Auftragsverarbeitungsvertrag

Parteien

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV“) wird geschlossen zwischen

dem Kunden gemäß den Angaben in seinem Kundenbereich der Plattform Tellondi (im Folgenden „Verantwortlicher“)

und

Clemens Waldmann, Geschäftsbezeichnung waldmanntec, Löwenzahnweg 9, 4030 Linz, Österreich, UID ATU80419959, E-Mail office@waldmanntec.com (im Folgenden „Auftragsverarbeiter“ oder „wir“).

Präambel

Der Verantwortliche nutzt die Plattform Tellondi (im Folgenden „Plattform“) auf Grundlage der Allgemeinen Geschäftsbedingungen (im Folgenden „Hauptvertrag“). Dabei verarbeiten wir personenbezogene Daten in seinem Auftrag. Dieser AVV regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

1. Gegenstand und Rangfolge

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch uns im Auftrag des Verantwortlichen beim Betrieb der Plattform, wie in Anlage 3 beschrieben.

1.2 Dieser AVV ist Bestandteil des Hauptvertrags. Bei Widersprüchen in Fragen des Datenschutzes geht dieser AVV dem Hauptvertrag vor; im Übrigen gilt der Hauptvertrag. Zwingende Bestimmungen der DSGVO und des DSG gehen vor.

1.3 Soweit dieser AVV den Begriff „Textform“ verwendet, genügen E-Mail oder eine dafür vorgesehene Funktion der Plattform.

2. Begriffe

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung des Art. 4 DSGVO. „Anrufer“, „Anliegen“, „Mitschrift“, „Inhalte des Kunden“ und „Team“ haben die Bedeutung des Hauptvertrags. „Unterauftragsverarbeiter“ ist jeder weitere Auftragsverarbeiter, den wir mit Zustimmung des Verantwortlichen einsetzen.

3. Art, Zweck, Datenkategorien, betroffene Personen

3.1 Zweck der Verarbeitung ist ausschließlich die Erbringung der Leistungen des Hauptvertrags: Annahme und Führung von Telefongesprächen durch den KI-Assistenten, Erstellung von Mitschrift und Anliegen, Weiterleitung, Bereitstellung in der Inbox, Benachrichtigung des Teams, Testanrufe, Einrichtungshilfe, Abrechnungszählung, Aufbewahrung, Export und Löschung.

3.2 Art der Verarbeitung: Erheben, Erfassen, Umwandeln von Sprache in Text, Analysieren und Zusammenfassen durch KI-Modelle, Speichern, Anzeigen, Übermitteln an Weiterleitungsziele und Unterauftragsverarbeiter, Benachrichtigen, Exportieren, Anonymisieren, Löschen.

3.3 Datenkategorien und Kategorien betroffener Personen sind in Anlage 3 beschrieben. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; sie können jedoch von Anrufern unaufgefordert mitgeteilt und dann als Teil der Mitschrift verarbeitet werden.

3.4 Wir verarbeiten die Daten nur im Rahmen dieses AVV und der Weisungen des Verantwortlichen. Eine Verarbeitung für eigene Zwecke, insbesondere zum Training von KI-Modellen, zu Werbezwecken oder zur Weitergabe an Dritte außerhalb von Anlage 2, findet nicht statt. Davon unberührt bleibt unsere eigene Verantwortlichkeit für Konto-, Vertrags- und Rechnungsdaten sowie für Sicherheits- und Betriebsdaten der Plattform (Datenschutzerklärung, Punkt 2).

3.5 Zweckbestimmung und Grenzen. Der Verantwortliche setzt die Plattform nur für die administrative Anrufannahme ein (Anliegen aufnehmen, Fragen aus freigegebenem Wissen beantworten, weiterleiten). Die Plattform ist nicht dafür bestimmt, Daten nach Art. 9 oder Art. 10 DSGVO, dem Berufsgeheimnis unterliegende Informationen (etwa Ärzte, Rechtsanwälte, Steuerberater) oder Daten von Kindern gezielt zu verarbeiten, Gesundheitszustände zu bewerten oder Notrufe abzuwickeln. Der Verantwortliche ist allein dafür verantwortlich, die Plattform nicht für solche Zwecke einzusetzen.

