Vereinbarung zur Auftragsverarbeitung (AVV)

1. Vertragsparteien, Geltung und Rangfolge

Verantwortlicher ist die in der jeweiligen QORLYNT-Bestellung oder im gespeicherten elektronischen AVV-Annahmenachweis eindeutig bezeichnete juristische Person oder das dort bezeichnete Unternehmen einschließlich Geschäftsanschrift und berechtigter Vertretung (Kunde). Auftragsverarbeiter ist Smart TB Tech UG (haftungsbeschränkt), Oberviehhausen 7, 84533 Haiming, Deutschland, vertreten durch Bernhard Waldherr und Thomas Elbl; Kontakt: support@qorlynt.com. Für Datenschutzanfragen und Weisungen ist diese Adresse nutzbar; sicherheitsrelevante Vorfälle können zusätzlich an support@qorlynt.com gemeldet werden.

Diese AVV gilt für personenbezogene Daten, die Smart TB Tech bei der Nutzung der gebuchten QORLYNT-Dienste im Auftrag des Kunden verarbeitet. Sie ergänzt Bestellung und AGB. Für die Auftragsverarbeitung hat diese AVV einschließlich ihrer Anlagen Vorrang vor widersprechenden AGB. Eine individuell vereinbarte und von beiden Parteien dokumentierte abweichende Datenschutzregelung hat Vorrang, soweit sie rechtlich zulässig ist. Die gesetzlichen Rechte betroffener Personen werden dadurch nicht eingeschränkt.

Die AVV wird in Textform oder elektronisch nachweisbar abgeschlossen. Die freigegebene Fassung, Anlage 3, Kundenidentität, Annahmezeitpunkt und befugte handelnde Person sind dauerhaft nachvollziehbar festzuhalten und dem Kunden zugänglich zu machen. Änderungen dieser AVV bedürfen einer wirksamen Vereinbarung; die Veröffentlichung einer neuen Website-Fassung ändert bestehende AVV nicht automatisch.

2. Gegenstand, Dauer und Rollenabgrenzung

Gegenstand sind Bereitstellung, Hosting, Betrieb, Sicherung und Support der vom Kunden gebuchten QORLYNT-Funktionen. Die Verarbeitung beginnt mit dem wirksamen Abschluss dieser AVV und endet grundsätzlich mit Beendigung der beauftragten Verarbeitung und der Abwicklung nach Ziffer 12. Art, Zwecke, betroffene Personen und Datenkategorien ergeben sich konkret aus Anlage 1; nicht freigeschaltete oder nicht genutzte Funktionen erweitern den Auftrag nicht automatisch.

Der Kunde legt Zwecke, zulässige Daten, Rechtsgrundlagen, Aufbewahrungsentscheidungen, Empfänger und Kommunikationskanäle fest. Smart TB Tech entscheidet über nicht wesentliche technische und organisatorische Mittel zur vertragsgerechten Bereitstellung und verarbeitet Auftragsdaten ausschließlich nach dokumentierten Weisungen. Eigene Vertrags-, Abrechnungs-, Support- und Sicherheitsverarbeitung von Smart TB Tech unterliegt dessen eigenständiger Verantwortlichkeit und den QORLYNT-Datenschutzhinweisen; die Abgrenzung richtet sich nach den tatsächlichen Zwecken, nicht allein nach dieser Bezeichnung.

Bei kundenseitig angebundenen Google-, Microsoft-, Meta-, Telegram-, SMTP-/IMAP-, Stripe-, OpenAI- oder sonstigen Konten können Anbieter Daten auch in eigener Verantwortung verarbeiten. Der Kunde muss deren Rollen und Verträge für seine Konfiguration prüfen. Soweit QORLYNT einen Dritten für die eigene Auftragsverarbeitung einsetzt, gilt Ziffer 7 und Anlage 3. Ein vom Kunden selbst bestimmter Empfänger wird dadurch nicht automatisch Unterauftragsverarbeiter von Smart TB Tech.

3. Weisungen und rechtswidrige Weisungen

Die vereinbarte Nutzung der Funktionen, die vom Kunden berechtigt vorgenommenen Einstellungen, bestätigte Importe, Verbindungen, Exporte und Löschaktionen sowie diese AVV sind dokumentierte Erstweisungen. Weitere Weisungen erteilen nur hierzu berechtigte Kundenvertretungen in Textform an support@qorlynt.com oder über dafür freigegebene, nachvollziehbare Produktfunktionen. Smart TB Tech dokumentiert die wesentlichen Weisungen und kann die Berechtigung angemessen prüfen. Mündliche Weisungen sind vom Kunden unverzüglich in Textform zu bestätigen.

Eine Weisung außerhalb des vereinbarten Leistungsumfangs wird vor Durchführung hinsichtlich Machbarkeit und gegebenenfalls nachweisbar vereinbarter Vergütung abgestimmt; gesetzlich geschuldete Unterstützung wird dadurch nicht ausgeschlossen. Hält Smart TB Tech eine Weisung für einen Verstoß gegen die DSGVO oder sonstiges Datenschutzrecht der EU oder eines Mitgliedstaats, informiert es den Kunden unverzüglich, soweit dies rechtlich zulässig ist. Die betroffene Weisung kann bis zur Klärung ausgesetzt werden. Für gesetzlich vorgeschriebene Verarbeitung ohne Weisung informiert Smart TB Tech vorab, sofern das betreffende Recht die Information nicht aus wichtigem öffentlichem Interesse verbietet.

4. Vertraulichkeit und Zugriffsberechtigung

Smart TB Tech gewährt nur Personen Zugriff, die diesen für den Auftrag benötigen. Alle zum Zugriff befugten Personen werden vorab auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht; dies gilt auch nach Ende ihrer Tätigkeit. Zugriffsrechte werden nach Aufgaben vergeben, regelmäßig überprüft und bei Wegfall entzogen. Berechtigte Personen erhalten geeignete Datenschutz- und Sicherheitsanweisungen.

