Kreedl - Auftragsverarbeitungsvertrag

„Personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen in der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG („DSGVO“) zukommt. „Personenbezogene Kundendaten“ sind personenbezogene Daten, die der Kunde Kreedl bereitstellt oder zugänglich macht oder die Kreedl bei der Erbringung der Dienste im Auftrag des Kunden erhebt, einschließlich Kommunikationsinhalten, Aufzeichnungen und Transkripten, unabhängig davon, ob die Daten den Kunden oder einen Dritten identifizieren, der mit dem Kunden in ein Vertragsverhältnis tritt. „Unterauftragsverarbeiter“ ist jeder Dritte, den Kreedl mit der Verarbeitung personenbezogener Kundendaten beauftragt. „UK GDPR“ bezeichnet die DSGVO in der in das Recht des Vereinigten Königreichs übernommenen Fassung.

Der Kunde ist Verantwortlicher für die personenbezogenen Kundendaten. Kreedl ist Auftragsverarbeiter dieser Daten. Kreedl ist nur für die eigenen Konto-, Abrechnungs-, Nutzungs- und Marketingdaten des Kunden eigenständiger Verantwortlicher oder wenn ein Dritter die Dienste von Kreedl nutzt, ohne mit dem Kunden in ein Vertragsverhältnis getreten zu sein. Die Tätigkeiten sind im Dokument von Kreedl mit dem Titel Datenschutzerklärung näher beschrieben, abrufbar unter kreedl.com/de/privacy („Datenschutzerklärung“).

Gegenstand und Zweck. Betrieb eines KI-Assistenten, der im Auftrag des Kunden per Telefon, WhatsApp, SMS und E-Mail mit Mietern, Bewohnern, Nutzern von Objekten, Bewerbern, Dienstleistern und sonstigen Personen kommuniziert und die vom Kunden freigegebenen Handlungen ausführt.

Art der Verarbeitung. Empfangen, Aufzeichnen, Transkribieren, Speichern, Analysieren und Zusammenfassen von Kommunikation; Lesen oder Speichern der Datensätze des Kunden entsprechend dem gewählten Modus (Abschnitt 4); Vereinbaren von Terminen; Beauftragen von Dienstleistern; und - sofern angewiesen - Reihen von Bewerbern oder Zusammenfassen öffentlich verfügbarer Informationen über Mietinteressenten.

Kategorien betroffener Personen. Mieter, Bewohner, Miet- oder Kaufinteressenten, Filialleiter und Nutzer von Objekten, Dienstleister und Techniker, Mitarbeiter und Vertreter des Kunden sowie jede sonstige Person, die ein von Kreedl betreutes Gebäude kontaktiert.

Arten personenbezogener Daten. Name, Kontaktdaten, Gebäude und Einheit, Mietdauer und Mietbedingungen, Miethöhe und Zahlungsstatus, Mietvertragsunterlagen, Störungsmeldungen, Fotos, Sprachnachrichten, Gesprächsaufzeichnungen, Transkripte, Nachrichteninhalte und Metadaten. Bei Miet- oder Kaufinteressenten zusätzlich das voraussichtliche Einzugsdatum, die Haushaltsgröße, Beschäftigung, Einkommen, Finanzierungsart und Referenzen, soweit der Kunde sie zur Prüfung der Bewerbung benötigt. Weist der Kunde eine Identitätsprüfung an, können die letzten vier Ziffern der tschechischen Geburtsnummer mit den Datensätzen des Kunden abgeglichen werden; die vollständige Nummer wird nicht gespeichert. Kreedl verarbeitet keine Türcodes oder sonstigen physischen Zugangsdaten.

Dauer. Personenbezogene Daten werden für die Dauer des beauftragten Dienstes und danach bis zum Abschluss der Rückgabe und Löschung nach Abschnitt 12 verarbeitet. Die Parteien legen die Speicherfristen so fest, dass sie dem Wesen des erbrachten Dienstes entsprechen. Insbesondere, aber nicht ausschließlich, berücksichtigen die Speicherfristen die Beendigung von Mietverhältnissen zwischen dem Kunden und Dritten, den Schutz der berechtigten Interessen des Verantwortlichen in Bezug auf sein Eigentum sowie die in allgemein verbindlichen Rechtsvorschriften festgelegten Pflichtaufbewahrungsfristen.

