rinqorinqo

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 25. Juli 2026 · Version 2026.2

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten, die der Kunde („Verantwortlicher“) durch den Einsatz der rinqo-Plattform von rinqo („Auftragsverarbeiter“) verarbeiten lässt. Er wird mit Vertragsschluss automatisch Bestandteil des Hauptvertrags (AGB) und erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO.

Auftragsverarbeiter: Sven Pflüger, Geschäftsbezeichnung „rinqo“, Schusterstraße 40, 79098 Freiburg im Breisgau, Deutschland, privacy@rinqo.de. Kontaktperson für Datenschutzanfragen: siehe Datenschutzerklärung, Abschnitt 2.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der rinqo-Plattform zur Erstellung und zum Betrieb von Chat-Agenten, Telefon-Agent, E-Mail-Agenten und dem Persönlichen Agenten. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags und endet mit Vertragsbeendigung zuzüglich der in Abschnitt 11 geregelten Nachlauffristen.

2. Art und Zweck der Verarbeitung

  • Bereitstellung der Plattform, Speichern und Abrufen von Kundenkonfigurationen;
  • Entgegennahme und Beantwortung von Kommunikation über Chat-Agenten, Telefon-Agent und E-Mail-Agenten im Auftrag des Verantwortlichen;
  • Anreicherung von Antworten aus der Wissensdatenbank des Verantwortlichen (Retrieval-Augmented-Generation);
  • Erstellung von Gesprächszusammenfassungen, Kontaktverwaltung, Lead-Erfassung;
  • Telefonnummern-Provisionierung und Abrechnung nutzungs­abhängiger Entgelte (Credits, Minuten);
  • Logging, Monitoring und Fehleranalyse zur Absicherung des Plattform-Betriebs.

3. Art der personenbezogenen Daten

  • Stammdaten (Name, Firmenzugehörigkeit, Rolle);
  • Kontaktdaten (E-Mail, Telefonnummer, Postanschrift);
  • Kommunikationsinhalte (Chat-Nachrichten, Telefon-Transkripte, optionale Audio-Aufzeichnungen, E-Mail-Inhalte, Anhänge);
  • technische Metadaten (IP-Adresse, User-Agent, Zeitstempel);
  • frei formulierte Inhalte der Wissensdatenbank (können personenbezogene Daten enthalten, soweit vom Verantwortlichen hochgeladen).

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nur nach individueller Zusatz­vereinbarung verarbeitet (vgl. AGB Abschnitt 2).

4. Kategorien betroffener Personen

  • Kundinnen, Kunden und Interessenten des Verantwortlichen;
  • Website-Besucherinnen und -Besucher des Verantwortlichen;
  • Anruferinnen und Anrufer;
  • E-Mail-Absenderinnen und -Absender;
  • Mitarbeitende des Verantwortlichen, soweit sie die Plattform oder ihre Ausgaben nutzen.

5. Ort der Verarbeitung

Die primäre Verarbeitung und Persistenz findet in Rechenzentren in Deutschland statt (Hetzner Online GmbH, Falkenstein/Nürnberg). Eine Übermittlung in Drittländer erfolgt nur durch den Einsatz der in Abschnitt 7 geregelten Sub-Prozessoren und ausschließlich auf Grundlage geeigneter Garantien nach Kapitel V DSGVO.

6. Weisungsbefugnis

(1) rinqo verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Konfiguration der Plattform durch den Verantwortlichen (Datenschutz­einstellungen, Speicherdauer, aktivierte Funktionen, ausgewählte Sub-Prozessoren für optionale Integrationen) gilt als Weisung.

(2) Einzelne Weisungen können an privacy@rinqo.de gerichtet werden.

(3) rinqo informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutz­vorschriften verstößt, und darf die Ausführung bis zur Klärung aussetzen.