Weder öffentliche Beispieldaten noch Supportanfragen sind eine pauschale Erlaubnis, personenbezogene Betriebsdaten für eigene Werbung, fremdes KI-Training oder andere eigene Zwecke zu verwenden. Zugriff zu Wartung, Fehlerbehebung oder Sicherheitsvorfällen erfolgt nur im notwendigen Umfang und wird angemessen begrenzt und nachvollziehbar gemacht.

5. Technische und organisatorische Maßnahmen (TOM)

Smart TB Tech trifft und erhält die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO entsprechend Risiko, Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung. Dazu gehören insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Wiederherstellbarkeit und regelmäßige Wirksamkeitsprüfung. Die Anlage beschreibt das vertragliche Sicherheitsniveau und darf nicht als Beleg für nicht nachgewiesene Produktivkonfigurationen, Zertifizierungen oder feste Wiederherstellungszeiten gelesen werden.

Maßnahmen dürfen weiterentwickelt oder durch gleichwertige beziehungsweise wirksamere Maßnahmen ersetzt werden, ohne das vereinbarte Schutzniveau zu unterschreiten. Wesentliche Verringerungen werden vorab mitgeteilt und bedürfen einer rechtlich wirksamen Abstimmung. Smart TB Tech weist die Umsetzung auf Anfrage durch geeignete aktuelle Dokumentation und Prüfungsnachweise nach. Der Kunde ist für sichere Rollenvergabe, Benutzerkonten, eigene Integrationszugänge und die Bewertung seiner besonderen Datenrisiken mitverantwortlich.

6. Drittlandübermittlungen

Verarbeitungen und Zugriffe aus Ländern außerhalb des EWR erfolgen nur auf dokumentierte Weisung des Kunden oder aufgrund einer bindenden gesetzlichen Pflicht und unter Einhaltung von Kapitel V DSGVO. Die Beauftragung eines genehmigten Unterauftragsverarbeiters einschließlich des für seine Leistung erforderlichen Drittlandzugriffs gilt nur innerhalb des konkret offengelegten Umfangs als Weisung. Anlage 3 benennt für jeden genehmigten Dienst Empfänger, Verarbeitungsorte beziehungsweise mögliche Zugriffsorte und den einschlägigen Übermittlungsmechanismus; tatsächliche Empfänger- und Vertragsgesellschaften sind vor Freigabe zu prüfen.

Ein Angemessenheitsbeschluss gilt nur im konkreten sachlichen und persönlichen Geltungsbereich. Bei Standardvertragsklauseln sind erforderliche Bewertungen und zusätzliche Schutzmaßnahmen zu berücksichtigen. Diese AVV selbst sind keine Standardvertragsklauseln für internationale Drittlandübermittlungen. Smart TB Tech stellt dem Kunden auf Anfrage die notwendigen Informationen und anwendbaren Garantien einschließlich relevanter Auszüge zur Verfügung. Ohne tragfähige Grundlage findet die betreffende Übermittlung nicht statt.

7. Unterauftragsverarbeiter und Änderungen

Der Kunde erteilt eine allgemeine schriftliche Genehmigung nur für die in der bei Abschluss zugänglich gemachten und angenommenen Version der standardisierten Anlage 3 bezeichneten Unterauftragsverarbeiter und beschriebenen Leistungen, soweit die betreffende Funktion für seinen Auftrag eingesetzt wird. Vor Beauftragung sind deren Identität, Anschrift, Kontaktmöglichkeit, Verarbeitungsgegenstand, Orte und etwaige Drittlandgarantien mitzuteilen. Anlage 3 muss auch die für den Auftrag relevanten weiteren Glieder der Unterauftragsverarbeitungskette erfassen und aktuell gehalten werden. Die allgemeine Zustimmung ist keine Erlaubnis für unbekannte Anbieter.

Über beabsichtigte Hinzunahmen oder Ersetzungen informiert Smart TB Tech jeden betroffenen Kunden aktiv in Textform grundsätzlich mindestens 30 Kalendertage vor Einsatz, mit Identität, Leistung, Ort und Datenschutzgarantien. Der Kunde kann innerhalb von 20 Kalendertagen nach Zugang aus sachlichen Datenschutzgründen widersprechen; ein rechtzeitiger Widerspruch wird vor Einsatz geprüft. Die Parteien suchen eine zumutbare Lösung, etwa eine andere Konfiguration. Ist diese nicht möglich, kann der Kunde die betroffene Leistung vor der Änderung außerordentlich beenden. Erforderliche Sicherheitsnotfälle werden so früh wie möglich angezeigt; bis zur Klärung ist eine rechtlich erforderliche Genehmigung sicherzustellen. Eine bloße Aktualisierung dieser Website ist keine aktive Änderungsmitteilung.

Smart TB Tech verpflichtet jeden Unterauftragsverarbeiter vertraglich zu einem im Wesentlichen gleichen Schutzniveau nach Art. 28 Abs. 4 DSGVO und prüft ausreichende Garantien. Es bleibt dem Kunden gegenüber für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters verantwortlich. Der Kunde erhält auf begründete Anfrage die für die Prüfung erforderlichen Informationen über eingesetzte Unternehmen und die weitere Kette, gegebenenfalls unter angemessenen Vertraulichkeitsmaßnahmen.

8. Betroffenenrechte und Anfragen

Der Kunde ist als Verantwortlicher für Informationen nach Art. 13/14 DSGVO und die Entscheidung über Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widersprüche verantwortlich. Smart TB Tech unterstützt ihn unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit geeigneten technischen und organisatorischen Maßnahmen bei der Bearbeitung dieser Anträge. Erreichbare Anfragen können an support@qorlynt.com übermittelt werden; notwendige Identitäts- und Berechtigungsprüfung erfolgt verhältnismäßig.

Geht eine erkennbar den Kunden betreffende Anfrage unmittelbar bei Smart TB Tech ein, informiert es den Kunden ohne unangemessene Verzögerung über einen geeigneten sicheren Kanal und leitet sie zu, sofern keine rechtliche Pflicht zur abweichenden Behandlung besteht. Es beantwortet die Frage zu Auftragsdaten nicht eigenmächtig inhaltlich, sofern der Kunde dazu nicht ermächtigt oder es rechtlich verpflichtet ist. Gesetzliche Antwortfristen des Kunden bleiben unberührt. Automatische Selbstbedienungsfunktionen allein sind keine Zusage einer vollständigen Löschung oder Datenkopie.

