Auftragsverarbeitungsvertrag

Parteien

Vertrag nach Art. 28 DSGVO zwischen dem Kunden von QCRM als Verantwortlichem („Kunde“) und der Medcycle UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlin, Deutschland, als Auftragsverarbeiter („Anbieter“).

§ 1 Vertragsschluss und Geltung

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen von QCRM und wird mit ihnen geschlossen; einer gesonderten Unterschrift bedarf es nicht. Er gilt, solange der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, und geht in Fragen des Datenschutzes den Nutzungsbedingungen vor. Auf Wunsch stellt der Anbieter eine von ihm unterzeichnete Fassung bereit.

§ 2 Gegenstand, Art, Zweck und Dauer

Gegenstand ist die Bereitstellung von QCRM einschließlich der eingebundenen KI-Telefonie Omnesto: Hosting, Speicherung, Datensicherung, Wartung und Support sowie die Funktionen, die der Kunde nutzt (z. B. E-Mail-Anbindung, Outreach, KI-Funktionen, Telefonassistent). Der Anbieter verarbeitet die Daten ausschließlich, um diese Leistungen zu erbringen. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Zeit bis zur Löschung nach § 11.

§ 3 Datenarten und betroffene Personen

Datenarten: Stamm- und Kontaktdaten; Kommunikationsdaten (E-Mails, Notizen, Gesprächszusammenfassungen und, wenn der Kunde die Aufzeichnung aktiviert, Gesprächsaufnahmen und Transkripte); Vertrags-, Angebots- und Objektdaten; Termine, Aufgaben und Dokumente; Nutzungs- und Protokolldaten; sowie alle weiteren Inhalte, die der Kunde einstellt.

Betroffene Personen: Beschäftigte und Benutzer des Kunden sowie seine Kunden, Interessenten, Ansprechpartner, Geschäftspartner und Anrufende.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Kunde nur, wenn er dafür eine Rechtsgrundlage hat.

§ 4 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Kunden diese Anforderungen vorher mit, soweit das Recht dies nicht verbietet. Weisungen sind dieser Vertrag, die Nutzungsbedingungen, die Einstellungen und Aktionen des Kunden in der Anwendung sowie Einzelweisungen in Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 5 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Kunden erhalten nur Personen, die ihn für Betrieb, Wartung oder Support benötigen, und nur in dem dafür erforderlichen Umfang.

§ 6 Technische und organisatorische Maßnahmen

Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 7 Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Rechenzentren, Hosting und Datensicherung – Deutschland (QCRM und Sicherungen) und Finnland (Omnesto)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland – Versand von Systemnachrichten per E-Mail – Deutschland
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, unter Einbeziehung der Google LLC, USA – Gemini API für KI-Funktionen, nur wenn ein Benutzer sie aufruft – EU und USA
• Telnyx LLC, Chicago, USA – Telefonie und Rufnummern für Omnesto – USA
• Eleven Labs Inc., New York, USA – Spracherkennung, Sprachausgabe und KI-Gesprächsführung für Omnesto – USA
• OpenAI Ireland Ltd., Dublin, Irland, unter Einbeziehung der OpenAI, L.L.C., USA – KI-Auswertung von Gesprächstranskripten für Omnesto – USA

Telnyx, ElevenLabs und OpenAI werden nur eingesetzt, wenn der Kunde Telefoniefunktionen von Omnesto nutzt. E-Mail-Anbieter, die der Kunde selbst verbindet, sind keine Unterauftragsverarbeiter des Anbieters.

Über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Anbieter den Kunden mindestens 30 Tage vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; einigen sich die Parteien nicht, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags und haftet für ihn nach Art. 28 Abs. 4 DSGVO.

§ 8 Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der Europäischen Kommission.

§ 9 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Kapitel III DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Auskunft, Berichtigung, Export und Löschung kann der Kunde weitgehend selbst in der Anwendung vornehmen. Wendet sich eine betroffene Person an den Anbieter, verweist er sie an den Kunden und informiert diesen unverzüglich.

§ 10 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und ergreift unverzüglich Maßnahmen zur Eindämmung.

§ 11 Löschung und Rückgabe

Während der Laufzeit kann der Kunde Daten in der Anwendung exportieren und löschen. Nach Vertragsende werden die CRM-Funktionen gesperrt; die Daten bleiben zunächst gespeichert. Nach 30 Tagen prüft der Anbieter den Bestand und löscht die Daten nach vorheriger Ankündigung in Textform mit angemessener Frist. Auf Verlangen des Kunden gibt er sie vorher in einem gängigen Format heraus oder löscht sie früher. Datenbanksicherungen werden spätestens 30 Tage nach ihrer Erstellung gelöscht oder überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 12 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen. Diese erfolgen vorrangig durch Auskünfte und geeignete Nachweise, etwa Zertifikate der Rechenzentren. Kontrollen vor Ort sind mindestens 30 Tage vorher anzumelden und während der Geschäftszeiten so durchzuführen, dass der Betrieb nicht gestört und die Vertraulichkeit der Daten anderer Kunden gewahrt wird; seine eigenen Kosten trägt der Kunde.

§ 13 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Es gilt deutsches Recht; Gerichtsstand ist Berlin. Für Kunden in der Schweiz gilt dieser Vertrag zugleich als Vertrag nach Art. 9 DSG. Maßgeblich ist die deutsche Fassung.

Anlage: Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland und Finnland mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert. Eigene Serverräume unterhält der Anbieter nicht.
• Zugangskontrolle: administrativer Serverzugang nur mit SSH-Schlüssel und nur für benannte Personen; Firewall; Datenbank und Zwischenspeicher sind aus dem Internet nicht erreichbar. Benutzer melden sich mit persönlichem Passwort an, das nur als Hash gespeichert wird; neue Benutzer erhalten ein einmaliges Passwort, das bei der ersten Anmeldung ersetzt werden muss und nach sieben Tagen verfällt.
• Zugriffskontrolle: strikte Trennung der Workspaces verschiedener Kunden; Rollen und Rechte innerhalb eines Workspace (u. a. Administrator, Mitarbeiter, Nur-Lesen); Zugangsdaten zu Drittsystemen werden verschlüsselt gespeichert.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS); Verbindungen zwischen QCRM und Omnesto mit signierten Anfragen und verschlüsselt gespeicherten Schlüsseln.
• Eingabekontrolle: Protokollierung von Anmeldungen und sicherheitsrelevanten Vorgängen; Aktivitätsverlauf an zentralen Datensätzen.
• Verfügbarkeitskontrolle: tägliche Datenbanksicherungen auf einem getrennten Sicherungsserver in Deutschland; zusätzliche Sicherung vor jeder Aktualisierung mit Prüfung ihrer Lesbarkeit; Container mit automatischem Neustart.
• Trennungskontrolle: Mandantentrennung in der Anwendung; getrennte Entwicklungs- und Produktionsumgebungen.
• Überprüfung: regelmäßige Aktualisierung von Betriebssystem und Software; automatisierte Tests vor jeder Veröffentlichung; Überprüfung der Maßnahmen bei wesentlichen Änderungen.