. Der NUTZER ist insbesondere nicht berechtigt, die ANALYSEPLATTFORM über die vereinbarte Nutzung hinaus zu nutzen oder von Dritten nutzen zu lassen oder Dritten zugänglich zu machen. Insbesondere ist dem NUTZER nicht gestattet, die VERTRAGSSOFTWARE und/oder die DATENBANK zu vervielfältigen, zu veräußern oder zeitlich begrenzt zu überlassen, insbesondere nicht zu vermieten oder zu verleihen.

7.4 Verletzt der NUTZER die vorstehenden Regelungen zum Nutzungsrecht schuldhaft und erheblich, wird WiredSense jeweils eine angemessene Frist zur Abhilfe, die vier (4) Wochen nicht unterschreite darf, setzen. Bei Gefahr in Verzug bedarf es einer solchen Fristsetzung nicht. Nach fruchtlosem Ablauf der Frist ist WiredSense berechtigt, Zugänge von NUTZERN zu den Leistungen für eine angemessene Frist, längstens jedoch für drei (3) Monate, zu sperren. Ferner ist WiredSense unter den Bedingungen von Ziff. 9.4 berechtigt, den vorliegenden Vertrag aus wichtigem Grund zu kündigen.

8. Gewährleistung und Haftung

8.1 WiredSense haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit sowie im Rahmen gesetzlich zwingender Haftungstatbestände, insbesondere dem Produkthaftungsgesetz. Für leichte Fahrlässigkeit haftet WiredSense bei Schäden aus der Verletzung des Lebens, des Körpers und der Gesundheit von Personen.

8.2 Im Übrigen haftet WiredSense für leichte Fahrlässigkeit nicht, außer im Falle einer Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung den Vertrag prägt und auf die Sie vertrauen dürfen. Bei der Verletzung wesentlicher Vertragspflichten haftet WiredSense nur auf den vertragstypischen, vorhersehbaren Schaden, wenn dieser leicht fahrlässig verursacht wurde, es sei denn, es handelt sich um Schadenersatzansprüche aus einer Verletzung des Lebens, des Körpers oder der Gesundheit oder aus gesetzlich zwingenden Haftungstatbeständen. Diese Haftungsbeschränkung gilt auch zugunsten der Erfüllungsgehilfen von WiredSense.

8.3 Im Übrigen ist eine Haftung von WiredSense ausgeschlossen.

8.4 Der NUTZER hat im Rahmen der Nutzung des MIR-Spektrometers eischließlich der ANALYSEPLATTFORM sämtliche apothekenrechtlichen Vorgaben einzuhalten. Für einen Verstoß des NUTZERS gegen apothekenrechtliche und/oder sonstige gesetzlichen Vorgaben haftet WiredSense nicht. WiredSense übernimmt ferner keine Gewähr und Haftung für die Aktualität, Korrektheit, Vollständigkeit und Qualität der in der ANALYSEPLATTFORM, insbesondere der in der DATENBANK bereitgestellten Daten und Informationen. Insbesondere übernimmt WiredSense keine Gewähr für die Akzeptanz des MIR-Spektrometers eischließlich der ANALYSEPLATTFORM durch die jeweils für den VERTRAGSPARTNER zuständigen Überwachungsbehörden.

9. Datenschutz

9.1 Die Parteien verpflichten sich zur Einhaltung der datenschutzrechtlichen Vorschriften.

9.2 Soweit WiredSense personenbezogene Daten im Auftrag und auf Weisung verarbeitet, schließen die Parteien zugleich den in Anlage 3 beigefügten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

10. Entgelt

10.1 Das Nutzungsentgelt ergibt sich aus der Auftragsbestätigung. Die Preise verstehen sich netto, d.h. zzgl. der gesetzlichen Umsatzsteuer.

10.2 Fälligkeit und Zahlungsmodalitäten ergeben sich aus der Auftragsbestätigung. Die Zahlung ist schuldbefreiend an WEPA Apothekenbedarf GmbH & Co. KG, Hillscheid, zu leisten. WEPA Apothekenbedarf GmbH Co. KG ist insoweit zum Inkasso bevollmächtigt.

