Auftragsverarbeitungsvertrag

1. Gegenstand, Dauer und Rollen

• Gegenstand: Wir stellen Ihnen Convelly bereit, wie in unseren AGB beschrieben, und verarbeiten personenbezogene Daten nur zu diesem Zweck.
• Dauer: Dieser AVV gilt, solange Sie Convelly nutzen, und bis die Daten wie in Abschnitt 13 beschrieben gelöscht sind.
• Verantwortlicher: das Unternehmen (Gesellschaft, Praxis, Klinik oder Einzelunternehmen), dem der Convelly-Arbeitsbereich gehört. Der Kontoinhaber akzeptiert diesen AVV im Namen dieses Unternehmens.
• Auftragsverarbeiter: die Be Digital AI e.U. Wir verarbeiten personenbezogene Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen.
• Nicht unter diesen AVV fallen Daten, die wir als Verantwortlicher für eigene Zwecke verarbeiten, etwa die Abrechnungsdaten Ihres Unternehmens für das Convelly-Abonnement; dafür gilt unsere Datenschutzerklärung.

2. Begriffsbestimmungen

• Begriffe wie personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung, die ihnen die DSGVO gibt.
• Arbeitsbereich: der Bereich Ihres Unternehmens in Convelly mit eigenem Team, eigenen Daten, Kanälen und Einstellungen, getrennt von allen anderen Arbeitsbereichen.
• Ihre Kunden: die Personen, mit denen Ihr Unternehmen über Convelly in Kontakt steht, etwa Kundinnen und Kunden, Patientinnen und Patienten, Interessenten sowie Personen, die Ihnen schreiben oder bei Ihnen buchen.
• Nutzer: die Mitglieder Ihres Teams, die Zugang zu Ihrem Arbeitsbereich haben.
• Unterauftragsverarbeiter: ein anderes Unternehmen, das wir mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag beauftragen.

3. Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten, um die Funktionen von Convelly bereitzustellen, die Sie nutzen, insbesondere:

• Empfang und Versand von Nachrichten über die Kanäle, die Sie verbinden (WhatsApp, Instagram einschließlich Kommentaren, Telegram, Ihr geschäftliches E-Mail-Postfach), sowie Übernahme von Leads aus Facebook- und Instagram-Lead-Anzeigen, in einem gemeinsamen Posteingang
• Betrieb des Chats auf Ihrer Website: Antworten an Ihre Besucher und Buchung ihrer Termine im Chat, Übergabe von Gesprächen an Ihr Team und deren Ablage in Ihrem gemeinsamen Posteingang
• Führen von Kundendatensätzen mit Gesprächen, Notizen, Tags, eigenen Feldern, Marketing-Einwilligungen, Deals und Zahlungen
• Betrieb Ihres Kalenders und Ihrer Buchungsseite: Termine, Leistungen, Mitarbeitende, Räume, Pakete, Buchungsfragen, Erinnerungen, Zahlungslinks und Videotermine
• KI-Funktionen, nur soweit Sie diese einschalten: Antworten an Ihre Kunden, Schreibhilfe, Zusammenfassungen, Abschrift von Sprachnachrichten, Suche in Ihren Dokumenten, Nachfass-Nachrichten und Elly, die Assistentin für Ihr Team
• Automatisierungen, Nachfass-Nachrichten und Nachrichten an viele Kunden gleichzeitig
• Benachrichtigungen an Ihre Nutzer (in der App, per Push-Benachrichtigung und per E-Mail) und Buchungsnachrichten an Ihre Kunden
• Zugriff durch KI-Assistenten, die Ihre Nutzer mit Convelly verbinden (zum Beispiel Claude oder ChatGPT), mit den Rechten dieses Nutzers
• Anmeldung, Verwaltung der Rollen und Zugriffe Ihres Teams und Führen des Team-Aktivitätsprotokolls
• Betrieb, Absicherung und Wartung des Dienstes: Datensicherungen, Fehleranalyse und Schutz vor Missbrauch
• Support, wenn Sie oder Ihre Nutzer uns um Hilfe bitten

4. Betroffene Personen und Arten personenbezogener Daten

5. Ihre Weisungen

• Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind dieser AVV, die AGB, die Einstellungen, die Sie wählen, und die Aktionen, die Ihre Nutzer in Convelly ausführen, einschließlich dessen, worum sie Elly oder einen verbundenen KI-Assistenten bitten.
• Wir nutzen Ihre Daten nicht für eigene Zwecke, verkaufen sie nicht und verwenden sie weder für Werbung noch zum Training von KI-Modellen.
• Technische Nutzungsdaten der App (welche Seiten und Funktionen genutzt werden, Fehler) verwenden wir nur, um Convelly zu betreiben, abzusichern, Fehler zu beheben und die App einfacher bedienbar zu machen.
• Verpflichtet uns das Recht der EU oder eines Mitgliedstaats zu einer anderen Verarbeitung, teilen wir Ihnen das vorher mit, sofern das Gesetz dies nicht verbietet.
• Halten wir eine Weisung für datenschutzwidrig, teilen wir Ihnen das unverzüglich mit und können ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern.

