Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (im Folgenden 'AVV') konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung der von Neltacore, LLC unter dem Markennamen 'Deskwoot' bereitgestellten Software-as-a-Service-Plattform (im Folgenden 'Hauptvertrag') ergeben. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder durch ihn beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen. Dieser AVV erfüllt die Anforderungen des Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ergibt sich aus dem Hauptvertrag, auf den hier verwiesen wird (Bereitstellung der Deskwoot-Plattform für Kundensupport-Operationen).

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Mit Beendigung des Hauptvertrags endet auch dieser AVV automatisch, sofern keine gesetzlichen Aufbewahrungspflichten dem entgegenstehen.

§ 2 Konkretisierung des Auftragsinhalts

(1) Art und Zweck der vorgesehenen Verarbeitung: Verarbeitung personenbezogener Daten zur Bereitstellung von Kundensupport-Funktionen einschließlich Multi-Channel-Inbox, KI-gestützter Antwort-Automatisierung, Wissensdatenbank, Live-Chat-Widget, Reporting und Integration in E-Commerce-Systeme des Auftraggebers sowie in weitere vom Auftraggeber angebundene Geschäftssoftware (etwa Systeme für Buchungen, Praxisverwaltung, CRM, Aufträge und Buchhaltung).

(2) Art der personenbezogenen Daten: Stamm- und Kontaktdaten (Name, E-Mail, Telefon), Kommunikationsinhalte (Nachrichten, Tickets), Order-/Bestelldaten (sofern Auftraggeber E-Commerce-Integration nutzt), Nutzungs- und Zugriffsdaten (IP-Adresse, User-Agent, Zeitstempel), ggf. weitere von der betroffenen Person freiwillig übermittelte Daten; Termindaten, Daten aus CRM Systemen und zu Interessenten sowie Rechnungsdaten (Nummern von Rechnungen und Angeboten, Daten, Beträge und Zahlungsstatus), jeweils soweit der Auftraggeber solche Software anbindet; ist der Auftraggeber eine Gesundheitspraxis, auch die Tatsache, dass eine Person dort Patientin oder Patient ist.

(3) Aggregierte Bot-Kontextdaten: Soweit der Auftraggeber den KI-Bot oder das AI-Copilot-Feature nutzt, blendet der Auftragnehmer aggregierte Handelskennzahlen der jeweils zugeordneten betroffenen Person im System-Prompt des Sprachmodells ein, damit Bot-Antworten kontextbezogen und ohne unnötige Tool-Aufrufe erstellt werden können. Konkret betroffen sind: Anzahl der Bestellungen, Datum der letzten Bestellung, kumulierter Bestellwert nebst Währung sowie ein Hinweis, ob die zugrunde liegende Integration zeitnah synchronisiert wird. Personenbezogene Detailangaben zu einzelnen Bestellungen (Adresse, Zahlungsmittel, Inhalte) werden nur dann eingeblendet, wenn die Konversation zuvor durch einen Magic-Link-Workflow auf Tier-2 verifiziert wurde.

(4) Kategorien betroffener Personen: Endkunden des Auftraggebers, Mitarbeiter und Agenten des Auftraggebers (sofern diese die Plattform nutzen), Besucher der vom Auftraggeber betriebenen Webseiten (sofern Live-Chat-Widget eingebunden) sowie, soweit der Auftraggeber solche Software anbindet, seine Patientinnen und Patienten, Interessenten für Kauf und Miete und seine Kundinnen und Kunden.

(5) Angebundene Software: Auf Weisung des Auftraggebers tauscht der Auftragnehmer personenbezogene Daten mit Software aus, die der Auftraggeber unter einem eigenen Vertrag mit deren Anbieter anbindet. Diese Anbieter sind keine Unterauftragnehmer des Auftragnehmers und können Daten außerhalb der EU und des EWR verarbeiten (zum Beispiel in den USA, Kanada, dem Vereinigten Königreich oder Australien).

§ 3 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer hat die in Anlage A beschriebenen technischen und organisatorischen Maßnahmen (TOM) zum Schutz der personenbezogenen Daten zu treffen und während der Dauer des Auftrags aufrechtzuerhalten.

