Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 29. September 2026 · Version 2026.10

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten, die der Kunde („Verantwortlicher“) durch den Einsatz der rinqo-Plattform von rinqo („Auftragsverarbeiter“) verarbeiten lässt. Er wird mit Vertragsschluss Bestandteil des Hauptvertrags (AGB) und erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO. Anlage 1 beschreibt die Datenflüsse je Agent und die Speicherdauer; sie ist Bestandteil dieses AVV.

Auftragsverarbeiter: Sven Pflüger, Geschäftsbezeichnung „rinqo“, Schusterstraße 40, 79098 Freiburg im Breisgau, Deutschland, privacy@rinqo.de.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der rinqo-Plattform zur Erstellung und zum Betrieb von Chat-Agenten, Telefon-Agenten, E-Mail-Agenten und dem Persönlichen Agenten. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags und endet mit Vertragsbeendigung zuzüglich der in Abschnitt 11 geregelten Fristen.

2. Art und Zweck der Verarbeitung

Bereitstellung der Plattform, Speichern und Abrufen der Konfiguration des Verantwortlichen;
Entgegennahme und Beantwortung von Kommunikation über Chat-Agenten, Telefon-Agenten und E-Mail-Agenten im Auftrag des Verantwortlichen;
Anreicherung von Antworten aus der Wissensdatenbank des Verantwortlichen;
Erstellung von Gesprächszusammenfassungen, Kontaktverwaltung und Erfassung von Anfragen;
Bereitstellung von Rufnummern für die Agenten;
Protokollierung und Überwachung zur Absicherung des Betriebs der Plattform.

Die Abrechnung der Leistungen gegenüber dem Verantwortlichen ist keine Auftragsverarbeitung; sie richtet sich nach der Datenschutzerklärung von rinqo.

3. Art der personenbezogenen Daten

Stammdaten (Name, Firmenzugehörigkeit, Rolle);
Kontaktdaten (E-Mail-Adresse, Telefonnummer, Postanschrift);
Kommunikationsinhalte (Chat-Nachrichten, Transkripte von Telefongesprächen, Audioaufnahmen, soweit die Aufzeichnung eingeschaltet ist, E-Mail-Inhalte, Anhänge);
technische Metadaten (IP-Adresse, Browserkennung, Zeitstempel);
vom Verantwortlichen gesperrte Rufnummern, E-Mail-Adressen und E-Mail-Domains;
Inhalte der Wissensdatenbank, soweit sie personenbezogene Daten enthalten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur nach gesonderter Freigabe verarbeitet (AGB Abschnitt 2).

4. Kategorien betroffener Personen

Kundinnen, Kunden und Interessenten des Verantwortlichen;
Besucherinnen und Besucher der Website des Verantwortlichen;
Anruferinnen und Anrufer;
Absenderinnen und Absender von E-Mails;
Mitarbeitende des Verantwortlichen, soweit sie die Plattform oder ihre Ausgaben nutzen.

5. Ort der Verarbeitung und Sitz der beteiligten Unternehmen

(1) Die von rinqo und seinen Unterauftragnehmern nach Abschnitt 7 durchgeführte Verarbeitung und Speicherung personenbezogener Daten findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt. Die primäre Verarbeitung und Speicherung erfolgt in Deutschland.

(2) Sämtliche in Abschnitt 7 aufgeführten Unterauftragnehmer haben ihren Sitz in der Europäischen Union und werden nicht von einem Unternehmen mit Sitz außerhalb der Union beherrscht. Bei der Verarbeitung nach Absatz 1 übermittelt rinqo keine personenbezogenen Daten in ein Drittland.