9. Datenschutzverletzungen und Sicherheitsvorfälle

Smart TB Tech meldet dem Kunden eine bekannt gewordene Verletzung des Schutzes von Auftragsdaten unverzüglich nach Kenntnis, über den hinterlegten verantwortlichen Sicherheitskontakt und erforderlichenfalls zusätzlich über einen anderen verlässlichen Kanal. Die Erstmeldung erfolgt mit den zu diesem Zeitpunkt verfügbaren Angaben; weitere Informationen folgen ohne unangemessene Verzögerung. Sie umfasst soweit bekannt Art und Umfang des Vorfalls, betroffene Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, Kontaktstelle, wahrscheinliche Folgen sowie getroffene oder vorgeschlagene Abhilfemaßnahmen. Eine fehlende vollständige Ursachenanalyse verzögert die Erstmeldung nicht.

Smart TB Tech unterstützt Untersuchung, Eindämmung, Dokumentation und die Pflichten des Kunden nach Art. 33 und 34 DSGVO; Entscheidungen und Fristen für Behörden- und Betroffenenmeldungen liegen beim Verantwortlichen. Eigenständige gesetzliche Meldepflichten von Smart TB Tech bleiben unberührt. Der Kunde stellt einen erreichbaren Sicherheitskontakt bereit und informiert Smart TB Tech über bei ihm entdeckte Vorfälle, soweit dies für den Auftrag notwendig ist.

10. Weitere Unterstützung und Nachweise

Smart TB Tech unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen und Art der Verarbeitung bei Sicherheitsanforderungen nach Art. 32 DSGVO, der Datenschutz-Folgenabschätzung nach Art. 35 und gegebenenfalls der vorherigen Konsultation nach Art. 36. Es stellt die für den Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und weist den Kunden unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung datenschutzwidrig ist. Die rechtliche Risikobewertung seines konkreten Einsatzes verbleibt beim Kunden.

Begründete Auskunfts- und Unterstützungsanfragen werden über support@qorlynt.com koordiniert. Soweit eine Leistung über die üblichen vereinbarten Pflichten hinausgeht, können Parteien eine vorab ausgewiesene angemessene Vergütung vereinbaren; zwingende Unterstützungspflichten dürfen nicht durch das Fehlen einer Vergütungsvereinbarung ausgehöhlt werden.

11. Überprüfungen und Audits

Smart TB Tech ermöglicht und unterstützt Prüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer nach Art. 28 Abs. 3 lit. h DSGVO. Geeignete aktuelle Nachweise und eine Remote-Prüfung können zunächst genutzt werden; soweit sie für die erforderliche Kontrolle nicht ausreichen, wird eine angemessene weitergehende Prüfung ermöglicht. Prüfungsumfang und Termin werden unter Berücksichtigung von Sicherheit, Vertraulichkeit anderer Kunden und Betriebsablauf abgestimmt. Bei einem erheblichen konkreten Vorfall oder begründeten Anzeichen schwerer Mängel ist eine zeitnahe Prüfung zu ermöglichen.

Der Kunde verpflichtet seine Prüfer zur Vertraulichkeit; Prüfungen dürfen nicht auf Daten anderer Mandanten oder unverhältnismäßige Offenlegung von Schutzgeheimnissen zugreifen. Diese Bedingungen beseitigen nicht das gesetzliche Prüfungsrecht. Festgestellte Mängel und Abhilfeschritte werden dokumentiert und in angemessener Frist abgestimmt. Berechtigte Aufsichtsbehördenrechte bleiben unberührt.

12. Rückgabe, Löschung und Vertragsende

Nach Ende der beauftragten Verarbeitung gibt Smart TB Tech nach dokumentierter Wahl des Kunden alle Auftragsdaten in einem geeigneten, vereinbarten Format zurück oder löscht sie und löscht vorhandene Kopien, soweit Unions- oder Mitgliedstaatenrecht eine Speicherung nicht verlangt. Der Kunde kann seine Wahl rechtzeitig vor Abschluss übermitteln. Wird keine Wahl getroffen, fordert Smart TB Tech eine Entscheidung an; rechtlich verpflichtende Löschung und gesetzliche Abruf- oder Wechselrechte dürfen durch fehlende Rückmeldung nicht unterlaufen werden. Ein Kontakt-CSV allein ist kein vollständiger Export.

Die Abwicklung berücksichtigt rechtmäßige Datenabruf- und Anbieterwechselrechte nach dem Data Act, vertragliche Fristen und eine sichere Übertragung. Verbleibende gesetzlich erforderliche Daten werden nur für den einschlägigen Zweck, mit beschränktem Zugriff und für die erforderliche Dauer aufbewahrt. Sicherungskopien werden nach dokumentiertem Backup-Zyklus außer Betrieb genommen und gelöscht; bis dahin dürfen sie nicht für laufende Zwecke genutzt werden. Nach einer Wiederherstellung sind bereits wirksame Löschungen erneut anzuwenden. Smart TB Tech bestätigt die durchgeführten Schritte auf Anfrage. Die tatsächlichen produktiven Fristen und vollständigen Datenbestände sind in einem betrieblichen Löschkonzept festzulegen und zu belegen.

Eine Trennung einer Integration, Kündigung eines Zusatzabos, Entfernung eines Kontakts oder eine Kontoschließung ersetzt nicht automatisch die Rückgabe oder Löschung sämtlicher Auftragsdaten. Für selbständige Verarbeitungen und Daten bei unabhängig verantwortlichen Drittanbietern gelten die jeweiligen Rechtsgrundlagen und Verträge.