4. Dauer

Dieser AVV gilt ab seiner Annahme für die Dauer des Hauptvertrags und darüber hinaus, bis alle im Auftrag verarbeiteten Daten gelöscht oder zurückgegeben sind (Punkt 13). Eine gesonderte Kündigung des AVV ist ausgeschlossen; er endet mit dem Hauptvertrag.

5. Weisungen

5.1 Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch im Hinblick auf die Übermittlung in ein Drittland, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Weisungen sind in erster Linie der Hauptvertrag, dieser AVV samt Anlagen und die Einstellungen, die der Verantwortliche und sein Team in der Plattform vornehmen (insbesondere Inhalte des Assistenten, Weiterleitungsziele und -regeln, Rollen und Mitgliedschaften, Löschungen, Spam-Markierungen, Freigaben für Support-Zugriffe). Diese Einstellungen gelten als dokumentierte Weisungen. Einzelweisungen darüber hinaus erteilen nur Inhaber oder Admins des Kundenbereichs in Textform an office@waldmanntec.com; wir dürfen die Herkunft prüfen.

5.3 Weisungen, die über den vereinbarten Leistungsumfang hinausgehen oder die Plattform ändern müssten, dürfen wir ablehnen oder nur gegen gesondertes Entgelt nach Aufwand ausführen. Weisungen müssen innerhalb der technischen Möglichkeiten der Plattform liegen.

5.4 Halten wir eine Weisung für rechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen. Die Verantwortung für die Rechtmäßigkeit einer Weisung trägt der Verantwortliche.

6. Pflichten des Auftragsverarbeiters

6.1 Vertraulichkeit. Wir stellen sicher, dass alle Personen, die mit der Verarbeitung befasst sind, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Datengeheimnis nach § 6 DSG), und dass sie Daten nur auf Weisung verarbeiten. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.

6.2 Sicherheit. Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, wie in Anlage 1 beschrieben. Wir dürfen die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentieren wir und stellen die aktuelle Anlage bereit. Wir überprüfen die Wirksamkeit der Maßnahmen regelmäßig.

6.3 Unterauftragsverarbeiter. Wir halten die Bedingungen des Punkts 8 ein.

6.4 Unterstützung bei Betroffenenrechten. Wir unterstützen den Verantwortlichen nach Punkt 10 mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen (Kapitel III DSGVO).

6.5 Unterstützung bei Art. 32 bis 36 DSGVO. Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen (Punkt 11), bei der Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation. Dazu stellen wir auf Anfrage die erforderlichen Informationen über die Plattform, ihre Datenflüsse und Risiken bereit.

6.6 Löschung und Rückgabe. Nach Ende der Leistung löschen wir alle personenbezogenen Daten oder geben sie zurück, wie in Punkt 13 geregelt, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung vorschreibt.

6.7 Nachweise. Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglichen Überprüfungen nach Punkt 12.

6.8 Verzeichnis. Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

6.9 Zugriff auf Inhalte. Wir sehen ohne Freigabe des Verantwortlichen nur technische Metadaten (Zeiten, Dauer, Ergebnis, Latenzen, Fehler, Kosten) mit maskierten Rufnummern. Auf Mitschriften, Anliegen und Notizen greifen wir nur zu, wenn ein Inhaber des Kundenbereichs das in Textform für einen bestimmten Zweck und befristet freigegeben hat; jeder Zugriff wird im Protokoll des Verantwortlichen festgehalten. Es gibt keine Funktion, laufende Gespräche mitzuhören.

6.10 Keine Tonaufnahme. Wir speichern kein Audio. Anrufer- und Assistenten-Audio existiert nur während des Gesprächs im Arbeitsspeicher und wird nicht auf Datenträger, in Datenbanken, Protokolle oder Fehlerberichte geschrieben. Wir erzeugen keine Stimmabdrücke und keine Emotions- oder Sprechererkennung.

6.11 Hinweis auf Rechtsänderungen. Ändern sich die rechtlichen Rahmenbedingungen so, dass wir unsere Pflichten aus diesem AVV nicht mehr erfüllen können, informieren wir den Verantwortlichen unverzüglich.

