Rechtliches

Auftragsverarbeitungsvertrag

Diese Übersetzung wird zur Information bereitgestellt. Bei Abweichungen von der englischen Fassung gilt die englische Fassung. Die englische Fassung lesen

Zuletzt aktualisiert: 21. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Nutzungsbedingungen zwischen CIPHRA SOFTWARE INC. („Ciphra“, „wir“, „uns“), die ReceptionWorks betreibt, und dem Unternehmen, das ReceptionWorks nutzt („Sie“). Er gilt, wenn wir personenbezogene Daten in Ihrem Auftrag verarbeiten und die GDPR, die UK GDPR, das schweizerische Bundesgesetz über den Datenschutz oder ein anderes Datenschutzgesetz auf diese Verarbeitung anwendbar ist („Datenschutzrecht“). Sie akzeptieren diesen AVV, wenn Sie die Nutzungsbedingungen akzeptieren; eine Unterschrift ist nicht erforderlich. Wenn dieser AVV und die Nutzungsbedingungen bei der Verarbeitung personenbezogener Daten einander widersprechen, gilt dieser AVV.

1. Definitionen

• Personenbezogene Kundendaten: personenbezogene Daten, die Sie, Ihr Team oder Ihre Kundschaft in ReceptionWorks eingeben und die wir in Ihrem Auftrag verarbeiten, etwa Gespräche und Kundendatensätze.
• Unterauftragsverarbeiter: ein Dritter, den wir zur Verarbeitung personenbezogener Kundendaten einsetzen.
• Verletzung des Schutzes personenbezogener Daten: eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder unbefugten Offenlegung von personenbezogenen Kundendaten oder zum unbefugten Zugriff darauf führt.
• Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verarbeitung haben die Bedeutung, die ihnen das Datenschutzrecht gibt.

2. Rollen und Weisungen

• Sie sind der Verantwortliche für personenbezogene Kundendaten oder ein Auftragsverarbeiter, der für einen anderen Verantwortlichen handelt. Wir sind Ihr Auftragsverarbeiter.
• Wir verarbeiten personenbezogene Kundendaten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind die Nutzungsbedingungen, dieser AVV, die Einstellungen, die Sie wählen, und die Handlungen, die Sie in ReceptionWorks vornehmen, etwa das Einrichten von KI-Mitarbeitenden, das Anbinden von Kanälen und das Löschen von Daten, sowie alle anderen schriftlichen Weisungen, auf die wir uns einigen. Wenn das Gesetz verlangt, dass wir personenbezogene Kundendaten auf andere Weise verarbeiten, informieren wir Sie vorher, es sei denn, das Gesetz verbietet es.
• Wir informieren Sie, wenn wir der Ansicht sind, dass eine Weisung gegen das Datenschutzrecht verstößt.
• Sie sind dafür verantwortlich, eine rechtmäßige Grundlage für die Verarbeitung zu haben, Ihrer Kundschaft die gesetzlich vorgeschriebenen Hinweise zu geben, einschließlich des Hinweises, dass sie mit einer KI sprechen, wo dies vorgeschrieben ist, und für die Rechtmäßigkeit der Daten, die Sie bereitstellen.

3. Einzelheiten der Verarbeitung

• Gegenstand und Dauer: Bereitstellung von ReceptionWorks für Sie, solange Sie es nutzen, und die Löschfrist in Abschnitt 9.
• Art und Zweck: Hosting und Speicherung von Daten; Empfang und Zustellung von Nachrichten über die von Ihnen angebundenen Kanäle; Erstellung von KI-Antworten, Zusammenfassungen und Übersetzungen; Führung von Buchungen, Anfragen und Kundendatensätzen; Benachrichtigung Ihres Teams; Bereitstellung von Support; und Absicherung des Dienstes.
• Betroffene Personen: Ihre Kundschaft und andere Personen, die Sie über ReceptionWorks kontaktieren, Ihre Teammitglieder und Personen, die in den von Ihnen hinzugefügten Inhalten erwähnt werden.
• Kategorien personenbezogener Daten: Namen; Kontaktdaten wie E-Mail-Adressen, Telefonnummern sowie Benutzernamen und IDs von Messaging-Diensten; Nachrichteninhalte und Anhänge; Angaben zu Buchungen und Anfragen; Notizen und von KI verfasste Zusammenfassungen über Kundschaft; technische Angaben wie Kanalkennungen und Nachrichtenzeiten; und alle anderen Informationen, die Sie oder Ihre Kundschaft teilen.
• Besondere Kategorien: ReceptionWorks ist nicht dafür ausgelegt, besondere Kategorien personenbezogener Daten zu erheben, etwa Gesundheitsdaten. Sie entscheiden, ob Ihre Kundschaft solche Daten über ReceptionWorks mit Ihnen teilen darf, und sind dafür verantwortlich, eine rechtmäßige Grundlage dafür zu haben.