(2) Der Auftragnehmer überprüft die Maßnahmen regelmäßig und passt sie dem aktuellen Stand der Technik an. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

(3) Die Maßnahmen werden so festgelegt und durchgeführt, dass sie ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO).

§ 4 Berichtigung, Einschränkung und Löschung von Daten

(1) Der Auftragnehmer wird Daten nur nach den Weisungen des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Dies gilt insbesondere für Anfragen betroffener Personen nach Art. 15-22 DSGVO.

(2) Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Löschung oder Auskunft wendet, leitet der Auftragnehmer die Anfrage unverzüglich an den Auftraggeber weiter.

(3) Der Auftragnehmer stellt im Rahmen seiner Plattform Funktionen bereit, mit denen der Auftraggeber Anfragen betroffener Personen selbst bearbeiten kann (z.B. Datenexport, Account-Löschung).

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der Weisungen des Auftraggebers und im Rahmen des Hauptvertrags.

(2) Der Auftragnehmer verpflichtet seine zur Verarbeitung befugten Beschäftigten zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragnehmer benennt auf Verlangen einen Ansprechpartner für Datenschutzangelegenheiten. Anfragen sind zu richten an: hello@deskwoot.com.

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32-36 DSGVO genannten Pflichten.

(5) Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 2 DSGVO werden vom Auftragnehmer dokumentiert und auf Anforderung des Auftraggebers oder einer Aufsichtsbehörde vorgelegt.

§ 5a Schutz von Berufsgeheimnissen

(1) Dieser Paragraph gilt, soweit der Auftraggeber einer gesetzlichen Pflicht zur Wahrung fremder Geheimnisse unterliegt, insbesondere als Angehöriger eines Heilberufs nach § 203 Abs. 1 Nr. 1 StGB (zum Beispiel Ärztin oder Arzt, Zahnärztin oder Zahnarzt, Psychotherapeutin oder Psychotherapeut, Physiotherapeutin oder Physiotherapeut). Der Auftragnehmer wirkt dann an der beruflichen Tätigkeit des Auftraggebers als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB mit.

(2) Der Auftragnehmer verpflichtet sich, alle fremden Geheimnisse geheim zu halten, die ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit für den Auftraggeber bekannt werden. Dazu gehören insbesondere die Inhalte aller Nachrichten und Dateien sowie schon die Tatsache, dass eine Person mit dem Auftraggeber in Kontakt steht oder seine Patientin oder sein Patient ist. Diese Pflicht gilt nach Ende des Hauptvertrags fort.

(3) Der Auftragnehmer verschafft sich und den bei ihm tätigen Personen Kenntnis von solchen Geheimnissen nur, soweit dies für die Leistungen nach dem Hauptvertrag erforderlich ist, insbesondere für Betrieb, Sicherheit, Fehlerbehebung, Support und eine vom Auftraggeber beauftragte Einrichtung.

(4) Der Auftragnehmer ist darüber belehrt, dass er sich nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn er ein solches Geheimnis unbefugt offenbart, und nach § 203 Abs. 4 Satz 2 Nr. 2 StGB, wenn er sich einer weiteren mitwirkenden Person bedient, ohne dafür zu sorgen, dass diese zur Geheimhaltung verpflichtet wurde.

(5) Der Auftragnehmer verpflichtet alle Beschäftigten und sonstigen Personen, die bei ihm an den Leistungen mitwirken und Kenntnis von solchen Geheimnissen erlangen können, vor Beginn ihrer Tätigkeit in Textform zur Geheimhaltung und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung.

(6) Der Auftraggeber gestattet, dass der Auftragnehmer die in Anlage B genannten Unterauftragnehmer als weitere mitwirkende Personen einsetzt (§ 203 Abs. 3 Satz 2 Halbsatz 2 StGB). Der Auftragnehmer gibt ihnen Geheimnisse nur weiter, soweit dies für ihre Leistung erforderlich ist. Er sorgt dafür, dass jeder Unterauftragnehmer vertraglich zur Geheimhaltung der Daten des Auftraggebers verpflichtet ist und diese Pflicht an seine Beschäftigten und an weitere Unterauftragnehmer weitergibt.

