Auftragsverarbeitungsvertrag

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, also das Pflegeunternehmen, das Sanavi nutzt. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Büttner Holding GmbH, Karlstraße 57, 45661 Recklinghausen, Deutschland, vertreten durch den Geschäftsführer Christopher Büttner, E-Mail legal@sanaviai.de.

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Nutzungsvertrag über die Plattform Sanavi. Er gilt für dessen gesamte Laufzeit einschließlich einer kostenlosen Testphase.

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform Sanavi zur Entgegennahme, Strukturierung und Bearbeitung eingehender Kommunikation des Verantwortlichen über WhatsApp, Telefon, Website-Chat und E-Mail sowie die damit verbundene KI-gestützte Verarbeitung.

Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht. Nach dessen Beendigung gilt Ziffer 11.

• Empfang, Speicherung und Anzeige eingehender Nachrichten und Anrufe;
• Umwandlung von Sprachnachrichten und Telefonaten in Text;
• automatische Einordnung des Anliegens und Erkennung sicherheitsrelevanter Signale;
• Auslesen strukturierter Angaben aus Nachrichten und hochgeladenen Dokumenten;
• Erstellung von Antwortentwürfen und, nach Vorgabe des Verantwortlichen, deren automatischer Versand;
• Terminverwaltung, Terminvorschläge, Bestätigungen und Erinnerungen;
• Führung von Kontakt-, Anfrage- und Bewerberdaten;
• Protokollierung von Einwilligungen und Änderungen;
• Bereitstellung von Auswertungen und Datenexporten.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Insbesondere werden Inhalte des Verantwortlichen nicht zum Training von KI-Modellen verwendet.

• Stammdaten: Name, Anrede, Beziehung zur pflegebedürftigen Person;
• Kontaktdaten: Rufnummer, E-Mail-Adresse, Ort oder Postleitzahl;
• Kommunikationsinhalte: Nachrichten, Sprachnachrichten, Gesprächstranskripte, Anhänge;
• Vertrags- und Vorgangsdaten: Anliegen, Termine, Zuständigkeiten, Bearbeitungsstände;
• Bewerberdaten: Qualifikation, Berufserfahrung, Verfügbarkeit, Lebenslauf und Zeugnisse;
• technische Daten: Zeitstempel, Geräte- und Verbindungsinformationen, Protokolldaten;
• besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, soweit sie in Anfragen genannt werden, insbesondere Pflegegrad, Pflegebedarf und Angaben zum Gesundheitszustand.

Da regelmäßig Gesundheitsdaten verarbeitet werden, gelten erhöhte Schutzanforderungen. Der Verantwortliche stellt die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher.

• Interessentinnen und Interessenten sowie deren Angehörige;
• bestehende Pflegekundinnen und Pflegekunden sowie deren Angehörige und Betreuungspersonen;
• Bewerberinnen und Bewerber;
• Beschäftigte des Verantwortlichen, die Sanavi nutzen;
• sonstige geschäftliche Kontaktpersonen, etwa aus Kliniken, Kassen oder beim Medizinischen Dienst.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten dieser Vertrag, der Nutzungsvertrag sowie die Konfiguration, die der Verantwortliche in der Plattform vornimmt. Dazu zählen insbesondere die gewählte Stufe der Eigenständigkeit des Assistenten, freigegebene Anliegen, Aufbewahrungsfristen, verbundene Kanäle und Kalender.

Weisungen im Einzelfall erfolgen in Textform an legal@sanaviai.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Vertraulichkeit: mandantengetrennte Datenhaltung mit erzwungener Zeilenzugriffskontrolle in der Datenbank; rollenbasierte Rechte; Bestätigung in zwei Schritten für Konten; SSH-Key-basierter Serverzugang ohne Passwort-Login.
• Verschlüsselung: Übertragung ausschließlich über TLS 1.2 oder TLS 1.3; hochgeladene Dateien werden mit AES-256-GCM verschlüsselt gespeichert.
• Integrität: Änderungsprotokoll über sicherheits- und datenschutzrelevante Vorgänge; Protokollierung erteilter Einwilligungen; Signatur ausgehender Systemmeldungen.
• Verfügbarkeit: tägliche Datenbank-Backups und Volume-Snapshots; Wiederherstellungsverfahren; Überwachung der Systemgesundheit.
• Belastbarkeit und Evaluierung: getrennte Umgebungen für Test und Produktion; Regressionstests vor Veröffentlichung; regelmäßige Überprüfung der Maßnahmen.
• Zweckbindung: keine Nutzung von Kundendaten zum Training von KI-Modellen; Übermittlung an KI-Dienstleister nur, soweit für die beauftragte Verarbeitung erforderlich.