10.3 WiredSense kann die Vergütung nach Ziff. 9.1 nach billigem Ermessen (§ 315 Abs. 3 BGB) der Entwicklung der Kosten anpassen, die für die Preisberechnung maßgeblich sind. WiredSense wird dem Nutzer etwaige Erfüllungen der Vergütung rechtzeitig, spätestens drei (3) Monate vor deren Inkrafttreten, in Textform mitteilen. Eine Preiserhöhung kommt z.B. in Betracht und eine Preisermäßigung ist vorzunehmen, wenn sich die Kosten für das Hosting und die Wartung des Analyseservers oder das zertifizierte Referenzmaterialien ändern oder gestiegene Personalkosten und sonstige äußere Gegebenheiten, wie z.B. gestiegener Arbeits- oder Entwicklungsaufwand, eine Anpassung der Vertragssoftware erforderlich machen. Eine Preiserhöhung darf das bisherige Nutzungsentgelt um nicht mehr als 10% überschreiten. Im Falle einer Preiserhöhung ist der Nutzer berechtigt, den Vertrag innerhalb einer Frist von drei (3) Monaten nach der Ankündigung nach Satz 2 in Textform zu kündigen. Auf die Kündigungsmöglichkeit weist WiredSense in seiner Mitteilung nach Satz 2 ausdrücklich hin. Erfolgt keine Kündigung innerhalb dieser Frist, gelten die von WiredSense mitgeteilten neuen Preise.

11. Laufzeit / Kündigung

11.1 Der Vertrag beginnt mit Abschluss des Vertrages und läuft für unbestimmte Zeit.

11.2 Nach einer Erstvertragslaufzeit von 60 Monaten kann der Nutzer die Vertragssoftware mit einer Frist von vier Wochen zum Ende der Vertraglaufzeit kündigen. Ohne fristgerechte Kündigung verlängert sich der Vertrag um ein Jahr. Für WiredSense ist das Recht zur ordentlichen Kündigung des Vertrages ausgeschlossen, solange WiredSense die ANALYSEPLATTFORM betreibt. Im Hinblick auf den Betrieb der ANALYSEPLATTFORM gilt Ziff. 11.6.

11.3 Die Möglichkeit einer außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund nach Satz 1 ist u.a. dann gegeben, wenn die Voraussetzungen für eine dauerhafte Sperrung des Nutzerkontos nach Ziff. 7.4 vorliegen.

11.4 Die Kündigung bedarf zu ihrer Wirksamkeit der Textform.

11.5 Mit Beendigung des Vertrages endet die Berechtigung des Nutzers, auf die ANALYSEPLATTFORM zuzugreifen.

11.6 WiredSense ist verpflichtet, die ANALYSEPLATTFORM für einen Zeitraum von mindestens zehn (10) Jahren ab Erwerb des MIR-Spektrometers und Anschluss des vorliegenden Nutzungsvertrages durch den VERTRAGSPARTNER zu betreiben und zu unterhalten.

12. Schlussbestimmungen

12.1 Die Vereinbarung und ihre Anlagen regeln abschließend und vollständig die gegenseitigen Vertragsverpflichtungen der Parteien. Nebenabreden sind nicht getroffen.

12.2 Es gilt das Recht der Bundesrepublik Deutschland. Die Bestimmungen des UN-Kaufrechts finden keine Anwendung.

12.3 Erfüllungsort und ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag (einschließlich solcher über seine Gültigkeit) ist Hamburg, soweit nicht zwingende gesetzliche Bestimmungen entgegenstehen.

12.4 Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien vereinbaren schon jetzt für diesen Fall, dass sie eine wirksame Bestimmung vereinbaren werden, die die ungültige Bestimmung ersetzt und die dem von den Parteien angestrebten Vertragsziel rechtlich und wirtschaftlich am ehesten gerecht wird. Entsprechendes gilt für die Ausfüllung von Vertragslücken.

Hamburg, den 10.09.2025


Anlage 1 – Leistungsbeschreibung zur Sweeb-Analyseplattform

Das Dokument beschreibt den Funktionsumfang sowie die System- und Hardwarevoraussetzungen zur Nutzung der von der WiredSense GmbH (im Nachfolgenden: WiredSense) angebotenen Software-Lösung und Datenbank für ein MIR-Spektrometer (im Nachfolgenden: ANALYSEPLATTFORM).

