Auftragsverarbeitungsvertrag (AVV)

Der Auftragnehmer betreibt die Plattform CallOnMe.io, mit der der Auftraggeber KI-gestützte Telefonassistenten einrichtet, die Anrufe für sein Unternehmen entgegennehmen. Dabei verarbeitet der Auftragnehmer personenbezogene Daten der Anrufer und der Nutzer des Auftraggebers ausschließlich im Auftrag und nach Weisung des Auftraggebers.

Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Ziffer 7 (Löschung und Rückgabe) gilt über das Vertragsende hinaus.

Die Verarbeitung umfasst insbesondere:

• • Entgegennahme eingehender Anrufe auf den vom Auftraggeber gebuchten Rufnummern
• • Umwandlung des gesprochenen Worts in Text (Spracherkennung) und des Antworttexts in Sprache (Sprachsynthese) in Echtzeit
• • Erzeugung der Gesprächsantworten durch ein Sprachmodell auf Basis der vom Auftraggeber hinterlegten Anweisungen
• • Speicherung von Gesprächsprotokollen (Transkripten), Zusammenfassungen und Anruf-Metadaten im Dashboard des Auftraggebers
• • Versand von Gesprächszusammenfassungen per E-Mail an vom Auftraggeber benannte Adressen
• • Abrechnung der genutzten Gesprächsminuten

Der Auftragnehmer prüft nicht, ob die vom Auftraggeber veranlasste Verarbeitung rechtmäßig ist; dies obliegt dem Auftraggeber als Verantwortlichem.

Betroffene Personen: Anrufer (Kunden, Interessenten, Lieferanten, Partner und Mitarbeiter des Auftraggebers sowie sonstige Dritte, die die Rufnummer anrufen) und Nutzer des Auftraggebers mit Zugang zum Dashboard.

Datenkategorien Anrufer: Rufnummer des Anrufers, Zeitpunkt und Dauer des Anrufs, Gesprächsinhalt als Text (Transkript), automatisch erzeugte Zusammenfassung, sowie alle Angaben, die der Anrufer im Gespräch selbst macht (z. B. Name, Rückrufnummer, Anliegen, Terminwünsche).

Datenkategorien Nutzer: E-Mail-Adresse, Name, Anmeldedaten, Konfiguration der Assistenten (Begrüßung, Wissen, Anweisungen), Rechnungs- und Vertragsdaten, technische Protokolldaten.

Besondere Kategorien (Art. 9 DSGVO): Je nach Einsatzgebiet des Auftraggebers (z. B. Arztpraxen, Therapeuten, Rechtsberatung) können Anrufer im Gespräch Gesundheitsdaten oder andere besondere Kategorien offenbaren. Der Auftraggeber stellt sicher, dass hierfür eine Rechtsgrundlage besteht, und beschränkt den Einsatz des Assistenten entsprechend.

• • Weisungsbindung: Verarbeitung nur im Rahmen dieses Vertrags, der AGB und der Einstellungen, die der Auftraggeber im Dashboard vornimmt; diese gelten als dokumentierte Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
• • Vertraulichkeit: Alle Personen, die Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet – auch über das Ende ihrer Tätigkeit hinaus.
• • Sicherheit: Umsetzung und Aufrechterhaltung der in Anhang 1 beschriebenen technischen und organisatorischen Maßnahmen; Anpassung an den Stand der Technik, ohne das Schutzniveau zu senken.
• • Unterstützung: Unterstützung des Auftraggebers bei Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden. Auskunftsersuchen, die direkt beim Auftragnehmer eingehen, werden unverzüglich an den Auftraggeber weitergeleitet.
• • Datenschutzverletzungen: Information des Auftraggebers ohne unangemessene Verzögerung, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die der Auftraggeber für seine Meldepflichten nach Art. 33 und 34 DSGVO benötigt.
• • Datenminimierung: Es werden nur die Daten verarbeitet, die für den Betrieb des Dienstes erforderlich sind; Gesprächsaudio wird nicht aufbewahrt.
• • Kein Modelltraining: Weder der Auftragnehmer noch seine Unterauftragsverarbeiter nutzen die Daten des Auftraggebers zum Training von KI-Modellen.
• • Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

• • Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Anrufer über den Einsatz eines KI-Assistenten und über die Erstellung von Gesprächsprotokollen (z. B. durch den Begrüßungstext).
• • Er hinterlegt im Dashboard nur solche Anweisungen und Inhalte, zu deren Verarbeitung er berechtigt ist, und schaltet den Assistenten nicht für Zwecke frei, für die keine Rechtsgrundlage besteht.
• • Er benennt dem Auftragnehmer eine Kontaktadresse für Datenschutzfragen und hält diese aktuell.
• • Er informiert den Auftragnehmer, wenn sich die Kategorien betroffener Personen oder Daten wesentlich ändern (z. B. Einsatz in einem Bereich mit besonderen Kategorien).

