Auftragsverarbeitungsvertrag (AVV)

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich der automatisierten Telefonannahme („KI-Telefonassistent") sowie damit verbundener Automatisierungen wie Terminvergabe, Erinnerungen, Rückruflisten und Berichte.

(2) Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

(3) Die Dauer dieses Vertrages entspricht der Laufzeit des zugrunde liegenden Hauptvertrages. Er endet automatisch mit dessen Beendigung.

(1) Zweck der Verarbeitung ist die Entgegennahme und Bearbeitung eingehender Telefonanrufe für den Verantwortlichen, insbesondere die Erfassung von Anliegen, die Vergabe von Terminen, die Versendung von Bestätigungen und Erinnerungen sowie die Weiterleitung dringender Fälle nach den vom Verantwortlichen vorgegebenen Regeln.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Verwenden, Übermitteln und Löschen.

(3) Art der personenbezogenen Daten:

• Rufnummer der anrufenden Person
• Name, sofern von der anrufenden Person genannt
• Inhalt des Gesprächs in Form einer maschinell erzeugten Textabschrift
• Termin- und Kontaktdaten, die im Gespräch genannt werden
• Zeitpunkt und Dauer des Anrufs
• Bei Bedarf: E-Mail-Adresse für Bestätigungen und Erinnerungen

(4) Es findet keine dauerhafte Speicherung von Sprachaufnahmen statt. Die Audioverarbeitung erfolgt ausschließlich flüchtig zur Erzeugung der Textabschrift. Eine Sprachaufzeichnung ist technisch deaktiviert.

(5) Kategorien betroffener Personen: Anrufende Personen, insbesondere Kundinnen und Kunden, Patientenhalter, Gäste und Interessenten des Verantwortlichen.

(6) Der Auftragsverarbeiter verarbeitet keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Sollten solche Daten von anrufenden Personen unaufgefordert genannt werden, werden sie nicht gesondert ausgewertet und unterliegen denselben Löschfristen.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag sowie die bei der Einrichtung gemeinsam festgelegten Konfigurationen gelten als Weisung.

(2) Änderungen des Verarbeitungsgegenstands und Verfahrensänderungen sind in Textform zu vereinbaren.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den in § 2 genannten Zwecken.

(2) Er trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 1 beschrieben.

(3) Er stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

(4) Er unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO sowie bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO.

(5) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, in Textform.

(6) Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vorliegen. Ansprechpartner in Datenschutzfragen ist: Radostin Krastev, info@akrkwebs.de

(1) Der Telefonassistent weist anrufende Personen zu Beginn jedes Gesprächs darauf hin, dass es sich um ein KI-System handelt und dass das Gespräch schriftlich protokolliert wird. Dies erfolgt in Erfüllung von Artikel 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz.

(2) Auf die ausdrückliche Frage, ob es sich um einen Menschen handelt, antwortet das System verneinend.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, dass der Auftragsverarbeiter weitere Auftragsverarbeiter einsetzt. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor einer beabsichtigten Änderung in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Im Fall eines berechtigten Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die den hier vereinbarten entsprechen.

(1) Ein Teil der Sprachverarbeitung erfolgt bei Dienstleistern mit Sitz oder Verarbeitungsorten außerhalb der Europäischen Union. Die betreffenden Dienstleister sind in Anlage 2 gekennzeichnet.

(2) Für diese Übermittlungen bestehen geeignete Garantien nach Kapitel V DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914 und, soweit einschlägig, die Zertifizierung nach dem EU-US Data Privacy Framework.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zugrunde liegenden Nachweise sowie die durchgeführte Übermittlungs-Folgenabschätzung zur Verfügung.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen.

(2) Der Verantwortliche legt die Regeln fest, nach denen der Assistent Anliegen einordnet und weiterleitet, und prüft sie vor Inbetriebnahme gemeinsam mit dem Auftragsverarbeiter.

(3) Der Verantwortliche bleibt für die Organisation seiner Notfallerreichbarkeit verantwortlich. Der Assistent trifft keine fachliche Beurteilung.

(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrages zu überprüfen. Der Auftragsverarbeiter erteilt hierzu Auskunft und legt die erforderlichen Nachweise vor.

(2) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung von mindestens vier Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.

(1) Textabschriften und zugehörige Anrufdaten werden nach der mit dem Verantwortlichen vereinbarten Frist automatisch gelöscht. Ohne abweichende Vereinbarung beträgt diese Frist 30 Tage.

(2) Nach Beendigung des Vertrages löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Die Löschung wird auf Anfrage in Textform bestätigt.

Für die Haftung gelten die Regelungen des Hauptvertrages sowie Art. 82 DSGVO.

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, München.

Vertraulichkeit

• Kein eigener Serverbetrieb; die Verarbeitung erfolgt bei den in Anlage 2 genannten Dienstleistern in gesicherten Rechenzentren.
• Zugang zu allen Systemen ausschließlich über persönliche Konten mit Zwei-Faktor-Authentifizierung.
• Zugangsdaten werden in einem verschlüsselten Passwortmanager verwaltet und nicht geteilt.
• Zugriff auf Kundendaten nur für die beiden Gesellschafter der AKRK Webs und nur, soweit für die Leistungserbringung erforderlich.
• Mandantentrennung: Daten jedes Verantwortlichen werden logisch getrennt verarbeitet und gespeichert.

Integrität

• Übertragung ausschließlich verschlüsselt (TLS).
• Änderungen an der Konfiguration eines Assistenten werden protokolliert und sind nachvollziehbar.
• Eingaben und Weiterleitungen sind über Gesprächsprotokolle nachvollziehbar.

Verfügbarkeit und Belastbarkeit

• Automatische Rufumleitung auf eine vom Verantwortlichen benannte Rufnummer bei Störung des Dienstes. Diese Umleitung ist beim Telefonanbieter hinterlegt und wirkt unabhängig von der Verfügbarkeit des Assistenten.
• Laufende Überwachung der Erreichbarkeit mit automatischer Benachrichtigung bei Störungen.
• Regelmäßige Sicherungen der Konfigurationsdaten.

Verfahren zur Überprüfung

• Jährliche Überprüfung dieser Maßnahmen und der Liste der Unterauftragsverarbeiter.
• Löschkonzept mit automatisierten Fristen je Verantwortlichem.
• Meldeprozess für Datenschutzverletzungen mit Frist von 24 Stunden gegenüber dem Verantwortlichen.

Datenminimierung

• Keine dauerhafte Speicherung von Sprachaufnahmen.
• Erhebung ausschließlich der für das Anliegen erforderlichen Daten.