13. Haftung, Laufzeit und Schlussregeln

Die AVV läuft, solange Smart TB Tech Auftragsdaten auf Grundlage der QORLYNT-Leistung verarbeitet, einschließlich erforderlicher Abwicklung. Art. 82 DSGVO und zwingende Ansprüche betroffener Personen bleiben unberührt. Für das Verhältnis der Parteien gelten im Übrigen die wirksam vereinbarten Vertragsbedingungen, soweit dadurch zwingende DSGVO-Pflichten nicht beschränkt werden. Es gilt deutsches Recht, soweit nicht zwingendes Datenschutzrecht vorgeht.

Der Kunde benennt für Weisungen und Vorfallmeldungen geeignete erreichbare Kontakte bei Vertragsschluss und hält sie aktuell. Anlage 3 und die kundenseitig vereinbarten Angaben zu besonderen Kategorien, Verarbeitungsländern und zusätzlichen Schutzmaßnahmen müssen vor der jeweils betroffenen Verarbeitung vollständig vorliegen. Erfordert ein hochsensibler Einsatz zusätzliche Maßnahmen, werden diese vor Aktivierung dokumentiert vereinbart.

Anlage 1 – Beschreibung der Verarbeitung

Bei mehreren Standorten umfasst der Auftrag zusätzlich Standortzuordnungen von Mitarbeitern, Kalendern, Buchungslinks, Kommunikationskanälen und Berechtigungen. Optional eingerichtete Online-Besprechungen verarbeiten Organisator-, Teilnehmer- und Termindaten, Besprechungslinks und Synchronisationsnachweise für Google Meet oder Microsoft Teams. Teams-Benachrichtigungen und Bot-Verknüpfungen verarbeiten Anbieter-, Nutzer-, Gesprächs- und Zielkennungen, Befehle, Antworten, Konto- und Standortfreigaben sowie Zustellnachweise. Der Kunde bestimmt den zulässigen Empfänger- und Teilnehmerkreis.

Freigegebene MCP-Zugriffe und eingehende beziehungsweise ausgehende Automations-Webhooks können ausgewählte Kontakte, Verfügbarkeiten, Termine, Rückruf- und Übergabeaufgaben sowie Statusdaten an kundenseitig autorisierte Anwendungen übermitteln oder von diesen übernehmen. Erfasst werden auch Berechtigungen, Bestätigungen, Feldzuordnungen, Zieladressen, Anfrage-/Antwort- und Wiederholungsnachweise. Optionale Bewertungsanfragen verarbeiten erforderliche Kontakt-/Termindaten, den Bewertungslink, Kanal-/Vorlagenkonfiguration und Versand-/Sperrnachweise. Technische Freigaben ersetzen keine erforderliche Werbeeinwilligung oder Übermittlungsgrundlage. Rollen und Verträge externer Empfänger sind gemäß Ziffer 2, 6 und 7 zu beurteilen; diese Beschreibung ersetzt keine Freigabe der Anlage 3.

Bei optionaler KI-Telefonannahme umfasst der Auftrag auch Echtzeit-Sprachverarbeitung, Anschlusszuordnung, Terminannahme, Rückrufaufgaben und deren ausdrücklich eingerichtete Benachrichtigung. Betroffene sind zusätzlich Anrufende und für die Rufnummernregistrierung benannte Personen. Verarbeitet werden Gesprächsaudio während der Verarbeitung, erforderlicher KI-Kontext, bestätigte Namen und Rückrufnummern, Anrufkennungen, Status, Dauer und Verbrauch sowie verschlüsselte Registrierungsangaben und Nachweise. QORLYNT speichert keine vollständigen Gesprächsaufnahmen oder -transkripte. Temporäre Werkzeugergebnisse werden nach sieben Tagen, lokale Anrufmetadaten nach 90 Tagen ab dem früheren Zeitpunkt von bestätigtem Ende und vorgesehenem Anrufende gelöscht; bestätigte Termine, Kontakte und Aufgaben folgen den gesonderten Kundenweisungen und Aufbewahrungsregeln. Dokumentoriginale werden lokal nach erfolgreicher Nachweisfreigabe, Registrierungsangaben bei erfolgreicher Rufnummernbereitstellung entfernt. Unvollständige Einrichtung und unabhängige Anbieteraufbewahrung sind gesondert zu berücksichtigen.

Gegenstand und Zweck: mandantenbezogene SaaS-Bereitstellung für Kunden- und Teamverwaltung, Termin- und Ressourcenplanung, Buchungsseiten, Kalenderabgleich, Chat und geschäftliche Kommunikation, Vorlagen und Kampagnen, regelbasierte Automationen, freigegebene KI-Assistenz, optionale externe Integrationen, Abwicklung von Nachrichten, Sicherheits- und Betriebsnachweise sowie Support nach Kundenanfrage. Verarbeitungsvorgänge umfassen Erfassen, Importieren, Ordnen, Speichern, Synchronisieren, Anzeigen, Auswerten, Generieren von Entwürfen, Übermitteln an konfigurierte Empfänger, Berichtigen, Exportieren, Sperren und Löschen. Funktion und Tarif bestimmen den tatsächlich beauftragten Umfang.

Betroffene Personen: Beschäftigte und berechtigte Nutzer des Kunden; dessen Kunden, Interessenten, Buchende, Chat- und Nachrichtenpartner; Kontaktpersonen von Geschäftspartnern; gegebenenfalls in Kalendern, Nachrichten, Importdateien und kundeneigenen Automationen enthaltene Dritte. Datenarten: Namen, Kontaktdaten, Unternehmen und Rollen, Dienst- und Verfügbarkeitsdaten, Leistungen und Termine, Kalenderereignisse und Teilnehmer, Kommunikations- und Einwilligungsnachweise, Chats und Medien, Buchungs- und Supportinhalte, technische Kennungen, Integrationszuordnungen, Automationsereignisse und Protokolle, Zugangsdaten in geschützter Form sowie kundenseitig bereitgestellter KI-Kontext und daraus erzeugte Inhalte.

