Auftragsverarbeitungsvertrag

Version 1.0 · 18.09.2026

Dies ist die Vorlage des Auftragsverarbeitungsvertrags, den wir nach Art. 28 DSGVO mit Kunden schließen. Wir veröffentlichen sie, damit der Datenschutzbeauftragte eines Kunden sie vor jedem Verkaufsgespräch lesen kann. Wir unterzeichnen sie mit jedem Kunden einzeln; eine Nachricht an die Adresse in Abschnitt 14 genügt. Bis zur Unterzeichnung bindet dieses Dokument keine Seite. Maßgeblich ist die polnische Fassung.

1. Parteien und Gegenstand

Auftragsverarbeiter ist Pluscode Sp. z o.o. (PLUSCODE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ), Sitz: ul. Kosowska 12/3, 60-464 Poznań, Polska, eingetragen im Unternehmerregister des polnischen Landesgerichtsregisters beim Sąd Rejonowy Poznań - Nowe Miasto i Wilda w Poznaniu, VIII Wydział Gospodarczy Krajowego Rejestru Sądowego (Amtsgericht Poznań - Nowe Miasto i Wilda in Poznań, VIII. Wirtschaftsabteilung), KRS-Nummer 0000811470, NIP (USt-IdNr. PL) 7812002984, REGON 384741150, Stammkapital 5 000,00 PLN.

Verantwortlicher ist der im Hauptvertrag oder in der Bestellung genannte Kunde.

Dieser Vertrag regelt, wie wir personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Dienstes Quanty einschließlich des Moduls KI-Sekretärin verarbeiten. Anlage A beschreibt den Umfang.

In Datenschutzfragen geht dieser Vertrag den Nutzungsbedingungen vor.

2. Rollen

Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung. Wir verarbeiten personenbezogene Daten nur auf seine dokumentierte Weisung.

Nach der Verordnung 2024/1689 (KI-Verordnung) sind wir Anbieter des KI-Systems und der Verantwortliche ist dessen Betreiber. Die Betreiberpflichten, einschließlich der Information anrufender Personen und der Kompetenz des eigenen Personals, verbleiben beim Verantwortlichen.

Wir sind nicht Verantwortlicher für die in Kundeninhalten enthaltenen personenbezogenen Daten. Würden wir jemals die Zwecke dieser Verarbeitung bestimmen, würden wir nach Art. 28 Abs. 10 DSGVO zum Verantwortlichen; wir verpflichten uns, dies nicht zu tun.

3. Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a)

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet uns dazu. In diesem Fall informieren wir den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht verbietet.

Als dokumentierte Weisung gelten: dieser Vertrag, der Hauptvertrag und die Nutzungsbedingungen, die vom Verantwortlichen in der Anwendung gesetzte Konfiguration (einschließlich Anweisungen an den Assistenten, Modellwahl, Speicherfristen, Formularfelder und Zuordnungen), Support-Anfragen sowie schriftliche Weisungen an die Kontaktadresse.

Halten wir eine Weisung für einen Verstoß gegen die DSGVO oder anderes Datenschutzrecht, teilen wir dies dem Verantwortlichen unverzüglich mit und können die Ausführung bis zur Klärung aussetzen.

4. Vertraulichkeit und Ermächtigungen (Art. 28 Abs. 3 lit. b)

Zugang erhalten nur Personen mit einer schriftlichen Ermächtigung von uns, die sich zur Vertraulichkeit verpflichtet haben. Wir führen ein Verzeichnis der ermächtigten Personen und stellen es auf Anfrage bereit.

Erstreckt sich die Verarbeitung auf Daten, die einer Berufsverschwiegenheit unterliegen, wahren unsere Mitarbeitenden diese auch nach dem Tod der Patientin oder des Patienten gemäß Art. 24 Abs. 6 des polnischen Patientenrechtegesetzes sowie nach Ende des Beschäftigungs- oder Auftragsverhältnisses.

