Auftragsverarbeitungsvertrag (AVV)

Version 1.2. Dieser Vertrag gilt zwischen dir als Verantwortlichem und uns als Auftragsverarbeiter, sobald du botbuildr nutzt, um personenbezogene Daten deiner eigenen Kunden oder Websitebesucher zu verarbeiten. Er ergänzt die AGB.

1. Parteien

Verantwortlicher: du als Nutzer von botbuildr (nachfolgend „Auftraggeber").
Auftragsverarbeiter: Auffarth Systems LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, USA · EU-Vertreter nach Art. 27 DSGVO: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wien, Österreich

Weiterverkauf durch Partner. Setzt ein Partner botbuildr ein, um Assistenten für seine eigenen Kunden zu bauen und weiterzuverkaufen, ist der Partner gegenüber seinem Kunden Auftragsverarbeiter, und wir werden insoweit Unterauftrags­verarbeiter des Partners. Der Partner schließt mit seinem Kunden eine eigene Vereinbarung; die vorliegende gilt zwischen ihm und uns.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der botbuildr-Plattform: Erstellen und Betreiben von KI-Assistenten für Website-Chat, Telefon und E-Mail-Postfach, deren Einbindung auf Websites des Auftraggebers oder seiner Kunden, die Weiterleitung erfasster Daten an vom Auftraggeber selbst gewählte Zielsysteme sowie Werkzeuge für seine Akquise und Kundenpflege. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.