Besondere Kategorien nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO sind kein für die Standardleistung erforderlicher Inhalt. Freitexte, Buchungen, Medien und importierte Daten können sie dennoch enthalten. Der Kunde darf solche Verarbeitungen nur bei eigener Rechtsgrundlage und nach vorheriger Prüfung angemessener zusätzlicher Schutzmaßnahmen aktivieren; eine Eignung für medizinische oder sonstige hochsensible Anwendungen wird nicht pauschal zugesichert. Kinder können im Einzelfall in Kundendaten vorkommen; QORLYNT wird nicht eigens als Kinderdienst beauftragt.

Fortsetzbare Kontaktimporte speichern normalisierte, zugeordnete Zeilen und Vorschau-/Fehlerdaten vor der bestätigten Übernahme vorübergehend serverseitig; bei manueller Buchungsfreigabe werden Vormerkung, Entscheidung und Benachrichtigung an Betrieb und Buchende verarbeitet. Diese Verarbeitung ist Teil des jeweiligen Kundenauftrags und nicht mit der eigenen Vertragskündigungsabwicklung von Smart TB Tech gleichzusetzen.

Bei optionalen Web-Push-Mitteilungen werden die vom Kunden veranlassten betrieblichen Ereignisse Benachrichtigungskategorien und registrierten Geräten der berechtigten Nutzer zugeordnet; technische Push-Adressen und Zustellnachweise dienen der Weiterleitung allgemeiner Hinweise ohne Kunden- oder Termindetails. Die Aktivierung durch den Nutzer und die Einstellungen des Kunden bestimmen die tatsächliche Nutzung. Bei optionalem E-Mail-Versand über eine QORLYNT-Absenderadresse werden auch Absender- und bestätigte Antwortadresse, Empfänger, Inhalte, Versand- und Zustellstatus sowie Rückläufer-, Beschwerde- und Sperrnachweise nach Kundenweisung verarbeitet. Die Adresse ist eine Versandadresse und kein empfangendes Postfach.

Die konkrete Aufbewahrung betrieblicher Inhaltsdaten folgt den dokumentierten Kundenweisungen und wirksam vereinbarten Produktfunktionen. Technische Nachweise, Sicherungen und Daten bei verbundenen Anbietern sind gesondert zu prüfen. Dauer: Vertragslaufzeit zuzüglich rechtmäßiger Abwicklung, Abruf-/Wechselphase und gesetzlich gebotener Restaufbewahrung nach Ziffer 12.

Anlage 2 – Technische und organisatorische Maßnahmen

Zugang und Vertraulichkeit: organisationsbezogene Identität und Rollen, serverseitige Berechtigungs- und Mandantenprüfungen, begrenzte administrative Rechte, verschlüsselte Übertragung, geschützte Geheimnisse und Verschlüsselung von Integrationszugängen, angemessene Personalverpflichtungen und Nachvollziehbarkeit privilegierter Zugriffe. Produktionsrechte und Schlüssel werden nach dem Minimalprinzip vergeben und bei Rollenwechsel entzogen. Tatsächliche Schlüsselverwaltung, Cloud-Regionen und gegebenenfalls Multi-Faktor-Anforderungen müssen dem produktiven Stand entsprechen.

Integrität und Zweckbindung: Mandantentrennung, Eingabeprüfung und Schutz externer Endpunkte, signierte Webhooks soweit technisch vorgesehen, Berechtigungsprüfung vor Datenzugriff und Veränderung, begrenzte Übertragung an aktivierte Integrationen, Ereignis- und Änderungsnachweise sowie getrennte Behandlung von Einwilligung, Werbewiderspruch und Datenlöschung. Daten in Logs und Supportkopien werden auf das Erforderliche begrenzt; Schutz von Schnittstellenschlüsseln und Ablehnung unzulässiger Zugriffe sind regelmäßig zu prüfen.

Verfügbarkeit und Wiederherstellung: versionierte und zugriffsgeschützte Datensicherungen, definierte Wiederherstellungsverfahren, Monitoring, Störungsbearbeitung und Schutz vor unberechtigter Veränderung. Wiederherstellungstests und Backups sind nach dokumentiertem Betriebsprofil durchzuführen. Diese AVV verspricht keine bislang unbestätigte exakte RPO-, RTO- oder Löschfrist; die produktiv gültigen Werte und Aufbewahrungsorte sind dem Kunden auf Anfrage konkret mitzuteilen.

Wirksamkeitskontrolle: risikobasierte regelmäßige Prüfung von Berechtigungen, Sicherheitsupdates, Schwachstellen und Sicherheitsereignissen, Test von Wiederherstellung und Löschverfahren, Kontrolle der Unterauftragsverarbeiter sowie dokumentierte Korrektur gefundener Mängel. Der Kunde erhält eine aktuelle, nachvollziehbare TOM-Darstellung der tatsächlich betriebenen Umgebung vor oder bei Vertragsschluss. Nicht implementierte Kontrollen dürfen darin nicht als umgesetzt bezeichnet werden.

