Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Stand: Oktober 2026 · zwischen dem Kunden (Verantwortlicher) und der Lucksmith e.K., Untere Trift Straße 11, 56357 Bogel (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Online-Terminbuchung und den KI-Telefonassistenten quickslot. Der Vertrag gilt für die Dauer des Hauptvertrags (AGB).

2. Art der Daten und betroffene Personen

  • Betroffene: Kund:innen und Interessent:innen des Verantwortlichen, die Termine buchen oder anrufen.
  • Daten: Name, E-Mail-Adresse, Telefonnummer, Terminzeit, Antworten auf Buchungsfragen, Nachricht, bei Anrufen die Rufnummer und – nur sofern eingeschaltet – ein Textprotokoll. Keine Tonaufnahmen.
  • Besondere Kategorien (Art. 9 DSGVO) nur, wenn der Verantwortliche entsprechende Buchungsfragen stellt; er prüft dafür die Rechtsgrundlage.

3. Zweck

Vereinbarung, Bestätigung, Erinnerung und Absage von Terminen sowie Beantwortung von Fragen am Telefon.

4. Weisungen und Pflichten

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, verpflichtet seine Beschäftigten zur Vertraulichkeit, unterstützt bei Betroffenenrechten und Datenschutz-Folgenabschätzungen und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis.

5. Technische und organisatorische Maßnahmen

  • Verarbeitung ausschließlich in Rechenzentren in Deutschland; Sprachmodell und Spracherkennung laufen auf eigener Infrastruktur.
  • Transportverschlüsselung (TLS), Mandantentrennung auf Datenbankebene, rollenbasierter Zugriff, Protokollierung administrativer Zugriffe.
  • Tägliche verschlüsselte Sicherungen, Wiederherstellung regelmäßig geprüft.
  • Keine Tonaufzeichnung von Telefonaten.

6. Unterauftragsverarbeiter

  • Telefonie: sipgate GmbH (Düsseldorf) bzw. Twilio Ireland Ltd. (Dublin) – nur für die Rufnummer und die Durchleitung des Anrufs.
  • Zahlungsabwicklung des Kunden: Stripe Payments Europe Ltd. (Dublin) – nur Vertrags- und Zahlungsdaten des Kunden, keine Buchungsdaten.

Über neue Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorab; der Verantwortliche kann aus wichtigem Grund widersprechen.

7. Löschung

Buchungsdaten werden zwölf Monate nach dem Termin gelöscht, sofern der Verantwortliche keine andere Frist einstellt. Nach Vertragsende werden alle Daten binnen 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht; auf Wunsch vorher als Export bereitgestellt.

8. Kontrollrechte

Der Verantwortliche kann sich nach Voranmeldung von der Einhaltung überzeugen; vorrangig durch Vorlage von Nachweisen und Berichten.