4.1 Der Kunde wählt einen der drei in der Datenschutzerklärung beschriebenen Modi. Modus A - kein Zugriff auf die Datensätze des Kunden. Modus B - Lesezugriff auf die Systeme des Kunden ohne Speicherung von Datensätzen. Modus C - Speicherung der Datensätze des Kunden durch Kreedl. In jedem Modus speichert Kreedl Kommunikationsinhalte, Aufzeichnungen, Transkripte und die Kontaktdaten der Personen, die mit Kreedl kommunizieren.

4.2 Die dokumentierten Weisungen des Kunden bestehen aus dem gewählten Modus, der beim Onboarding vereinbarten Konfiguration, den Einstellungen, die der Kunde in der Kreedl-Anwendung vornimmt, den Daten, die der Kunde hochlädt oder zugänglich macht, sowie jeder schriftlichen Weisung an [email protected]. Das Hochladen von Daten, die Aktivierung eines Abonnements, das Anlegen eines Profils oder die sonstige Bereitstellung von Daten an Kreedl stellt eine Weisung des Kunden dar, diese Daten für die Zwecke von Abschnitt 3 zu verarbeiten.

4.3 Der Kunde kann den Modus oder seine Weisungen jederzeit per E-Mail, in der Anwendung oder durch schlüssiges Verhalten, aus dem die Änderung eindeutig hervorgeht, ändern. Kreedl setzt Änderungen innerhalb von 14 Tagen um.

4.4 Kreedl kann eine Weisung ablehnen, die nach seiner begründeten Auffassung gegen die DSGVO oder sonstiges Recht verstößt, und informiert den Kunden entsprechend. Kreedl darf personenbezogene Kundendaten auch verarbeiten, wenn dies nach dem Recht der Union oder der Mitgliedstaaten erforderlich ist; in diesem Fall informiert Kreedl den Kunden, sofern das betreffende Recht dies nicht verbietet.

Der Kunde sichert zu und verpflichtet sich, dass -

• er für alle personenbezogenen Kundendaten, die er erlangt und an Kreedl übermittelt, sowie für jede Kommunikation, mit deren Einleitung er Kreedl beauftragt, über eine gültige Rechtsgrundlage verfügt und diese ordnungsgemäß bestimmt. Für das Fehlen einer Rechtsgrundlage für die Bereitstellung oder Übermittlung der Daten ist allein der Kunde verantwortlich;
• er die Informationspflicht gegenüber betroffenen Personen nach Artikel 12, 13 und 14 DSGVO erfüllt, einschließlich der Veröffentlichung der Informationen für Anrufer aus Teil A der Compliance-Bedingungen von Kreedl, und diese Pflicht allein trägt, unabhängig davon, ob Kreedl Informationen über die betreffende Tätigkeit in seiner Datenschutzerklärung veröffentlicht. Die Informationspflicht von Kreedl in seiner Eigenschaft als eigenständiger Verantwortlicher bleibt hiervon unberührt;
• er, wenn er Kreedl anweist, öffentlich verfügbare Informationen über Mietinteressenten zu erheben, diese Personen spätestens bei der ersten Kontaktaufnahme über die Quelle der Daten informiert;
• er, wenn er tschechische Geburtsnummern bereitstellt, § 13c des Gesetzes Nr. 133/2000 Slg. einhält;
• er für die von ihm festgelegten Autonomiegrenzen und für die Bearbeitung von Eskalationen verantwortlich ist;
• er technische und organisatorische Umsetzungsmaßnahmen ergreift, die den bestmöglichen Schutz der personenbezogenen Daten betroffener Personen gewährleisten, und allein für diese verantwortlich ist, es sei denn, die Daten befinden sich auf einem Gerät oder in einer Datenbank, die ausschließlich von Kreedl gehalten oder betrieben wird;
• seine Weisungen dem geltenden Recht entsprechen. Der Kunde ist allein für die Rechtmäßigkeit seiner Weisungen und für alle Sanktionen im Zusammenhang mit deren Nichteinhaltung verantwortlich. Gelangt eine der Parteien zu dem Schluss, dass die Ausführung einer Weisung des Kunden eine Datenschutz-Folgenabschätzung („DSFA“) erfordern kann, wird die Weisung zurückgestellt, bis ihre Rechtmäßigkeit auf Grundlage einer DSFA bestätigt wurde; die Kosten der DSFA trägt der Kunde. Kreedl ist jedoch nicht verpflichtet, die Rechtmäßigkeit der Weisungen des Kunden aktiv zu prüfen oder anderweitig zu überprüfen.