Der Auftraggeber genehmigt die in Anhang 2 aufgeführten Unterauftragsverarbeiter. Mit jedem von ihnen besteht ein Vertrag, der ihnen dieselben Datenschutzpflichten auferlegt wie diesem Vertrag.

Drittlandübermittlung: Mehrere Unterauftragsverarbeiter haben ihren Sitz in den USA. Die Übermittlung stützt sich auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Schutzmaßnahmen (Transportverschlüsselung, Datenminimierung, keine dauerhafte Speicherung von Audio); mehrere dieser Anbieter sind zusätzlich unter dem EU-US Data Privacy Framework zertifiziert. Datenbank und Anwendungsserver werden in der EU betrieben.

Änderungen: Über die Aufnahme oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragnehmer registrierte Nutzer mindestens zwei Wochen vorab per E-Mail. Widerspricht der Auftraggeber innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund, kann er den Vertrag außerordentlich zum Zeitpunkt der Änderung kündigen; andernfalls gilt die Änderung als genehmigt.

• • Gesprächsaudio wird zu keinem Zeitpunkt gespeichert.
• • Transkripte und Zusammenfassungen werden 90 Tage nach dem Anruf automatisch gelöscht; Anruf-Metadaten werden zum selben Zeitpunkt anonymisiert.
• • Der Auftraggeber kann Gesprächsprotokolle jederzeit im Dashboard einsehen und exportieren.
• • Bei Vertragsende werden alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. Rechnungsdaten) entgegenstehen. Auf Wunsch erhält der Auftraggeber zuvor einen Export.
• • In Sicherungskopien der Datenbank verbleiben Daten nach dem Rotationszyklus des Anbieters für höchstens 30 weitere Tage.

Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach (Beschreibung der Maßnahmen, Zertifikate der Rechenzentrumsanbieter, Auszüge aus dem Verarbeitungsverzeichnis). Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, sofern die Unterlagen nicht ausreichen; Prüfungen bei Unterauftragsverarbeitern richten sich nach deren jeweiligen Prüfverfahren.

Die Haftung richtet sich nach den AGB. Für Ansprüche betroffener Personen gilt Art. 82 DSGVO.

Es gilt polnisches Recht; Gerichtsstand ist Poznań, Polen. Zwingende Vorschriften der DSGVO bleiben unberührt.

Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Regelung unwirksam sein, bleibt der übrige Vertrag wirksam.

„Anrufer“ = Daten der Personen, die den Assistenten anrufen; „Kunde“ = Konto- und Vertragsdaten des Auftraggebers. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge; für Anbieter mit Sitz in den USA einschließlich EU-Standardvertragsklauseln.

Unterliegt der Auftraggeber einer gesetzlichen Verschwiegenheitspflicht (insbesondere Ärzte, Zahnärzte, Psychotherapeuten, Apotheker, Rechtsanwälte, Notare, Steuerberater, Wirtschaftsprüfer und deren Berufshelfer), gilt ergänzend:

• • Der Auftragnehmer verpflichtet sich, alle ihm im Rahmen der Leistungserbringung bekannt werdenden fremden Geheimnisse im Sinne des § 203 StGB vertraulich zu behandeln und sie nur zu verarbeiten, soweit dies zur Erbringung der vertraglichen Leistung erforderlich ist.
• • Er nimmt zur Kenntnis, dass er als mitwirkende Person nach § 203 Abs. 3 und 4 StGB selbst strafbar ist, wenn er ein solches Geheimnis unbefugt offenbart, und belehrt alle mit der Verarbeitung befassten Personen entsprechend.
• • Unterauftragsverarbeiter werden nur eingesetzt, wenn sie ihrerseits zur Verschwiegenheit verpflichtet sind; der Auftragnehmer stellt sicher, dass die Kenntnisnahme fremder Geheimnisse dort auf das technisch Unvermeidbare beschränkt bleibt.
• • Die Verpflichtung gilt zeitlich unbegrenzt und über das Vertragsende hinaus. Für Auftraggeber mit Sitz in Österreich gilt sie entsprechend für § 121 StGB (AT).

Diese Erklärung gilt mit Vertragsschluss als vereinbart. Eine gegengezeichnete Fassung stellen wir auf Anfrage bereit.