Auftragsverarbeitungsvertrag (AVV)

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag des Auftraggebers und nach dessen Weisung, soweit diese AVV nichts anderes ausdrücklich regelt. Der Auftraggeber bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Auftragnehmer ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Die Software vocura unterstützt persönliche Beratungs- und Kundengespräche durch Aufnahme, Transkription, KI-gestützte Strukturierung, Dokumentation und Analyse. Die Verarbeitung dient der Erstellung eines strukturierten Beratungs-, Anamnese- oder Gesprächsprotokolls für den Auftraggeber.

Eine Nutzung personenbezogener oder gesundheitsbezogener Daten für Modelltraining, Marketingtracking oder Analytics findet nicht statt. Produktverbesserung, Fehleranalyse, Auswertung und Benchmarking erfolgen nur mit anonymisierten oder aggregierten Daten, soweit kein Personenbezug mehr besteht.

• Der Auftraggeber ist für die Rechtmäßigkeit der Datenerhebung, Gesprächsaufnahme, Einwilligung, Kundeninformation und sonstigen Verarbeitung gegenüber seinen Kundinnen und Kunden verantwortlich.
• Soweit Gesundheitsdaten verarbeitet werden, stellt der Auftraggeber sicher, dass eine geeignete Rechtsgrundlage vorliegt, insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, sofern keine andere belastbare Rechtsgrundlage einschlägig ist.
• Der Auftraggeber informiert die betroffenen Personen über den Einsatz von vocura, die Zwecke der Verarbeitung, Empfänger, Speicherdauer, Rechte der Betroffenen und die Freiwilligkeit einer Einwilligung, soweit erforderlich.
• Der Auftraggeber ist dafür verantwortlich, exportierte Protokolle in seinen eigenen Systemen datenschutzkonform zu speichern, zu löschen und in seine internen Lösch- und Aufbewahrungsfristen einzubinden.

Die Weisungen des Auftraggebers ergeben sich aus dem Hauptvertrag, dieser AVV, den Produktfunktionen und den dokumentierten Einstellungen innerhalb der Software. Weitere Weisungen können in Textform oder über dokumentierte Administrationsfunktionen erteilt werden. Der Auftragnehmer informiert den Auftraggeber, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Der Auftragnehmer verpflichtet alle Personen, die Zugriff auf personenbezogene Daten erhalten können, auf Vertraulichkeit oder stellt sicher, dass eine entsprechende gesetzliche Verschwiegenheitspflicht besteht. Zugriffe erfolgen nur, soweit sie für Betrieb, Wartung, Fehlerbehebung, Sicherheit oder sonstige vertragliche Zwecke erforderlich sind.

Der Auftragnehmer trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die aktuellen Maßnahmen ergeben sich aus Anlage 2. Der Auftragnehmer darf Maßnahmen weiterentwickeln, sofern das Sicherheitsniveau nicht wesentlich unterschritten wird.

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter vertraglich angemessen verpflichtet werden. Änderungen der Unterauftragsverarbeiter werden dem Auftraggeber in geeigneter Weise mitgeteilt; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Eine Verarbeitung soll vorrangig innerhalb der EU bzw. des EWR erfolgen. Soweit Unterauftragsverarbeiter mit Sitz außerhalb der EU/des EWR eingesetzt werden oder Zugriffsmöglichkeiten aus Drittländern bestehen, stellt der Auftragnehmer geeignete Garantien nach Kapitel V DSGVO sicher, insbesondere EU-Standardvertragsklauseln, Angemessenheitsbeschluss, Data Privacy Framework oder gleichwertige zulässige Mechanismen.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, verweist der Auftragnehmer diese grundsätzlich an den Auftraggeber, sofern eine Zuordnung möglich ist. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren und technisch Möglichen bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft. Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Datenkategorien, mögliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Die gesetzlichen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen verbleiben beim Auftraggeber, soweit dieser Verantwortlicher ist.

Die Lösch- und Aufbewahrungsfristen ergeben sich aus Anlage 4. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer personenbezogene Daten des Auftraggebers, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen. Ein gesonderter Exportanspruch besteht nur, soweit dies im Hauptvertrag oder in Produktfunktionen vorgesehen ist.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage angemessene Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung, insbesondere diese AVV, TOMs, Unterauftragsverarbeiterliste und öffentlich verfügbare Nachweise eingesetzter Dienstleister. Prüfungen sind mit angemessener Vorlaufzeit anzukündigen und so durchzuführen, dass Betriebs- und Sicherheitsinteressen des Auftragsverarbeiters gewahrt bleiben.

Die Haftung richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie nach den Haftungsregelungen des Hauptvertrags, soweit diese datenschutzrechtlich zulässig sind. Änderungen dieser AVV bedürfen der Textform oder einer dokumentierten elektronischen Aktualisierung. Es gilt deutsches Recht.

Mit Konto-Aktivierung bestätigt der Verantwortliche diesen AVV in der Fassung vom 2026-07-01.