7. Pflichten und Verantwortung des Verantwortlichen

7.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 5, 6, 12 bis 22, 24 DSGVO). Er bestimmt die Zwecke, prüft die Zulässigkeit der Verarbeitung vor dem Einsatz der Plattform und stellt sicher, dass für die Verarbeitung der Daten der Anrufer eine Rechtsgrundlage besteht.

7.2 Der Verantwortliche informiert die Anrufer nach Art. 13 und 14 DSGVO. Er stellt eine eigene Datenschutzerklärung bereit, die den Einsatz des KI-Assistenten, die Erfassung des Gesprächs als Text, uns als Auftragsverarbeiter, die Unterauftragsverarbeiter aus Anlage 2 samt Drittlandübermittlung und die Aufbewahrungsfristen nennt, und hinterlegt deren Adresse in der Plattform (Datenschutz-Adresse), damit der KI-Hinweis sie nennen kann. Die Verantwortung für Inhalt und Aktualität dieser Datenschutzerklärung trägt der Verantwortliche.

7.3 Der Verantwortliche holt erforderliche Einwilligungen ein und beachtet die für ihn geltenden berufs-, standes- und branchenrechtlichen Pflichten sowie § 161 TKG 2021 und § 120 StGB. Er prüft, ob er eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO, DSFA-V) durchführen muss, und führt sie gegebenenfalls durch; er führt sein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO) und bindet seinen Betriebsrat ein, soweit das ArbVG es verlangt.

7.4 Der Verantwortliche ist für alle Inhalte des Kunden, für die Einstellungen in der Plattform, für die Vergabe und den Entzug von Rollen und Zugriffen seines Teams und für die Geheimhaltung der Zugangsdaten verantwortlich. Weiterleitungsziele und Rückrufnummern trägt er nur mit Zustimmung der betroffenen Teammitglieder ein.

7.5 Der Verantwortliche prüft die von der Plattform erzeugten Anliegen, Mitschriften und Einstufungen selbst (Hauptvertrag Punkt 5.3) und trifft auf dieser Grundlage keine Entscheidungen im Sinn des Art. 22 DSGVO ohne menschliche Prüfung.

7.6 Der Verantwortliche sichert Daten, die er über die Löschfristen hinaus benötigt, rechtzeitig durch Export in eigene Systeme (Punkt 13.1).

7.7 Weisungen des Verantwortlichen, die gegen Datenschutzrecht verstoßen, gehen zu seinen Lasten. Er hält uns von Ansprüchen Dritter und von Nachteilen schad- und klaglos, die aus einer Verletzung seiner Pflichten nach diesem Punkt 7, aus seinen Inhalten oder aus rechtswidrigen Weisungen entstehen (Hauptvertrag Punkt 5.8).

8. Unterauftragsverarbeiter

8.1 Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Annahme dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 2 mit Name, Sitz, Zweck, Datenarten, Verarbeitungsregion und Übermittlungsgrundlage aufgeführt.

8.2 Änderungen. Beabsichtigen wir, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informieren wir die Inhaber des Kundenbereichs mindestens 30 Tage vor dem Wirksamwerden in Textform. Der Verantwortliche kann der Änderung bis zum Wirksamwerden aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Im Fall eines Widerspruchs bemühen wir uns um eine zumutbare Alternative; gelingt das nicht, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung ohne Einhaltung einer Frist zu kündigen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt; darauf weisen wir in der Ankündigung hin. Dringende Ersetzungen zur Aufrechterhaltung des Betriebs (etwa bei Ausfall oder Insolvenz eines Unterauftragsverarbeiters) dürfen wir vorab vornehmen und zeigen sie unverzüglich an; das Kündigungsrecht bleibt.

8.3 Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dieser AVV uns, insbesondere hinreichende Garantien für technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Bei Unterauftragsverarbeitern, die standardisierte Bedingungen verwenden (insbesondere Twilio, Google, Hosting), gelten deren Datenverarbeitungsbedingungen als dieser Vertrag; wir prüfen sie auf die Anforderungen des Art. 28 Abs. 4 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haften wir dem Verantwortlichen für dessen Pflichten nach Maßgabe des Punkts 14.