Anbieteranlage – 2026-10-24

Vertragsgesellschaft: Amazon Web Services EMEA SARL Anschrift: 38 Avenue John F. Kennedy, L-1855 Luxembourg, Luxembourg Datenschutzkontakt: aws-EU-privacy@amazon.com Leistung und Zweck: Betrieb der QORLYNT-Anwendung, Datenbank und Dateien, Anmeldung, Schlüsselverwaltung sowie Plattform- und beauftragter E-Mail-Versand über SES/SNS. Daten und Betroffene: Benutzer-, Unternehmens-, Kontakt-, Termin-, Personal-, Nachrichten- und Dateidaten sowie technische Nutzungsdaten; betroffene Personen sind Nutzer, Beschäftigte und Kontakte des Kunden, soweit die jeweiligen Funktionen genutzt werden. Einsatzbedingung: Grundbetrieb von QORLYNT; kundenbezogener E-Mail-Versand nur im beauftragten Umfang. Verarbeitungsorte: Regionale Anwendungsressourcen: Schweden, Stockholm (eu-north-1), laut Betreiber. Globale Verwaltungs-, Support- und Zustellvorgänge sind davon nicht vollständig erfasst. Zugriffsländer: Administration durch QORLYNT: Deutschland. AWS-Infrastruktur in Schweden; Support nur bei entsprechender Supportweitergabe aus AU, CA, CR, DE, EG, FR, HK, IE, IN, IT, JP, KR, TW, US und ZA möglich (ISO-Ländercodes). Keine Beschränkung weltweiter AWS-Supportvorgänge auf Stockholm. Übermittlungsgrundlagen und Garantien: AWS Data Processing Addendum einschließlich der dort vorgesehenen EU-Standardvertragsklauseln für erfasste Drittlandübermittlungen. Vertrags- und Schutzbestimmungen: https://aws.amazon.com/compliance/gdpr-center/ Weitere Verarbeitungskette: Stockholm: Amazon Data Services Sweden AB (SE). Bei Route-53-Domainregistrierung: Key-Systems GmbH (DE); reines DNS ist keine Registrierung. Für an AWS-Support weitergegebene Daten kommen folgende Gesellschaften in Betracht: Amazon.com Services LLC (US); Amazon Data Services SA (Pty) Ltd (ZA); Amazon Development Centre (India) Private Limited (IN); Amazon Development Centre Ireland Limited (IE); Amazon Development Centre (South Africa) (Proprietary) Limited (ZA); Amazon Internet Services Private Limited (IN); Amazon Support Services Costa Rica, SRL (CR); Amazon Web Services Australia Pty Ltd (AU); Amazon Web Services Canada, Inc. (CA); Amazon Web Services EMEA SARL (FR, DE, IE, IT); Amazon Web Services Hong Kong Limited (HK); Amazon Web Services Japan G.K. (JP); Amazon Web Services Korea LLC (KR); Amazon Web Services Taiwan Ltd (TW); Amazon Web Services, Inc. (US); AWS India ProServe LLP (IN); Elemental Technologies LLC (US); Souq.com for E-Commerce LLC (EG). Maßgebliche dienstbezogene Liste: https://aws.amazon.com/compliance/sub-processors/ (2026-07-28) Vertragsgrundlage: Vorhandene Lieferanten-AVV laut Betreiber. Standard-Vertragsgesellschaft für ein deutsches Konto laut AWS Customer Agreement: https://aws.amazon.com/agreement/ ; DPA: https://aws.amazon.com/compliance/gdpr-center/ ; Datenschutzkontakt: https://aws.amazon.com/privacy/ .

Vertragsgesellschaft: OpenAI Ireland Ltd. Anschrift: 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland Datenschutzkontakt: privacy@openai.com; dpo@openai.com Leistung und Zweck: Produktseitige Text-KI und Echtzeit-Sprachverarbeitung zur Bearbeitung von Kundenanliegen und Terminaktionen. Daten und Betroffene: Übermittelte Nachrichten bzw. Audiodaten, Gesprächskontext, Kontakt- und Termininformationen sowie technische Metadaten; betroffene Personen sind Anrufer, Kontakte und beteiligte Nutzer bzw. Beschäftigte. Einsatzbedingung: Nur bei aktivierter QORLYNT-KI bzw. Telefonassistenz und im Rahmen der dafür übermittelten Inhalte. Kundeneigene KI-Verbindungen gesondert behandeln. Verarbeitungsorte: Projekt QORLYNT Production: zuletzt beobachtete Residency Global; keine aktive EU-Beschränkung nachgewiesen. Internationale Verarbeitung einschließlich USA möglich. Zugriffsländer: Globaler API-Betrieb: Infrastrukturorte je Unternehmen unten (ISO-Ländercodes); Cloudflare-CDN weltweit am nutzernahen Standort. Moderation: US, CA, PH; Support/Konzerngesellschaften zusätzlich IE, GB, JP sowie die Salesforce-Supportorte laut verlinkter Liste. Keine EU-Beschränkung oder ZDR-Zusage. Übermittlungsgrundlagen und Garantien: Für EWR-Daten sieht Abschnitt 4.1 der OpenAI-DPA Weiterübermittlungen auf Grundlage von EU-Standardvertragsklauseln oder eines einschlägigen Angemessenheitsbeschlusses vor. Dies belegt weder EU-only-Verarbeitung noch Zero Data Retention. Weitere Verarbeitungskette: API-Infrastruktur: Microsoft Corporation (AU, BE, BR, CA, DK, FR, DE, IN, ID, IE, IT, JP, MY, MX, NL, NZ, NO, PL, SG, ZA, KR, ES, SE, CH, AE, GB, US); CoreWeave, Inc. (NO, ES, SE, GB, US); Oracle Cloud Infrastructure (BR, JP, MY, NL, GB, US); Google Cloud Platform (FI, JP, NL, NO, SG, GB, US); Amazon Web Services, Inc. (US); Cerebras (US, CA). CDN: Cloudflare, Ltd. (weltweit). Datenplattform: Snowflake, Inc. und Fivetran, Inc. (US). Markierte Inhalte zur Missbrauchsprüfung: Cinder Technologies, Inc. (US), TaskUs, LLC (PH), Accenture International Limited (US, CA, PH). Nur bei Supportweitergabe: Salesforce und die genannten TaskUs/Accenture-Dienste. Konzerngesellschaften: OpenAI, OpCo, LLC und OAI International, Inc. (US), OpenAI Ireland Ltd. (IE), OpenAI UK Ltd. (GB), OpenAI Japan Ltd. (JP). Premiumsupport/Pylon nur bei gesonderter Nutzung; WorkOS/Merge für ChatGPT nicht allein durch API-Nutzung umfasst. Produkt-, Standort- und Einsatzbedingungen: https://openai.com/policies/sub-processor-list/ (2026-10-14) Vertragsgrundlage: Vorhandene Lieferanten-AVV laut Betreiber. OpenAI-DPA, wirksam ab 01.01.2026; für Kunden im EWR/Schweiz OpenAI Ireland Ltd.: https://openai.com/policies/data-processing-addendum/ . Anschrift/Kontakte: https://openai.com/policies/eu-services-privacy-policy/ .