1. Einleitung

Das Sweeb Infrarotspektrometer erlaubt die Aufnahme von Absorptionsspektren beliebiger flüssiger, halbfester und fester Substanzen im mittelinfraroten Spektralbereich (MIR). Diese Infrarotspektren enthalten Informationen, die sehr charakteristisch für die chemische Zusammensetzung der gemessenen Substanz sind.

Die Sweeb-Analyseplattform ermöglicht den automatischen Abgleich der gemessenen Spektren mit einer Spektrendatenbank zertifizierter Referenzsubstanzen (CRS) sowie pharmazeutisch geprüfter Substanzen (PhRS).
Für die Ausgangsstoffprüfung in Apotheken wird zur Dokumentation ein detailliertes Prüfprotokoll zum Analyseergebnis erstellt. Die Sweeb Analyseplattform ermöglicht den einfachen Zugang zu allen Prüfprotokollen eines Nutzeraccounts. Außerdem können alle Referenzspektren der Datenbank sowie die zugehörige Dokumentation eingesehen werden. In der Profilverwaltung lassen sich die Stamm- und Zugangsdaten des Nutzeraccounts anpassen.

2. Funktionsumfang

Die Sweeb-Analyseplattform bietet folgende Hauptfunktionen:

2.1 Benutzerverwaltung

Jeder Nutzer von Sweeb erhält spätestens mit der Geräteeinrichtung einen Nutzerzugang zum geschützten Bereich der Sweeb-Analyseplattform. Diese ist erreichbar unter: https://sweeb.wiredsense.com

Jeder Nutzeraccount ist passwortgeschützt, optional wird für eine erhöhte Sicherheit eine Zwei-Faktor Authentifizierung angeboten. Alle Stammdaten eines Nutzers (z.B. Name, E-Mail-Adresse, Passwort, …) können im Benutzerprofil hinterlegt und geändert werden.
Jeder Nutzeraccount wird außerdem einem Team (z.B. einer Apotheke) zugeordnet. Alle Nutzer eines Teams haben Zugriff auf alle im gleichen Team durchgeführten Analysen. Team-Administratoren können zusätzlich die Stammdaten des Teams (z.B. Name der Apotheke, An-schrift, …) ändern und weitere Nutzer in das Team einladen.

2.2 Analyse von Infrarotspektren

2.2.1 Basismodul "Identitätsprüfung"

Die mit dem Sweeb Infrarotspektrometer aufgenommenen Infrarotspektren von Substanzen werden zusammen mit den angegebenen Metadaten zur Analyse (etwa Name des Nutzers, Probenname und zugehörige Referenzsubstanz, PZN, Hersteller, Chargen-Nr., Verwendbarkeitsdatum, …) aus der Nutzersoftware des Spektrometers (z.B. Android-App) über eine Web-Schnittstelle (API) in die Analyseplattform hochgeladen und dort mit der Datenbank aus Referenzspektren abgeglichen. Dazu wird der Korrelationskoeffizient zwischen dem neu gemessenen Spektrum mit allen Spektren der Datenbank errechnet (siehe Sweeb Nutzerhandbuch).

Für die Dokumentation der Prüfergebnisse zur Identitätsprüfung erstellt die Sweeb-Analyseplattform automatisch zu jeder Analyse ein Prüfprotokoll im PDF-Format. Dieses wird nach der Analyse im jeweiligen Nutzerprofil unter dem Reiter „Analysen“ zum Download bereitgestellt. Außerdem kann an dieser Stelle das gemessene Spektrum graphisch eingesehen werden.

2.2.2 Erweiterungsmodul "Cannabis-Analyse"

Dieses zusätzlich zum Basismodul erwerbbare Analysemodul ermöglicht die Analyse von Cannabisblüten und -extrakten auf Basis von MCT Öl in Bezug auf die Einteilung in die in den Arzneibüchern vorgegebenen Kategorien „THC-dominant“, „CBD-dominant“ und „THC/CBD-ausgeglichen“. Analog zum Basismodul werden die Prüfergebnisse in auf die Cannabisanalysen angepassten Reports in der Sweeb-Analyseplattform unter dem Reiter „Analysen“ dokumentiert.