3. Art, Umfang und Zweck der Verarbeitung

• Entgegennahme von Chat-Nachrichten der Websitebesucher und Übermittlung an das KI-Modell zur Erzeugung einer Antwort.
• Weiterleitung der vom Agenten erfassten Angaben (z. B. Name, E-Mail, Telefon, Anliegen) an die vom Auftraggeber konfigurierten Ziele (z. B. Automatisierungsdienst, Tabelle, E-Mail).
• Einrichtung von Assistenten: Abruf der vom Auftraggeber angegebenen Website und Übermittlung ihres Textes sowie seiner Angaben zum Betrieb an das KI-Modell, um daraus auf seine Veranlassung einen Assistenten zu bauen und Vorschläge für dessen Einstellungen zu erzeugen, etwa für Leistungen, häufige Fragen, Begrüßung, Öffnungszeiten, Notfälle oder die Signatur des Postfachs. Ein Vorschlag wird erst gespeichert, wenn der Auftraggeber ihn übernimmt. Ein Website-Text, der nur für einen Vorschlag abgerufen wird, wird nicht gespeichert.
• Erhebung aggregierter Nutzungskennzahlen ohne Bezug zu einzelnen Personen (Anzahl Gespräche, Nachrichten, Tokens und Gesprächsminuten sowie festgehaltener Anfragen und Termine, je Agent und Kalendertag) zur Abrechnung, zur Missbrauchsabwehr und für die Übersicht des Auftraggebers in der Anwendung. Diese Kennzahlen werden mit dem jeweiligen Agenten gelöscht.
• Telefon-Assistent (nur für freigeschaltete Konten): Annahme eingehender Anrufe, Umwandlung des Gesprochenen in Text, Erzeugung der Antwort durch das KI-Sprachmodell und Ausgabe als Sprache. Die dabei genannten Angaben werden wie im Chat an die vom Auftraggeber konfigurierten Ziele übermittelt, insbesondere in dessen Kalender. Möchte ein Anrufer einen bereits gebuchten Termin verschieben oder absagen, wird dieser im Kalender des Auftraggebers anhand der beim Buchen hinterlegten Rufnummer gesucht und auf die neue Zeit umgetragen oder, nach ausdrücklicher Bestätigung des Anrufers, aus dem Kalender entfernt. Buchung, Verschiebung und Rückrufbitte kann der Assistent dem Anrufer per SMS bestätigen (Ziffer 5b).
• Beantragung einer eigenen Rufnummer (nur beim Telefon-Assistenten): Entgegennahme der Angaben und Nachweise des Betriebs und Einreichung beim Telefonanbieter im Namen des Betriebs auf dessen ausdrückliche Weisung. Die Nachweise werden dabei nicht bei uns gespeichert (Ziffer 5c).
• Dateien von Websitebesuchern und Anrufern (nur wenn der Auftraggeber sie je Agent aktiviert): Entgegennahme einer im Chat angehängten oder über einen zugeschickten Link nachgereichten Datei (Bild oder PDF), Ablage bis zur automatischen Löschung nach sieben Tagen (Ziffer 5) und Weiterleitung an die vom Auftraggeber konfigurierten Ziele. Der Inhalt der Dateien wird nicht ausgewertet.
• Postfach-Assistent (nur für Postfächer, für die er nach Ziffer 5d eingeschaltet ist): Lesen eingehender E-Mails dieses Postfachs samt Anhängen, auch eingescannter Dokumente per Texterkennung, um sie einzuordnen, zu markieren und in Ordner des Postfachs zu verschieben; Zusammenfassen für eine Übersicht; Anlegen von Antwortentwürfen im Postfach und Versand eines Entwurfs, wenn der Auftraggeber oder eine von ihm berechtigte Person ihn einzeln freigibt; Weiterleiten oder Ablegen von E-Mails und Anhängen an Ziele, die der Auftraggeber selbst bestimmt hat, nach Regeln, die er selbst festlegt.
• Akquise-Funktion (nur für freigeschaltete Konten): Speicherung der vom Auftraggeber hochgeladenen Kontaktliste, Abruf der darin genannten Websites, Erzeugung einer Demo je Betrieb und Versand der vom Auftraggeber einzeln freigegebenen Nachricht über dessen eigenes Postfach.
• Demos: Der Auftraggeber erfährt, ob und wann eine seiner Demos geöffnet oder darin geschrieben wurde, in seiner Übersicht, beim zugehörigen Betrieb in Akquise und CRM sowie per Meldung, und zwar per E-Mail oder, wenn der Auftraggeber es selbst verbindet, über Telegram (Ziffer 9, letzter Absatz). Die Meldung enthält keinen Gesprächsinhalt. Dazu speichern wir je Besuch eine Zufallskennung, die Zahl der Nachrichten, Zeitpunkte und einen Vermerk, ob ein Mensch die Demo geöffnet hat, und löschen diese Angaben 180 Tage nach dem jeweiligen Besuch automatisch, mit der Demo auch früher. Ob Gesprächsverläufe einer Demo gespeichert werden, richtet sich nach Ziffer 5.
• CRM (Vertriebspipeline): Speicherung der vom Auftraggeber selbst erfassten oder aus seiner Akquise übernommenen Geschäftskontakte, ihrer Stufe in seiner Pipeline, seiner Notizen dazu sowie der von ihm festgehaltenen Anrufergebnisse und Wiedervorlagen. Ein Betrieb, an den über die Akquise-Funktion eine Mail hinausgegangen ist, wird dabei automatisch als Kontakt angelegt. Telefoniert wird über das Gerät des Auftraggebers; wir stellen keine Verbindung her, zeichnen keine Gespräche auf und hören nicht mit.
• Zugänge für Beschäftigte und Kunden des Auftraggebers: Der Auftraggeber kann persönliche Zugänge anlegen, für eigene Beschäftigte sowie für seine Kunden und deren Beschäftigte. Über einen Zugang für einen Kunden sind ausschließlich die Daten dieses Kunden einsehbar, dazu bei Rückrufbitten die Namen der Zugänge dieses Kunden, die dafür zuständig sein können (nächster Punkt). Über einen Zugang lassen sich eingegangene Gespräche und Anrufe, daraus erfasste Angaben, Termine und offene Aufgaben einsehen, Aufgaben abhaken und Notizen anlegen, Rückrufbitten einem Zugang zuweisen, beim Postfach-Assistenten auch Entwürfe freigeben. Weitere Rechte legt der Auftraggeber je Zugang selbst fest, etwa Agenten bearbeiten, Rufnummer und Umleitung einrichten, Einstellungen zum Datenschutz ändern oder, bei Zugängen für eigene Beschäftigte, Tarif und Abrechnung verwalten. Daten anderer Kunden sind über einen Zugang nie einsehbar oder änderbar. Zum Betrieb der Zugänge verarbeiten wir Anmeldedaten, Zugriffszeitpunkte und ein Protokoll der Aktionen.
• Zuständigkeit für Rückrufbitten: Der Auftraggeber und Zugänge mit Zugriff auf den jeweiligen Vorgang können eine Rückrufbitte einem Zugang zuweisen. Gespeichert wird dazu am Vorgang nur, welcher Zugang zuständig ist, bis die Zuweisung geändert oder der Zugang gelöscht wird, spätestens mit den Verbindungsdaten nach Ziffer 5b. Der zugewiesene Zugang erhält eine E-Mail mit dem Namen des Betriebs, der Vorgangsnummer und einem Link, ohne Angaben des Anrufers. Wer den Vorgang sehen darf, sieht dabei die Namen der Zugänge, denen er ihn zuweisen kann. Über einen Zugang für einen Kunden sind das nur Zugänge desselben Kunden; ist die Rückrufbitte einem Zugang zugewiesen, den der Auftraggeber für sein ganzes Konto angelegt hat, ist dort nur erkennbar, dass sie beim Auftraggeber liegt, nicht bei wem.