8.4 Nicht als Unterauftragsverarbeitung gelten Leistungen Dritter ohne Zugriff auf personenbezogene Daten des Auftrags (etwa Lieferanten von Hardware, Reinigungs- oder Wartungsdienste) sowie Telekommunikationsdienste, soweit sie als reine Übermittler tätig werden; davon unberührt bleibt die Nennung des Telefoniedienstleisters in Anlage 2.

9. Verarbeitungsort und Drittlandübermittlung

9.1 Speicherung und Verarbeitung durch uns finden in der Europäischen Union statt (Hosting, Datenbank, Sicherungskopien, Mailversand).

9.2 Für Telefonie und Sprach- bzw. Text-KI setzen wir Unterauftragsverarbeiter mit Sitz in den USA ein (Anlage 2). Übermittlungen in Drittländer erfolgen nur auf einer der in Kapitel V DSGVO vorgesehenen Grundlagen: auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework für dort zertifizierte Empfänger (Twilio Inc., Google LLC) und ergänzend auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), die in den Datenverarbeitungsbedingungen dieser Anbieter enthalten sind. Der Verantwortliche erteilt hiermit die Weisung zu diesen Übermittlungen.

9.3 Bekanntes Risiko: Sprach-KI ohne EU-Regionszusage. Der Verantwortliche nimmt ausdrücklich zur Kenntnis, dass die Sprach- und Text-KI über die Gemini API von Google in deren kostenpflichtiger Nutzung betrieben wird und dass Google dafür keine Verarbeitung in einer bestimmten Region zusagt; nach den Nutzungsbedingungen der Gemini API können Daten vorübergehend in jedem Land gespeichert oder zwischengespeichert werden, in dem Google oder seine Beauftragten Einrichtungen unterhalten. Nach diesen Bedingungen verwendet Google Eingaben und Ausgaben der kostenpflichtigen Nutzung nicht zur Verbesserung seiner Produkte, protokolliert sie aber für begrenzte Zeit zur Erkennung und Verhinderung von Missbrauch. Wir beabsichtigen, die Sprach-KI auf ein Angebot mit zugesicherter EU-Verarbeitungsregion umzustellen, und informieren den Verantwortlichen über die Umstellung nach Punkt 8.2. Wir sichern nicht zu, dass Daten die EU nicht verlassen.

9.4 Fällt eine Übermittlungsgrundlage weg (etwa durch Aufhebung des Data Privacy Framework), informieren wir den Verantwortlichen unverzüglich, setzen die nach dem Stand der Technik und mit zumutbarem Aufwand verfügbaren Ersatzmaßnahmen um und dürfen betroffene Funktionen bis dahin einschränken. Beide Parteien dürfen den Hauptvertrag in diesem Fall mit sofortiger Wirkung kündigen, wenn keine rechtmäßige Fortführung möglich ist.

10. Betroffenenrechte

10.1 Anträge betroffener Personen, die bei uns eingehen, leiten wir unverzüglich an den Verantwortlichen weiter und teilen dem Antragsteller mit, dass der Verantwortliche zuständig ist; wir beantworten sie nicht selbst, außer auf Weisung.

10.2 Wir stellen dem Verantwortlichen folgende Mittel bereit:

a) Löschung je Anrufernummer: Auf Anforderung eines Inhabers oder Admins in Textform löschen wir alle Anliegen, Anrufe, Mitschriften, Notizen, Verlauf und Benachrichtigungsprotokolle zu einer Rufnummer binnen 24 Stunden; Anrufdatensätze werden anonymisiert (Rufnummer entfernt, Dauer und Zählwert bleiben für die Abrechnung). Die Löschung wird protokolliert. Soweit die Plattform eine eigene Funktion dafür anbietet, kann der Verantwortliche die Löschung auch dort selbst auslösen. b) Auskunft und Datenübertragbarkeit: Export aller Daten zu einer Anrufernummer in lesbarer (CSV) und maschinenlesbarer (JSON) Form auf Anforderung in Textform; soweit die Plattform eine Exportfunktion anbietet, auch dort. c) Berichtigung: Name, Rückrufnummer, Wunschzeit und eigene Felder eines Anliegens kann das Team des Verantwortlichen selbst korrigieren; Mitschrift und Zusammenfassung sind unveränderlich und können nur gelöscht werden. d) Einschränkung: Auf Weisung sperren wir Daten zu einer Rufnummer gegen weitere Verarbeitung, soweit technisch möglich, oder löschen sie.