(3) Verbindet der Verantwortliche eigene Anwendungen mit der Plattform, etwa einen Kalender oder ein System zur Kundenverwaltung, überträgt rinqo Daten nur auf dokumentierte Weisung und im freigegebenen Umfang. Beauftragt der Verantwortliche den Anbieter selbst und wird dieser nicht von rinqo als Unterauftragnehmer eingesetzt, gehört er nicht zum Verzeichnis nach Abschnitt 7. Die datenschutzrechtliche Rolle richtet sich nach der tatsächlichen Verarbeitung und Beauftragung; ein eigener API-Schlüssel allein entscheidet darüber nicht. Bei einer Übermittlung in ein Drittland müssen die Voraussetzungen der Art. 44 ff. DSGVO vor der Übermittlung nachweisbar erfüllt sein. Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 oder das EU-US Data Privacy Framework können nur herangezogen werden, wenn ihre jeweiligen Voraussetzungen im konkreten Fall vorliegen. Die eigenen Pflichten von rinqo bleiben unberührt. Die Auswahl einer Verbindung allein ersetzt diese Prüfung nicht.

6. Weisungsbefugnis

(1) rinqo verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Konfiguration der Plattform durch den Verantwortlichen (Datenschutzeinstellungen, Speicherdauer, aktivierte Funktionen, verbundene Anwendungen) gilt als Weisung.

(2) Einzelne Weisungen können an privacy@rinqo.de gerichtet werden.

(3) rinqo informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Klärung aussetzen.

(4) Die Weisungsbindung nach Absatz 1 gilt auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem rinqo unterliegt, rinqo zu einer solchen Verarbeitung verpflichtet; in einem solchen Fall teilt rinqo dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

7. Unterauftragnehmer (Sub-Prozessoren)

(1) Die vollständige und namentliche Liste aller Sub-Prozessoren führt je Eintrag die Firmierung, den Verarbeitungsort und die Datenkategorien auf. Für vom Verantwortlichen selbst beauftragte Anwendungen gilt Abschnitt 5 Absatz 3. Wir stellen sie jedem Kunden im geschützten Kundenbereich sowie auf Anfrage bereit (Art. 28 Abs. 2 DSGVO). Einen Überblick ohne Nennung der einzelnen Anbieter bietet app.rinqo.de/sub-processors. Der Verantwortliche genehmigt mit Vertragsschluss den Einsatz der jeweils aktuell gelisteten Sub-Prozessoren im Sinne von Art. 28 Abs. 2 DSGVO. rinqo erlegt jedem Sub-Prozessor im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO).

(2) Die Hinzuziehung oder der Wechsel eines Sub-Prozessors wird dem Verantwortlichen mindestens 30 Tage vor dem ersten produktiven Einsatz per E-Mail an die registrierte Adresse des Kontos angekündigt. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlich begründeten, nachprüfbaren Gründen widersprechen.

(3) Widerspricht der Verantwortliche berechtigt, wird rinqo sich bemühen, eine einvernehmliche Lösung zu finden. Ist dies nicht möglich und handelt es sich um einen technisch nicht ersetzbaren Sub-Prozessor, hat der Verantwortliche das Recht zur außerordentlichen Kündigung des betroffenen Leistungsteils ohne weitere Kosten.

(4) Als optional ausgewiesene Sub-Prozessoren werden nur für die jeweils freigeschalteten Funktionen eingesetzt. Zweck und Datenkategorien ergeben sich aus dem Verzeichnis nach Absatz 1. Die Aktivierung einer Funktion ersetzt weder einen erforderlichen Vertrag noch die Genehmigungs- und Informationspflichten nach diesem AVV.

8. Technische und organisatorische Maßnahmen (TOM)

rinqo setzt nachfolgende Maßnahmen nach Art. 32 DSGVO ein. Die Liste wird mindestens einmal jährlich überprüft und auf Wunsch in der jeweils aktuellen Fassung bereitgestellt.

8.1 Vertraulichkeit

Zutrittskontrolle: Rechenzentren des Hosting-Anbieters in Deutschland, zertifiziert nach ISO/IEC 27001;
Zugangskontrolle: rollenbasierte Rechte (Inhaber, Administrator, Mitglied), wählbare Zwei-Faktor-Anmeldung, Prüfung auf schwache und bekannt kompromittierte Passwörter bei der Registrierung, Sperre für 15 Minuten nach fünf fehlgeschlagenen Anmeldungen, zeitlich begrenzte und jederzeit widerrufbare Sitzungen;
Zugriffskontrolle: Trennung der Organisationen, jeder Datenzugriff ist an die Organisation gebunden; Protokoll privilegierter Aktionen; Passwörter nur als bcrypt-Hash; gespeicherte Zugangsdaten und API-Schlüssel mit AES-256-GCM verschlüsselt.