Der Verantwortliche kann verlangen, dass der Zugriff auf seine Daten eine zusätzliche, von ihm ausgestellte Ermächtigung erfordert. Die Rollen auf unserer Seite, die Zugriff erhalten können, sind in Anlage C aufgeführt.

5. Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c)

Wir setzen die in Anlage C beschriebenen technischen und organisatorischen Maßnahmen ein, angemessen zum Risiko für die Rechte und Freiheiten der betroffenen Personen (Art. 32 DSGVO).

Wir verarbeiten Daten so, dass die Erbringung von Gesundheitsleistungen und die Betriebskontinuität des Verantwortlichen nicht gestört werden (Art. 24 Abs. 5 des Patientenrechtegesetzes). Müssen wir den Zugang einschränken, kündigen wir dies an und bieten eine Ersatzlösung.

Wir können die Maßnahmen ändern, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen melden wir dem Verantwortlichen.

6. Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d)

Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage B und unter /subprocessors genannten Unterauftragsverarbeiter.

Über die Aufnahme oder den Austausch informieren wir mindestens 30 Tage vorher. Gibt uns unser Anbieter eine kürzere Frist, leiten wir die Mitteilung innerhalb von 7 Tagen nach Erhalt weiter.

Der Verantwortliche kann binnen 30 Tagen aus begründeten Datenschutzgründen widersprechen. Wir suchen dann eine Lösung; findet sich keine, kann er den Vertrag hinsichtlich der betroffenen Funktion ohne Zusatzkosten und mit anteiliger Erstattung beenden.

Wir verpflichten Unterauftragsverarbeiter auf dieselben Datenschutzpflichten. Für ihr Handeln und Unterlassen haften wir dem Verantwortlichen gegenüber in vollem Umfang (Art. 28 Abs. 4 DSGVO).

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Wir stellen Funktionen bereit, mit denen der Verantwortliche Daten einer Person selbst finden, berichtigen, exportieren und löschen kann, einschließlich der Suche von Anliegen der KI-Sekretärin nach Rufnummer.

Wendet sich eine betroffene Person direkt an uns, beantworten wir das Anliegen nicht inhaltlich, leiten es binnen 2 Werktagen an den Verantwortlichen weiter und nennen der Person den Verantwortlichen.

Auf Wunsch unterstützen wir bei der Erfüllung, wenn die vorhandenen Funktionen nicht ausreichen.

8. Unterstützung nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f)

Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich, spätestens 48 Stunden nach Kenntniserlangung, damit er seine eigene 72-Stunden-Frist einhalten kann. Die Meldung enthält die in Art. 33 Abs. 3 DSGVO genannten Angaben, soweit sie uns bekannt sind, und wird schrittweise ergänzt.

Intern streben wir eine Meldung binnen 24 Stunden an. Die 48 Stunden sind die vertragliche Grenze, weil ein Teil der Informationen von unseren Anbietern abhängt, die uns unverzüglich nach Bestätigung eines Vorfalls informieren.

Für eine Datenschutz-Folgenabschätzung (Art. 35) und vorherige Konsultationen (Art. 36) stellen wir eine Systembeschreibung, den Datenfluss, ein Verzeichnis der Felder und ihrer Sensibilität, Speicherfristen, die Liste der Unterauftragsverarbeiter und Regionen sowie eine Beschreibung der Maßnahmen bereit.

Wir führen ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten im Auftrag des Verantwortlichen (Art. 30 Abs. 2 DSGVO) und stellen den betreffenden Auszug auf Anfrage bereit.

9. Ende der Verarbeitung (Art. 28 Abs. 3 lit. g)

Nach Ende der Leistungserbringung löschen wir die Daten nach Wahl des Verantwortlichen oder geben sie zurück und löschen vorhandene Kopien, sofern das Recht keine Aufbewahrung verlangt.

Der Export als CSV und XLSX und der Download von Dateien sind während der gesamten Laufzeit und 30 Tage danach ohne Zusatzkosten möglich.