2.3 Einsicht in die aktuelle Referenzdatenbank und GLP-Berichte

Über den Reiter „Substanzen“ der Sweeb-Analyseplattform besteht Zugriff auf eine Liste aller aktuell in der Referenzdatenbank verfügbaren Referenzsubstanzen. Eine Suchfunktion ermöglicht das schnelle Auffinden einer Substanz. Auf der Detailseite zu jeder Substanz kann das jeweilige Referenzspektrum graphisch eingesehen werden und einen GLP-Bericht abgerufen werden, der den Prozess der Messung des Referenzspektrums detailliert dokumentiert. Über den Reiter „Synonyme“ wird eine Liste der Datenbanksubstanzen inklusive aller pharmazeutischen Synonyme angezeigt. Hier ist über die Suchfunktion leicht prüfbar, ob eine gewünschte Substanz bereits in der Datenbank enthalten ist.

2.4 Zugang zur Sweeb Dokumentation

Auf der Startseite der Sweeb-Analyseplattform finden sich allgemeine Informationen zu Sweeb sowie eine Verknüpfung zur aktuellen Datenbankliste als PDF-Dokument. Unter dem Reiter „Dokumente" sind die Bedienungsanleitung sowie Standardarbeitsverfahren (SOPs) abgelegt.

3. System- und Hardwarevoraussetzungen

  • Computer, Laptop, Tablet oder anderes internetfähiges Endgerät mit Bildschirm von mindestens 1024 x 768 Pixeln Auflösung
  • Aktuelles Betriebssystem, das Sicherheitsupdates vom Hersteller erhält (Windows 10 oder höher, macOS 10.14 oder höher, Aktuelle Versionen von Linux-Distributionen, Aktuelle Versionen von iOS oder Android für mobile Endgeräte)
  • Webbrowser, der moderne Browserstandards (HTML5, CSS3, Ja-vaScript) unterstützt und regelmäßig vom Hersteller aktualisiert wird (Google Chrome, Mozilla Firefox, Microsoft Edge, Safari)
  • Stabile Internetverbindung
  • Unterstützung von TLS 1.2 oder höher

4. Zusätzliche Hinweise

Die Plattform erfordert keine Installation von Plugins oder Drittanbieter-Software.

Stand: 10.09.2025


Anlage 2 – Service-Level-Agreement (SLA)

Das Dokument beschreibt die Erreichbarkeit von WiredSense GmbH (im Nachfolgenden: WiredSense) und WEPA Apothekenbedarf GmbH Co. KG (im Nachfolgenden: WEPA) im Hinblick auf Software-Lösung und Datenbank für ein MIR-Spektrometer (im Nachfolgenden: ANALYSEPLATTFORM).

1. Erreichbarkeit

„Erreichbarkeit” bezeichnet den vereinbarten Zeitrahmen, innerhalb dessen WiredSense und WEPA Leistungen erbringen. Der 1st und 2nd Level Support wird durch WEPA durchgeführt.

1.1 Zeiten der Erreichbarkeit: Werktags Montag bis Freitag von 08:00 Uhr bis 17:00 Uhr, außer an Feiertagen in Rheinland-Pfalz.

1.2 Innerhalb der o.a. Zeiten besteht eine Erreichbarkeit unter nachfolgender Telefonnummer und E-Mail-Adresse:
Telefonnummer: +49 02624 107-361
E-Mail-Adresse: info@wepa-apothekenbedarf.de

Außerhalb der o.a. Erreichbarkeitszeiten können Anfragen nur per E-Mail gemeldet werden.