8.2 Integrität

Transportverschlüsselung mit TLS für Web-, API- und E-Mail-Verbindungen sowie für die Verbindungen zu den KI-Diensten;
Verschlüsselung der Telefonate zwischen dem Telefonie-Anbieter und der Plattform, mit TLS für die Signalisierung und SRTP für den Gesprächston;
Prüfung der Eingaben an den Schnittstellen, Größenbegrenzungen und Bereinigung von Nutzereingaben;
Schutz vor untergeschobenen Anfragen (CSRF);
Begrenzung der Anfragehäufigkeit je IP-Adresse und Konto;
Protokoll datenschutzrelevanter Aktionen (Speicherdauer 365 Tage).

8.3 Verfügbarkeit und Belastbarkeit

Tägliche automatische Sicherungen der Datenbank, des Wissensspeichers und der Telefonanlage, 30 Tage rollierend; zusätzlich täglich eine bereits vor dem Verlassen des Servers verschlüsselte Kopie auf einem getrennten Speicher innerhalb der Europäischen Union; Alarm bei einer fehlgeschlagenen Sicherung;
Weiterbetrieb bei Ausfall einzelner Bausteine; Ausweichweg für die Sprachmodelle über einen zweiten KI-Anbieter in der Europäischen Union, sofern eingerichtet;
Zustandsprüfung der Dienste auf dem Server;
Schutz vor Überlastungsangriffen auf Netzebene durch den Hosting-Anbieter; Begrenzung der Anfragehäufigkeit und Bot-Erkennung in der Anwendung. Ein externer Dienst zur Auslieferung oder Weiterleitung ist nicht in den Datenverkehr eingebunden.

8.4 Verfahren zur regelmäßigen Überprüfung

jährliche Sicherheitsprüfung der Plattform und der eingesetzten Softwarebibliotheken;
Maskierung personenbezogener Daten in technischen Protokollen (E-Mail-Adressen, Rufnummern, gekürzte IP-Adressen);
Datenschutz-Folgenabschätzung (Art. 35 DSGVO) für den Telefon-Agenten, die bei wesentlichen Änderungen aktualisiert wird;
Ablaufplan für Datenschutzverletzungen mit Meldung an den Verantwortlichen nach Abschnitt 9.

9. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich zu den vereinbarten Zwecken und auf dokumentierte Weisung;
Verpflichtung der eingesetzten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO);
Unterstützung des Verantwortlichen bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch);
Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35) und vorheriger Konsultation (Art. 36);
unverzügliche Meldung von Datenschutzverletzungen an den Verantwortlichen (ohne schuldhaftes Zögern, spätestens 48 Stunden nach Kenntnis), damit der Verantwortliche die Frist von 72 Stunden aus Art. 33 DSGVO einhalten kann;
Führung eines Verzeichnisses der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

10. Berufsgeheimnisträger (§ 203 StGB)

Dieser Abschnitt richtet sich an Rechtsanwälte, Ärzte, Psychotherapeuten, Steuerberater, Notare, Apotheker, Hebammen, Sozialarbeiter und weitere Berufsgruppen, die einer strafbewehrten Schweigepflicht nach § 203 StGB unterliegen. Er gilt nur für Kanäle und Funktionen, die rinqo nach Abschnitt 2 Abs. 1 der AGB für die Verarbeitung solcher Geheimnisse in Textform freigegeben hat.

Grundregel: Die Weitergabe geschützter Daten an Dritte, zu denen auch Cloud-Dienste wie rinqo zählen, ist nur mit Einwilligung der betroffenen Person oder auf Basis einer gesetzlichen Regelung (§ 203 Abs. 3 StGB sowie die jeweils einschlägigen berufsrechtlichen Vorschriften) zulässig. Für Rechtsanwälte gelten insbesondere § 43e BRAO und § 2 Abs. 3 BORA, für Steuerberater § 62a StBerG, für Notare § 26a BNotO. Für Ärzte ist daneben die Berufsordnung der zuständigen Ärztekammer maßgeblich; § 9 Abs. 4 MBO-Ä enthält hierzu eine Musterregelung für mitwirkende Personen. Die Entscheidung über den Einsatz trifft der Verantwortliche. Die eigenen Pflichten von rinqo bleiben unberührt.