(4) Die Weisungsbindung nach Abs. 1 gilt auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem rinqo unterliegt, rinqo zu einer solchen Verarbeitung verpflichtet; in einem solchen Fall teilt rinqo dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

7. Unterauftragnehmer (Sub-Prozessoren)

(1) Die vollständige, namentliche und stets aktuelle Liste aller Sub-Prozessoren — einschließlich Firmierung, Verarbeitungsort, Datenkategorien, DPA-Status sowie Rechtsgrundlage für eventuelle Drittland-Übermittlungen (Standard­vertragsklauseln nach Durchführungs­beschluss (EU) 2021/914, EU-US Data Privacy Framework vom 10.07.2023) — stellen wir jedem Kunden im geschützten Kundenbereich sowie auf Anfrage bereit (Art. 28 Abs. 2 DSGVO). Einen vendor-freien Überblick über die eingesetzten Dienste-Kategorien bietet rinqo.de/sub-processors. Der Verantwortliche genehmigt mit Vertragsschluss den Einsatz der jeweils aktuell gelisteten Sub-Prozessoren im Sinne von Art. 28 Abs. 2 DSGVO. rinqo erlegt jedem Sub-Prozessor im Wege eines Vertrags dieselben Datenschutz­pflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO).

(2) Die Hinzuziehung oder der Wechsel eines Sub-Prozessors wird dem Verantwortlichen mit einer Frist von mindestens 14 Tagen vor Wirksamwerden per E-Mail an die registrierte Account-Adresse angekündigt. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlich begründeten, nachprüfbaren Gründen widersprechen.

(3) Widerspricht der Verantwortliche berechtigt, wird rinqo sich bemühen, eine einvernehmliche Lösung zu finden. Ist dies nicht möglich und handelt es sich um einen technisch nicht ersetzbaren Sub-Prozessor (insbesondere Hetzner für das Hosting, die Telefonie-Infrastruktur und die Zahlungsabwicklung), hat der Verantwortliche das Recht zur außerordentlichen Kündigung des betroffenen Leistungsteils ohne weitere Kosten.

(4) Optionale Sub-Prozessoren (z.B. ein KI-Dienst zur Bildgenerierung für den Marketing-Agenten, ein Pure-EU-KI-Failover) werden ausschließlich dann aktiviert, wenn der Verantwortliche die zugehörige Integration in seinem Agenten einschaltet bzw. das entsprechende Failover-Profil setzt.

8. Technische und organisatorische Maßnahmen (TOM)

rinqo setzt nachfolgende Maßnahmen nach Art. 32 DSGVO ein. Die Liste wird mindestens einmal jährlich überprüft und auf Wunsch in der jeweils aktuellen, audit-fähigen Fassung bereitgestellt.

8.1 Vertraulichkeit

  • Physische Zutrittskontrolle der Hetzner-Rechenzentren (ISO/IEC 27001, Vereinzelungsanlagen, Videoüberwachung, 24/7-Sicherheit);
  • Zugangskontrolle: rollenbasierte Authentifizierung (Owner/Admin/Member), verpflichtend Passwort-Manager, optionale 2-Faktor-Authentifizierung, Ausschluss bekannter kompromittierter Passwörter (zxcvbn), Session-Expiry;
  • Zugriffskontrolle: organisations­bezogene Mandantenisolation auf DB-Ebene, erzwungene organizationId-Filter in allen Queries, Audit-Logs für privilegierte Aktionen, bcrypt-12 für Passwörter, AES-256-GCM für gespeicherte Credentials und API-Schlüssel.

8.2 Integrität

  • Übertragungs­verschlüsselung mit TLS 1.3, SIP/SRTP für Telefonie, WSS für Media Streams;
  • Eingangs­validierung aller API-Endpunkte mit Zod-Schemata; Content-Length-Limits; HTML-Sanitization von Nutzereingaben;
  • CSRF-Schutz auf allen state-ändernden Requests;
  • Rate-Limiting (Redis-backed, IP- und Account-basiert), Account-Lock nach fünf Fehlversuchen;
  • vollständige Audit-Logs für datenschutzrelevante Aktionen (Speicherdauer 3 Jahre).

8.3 Verfügbarkeit und Belastbarkeit

  • Tägliche automatisierte Datenbank-Backups, georedundant in einem zweiten Hetzner-Standort in Deutschland (7 Tage rollierend, 30 Tage wöchentliche Snapshots);
  • Graceful-Degradation-Strategie: Plattform bleibt bei Ausfall einzelner Subsysteme (Redis, Qdrant, LLM) grundfunktional, optionaler LLM-Failover auf einen Pure-EU-KI-Anbieter (nur aktiv, wenn der Failover-Schlüssel gesetzt ist);
  • Uptime-Monitoring über einen EU-Monitoring-Dienst, Alarmierung über self-gehostete Systeme;
  • DDoS-Schutz auf Netz-Ebene durch den Hosting-Anbieter (Hetzner); Applikations-Schutz (Rate-Limiting, Eingangs-Validierung, Bot-Erkennung) in der Anwendung selbst — kein externer CDN-/Proxy-Dienst im Traffic-Pfad.