Kreedl -

• verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden und nur für die Zwecke von Abschnitt 3;
• stellt sicher, dass sich die zur Verarbeitung personenbezogener Kundendaten befugten Personen, soweit Kreedl sie zur Verarbeitung befugt hat, durch Geheimhaltungs- und Vertraulichkeitsvereinbarungen verpflichtet haben;
• setzt die technischen und organisatorischen Maßnahmen gemäß Anhang 1 um;
• verwendet personenbezogene Kundendaten nicht zum Training oder Fine-Tuning von KI-Modellen;
• unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei Anträgen betroffener Personen (Abschnitt 9), bei der Sicherheit, der Meldung von Verletzungen und bei Datenschutz-Folgenabschätzungen (Abschnitt 10);
• löscht personenbezogene Kundendaten oder gibt sie zurück gemäß Abschnitt 12;
• stellt die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen gemäß Abschnitt 11;
• hält die vom Kunden zugänglich gemachten Daten getrennt von den Daten, die Kreedl als eigenständiger Verantwortlicher verarbeitet;
• ergreift technische und organisatorische Umsetzungsmaßnahmen, die den bestmöglichen Schutz der personenbezogenen Daten betroffener Personen gewährleisten, wenn sich die Daten auf einem Gerät oder in einer Datenbank befinden, die ausschließlich von Kreedl gehalten oder betrieben wird.

7.1 Der Kunde erteilt Kreedl eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuelle Liste findet sich in Abschnitt 7 der Datenschutzerklärung unter kreedl.com/de/privacy.

7.2 Kreedl informiert den Kunden über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vor Wirksamwerden der Änderung per E-Mail.

7.3 Erhebt der Kunde innerhalb von 14 Tagen nach der Mitteilung aus begründeten datenschutzrechtlichen Gründen Einspruch, kann Kreedl eine Alternative vorschlagen. Kommt keine Einigung zustande, besteht der einzige Rechtsbehelf des Kunden darin, die betroffenen Dienste durch schriftliche Kündigung mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung des Unterauftragsverarbeiters zu beenden, ohne Vertragsstrafe für den gekündigten Teil. Kreedl ist nicht verpflichtet, den Unterauftragsverarbeiter zu wechseln.

7.4 Kreedl erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger streng sind als die dieses AVV, und bleibt für deren Erfüllung verantwortlich.

7.5 Beauftragt Kreedl einen neuen Unterauftragsverarbeiter, ist Kreedl dafür verantwortlich, dessen Identität in der Datenschutzerklärung anzugeben und den Kunden gemäß Ziffer 7.2 zu informieren, damit der Kunde seine Informationspflicht nach Abschnitt 5 erfüllen kann.

Kreedl speichert personenbezogene Kundendaten in der Europäischen Union. Bei der KI-Verarbeitung und der Telefonie können Anbieter außerhalb des EWR oder des Vereinigten Königreichs beteiligt sein. Für jede solche Übermittlung stützt sich Kreedl auf die EU-Standardvertragsklauseln, einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder, bei Daten aus dem Vereinigten Königreich, auf das UK International Data Transfer Addendum. Kreedl bietet auf schriftliche Anfrage eine Konfiguration mit Verarbeitung ausschließlich in der EU an; die Anfrage obliegt dem Kunden. Der Kunde ermächtigt Kreedl, die Standardvertragsklauseln mit Unterauftragsverarbeitern in seinem Namen abzuschließen. Das UK Addendum ist auf Anfrage erhältlich.

Erhält Kreedl einen Antrag einer betroffenen Person zu personenbezogenen Kundendaten, leitet Kreedl ihn innerhalb von 3 Arbeitstagen an den Kunden weiter und beantwortet ihn ohne Weisung nicht in der Sache. Kreedl leistet angemessene Unterstützung, damit der Kunde innerhalb der gesetzlichen Fristen antworten kann. Unterstützung bei mehr als fünf Anträgen pro Monat oder mit mehr als angemessenem Aufwand wird zum jeweils aktuellen Stundensatz von Kreedl berechnet.

10.1 Kreedl meldet dem Kunden eine Verletzung des Schutzes personenbezogener Kundendaten unverzüglich, spätestens jedoch 48 Stunden, nachdem Kreedl die Verletzung bekannt geworden ist. Die erste Meldung enthält die zu diesem Zeitpunkt bekannten Informationen. Die Parteien leisten einander die nach Artikel 33 und 34 DSGVO erforderliche Unterstützung, um Risiken, die Folgen der Verletzung und Geldbußen der Aufsichtsbehörde abzuwenden und die Verletzung erfolgreich aufzuklären.

10.2 Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen der Partei, die die Datenbank oder das Gerät verwaltet, in der bzw. auf dem die Verletzung des Schutzes personenbezogener Daten eingetreten ist.

