Auftragsverarbeitungsvertrag (AVV)

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch die Petleo GmbH ("Auftragsverarbeiter") im Auftrag der Kundin bzw. des Kunden ("Verantwortlicher") im Rahmen der Nutzung der Petleo Plattform und der Petleo Dienste (Online-Terminbuchung, digitale Patientenaufnahme, Petleo.ai, Überweiserportal).

Die Laufzeit dieses AVV entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags gemäß den AGB. Er endet automatisch mit dessen Beendigung, vorbehaltlich der in Ziffer 9 geregelten Löschungs- und Rückgabepflichten.

2.1 Art und Zweck

Die Verarbeitung erfolgt zum Zweck der Bereitstellung der Petleo Dienste, insbesondere der Terminverwaltung, der digitalen Patientenaufnahme, der Erstellung KI-gestützter Behandlungsdokumentation sowie der Kommunikation zwischen Praxis und Tierhalter:innen.

2.2 Art der Daten

• Kontaktdaten von Tierhalter:innen (Name, Adresse, E-Mail, Telefonnummer)
• Termin- und Buchungsdaten
• Angaben zu Tieren (Name, Art, Rasse, Vorgeschichte, Behandlungsanlass)
• Im Rahmen von Petleo.ai: Audioaufnahmen und daraus erstellte Behandlungsnotizen
• Nutzungsdaten der Petleo Plattform (z. B. Zugriffszeiten, Log-Daten)

2.3 Kreis der Betroffenen

Tierhalter:innen sowie Mitarbeitende des Verantwortlichen, die die Petleo Plattform nutzen.

Petleo verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Verantwortlichen, es sei denn, Petleo ist gesetzlich zu einer anderweitigen Verarbeitung verpflichtet. In einem solchen Fall teilt Petleo dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht untersagt.

Weisungen erteilt der Verantwortliche zunächst durch Konfiguration innerhalb der Petleo Plattform sowie ergänzend in Textform an die in Ziffer 11 genannte Kontaktadresse.

Petleo verpflichtet alle Personen, die Zugang zu den personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit oder unterwirft diese einer angemessenen gesetzlichen Verschwiegenheitspflicht.

Petleo trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Verschlüsselte Übertragung von Daten (TLS)
• Verschlüsselte Speicherung sensibler Daten im Ruhezustand
• Rollen- und rechtebasierte Zugriffskontrolle
• Regelmäßige Sicherheitsupdates und Schwachstellenmanagement
• Protokollierung sicherheitsrelevanter Systemzugriffe
• Regelmäßige Datensicherung

Eine detaillierte Übersicht der technischen und organisatorischen Maßnahmen kann bei Petleo unter der in Ziffer 11 genannten Kontaktadresse angefordert werden.

Petleo setzt zur Erbringung der Petleo Dienste weitere Auftragsverarbeiter ein (Unterauftragsverarbeiter), insbesondere für Hosting, E-Mail-Versand und KI-gestützte Transkription im Rahmen von Petleo.ai. Mit sämtlichen Unterauftragsverarbeitern bestehen Verträge, die ein Datenschutzniveau entsprechend diesem AVV sicherstellen.

Petleo informiert den Verantwortlichen über die Absicht, weitere Unterauftragsverarbeiter zu beauftragen oder zu ersetzen. Der Verantwortliche kann einer solchen Änderung innerhalb von 14 Tagen aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen.

Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter kann unter der in Ziffer 11 genannten Kontaktadresse angefordert werden.

Petleo stellt dem Verantwortlichen die zur Erfüllung der Nachweispflichten aus Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Prüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Kontrollen sind mit angemessener Frist anzukündigen und finden während der üblichen Geschäftszeiten statt, ohne den laufenden Betrieb unangemessen zu beeinträchtigen.

Petleo unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei der Meldung von Datenschutzverletzungen an die Aufsichtsbehörde und betroffene Personen (Art. 33, 34 DSGVO).

Petleo meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Verarbeitung nach Kenntniserlangung unverzüglich.

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht Petleo sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt diese auf Wunsch des Verantwortlichen zurück, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Für die Haftung im Rahmen dieses AVV gelten die Haftungsregelungen der AGB entsprechend, soweit die DSGVO keine abweichenden zwingenden Regelungen vorsieht.

Anfragen zu diesem AVV, zu den technischen und organisatorischen Maßnahmen oder zur aktuellen Liste der Unterauftragsverarbeiter richten Sie bitte an:

Petleo GmbH, Peter-Auzinger-Straße 9, 81547 München – kontakt@petleo.net

Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Übrigen gelten die Regelungen der AGB und der Datenschutzerklärung.

Zuletzt aktualisiert: 2026

This Data Processing Agreement ("DPA") under Art. 28 GDPR governs the processing of personal data by Petleo GmbH on behalf of veterinary practices, clinics, and veterinary service providers using the Petleo Platform. It supplements the General Terms and Conditions and automatically becomes part of the contract upon conclusion of a usage agreement.

This DPA governs the processing of personal data by Petleo GmbH ("processor") on behalf of the customer ("controller") in connection with the use of the Petleo Platform (online booking, digital patient intake, Petleo.ai, referral portal).

The term of this DPA corresponds to the term of the underlying usage agreement under the General Terms and Conditions and ends automatically upon its termination, subject to the deletion and return obligations set out in Section 9.

Processing serves the purpose of providing the Petleo services, in particular appointment management, digital patient intake, AI-assisted treatment documentation, and communication between practice and pet owner. Categories of data include contact details of pet owners, appointment data, animal records, and — for Petleo.ai — audio recordings and the treatment notes generated from them. Data subjects are pet owners and staff of the controller using the platform.

Petleo processes personal data only within the scope of the agreements made and on documented instructions from the controller, unless required otherwise by law.

Petleo obligates all persons with access to the controller's personal data to confidentiality or subjects them to an appropriate statutory duty of confidentiality.

Petleo implements the technical and organisational measures required under Art. 32 GDPR, including encrypted data transmission, encrypted storage of sensitive data at rest, role-based access control, regular security updates, access logging, and regular backups. A detailed overview is available on request.

Petleo engages further processors (sub-processors) to provide the Petleo services, in particular for hosting, email delivery, and AI-assisted transcription for Petleo.ai. All sub-processors are bound by agreements ensuring a level of data protection equivalent to this DPA. Petleo informs the controller of any intended change of sub-processors; the controller may object within 14 days for good cause related to data protection.

Petleo provides the controller with the information necessary to demonstrate compliance with Art. 28(3)(h) GDPR and enables reasonable audits, including inspections, by the controller or an auditor appointed by the controller, subject to reasonable prior notice.

Petleo assists the controller, to the extent reasonable, in fulfilling data subject rights, data protection impact assessments, and the notification of personal data breaches to supervisory authorities and data subjects, and notifies the controller of any such breach without undue delay after becoming aware of it.

Upon termination of the provision of processing services, Petleo deletes all personal data processed on behalf of the controller, or returns it at the controller's request, unless a statutory retention obligation applies.

The liability provisions of the General Terms and Conditions apply accordingly to this DPA, unless GDPR provides for mandatory deviating rules.

Questions regarding this DPA, the technical and organisational measures, or the current list of sub-processors can be directed to Petleo GmbH, Peter-Auzinger-Straße 9, 81547 Munich – kontakt@petleo.net.

Last updated: 2026