4. Kategorien betroffener Personen und Datenarten

• Betroffene: Websitebesucher und Interessenten des Auftraggebers bzw. seiner Endkunden.
• Datenarten: Inhalte der Chat-Eingaben sowie die darin freiwillig angegebenen Kontaktdaten (typischerweise Name, E-Mail-Adresse, Telefonnummer, Anliegen); technische Verbindungsdaten.
• Beim Telefon-Assistenten zusätzlich: die Stimme des Anrufers während des Gesprächs, deren Umschrift in Text, die gewählte, die weitergeleitete und die anrufende Rufnummer sowie Beginn, Ende und Dauer des Anrufs, eine je Agent fortlaufende Vorgangsnummer und das Ergebnis des Anrufs (etwa Termin gebucht oder Rückruf erbeten). Die anrufende Rufnummer wird während des Gesprächs verwendet, um einen bereits gebuchten Termin desselben Anrufers wiederzufinden und, soweit die Speicherung für den Chat oder das Mitschreiben für Telefonate eingeschaltet ist, einen früheren Chat oder Anruf desselben Anschlusses beim selben Agenten (Ziffer 5); gespeichert wird sie dabei nicht. Gespeichert wird eine Rufnummer des Anrufers nur, solange ein per SMS verschickter Link zum Nachreichen von Fotos gilt (Ziffer 5), und als Teil des Vorgangs, wenn das Mitschreiben eingeschaltet ist (Ziffer 5b). Für die Wiedererkennung von Anruf zu Anruf wird aus ihr ein Schlüssel gebildet und 30 Tage gespeichert, nicht die Rufnummer selbst (Ziffer 5).
• Bei der Beantragung einer Rufnummer zusätzlich: Name, Registernummer, Anschrift und Website des Betriebs, Name und E-Mail-Adresse einer Ansprechperson sowie der hochgeladene Nachweis, der bei einem Einzelunternehmen Name und Anschrift des Inhabers enthalten kann.
• Bei aktivierter Dateiannahme zusätzlich: Inhalte der übermittelten Dateien sowie deren Dateiname, Typ und Größe.
• Beim Postfach-Assistenten zusätzlich: Absender und Empfänger der E-Mails im eingeschalteten Postfach sowie Inhalt, Betreff, Zeitpunkt und Anhänge der Nachrichten, einschließlich des per Texterkennung daraus gewonnenen Textes. Diese können besondere Kategorien personenbezogener Daten und Berufsgeheimnisse enthalten (siehe unten und Ziffer 7). Dazu von den Nutzern der Anwendung, die einen Entwurf oder eine Zuordnung freigeben, die Kennung ihres Zugangs.
• Bei der Akquise-Funktion zusätzlich: geschäftliche Kontaktdaten der vom Auftraggeber hochgeladenen Betriebe (Firmenname, Website, geschäftliche E-Mail-Adresse, Telefonnummer, gegebenenfalls Name eines Ansprechpartners) sowie der Versandstand je Betrieb.
• Bei Demos zusätzlich: Interessenten, denen der Auftraggeber eine Demo schickt; je Besuch eine Zufallskennung, die bei jedem Aufruf neu entsteht, die Zahl der Nachrichten, Zeitpunkte und ein Vermerk, ob ein Mensch die Demo geöffnet hat (Ziffer 3). Gesprächsinhalt, IP-Adresse und Name gehören nicht zu diesen Besuchsangaben; für das Gespräch in der Demo selbst gelten die Datenarten oben und Ziffer 5.
• Bei der CRM-Funktion zusätzlich: Ansprechpartner der vom Auftraggeber erfassten Betriebe; Datenarten sind Firmenname, Name, geschäftliche E-Mail-Adresse und Telefonnummer, dazu die vom Auftraggeber selbst eingetragene Pipeline-Stufe, seine Notizen, Anrufversuche und Wiedervorlagetermine.
• Bei Zugängen zusätzlich: die Personen, denen der Auftraggeber einen Zugang erteilt hat, also eigene Beschäftigte, Kunden und deren Beschäftigte; Datenarten sind Name, E-Mail-Adresse, das Passwort ausschließlich als kryptografischer Hash, Zeitpunkt der letzten Anmeldung, ein Protokoll der Anmeldungen und Aktionen zur Nachvollziehbarkeit und Missbrauchsabwehr sowie bei Rückrufbitten, welcher Zugang zuständig ist (Ziffer 3).
• Bei der Einrichtung von Assistenten zusätzlich: der Text der angegebenen Website des Betriebs, der Namen und Kontaktdaten von Inhabern, Beschäftigten oder anderen dort genannten Personen enthalten kann, sowie die Angaben des Auftraggebers zum Betrieb (Ziffer 3).