Vertragsgesellschaft: Twilio Ireland Limited Anschrift: 70 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Ireland Datenschutzkontakt: privacy@twilio.com Leistung und Zweck: Bereitstellung und Verwaltung von Telefonnummern sowie SIP-/Sprachübertragung für den QORLYNT-Telefonassistenten. Daten und Betroffene: Rufnummern, Sprachübertragung, Verbindungs- und Anrufmetadaten sowie erforderliche Unternehmens-/Vertreter- und regulatorische Nachweisdaten. Betroffene Personen: Anrufer, Ansprechpartner und vertretende Personen des Kunden. Einsatzbedingung: Nur bei beauftragter Telefoniefunktion. Eigene gesetzliche Telekommunikations-, Abrechnungs- und Sicherheitszwecke von Twilio gesondert nach der jeweiligen Verantwortlichkeit behandeln. Verarbeitungsorte: QORLYNT-Telefonie verwendet die Twilio-Region United States (US1) für die verwalteten SIP-/Sprachressourcen. Kontoverwaltung, Telekommunikationszustellung und Support sind von dieser Produktregion zu unterscheiden. Zugriffsländer: US1: USA. AWS-/Clickhouse-Infrastruktur laut Produktliste USA/EU, AWS auch Australien. Globale Telekommunikationszustellung hängt von Anrufer, Ziel und Netzbetreibern ab. Supportzugriffe nach Twilio-DPA; eine auf US1 oder EU begrenzte Supportbelegschaft wird nicht zugesagt. Übermittlungsgrundlagen und Garantien: Twilio-DPA, Schedule 3: für erfasste Übermittlungen vorrangig Data Privacy Framework, nachrangig anwendbare Binding Corporate Rules bzw. EU-Standardvertragsklauseln. Die jeweilige Grundlage gilt nur innerhalb ihres Empfänger- und Zertifizierungsumfangs; keine pauschale EU-only-Zusage. Weitere Verarbeitungskette: Voice/SIP-Grundbetrieb: Twilio Inc. (US; Leistungserbringung als Unterauftragnehmer der irischen Vertragsgesellschaft), AWS (US/EU/AU), Clickhouse (US/EU). Nur bei tatsächlich genutzter Twilio-Spracherkennung/-synthese: AWS, Deepgram, Google und VoiceBase (US). QORLYNTs eigene OpenAI-Sprachintegration aktiviert diese Zusatzprodukte nicht automatisch. SendGrid, Segment, Flex, Stytch und Conversational Intelligence gehören nicht allein wegen Voice/SIP zur eingesetzten Kette. Telekommunikationsnetzbetreiber werden von Twilio gesondert eingeordnet. Vollständige produktbezogene Zuordnung und regionale Ausnahmen: https://www.twilio.com/en-us/legal/sub-processors (2026-10-24) Vertragsgrundlage: Vorhandene Lieferanten-AVV laut Betreiber. Twilio-Standardbedingungen für EWR-Kunden nennen Twilio Ireland Limited: https://www.twilio.com/en-us/legal/tos . DPA: https://www.twilio.com/en-us/legal/data-protection-addendum ; Kontakt: https://www.twilio.com/en-us/legal/privacy .

Vertragsgesellschaft: Cloudflare, Inc. Anschrift: 101 Townsend Street, San Francisco, CA 94107, USA Datenschutzkontakt: legal@cloudflare.com Leistung und Zweck: Cloudflare Turnstile: Schutz öffentlicher Formulare gegen automatisierte und missbräuchliche Anfragen. Daten und Betroffene: Technische Verbindungs-/Browsersignale und Prüfergebnisse der Formularnutzer. Einsatzbedingung: Produktiver Einsatz vom Betreiber bestätigt. Nur die Verarbeitung im Auftrag erfassen; Cloudflares eigene Bot-Erkennungszwecke getrennt beurteilen. Verarbeitungsorte: Technische Turnstile-Prüfsignale werden im globalen Cloudflare-Netz verarbeitet; keine ausschließlich europäische Verarbeitung zugesagt. Zugriffsländer: Turnstile verarbeitet technische Prüfsignale über Cloudflares globales Netz. Mögliche Konto-/Engineering-Supportorte: AE, AU, CA, CH, DE, FR, GB, IN, JP, KR, MX, MY, NL, PT, SE, SG, US; Zendesk zusätzlich EWR und Japan/Australien. Keine ausschließliche EU-Verarbeitung. Übermittlungsgrundlagen und Garantien: Cloudflare-DPA v6.4, Abschnitt 6: Für erfasste Drittlandübermittlungen gelten die dort vorgesehenen Transfermechanismen einschließlich EU-Standardvertragsklauseln; ein einschlägiger Angemessenheitsbeschluss kann nach Maßgabe der DPA zur Anwendung kommen. Keine EU-only-Zusage. Weitere Verarbeitungskette: Konto-/Supportdienste bei entsprechender Weitergabe: Slack Technologies, Inc. (US), Salesforce, Inc. (US), Zendesk, Inc. (US/EWR/JP/AU). Konzernsupport: Cloudflare Ltd. (GB); Cloudflare Pte. Ltd. (SG); Cloudflare Australia Pty Ltd (AU); Cloudflare Germany GmbH (DE); Cloudflare Portugal, Unipessoal Lda. (PT); Cloudflare France SAS (FR); Cloudflare Japan K.K. (JP); Cloudflare (Canada) Information Technology Co., Ltd. (CA); Cloudflare Netherlands B.V. (NL); Cloudflare Middle East FZ-LLC (AE); Area 1 Security, LLC (US); Cloudflare Korea LLC (KR); Cloudflare Mexico, S. de R.L. de C.V. (MX); Cloudflare Malaysia Sdn. Bhd. (MY); Cloudflare Capability Center (India) Private Limited (IN); Cloudflare Sweden AB (SE); Cloudflare Switzerland GmbH (CH). Cloudflare India Private Limited ist auf indische Kunden beschränkt. Workers-AI-, AI-Gateway-, Developer- oder Zero-Trust-Anbieter gelten nicht automatisch für Turnstile. Dienstbezogene Liste: https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/ (2025-10-01) Vertragsgrundlage: Cloudflare-DPA v6.4, 03.04.2026: https://www.cloudflare.com/cloudflare-customer-dpa/ ; Turnstile-Rollen: https://www.cloudflare.com/turnstile-privacy-policy/ .