Danach löschen wir die Daten aus den Produktivsystemen und aus Sicherungen im Rahmen ihrer Überschreibung, längstens innerhalb von 90 Tagen. Wir weisen auch Unterauftragsverarbeiter zur Löschung an; deren Fristen nennt Anlage B.

Stellt der Verantwortliche seine Tätigkeit ein, übergeben wir die Daten auf sein Verlangen in einem weiterverarbeitbaren Format gemäß Art. 24 Abs. 7 des Patientenrechtegesetzes. Eine Löschbestätigung stellen wir auf Wunsch aus.

10. Informationen und Audits (Art. 28 Abs. 3 lit. h)

Wir stellen die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, einschließlich der Beschreibung der Maßnahmen, der Liste der Unterauftragsverarbeiter, eines ausgefüllten Prüffragebogens sowie der Berichte und Zertifikate unserer Anbieter, soweit wir sie weitergeben dürfen.

Der Verantwortliche kann ein Audit pro Kalenderjahr durchführen, mit mindestens 30 Tagen Vorlauf, zu Geschäftszeiten, ohne unseren Betrieb zu stören und unter Wahrung der Vertraulichkeit und der Sicherheit der Daten anderer Kunden. Das Audit kann ein unabhängiger, nicht mit uns im Wettbewerb stehender Prüfer nach Abschluss einer Vertraulichkeitsvereinbarung durchführen.

Ein weiteres Audit ist nach einer den Verantwortlichen betreffenden Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde möglich.

Die Kosten trägt der Verantwortliche, es sei denn, das Audit deckt einen wesentlichen Verstoß auf unserer Seite auf.

11. Grenzen, die wir nicht überschreiten

Wir nutzen Kundeninhalte nicht für eigene Zwecke, weder für Produktentwicklung noch für Vertriebsstatistiken oder Modelltraining. Ausgenommen sind anonymisierte technische Daten über den Systembetrieb, die keine Identifizierung erlauben.

Wir erstellen keinen Stimmabdruck und kein anderes biometrisches Profil anrufender Personen und setzen keine Sprechererkennung ein.

Wir treffen keine Entscheidungen mit Rechtswirkung gegenüber betroffenen Personen. Ein Anliegen bearbeitet stets ein Mensch aufseiten des Verantwortlichen.

Standardmäßig erheben wir in KI-Funktionen und in der KI-Sekretärin keine PESEL-Nummern und keine anderen Identifikationsnummern.

Die KI-Sekretärin wird nicht zur Dringlichkeitsbewertung, zur Entscheidung über Leistungsansprüche oder zur Beratung eingesetzt. Das ist eine Grenze der Weisung, die wir nicht ausführen.

12. Haftung

Jede Partei haftet der anderen für Schäden aus der Verletzung dieses Vertrags nach allgemeinen Grundsätzen und unter Berücksichtigung von Art. 82 DSGVO.

Die Haftungsgrenzen der Nutzungsbedingungen gelten entsprechend, jedoch nicht für die Haftung gegenüber betroffenen Personen und nicht für die verwaltungsrechtliche Haftung.

Für Unterauftragsverarbeiter haften wir dem Verantwortlichen gegenüber wie für eigenes Handeln, unabhängig von Haftungsgrenzen in unseren Verträgen mit ihnen.

13. Laufzeit und anwendbares Recht

Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und solange wir Daten im Auftrag des Verantwortlichen verarbeiten.

Es gilt polnisches Recht. Zuständig ist das Gericht am Sitz der beklagten Partei.

Maßgeblich ist die polnische Fassung.

14. So kommt der Vertrag zustande

Schreiben Sie an dawid@pluscode.io mit Name und Registerdaten Ihrer Organisation, Anschrift, Kontakt Ihres Datenschutzbeauftragten, falls vorhanden, und den genutzten Quanty-Funktionen.

Wir senden ein ausgefülltes Dokument zur elektronischen Unterzeichnung zurück. Wir unterzeichnen mit jedem Kunden einzeln; es handelt sich nicht um eine Annahme per Klick.