Im Chat weist der Auftraggeber die Betroffenen darauf hin, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) einzugeben; der Chat ist dafür nicht vorgesehen.

Am Telefon und im Postfach ist dieser Hinweis nicht durchsetzbar. Wer bei einer Praxis anruft oder ihr schreibt, nennt seinen Anlass und schickt mit, was er für nötig hält, und das können Gesundheitsdaten sein. Deshalb sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), insbesondere Gesundheitsdaten, von der Verarbeitung am Telefon und durch den Postfach-Assistenten ausdrücklich umfasst, soweit Anrufer oder Absender sie von sich aus mitteilen. Für die Zulässigkeit der zugrunde liegenden Verarbeitung, insbesondere für eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO, bleibt der Auftraggeber als Verantwortlicher zuständig. Für Berufsgeheimnisse gilt Ziffer 7.

Keine Stimmerkennung. Wir erstellen, speichern und vergleichen keine Stimmprofile und setzen kein Verfahren ein, das eine Person anhand ihrer Stimme wiedererkennt. Sprachdaten werden ausschließlich zur Umwandlung in Text und zur Sprachausgabe verarbeitet. Eine Unterscheidung von Anrufer und Assistent innerhalb eines Gesprächs dient der Gesprächsführung und ermöglicht keine Wiedererkennung darüber hinaus. Biometrische Daten zur eindeutigen Identifizierung im Sinne von Art. 4 Nr. 14 DSGVO entstehen dabei nach unserem Verständnis nicht.

Verantwortung für Ansprache und Inhalt. Wen der Auftraggeber anschreibt oder anruft, entscheidet er allein. Ihn treffen die Informationspflicht nach Art. 14 DSGVO gegenüber den erfassten Personen und die Anforderungen an geschäftliche Ansprache, bei Anrufen insbesondere § 7 UWG: gegenüber Unternehmen eine mutmaßliche, gegenüber Privatpersonen eine ausdrückliche Einwilligung. Seine Notizen sind seine Notizen; wir lesen sie nicht und werten sie nicht aus.

Verantwortung für erteilte Zugänge. Wer einen Zugang erhält, entscheidet allein der Auftraggeber. Er stellt sicher, dass nur Personen einen Zugang bekommen, die die Daten zur Arbeit brauchen, und entzieht ihn unverzüglich, wenn die Person ausscheidet oder die Aufgabe entfällt. Wir legen, ändern und entziehen Zugänge nicht von uns aus; wir stellen dem Auftraggeber dafür die Funktion bereit und protokollieren die Anmeldungen.

