Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten zur Erbringung des Dienstes KI-Telefonassistent Telofia für die Laufzeit des Vertrags über die Erbringung des Dienstes sowie für den Zeitraum, der nach dessen Beendigung zur Löschung oder Rückgabe der Daten erforderlich ist.

2. Art und Zweck der Verarbeitung

Annahme und Führung von Telefon- und Webgesprächen, Spracherkennung und Sprachsynthese, Erzeugung von Antworten durch Sprachmodelle, Terminvereinbarung und Weiterleitung von Gesprächen, Versand gesprächsbezogener SMS und E-Mails, Erstellung von Aufzeichnungen (sofern der Verantwortliche sie aktiviert hat), Transkripten, Zusammenfassungen und Qualitätsbewertungen von Gesprächen, Speicherung des Gesprächsverlaufs sowie Synchronisierung mit vom Verantwortlichen verbundenen Integrationen.

3. Kategorien von Daten und betroffenen Personen

Betroffene Personen: Personen, die den Verantwortlichen anrufen oder mit seinem Assistenten sprechen, Kunden und Kontakte des Verantwortlichen sowie dessen Personal.

Datenkategorien: Telefonnummern, Vor- und Nachnamen, E-Mail-Adressen, Sprachaufzeichnungen, Transkripte und Zusammenfassungen von Gesprächen, Einzelheiten zu Terminen und Anliegen sowie sonstige von den Gesprächspartnern mitgeteilte Informationen. Der Verantwortliche sollte den Assistenten nicht so konfigurieren, dass besondere Kategorien von Daten (Art. 9 DSGVO) erhoben werden, sofern dies nicht erforderlich ist und keine Rechtsgrundlage dafür besteht.

4. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; als solche gelten insbesondere die AGB, dieser AVV und die vom Verantwortlichen im Dashboard gewählten Einstellungen (z. B. Aktivierung der Aufzeichnung, Speicherdauer, Integrationen). Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich darüber.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter: stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben; trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO); unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen sowie bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten; verwendet die anvertrauten Daten nicht für eigene Zwecke, einschließlich des Trainings von Modellen künstlicher Intelligenz.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der auf der Seite zu den Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die nicht weniger streng sind als die dieses AVV, und haftet für deren Handlungen wie für eigene. Über beabsichtigte Änderungen der Liste informiert der Auftragsverarbeiter mindestens 14 Tage im Voraus; der Verantwortliche kann innerhalb dieser Frist begründeten Widerspruch einlegen und, falls keine Einigung erzielt wird, den Vertrag kündigen.

7. Übermittlung von Daten an Drittländer

Die Daten werden vorrangig in der EU (Frankfurt) gespeichert. Eine Übermittlung von Daten außerhalb des Europäischen Wirtschaftsraums erfolgt ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des Datenschutzrahmens EU-USA) oder von Standardvertragsklauseln zusammen mit ergänzenden Maßnahmen.

8. Sicherheitsmaßnahmen

Verschlüsselung bei der Übertragung und im Ruhezustand, Verschlüsselung von Integrationstoken, Zugriffskontrolle und Prinzip der minimalen Berechtigungen, logische Trennung der Kundendaten, privater Speicher für Aufzeichnungen mit Zugriff über kurzlebige signierte Links, Ereignisprotokollierung, Backups, Schwachstellenmanagement sowie Verfahren zur Reaktion auf Sicherheitsvorfälle.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich – nach Möglichkeit innerhalb von 48 Stunden –, nachdem er eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, und stellt die Informationen bereit, die der Verantwortliche für die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen benötigt.

10. Speicherung, Löschung und Rückgabe der Daten

Aufzeichnungen und Transkripte werden für den vom Verantwortlichen im Dashboard festgelegten Zeitraum (Datenschutzmodus) oder bis zu ihrer Löschung durch den Verantwortlichen gespeichert. Nach Beendigung des Vertrags gibt der Auftragsverarbeiter – nach Wahl des Verantwortlichen, mitgeteilt an support@aiagenthub.pl – die anvertrauten Daten innerhalb von 30 Tagen zurück oder löscht sie, sofern nicht Rechtsvorschriften ihre weitere Speicherung vorschreiben.

11. Audits und Haftung

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten erforderlich sind, und ermöglicht Audits, einschließlich Inspektionen, nach vorheriger Ankündigung mit einer Frist von mindestens 14 Tagen und höchstens einmal jährlich (sofern keine Verletzung des Schutzes personenbezogener Daten vorliegt). Für die Haftung der Parteien gelten die Bestimmungen der AGB, vorbehaltlich Art. 82 DSGVO.