10.3 Unterstützung, die über diese Mittel hinausgeht, erbringen wir nach Aufwand gegen angemessenes Entgelt, sofern der Antrag nicht auf einem von uns zu vertretenden Umstand beruht.

11. Verletzungen des Schutzes personenbezogener Daten

11.1 Wir informieren den Verantwortlichen unverzüglich, mit dem Ziel binnen 24 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftrags betrifft, damit er seine Fristen nach Art. 33 und 34 DSGVO einhalten kann. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle; Informationen, die noch nicht vorliegen, reichen wir nach.

11.2 Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen für die Daten des Auftrags nimmt der Verantwortliche vor; wir unterstützen ihn und melden selbst nur auf seine Weisung. Unberührt bleibt unsere eigene Meldepflicht für Daten, für die wir Verantwortliche sind.

11.3 Wir dokumentieren Verletzungen und stellen dem Verantwortlichen die ihn betreffenden Einträge auf Anfrage zur Verfügung.

11.4 Ebenso informieren wir den Verantwortlichen über Störungen, Verstöße gegen datenschutzrechtliche Bestimmungen oder gegen diesen AVV durch uns oder von uns eingesetzte Personen sowie über behördliche Anfragen oder Maßnahmen, die Daten des Auftrags betreffen, sofern uns die Information nicht gesetzlich untersagt ist.

12. Kontrolle und Nachweise

12.1 Wir weisen die Einhaltung dieses AVV in erster Linie durch Dokumentation nach: Anlage 1 (technische und organisatorische Maßnahmen), Anlage 2 (Unterauftragsverarbeiter), die Datenschutzerklärung, das Protokoll des Kundenbereichs (Löschungen, Support-Zugriffe, Änderungen) und Antworten auf schriftliche Fragen des Verantwortlichen in angemessener Frist. Soweit vorhanden, legen wir Prüfberichte oder Zertifizierungen von Unterauftragsverarbeitern vor.

12.2 Reichen diese Nachweise im Einzelfall begründet nicht aus, darf der Verantwortliche selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit uns stehenden Prüfer eine Überprüfung einschließlich Inspektion durchführen: höchstens einmal pro Kalenderjahr, mit mindestens 30 Tagen Ankündigung in Textform, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und unter Wahrung der Vertraulichkeit anderer Kunden. Ohne Ankündigungsfrist und Beschränkung auf einmal jährlich ist eine Prüfung zulässig, wenn ein konkreter Verdacht auf eine Verletzung besteht oder eine Aufsichtsbehörde sie verlangt. Die Kosten der Prüfung trägt der Verantwortliche, soweit die Prüfung keine wesentlichen Verstöße unsererseits ergibt; unseren Aufwand über zwei Personentage hinaus dürfen wir nach Aufwand verrechnen.

12.3 Rechenzentren unserer Unterauftragsverarbeiter werden nicht von uns, sondern über deren Nachweise (Zertifizierungen, Prüfberichte) geprüft.

12.4 Wir informieren den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde eine Prüfung bei uns durchführt, die Daten des Auftrags betrifft.

13. Löschung und Rückgabe

13.1 Während der Laufzeit löschen wir Daten automatisch nach den Aufbewahrungsfristen in Anlage 3; soweit die Plattform das anbietet, kann der Verantwortliche einzelne Fristen innerhalb der dort genannten Bereiche selbst festlegen. Daten, die er länger benötigt, exportiert er vorher. Löschungen sind endgültig; es gibt keinen Papierkorb.

13.2 Nach Ende des Hauptvertrags haben Inhaber und Admins 30 Tage lesenden Zugriff und erhalten auf Anforderung in Textform einen Export von Anliegen, Mitschriften, Anrufen und Konfigurationsversionen als CSV und JSON; soweit die Plattform eine Exportfunktion anbietet, auch dort. Danach löschen wir alle Inhaltsdaten des Kundenbereichs endgültig und bestätigen die Löschung auf Anfrage in Textform. Eine Rückgabe auf Datenträgern ist nicht geschuldet.