5. Speicherung von Gesprächsinhalten und Dateien

Die Plattform ist auf Datensparsamkeit ausgelegt. Ob Gesprächsinhalte gespeichert werden, entscheidet der Auftraggeber selbst, je Agent und je Kanal.

• Gesprächsverläufe. Gespeichert werden der Nachrichtenverlauf, von der betroffenen Person selbst angegebene Kontaktdaten sowie Zeitpunkt und Kanal des Gesprächs. Die Aufbewahrungsdauer legt der Auftraggeber fest; sie beträgt zwischen 30 und 180 Tagen, voreingestellt 90 Tage. Nach Ablauf werden die Verläufe automatisiert und ersatzlos gelöscht.
• Wiedererkennung am Telefon. Hat eine betroffene Person im Chat selbst eine Rufnummer genannt, wird diese in verkürzter Form beim Gesprächsverlauf gespeichert. Ruft später jemand von diesem Anschluss an, erhält der Telefon-Assistent eine Kurzfassung des früheren Chats desselben Agenten, damit das Anliegen nicht erneut geschildert werden muss. Ebenso erkennt der Telefon-Assistent einen Anschluss, von dem aus in den letzten 30 Tagen schon bei demselben Agenten angerufen wurde: Er erhält dann das Anliegen und die Art des Ergebnisses des früheren Anrufs, nicht aber den dazu erfassten Namen und den Termin. Rufnummern, E-Mail-Adressen und Anschriften werden aus dem Anliegen herausgefiltert; andere Angaben im Anliegen selbst, etwa ein Name oder eine Uhrzeit, können darin bleiben. Er kann den Anrufer einmal fragen, ob es darum geht. Dieses Anliegen wird dafür bei dem späteren Anruf erneut an das Sprachmodell übermittelt (Ziffer 5b). Am Vorgang wird vermerkt, dass von derselben Rufnummer schon ein früherer Anruf kam; der Vermerk gehört zum gespeicherten Verlauf und wird mit dessen Frist gelöscht. Die anrufende Rufnummer wird dafür nicht im Klartext gespeichert, sondern nur als Schlüssel, der je Agent verschieden ist und aus dem sich die Rufnummer ohne einen gesondert verwahrten Geheimwert nicht zurückrechnen lässt. Der Schlüssel wird 30 Tage nach dem Anruf gelöscht, und sofort, sobald das Mitschreiben für Telefonate abgeschaltet oder eine Schweigepflicht hinterlegt wird. Weil an einem Anschluss mehrere Personen anrufen können, nennt der Assistent dabei keinen Namen und spricht den früheren Kontakt von sich aus nur als Frage an; spricht der Anrufer einen früheren Anruf selbst an, bestätigt er ihn. Eine andere Person am selben Anschluss kann so aber erfahren, dass es den früheren Kontakt gab, worum es ging und bei einem früheren Anruf auch ungefähr, wann er war. Ein Abgleich über mehrere Agenten oder Auftraggeber findet nicht statt. Die Wiedererkennung aus dem Chat entfällt, solange die Speicherung für den Chat abgeschaltet ist, die von Anruf zu Anruf, solange das Mitschreiben für Telefonate abgeschaltet ist, und beide bei Agenten mit hinterlegter Schweigepflicht.
• Voreinstellung bei neuen Agenten: Speicherung aktiv. Für Agenten, die ab dem im Kopf genannten Stand angelegt werden, ist die Speicherung je Kanal voreingestellt, damit der Auftraggeber Anfragen nachvollziehen kann. Er kann sie jederzeit je Agent und je Kanal abschalten. Ist sie abgeschaltet, werden Nachrichten ausschließlich zur Beantwortung verarbeitet und an das KI-Modell übermittelt; eine Ablage der Gesprächsinhalte in unserer Datenbank findet dann nicht statt. Für Agenten, die vor diesem Stand angelegt wurden, bleibt die bisherige Einstellung unverändert; sie werden nicht umgestellt.
• Gesperrt bei Berufsgeheimnisträgern. Ist an einem Agenten eine Schweigepflicht nach § 203 StGB hinterlegt, ist die Speicherung von Gesprächsinhalten unabhängig von der Voreinstellung ausgeschlossen und lässt sich nicht aktivieren.
• Keine Tonaufnahme. Telefonate werden nicht als Audio aufgezeichnet. Die Verarbeitung der Sprache erfolgt flüchtig zur Erzeugung des Textes; gespeichert wird ausschließlich Text.
• Die Einstellung ist eine Entscheidung des Auftraggebers. Er ist dafür verantwortlich, die betroffenen Personen darüber zu informieren, insbesondere in seiner eigenen Datenschutzerklärung. Wir stellen dafür einen Textbaustein bereit.
• Links zum Nachreichen per SMS. Ist die Dateiannahme für einen Agenten aktiviert, kann der Telefon-Assistent einem Anrufer während des Gesprächs per SMS einen Link schicken, über den er Fotos oder Unterlagen zu seinem Vorgang nachreicht. Hat der Auftraggeber zusätzlich die SMS nach dem Anruf aktiviert, geht ein solcher Link auch mit, wenn im Gespräch ein Termin, eine Verschiebung oder eine Rückrufbitte zustande kam, mit der Bestätigung (Ziffer 5b) oder nach dem Gespräch. Die SMS geht an die Rufnummer, die der Anrufer dafür im Gespräch nennt, sonst an die, von der aus angerufen wurde. Gespeichert werden diese Rufnummer, der Anlass, der Zeitpunkt und die Vorgangsnummer, bis der Link abläuft, gelöscht spätestens am Folgetag. Der Versand erfolgt über den in Ziffer 9 genannten Telefonie-Anbieter. Bei Agenten mit hinterlegter Schweigepflicht sind beide Wege ausgeschlossen, auch wenn dort die Bestätigung per SMS eingeschaltet ist (Ziffer 5b).
• Erfasste Kontaktdaten (Leads) werden nicht gesondert bei uns gespeichert, sondern unmittelbar an das vom Auftraggeber konfigurierte Zielsystem übermittelt. Wir zählen lediglich, wie viele Übermittlungen stattgefunden haben. Ist die Speicherung von Gesprächsverläufen eingeschaltet, sind sie Teil des gespeicherten Verlaufs.
• Darüber hinaus gespeichert werden aggregierte Kennzahlen ohne Personenbezug, zu Demos die Besuchsangaben ohne Gesprächsinhalt aus Ziffer 3 sowie die vom Auftraggeber selbst hinterlegten Inhalte (z. B. Wissensdatenbank, Agenten-Konfiguration).