Stand: 09.01.2025


Anlage 3: Auftragsverarbeitungsvertrag (Vertrag zwischen Verantwortlichem und Auftragsverarbeiter gemäß Art. 28 DSGVO)

WiredSense GmbH, Luruper Hauptstraße 1, 22547 Hamburg ("Diensteanbieter") und die vertragschließende Apotheke ("Auftraggeber") haben einen Vertrag „Nutzungsbedingungen über Software-Lösungen und Datenbank für ein MIR-Spektrometer“ ("Hauptvertrag") geschlossen. Daran anknüpfend vereinbaren die Parteien hiermit die Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter gemäß Art. 28 Abs. 7 der Europäischen Datenschutz-Grundverordnung ("DSGVO") ((EU) 2021/915 vom 4. Juni 2021) ("Standardvertragsklauseln").

Die Standardvertragsklauseln sind im Amtsblatt der Europäischen Union L 199/18 veröffentlicht und können unter https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32021D0915 eingesehen werden.

Zur Vervollständigung der Standardklauseln vereinbaren die Parteien hiermit Folgendes:

  • Für die Zwecke der Standardklauseln ist Auftraggeber der "Verantwortliche" (wie in der DSGVO definiert) und der Dienstanbieter der "Auftragsverarbeiter" (wie in der DSGVO definiert).

  • Die Option 1 ist in den Klauseln 1 lit. a, 8 lit. c Nr. 4, 9.1 lit. b und lit. c und 9.2 Abs. 3 der Standardvertragsklauseln zu wählen.

  • Die fakultative Klausel 5 der Standardvertragsklauseln (Kopplungsklausel) ist von den Parteien nicht gewählt und ist für sie nicht anwendbar.

  • In Klausel 7.7 der Standardvertragsklauseln (Einsatz von Unterauftragsverarbeitern) gilt Option 2 (allgemeine schriftliche Genehmigung) als von den Parteien gewählt und auf sie anwendbar, und dreißig (30) Kalendertage sind die festgelegte Frist für Änderungen an der Liste der Unterauftragsverarbeiter. Darüber hinaus vereinbaren die Parteien, dass sie für den Fall, dass der Verantwortliche einer Änderung des Unterauftragsverarbeiters widerspricht, nach Treu und Glauben zusammenarbeiten, um eine angemessene Lösung für die Beauftragung des neuen Unterauftragsverarbeiters zu finden.

  • Die Informationen zur Vervollständigung der Anhänge I IV der Standardvertragsklauseln sind in den Anhängen I IV dieses AVV enthalten, die Bestandteil dieses AVV sind.

ANHANG I: LISTE DER PARTEIEN

1. Verantwortlicher

Auftraggeber, wie auf der ersten Seite des AVV angegeben.

2. Auftragsverarbeiter

Diensteanbieter, wie auf der ersten Seite des AVV angegeben.

ANHANG II: BESCHREIBUNG DER VERARBEITUNG

  1. Kategorien von betroffenen Personen, deren personenbezogene Daten verarbeitet werden

    • Beschäftige der Apotheke
  2. Kategorien der verarbeiteten personenbezogenen Daten

    • Stammdaten (z. B. Name)
    • Kontaktdaten (z. B. E-Mail-Adresse)
    • Profildaten (z. B. Profilbild und Benutzername)
    • Authentifizierungsdaten (z. B. Einmalpasswörter)
    • Tokendaten (z. B. Token-Name und API-Token)
    • Daten der geprüften Substanz (z. B. Name, Pharmazentralnummer, Chargennummer, Hersteller, Verwendbarkeitsdatum und das gemessene Spektrum)
    • Gerätedaten (z. B. Leistungsparameter von Hardware, Temperatur und Luftfeuchtigkeit im Geräteinneren, Analyse-ID und Seriennummer)
    • sonstige Daten der Prüfung (z. B. Datum und Uhrzeit der Prüfung)
  3. Sensible verarbeitete Daten (falls zutreffend) und angewandte Beschränkungen oder Garantien, die der Art der Daten und den damit verbundenen Risiken in vollem Umfang Rechnung tragen, wie z. B. strikte Zweckbindung, Zugangsbeschränkungen (einschließlich des Zugangs nur für Mitarbeiter, die eine spezielle Schulung absolviert haben), Aufzeichnung des Zugangs zu den Daten, Beschränkungen für die Weitergabe oder zusätzliche Sicherheitsmaßnahmen

