Auftragsverarbeiter: Renting & Renting GbR, Industriestraße 8, 67304 Eisenberg, vertreten durch Gesellschafter: Leila Renting, Alex Renting (nachfolgend „venvy")
Verantwortlicher: der Kunde, der diesen Vertrag in der Anwendung annimmt (Event-Location; Name und Anschrift laut Kundenkonto)
Dieser AVV wird bei der Einrichtung der Anwendung durch den Verantwortlichen angenommen (Abschnitt 10) und ist Bestandteil des Nutzungsvertrags. Anlagen sind die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter. Ergänzend gelten:
- für Beschäftigtendaten (Zeiterfassung, Abwesenheiten, Lohn-Vorbereitung, Mitarbeiter-Akte) der AVV-Zusatz Personal & Zeiterfassung; diese Funktionen stehen erst nach dessen gesonderter Annahme zur Verfügung;
- für den KI-Assistenten mit Werkzeug-Zugriff (venvy Agent) der AVV-Zusatz venvy Agent; er wird zusammen mit diesem AVV angenommen.
1. Gegenstand und Dauer
venvy verarbeitet personenbezogene Daten ausschließlich im Auftrag und auf Weisung des Verantwortlichen, um ihm die Software venvy bereitzustellen. Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Danach gilt Abschnitt 9.
2. Art und Zweck der Verarbeitung
- Erfassung und Verwaltung von Event-Anfragen, Kunden und Buchungen.
- E-Mail-Kommunikation im Namen des Verantwortlichen (Empfang über IMAP, Versand über dessen Mailserver oder das Relay von venvy).
- Erstellung von Angeboten, Verträgen und Rechnungen.
- Erfassung von Zahlungseingängen (Import von Kontoauszügen, manuelle Buchung). venvy wickelt selbst keine Zahlungen der Gäste ab.
- KI-gestützte Funktionen: Textvorschläge, Zusammenfassungen und Assistent auf Anforderung der Nutzer; die automatische Einschätzung eingehender Anfragen (Dringlichkeit, Passung) für alle Kunden. Mit Annahme dieses AVV weist der Verantwortliche venvy an, diese Einschätzung durchzuführen. Widerspricht eine betroffene Person nach Art. 21 DSGVO, übergibt venvy ihre Daten dafür nicht mehr an das Sprachmodell. Transkription von Audioaufnahmen nur, wenn der Verantwortliche sie eingeschaltet hat (Abschnitt 8).
- Verarbeitung von Beschäftigtendaten nur nach dem AVV-Zusatz Personal & Zeiterfassung.
- Assistent mit Werkzeug-Zugriff nur nach dem AVV-Zusatz venvy Agent; nach außen wirkende Aktionen brauchen dort immer die Freigabe eines Menschen.
Betriebskennzahlen (zusammengefasst)
Zu Betrieb, Wartung, Support sowie Störungs- und Missbrauchserkennung verarbeitet venvy zusammengefasste Kennzahlen je Kunde (zum Beispiel Zahl neuer Anfragen, versendeter und fehlgeschlagener E-Mails). Keine Namen, E-Mail-Adressen, Freitexte oder Profile einzelner Endkunden. Aufbewahrung: 24 Monate.
Zugriffe von venvy-Personal auf Daten eines Kunden werden in einem Protokoll festgehalten, das sich weder ändern noch löschen lässt; Zugriffe auf Inhalte brauchen einen dokumentierten Grund. Der Verantwortliche kann das Protokoll in der Anwendung einsehen. Aufbewahrung: 36 Monate.
3. Art der personenbezogenen Daten
Stammdaten (Name, E-Mail, Telefon, Anschrift), Event-Daten (Datum, Gästezahl, Wünsche), Korrespondenz, Vertragsdaten und Zahlungsdaten (Betrag, Status, Verwendungszweck; keine Karten- oder vollständigen Kontodaten). Bei eingeschalteter Transkription können in freien Texten besondere Kategorien nach Art. 9 DSGVO beiläufig anfallen; dafür gilt Abschnitt 8. Beschäftigtendaten und Daten des Assistenten: siehe die Zusätze.
4. Kategorien betroffener Personen
Interessenten, Kunden und Gäste des Verantwortlichen sowie deren Ansprechpartner. Mit dem Personal-Zusatz zusätzlich Beschäftigte des Verantwortlichen.
5. Pflichten von venvy (Art. 28 Abs. 3 DSGVO)
venvy verpflichtet sich:
- (a) Weisungen. venvy verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland, sofern venvy nicht durch Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet ist; in diesem Fall teilt venvy dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht das nicht verbietet. Die Weisungen ergeben sich aus diesem AVV, seinen Anlagen und der Konfiguration in der Anwendung (Einstellungen, Schalter). venvy informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von venvy gegen Datenschutzrecht verstößt.
- (b) Vertraulichkeit. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
- (c) Sicherheit. venvy trifft die Maßnahmen nach Art. 32 DSGVO, beschrieben in den TOM.
- (d) Unterauftragsverarbeiter. venvy hält die Bedingungen aus Abschnitt 6 ein.
- (e) Rechte betroffener Personen. venvy unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, unter anderem durch Export je Person und je Konto sowie Lösch- und Anonymisierungsfunktionen.