13.3 Ausnahmen. Nicht gelöscht werden: Rechnungs- und Verbrauchsdaten ohne Anruferbezug (7 Jahre, § 132 BAO), das Protokoll bis zum Ablauf seiner Frist (730 Tage) und der anonymisierte Rumpfdatensatz des Kundenbereichs. Daten in Sicherungskopien werden spätestens 30 Tage nach Erstellung der Sicherungskopie gelöscht; nach einer Wiederherstellung aus einer Sicherungskopie werden die automatische Löschung und alle protokollierten Löschungen je Anrufernummer unverzüglich erneut ausgeführt.

13.4 Besteht für uns eine gesetzliche Aufbewahrungspflicht, speichern wir die betroffenen Daten nur für deren Dauer, gesperrt gegen andere Verarbeitung, und löschen sie danach.

14. Haftung

14.1 Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für den Teil des Schadens, der auf ihren Verantwortungsbereich entfällt (Art. 82 Abs. 5 DSGVO). Als Verantwortungsbereich des Verantwortlichen gelten insbesondere die Rechtmäßigkeit der Verarbeitung, die Information der Anrufer, die Inhalte des Kunden, die Verwaltung seines Teams und seiner Zugänge, seine Weisungen und die Zweckbestimmung des Einsatzes.

14.2 Für die Haftung zwischen den Parteien aus diesem AVV gelten die Haftungsbeschränkungen des Hauptvertrags (AGB Punkt 14), soweit zwingendes Recht nicht entgegensteht. Geldbußen, die gegen eine Partei verhängt werden, trägt diese Partei selbst; ein Regress ist nur möglich, soweit die andere Partei die Verhängung schuldhaft verursacht hat und eine Überwälzung rechtlich zulässig ist.

14.3 Der Verantwortliche hält uns von Ansprüchen betroffener Personen und Dritter sowie von Kosten schad- und klaglos, soweit sie auf seinen Verantwortungsbereich nach Punkt 14.1 zurückgehen.

15. Schlussbestimmungen

15.1 Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Änderungen durch uns erfolgen nach dem Verfahren des Hauptvertrags (AGB Punkt 17); die Anlagen 1 und 3 dürfen wir anpassen, soweit das Schutzniveau nicht sinkt und die Fristen nicht zum Nachteil des Verantwortlichen verkürzt werden; für Anlage 2 gilt Punkt 8.2.

15.2 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die den Anforderungen des Art. 28 DSGVO entspricht und dem Zweck der unwirksamen am nächsten kommt.

15.3 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Gerichtsstand ist der des Hauptvertrags. Zwingende Zuständigkeiten nach der DSGVO und dem DSG bleiben unberührt.

15.4 Dieser AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem ein Inhaber des Kundenbereichs ihn bei der Einrichtung oder Buchung in der Plattform oder in Textform annimmt. Wir dokumentieren die angenommene Fassung mit Version, Zeitpunkt und annehmender Person und stellen sie dem Verantwortlichen auf Anfrage zur Verfügung. Für den Fall einer gesonderten Unterzeichnung gilt die unterzeichnete Fassung.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 17.10.2026.

1. Vertraulichkeit

Zutrittskontrolle

• Die Plattform läuft in Rechenzentren der netcup GmbH in der EU mit deren physischen Sicherheitsmaßnahmen. Wir betreiben keine eigenen Serverräume.

Zugangskontrolle

• Administrativer Zugang zum Server nur für den Betreiber über SSH mit Schlüsselverfahren.
• Zugang zur Plattform nur mit persönlichem Konto; Passwörter mindestens 12 Zeichen, Abgleich gegen eine Sperrliste bekannter und zu einfacher Passwörter, Speicherung nur als kryptografischer Hash.
• Begrenzung von Anmelde-, Registrierungs- und Passwort-Reset-Versuchen je Konto, E-Mail-Adresse und IP-Adresse; zeitlich begrenzte Sperren mit Benachrichtigung.
• Serverseitige Sitzungen mit zufälliger Kennung (Cookie __Host-session: HttpOnly, Secure, SameSite=Lax), Ablauf nach 30 Tagen ohne Aktivität, spätestens nach 90 Tagen, „Auf allen Geräten abmelden“.
• Erneute Authentifizierung für kritische Aktionen (etwa Inhaberrolle vergeben, Konto oder Kundenbereich löschen).
• Separate Konten für Plattform-Administratoren mit verpflichtendem zweitem Faktor (TOTP) und Wiederherstellungscodes.
• Zugangsdaten zu Drittdiensten sind nur dem Betreiber zugänglich und werden nach dokumentiertem Verfahren gewechselt.