6. Vertraulichkeit und Berufsgeheimnis

• Alle Personen in unserem Unternehmen, die auf personenbezogene Daten zugreifen können, sind schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit für uns hinaus, und im Datenschutz unterwiesen.
• Uns ist bekannt, dass die Daten von Ärztinnen und Ärzten, Therapeutinnen und Therapeuten, Psychologinnen und Psychologen und anderen Berufsgruppen einem Berufsgeheimnis unterliegen können: in Österreich insbesondere nach § 121 des Strafgesetzbuchs (StGB) und den Berufsgesetzen, etwa § 54 des Ärztegesetzes, in Deutschland insbesondere nach § 203 des Strafgesetzbuchs (StGB), sowie nach vergleichbaren Regeln in anderen Ländern.
• Für solche Daten verpflichten wir uns, alle Berufsgeheimnisse, von denen wir bei der Bereitstellung von Convelly Kenntnis erlangen können, zu wahren und nur so weit auf sie zuzugreifen, wie es für die Bereitstellung des Dienstes erforderlich ist.
• Wir wurden darauf hingewiesen, dass die unbefugte Offenbarung solcher Geheimnisse strafbar sein kann. Wir verpflichten unsere Mitarbeitenden und alle weiteren Personen, die wir einbeziehen und die solche Geheimnisse erfahren können, in Textform zur Verschwiegenheit, wie es § 203 Abs. 4 des deutschen Strafgesetzbuchs verlangt.
• Diese Verpflichtung gilt über das Ende dieses AVV hinaus.

7. Technische und organisatorische Maßnahmen

Wir schützen personenbezogene Daten mit den folgenden Maßnahmen (Art. 32 DSGVO). Wir überprüfen und aktualisieren sie, wenn sich der Dienst weiterentwickelt.

8. Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter ein. Wir verpflichten jeden von ihnen vertraglich auf Datenschutzpflichten, die diesem AVV entsprechen (Art. 28 Abs. 4 DSGVO), und bleiben Ihnen gegenüber für ihre Arbeit verantwortlich.

9. Übermittlung in Länder außerhalb der EU

• Wir halten Ihre Daten so weit wie möglich in der Europäischen Union: Unsere Server stehen in Deutschland und den Niederlanden, Dateien liegen in Frankfurt, und die KI läuft in Deutschland.
• Einige Unterauftragsverarbeiter sind Unternehmen mit Sitz in den USA (DigitalOcean, Resend, Expo, Tavily, Cloudflare), und Push-Benachrichtigungen laufen über Apple und Google. Werden personenbezogene Daten in ein Land außerhalb der EU oder des EWR übermittelt oder sind sie von dort aus zugänglich, stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des EU-US Data Privacy Framework, sofern das Unternehmen zertifiziert ist, oder auf die EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Bei Anbietern, die Sie selbst verbinden (Abschnitt 8.3), richtet sich die Übermittlung nach Ihrer Vereinbarung mit dem jeweiligen Anbieter.

10. Unterstützung

• Anfragen betroffener Personen: In Convelly können Sie die Daten Ihrer Kunden selbst einsehen, berichtigen, exportieren (als Tabelle) und löschen. Erreicht uns eine Anfrage direkt, leiten wir sie unverzüglich an Sie weiter. Benötigen Sie weitere Hilfe, unterstützen wir Sie.
• Unter Berücksichtigung der uns vorliegenden Informationen unterstützen wir Sie bei der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation (Art. 32 bis 36 DSGVO). Dieser AVV mit seiner Liste der Unterauftragsverarbeiter und Maßnahmen dient als Beschreibung unserer Verarbeitung für Ihre Folgenabschätzung.
• Support-Zugriff: Unsere Mitarbeitenden sehen sich Daten in Ihrem Arbeitsbereich nur an, wenn Sie oder Ihre Nutzer uns um Hilfe bitten oder wenn es zur Behebung einer Störung erforderlich ist, und nur so weit wie nötig.

11. Verletzungen des Schutzes personenbezogener Daten

• Wir informieren Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Ihre Daten betrifft.
• Unsere Mitteilung beschreibt, soweit bekannt, was geschehen ist, welche Daten und wie viele Personen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.
• Wir unterstützen Sie bei Ihren Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen (Art. 33 und 34 DSGVO); die Meldung selbst obliegt Ihnen als Verantwortlichem.

