Auftragsverarbeitungsvertrag

1. Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, also das Pflegeunternehmen, das Sanavi nutzt. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

Büttner Holding GmbH
Karlstraße 57
45661 Recklinghausen
Deutschland
Vertreten durch den Geschäftsführer: Christopher Büttner
E-Mail: legal@sanaviai.de

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Nutzungsvertrag über die Plattform Sanavi. Er gilt für dessen gesamte Laufzeit einschließlich einer kostenlosen Testphase.

2. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform Sanavi zur Entgegennahme, Strukturierung und Bearbeitung eingehender Kommunikation des Verantwortlichen über WhatsApp, Telefon, Website-Chat und E-Mail sowie die damit verbundene KI-gestützte Verarbeitung.

Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht. Nach dessen Beendigung gilt Ziffer 11.

3. Art und Zweck der Verarbeitung

• Empfang, Speicherung und Anzeige eingehender Nachrichten und Anrufe;
• Umwandlung von Sprachnachrichten und Telefonaten in Text;
• automatische Einordnung des Anliegens und Erkennung sicherheitsrelevanter Signale;
• Auslesen strukturierter Angaben aus Nachrichten und hochgeladenen Dokumenten;
• Erstellung von Antwortentwürfen und, nach Vorgabe des Verantwortlichen, deren automatischer Versand;
• Terminverwaltung, Terminvorschläge, Bestätigungen und Erinnerungen;
• Führung von Kontakt-, Anfrage- und Bewerberdaten;
• Protokollierung von Einwilligungen und Änderungen;
• Bereitstellung von Auswertungen und Datenexporten.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden Inhalte des Verantwortlichen nicht zum Training von KI-Modellen verwendet.

4. Art der personenbezogenen Daten

• Stammdaten: Name, Anrede, Beziehung zur pflegebedürftigen Person;
• Kontaktdaten: Rufnummer, E-Mail-Adresse, Ort oder Postleitzahl;
• Kommunikationsinhalte: Nachrichten, Sprachnachrichten, Gesprächstranskripte, Anhänge;
• Vertrags- und Vorgangsdaten: Anliegen, Termine, Zuständigkeiten, Bearbeitungsstände;
• Bewerberdaten: Qualifikation, Berufserfahrung, Verfügbarkeit, Lebenslauf und Zeugnisse;
• technische Daten: Zeitstempel, Geräte- und Verbindungsinformationen, Protokolldaten;
• besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, soweit sie in Anfragen genannt werden, insbesondere Pflegegrad, Pflegebedarf und Angaben zum Gesundheitszustand.

Da regelmäßig Gesundheitsdaten verarbeitet werden, gelten erhöhte Schutzanforderungen. Der Verantwortliche stellt die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher.

5. Kategorien betroffener Personen

• Interessentinnen und Interessenten sowie deren Angehörige;
• bestehende Pflegekundinnen und Pflegekunden sowie deren Angehörige und Betreuungspersonen;
• Bewerberinnen und Bewerber;
• Beschäftigte des Verantwortlichen, die Sanavi nutzen;
• sonstige geschäftliche Kontaktpersonen, etwa aus Kliniken, Kassen oder beim Medizinischen Dienst.

6. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten dieser Vertrag, der Nutzungsvertrag sowie die Konfiguration, die der Verantwortliche in der Plattform vornimmt. Dazu zählen insbesondere die gewählte Stufe der Eigenständigkeit des Assistenten, freigegebene Anliegen, Aufbewahrungsfristen, verbundene Kanäle und Kalender.