    • Es werden keine sensiblen Daten im Sinne von Art. 9 Abs. 1 DSGVO verrbeitet.
  4. Art der Verarbeitung

    • Erheben, Speicherung, Verknüpfung, Anpassung und Löschung der Stamm-, Kontakt- und Profildaten der Beschäftigten
    • Erfassen, Verwendung, Verknüpfung und Löschung der Authentifizierungsdaten der Beschäftigten
    • Erheben, Verwendung, Verknüpfung, Anpassung und Löschung der Tokendaten
    • Erfassen, Speicherung, Verwendung, Verknüpfung, Anonymisierung und Löschung der Substanz-, Geräte- und sonstigen Prüfdaten
  5. Zweck(e), für den/die die personenbezogenen Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet werden

    • Anlegen eines Accounts für Beschäftigte
    • Einrichten einer Zwei-Faktor-Authentifizierung für Beschäftigte
    • Erzeugen von API-Token zur Rechteeinräumung
    • Erstellen eines Prüfprotokolls der Substanzprüfungen
    • Anonymisieren der Prüfdaten zur Weiterverwendung im Rahmen der Produktverbesserung
    • Ermöglichung einer Störungsbeseitigung über Remote-Zugriff
  6. Dauer der Verarbeitung

    • Laufzeit des Hauptvertrages

ANHANG III: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH TECHNISCHER UND ORGANISATORISCHER MASSNAHMEN ZUR GEWÄHRLEISTUNG DER DATENSICHERHEIT

I. Vertraulichkeit

1. Zutrittskontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Datacenter-Parks in Nürnberg, Falkenstein und Helsinki:
    • elektronisches Zutrittskontrollsystem mit Protokollierung
    • Hochsicherheitszaun um den gesamten Datacenter-Park
    • dokumentierte Schlüsselvergabe an Mitarbeiter und Colocation-Kunden für Colocation Racks (jeder Auftraggeber ausschließlich für seinen Colocation Rack)
    • Richtlinien zur Begleitung und Kennzeichnung von Gästen im Gebäude
    • 24/7 personelle Besetzung der Rechenzentren
    • Videoüberwachung an den Ein- und Ausgängen, Sicherheitsschleusen und Serverräumen
    • Der Zutritt für betriebsfremde Personen (z.B. Besucherinnen und Besucher) zu den Räumen ist wie folgt beschränkt: nur in Begleitung eines Hetzner Online GmbH Mitarbeiters
  • Verwaltung:
    • Elektronisches Zutrittskontrollsystem mit Protokollierung
    • Videoüberwachung an den Ein- und Ausgängen

Darüberhinausgehende eigene Maßnahmen:

  • Elektronisches Zutrittskontrollsystem
  • Dokumentierte Schlüsselvergabe an Mitarbeiter
  • Der Zutritt für Besucherinnen und Besucher zu den Betriebsräumen ist wie folgt beschränkt: nur in Begleitung eines WiredSense GmbH Mitar-beiters.

2. Zugangskontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Server-Passwörter, welche nur vom Auftraggeber (WiredSense GmbH) nach erstmaliger Inbetriebnahme von ihm selbst geändert werden und dem Auftragnehmer nicht bekannt sind
  • Das Passwort zur Administrationsoberfläche wird vom Auftraggeber (WiredSense GmbH) selbst vergeben - die Passwörter müssen vordefinierte Richtlinien erfüllen. Zusätzlich steht dem Auftraggeber dort eine Zwei-Faktor-Authentifizierung zur weiteren Absicherung seines Accounts zur Verfügung.

Darüberhinausgehende eigene Maßnahmen:

  • Es werden Passwörter verwendet, die dem aktuellen Stand der Technik entsprechen. Hierzu werden die Vorgaben des BSI herangezogen.
  • Für die Administrationsoberfläche des Unterauftragsverarbeiters wird zur Absicherung des Accounts eine Zwei-Faktor-Authentifizierung genutzt.
  • Zugriff auf alle Daten ist nur mit personengebundenen Benutzeraccounts möglich. Die Benutzung der Systeme wird in Logdateien aufgezeichnet.
  • Das Passwort zur Sweeb Analyseplattform wird vom Auftraggeber selbst vergeben. Zusätzlich steht dem Auftraggeber dort eine Zwei-Faktor-Authentifizierung zur weiteren Absicherung seines Accounts zur Verfügung.

3. Zugriffskontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Durch regelmäßige Sicherheitsupdates der internen Verwaltungssysteme (nach dem jeweiligen Stand der Technik) wird sichergestellt, dass unberechtigte Zugriffe verhindert werden.
  • Revisionssicheres, verbindliches Berechtigungsvergabeverfahren für Mitarbeiter

Darüberhinausgehende eigene Maßnahmen:

  • Durch regelmäßige Sicherheitsupdates der IT-Systeme (nach dem jeweiligen Stand der Technik) wird sichergestellt, dass unberechtigte Zugriffe verhindert werden.
  • Verwendung eines Identitäts- und Berechtigungsmanagementsystems für Mitarbeiter

4. Datenträgerkotrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Festplatten werden nach Kündigung mit einem definierten Verfahren mehrfach überschrieben (gelöscht). Nach Überprüfung werden die Festplatten wieder eingesetzt.
  • Defekte Festplatten, die nicht sicher gelöscht werden können, werden direkt im Rechenzentrum (Falkenstein) zerstört (geschreddert).

5. Trennungskontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Daten der internen Verwaltungssysteme werden physisch oder logisch von anderen Daten getrennt gespeichert.
  • Die Datensicherung der internen Verwaltungssysteme erfolgt ebenfalls auf logisch und/oder physisch getrennten Systemen.

Darüberhinausgehende eigene Maßnahmen:

  • Alle automatischen Datensicherungen werden physisch getrennt von den Daten gespeichert.

II. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

1. Weitergabekontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Alle Mitarbeiter sind i.S.d. Art. 32 Abs.4 DS-GVO unterwiesen und verpflichtet, den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen.
  • Datenschutzgerechte Löschung der Daten nach Auftragsbeendigung.
  • Möglichkeiten zur verschlüsselten Datenübertragung werden im Umfang der Leistungsbeschreibung des Hauptauftrages zur Verfügung gestellt.

Darüberhinausgehende eigene Maßnahmen:

  • Alle Mitarbeiter sind i.S.d. Art. 32 Abs.4 DS-GVO unterwiesen und verpflichtet, den datenschutzkonformen Umgang mit personenbezogenen Daten sicherzustellen.
  • Auf Aufforderung durch den Auftraggeber bzw. nach Auftragsbeendigung erfolgt eine datenschutzgerechte Löschung der Daten.
  • Die Kommunikation des Auftraggebers zur Sweeb-Analyseplattform erfolgt ausschließlich TLS-verschlüsselt.
  • Passwörter werden grundsätzlich nur in Form eines Hashs gespeichert.

2. Eingabekontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Die Daten für interne Verwaltungssysteme werden vom Auftraggeber (WiredSense GmbH) selbst eingegeben bzw. erfasst.
  • Änderungen dieser Daten werden protokolliert.

Darüberhinausgehende eigene Maßnahmen:

  • Es werden Datenbanksysteme eingesetzt, die die Integrität der Daten sicherstellen. Darüber hinaus findet eine Validierung der Daten bei der Eingabe statt.
  • Die Daten für die Sweeb-Analyseplattform werden vom Auftraggeber selbst eingegeben bzw. erfasst.

III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

1. Verfügbarkeitskontrolle

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Bei internen Verwaltungssystemen
    • Backup- und Recovery-Konzept mit täglicher Sicherung aller relevanten Daten.
    • Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsselungsprogramme, SPAM-Filter).
    • Einsatz von Festplattenspiegelung bei allen relevanten Servern.
    • Monitoring aller relevanten Server.
    • Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage.
    • Dauerhaft aktiver DDoS-Schutz.
  • Für Dedicated Server, Colocation Server, Cloud Server und Storage Box
    • Einsatz unterbrechungsfreier Stromversorgung, Netzersatzanlage.
    • Dauerhaft aktiver DDoS-Schutz.