10.3 Muss der Kunde eine DSFA durchführen, stellt Kreedl ihm eine Beschreibung der Verarbeitung, die Maßnahmen gemäß Anhang 1 sowie angemessene weitere Informationen zur Verfügung, die für die Erstellung der DSFA unbedingt erforderlich sind. Die Abschätzung wird vom Kunden abgeschlossen, genehmigt und verantwortet. Die Kosten der Erstellung der DSFA trägt der Kunde.

10.4 Ungeachtet der Genehmigung durch den Kunden nach Ziffer 10.3 ist Kreedl nicht verpflichtet, eine Weisung des Kunden auszuführen, wenn Kreedl trotz Vorliegens einer DSFA begründeten Anlass zu der Vermutung hat, dass die Weisung rechtswidrig ist, dass der Grundsatz der Datenminimierung bei der Erstellung der DSFA unzureichend berücksichtigt wurde oder dass Qualität und Legitimität der Abschätzung mangelhaft sind.

Einmal pro Kalenderjahr kann der Kunde mit einer schriftlichen Ankündigungsfrist von 30 Tagen den ausgefüllten Sicherheitsfragebogen von Kreedl, eine Kopie von Anhang 1 und die verfügbare Dokumentation zum Nachweis der Einhaltung dieses AVV anfordern. Eine Vor-Ort-Inspektion findet nur an einem Ort und zu einem Zeitpunkt statt, an dem eine Aufsichtsbehörde oder das Gesetz sie verlangt, unter Wahrung der Vertraulichkeit, ohne Zugriff auf Daten anderer Kunden und auf Kosten des Kunden. Kreedl ist nicht nach ISO 27001 oder SOC 2 zertifiziert und gewährleistet nicht, dass interne Untersuchungen nach Maßgabe einer solchen Zertifizierung durchgeführt werden; der Kunde nimmt dies zur Kenntnis.

12.1 Bei Beendigung des Kundenvertrags sowie jederzeit auf schriftliche Anfrage exportiert Kreedl die personenbezogenen Kundendaten in einem strukturierten, maschinenlesbaren Format (JSON; Audiodateien für Aufzeichnungen) und löscht die personenbezogenen Kundendaten innerhalb von 30 Tagen nach Beendigung. Verschlüsselte Backups werden innerhalb von 90 Tagen bereinigt. Kreedl bestätigt die Löschung auf Anfrage schriftlich. Kreedl darf Daten aufbewahren, soweit dies gesetzlich vorgeschrieben ist, und nur zu diesem Zweck.

12.2 Entfällt die Rechtsgrundlage, auf der der Kunde die Daten eines Dritten in Bezug auf diesen Dritten hält, informiert der Kunde Kreedl darüber und ist allein für diese Information verantwortlich. Kreedl führt die Löschung entsprechend den Speicherfristen für personenbezogene Daten durch, es sei denn, der Kunde besteht zur Wahrung eines seiner berechtigten Interessen auf der Aufbewahrung des Datensatzes; in diesem Fall weist der Kunde das berechtigte Interesse nach. Der Kunde ist für alle verwaltungsrechtlichen oder sonstigen Sanktionen verantwortlich, die sich daraus ergeben, dass er Kreedl nicht über den Wegfall der Rechtsgrundlage informiert hat, oder aus der fehlenden Berechtigung seines Interesses, wenn dieses Interesse der Grund für die Verlängerung der Datenspeicherung ist.

13.1 Im gesetzlich größtmöglichen Umfang ist die Gesamthaftung von Kreedl aus oder im Zusammenhang mit diesem AVV, einschließlich etwaiger Geldbußen und Ansprüche betroffener Personen, auf den Betrag begrenzt, den der Kunde in den zwölf Monaten vor dem anspruchsbegründenden Ereignis gezahlt hat; Kreedl haftet nicht für indirekte Schäden oder Folgeschäden, entgangenen Gewinn, Datenverlust oder Rufschädigung.

13.2 Kreedl ist nicht verpflichtet, den Kunden freizustellen.

13.3 Der Kunde stellt Kreedl von allen Ansprüchen, Geldbußen, Verlusten und Kosten frei (einschließlich angemessener Rechtsanwaltskosten und einschließlich des Falls, dass Kreedl aufgrund eines Verhaltens, das Kreedl in keiner Weise zuzurechnen ist, einen Schaden erleidet oder zur Zahlung eines Anspruchs oder einer Geldbuße nach Ziffer 13.1 verpflichtet wird, die die Haftungshöchstgrenze nach Ziffer 13.1 übersteigt), die sich aus einem Verstoß des Kunden gegen diesen AVV oder die DSGVO, aus einer Weisung des Kunden, aus ohne Rechtsgrundlage oder - soweit dieser AVV dies ausdrücklich vorsieht - ohne die erforderlichen Informationen an die betroffenen Personen bereitgestellten Daten oder aus den vom Kunden gewählten Autonomieeinstellungen ergeben.

