1Zustandekommen
Dieser AVV kommt ohne Unterschrift zustande. Er wird durch gegenseitige Kenntnisnahme und mit der Beauftragung eines BookIvy-Produkts (auch Eval-, Demo- und Test-Versionen) durch den Kunden automatisch wirksam und gilt für dessen gesamte Laufzeit.
2Gegenstand
Re-Thought verarbeitet personenbezogene Daten ausschließlich zur Erbringung der BookIvy-Leistungen (Termin- und Buchungsverwaltung inkl. zugehöriger Kommunikation) und nur nach Weisung des Kunden. Betroffen sind v. a. Stammdaten und Kontaktdaten von Kunden, Interessenten und Kontakten des Verantwortlichen sowie Buchungs- und Termindaten.
3Pflichten von Re-Thought
- Verarbeitung nur weisungsgebunden und im Rahmen der BookIvy-Funktionen;
- Verpflichtung der eingesetzten Personen zur Vertraulichkeit;
- geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO;
- Unterstützung des Kunden bei Betroffenenanfragen und Meldepflichten sowie unverzügliche Information bei Datenschutzverletzungen;
- nach Vertragsende Löschung oder Rückgabe der Daten nach Wahl des Kunden;
- Nachweis der Einhaltung auf Anfrage.
4Speicherort
Re-Thought speichert und verarbeitet alle Daten ausschließlich in Deutschland, Backups innerhalb der EU, jeweils bei namhaften Hostern. Eine grundsätzliche Datenverarbeitung außerhalb der EU findet nicht statt.
5KI-Chatbot (AI-Workflow-System)
Bei Nutzung des optionalen KI-Chatbots erfolgen Speicherung und Verarbeitung ebenfalls in Deutschland bzw. der EU. Zur Erzeugung der Antworten werden jedoch einzelne Datenfragmente an große Sprachmodelle (LLMs) von OpenAI und Anthropic übergeben und dort verarbeitet. Der Kunde beauftragt diese Verarbeitung mit Aktivierung des Chatbots.
6Unterauftragnehmer
Der Kunde genehmigt den Einsatz der eingesetzten Hosting-Dienstleister (Deutschland/EU) sowie ausschließlich bei Chatbot-Nutzung von OpenAI und Anthropic als Unterauftragnehmer. Re-Thought stellt durch geeignete vertragliche Grundlagen ein angemessenes Datenschutzniveau sicher.
7Schlussbestimmungen
Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Bei Widerspruch geht dieser AVV entgegenstehenden Regelungen für die Datenverarbeitung vor.
§Anlage 1 zum AVV
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Stand der Maßnahmen von Re-Thought Consulting für das Produkt BookIvy:
1Vertraulichkeit
- Zutritt: Serverbetrieb ausschließlich in Rechenzentren namhafter Hoster in Deutschland/EU mit deren physischen Zutrittskontrollen.
- Zugang: Zugriff auf Systeme nur für berechtigte Personen, individuelle Konten, starke Passwörter bzw. SSH-Schlüssel.
- Zugriff: rollenbasierte Berechtigungen nach dem Prinzip der minimalen Rechte; getrennte Zugangsdaten je Mandant.
- Trennung: mandantenfähige Architektur mit getrennten Datenbanken je Kunde; Trennung von Produktiv- und Verwaltungsdaten.
2Integrität
- Übertragung: verschlüsselte Verbindungen (TLS/HTTPS) für den Zugriff auf die Anwendung.
- Eingabe: nachvollziehbare Verarbeitung durch Zeitstempel und protokollierte Änderungen.
3Verfügbarkeit und Belastbarkeit
- Backups: regelmäßige automatisierte Sicherungen (stündlich und täglich) von Datenbank und Anwendung; Aufbewahrung von Sicherungskopien innerhalb der EU.
- Wiederherstellung: Backups ermöglichen die Wiederherstellung nach einem Zwischenfall.
- Schutz: aktuelle Server-Software und übliche Härtungsmaßnahmen der eingesetzten Hoster.
4Pseudonymisierung / Verschlüsselung
Verschlüsselte Speicherung von Zugangsdaten (Passwort-Hashing); Datenübertragung verschlüsselt.
5Verfahren zur regelmäßigen Überprüfung
- Anlassbezogene Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.
- Einbindung von Unterauftragnehmern nur mit angemessenem Datenschutzniveau (Hosting in Deutschland/EU; bei Chatbot-Nutzung OpenAI und Anthropic auf Grundlage geeigneter vertraglicher Garantien).