Vertrag zur Auftragsverarbeitung (AVV)

Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (z. B. die Arztpraxis, Kanzlei oder das Unternehmen), der den Dienst „Callaro" nutzt — nachfolgend „Auftraggeber".

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Callaro, Inhaber Kaan Cayoglu, Beethovenstr. 21, 76676 Graben-Neudorf — nachfolgend „Auftragnehmer".

Auftraggeber und Auftragnehmer nachfolgend einzeln „Partei", gemeinsam „Parteien".

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung des KI-gestützten Telefonassistenten „Callaro". Der Auftragnehmer nimmt für den Auftraggeber eingehende Telefonanrufe entgegen, führt das Gespräch automatisiert, vereinbart Termine, nimmt Anliegen auf, dokumentiert Gesprächsergebnisse und leitet diese an den Auftraggeber weiter.

Art der Verarbeitung: Erheben, Erfassen, Aufzeichnen (Sprache → Text), Speichern, Verändern, Auslesen, Verschlüsseln, Übermitteln an den Auftraggeber sowie Löschen.
Zweck: Telefonische Erreichbarkeit, Terminvereinbarung und Anliegenbearbeitung im Auftrag des Auftraggebers.
Dauer: Der Auftrag läuft für die Dauer des zugrunde liegenden Hauptvertrags. Er endet mit dessen Beendigung; die Regelungen zu Löschung und Rückgabe (§ 9) bleiben bestehen.

§ 2 Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten

• Bestands- und Kontaktdaten (z. B. Name, Telefonnummer, ggf. Geburtsdatum, Anliegen),
• Termin- und Vorgangsdaten (gewünschte Termine, Rückrufwünsche, Notizen),
• Kommunikationsinhalte (Sprachaufzeichnung bzw. -transkript und Gesprächszusammenfassung),
• Verkehrs- und Metadaten des Anrufs (z. B. Anrufzeitpunkt, Rufnummer).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Soweit der Auftraggeber eine Arztpraxis oder Einrichtung des Gesundheitswesens ist, können bei der Verarbeitung Gesundheitsdaten (Art. 9 Abs. 1 DSGVO) anfallen (z. B. Hinweis auf Beschwerden im Rahmen einer Terminanfrage). Beide Parteien treffen hierfür erhöhte Schutzmaßnahmen (vgl. § 4 und Anlage 1). Der Auftragnehmer und seine Beschäftigten unterliegen insoweit auch der Verpflichtung nach § 203 StGB (siehe § 4).

Kategorien betroffener Personen

• Anruferinnen und Anrufer des Auftraggebers (z. B. Patientinnen/Patienten, Mandanten, Kunden),
• Mitarbeitende und Ansprechpartner des Auftraggebers.

§ 3 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). Mündliche Weisungen werden unverzüglich in Textform bestätigt. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 4 Pflichten des Auftragnehmers

• Vertraulichkeit: Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO) und stellt sicher, dass diese nur auf Weisung handeln.
• Berufsgeheimnis (§ 203 StGB): Soweit der Auftragnehmer an Berufsgeheimnissen des Auftraggebers mitwirkt, verpflichtet er sich und die mitwirkenden Personen gemäß § 203 Abs. 4 StGB zur Geheimhaltung und weist sie auf die Strafbarkeit einer unbefugten Offenbarung hin.
• Datensicherheit (Art. 32 DSGVO): Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) und hält diese auf dem Stand der Technik.
• Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrung der Betroffenenrechte (§ 7), bei der Meldung von Datenschutzverletzungen (§ 8) sowie bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO).
• Datenschutzbeauftragter: Der Auftragnehmer benennt eine für den Datenschutz zuständige Kontaktstelle: kontakt@callaro.de.
• Ort der Verarbeitung: Die Verarbeitung findet ausschließlich innerhalb der EU/des EWR statt, soweit in Anlage 2 nicht ausdrücklich anders geregelt.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer gewährleistet die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Änderungen sind zulässig, soweit das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverhältnisse

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine schriftliche Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer informiert den Auftraggeber rechtzeitig über beabsichtigte Änderungen (Hinzufügung oder Austausch); der Auftraggeber kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag vereinbart sind. Erfolgt eine Übermittlung in ein Drittland, stützt der Auftragnehmer diese auf geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere die Standardvertragsklauseln der EU-Kommission.

§ 7 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12–23 DSGVO) nachzukommen. Richten sich betroffene Personen unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden, und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 9 Löschung und Rückgabe nach Beendigung

Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung wird auf Verlangen in Textform bestätigt.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt (Art. 28 Abs. 3 lit. h DSGVO). Nachweise können auch durch aktuelle Zertifikate, Testate oder Berichte unabhängiger Stellen erbracht werden.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags bzw. der AGB, soweit sie zwingenden datenschutzrechtlichen Vorgaben nicht entgegenstehen.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Hosting in einem zertifizierten Rechenzentrum (Hetzner, Frankfurt/Deutschland) mit Zutrittssicherung.
• Zugangskontrolle: Individuelle Benutzerkonten, Passwörter werden ausschließlich als Hash gespeichert, rollenbasierte Rechte (Superadmin / Inhaber).
• Zugriffskontrolle: Berechtigungskonzept nach dem Need-to-know-Prinzip.
• Trennungskontrolle: Mandantenfähige Architektur mit strikter logischer Trennung der Daten je Kunde (Mandant).

Integrität

• Verschlüsselung bei der Übertragung: Durchgängige TLS-Verschlüsselung aller Verbindungen.
• Verschlüsselung bei der Speicherung: Verschlüsselung sensibler Felder auf Feldebene (u. a. der Gesprächszusammenfassung) at rest.
• Datenminimierung: Kalendereinträge enthalten nur eine Referenz, keine Klarnamen oder Diagnosen.

Verfügbarkeit und Belastbarkeit

• Regelmäßige (nächtliche) Datensicherungen.
• Hosting innerhalb Deutschlands.

Verfahren zur regelmäßigen Überprüfung

• Überprüfung und Aktualisierung der Maßnahmen nach dem Stand der Technik (Art. 32 Abs. 1 lit. d).

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Diese Liste wird bei Änderungen aktualisiert. Maßgeblich ist die jeweils zum Vertragsschluss gültige Fassung. Bei Fragen: kontakt@callaro.de.