Gespeicherte Verläufe sind je Agent getrennt. Eine agentenübergreifende Zusammenführung oder ein Abgleich von Gesprächen verschiedener Auftraggeber findet nicht statt. Der Auftraggeber kann einzelne Verläufe jederzeit selbst löschen, insbesondere zur Erfüllung von Löschverlangen betroffener Personen.

Dateien. Eine im Chat angehängte oder über einen Link nachgereichte Datei wird nach sieben Tagen automatisch gelöscht, spätestens am Folgetag. Für Anhänge, die der Postfach-Assistent an ein Ziel zustellen soll, gilt Ziffer 5d. Nachweise für die Beantragung einer Rufnummer werden nicht gespeichert (Ziffer 5c). Dateien liegen auf Servern in Deutschland und werden zusätzlich mit dem Agenten und mit dem Konto gelöscht.

Zugriff durch uns. Ein Zugriff unsererseits auf das Konto des Auftraggebers und auf gespeicherte Gesprächsinhalte erfolgt ausschließlich zu folgenden Zwecken: Störungsbeseitigung, Fehlersuche, Sicherheit des Dienstes sowie Prüfung und Verbesserung der Qualität der Verarbeitung. Der Auftraggeber erteilt uns hierfür mit diesem Vertrag eine dauerhafte Weisung nach Art. 28 Abs. 3 lit. a DSGVO; einer Freigabe im Einzelfall bedarf es nicht. Inhalte aus Postfächern sind davon ausgenommen (Ziffer 5d).

