Auftragsverarbeitungsvertrag (AV‑Vertrag)
Dieser Auftragsverarbeitungsvertrag (AV‑Vertrag) regelt die Verarbeitung von personenbezogenen Daten, die wir im Auftrag unserer Geschäftskunden im Rahmen der KI‑gestützten Terminvereinbarung und Terminverwaltung durchführen. Er erfüllt die Anforderungen des Art. 28 DSGVO. Der Abschluss erfolgt in Textform (z. B. per E‑Mail), eine gesonderte Signatur ist nicht erforderlich.
1. Parteien
Auftraggeber / Verantwortlicher: Ihr Unternehmen oder Ihre Organisation, die unsere Dienste nutzt und als Verantwortlicher für die Datenverarbeitung fungiert.
Auftragnehmer / Auftragsverarbeiter: Otterflow by Luca Christ, Haydnweg 24, 69234 Dielheim.
2. Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Gegenstand: Wir verarbeiten personenbezogene Daten, um telefonische Anfragen entgegenzunehmen, Termine zu buchen und Termininformationen zu verwalten.
- Dauer: Die Verarbeitung erfolgt für die Dauer der Geschäftsbeziehung. Nach Beendigung werden Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Art und Zweck: Echtzeit‑Verarbeitung von Sprachdaten zur Terminvermittlung, Übermittlung der Rufnummer und Gesprächsergebnisse sowie Speicherung von Termindaten (Datum, Uhrzeit, Telefonnummer, interne Notiz) in einer verschlüsselten Datenbank. Die Daten werden ausschließlich zur Erfüllung der vertraglichen Leistungen verwendet.
3. Kategorien betroffener Personen und Datenarten
- Betroffene Personen: Kundinnen und Kunden, Interessent:innen oder sonstige Personen, die den Auftraggeber telefonisch kontaktieren oder einen Termin vereinbaren möchten.
- Datenarten: Rufnummern, Datum und Uhrzeit des Anrufs, gewünschter Termin, interne Notizen zum Termin, optional Name oder weitere Kontaktdaten, soweit vom Auftraggeber übermittelt. Es werden keine Audioaufzeichnungen oder Transkripte gespeichert.
4. Rechte und Pflichten der Parteien
4.1 Pflichten des Auftraggebers (Verantwortlicher)
- Der Auftraggeber ist verantwortlich für die Rechtmäßigkeit der Datenverarbeitung und erteilt alle Weisungen schriftlich oder in Textform. Er informiert uns unverzüglich über etwaige Fehler oder Anforderungen betroffener Personen (z. B. Auskunfts- oder Löschbegehren).
- Der Auftraggeber benennt Weisungsberechtigte, die uns gegenüber verbindliche Anweisungen erteilen dürfen, und hält diese Liste stets aktuell.
4.2 Pflichten des Auftragnehmers (Auftragsverarbeiter)
- Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
- Unsere Mitarbeitenden sind zur Vertraulichkeit verpflichtet.
- Wir setzen angemessene technische und organisatorische Maßnahmen ein, darunter: Verschlüsselung der Daten bei Speicherung und Übertragung (AES‑256/TLS), Hosting der Daten in der EU (Frankfurt), Zero‑Retention‑Mode für Sprachdaten, Row Level Security, IP‑Whitelist, 2‑Faktor‑Authentifizierung und regelmäßige Backups.
- Wir unterstützen den Auftraggeber bei der Wahrung der Betroffenenrechte (z. B. Auskunft, Löschung) sowie bei Datenschutzfolgenabschätzungen und Meldepflichten.
- Wir setzen Unterauftragnehmer (Telnyx, ElevenLabs, Supabase) nur ein, wenn diese an dieselben Datenschutzpflichten gebunden sind. Der Auftraggeber wird über Änderungen dieser Liste informiert und erhält ein Widerspruchsrecht.
- Nach Abschluss des Auftrags löschen oder geben wir alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Wir führen Nachweis über die Einhaltung der vereinbarten Pflichten und ermöglichen Audits durch den Auftraggeber nach vorheriger Abstimmung.
5. Sonstige Bestimmungen
- Die Haftung richtet sich nach den gesetzlichen Bestimmungen.
- Es gilt das Recht des Landes, in dem der Auftraggeber seinen Sitz hat.
- Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.
- Der Vertrag endet mit dem Ende der zugrundeliegenden Geschäftsbeziehung.
Sollten Sie Fragen zu diesem Vertrag haben oder weitere Informationen benötigen, kontaktieren Sie uns bitte unter hey@apointa.org.