(7) Verlangt eine Behörde oder ein Gericht die Herausgabe solcher Daten, informiert der Auftragnehmer den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist, und gibt nur heraus, wozu er rechtlich verpflichtet ist.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber stimmt der Beauftragung der in Anlage B aufgeführten Unterauftragnehmer zu.

(2) Der Auftragnehmer informiert den Auftraggeber rechtzeitig über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Auftragsverarbeiter, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3) Bei Unterauftragnehmern in Drittländern (außerhalb des EWR) gewährleistet der Auftragnehmer ein angemessenes Datenschutzniveau insbesondere durch den Abschluss von EU-Standardvertragsklauseln (SCC).

(4) Der Auftragnehmer wählt seine Unterauftragnehmer sorgfältig aus und überprüft regelmäßig deren Datenschutzniveau.

(5) Der Auftragnehmer erlegt jedem Unterauftragnehmer durch Vertrag dieselben Datenschutzpflichten auf, die dieser AVV für die jeweilige Leistung festlegt (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragnehmer seine Datenschutzpflichten nicht, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

§ 7 Kontrollrechte

(1) Der Auftraggeber überzeugt sich vor Beginn und während der Datenverarbeitung von den technischen und organisatorischen Maßnahmen des Auftragnehmers. Hierzu kann er z.B. Auskünfte einholen, vorhandene Testate (z.B. ISO 27001, SOC 2) oder Selbstaudits einsehen.

(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten überzeugen kann. Auf Anforderung erhält der Auftraggeber alle hierzu erforderlichen Informationen.

§ 8 Mitteilung bei Verstößen

(1) Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme, über Verletzungen des Schutzes personenbezogener Daten i.S.d. Art. 33 DSGVO.

(2) Die Meldung enthält mindestens: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, mögliche Folgen, ergriffene und vorgeschlagene Gegenmaßnahmen.

§ 9 Weisungsbefugnis

(1) Mündliche Weisungen werden vom Auftraggeber unverzüglich schriftlich oder per E-Mail bestätigt.

(2) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.

(3) Der Auftragnehmer ist berechtigt, die Durchführung einer entsprechenden Weisung solange auszusetzen, bis sie durch den verantwortlichen Auftraggeber bestätigt oder geändert wird.

§ 10 Löschung und Rückgabe von personenbezogenen Daten

(1) Nach Beendigung des Hauptvertrags hat der Auftragnehmer alle in seinen Besitz gelangten personenbezogenen Daten nach Wahl des Auftraggebers entweder zurückzugeben oder datenschutzgerecht zu löschen.

(2) Eine Verpflichtung zur Aufbewahrung nach gesetzlichen Vorschriften bleibt unberührt.

(3) Die Plattform stellt dem Auftraggeber Self-Service-Funktionen für Datenexport und Account-Löschung zur Verfügung. Auf gesonderte schriftliche Anfrage führt der Auftragnehmer die Löschung manuell durch.

§ 11 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland, soweit der Auftraggeber seinen Sitz in Deutschland hat. Andernfalls gilt das Recht des Landes, in dem der Auftraggeber seinen Sitz hat, sofern dies zwingendes EU-Recht ist.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Wirksamkeit des AVV im Übrigen nicht berührt. Die Parteien werden anstelle der unwirksamen Bestimmung eine wirksame Bestimmung vereinbaren, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform; eine elektronische Annahme über die Plattform des Auftragnehmers ist gemäß Art. 28 Abs. 9 DSGVO ausreichend.

(4) Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag haben die Regelungen dieses AVV Vorrang.

Anlage A - Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Der Auftragnehmer hat die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten getroffen.

Anlage B - Liste der genehmigten Unterauftragnehmer

Der Auftraggeber stimmt der Beauftragung der nachfolgend aufgeführten Unterauftragnehmer zu. Über Änderungen wird der Auftragnehmer den Auftraggeber rechtzeitig informieren (vgl. § 6 Abs. 2).