Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird geschlossen zwischen dem Tenant (im Folgenden „Verantwortlicher“) und

Timon Filipovic, handelnd unter „Recelia“
In der Breite 54, 79224 Umkirch, Deutschland
(im Folgenden „Auftragsverarbeiter“ oder „Recelia“).

Der AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen in Datenschutzangelegenheiten geht der AVV vor.

• Gegenstand: Verarbeitung personenbezogener Daten der Endkunden des Verantwortlichen im Rahmen der Plattform Recelia (KI-Rezeptionist).
• Dauer: für die Laufzeit des Hauptvertrags (AGB).
• Art und Zweck: Bearbeitung von Kundenanfragen, Terminbuchung, FAQ-Beantwortung, Versand von Bestätigungen und Erinnerungen, optionale Voice-Aufnahme und -Transkription, Versand über WhatsApp, SMS und E-Mail, KI-gestützte Antworten über Sprachmodelle.

• Datenkategorien: Name, Telefonnummer, E-Mail-Adresse (sofern angegeben), Terminhistorie, Konversationsinhalte (Chat, WhatsApp, SMS), Voice-Audio und -Transkripte (sofern aktiv), bei Medizin-Vertikalen gegebenenfalls Gesundheitsdaten (Art. 9 DSGVO).
• Betroffene Personen: Endkunden, Interessenten und sonstige Anrufer oder Schreiber des Verantwortlichen.

Recelia verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung etwas anderes vorschreibt. Die Konfiguration im Dashboard und die Annahme von AGB und AVV gelten als Standardweisung. Recelia informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Recelia verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit nach Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO.

• Vertraulichkeit: rollenbasierte Zugriffsberechtigungen, Multi-Faktor-Authentifizierung für administrative Konten, logische Mandantentrennung pro Tenant mit Tenant-ID und Row-Level Security.
• Integrität: Verschlüsselung bei der Übertragung (TLS 1.2+) und bei der Speicherung (AES-256), Versionskontrolle, Code-Reviews.
• Verfügbarkeit: regelmäßige Backups in der EU-Region (Frankfurt), Monitoring, Incident-Response-Prozess.
• Überprüfung: regelmäßige Überprüfung der Maßnahmen, Datenschutz-Folgenabschätzung bei wesentlichen Änderungen.

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Einbindung der in der Datenschutzerklärung aufgeführten Subprozessoren. Recelia informiert über beabsichtigte Änderungen mit einer Vorankündigung von mindestens 30 Tagen. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Recelia schließt mit jedem Subprozessor einen AVV mit im Wesentlichen vergleichbaren Pflichten.

Recelia unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO) und der Pflichten nach Art. 32 bis 36 DSGVO durch geeignete technische und organisatorische Maßnahmen. Recelia informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, über eine bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO).

Nach Beendigung der Verarbeitungstätigkeit gibt Recelia nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Wunsch bestätigt.

Recelia stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten zu belegen. Der Verantwortliche kann einmal jährlich oder anlassbezogen Audits durchführen, in der Regel auf Basis aussagekräftiger Zertifikate der Subprozessoren und schriftlicher Auskünfte. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung von mindestens 30 Tagen möglich; die Kosten trägt der Verantwortliche.

Soweit Recelia personenbezogene Daten in Drittländer übermittelt, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795) oder auf Grundlage von Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 mit erforderlichen Zusatzmaßnahmen.

Im Außenverhältnis gegenüber Betroffenen gilt Art. 82 DSGVO, im Innenverhältnis gelten die Haftungsregelungen der AGB. Es gilt deutsches Recht, Gerichtsstand ist Freiburg im Breisgau. Änderungen bedürfen der Textform.

Dieser AVV wird beim Onboarding zur Annahme bereitgestellt und ist auf Anfrage als unterschriebenes Dokument erhältlich. Anfragen an kontakt@recelia.app.