Zugriffskontrolle

• Rollenmodell je Kundenbereich (Inhaber, Admin, Mitglied) mit festgelegter Rechtematrix; Rufnummern von Weiterleitungszielen sehen nur Inhaber und Admins.
• Mandantentrennung auf Datenbankebene: Jede Tabelle mit Kundenbezug trägt die Kundenkennung und ist durch Row-Level-Security mit erzwungener Richtlinie geschützt; Fachcode arbeitet nur in einem Kundenkontext; automatisierte Tests prüfen die Trennung.
• Plattform-Administratoren sehen ohne Freigabe nur Metadaten mit maskierten Rufnummern; Inhaltszugriff nur mit schriftlicher, befristeter Freigabe des Kunden, mit Zweck im Protokoll.
• Keine Funktion zum Mithören laufender Gespräche.
• Getrennte Datenbankrollen für Anwendung und Systemaufgaben; privilegierte Funktionen (etwa Löschung abgelaufener Protokolleinträge) nur über definierte Datenbankfunktionen mit festem Eigentümer.

Trennungskontrolle

• Logische Trennung der Kunden (siehe Zugriffskontrolle); Produktions- und Entwicklungsumgebung sind getrennt; Entwicklung läuft mit Testdaten.

Pseudonymisierung und Datensparsamkeit

• Keine Speicherung von Audio; Gesprächsinhalte nur als Text.
• Keine Stimmabdrücke, keine Sprecher- oder Emotionserkennung; Wiedererkennung nur über die Rufnummer.
• Technische Protokolle und das Audit-Protokoll enthalten keine Gesprächsinhalte, keine Zusammenfassungen und keine Notizen; Rufnummern und E-Mail-Adressen erscheinen maskiert. IP-Adressen im Audit-Protokoll werden gekürzt (IPv4 /24, IPv6 /48).
• Vollständige Rufnummern stehen nie in URLs oder Query-Parametern.
• Benachrichtigungs-E-Mails enthalten nur eine kurze Zusammenfassung und einen Link, keine Mitschrift.
• Die Sprach-KI ist so konfiguriert, dass keine Tonfall- oder Emotionsauswertung genutzt wird und als externe Funktionen nur Weiterleitung und Auflegen zur Verfügung stehen.

2. Integrität

Weitergabekontrolle

• Verschlüsselung in Transit mit TLS 1.2 oder höher für Web-App, Schnittstellen, Webhooks und alle WebSocket-Verbindungen (Telefonie-Medienströme, Browser-Testanruf, Sprach-KI). Die Strecke im öffentlichen Telefonnetz liegt außerhalb unseres Einflusses.
• Signaturprüfung aller eingehenden Webhooks des Telefoniedienstleisters.
• Die Anrufsteuerung enthält keinen Aufnahmebefehl.
• Weitergabe an Unterauftragsverarbeiter nur im in Anlage 2 beschriebenen Umfang.

Eingabekontrolle

• Unveränderliches Audit-Protokoll für sicherheits- und datenschutzrelevante Aktionen mit Zeitpunkt, Akteur, Aktion und Objekt; Änderungen und Löschungen durch die Anwendung sind auf Datenbankebene verhindert, Löschung nur nach Fristablauf durch den Löschlauf; Aufbewahrung 730 Tage.
• Jede Bearbeitung eines Anliegens (Status, Zuständigkeit, Dringlichkeit, Felder, Notizen) wird mit Nutzer und Zeit im Verlauf festgehalten; Notizen sind unveränderlich.
• Konfigurationen des Assistenten sind versioniert; jede Version ist dem Anruf zugeordnet, in dem sie galt.
• Der KI-Hinweis ist fester Bestandteil jedes angenommenen Gesprächs und vom Kunden nicht abschaltbar.