8.4 Verfahren zur regelmäßigen Überprüfung

  • Jährliche Security-Reviews und Dependency-Audits;
  • Pseudonymisierung / Minimierung personenbezogener Daten in Logs und Error-Tracking (PII-Scrubbing; das Error-Tracking läuft self-hosted auf eigener Infrastruktur — keine Übertragung an einen externen Dienst);
  • Datenschutz-Folgenabschätzung (Art. 35 DSGVO) für den Hauptprozess liegt vor und wird bei wesentlichen Änderungen aktualisiert;
  • Incident-Response-Playbook mit 24-Stunden-Erst­meldekette und 72-Stunden-Meldeschwelle nach Art. 33 DSGVO.

9. Pflichten des Auftragsverarbeiters

  • Verarbeitung ausschließlich zu den vereinbarten Zwecken und auf dokumentierte Weisung;
  • Verpflichtung der eingesetzten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO);
  • Unterstützung des Verantwortlichen bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch);
  • Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35) und vorheriger Konsultation (Art. 36);
  • unverzügliche Meldung von Datenschutz­verletzungen an den Verantwortlichen (ohne schuldhaftes Zögern, spätestens 48 Stunden nach Kenntnis — damit der Verantwortliche die 72-Stunden-Frist aus Art. 33 DSGVO einhalten kann);
  • Führung eines Verzeichnisses der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

10. Berufsgeheimnisträger (§ 203 StGB)

Dieser Abschnitt richtet sich an Rechtsanwälte, Ärzte, Psychotherapeuten, Steuerberater, Notare, Apotheker, Hebammen, Sozialarbeiter und weitere Berufsgruppen, die einer strafbewehrten Schweigepflicht nach § 203 StGB unterliegen.

Grundregel:Die Weitergabe geschützter Daten an Dritte — dazu zählen auch Cloud-Dienste wie rinqo — ist nur mit Einwilligung der betroffenen Person oder auf Basis einer gesetzlichen Regelung (§ 203 Abs. 3 StGB i. V. m. § 43e BRAO, § 3 Abs. 3 BORA etc.) zulässig. Der Einsatz von KI-gestützten Agenten, die berufsgeheimnis­pflichtige Inhalte verarbeiten, ist eine Handlung, die den Kunden (Berufsträger) trifft, nicht uns.

Der Verantwortliche versichert mit Nutzung der rinqo-Agenten für berufsgeheimnis­pflichtige Kommunikation, dass

  • die betroffenen Personen (Mandanten, Patienten, Klienten) in den Einsatz des KI-Agenten und die damit verbundene Datenverarbeitung durch rinqo als technische Dienstleisterin ausdrücklich eingewilligt haben, oder
  • eine gesetzliche oder standesrechtliche Grundlage die Einbindung externer Dienstleister ohne Einzeleinwilligung erlaubt, und
  • der Verantwortliche die Einwilligung bzw. die Rechtsgrundlage dokumentiert und auf Anfrage nachweisen kann.

Verpflichtung von rinqo (§ 203 Abs. 4 StGB): rinqo verpflichtet sich zur Geheimhaltung aller geschützten Geheimnisse, die rinqo im Rahmen der Leistungserbringung für Berufsgeheimnisträger bekannt werden. rinqo belehrt sämtliche mitwirkenden Personen über die Strafbarkeit unbefugter Offenbarung nach § 203 Abs. 4 StGB und verpflichtet sie förmlich zur Geheimhaltung; dieselbe Verpflichtung erlegt rinqo den im Rahmen der Leistungserbringung eingesetzten Sub-Prozessoren auf, soweit sie mit geschützten Geheimnissen in Berührung kommen können.

rinqo haftet nicht für Verstöße des Verantwortlichen gegen § 203 StGB oder gegen berufsständische Schweigepflichten. Der Einsatz unserer Agenten erfolgt auf eigene Verantwortung; Kunden in den genannten Berufsgruppen tragen das Risiko selbst, vergleichbar mit dem Einsatz jedes anderen Cloud-Dienstes oder externen Dienstleisters.