Eine Nutzung zu eigenen Zwecken findet nicht statt. Insbesondere werden Inhalte weder zum Training von KI-Modellen verwendet noch für eigene Werbung oder die Ansprache der Kunden des Auftraggebers ausgewertet, und es findet keine Zusammenführung von Daten verschiedener Auftraggeber statt. Jeder Zugriff wird protokolliert. Der Auftraggeber kann das Protokoll der Zugriffe auf sein Konto jederzeit anfordern.

Mit einer Ausnahme, die nicht für Agenten mit hinterlegter Schweigepflicht gilt: Führt ein Agent erstmals ein Gespräch auf einer Website, halten wir den Zeitpunkt am Konto des Auftraggebers fest und melden mit dessen Einwilligung zur Messung unserer eigenen Werbung nur, dass es geschah, ohne Inhalt, ohne Angaben zu der Person, mit der er es führt, und ohne die Adresse der Website.

Auswertung häufiger Fragen. Zusätzlich werden die gespeicherten Verläufe eines Agenten automatisiert ausgewertet, um dem Auftraggeber wiederkehrende Fragen und Lücken in seiner Wissensbasis anzuzeigen. Diese Auswertung erfolgt getrennt je Agent, ausschließlich für den jeweiligen Auftraggeber, ohne menschliche Kenntnisnahme und ohne Zusammenführung mit den Daten anderer Auftraggeber. Sie entfällt, solange die Speicherung für den Agenten abgeschaltet ist.

Für Agenten, an denen eine Schweigepflicht nach § 203 StGB hinterlegt ist, ist das Mitschreiben von Chats und Telefonaten technisch abgeschaltet; es entstehen keine Gesprächsinhalte, auf die zugegriffen werden könnte. Im Übrigen gilt Ziffer 7.

5a. Ausnahme: hochgeladene Kontaktlisten und CRM-Kontakte

Nutzt der Auftraggeber die Akquise-Funktion, lädt er selbst eine Liste von Betrieben hoch. Diese Angaben werden bei uns gespeichert, weil die Funktion sonst nicht arbeiten kann. Dafür gilt:

• Zweckbindung: Verwendung ausschließlich für den Auftrag des Auftraggebers. Keine eigene Nutzung, keine Weitergabe, keine Zusammenführung mit anderen Listen, kein Training von KI-Modellen.
• Löschfrist: Jede Liste wird spätestens 30 Tage nach dem Hochladen vollständig gelöscht, auch wenn sie nicht abgearbeitet wurde. Der Auftraggeber kann sie jederzeit vorher löschen. Die Löschung ist automatisiert und erfordert keine Anforderung. Daraus gebaute Agenten und Demos bleiben im Konto des Auftraggebers, bis er sie löscht.
• CRM-Kontakte bleiben, bis der Auftraggeber sie löscht oder sein Konto endet. Jeder Kontakt lässt sich einzeln löschen, mit dem Konto fällt alles weg.
• Versand: Nachrichten gehen aus dem eigenen Postfach des Auftraggebers und unter seiner Absenderangabe raus. Jede einzelne Nachricht gibt er selbst frei, sofort oder für einen von ihm gewählten Zeitpunkt; einen automatischen Massenversand gibt es nicht. Wir versenden nichts im eigenen Namen.
• Verantwortlichkeit: Für Auswahl, Herkunft und Rechtmäßigkeit der Liste ist allein der Auftraggeber verantwortlich. Ihn treffen insbesondere die Informationspflicht nach Art. 14 DSGVO gegenüber den aufgenommenen Betrieben und die Anforderungen an geschäftliche Ansprache (u. a. § 7 UWG).
• Keine besonderen Kategorien: Die Funktion ist auf geschäftliche Kontaktdaten ausgelegt. Daten zu Privatpersonen und Daten nach Art. 9 DSGVO gehören nicht in eine solche Liste.
• Sperrliste: Widerspricht ein angeschriebener Betrieb der Werbung, über den Abmeldelink in der Nachricht oder auf anderem Weg, nehmen wir ihn in eine plattformweite Sperrliste auf. Danach kann er von keinem Auftraggeber mehr angeschrieben werden, auch nicht aus einer anderen Liste; offene Einträge werden sofort stillgelegt. Gespeichert wird dafür nur eine Prüfsumme der E-Mail-Adresse (kein Klartext), gegebenenfalls die Domain sowie Zeitpunkt, Anlass und das Konto, aus dem die Sperre kam. Diese Verarbeitung nehmen wir als Verantwortliche vor, um einem Widerspruch dauerhaft nachzukommen (Art. 6 Abs. 1 lit. c DSGVO); die Löschfrist für Listen bleibt davon unberührt. Die Sperrliste dient ausschließlich diesem Zweck und wird zu keinem anderen genutzt.