3. Verfügbarkeit und Belastbarkeit

• Sicherungskopien der Datenbank werden höchstens 30 Tage aufbewahrt; ein dokumentiertes Wiederherstellungsverfahren liegt vor.
• Ersatzansage mit Rückrufzusage, wenn Sprach-KI oder Backend nicht erreichbar sind; der Anruf geht nicht verloren, bei bekannter Rufnummer entsteht ein Anliegen.
• Störungsschalter je Kunde und global, um bei Fehlfunktionen schnell in die Ersatzansage zu schalten.
• Hintergrundaufträge mit garantierter Zustellung (mindestens einmal), Wiederholung und Behandlung fehlgeschlagener Aufträge; Transaktionssicherheit auf Datenbankebene.
• Dokumentierte Verfahren (Runbooks) für Serverausfall, Störungen der Sprach-KI, Wiederherstellung und Wechsel von Zugangsdaten.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests vor jeder Zusammenführung in den Hauptzweig, darunter Mandantentrennung (Row-Level-Security), keine Inhalte und nur maskierte Nummern in Protokollen, Modulgrenzen und der Katalog der protokollierten Aktionen.
• Täglicher automatischer Löschlauf je Kunde und Datenart mit Löschprotokoll.
• Jede Änderung an Paketen, Abos, Freigaben, Rollen und Unterauftragsverarbeitern wird protokolliert.
• Vorfallmanagement: Bewertung, Information des Kunden mit dem Ziel binnen 24 Stunden, Dokumentation des Vorfalls.
• Alle mit der Verarbeitung befassten Personen sind auf das Datengeheimnis (§ 6 DSG) verpflichtet; künftige Mitarbeiter werden vor Tätigkeitsbeginn verpflichtet.

5. Auftragskontrolle

• Unterauftragsverarbeiter nur nach Anlage 2 auf Grundlage ihrer Datenverarbeitungsbedingungen; das Datenprofil der KI-Anbieter ist konfiguriert und wird beim Start der Anwendung geprüft.
• Weisungen des Kunden ergeben sich aus den Einstellungen der Plattform und sind dort versioniert und protokolliert.

Anlage 2: Unterauftragsverarbeiter

Stand 17.10.2026, Version 1.

Beabsichtigte Änderung: Umstellung von Nr. 2 auf ein Google-Angebot mit zugesicherter EU-Verarbeitungsregion (Vertex AI); Ankündigung nach Punkt 8.2.

Keine Unterauftragsverarbeiter für Daten des Auftrags: Stripe (verarbeitet nur Rechnungsdaten des Kunden in unserer eigenen Verantwortung, siehe Datenschutzerklärung).

Anlage 3: Verarbeitungsbeschreibung und Aufbewahrungsfristen

1. Betroffene Personen

• Anrufer auf der Assistenten-Nummer des Kunden (Kunden, Interessenten, Lieferanten, Patienten oder Klienten des Kunden, Privatpersonen, Mitarbeiter anderer Unternehmen);
• Mitarbeiter und sonstige Teammitglieder des Kunden, soweit sie im Kundenbereich tätig sind oder als Weiterleitungsziel hinterlegt sind;
• Personen, die in Mitschriften, Anliegen, Notizen oder Inhalten des Kunden erwähnt werden.

2. Datenkategorien

3. Aufbewahrungsfristen

Standardfristen der Plattform; soweit die Plattform das anbietet, kann der Kunde die mit einem Bereich versehenen Fristen innerhalb dieses Bereichs selbst festlegen. Gelöscht wird täglich automatisch und endgültig.

Löschung je Anrufernummer: binnen 24 Stunden nach Anforderung durch Inhaber oder Admin; Anrufe werden anonymisiert, alles Übrige gelöscht; protokolliert mit maskierter Nummer und Anzahl je Datenart.

Ende des Hauptvertrags: 30 Tage Lesezugriff und Export, danach Löschung aller Inhaltsdaten (Punkt 13).

4. Weisungen bei Vertragsschluss

Mit Annahme dieses AVV erteilt der Verantwortliche die Weisung, die Daten des Auftrags nach Hauptvertrag, diesem AVV und den Anlagen zu verarbeiten, einschließlich der Einschaltung der Unterauftragsverarbeiter aus Anlage 2 und der damit verbundenen Übermittlungen nach Punkt 9.