Vertrag zur Auftragsverarbeitung

1. 1. Gegenstand und Dauer

   (1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung von appoint4u nach den AGB (Hauptvertrag).(2) Der Vertrag gilt für die Dauer des Hauptvertrags einschließlich des kostenlosen Kundenkontos. Seine Pflichten bestehen fort, bis der Auftragnehmer alle Daten des Auftraggebers gelöscht oder zurückgegeben hat.

2. 2. Art und Zweck der Verarbeitung

   Empfangen, Speichern und Beantworten von WhatsApp- und Telegram-Nachrichten durch einen KI-Assistenten, einschließlich der Umwandlung von Sprachnachrichten in Text und gesprochener Antworten; Terminbuchung und -verwaltung; Online-Buchungsseite; Benachrichtigungen per E-Mail; Abgleich der Termine mit den Kalendern und Buchungstools, die der Auftraggeber verbindet, Kalender-Abos und Webhooks an eigene Systeme des Auftraggebers; Posteingang und Zugänge für das Team des Auftraggebers; Auswertungen und Exporte für den Auftraggeber.

3. 3. Art der Daten und betroffene Personen

   Betroffen sind Kundinnen, Kunden und Interessenten des Auftraggebers sowie dessen Mitarbeitende.Verarbeitet werden insbesondere: Name, Telefonnummer, bei Telegram Telegram-Kennung und Benutzername, gegebenenfalls E-Mail-Adresse, Inhalte von Nachrichten, Umschriften von Sprachnachrichten, Termindaten (Leistung, Ort, Zeitpunkt, Mitarbeiterin oder Mitarbeiter), Angaben und Notizen zum Termin, Notizen des Teams, die Sprache der Kommunikation, belegte Zeiten aus verbundenen Kalendern (nur Beginn und Ende), Abwesenheiten der Mitarbeitenden (Art, Zeitraum und eine freiwillige Notiz; keine Gesundheitsdaten) sowie Zugangs- und Protokolldaten der Mitarbeitenden.

4. 4. Besondere Kategorien von Daten und Berufsgeheimnisse

   (1) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), insbesondere Gesundheitsdaten, sind nicht Gegenstand der Verarbeitung. Sie können aber in frei formulierten Nachrichten vorkommen, und bei Praxen kann schon die gebuchte Leistung einen Rückschluss auf die Gesundheit erlauben. Der Auftraggeber prüft, ob er dafür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO hat, stellt den Assistenten so ein, dass er solche Daten nicht abfragt und entsprechende Anliegen an sein Team weitergibt, und informiert seine Kundinnen und Kunden darüber.(2) Ist der Auftraggeber Berufsgeheimnisträger im Sinne von § 203 StGB (etwa Ärztin, Therapeut, Rechtsanwältin, Steuerberater), wirkt der Auftragnehmer als sonstige mitwirkende Person an dessen beruflicher Tätigkeit mit (§ 203 Abs. 3 Satz 2 StGB). Der Auftragnehmer verpflichtet sich zur Verschwiegenheit über alle fremden Geheimnisse, die ihm dabei bekannt werden, und nimmt zur Kenntnis, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er ein solches Geheimnis unbefugt offenbart. Er verschafft sich Kenntnis von solchen Geheimnissen nur, soweit das für die Leistung erforderlich ist. Er verpflichtet seine Mitarbeitenden in Textform zur Verschwiegenheit, belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung und setzt Unterauftragsverarbeiter nur ein, wenn sie zur Geheimhaltung verpflichtet sind (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).

5. 5. Weisungen

   (1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – auch hinsichtlich der Übermittlung in Drittländer –, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. Dann teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.(2) Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Auftraggeber im Kundenbereich vornimmt. Weitere Weisungen erteilen Inhaber oder Verwaltung des Betriebs in Textform an support@appoint4u.com. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln beide Seiten als Wunsch nach einer Leistungsänderung.(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.(4) Der Auftragnehmer verwendet die Daten für keine eigenen Zwecke und nicht zum Training von KI-Modellen. Zulässig ist eine Auswertung in anonymisierter oder zusammengefasster Form, etwa die Zahl der KI-Antworten für die Abrechnung der Kontingente.

6. 6. Pflichten des Auftraggebers

   (1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er eine Rechtsgrundlage hat und seine Kundinnen und Kunden nach Art. 13 und 14 DSGVO informiert.(2) Er wählt die Löschfrist für Gesprächsverläufe in den Einstellungen so, dass sie seinen Pflichten entspricht.(3) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

7. 7. Vertraulichkeit

   Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff erhalten nur Personen, die ihn für Betrieb, Wartung oder Support benötigen, und nur im erforderlichen Umfang. Die Pflicht besteht über das Ende ihrer Tätigkeit hinaus.

8. 8. Sicherheit der Verarbeitung

   Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an die technische Entwicklung anpassen, wenn das Schutzniveau dabei nicht sinkt; wesentliche Änderungen dokumentiert er.