4. Vertraulichkeit

Personen, die wir zur Verarbeitung personenbezogener Kundendaten ermächtigen, sind zur Vertraulichkeit verpflichtet und greifen darauf nur zu, soweit es zur Bereitstellung des Dienstes erforderlich ist.

5. Sicherheit

Wir treffen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, darunter:

• Verschlüsselung von Daten bei der Übertragung zwischen Nutzenden, Kanälen, unseren Diensten und unseren Anbietern;
• Verschlüsselung gespeicherter Zugangstoken für Kanäle;
• getrennte Produktions- und Entwicklungsumgebungen, die keine Datenbanken, Speicher oder Zugangsdaten teilen;
• Zugriff auf unsere Verwaltungswerkzeuge nur über Cloudflare Access, für Mitarbeitende, die ihn benötigen;
• Zugriff auf die Daten jedes Unternehmens nur für dessen Teammitglieder, entsprechend ihren Rollen;
• regelmäßige Datenbanksicherungen in privatem Speicher, getrennt von den Datenbankservern, wobei Sicherungspunkte durch Object Lock vor Änderung oder Löschung geschützt sind.

Wir können diese Maßnahmen aktualisieren, solange das Gesamtniveau des Schutzes nicht sinkt.

6. Unterauftragsverarbeiter

• Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste finden Sie auf unserer Seite Unterauftragsverarbeiter.
• Wir verpflichten jeden Unterauftragsverarbeiter, personenbezogene Kundendaten mindestens so gut zu schützen, wie dieser AVV es für die von ihm erbrachte Leistung verlangt, und wir bleiben Ihnen gegenüber für seine Arbeit verantwortlich.
• Wir informieren den Inhaber Ihres Unternehmens per E-Mail mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet. Innerhalb dieser Frist können Sie aus angemessenen datenschutzrechtlichen Gründen widersprechen, indem Sie uns schreiben. Wir besprechen Ihre Bedenken in gutem Glauben. Können wir sie nicht ausräumen, können Sie die Nutzung der betroffenen Leistung beenden, und wir erstatten vorausbezahlte Gebühren für die Zeit nach dem Zeitpunkt, an dem Sie die Nutzung einstellen.
• Wenn wir einen Unterauftragsverarbeiter dringend ersetzen müssen, um den Dienst sicher oder funktionsfähig zu halten, informieren wir Sie so bald wie möglich nach der Änderung, und Sie können auf dieselbe Weise widersprechen.

7. Hilfe bei Anfragen und Compliance

• ReceptionWorks ermöglicht Ihnen, die Daten einer Kundin oder eines Kunden in deren Datensatz einzusehen, zu korrigieren und zu löschen. Wenn Sie mehr Hilfe benötigen, um eine Anfrage einer betroffenen Person zu beantworten, unterstützen wir Sie unter Berücksichtigung der Art der Verarbeitung.
• Wenn sich eine betroffene Person direkt an uns wegen personenbezogener Kundendaten wendet, leiten wir die Anfrage an Sie weiter oder bitten die Person, sich an Sie zu wenden. Wir beantworten sie nicht selbst, es sei denn, Sie bitten uns darum oder das Gesetz verlangt es.
• Wir stellen Ihnen angemessene Informationen und Unterstützung für Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zur Verfügung, soweit sie den Dienst betreffen.

8. Verletzungen des Schutzes personenbezogener Daten

Wir werden Sie unverzüglich benachrichtigen, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben, die personenbezogene Kundendaten betrifft. Wir beschreiben ihre Art, ihre wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen, soweit diese Informationen verfügbar sind, und informieren Sie, sobald wir mehr erfahren. Wir unternehmen angemessene Schritte, um die Verletzung einzudämmen und ihre Folgen zu begrenzen.