Der Verantwortliche versichert mit Nutzung der rinqo-Agenten für berufsgeheimnispflichtige Kommunikation, dass

die betroffenen Personen (Mandanten, Patienten, Klienten) in den Einsatz des KI-Agenten und die damit verbundene Datenverarbeitung durch rinqo als technische Dienstleisterin ausdrücklich eingewilligt haben, oder
eine gesetzliche oder standesrechtliche Grundlage die Einbindung externer Dienstleister ohne Einzeleinwilligung erlaubt, und
der Verantwortliche die Einwilligung bzw. die Rechtsgrundlage dokumentiert und auf Anfrage nachweisen kann.

Verpflichtung von rinqo (§ 203 Abs. 4 StGB sowie, je nach Berufsgruppe, § 43e Abs. 3 BRAO, § 62a Abs. 3 StBerG oder § 26a Abs. 3 BNotO): rinqo verpflichtet sich zur Geheimhaltung aller geschützten Geheimnisse, die rinqo im Rahmen der Leistungserbringung für Berufsgeheimnisträger bekannt werden, auch nach Ende dieses Vertrages. rinqo wird auf die strafrechtlichen Folgen einer unbefugten Offenbarung hingewiesen: § 203 Abs. 4 StGB sieht Freiheitsstrafe bis zu einem Jahr oder Geldstrafe vor; in den Fällen des Absatzes 6 beträgt die Freiheitsstrafe bis zu zwei Jahre oder es wird Geldstrafe verhängt. rinqo belehrt sämtliche mitwirkenden Personen über die strafrechtlichen Folgen einer Pflichtverletzung und verpflichtet sie zur Geheimhaltung.

rinqo verschafft sich Kenntnis von fremden Geheimnissen nur, soweit dies zur Erfüllung dieses Vertrages erforderlich ist (§ 43e Abs. 3 Satz 2 Nr. 2 BRAO bzw. § 62a Abs. 3 Satz 2 Nr. 2 StBerG).

rinqo ist befugt, zur Erfüllung dieses Vertrages weitere Personen heranzuziehen. rinqo verpflichtet diese Personen in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung (§ 43e Abs. 3 Satz 2 Nr. 3 BRAO bzw. § 62a Abs. 3 Satz 2 Nr. 3 StBerG). Soweit das einschlägige Berufsrecht eine schriftliche Verpflichtung verlangt, erfüllt rinqo auch diese Anforderung. Einen Kanal oder eine Funktion gibt rinqo erst frei, wenn alle dafür eingesetzten Sub-Prozessoren in Textform zur Verschwiegenheit verpflichtet sind; die Freigabe nennt die Kanäle und Funktionen und die Länder, in denen dafür verarbeitet wird. Die Regelungen zur Genehmigung von Unterauftragnehmern in Abschnitt 7 bleiben unberührt.

rinqo haftet nicht für Verstöße des Verantwortlichen gegen § 203 StGB oder gegen berufsständische Verschwiegenheitspflichten. Die Entscheidung, KI-Agenten für berufsgeheimnispflichtige Kommunikation einzusetzen, trifft der Verantwortliche. Sie unterliegt denselben berufsrechtlichen Anforderungen wie die Einbindung jedes anderen externen Dienstleisters. Eigene Pflichtverletzungen von rinqo sind hiervon nicht erfasst; Abschnitt 14 bleibt unberührt.

11. Löschung und Rückgabe

(1) Nach Ende des Vertrags löscht rinqo die personenbezogenen Daten innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht (§ 147 AO, § 257 HGB) entgegensteht. Hat der Verantwortliche einen Wechsel nach Abschnitt 7 Abs. 3 der AGB verlangt, gelten die dort vereinbarten Fristen, insbesondere der Abruf der Daten während mindestens 30 Tagen nach dem Übergangszeitraum.