9. 9. Unterauftragsverarbeiter

   (1) Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2; sie gelten als genehmigt.(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden beide Seiten keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer anteilig. Fällt ein Unterauftragsverarbeiter aus oder erfordern Sicherheitsgründe einen schnellen Wechsel, darf der Auftragnehmer mit kürzerer Frist ersetzen; das Widerspruchsrecht bleibt bestehen.(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung (Art. 28 Abs. 4 DSGVO).(4) Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst auswählt und mit eigenen Konten nutzt: die WhatsApp Business-Plattform, für die der Auftraggeber selbst die Bedingungen von Meta vereinbart; Telegram, wenn er einen eigenen Telegram-Bot verbindet; Kalender (etwa Google, Microsoft, Apple), Kalender-Links, Buchungstools (etwa Calendly, Cal.com, Acuity) und Webhook-Empfänger. Der Auftragnehmer übermittelt an diese Dienste nur, was die vom Auftraggeber eingeschaltete Funktion braucht: In verbundene Kalender trägt er nur Vorname, Leistung, Mitarbeiterin oder Mitarbeiter und Uhrzeit ein; Telefonnummer und E-Mail-Adresse erhalten Webhook-Empfänger nur, wenn der Auftraggeber das ausdrücklich einschaltet. Der Auftraggeber weist seine Kundinnen und Kunden in seinen Datenschutzhinweisen auf diese Dienste hin.

10. 10. Übermittlung in Drittländer

    (1) Der Auftragnehmer verarbeitet die Daten in der EU, im EWR und im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU besteht. Übermittlungen in andere Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.(2) Der Auftraggeber weist die in Anlage 2 genannten Übermittlungen an: an Anbieter mit Sitz in den USA auf Grundlage des EU-US Data Privacy Framework und von EU-Standardvertragsklauseln sowie an Google für die KI-Funktionen. Google verarbeitet die Daten dafür über den globalen Endpunkt von Vertex AI und wählt das Rechenzentrum selbst aus; die Verarbeitung kann daher auch außerhalb der EU erfolgen, etwa in den USA.(3) Auf Wunsch stellt der Auftragnehmer dem Auftraggeber die einschlägigen Unterlagen zur Verfügung, etwa die Standardvertragsklauseln.

11. 11. Unterstützung des Auftraggebers

    (1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) – etwa durch den Export von Terminen, Gesprächen und Kontakten im Kundenbereich. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter.(2) Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.(3) Für Unterstützung, die über die im Dienst angebotenen Funktionen hinausgeht und nicht auf einem Verstoß des Auftragnehmers beruht, kann der Auftragnehmer eine angemessene Vergütung verlangen.

12. 12. Meldung von Datenschutzverletzungen

    Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft. Die Meldung enthält, soweit bekannt, die Angaben, die der Auftraggeber für seine eigene Meldung nach Art. 33 DSGVO braucht: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Ansprechperson. Was noch nicht bekannt ist, reicht der Auftragnehmer unverzüglich nach.

13. 13. Löschung und Rückgabe

    (1) Während der Laufzeit löscht der Auftragnehmer Gesprächsverläufe automatisch nach der vom Auftraggeber gewählten Frist und weitere Daten auf Weisung.(2) Nach dem Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern nicht nach dem Recht der EU oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Bis dahin kann der Auftraggeber die Daten im Kundenbereich exportieren oder einen Export verlangen (Rückgabe). Kopien in Datensicherungen werden im regulären Zyklus überschrieben und bis dahin nicht verwendet. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

14. 14. Nachweise und Kontrollen

    (1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die aktuelle Beschreibung der Maßnahmen nach Anlage 1 und die Liste der Unterauftragsverarbeiter.(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit dem Auftragnehmer steht, und trägt dazu bei. Überprüfungen kündigt der Auftraggeber mindestens vier Wochen vorher an; sie finden zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs statt und sind – außer bei einem konkreten Anlass – auf eine im Kalenderjahr begrenzt. Ihre Kosten trägt der Auftraggeber, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragnehmers auf.(3) Für die Rechenzentren der Unterauftragsverarbeiter genügen deren aktuelle Prüfberichte und Zertifikate.

15. 15. Haftung

    Gegenüber betroffenen Personen haften beide Seiten nach Art. 82 DSGVO. Im Verhältnis der Vertragsparteien zueinander gelten die Haftungsregeln der AGB, soweit Art. 82 Abs. 4 und 5 DSGVO nicht entgegenstehen.

16. 16. Schlussbestimmungen

    (1) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor.(2) Werden die Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Dritten darauf hin, dass die Daten dem Auftraggeber zustehen.(3) Änderungen dieses Vertrags bedürfen der Textform; für Änderungen durch den Auftragnehmer gilt das Verfahren nach § 16 Abs. 1 der AGB. Im Übrigen gelten die Schlussbestimmungen der AGB.

17. Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

    • Zutrittskontrolle: Anwendung und Datenbank laufen ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Anlage 2); der Auftragnehmer betreibt keine eigenen Server.• Zugangskontrolle: Anmeldung nur mit persönlichem Konto und bestätigter E-Mail-Adresse; Passwörter mit mindestens 12 Zeichen, gespeichert nur als scrypt-Hash; Begrenzung von Anmeldeversuchen; Sitzungen laufen nach spätestens sieben Tagen ab; Sitzungs-Cookies nur über HTTPS und nicht per Skript lesbar. Die Anwendung greift auf den KI-Dienst ohne dauerhaft gespeicherte Schlüssel zu, mit kurzlebigen Berechtigungen eines Dienstkontos, das nur den KI-Dienst nutzen darf (Workload Identity Federation).• Zugriffskontrolle: Rollen und Rechte je Betrieb (Inhaber, Verwaltung, Leitung, Team, Nur Lesen); Datenexporte nur für Inhaber und Verwaltung; Zugriff von Mitarbeitenden des Auftragnehmers nur, soweit für Betrieb und Support nötig.• Trennungskontrolle: Jeder Datensatz ist einem Betrieb zugeordnet, und die Anwendung prüft bei jedem Zugriff die Zugehörigkeit (Mandantentrennung). Die öffentliche Datenschnittstelle des Datenbank-Dienstleisters ist gesperrt (Row Level Security, keine Rechte für anonyme Zugriffe). Demo und Live-Betrieb laufen getrennt.• Verschlüsselung und Pseudonymisierung: Alle Verbindungen sind per TLS verschlüsselt. Zugangsdaten zu verbundenen Diensten (WhatsApp, Telegram, Kalender) werden mit AES-256-GCM verschlüsselt gespeichert, Kalender-Abo-Links und Webhook-Schlüssel nur als Hash, IP-Adressen zur Missbrauchsabwehr nur als HMAC-Prüfwert. Die Datenbank ist beim Dienstleister verschlüsselt gespeichert.• Weitergabekontrolle: Eingehende Nachrichten von WhatsApp und Telegram, Zahlungsereignisse und Meldungen von Buchungstools werden per Signatur oder geheimem Schlüssel geprüft; ausgehende Webhooks sind signiert und gehen nur an öffentliche HTTPS-Adressen; Datenexporte werden protokolliert.• Eingabekontrolle: Wichtige Änderungen werden mit Zeitpunkt und handelnder Person im Änderungsprotokoll des Betriebs festgehalten.• Verfügbarkeit und Belastbarkeit: Betrieb bei professionellen Hosting- und Datenbank-Dienstleistern mit Datensicherungen; Begrenzung von Anfragen; automatische Wiederholung fehlgeschlagener Hintergrundaufgaben.• Datenminimierung: Gesprächsverläufe werden täglich automatisch gelöscht, sobald sie älter als die vom Auftraggeber gewählte Frist sind (30 Tage bis zwei Jahre); aus verbundenen Kalendern werden nur belegte Zeiten übernommen; Aufnahmen von Sprachnachrichten werden nicht gespeichert; der KI-Dienst erhält nur den nötigen Gesprächsausschnitt.• Regelmäßige Überprüfung: automatisierte Tests der Anwendung, Überprüfung der Maßnahmen bei wesentlichen Änderungen, festgelegtes Vorgehen bei Datenschutzverletzungen, sorgfältige Auswahl und Kontrolle der Unterauftragsverarbeiter.

18. Anlage 2: Unterauftragsverarbeiter

    • Vercel Inc. – Hosting von Website und Anwendung; Server in London (Vereinigtes Königreich), Auslieferung über das weltweite Netz von Vercel; Sitz in den USA: EU-US Data Privacy Framework und EU-Standardvertragsklauseln; für das Vereinigte Königreich Angemessenheitsbeschluss der EU• Supabase Inc. – Datenbank; London (Vereinigtes Königreich); Angemessenheitsbeschluss der EU für das Vereinigte Königreich; für Zugriffe aus den USA EU-Standardvertragsklauseln• Google Cloud EMEA Ltd. (Gemini über Vertex AI) – KI-Antworten, Umwandlung von Sprachnachrichten in Text und Sprachausgabe; globaler Endpunkt: Rechenzentren von Google weltweit, auch in den USA; EU-US Data Privacy Framework und EU-Standardvertragsklauseln; keine Nutzung der Daten zum Training• Resend Inc. – E-Mail-Versand; USA; EU-US Data Privacy Framework und EU-StandardvertragsklauselnStripe verarbeitet keine Daten der Kundinnen und Kunden des Auftraggebers, sondern nur unsere Vertrags- und Zahlungsdaten, und ist daher kein Unterauftragsverarbeiter.

appoint4u ist ein Angebot der PLUS TradeCon GmbH. Fragen: support@appoint4u.com