Darüberhinausgehende eigene Maßnahmen:

  • Die Verfügbarkeit der kritischen Systeme wird durch Replizierung und automatische Umschaltung im Fall eines Ausfalls eines der Systeme sichergestellt (Redundanz).
  • Es werden regelmäßige verschlüsselte Backups der Daten angefertigt, die gegen Veränderung geschützt und an einem anderen Ort als die Daten gespeichert werden.
  • Der Erfolg der Backups wird geprüft.

2. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO)

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Für alle internen Systeme ist eine Eskalationskette definiert, die vorgibt wer im Fehlerfall zu informieren ist, um das System schnellstmöglich wiederherzustellen.

Darüberhinausgehende eigene Maßnahmen:

  • Für den Fall eines Serverausfalls liegt ein Plan zur Störungsbeseitigung vor.
  • Die Datenbackups sind so ausgelegt und abgelegt, dass eine schnelle Wiederaufnahme des Betriebes nach einer Störung gewährleistet ist. Die dazu nötigen Schlüssel liegen mehreren berechtigten Personen vor.
  • Durch „Infrastrukture as Code“ (GitOps) wird die Konfiguration der Systeme festgelegt, einsehbar gemacht und für eine vollständige Widerherstellung zugreifbar gemacht.

IV. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)

Maßnahmen des Unterauftragsverarbeiters für Hosting der Applikation:

  • Das Datenschutz-Managementsystem und das Informationssicherheitsmanagementsystem wurden zu einem DIMS (Datenschutz-Informationssicherheits-Management-System) vereint.
  • Incident-Response-Management ist vorhanden.
  • Datenschutzfreundliche Voreinstellungen werden bei Softwareentwicklungen berücksichtigt (Art. 25 Abs. 2 DS-GVO).
  • Mitarbeiter werden in regelmäßigen Abständen im Datenschutzrecht unterwiesen und sie sind vertraut mit den Verfahrensanweisungen und Benutzerrichtlinien für die Datenverarbeitung im Auftrag, auch im Hinblick auf das Weisungsrecht des Auftraggebers. Die AGB enthalten detaillierte Angaben über Art und Umfang der beauftragten Verarbeitung und Nutzung personenbezogener Daten des Auftraggebers.
  • Die AGB enthalten detaillierte Angaben über die Zweckbindung der personenbezogenen Daten des Auftraggebers.
  • Die Hetzner Online GmbH hat einen betrieblichen Datenschutzbeauftragten sowie einen Informationssicherheitsbeauftragten bestellt. Beide sind durch die Datenschutzorganisation und das Informationssicherheitsmanagementsystem in die relevanten betrieblichen Prozesse eingebunden. Darüberhinausgehende eigene Maßnahmen:
  • Datenschutzfreundliche Voreinstellungen werden bei Softwareentwicklungen berücksichtigt (Art. 25 Abs. 2 DS-GVO).
  • Es werden nur Daten aufgezeichnet, die für die Funktionalität des Systems notwendig sind. Hierzu findet eine ständige Evaluierung statt.
  • Fehlerzustände beim Betrieb der IT-Systeme des Dienstanbieters werden in Logdateien gespeichert und in regelmäßigen Abständen evaluiert.
  • Für den Aufbau der Datenbank an MIR-Referenzspektren, die für den Abgleich der z.B. in Apotheken mit Sweeb gemessenen Spektren genutzt wird, kommt ein QM-System für die Dokumentation der Datenaufnahme zum Einsatz. Ein digitaler Audit-Trail dokumentiert alle mit dem Messprozess verbundenen Aktionen unveränderlich. Der Zugang zum Messsystem ist auf autorisierte Nutzer und Computer beschränkt.
  • Die WiredSense GmbH hat einen betrieblichen Datenschutzbeauftragten bestellt.

ANHANG IV: LISTE DER UNTERAUFTRAGSVERARBEITER

Der Auftraggeber hat den Einsatz der folgenden Unterauftragsverarbeiter genehmigt:

Name:
Hetzner Online GmbH
Adresse:
Industriestr. 25, 91710 Gunzenhausen, Deutschland
Beschreibung (Gegenstand, Art und Dauer der Verarbeitung):
Hosting der MIR-Spektrometer Applikation auf unbestimmte Laufzeit.