12. KI-Funktionen

• KI-Funktionen arbeiten nur, wo Sie sie einschalten. Sie können die KI für den ganzen Arbeitsbereich, pro Kanal und pro Gespräch ausschalten und pro Leistung festlegen, ob die KI sie buchen darf.
• Sofern Sie keinen eigenen KI-Anbieter verbinden, läuft die KI-Verarbeitung im IONOS AI Model Hub in Deutschland. Ihre Daten werden nicht zum Training von KI-Modellen verwendet.
• Sprachnachrichten werden auf unserem eigenen Server in Amsterdam abgeschrieben.
• Die erste von der KI geschriebene Nachricht in einem Gespräch kann pro Kanal einen Hinweis in Ihrem Wortlaut tragen, dass die Antwort automatisch erstellt wurde. Wir empfehlen, diesen Hinweis einzuschalten; in der EU kann es vorgeschrieben sein, Personen darüber zu informieren, dass sie mit einer KI kommunizieren.
• Die KI trifft keine Entscheidungen mit rechtlicher Wirkung gegenüber Ihren Kunden. Sie bucht, verschiebt und storniert Termine nur innerhalb der Regeln, die Sie festlegen, und übergibt an Ihr Team, wenn sie nicht weiterhelfen kann.

13. Löschung und Rückgabe von Daten

• Sie können Kunden, Gespräche und andere Datensätze jederzeit löschen. Gelöschte Gespräche bleiben 30 Tage im Papierkorb, damit sie wiederhergestellt werden können, und werden dann gelöscht.
• Bevor Ihr Arbeitsbereich endet, können Sie Ihre Daten exportieren: Kundenlisten und Deals als Tabellen, Termine als Kalenderdatei oder Tabelle.
• Wird Ihr Arbeitsbereich gelöscht oder endet Ihr Vertrag, löschen wir die darin enthaltenen personenbezogenen Daten innerhalb von 30 Tagen. Kopien in Datensicherungen werden innerhalb weiterer 30 Tage überschrieben.
• Die Löschung eines Arbeitsbereichs wird im Voraus geplant, mit Erinnerungs-E-Mails, bevor sie erfolgt.
• Daten, die wir gesetzlich aufbewahren müssen, bewahren wir nur so lange auf, wie das Gesetz es verlangt.
• Auf Anfrage bestätigen wir die Löschung schriftlich.

14. Nachweise und Kontrollen

• Wir stellen alle Informationen zur Verfügung, die nötig sind, um die Einhaltung unserer Pflichten nach Art. 28 DSGVO nachzuweisen, insbesondere diesen AVV, die Liste der Unterauftragsverarbeiter und die Maßnahmen aus Abschnitt 7.
• Sie können unsere Verarbeitung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, nach angemessener Vorankündigung, zu den üblichen Geschäftszeiten und ohne unseren Betrieb zu stören, in der Regel einmal pro Jahr, sofern nicht eine Datenschutzverletzung oder eine Aufsichtsbehörde Anlass für weitere Kontrollen gibt.
• Wir arbeiten mit den Datenschutzaufsichtsbehörden zusammen und informieren Sie über Anfragen zu Ihren Daten, soweit wir dürfen.

15. Ihre Verantwortung

• Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich einer Rechtsgrundlage für Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO), und für die Information Ihrer Kunden, etwa in Ihrer Datenschutzerklärung.
• Sie holen die für Marketing-Nachrichten nötigen Einwilligungen ein. Convelly speichert die Marketing-Einwilligung jedes Kunden für WhatsApp und E-Mail mit Zeitpunkt und Art ihrer Erteilung und erfasst Abmeldungen automatisch.
• Sie entscheiden, welche Kanäle Sie für welche Inhalte nutzen, welches Teammitglied welche Rolle erhält und welche Integrationen und KI-Funktionen Sie einschalten.
• Ihre Nutzer halten ihre Zugangsdaten geheim und nutzen nach Möglichkeit die Zwei-Faktor-Authentifizierung.
• Sie führen Ihr eigenes Verzeichnis von Verarbeitungstätigkeiten und führen eine Datenschutz-Folgenabschätzung durch, wo sie erforderlich ist.

16. Kontakt

Bei Fragen zur Datenverarbeitung:

• Kontaktformular: www.convelly.com/support
• E-Mail: support@convelly.com

17. Vorrang, Haftung und anwendbares Recht

• Widersprechen sich dieser AVV und die AGB in einer Frage des Datenschutzes, hat dieser AVV Vorrang.
• Die Haftung richtet sich nach den AGB und Art. 82 DSGVO.
• Dieser AVV unterliegt österreichischem Recht. Ausschließlicher Gerichtsstand ist Wien, Österreich, soweit zwingende gesetzliche Vorschriften nicht entgegenstehen.

18. Änderungen

• Wir können diesen AVV ändern, um gesetzliche oder behördliche Änderungen oder Änderungen an Convelly abzubilden.
• Wesentliche Änderungen teilen wir Ihnen mindestens 30 Tage im Voraus mit.
• Nutzen Sie Convelly weiter, nachdem eine Änderung wirksam geworden ist, gilt die neue Fassung.