(2) Sicherungskopien werden nach ihrem Rotationszyklus von höchstens 30 Tagen automatisch überschrieben.

(3) Die Daten des Kontos kann der Inhaber jederzeit im Kundenkonto als JSON-Datei herunterladen. Darüber hinaus stellt rinqo auf Anfrage an hello@rinqo.de innerhalb von 14 Tagen alle Daten nach Abschnitt 7 Abs. 3 der AGB bereit. Formate und Datenstrukturen beschreibt das Verzeichnis unter app.rinqo.de/datenformate. Eine Rückgabe auf physischem Datenträger bieten wir nur in Enterprise-Verträgen an.

12. Nachweis- und Kontrollrechte

(1) rinqo stellt dem Verantwortlichen auf Anfrage alle zur Einhaltung der Art. 28 und 32 DSGVO erforderlichen Informationen zur Verfügung. Hierzu zählen insbesondere die aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Sub-Prozessoren und ein Export der für den Verantwortlichen geführten Protokolle.

(2) Vor-Ort-Kontrollen sind nach angemessener Vorankündigung (mindestens 14 Tage, im Regelfall höchstens einmal jährlich) zu den üblichen Geschäftszeiten zulässig und werden vorrangig durch Einsichtnahme in Zertifikate (ISO/IEC 27001 bei Sub-Prozessoren) oder digitale Remote-Audits ersetzt. Bei konkretem Anlass, insbesondere nach einer Datenschutzverletzung im Sinne von Art. 33 DSGVO oder auf Anordnung einer Aufsichtsbehörde, sind Kontrollen auch anlassbezogen und ohne Beschränkung auf den Jahresturnus zulässig. Aufwendungen für ergänzende Vor-Ort-Audits trägt der Verantwortliche.

13. Eigene Informations- und Hinweispflichten des Verantwortlichen

Als Verantwortlicher nach Art. 4 Nr. 7 DSGVO trifft den Verantwortlichen gegenüber den betroffenen Personen

die Informationspflicht aus Art. 13 DSGVO;
die Pflichten aus § 25 TDDDG beim Speichern von Informationen auf Endgeräten, etwa durch das Chat-Widget (Anlage 1);
die Einwilligungs- und Transparenzpflichten bei der Aufzeichnung von Telefongesprächen (§ 201 StGB, DSGVO);
die Transparenzpflichten nach Art. 50 der Verordnung (EU) 2024/1689, verbindlich seit dem 2. August 2026;
die Pflicht zur KI-Kompetenz nach Art. 4 der Verordnung (EU) 2024/1689, in Kraft seit dem 2. Februar 2025: Der Verantwortliche stellt als Betreiber sicher, dass seine Mitarbeitenden, die mit rinqo-Agenten arbeiten, über ausreichende KI-Kompetenz verfügen.

Für eine erste Orientierung stellen wir unverbindliche Textbausteine unter app.rinqo.de/compliance-muster bereit. Diese Muster sind keine Rechtsberatung und ersetzen die Prüfung durch Datenschutzbeauftragte oder Anwälte des Verantwortlichen nicht.

14. Haftung und Haftungsausgleich

Art. 82 DSGVO bleibt unberührt. Setzt rinqo Sub-Prozessoren ein, haftet rinqo gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten dieser Sub-Prozessoren wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Im Übrigen gilt im Innenverhältnis die in den AGB geregelte Haftungsbegrenzung entsprechend, soweit gesetzlich zulässig.

15. Schlussbestimmungen

(1) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von rinqo, soweit gesetzlich zulässig.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung tritt eine Regelung, die dem Sinn und Zweck der unwirksamen Regelung wirtschaftlich am nächsten kommt.

(3) Änderungen oder Ergänzungen dieses AVV sowie aller seiner Bestandteile bedürfen mindestens der Textform.

(4) Bei Widersprüchen zwischen diesem AVV und den AGB oder sonstigen Vereinbarungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Anlage 1: Datenflüsse und Speicherdauer

1. Chat-Agent

Nachrichten, freiwillige Kontaktangaben, eine zufällige Besucherkennung, die das Widget beim ersten Senden im Browser-Speicher ablegt, die gekürzte IP-Adresse sowie Browser- und Gerätemerkmale.

