Datenschutzerklärung

Fassung 2026-08-26.

Vor der Veröffentlichung juristisch prüfen lassen. Dieser Text ist aus

dem tatsächlichen Verhalten des Produkts geschrieben und inhaltlich

belastbar, aber er ersetzt keine anwaltliche Prüfung.

1. Verantwortlicher

Rubel Trading Company GmbH, Gebrüder-Meyer-Straße 6, 32758 Detmold

Handelsregister: Amtsgericht Lemgo, HRB 10005. Vertretungsberechtigt: Geschäftsführer Jerome Rubel.

E-Mail: datenschutz@telofy.de

2. Zwei getrennte Rollen — bitte zuerst lesen

Diese Erklärung betrifft zwei sehr verschiedene Sachverhalte. Wer sie verwechselt, liest den Rest falsch.

Für unsere Kundinnen und Kunden — also die Betriebe, die Telofy einsetzen — sind wir Verantwortlicher. Es geht um Vertrags-, Konto- und Abrechnungsdaten. Dafür gilt diese Erklärung unmittelbar.

Für Anruferinnen und Anrufer, die bei einem dieser Betriebe anrufen, sind wir nicht Verantwortlicher, sondern Auftragsverarbeiter. Verantwortlich ist der Betrieb, der uns einsetzt. Wir verarbeiten die Daten ausschließlich auf seine Weisung und auf Grundlage eines Auftragsverarbeitungsvertrags.

Diese Konstruktion ist für Heilberufspraxen von der Datenschutzkonferenz ausdrücklich anerkannt (Beschluss vom 16.06.2025, Positionspapier zur Terminverwaltung), die die telefonische Terminvereinbarung namentlich nennt. Der Betrieb muss seine Anrufer nach Art. 13 DSGVO über unsere Einbindung informieren; einen fertigen Textbaustein dafür stellen wir ihm bereit.

Wenn Sie als Anrufer wissen möchten, was mit Ihren Daten geschieht, wenden Sie sich an den Betrieb, den Sie angerufen haben. Wir dürfen Ihnen ohne dessen Weisung keine Auskunft erteilen — leiten Ihr Anliegen aber unverzüglich an ihn weiter.

3. Was wir als Verantwortlicher verarbeiten

3.1 Kundenkonto und Vertrag

| Daten | Zweck | Rechtsgrundlage | |---|---|---| | Name, E-Mail-Adresse, Firmierung, Anschrift | Vertragsabschluss und -durchführung | Art. 6 Abs. 1 lit. b DSGVO | | Anmeldedaten, Sitzungen, Zwei-Faktor-Merkmale | sichere Anmeldung am Kundenportal | Art. 6 Abs. 1 lit. b und lit. f DSGVO | | Abrechnungs- und Zahlungsdaten | Rechnungsstellung, Zahlungsabwicklung | Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrung) | | Nutzungsumfang (Anzahl und Dauer der Anrufe) | Abrechnung, Kontingentprüfung | Art. 6 Abs. 1 lit. b DSGVO | | Protokolle sicherheitsrelevanter Vorgänge im Portal | Nachvollziehbarkeit, Missbrauchserkennung | Art. 6 Abs. 1 lit. f DSGVO |

3.2 Aufruf unserer Website

Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, übermittelte Datenmenge, Browserkennung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.

Schriftarten werden selbst ausgeliefert. Es findet kein Aufruf bei Google Fonts oder einem vergleichbaren Dienst statt.

4. Was im Anruf verarbeitet wird

Auch wenn wir hier nicht Verantwortlicher sind, gehört die Information hierher, weil sie die Grundlage für die Beurteilung durch den Betrieb ist.

| Daten | Herkunft | Anmerkung | |---|---|---| | Rufnummer des Anrufers | Telefonie | im Klartext gespeichert | | Wortprotokoll des Gesprächs | Sprachverarbeitung | beide Seiten, einschließlich der Werkzeugaufrufe | | Anliegen, Terminwunsch | strukturierte Erfassung im Gespräch | | | Zusammenfassung, erkannte Absicht | Auswertung nach dem Anruf | maschinell erzeugt | | Gesundheitsbezogene Angaben | nur, wenn der Anrufer sie von sich aus nennt | Wir fragen nicht danach. |

Es wird kein Ton dauerhaft gespeichert. Das ist keine Einstellung, sondern Bauweise: die Sprache wird im laufenden Gespräch verarbeitet, eine Tonaufzeichnung entsteht nicht.

Am Gesprächsbeginn wird auf den Einsatz eines KI-Assistenten hingewiesen. Der Hinweis ist Bestandteil der Begrüßung und lässt sich vom Betrieb nicht abschalten.

5. Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten. Die vollständige, gepflegte Liste mit Aufgabe, Datenumfang und Ort ist Anlage 1 zum Auftragsverarbeitungsvertrag und wird Kunden ausgehändigt.

Zusammengefasst:

• Sprachverarbeitung und Auswertung: Google (Vertex AI), Region `europe-west4` (Niederlande). Googles Zusage zur Datenresidenz gilt für Speicherung und Verarbeitung. Eine Nutzung unserer Daten zum Training von Modellen ist im eingesetzten Tarif vertraglich ausgeschlossen.
• Telefonie und Rufnummern: Telnyx.
• Betrieb und Datenbank: Railway, EU.
• Datenbanksicherung: Cloudflare R2, privater Behälter, EU-Jurisdiktion.
• E-Mail-Versand: Resend.
• Kalenderbuchung: nur bei verbundenem Kalender.
• Zahlungsabwicklung: Stripe. Hier fließen keine Anruferdaten.
• Benachrichtigung über Messenger: nur, wenn der Betrieb diesen Kanal ausdrücklich verbindet.

6. Übermittlung in Drittländer

Einzelne der genannten Dienstleister sind Unternehmen mit Sitz außerhalb der Europäischen Union oder gehören zu solchen. Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst ergänzender Maßnahmen.

Die je Dienstleister maßgebliche Grundlage ist in Anlage 1 zum Auftragsverarbeitungsvertrag benannt. Kunden erhalten diese Anlage; auf Anfrage nennen wir die Grundlage auch einzeln.

7. Speicherdauer

| Was | Frist | |---|---| | Anrufdaten | 30 Tage (Vorgabewert; je Kunde einstellbar) | | Vollständiges Wortprotokoll | standardmäßig nicht gespeichert; wenn eingeschaltet, kurze Frist | | Zusammenfassung des Anrufs | bleibt, bis der Kunde sie löscht | | Kundensitzungen | gleitend, harte Obergrenze 90 Tage | | Vertrags-, Rechnungs- und Buchungsdaten | gesetzliche Aufbewahrungsfristen (handels- und steuerrechtlich) | | Datenbanksicherungen | 35 Tage, danach automatische Löschung |

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht. Die Löschung ist automatisiert und läuft täglich.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

9. Keine automatisierte Entscheidung im Einzelfall

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Der Assistent nimmt Anliegen auf und vereinbart Termine; er trifft keine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf unserer Website veröffentlichte Fassung. Kunden werden über wesentliche Änderungen gesondert informiert; die zugestimmte Fassung wird mit Versionsangabe und Prüfsumme des Wortlauts festgehalten.