Auftragsverarbeitungsvertrag

Der Auftragnehmer — MINDSOUL INTERNATIONAL LLC, handelnd unter VoxPilot — nimmt für den Auftraggeber eingehende Telefonanrufe entgegen, erfasst die Anliegen der Anrufenden und stellt sie dem Auftraggeber als Transkript, Zusammenfassung und strukturierte Angaben bereit.

Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Art, Umfang, Zweck, Datenarten und Betroffenenkreise ergeben sich abschließend aus Anlage 1.

Dieser Vertrag gilt für die Dauer des Hauptvertrags über die Nutzung von VoxPilot. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus Ziffer 8 bestehen über das Vertragsende hinaus fort.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der Übermittlung in Drittländer. Als dokumentierte Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Einstellungen, die der Auftraggeber in seinem Konto vornimmt — etwa Begrüßung, Abläufe, Weiterleitungsziele und Aufbewahrungsdauer.

Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke. Insbesondere werden sie nicht zum Training eigener KI-Modelle, nicht zu Werbezwecken und nicht zur Erstellung anbieterübergreifender Auswertungen genutzt. Für die von uns eingesetzten Unterauftragnehmer gelten die in Anlage 2 genannten Bedingungen.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung bis zu deren Bestätigung oder Änderung auszusetzen. Verpflichtet ihn Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung, unterrichtet er den Auftraggeber vorab, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Zugriff wird nur den Personen gewährt, die ihn zur Erbringung der vertraglich vereinbarten Leistung benötigen. Erweiterte Rechte sind an eine gesonderte Rolle gebunden und werden getrennt vergeben.

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der zum Zeitpunkt des Vertragsschlusses maßgebliche Stand ist in Anlage 3 beschrieben.

Die Maßnahmen unterliegen der technischen Weiterentwicklung. Der Auftragnehmer darf sie anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragnehmer.

Der Auftragnehmer unterrichtet den Auftraggeber mindestens dreißig Tage vor der Hinzuziehung eines weiteren oder dem Austausch eines bestehenden Unterauftragnehmers in Textform. Der Auftraggeber kann der Änderung innerhalb von vierzehn Tagen aus einem wichtigen, dem Datenschutz zuzuordnenden Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, ist der Auftraggeber berechtigt, den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich zu kündigen.

Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich auf ein Datenschutzniveau, das dem dieses Vertrags entspricht. Er haftet für deren Verhalten wie für eigenes.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen. Auskunft, Herausgabe und Löschung einzelner Datensätze sind dem Auftraggeber jederzeit selbst über sein Konto möglich.

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von vierundzwanzig Stunden nach Kenntnis. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie verfügbar sind.

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde.

Der Auftragnehmer löscht die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers spätestens dreißig Tage nach Beendigung des Hauptvertrags oder gibt sie zuvor heraus. Ein Export der Daten ist dem Auftraggeber bis zum Ablauf dieser Frist über sein Konto möglich.

Unabhängig davon löscht der Auftragnehmer bereits während der Vertragslaufzeit nach der vom Auftraggeber eingestellten Aufbewahrungsfrist; der Standard beträgt neunzig Tage. Gelöscht wird vollständig und nicht anonymisiert.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden gesperrt und ausschließlich zu diesem Zweck vorgehalten.

Der Auftragnehmer stellt dem Auftraggeber auf Anforderung alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Auftraggeber ist berechtigt, die Einhaltung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einsicht in Nachweise, Zertifizierungen oder Prüfberichte. Eine Kontrolle vor Ort ist nach vorheriger Ankündigung mit angemessener Frist, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich. Der Auftragnehmer darf sie von der Unterzeichnung einer Vertraulichkeitsvereinbarung abhängig machen.

Die Verarbeitung findet an den in Anlage 2 genannten Orten statt. Speicherung und Verarbeitung der Anrufdaten erfolgen in Deutschland.

Der Auftragnehmer ist eine Gesellschaft mit Sitz in den Vereinigten Staaten (MINDSOUL INTERNATIONAL LLC, Florida). Die Übermittlung personenbezogener Daten an den Auftragnehmer stützt sich daher auf die Standardvertragsklauseln der Europäischen Kommission vom 4. Juni 2021, Modul 2 (Verantwortlicher an Auftragsverarbeiter), die zwischen den Parteien als vereinbart gelten und diesem Vertrag vorgehen, soweit sie ihm widersprechen. Anlage 1 gilt zugleich als Anhang I.B, Anlage 2 als Anhang III und Anlage 3 als Anhang II der Standardvertragsklauseln.

Für die in Anlage 2 genannten Unterauftragnehmer mit Sitz in einem Drittland gelten dieselben Anforderungen; die Übermittlung stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO oder, soweit einschlägig, auf einen Angemessenheitsbeschluss.

Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Formklausel. Widersprechen sich die Regelungen dieses Vertrags und die des Hauptvertrags, gehen die Regelungen dieses Vertrags vor, soweit sie den Datenschutz betreffen.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Für diesen Vertrag gilt — wie nach § 24 der Allgemeinen Geschäftsbedingungen für den Hauptvertrag — das Recht der Bundesrepublik Deutschland. Gerichtsstand für Streitigkeiten aus diesem Vertrag ist abweichend von § 24 der Allgemeinen Geschäftsbedingungen der allgemeine Gerichtsstand des Auftraggebers; Klausel 18 der Standardvertragsklauseln verlangt einen Gerichtsstand in einem Mitgliedstaat der Europäischen Union und lässt betroffenen Personen zusätzlich die Gerichte ihres Aufenthaltsstaats offen. Die Rechtswahl- und Gerichtsstandsklauseln der Standardvertragsklauseln bleiben unberührt.

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragnehmer zu. Eine Änderung wird vorab mitgeteilt.

Der Auftragnehmer selbst sowie Supabase, Vercel und Stripe sind Gesellschaften mit Sitz in den Vereinigten Staaten. Die Verarbeitung findet an den genannten Orten statt; die Übermittlung stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und, soweit zertifiziert, auf das EU-US Data Privacy Framework. Siehe dazu Ziffer 10.

Telnyx setzt seinerseits eigene Unterauftragnehmer ein. Für die Spracherkennung der von uns eingesetzten Assistenten ist dies Deepgram. Der Speicherort der Daten ist über die Data-Locality-Einstellung unseres Telnyx-Kontos auf Deutschland festgelegt; ob dies auch den Ort der Berechnung umfasst, ist bei Telnyx angefragt und wird hier ergänzt, sobald die Antwort vorliegt.