9. Löschung und Rückgabe

• Wenn ein Unternehmen aus einem Konto gelöscht wird, bleiben seine personenbezogenen Kundendaten 90 Tage erhalten, damit wir sie auf Wunsch des Inhabers wiederherstellen können, und werden danach dauerhaft gelöscht.
• Wenn Ihr Konto geschlossen wird, löschen wir personenbezogene Kundendaten innerhalb von 30 Tagen, außer Daten, die das Gesetz uns zu behalten vorschreibt. Bevor das Konto geschlossen wird, können Sie uns unter contact@ciphra.ca um eine Kopie der personenbezogenen Kundendaten in einem üblichen Format bitten.
• Gelöschte Daten können in Sicherungen verbleiben, bis sie nach ihrem rollierenden Zeitplan ablaufen. Wir bewahren Sicherungen geschützt auf und nutzen sie nur, um den Dienst wiederherzustellen.

10. Audits

Wir stellen Ihnen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um nachzuweisen, dass wir unsere Pflichten aus diesem AVV erfüllen, etwa Antworten auf Sicherheitsfragebögen. Reichen diese Informationen nicht aus oder verlangt eine Aufsichtsbehörde sie, können Sie oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer unsere Einhaltung mit mindestens 30 Tagen Vorankündigung, auf Ihre Kosten, während der Geschäftszeiten und höchstens einmal im Jahr prüfen, es sei denn, eine Verletzung des Schutzes personenbezogener Daten oder eine Aufsichtsbehörde macht eine andere Prüfung erforderlich.

11. Internationale Übermittlungen

• Wir sind in Kanada ansässig, und unsere Datenbank wird in Kanada gehostet. Die Europäische Kommission, das Vereinigte Königreich und die Schweiz erkennen Kanada als angemessenes Schutzniveau für Organisationen an, die seinem bundesweiten Datenschutzgesetz für den privaten Sektor unterliegen, wie wir. Übermittlungen personenbezogener Kundendaten von Ihnen an uns erfordern daher keine weiteren Garantien.
• Verarbeitet ein Unterauftragsverarbeiter personenbezogene Kundendaten in einem Land ohne eine solche Anerkennung, stützen wir uns auf einen nach dem Datenschutzrecht zulässigen Übermittlungsmechanismus, etwa die Zertifizierung des Unterauftragsverarbeiters nach dem EU–U.S. Data Privacy Framework und dessen britischen und schweizerischen Erweiterungen oder die von der Europäischen Kommission angenommenen Standardvertragsklauseln mit den britischen und schweizerischen Ergänzungen.
• Entfällt die Anerkennung Kanadas, gelten die Standardvertragsklauseln (Modul zwei, Verantwortlicher an Auftragsverarbeiter) zwischen Ihnen als Datenexporteur und uns als Datenimporteur, ergänzt um die Angaben in diesem AVV, zusammen mit den britischen und schweizerischen Ergänzungen für Übermittlungen aus diesen Ländern.

12. Datenschutzgesetze der US-Bundesstaaten

Soweit Datenschutzgesetze der US-Bundesstaaten, etwa der California Consumer Privacy Act, anwendbar sind, handeln wir als Ihr Dienstleister oder Auftragsverarbeiter. Wir verkaufen oder teilen personenbezogene Kundendaten nicht, und wir speichern, nutzen oder offenbaren sie nicht für andere Zwecke als die Bereitstellung von ReceptionWorks für Sie oder außerhalb unserer direkten Geschäftsbeziehung zu Ihnen, außer soweit diese Gesetze es erlauben.

13. Laufzeit und Haftung

Dieser AVV gilt, solange wir personenbezogene Kundendaten in Ihrem Auftrag verarbeiten. Die Haftung jeder Partei daraus unterliegt der Haftungsbeschränkung in den Nutzungsbedingungen, soweit das Datenschutzrecht dies zulässt.

14. Änderungen dieses AVV

Wir können diesen AVV auf dieselbe Weise aktualisieren wie die Nutzungsbedingungen. Wir werden den Schutz, den er personenbezogenen Kundendaten bietet, nicht verringern, es sei denn, das Gesetz verlangt es.

Kontakt

CIPHRA SOFTWARE INC., British Columbia, Kanada. E-Mail: contact@ciphra.ca.