Weisungen im Einzelfall erfolgen in Textform an legal@sanaviai.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Vertraulichkeit: mandantengetrennte Datenhaltung mit erzwungener Zeilenzugriffskontrolle in der Datenbank; rollenbasierte Rechte; Bestätigung in zwei Schritten für Konten; SSH-Key-basierter Serverzugang ohne Passwort-Login.
• Verschlüsselung: Übertragung ausschließlich über TLS 1.2 oder TLS 1.3; hochgeladene Dateien werden mit AES-256-GCM verschlüsselt gespeichert.
• Integrität: Änderungsprotokoll über sicherheits- und datenschutzrelevante Vorgänge; Protokollierung erteilter Einwilligungen; Signatur ausgehender Systemmeldungen.
• Verfügbarkeit: tägliche Datenbank-Backups und Volume-Snapshots; Wiederherstellungsverfahren; Überwachung der Systemgesundheit.
• Belastbarkeit und Evaluierung: getrennte Umgebungen für Test und Produktion; Regressionstests vor Veröffentlichung; regelmäßige Überprüfung der Maßnahmen.
• Zweckbindung: keine Nutzung von Kundendaten zum Training von KI-Modellen; Übermittlung an KI-Dienstleister nur, soweit für die beauftragte Verarbeitung erforderlich.

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die jeweils aktuelle Liste mit Zweck, Datenkategorien, Verarbeitungsort und Drittlandmechanismus ist Bestandteil der Datenschutzerklärung.

Zum Stand dieses Dokuments sind dies insbesondere: Hetzner Online GmbH (Hosting, Deutschland), OpenAI, L.L.C. (KI-Verarbeitung), Twilio Inc. (Telefonie), die auf eigener Infrastruktur in Deutschland betriebene Sprachdialog-Plattform Dograh, Resend, Inc. (E-Mail-Versand), Stripe Payments Europe, Ltd. (Zahlungsabwicklung), Microsoft Ireland Operations Ltd. und Google Ireland Limited (jeweils optionaler Kalenderabgleich beziehungsweise Reichweitenmessung nach Einwilligung) sowie Cal.com, Inc. (optionale Terminbuchung).

Wechsel oder Hinzufügung eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

9. Drittlandtransfer

Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Angemessenheitsbeschlüssen, Standardvertragsklauseln, ergänzenden technischen Schutzmaßnahmen und Transfer Impact Assessments. Der Serverbetrieb und die Datenhaltung der Plattform selbst erfolgen in Deutschland.

10. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei:

• der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO. Auskunft und Löschung sind im Datenschutzbereich der Plattform unmittelbar auslösbar;
• der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzung und vorheriger Konsultation;
• der Meldung von Verletzungen des Schutzes personenbezogener Daten.

Der Auftragsverarbeiter meldet ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an den Verantwortlichen und stellt die für dessen Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

11. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen. Vor der Löschung stellt der Auftragsverarbeiter einen maschinenlesbaren Export bereit; der Verantwortliche kann diesen jederzeit auch selbst über die Plattform erzeugen.

Die Löschung erfolgt spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups werden im Rahmen des regulären Backup-Zyklus überschrieben. Für die Dauer bis zum Überschreiben bleiben die Daten gesperrt und werden ausschließlich zur Wiederherstellung verwendet.

12. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen.

Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig.

13. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

14. Verantwortlichkeit des Kunden

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Ihm obliegen insbesondere die Information der betroffenen Personen, das Einholen erforderlicher Einwilligungen, die Festlegung angemessener Aufbewahrungsfristen sowie die Durchführung einer Datenschutz-Folgenabschätzung, soweit erforderlich.

Da über Sanavi Gesundheitsdaten verarbeitet werden, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor dem Echtbetrieb regelmäßig erforderlich. Der Auftragsverarbeiter stellt hierfür die erforderlichen Angaben zur Verfügung.

15. Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und dem Nutzungsvertrag geht dieser Auftragsverarbeitungsvertrag in datenschutzrechtlichen Fragen vor.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

16. Annahme

Die Annahme dieses Auftragsverarbeitungsvertrags erfolgt im Registrierungs- oder Aktivierungsprozess. Zeitpunkt der Annahme und angenommene Fassung werden protokolliert und sind im Datenschutzbereich der Plattform einsehbar.

Fragen zu diesem Vertrag richten Sie bitte an legal@sanaviai.de.