Vertragsgesellschaft: Microsoft Ireland Operations Limited Anschrift: One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Ireland Datenschutzkontakt: https://www.microsoft.com/privacy/privacystatement Leistung und Zweck: Microsoft 365/Exchange für Empfang und Speicherung der QORLYNT-Firmen- und Supportmails, Zugriff über Outlook; Teams für Online-Einrichtungshilfe und Supportbesprechungen. Daten und Betroffene: Absender-/Empfängeradressen, Mailinhalte und Anhänge, Supportkorrespondenz und Besprechungsinhalte; soweit im Support erforderlich auch darin enthaltene Auftragsdaten des Kunden. Einsatzbedingung: Microsoft 365/Exchange als Postfachanbieter und Teams-Nutzung vom Betreiber bestätigt; Domainverwaltung bei AWS und automatischer QORLYNT-Versand über SES sind getrennte Dienste. Aufnahme in die Kundenanlage soweit Kunden-Auftragsdaten verarbeitet werden; eigene Vertrags-/Supportverwaltung gesondert zuordnen. Keine Aufzeichnung oder OneDrive-Nutzung als bestätigt voraussetzen. Verarbeitungsorte: Exchange- und Teams-Daten werden in der dem Microsoft-365-Tenant zugewiesenen Geografie unter den Speicherzusagen der Microsoft-DPA und Produktbedingungen verarbeitet. Der tatsächliche Tenant-Speicherort wurde nicht separat ausgelesen; keine ausschließliche EU-/Deutschland-Speicherung zugesagt. Globale Betriebs-/Supportzugriffe sind gesondert unten beschrieben. Zugriffsländer: Mögliche Microsoft-/Vertragspersonal-Zugriffsorte laut weltweiter Standortliste (ISO-Ländercodes, keine Behauptung eines tatsächlichen Einzelzugriffs): AE, AM, AO, AR, AT, AU, BA, BD, BE, BG, BH, BN, BO, BR, CA, CH, CI, CL, CN, CO, CR, CY, CZ, DE, DK, DO, DZ, EC, EE, EG, ES, FI, FR, GB, GE, GH, GR, GT, HK, HN, HR, HU, ID, IE, IL, IN, IS, IT, JM, JO, JP, KE, KR, KW, KZ, LB, LK, LT, LU, LV, MA, ME, MK, MO, MT, MU, MX, MY, NA, NG, NL, NO, NZ, OM, PA, PE, PH, PK, PL, PT, PY, QA, RO, RS, SA, SE, SG, SI, SK, SN, SV, TH, TN, TR, TT, TW, UA, US, UY, VN, ZA. https://learn.microsoft.com/en-us/microsoft-365/enterprise/personnel-loc/m365-personnel-location?view=o365-worldwide (2026-04-24) Übermittlungsgrundlagen und Garantien: Microsoft Products and Services DPA als Bestandteil der Microsoft-Kundenvereinbarung; für erfasste Drittlandübermittlungen gelten die darin vereinbarten EU-Standardvertragsklauseln und gegebenenfalls einschlägige Angemessenheitsbeschlüsse. Die EU Data Boundary ist keine Zusage, dass keinerlei internationale Support-/Betriebsübermittlung stattfindet. Weitere Verarbeitungskette: Exchange/Teams: Akamai Technologies, Inc. (CDN weltweit); Scuba Analytics, Inc. (Teams-Nutzungsanalyse pseudonymer Daten, US). Vertragspersonal unter Microsoft-Kontrolle auf Microsoft-Systemen: Accenture International Limited; Akvelon, Inc.; Allegis Group Holdings, Inc.; Allyis, Inc.; Apex Systems, LLC; Aptly Technology Corporation; Beyondsoft Consulting, Inc.; Blueprint Technologies; Capgemini America, Inc.; Capgemini, España, S.L.; Centific Technologies, Inc.; Cognizant Technology Solutions; CSI Interfusion, Inc.; DXC Technology Services LLC; Ernst & Young, LLP; Experis; HCL America, Inc.; Hi-Tech Talents LLC; Infosys Limited; Insight Global, Inc.; Latentview Analytics Corporation; Launch Consulting; LTIMindtree Limited; Maq LLC; Matchpoint IT Ltd.; Mu Sigma Business Solutions, LLC; Shanghai Wicresoft Co., Ltd.; Sonata Software Limited; Tata Consultancy Services Ltd.; Tek Experts; Teleion Consulting, LLC; Telus International AI, Inc.; Valorem, LLC; Wicloud Corporation; Wipro Limited. Personal-Zugriffsorte siehe eigenes Feld; Unternehmenssitz ist kein Zugriffsortnachweis. Infrastrukturgesellschaften richten sich nach der genutzten Region (z. B. Microsoft Deutschland MCIO GmbH/DE, Microsoft Ireland Operations Limited und Microsoft RL Unlimited Company/IE, Microsoft Datacenter Netherlands B.V./NL, Microsoft Sweden 1172 AB/SE, Microsoft Corporation/US). Vollständige Infrastrukturtabelle und Personaldienstleister: https://servicetrust.microsoft.com/ViewPage/DocumentPreview?documentId=115f1cb5-7f7b-4a5e-838d-df6d03c84dda (2026-09-10). Nur anderen Azure-Produkten zugeordnete Anbieter sowie nicht beauftragte KI-/Copilot-Funktionen werden nicht als aktive Exchange-/Teams-Kette behauptet. Vertragsgrundlage: Microsoft-Kundenvereinbarung (MCA) im Kontoscreenshot bestätigt; der gezeigte Vertragsanfang bezieht den DPA ein. Gesellschaft/Anschrift nach dem offiziellen deutschen MCA-Standardmuster: https://www.microsoft.com/licensing/docs/documents/download/MCASample_Germany_March2023_de-de.docx . DPA: https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA . Die Vertragszuordnung beruht auf dem bestätigten MCA-Standardvertrag.