Auftragsverarbeitungsvertrag

1. Parteien

• Verantwortlicher: das Unternehmen oder der Einzelunternehmer, der die Nutzungsbedingungen von Jedro+ angenommen hat (der „Nutzer“).
• Auftragsverarbeiter: Sonja Žužek s.p., Prešernova cesta 21A, 1234 Mengeš, Slowenien, Registernummer 9323228000, bevollmächtigte Person Tim Kogej, tim.kogej@jedroplus.com (der „Anbieter“).

2. Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Nutzers ausschließlich zur Bereitstellung der App Jedro+ im Umfang der genutzten Funktionen. Der Vertrag gilt, solange der Nutzungsvertrag besteht, und bis zur Löschung der Daten nach dessen Ende.

3. Art und Zweck der Verarbeitung

Speicherung, Ordnung, Anzeige, Versand von Nachrichten (E-Mail, SMS), Annahme und Transkription von Telefonanrufen, Erstellung von Antworten mit KI-Modellen, Abwicklung von Online-Zahlungen, Export und Löschung — zur Verwaltung von Terminen und Kunden, für Erinnerungen, Benachrichtigungen, Marketingnachrichten, Online-Buchung, Chatbot+ und Receptionist+.

4. Datenarten und betroffene Personen

• Kunden des Nutzers: Vor- und Nachname, E-Mail, Telefon, Geschlecht, Sprache, Notizen, Kundentyp, Terminhistorie, Leistungen, Preise und Rabatte, Zahlungsstatus, Einwilligung und Abmeldung.
• Anrufer (Receptionist+): Telefonnummer, Aufzeichnung und Transkript des Gesprächs, Ergebnis des Anrufs.
• Chat-Besucher (Chatbot+): Gesprächsinhalt und eingegebene Daten.
• Mitarbeitende des Nutzers: Name, Kontakt, Dienstplan, Abwesenheiten, zugewiesene Termine.

Besondere Kategorien personenbezogener Daten werden nur verarbeitet, wenn der Nutzer sie erfasst (z. B. in Notizen); der Nutzer sorgt für eine Rechtsgrundlage und beschränkt sie auf das Notwendige.

5. Pflichten des Anbieters

• Verarbeitet Daten nur nach dokumentierten Weisungen des Nutzers, die dieser durch Nutzung und Einstellungen der App erteilt, und informiert ihn, wenn er eine Weisung für rechtswidrig hält.
• Verpflichtet Personen mit Zugriff auf die Daten zur Vertraulichkeit.
• Setzt die technischen und organisatorischen Maßnahmen aus Abschnitt 7 um.
• Unterstützt den Nutzer bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Meldet dem Nutzer eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnisnahme, mit allen verfügbaren Informationen.
• Stellt auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen (in der Regel durch Unterlagen und schriftliche Auskünfte).

6. Unterauftragsverarbeiter

Der Nutzer erteilt eine allgemeine Genehmigung für die auf der Seite „Unterauftragsverarbeiter“ genannten Unterauftragsverarbeiter. Der Anbieter verpflichtet jeden von ihnen zu denselben Datenschutzpflichten und haftet für sie wie für sich selbst.

Über neue oder ersetzte Unterauftragsverarbeiter informiert der Anbieter mindestens 30 Tage im Voraus (per E-Mail oder in der App). Der Nutzer kann aus berechtigten Gründen widersprechen; findet sich keine Lösung, kann er ohne Kosten kündigen.

Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien (Standardvertragsklauseln, EU-US Data Privacy Framework).

7. Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Übertragung (TLS) und Verschlüsselung gespeicherter Daten beim Datenbankanbieter.
• Datenbank, Hosting, E-Mail und Automatisierungsserver in der EU.
• Trennung der Daten je Unternehmen; Zugriffsregeln auf Datenbankebene (RLS); Schreibzugriffe nur über geprüfte Serverrouten.
• Rollenbasierter Zugriff (Inhaber, Administrator, Mitarbeitende) und Prinzip der minimalen Rechte; geheime Schlüssel nur auf dem Server.
• Begrenzung der Anfragen und Schutz vor Missbrauch; signierte Links (z. B. zur Abmeldung).
• Regelmäßige Sicherungen beim Datenbankanbieter; Protokollierung von Änderungen an Terminen und Kunden.
• Automatische Löschung von Anrufaufzeichnungen nach 90 Tagen und von Daten nach Vertragsende.

8. Pflichten des Nutzers

• Hat eine Rechtsgrundlage für die Verarbeitung der Daten seiner Kunden, Mitarbeitenden und Anrufer und informiert diese (z. B. in seiner eigenen Datenschutzerklärung).
• Versendet Marketingnachrichten nur an Kunden, für die eine Grundlage besteht, und beachtet Abmeldungen.
• Lässt den Aufzeichnungshinweis bei Receptionist+ aktiviert oder stellt selbst die Rechtmäßigkeit der Aufzeichnung sicher.
• Gewährt Zugriff auf die App nur Personen, die ihn benötigen, und entzieht ihn rechtzeitig.

9. Ende der Verarbeitung

Nach Vertragsende kann der Nutzer die Daten exportieren. Der Anbieter löscht sie 90 Tage nach dem Ende, einschließlich Kopien bei Unterauftragsverarbeitern im Rahmen ihrer Sicherungsfristen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

10. Schlussbestimmungen

Für die Haftung gelten die Nutzungsbedingungen, soweit die DSGVO nichts anderes bestimmt. Es gilt das Recht der Republik Slowenien. Bei Abweichungen zwischen Sprachfassungen gilt die slowenische.