Auftragsverarbeitungsvertrag (AVV)

Dies ist die aktuelle Fassung unseres Auftragsverarbeitungsvertrags. Bei Abschluss eines Nutzungsvertrags über IMMER RAN wird dieser Vertrag automatisch Bestandteil Ihres Vertragsverhältnisses mit uns, mit Ihrem Unternehmen als „Verantwortlicher” im untenstehenden Sinne.

zwischen

dem jeweiligen Kunden (dem Handwerksbetrieb, der IMMER RAN nutzt)

— nachfolgend „Verantwortlicher” —

und

Fairdient GmbH, Kaiserswerther Straße 135, 40474 Düsseldorf
— nachfolgend „Auftragsverarbeiter” —

§ 1 Gegenstand und Dauer des Vertrags

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung des Produkts „IMMER RAN” — eines digitalen KI-Telefonassistenten, der eingehende Kundenanrufe des Verantwortlichen entgegennimmt, Anfragen aufnimmt und an den Verantwortlichen weiterleitet.

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag über IMMER RAN) zwischen den Parteien.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten zu folgenden Zwecken:

• Entgegennahme eingehender Telefonanrufe der Kunden des Verantwortlichen mittels KI-gestützter Sprachverarbeitung.
• Aufnahme von Kontaktdaten und Anliegen der Anrufer.
• Einschätzung der Dringlichkeit von Anfragen, insbesondere Notfallerkennung.
• Weiterleitung der aufgenommenen Informationen an den Verantwortlichen per WhatsApp, E-Mail und/oder in ein Kalendersystem.
• Protokollierung und Speicherung von Gesprächsdaten zu Abrechnungs- und Qualitätssicherungszwecken.

§ 3 Kategorien betroffener Personen

• Anrufer und Kunden des Verantwortlichen (Endkunden).
• Ggf. Mitarbeiter des Verantwortlichen, soweit diese als Ansprechpartner benannt sind.

§ 4 Art der personenbezogenen Daten

• Name des Anrufers.
• Anschrift des Einsatzortes.
• Telefonnummer (Rückrufnummer, automatisch übermittelte Anrufer-ID).
• Inhalt des geschilderten Anliegens, freitextlich, ggf. inklusive Angaben zur Wohnsituation wie Eigentum oder Miete bei Notfällen.
• Gesprächsmitschnitt bzw. -transkript.
• Zeitpunkt und Dauer des Anrufs.

Hinweis: Sollte im Einzelfall auch Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO anfallen — zum Beispiel wenn ein Anrufer gesundheitliche Gründe für Dringlichkeit nennt — ist dies mit dem Auftragsverarbeiter gesondert zu besprechen, da hierfür ggf. zusätzliche Schutzmaßnahmen erforderlich sind.

§ 5 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.

(2) Die Konfiguration des digitalen Telefonassistenten, insbesondere Gesprächsleitfaden, Notfalldefinitionen und Datenaufnahme-Umfang, gilt als generelle Weisung des Verantwortlichen im Rahmen des Onboardings.

§ 6 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen zu verarbeiten.
• Die zur Einhaltung der Vertraulichkeit verpflichteten Personen, also eigene Mitarbeiter und Subunternehmer, entsprechend zu verpflichten.
• Angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen, siehe Anlage 1.
• Den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO angemessen zu unterstützen.
• Den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren, die die verarbeiteten Daten betreffen.
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Kontrollen zu ermöglichen.
• Nach Beendigung der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine generelle Zustimmung zum Einsatz folgender Unterauftragsverarbeiter:

• Twilio Inc. — Telefonie-Infrastruktur — Sitz: USA/Irland
• ElevenLabs Inc. — KI-Sprachverarbeitung — Sitz: USA
• Anthropic — Sprachmodell — Sitz: USA
• n8n — Workflow-Automatisierung — Sitz: wird ergänzt
• Google Ireland Limited — Kalenderintegration — Sitz: Irland/USA
• Meta Platforms Ireland Ltd. — WhatsApp-Benachrichtigungen — Sitz: Irland/USA

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter. Der Verantwortliche kann diesen Änderungen innerhalb von 14 Tagen widersprechen.

(3) Der Auftragsverarbeiter stellt sicher, dass mit allen Unterauftragsverarbeitern Vereinbarungen bestehen, die ein Datenschutzniveau gewährleisten, das dem in diesem Vertrag vereinbarten entspricht, einschließlich geeigneter Garantien für Drittlandtransfers wie Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework.

§ 8 Technische und organisatorische Maßnahmen

Siehe Anlage 1 zu diesem Vertrag.

§ 9 Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich vor Beginn der Datenverarbeitung und danach regelmäßig von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen, insbesondere durch Einholung von Nachweisen, Zertifikaten oder — bei begründetem Anlass — durch eigene Kontrollen nach vorheriger Ankündigung.

§ 10 Haftung

Es gelten die gesetzlichen Haftungsregelungen der DSGVO, insbesondere Art. 82 DSGVO.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit: Zugangskontrolle zu Systemen durch Passwortschutz und, wo verfügbar, Zwei-Faktor-Authentifizierung. Zugriffskontrolle nach dem Prinzip minimaler Rechtevergabe. Verschlüsselte Übertragung (TLS/SSL) bei allen Datenübertragungen.

Integrität: Protokollierung von Datenveränderungen, soweit technisch vorgesehen. Trennung von Test- und Produktivsystemen.

Verfügbarkeit und Belastbarkeit: Regelmäßige Datensicherung durch die eingesetzten Cloud-Dienstleister. Notfallwiederherstellungskonzept wird ergänzt.

Verfahren zur Überprüfung: Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.