- (f) Sicherheit, Meldungen, Folgenabschätzung. venvy unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet venvy dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an die im Konto hinterlegte Adresse des Inhabers, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben reicht venvy schrittweise nach.
- (g) Löschung oder Rückgabe nach Abschnitt 9.
- (h) Nachweise und Überprüfungen. venvy stellt alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. In erster Linie geschieht das durch diesen AVV, seine Anlagen und ergänzende Auskünfte auf Anfrage.
6. Unterauftragsverarbeiter und Drittländer (Art. 28 Abs. 2 und 4, Art. 44 ff. DSGVO)
(1) Der Verantwortliche erteilt venvy eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter hinzuzuziehen. Die aktuellen Unterauftragsverarbeiter stehen in der Liste der Unterauftragsverarbeiter.
(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert venvy den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann bis zum Ablauf dieser Frist widersprechen. Die Folgen eines Widerspruchs regelt Abschnitt C der Liste.
(3) venvy verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem AVV und haftet dem Verantwortlichen gegenüber für deren Einhaltung.
(4) Übermittlungen in Drittländer finden nur unter den Bedingungen der Art. 44 ff. DSGVO statt. Derzeit gehen Daten an Anthropic, OpenAI und Resend in den USA; Grundlage sind jeweils die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Vertrag mit dem Empfänger. Welche Daten zu welchem Zweck übermittelt werden, steht in der Liste. Eine Kopie der Standardvertragsklauseln erhält der Verantwortliche auf Anfrage.
7. Mandantentrennung
Strikte Trennung der Kunden auf Datenbankebene (Row Level Security). Kein Kunde erhält Zugriff auf Daten eines anderen Kunden.
8. Besondere Kategorien (Art. 9 DSGVO)
- Audioaufnahmen und Transkription: nur, wenn der Verantwortliche die Funktion eingeschaltet hat. Der Verantwortliche holt die ausdrückliche Einwilligung der aufgenommenen Personen ein (Art. 9 Abs. 2 lit. a DSGVO) und weist vor der ersten Aufnahme darauf hin, dass die Verarbeitung bei OpenAI in den USA erfolgt. venvy stellt die dafür nötigen Einwilligungs- und Schaltermechanismen bereit.
- Beschäftigte: Rechtsgrundlagen und Schutzmaßnahmen regelt der AVV-Zusatz Personal & Zeiterfassung.
- Assistent: Weil der Assistent mit Freitext arbeitet, können besondere Kategorien beiläufig anfallen. Einzelheiten regelt der AVV-Zusatz venvy Agent.
9. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)
(1) Wahl des Verantwortlichen. Vor dem Vertragsende entscheidet der Verantwortliche, ob venvy ihm die Daten zurückgibt oder sie löscht. Die Rückgabe erfolgt als Export über die Anwendung: strukturierte Daten einschließlich Personal- und Zeiterfassungsdaten als JSON-Datei, Dateien im Originalformat als ZIP-Pakete; Angaben zu besonderen Kategorien (Art. 9 DSGVO) auf gesonderte Anforderung (§ 8 Abs. 2a der AGB). Trifft der Verantwortliche keine Wahl, steht ihm der Export noch 30 Tage nach Vertragsende offen; danach löscht venvy.
(2) Löschung. Nach Ablauf der 30 Tage löscht venvy die personenbezogenen Daten des Verantwortlichen einschließlich der Zugangsdaten zu Postfächern und der Dateispeicher, soweit Absatz 3 nichts anderes bestimmt. Anfragen und Kundendatensätze werden dabei anonymisiert: Name, Kontaktdaten und Freitexte werden entfernt, nur zusammengefasste Kennzahlen bleiben.
(3) Aufbewahrung von Belegen. Ausgestellte Rechnungen, Verträge, Angebote und die dazugehörige Geschäftskorrespondenz bewahrt venvy nach Vertragsende für den Verantwortlichen gesperrt auf, solange dessen gesetzliche Aufbewahrungsfristen laufen (insbesondere § 147 AO, § 257 HGB), und löscht sie danach. Gesperrt heißt: kein Zugriff in der Anwendung, keine Nutzung, keine Auswertung; Herausgabe nur an den Verantwortlichen oder auf gesetzliche Anordnung. Der Verantwortliche kann diese Belege jederzeit vorher herausverlangen oder ihre Löschung verlangen, wenn er die Aufbewahrung selbst übernimmt. Arbeitszeitnachweise und Entgeltunterlagen regelt der AVV-Zusatz Personal & Zeiterfassung.
(4) Sicherungskopien. In den Sicherungsarchiven bleiben gelöschte Daten bis zum Ablauf des jeweiligen Stands erhalten, längstens drei Jahre. Sie werden nur zur Wiederherstellung genutzt; bei einer Wiederherstellung wendet venvy die Löschungen erneut an.
(5) Auf Verlangen bestätigt venvy die Löschung in Textform.
10. Annahme
Die Annahme erfolgt bei der Einrichtung in der Anwendung durch aktive Bestätigung. venvy speichert Zeitpunkt, Nutzer und Fassung in einem Protokoll, das sich nur ergänzen, nicht ändern lässt. Ändert sich dieser AVV, zeigt die Anwendung einen Hinweis zur Bestätigung der neuen Fassung.