Hat Ihre Organisation eine eigene Vorlage, prüfen wir sie. Gesprächsbedarf entsteht meist bei Meldefristen, Auditumfang und der Liste der Unterauftragsverarbeiter.

Bis zur Unterzeichnung ist dieses Dokument reine Information und begründet keine Pflichten.

Anlage A. Gegenstand, Dauer, Art und Zweck

Gegenstand: personenbezogene Daten in Kundeninhalten, einschließlich der Anrufdaten der KI-Sekretärin.

Dauer: Laufzeit des Hauptvertrags und die in Abschnitt 9 beschriebenen Speicherfristen.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Abfragen, Einsehen, Verwenden in KI-Funktionen, Offenlegen gegenüber dem Personal des Verantwortlichen, Löschen.

Zweck: Erbringung des Dienstes Quanty gemäß der vom Verantwortlichen gesetzten Konfiguration, einschließlich der Aufnahme telefonischer Anliegen und deren Speicherung in seinen Tabellen.

Kategorien betroffener Personen: Personal und Auftragnehmer des Verantwortlichen, seine Kunden und Geschäftspartner, Personen, die eine von der KI-Sekretärin bediente Nummer anrufen, sowie Personen, deren Daten diese Anrufenden angeben, etwa eine Patientin, die ein Familienmitglied meldet.

Kategorien einfacher Daten: Name, Rufnummer, E-Mail-Adresse, Anschrift, Firmendaten, Inhalt des Anliegens und der Korrespondenz, Gesprächsprotokoll, KI-Zusammenfassung, Anrufmetadaten, Tonaufzeichnung, sofern der Verantwortliche sie aktiviert.

Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten, die sich aus der Beschreibung des Anliegens ergeben, etwa Fachrichtung oder Terminart, und nur, wenn wir den Verantwortlichen für die Verarbeitung solcher Daten in der KI-Sekretärin freigegeben haben. Zum Zeitpunkt dieser Vorlage ist keine Organisation freigegeben.

Ausgeschlossene Daten: PESEL-Nummern, Ausweisnummern, Krankenversichertennummern, vollständige Zahlungskarten- und Kontonummern. Der Verantwortliche verpflichtet sich, sie nicht einzugeben.

Anlage B. Unterauftragsverarbeiter

Die aktuelle, datierte Liste steht unter /subprocessors. Nachstehend die Zusammenfassung zum Stand dieses Dokuments.

Amazon Web Services EMEA SARL (Luxemburg), Rechenzentren in der Region eu-central-1 (Frankfurt, Deutschland): Hosting von Anwendung und Datenbank, Dateispeicher, aus- und eingehende Post (Amazon SES), Anmeldung (Amazon Cognito) und KI-Modelle (Amazon Bedrock). Speicherung in der EU; Modellanfragen können auf Basis der im AWS-Auftragsverarbeitungsvertrag enthaltenen Standardvertragsklauseln außerhalb des EWR geleitet werden. Löschung nach Vertragsende: bis zu 90 Tage.

Stripe Payments Europe, Limited (Irland) mit Stripe, Inc. (USA): Zahlungen. Stripe erhält keine Kundeninhalte und keine Anrufdaten.

Exa Labs, Inc. (USA): vom Nutzer ausgelöste Websuche. Übermittelt wird der Abfragetext. Die Übermittlungsdokumentation des Anbieters prüfen wir; bis zum Abschluss der Prüfung sollte die Funktion nicht auf besondere Datenkategorien angewandt werden.

Eleven Labs, Inc. (USA) mit verbundenen Unternehmen, darunter Eleven Labs Poland sp. z o.o.: Gesprächsführung in der KI-Sekretärin. Speicherung in den USA, Verarbeitung in den USA, in der EU oder in Singapur. Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln. Das Gesprächsprotokoll wird standardmäßig nach 30 Tagen gelöscht.

Von Eleven Labs beauftragte Sprachmodellanbieter: Google Cloud (Gemini- und Claude-Modelle) und OpenAI (GPT-Modelle, einschließlich Ersatzmodell). Übermittelt wird der Gesprächstext. Grundlage: EU-US Data Privacy Framework oder Standardvertragsklauseln, vermittelt über Eleven Labs.