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die jeweils aktuelle Liste mit Zweck, Datenkategorien, Verarbeitungsort und Drittlandmechanismus ist Bestandteil der Datenschutzerklärung.

Zum Stand dieses Dokuments sind dies insbesondere: Hetzner Online GmbH (Hosting, Deutschland), OpenAI, L.L.C. (KI-Verarbeitung), Twilio Inc. (Telefonie), die auf eigener Infrastruktur in Deutschland betriebene Sprachdialog-Plattform Dograh, Resend, Inc. (E-Mail-Versand), Stripe Payments Europe, Ltd. (Zahlungsabwicklung), Microsoft Ireland Operations Ltd. und Google Ireland Limited (jeweils optionaler Kalenderabgleich beziehungsweise Reichweitenmessung nach Einwilligung) sowie Cal.com, Inc. (optionale Terminbuchung).

Telefonie, Sprachdialog, Kalenderabgleich und Reichweitenmessung kommen ausschließlich zum Einsatz, wenn der Verantwortliche die jeweilige Funktion aktiviert. Ohne Aktivierung findet keine Übermittlung an den betreffenden Unterauftragsverarbeiter statt.

Wechsel oder Hinzufügung eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Widerspruch nicht ausgeräumt werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

Anwendung, Datenbank und Dateiablage der Plattform werden in Deutschland betrieben. Die Sprachverarbeitung durch das eingesetzte KI-Modell erfolgt über OpenAI mit Verarbeitung in der Europäischen Union.

Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Angemessenheitsbeschlüssen, Standardvertragsklauseln, ergänzenden technischen Schutzmaßnahmen und Transfer Impact Assessments.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei:

• der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO. Auskunft und Löschung sind im Datenschutzbereich der Plattform unmittelbar auslösbar;
• der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzung und vorheriger Konsultation;
• der Meldung von Verletzungen des Schutzes personenbezogener Daten.

Der Auftragsverarbeiter meldet ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die im Portal hinterlegte Adresse des Verantwortlichen. Die Meldung enthält, soweit verfügbar, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Gegenmaßnahmen. Stehen Angaben noch nicht vollständig zur Verfügung, werden sie unverzüglich nachgereicht.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten oder gibt sie zurück, nach Wahl des Verantwortlichen. Vor der Löschung stellt der Auftragsverarbeiter einen maschinenlesbaren Export bereit; der Verantwortliche kann diesen jederzeit auch selbst über die Plattform erzeugen.

Die Löschung erfolgt spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups werden im Rahmen des regulären Backup-Zyklus überschrieben. Für die Dauer bis zum Überschreiben bleiben die Daten gesperrt und werden ausschließlich zur Wiederherstellung verwendet.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen.

Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig.

Der Auftragsverarbeiter verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Ihm obliegen insbesondere die Information der betroffenen Personen, das Einholen erforderlicher Einwilligungen, die Festlegung angemessener Aufbewahrungsfristen sowie die Durchführung einer Datenschutz-Folgenabschätzung, soweit erforderlich.

Da über Sanavi Gesundheitsdaten verarbeitet werden, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor dem Echtbetrieb regelmäßig erforderlich. Der Auftragsverarbeiter stellt hierfür die erforderlichen Angaben zur Verfügung.

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und dem Nutzungsvertrag geht dieser Auftragsverarbeitungsvertrag in datenschutzrechtlichen Fragen vor.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Der Abschluss erfolgt im Portal durch eine vertretungsberechtigte Person des Verantwortlichen.

Festgehalten werden: der Name der zeichnenden Person, ihr Benutzerkonto, Datum und Uhrzeit, die Fassungskennung dieses Vertrags, ein kryptografischer Fingerabdruck des angenommenen Wortlauts sowie die IP-Adresse, von der die Erklärung abgegeben wurde. Der Nachweis ist im Datenschutzbereich der Plattform jederzeit einsehbar und als Beleg abrufbar.

Bei einer neuen Fassung dieses Vertrags wird der Verantwortliche beim nächsten Zugang zum Portal erneut um Abschluss gebeten. Frühere Abschlüsse bleiben als Nachweis für den jeweiligen Zeitraum erhalten.

Fragen zu diesem Vertrag richten Sie bitte an legal@sanaviai.de.