Auftragsverarbeitungsvertrag (AVV)

zwischen

dem Kunden (nachfolgend “Verantwortlicher”)

und

Voximo, Maximilianstr. 1, 89231 Neu-Ulm (nachfolgend “Auftragsverarbeiter” oder “Voximo”)

(gemeinsam “Parteien”)

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Voximo Voice AI Plattform. Gegenstand der Verarbeitung ist die Erbringung von KI-gestützten Sprachassistenz-Diensten (Voice Agents) gemäß dem zwischen den Parteien geschlossenen Hauptvertrag (Nutzungsvertrag/AGB).

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages. Mit Beendigung des Hauptvertrages endet auch dieser Auftragsverarbeitungsvertrag.

(3) Dieser AVV wird mit Abschluss des Hauptvertrages (Registrierung und Tarifauswahl) wirksam und bedarf keiner gesonderten Unterzeichnung.

(1) Die Verarbeitung erfolgt zum Zweck der automatisierten Anrufannahme und -bearbeitung durch KI-gestützte Sprachassistenten im Auftrag des Verantwortlichen.

(2) Die Art der Verarbeitung umfasst:

• Echtzeit-Spracherkennung (Speech-to-Text)
• Verarbeitung durch Sprachmodelle (LLM)
• Sprachsynthese (Text-to-Speech)
• Speicherung von Anrufmetadaten und Transkripten
• Analyse und Auswertung von Anrufdaten

Die folgenden Arten personenbezogener Daten werden verarbeitet:

• Telefonnummern der Anrufer
• Sprachaufnahmen und Transkripte der Gespräche
• Anrufmetadaten (Zeitpunkt, Dauer, Status)
• Vom Anrufer im Gespräch genannte Informationen (z.B. Name, Anliegen, Terminwünsche)
• Kontodaten des Kunden (E-Mail, Firmenname, Adresse)

Betroffen von der Verarbeitung sind:

• Anrufer (Kunden und Interessenten des Verantwortlichen)
• Mitarbeiter des Verantwortlichen (als Kontoadministratoren)

(1) Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO).

(2) Der Verantwortliche informiert seine Anrufer über die Verarbeitung ihrer Daten durch den Auftragsverarbeiter (Informationspflicht nach Art. 13, 14 DSGVO).

(3) Der Verantwortliche erteilt dem Auftragsverarbeiter alle Weisungen bezüglich der Verarbeitung personenbezogener Daten schriftlich oder in Textform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

(4) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses AVV beim Auftragsverarbeiter zu überprüfen (Audit-Recht gemäß Art. 28 Abs. 3 lit. h DSGVO).

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(3) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe § 8).

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).

(5) Nach Beendigung des Auftrags löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(6) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen/Audits.

(7) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

(3) Aktuelle Liste der Unterauftragsverarbeiter:

(4) Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

Der Auftragsverarbeiter trifft folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO:

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte nach Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieser die Anfrage unverzüglich an den Verantwortlichen weiterleiten.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nachzukommen.

(1) Dieser AVV tritt mit Abschluss des Hauptvertrages in Kraft und gilt für die Dauer des Hauptvertrages.

(2) Das Recht zur außerordentlichen Kündigung bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragsverarbeiter wesentliche Bestimmungen dieses AVV oder datenschutzrechtliche Pflichten nicht einhält.

(3) Nach Beendigung des AVV hat der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben. Die Löschung ist dem Verantwortlichen schriftlich zu bestätigen.

(4) Daten, deren Aufbewahrung nach Unionsrecht oder dem Recht der Mitgliedstaaten vorgeschrieben ist, sind von der Löschungspflicht ausgenommen. Der Auftragsverarbeiter informiert den Verantwortlichen über solche Aufbewahrungspflichten.