11. Löschung und Rückgabe

(1) Nach Beendigung der Plattformnutzung werden alle personen­bezogenen Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungs­pflichten (§§ 147 AO, 257 HGB) oder eine Zustimmung des Verantwortlichen zur kurzen Weiterverwendung für Backups bestehen.

(2) Backup-Medien werden nach ihrem Rotationszyklus (max. 30 Tage) automatisch überschrieben; der Verantwortliche gilt insoweit als zustimmend informiert.

(3) Vor Löschung kann der Verantwortliche einen Daten-Export über das Dashboard anfordern (CSV/JSON). Eine individuelle Datenrückgabe auf physischem Datenträger bieten wir nur in Enterprise-Verträgen an.

12. Nachweis- und Kontrollrechte

(1) rinqo stellt dem Verantwortlichen auf Anfrage alle zur Einhaltung der Art. 28 und 32 DSGVO erforderlichen Informationen zur Verfügung. Hierzu zählen insbesondere das aktuelle TOM-Dokument, die Sub-Prozessor-Liste und ein Export der für den Verantwortlichen geführten Audit-Logs.

(2) Vor-Ort-Kontrollen sind nach angemessener Vorankündigung (mindestens 14 Tage, im Regelfall höchstens einmal jährlich) zu den üblichen Geschäftszeiten zulässig und werden vorrangig durch Einsichtnahme in Zertifikate (ISO/IEC 27001 bei Sub-Prozessoren) oder digitale Remote-Audits ersetzt. Bei konkretem Anlass — insbesondere nach einer Datenschutzverletzung im Sinne von Art. 33 DSGVO oder auf Anordnung einer Aufsichtsbehörde — sind Kontrollen auch anlassbezogen und ohne Beschränkung auf den Jahresturnus zulässig. Aufwendungen für ergänzende Vor-Ort-Audits trägt der Verantwortliche.

13. Eigene Informations- und Hinweispflichten des Verantwortlichen

Als Verantwortlicher nach Art. 4 Nr. 7 DSGVO trifft den Verantwortlichen gegenüber den betroffenen Personen

  • die Informationspflicht aus Art. 13 DSGVO;
  • die Einwilligungs­pflicht aus § 25 TDDDG bei Zugriff auf Endgeräte (z.B. Chat-Widget-Storage);
  • die Einwilligungs- und Transparenzpflichten bei Telefon­aufzeichnung nach § 201 StGB und Art. 6 Abs. 1 lit. a DSGVO;
  • die KI-Transparenz- und Kennzeichnungs­pflichten nach Art. 50 Verordnung (EU) 2024/1689, ab 02.08.2026 verbindlich;
  • die AI-Literacy-Pflicht nach Art. 4 Verordnung (EU) 2024/1689, seit 02.02.2025 in Kraft — in der Konstellation „rinqo als Anbieter, Kunde als Betreiber“ ist der Kunde verpflichtet, seine Mitarbeitenden zu schulen, die mit rinqo-Agenten arbeiten.

Für eine schnelle Erst-Orientierung stellen wir unverbindliche Textbausteine unter rinqo.de/compliance-muster bereit. Diese Muster sind ausdrücklich keine Rechtsberatung und ersetzen die Prüfung durch Datenschutzbeauftragte oder Anwälte des Verantwortlichen nicht.

14. Haftung und Haftungsausgleich

Art. 82 DSGVO bleibt unberührt. Setzt rinqo Sub-Prozessoren ein, haftet rinqo gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten dieser Sub-Prozessoren wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Im Übrigen gilt im Innenverhältnis die in den AGB geregelte Haftungs­begrenzung entsprechend, soweit gesetzlich zulässig.

15. Schlussbestimmungen

(1) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von rinqo, soweit gesetzlich zulässig.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung tritt eine Regelung, die dem Sinn und Zweck der unwirksamen Regelung wirtschaftlich am nächsten kommt.

(3) Änderungen oder Ergänzungen dieses AVV sowie aller seiner Bestandteile bedürfen mindestens der Textform.

(4) Bei Widersprüchen zwischen diesem AVV und den AGB oder sonstigen Vereinbarungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Dieser AVV tritt mit Nutzung der Plattform in Kraft. Letzte Aktualisierung: 25. Juli 2026.