Dieser AVV gilt über die Beendigung des Kundenvertrags hinaus fort, bis der letzte potenzielle Anspruch, der unmittelbar oder mittelbar mit den Rechten und Pflichten aus diesem AVV zusammenhängt, nach tschechischem Recht verjährt ist. Der AVV unterliegt dem Recht der Tschechischen Republik; für Streitigkeiten, die ausschließlich aus diesem AVV entstehen, sind die zuständigen Gerichte in Prag zuständig. Er wird in englischer und tschechischer Sprache veröffentlicht; die englische Fassung hat Vorrang, sofern der Kundenvertrag nichts anderes bestimmt. Diese deutsche Fassung ist eine informative Übersetzung. Kreedl kann diesen AVV mit einer Ankündigungsfrist von 14 Tagen per E-Mail an die Kunden einseitig aktualisieren; die weitere Nutzung nach dem Gültigkeitsdatum gilt als Zustimmung.

Verschlüsselung. Personenbezogene Kundendaten werden im Ruhezustand (AES-256 oder gleichwertig) und bei der Übertragung (TLS 1.2 oder höher) verschlüsselt. Gesprächsaufzeichnungen und Dateien werden in verschlüsseltem Objektspeicher abgelegt.

Zugriffskontrolle. Rollenbasierter Zugriff. Zugriff haben nur Mitarbeiter von Kreedl, die ihn für den Betrieb des Dienstes benötigen. Multi-Faktor-Authentifizierung ist für alle Mitarbeiter von Kreedl und für jeden administrativen Zugriff auf die Infrastruktur verpflichtend. Zugriffsrechte werden bei Personalveränderungen und mindestens vierteljährlich überprüft.

Protokollierung und Nachprüfbarkeit. Jede Aktion des KI-Assistenten und jeder Zugriff von Mitarbeitern auf personenbezogene Kundendaten wird mit Zeitpunkt und Identität protokolliert. Protokolle werden 12 Monate aufbewahrt, und der Kunde hat Zugriff auf die Protokolle zu seinen eigenen Daten.

Verwaltung von Geheimnissen. Zugangsdaten von Anbietern und API-Schlüssel werden in einem Secrets-Manager gespeichert, niemals im Code abgelegt oder Nutzern offengelegt und beim Ausscheiden eines Mitarbeiters oder bei Verdacht auf Kompromittierung erneuert.

Mandantentrennung. Die Daten jedes Kunden sind logisch getrennt. Kein Kunde hat Zugriff auf die Daten eines anderen.

Backups. Verschlüsselte Backups mindestens täglich, Aufbewahrung 90 Tage, Wiederherstellung mindestens jährlich getestet.

Anbieter von KI-Modellen. Den Modellanbietern ist vertraglich untersagt, personenbezogene Kundendaten für das Training zu verwenden. Kreedl trainiert oder verfeinert (Fine-Tuning) keine Modelle mit personenbezogenen Kundendaten.

Personal. Alle Mitarbeiter und Auftragnehmer unterzeichnen Geheimhaltungs- und Vertraulichkeitsvereinbarungen und absolvieren eine Datenschutzschulung, bevor ihnen Zugriff gewährt wird. Der Zugriff wird am Tag des Ausscheidens entzogen.

Reaktion auf Sicherheitsvorfälle. Ein dokumentiertes Verfahren mit einer verantwortlichen Person, Benachrichtigung des Kunden innerhalb von 48 Stunden und einer Nachbereitung des Vorfalls.

Physische Sicherheit. Die Infrastruktur wird bei den in der Datenschutzerklärung aufgeführten Anbietern gehostet, die zertifizierte Rechenzentren betreiben (ISO 27001 / SOC 2 auf Anbieterebene). Kreedl betreibt keine eigenen Rechenzentren.

Löschung. Automatische Aufbewahrungsregeln löschen Kommunikationsdaten nach 12 Monaten oder innerhalb eines anderen vom Kunden nach Abschnitt 3 und Ziffer 12.2 festgelegten Zeitraums. Löschung bei Vertragsende innerhalb von 30 Tagen, Backups innerhalb von 90 Tagen.