Twilio Ireland Limited (Irland) mit Twilio Inc. (USA): Rufnummer und Anrufvermittlung, nur wenn Quanty die Nummer stellt. Twilio verarbeitet einen Teil der Anrufdaten auch als eigener Verantwortlicher zur Missbrauchsprävention. Nutzt der Verantwortliche einen eigenen Anbieter, ist dieser nicht unser Unterauftragsverarbeiter.

Eleven Labs beauftragt eigene weitere Anbieter für Infrastruktur, Moderation und Support, aufgeführt unter compliance.elevenlabs.io/subprocessors.

Google Ireland Limited und Microsoft Ireland Operations Limited sind nicht unsere Unterauftragsverarbeiter. Daten gelangen nur dorthin, wenn der Verantwortliche sein eigenes Postfach oder seine Tabelle verbindet und eine Automatisierung aufbaut; er handelt dann auf Basis seines eigenen Vertrags.

Mitteilungsfrist bei Änderungen: 30 Tage, bei kürzerer Frist des Anbieters 7 Tage nach Erhalt seiner Mitteilung. Widerspruch und Folgen regelt Abschnitt 6.

Anlage C. Technische und organisatorische Maßnahmen

Standort: Anwendung und Datenbank in Amazon Web Services, Region eu-central-1 (Frankfurt). Serverzugriff ausschließlich über AWS Systems Manager Session Manager, ohne offenes SSH.

Verschlüsselung: Transport über TLS. Daten in der Datenbank, Dateien im Objektspeicher und Sicherungen sind ruhend verschlüsselt. Integrationstokens und Postfach-Passwörter werden verschlüsselt gespeichert und nach der Eingabe nicht erneut angezeigt.

Mandantentrennung: Jede Organisation hat einen eigenen Datenraum. Die Trennung setzt die Anwendungsschicht bei jeder Abfrage durch; die Organisationskennung stammt aus der Sitzung, nicht aus Anfrageparametern.

Zugriffskontrolle: personalisierte Konten, Rollen und Berechtigungen auf Ebene von Arbeitsbereich, Projekt und Tabelle. Anmeldung über Amazon Cognito. Zweiter Faktor als Einmalcode (TOTP), verpflichtend für Administratorkonten und sensible Vorgänge.

Zugriff von Pluscode-Personal: zeitlich begrenzt, standardmäßig 7 Tage, höchstens 30 Tage, für den Kunden im Organisationsbereich sichtbar und jederzeit widerrufbar. Bei Organisationen, die Gesundheitsdaten verarbeiten, verlangen wir zusätzlich eine schriftliche Anfrage des Kunden, eine Begründung und ein Enddatum.

Protokollierung: Handlungen von Plattform-Administratoren werden gesondert protokolliert. Anmeldeereignisse und Berechtigungsänderungen werden protokolliert. Protokolle bewahren wir bis zu 12 Monate auf.

Integrität der Kommunikation: ein- und ausgehende Webhooks werden signiert, die Signatur wird vor der Verarbeitung geprüft.

Löschung: Das Löschen eines Kontos versetzt die Daten 180 Tage in einen Archivzustand, danach werden sie endgültig gelöscht. Anrufdaten lassen sich einzeln in der Anwendung löschen.

Personal: Verträge mit Vertraulichkeitsklausel, schriftliche Verarbeitungsermächtigungen, Verzeichnis der ermächtigten Personen, Schulung zu Datenschutz und zum Umgang mit KI.

Entwicklung und Tests: Änderungen durchlaufen Code-Review und automatisierte Tests vor der Auslieferung. Produktions- und Testumgebung sind getrennt.

Was wir nicht haben: Wir besitzen keine Zertifizierung nach ISO 27001 oder SOC 2 und keine Zertifizierung nach Art. 42 DSGVO. Zertifikate halten unsere Infrastrukturanbieter; es sind nicht unsere.