Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Diese Seite ist druckfreundlich gestaltet. Über die Druckfunktion Ihres Browsers können Sie den Vertrag als PDF speichern oder ausdrucken und unterzeichnen.

Parteien

Verantwortlicher (Kunde):
Firma: _______________________________________________
Anschrift: _______________________________________________
Vertreten durch: _______________________________________________

Auftragsverarbeiter (Anbieter):
SteGra LLC, 30 North Gould Street, Sheridan, WY 82801, USA
Vertreten durch: Stephan Graf
E-Mail: info@meine-bots.de

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag über den Dienst „Notdienst-Wache“ (KI-Telefonannahme) gemäß Art. 28 DSGVO.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die KI-gestützte Annahme von Telefonanrufen für den Kunden, einschließlich der Erfassung der Anliegen der Anrufer und der Übermittlung strukturierter Auftrags-Tickets per E-Mail an den Kunden.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, vorbehaltlich der Lösch- und Rückgabepflichten nach § 5 Abs. 6.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die Entgegennahme von Anrufen, die Aufzeichnung und Transkription der Gespräche, die strukturierte Erfassung der Anrufer-Anliegen sowie die Übermittlung der Auftrags-Tickets an den Kunden. Zweck ist die Erreichbarkeit des Kunden außerhalb seiner Geschäftszeiten und bei Überlauf sowie die Qualifizierung eingehender Anfragen.

Anrufer werden zu Gesprächsbeginn durch eine Ansage darüber informiert, dass eine KI spricht und dass das Gespräch zur Erstellung des Auftrags-Tickets aufgezeichnet und transkribiert wird. Audioaufzeichnung und Transkript werden spätestens 90 Tage nach dem Anruf gelöscht, sofern der Verantwortliche keine frühere Löschung weist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 3 Kategorien personenbezogener Daten

Name der Anrufer
Rufnummer (Rückrufnummer)
Adresse (Einsatzort)
Anliegen und Dringlichkeit (Gesprächsinhalt)
Audioaufzeichnung und Transkript des Gesprächs

§ 4 Kategorien betroffener Personen

Anrufer des Kunden (insbesondere Kunden, Interessenten und Geschäftspartner des Kunden).

§ 5 Pflichten des Auftragsverarbeiters

(1) Weisungsbindung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Rechtsvorschriften zur Verarbeitung verpflichtet ist. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

(2) Vertraulichkeit: Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter trifft die in der Anlage (TOMs) beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

(4) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.

(5) Meldung von Verletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

(6) Löschung und Rückgabe: Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Unterauftragsverarbeiter	Leistung	Hinweis
ElevenLabs Inc.	KI-Sprachverarbeitung	EU-Datenresidenz-Option; Drittlandtransfer möglich
Google Gemini	Sprachmodell innerhalb von ElevenLabs	Drittlandtransfer möglich
Twilio Inc.	Telefonie	Drittlandtransfer möglich
Stripe Inc.	Zahlungsabwicklung	Drittlandtransfer möglich
Netlify Inc.	Hosting, Formulare	Drittlandtransfer möglich
Resend	E-Mail-Versand	Region EU (eu-west-1)
MongoDB Atlas	Datenbank (Phase 2)	EU-Region wählbar

(2) Soweit Daten in Drittländer (insbesondere die USA) übermittelt werden, erfolgt dies auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. – soweit anwendbar – einer Zertifizierung nach dem EU-U.S. Data Privacy Framework.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragsverarbeiter; der Verantwortliche kann der Änderung aus wichtigem Grund widersprechen.

§ 7 Kontrollrechte des Verantwortlichen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Kontrollen erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten; vorrangig werden geeignete Nachweise (z. B. Dokumentationen, Berichte) bereitgestellt.

§ 8 Haftung

Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags (AGB) sowie nach Art. 82 DSGVO.

Anlage: Technische und organisatorische Maßnahmen (TOMs)

Verschlüsselung: Übertragung personenbezogener Daten ausschließlich über verschlüsselte Verbindungen (Verschlüsselung in Transit, TLS).
Zugriffskontrollen: Zugriff auf Systeme und Daten nur für befugte Personen nach dem Need-to-know-Prinzip; Authentifizierung mit individuellen Zugangsdaten.
Mandantentrennung: Logische Trennung der Daten verschiedener Kunden.
Protokollierung: Protokollierung relevanter Verarbeitungs- und Zugriffsvorgänge zur Nachvollziehbarkeit.

Unterschriften

________________________________________
Ort, Datum, Unterschrift Verantwortlicher (Kunde)

________________________________________
Ort, Datum, Unterschrift Auftragsverarbeiter (SteGra LLC)

Stand: Juni 2026