2. Telefon-Agent

Rufnummer der anrufenden Person, soweit übermittelt, der Audiostrom über den Telefonie-Anschluss, das Transkript, das Antwort-Audio und die Metadaten des Gesprächs. Für die Antwort in Echtzeit wird der Audiostrom in jedem Fall verarbeitet und transkribiert. Die dauerhafte Aufzeichnung ist bei einem neuen Telefon-Agenten voreingestellt und lässt sich je Agent abschalten. Die voreingestellte Begrüßung weist zu Beginn auf die Aufzeichnung und das Widerspruchsrecht hin; widerspricht die anrufende Person, wird die bis dahin erfasste Aufnahme verworfen und das Gespräch beendet. Entfernt der Verantwortliche den Hinweis, während die Aufzeichnung eingeschaltet ist, weist rinqo ihn per E-Mail darauf hin. Die Aufnahmen liegen auf dem Server des Sprachdienstes in Deutschland.

3. E-Mail-Agent

Absenderadresse, Betreff, Nachrichtentext, Anhänge und Zeitstempel.

4. Sperrliste

Der Verantwortliche kann Rufnummern, E-Mail-Adressen und ganze E-Mail-Domains sperren. Anrufe und E-Mails von gesperrten Absendern nehmen die Agenten nicht an; im Chat greift die Sperre, sobald die Person eine gesperrte Rufnummer oder E-Mail-Adresse angibt.

5. Wissensdatenbank

Hochgeladene Inhalte (Texte, Webseiten, PDF-Dateien) speichert rinqo in der eigenen Datenbank, zerlegt sie in Textabschnitte und legt diese als Einbettungen in einer selbst betriebenen Vektordatenbank in Deutschland ab. Die Einbettungen berechnet rinqo auf eigener Infrastruktur. Seiten ohne lesbare Textebene, etwa eingescannte Seiten, liest ein KI-Dienst in der Europäischen Union aus. Sprachnotizen für das Wissen schreibt ein KI-Dienst in der Europäischen Union ab; gespeichert wird nur der Text.

6. KI-Hinweis

Die voreingestellten Begrüßungen von Chat-, Telefon- und E-Mail-Agent weisen darauf hin, dass die Person mit einem KI-System kommuniziert; E-Mails der Agenten tragen den Hinweis beim Versand (Art. 50 der Verordnung (EU) 2024/1689). Ändert der Verantwortliche eine Begrüßung, ist er dafür verantwortlich, dass der Hinweis erhalten bleibt.

7. Training von KI-Modellen

rinqo selbst verwendet die Inhalte des Verantwortlichen und seiner Kundinnen und Kunden nicht, um KI-Modelle zu trainieren, und gibt sie an Sub-Prozessoren nur zur Erbringung der Leistung weiter.

8. Speicherdauer

Gespräche, Transkripte, Aufzeichnungen: voreingestellt 90 Tage, getrennt einstellbar für Telefon, Chat und E-Mail unter „Konto, Daten“; möglich sind 7 bis 365 Tage bei Telefonaten und 7 bis 3.650 Tage bei Chat und E-Mail. Eine Dauer über 365 Tagen setzt voraus, dass der Verantwortliche eine gesetzliche Aufbewahrungspflicht bestätigt.
Wissensdatenbank: solange die Quelle besteht.
Protokoll datenschutzrelevanter Aktionen: 365 Tage; offene Sicherheits- und Löschaufträge bis zu ihrem dokumentierten Abschluss.
Frühere Fassungen von Agenten-Einstellungen (für „Rückgängig“): 30 Tage.
Anhänge im Persönlichen Agenten: ausgelesener Text 30 Tage nach dem Senden, nie gesendete Anhänge 24 Stunden.
Sperrliste: bis der Verantwortliche den Eintrag entfernt.

Dieser AVV tritt mit Nutzung der Plattform in Kraft. Letzte Aktualisierung: 29. September 2026.