5b. Telefon-Assistent: Sprache, Umschrift und Verbindungsdaten

Am Telefon gilt derselbe Grundsatz wie im Chat, mit einem Unterschied bei der Stimme.

• Das Gespräch wird nicht aufgezeichnet. Die Stimme wird während des Anrufs verarbeitet, um sie in Text umzuwandeln, und danach nicht abgelegt. Eine Tonaufnahme entsteht bei uns nicht und wird auch nicht gespeichert.
• Die Umschrift wird nur gespeichert, wenn das Mitschreiben für Telefonate eingeschaltet ist. Sie ist nötig, damit der Assistent dem Verlauf folgen kann. Die Wahlmöglichkeit für gespeicherte Verläufe aus Ziffer 5 gilt auch für Telefonate, allerdings über einen eigenen Schalter je Agent: Eine Einstellung für den Chat erfasst Telefonate nicht. Ist er ausgeschaltet, endet die Umschrift mit dem Anruf, und es wird nichts abgelegt. Ist er eingeschaltet, werden die Umschrift des Gesprächs, eine Kurzfassung des Ergebnisses sowie die Angaben zum Vorgang (Termin, Name, Rufnummer, Anliegen und was der Anrufer sonst dazu gesagt hat, also derselbe Inhalt wie in der Benachrichtigung des Auftraggebers) sowie Notizen, die der Auftraggeber selbst zu einem Anruf schreibt, für die dort eingestellte Frist gespeichert und danach automatisch gelöscht. Der Auftraggeber sieht sie in seiner Anrufübersicht. Gespeichert wird außerdem, an welche Stelle ein Anruf durchgestellt wurde, also der Name der Stelle, nicht ihre Rufnummer. Zur Voreinstellung bei neuen Agenten gilt Ziffer 5.
• Gespeichert werden Verbindungsdaten ohne Inhalt: welcher Agent angerufen wurde, Beginn und Dauer des Anrufs, der Grund seines Endes, eine je Agent fortlaufende Vorgangsnummer und das Ergebnis, also ob ein Termin gebucht oder verschoben oder um Rückruf gebeten wurde. Das ist die Grundlage für Abrechnung, Missbrauchsgrenzen und die Übersicht des Auftraggebers über seine Anrufe und enthält weder die Rufnummer des Anrufers noch das Gesagte. Ist das Mitschreiben für Telefonate eingeschaltet und keine Schweigepflicht hinterlegt, kommt für 30 Tage der Schlüssel aus der anrufenden Rufnummer für die Wiedererkennung nach Ziffer 5 hinzu, nicht die Rufnummer selbst. Bei einer Rückrufbitte kann außerdem vermerkt sein, welcher Zugang des Auftraggebers dafür zuständig ist (Ziffer 3). Diese Verbindungsdaten werden nach sechs Monaten automatisch gelöscht.
• Die im Gespräch genannten Angaben (Name, Rufnummer, Anliegen und was der Anrufer sonst zum Termin oder zur Rückrufbitte sagt, etwa eine Adresse) gehen bei einer Buchung oder Verschiebung unmittelbar in den Kalender des Auftraggebers. Ist dessen Benachrichtigung eingeschaltet, erhält er sie außerdem per E-Mail. Eine Rückrufbitte legt keinen Termin an; sie ist nur bei eingeschalteter Benachrichtigung möglich, und Name, Rufnummer und Anliegen gehen dann allein per E-Mail an den Auftraggeber. Für die Benachrichtigung werden die Angaben bis zum Ende des Gesprächs bei uns zwischengespeichert. Mit dem Versand werden sie gelöscht, spätestens eine Stunde nach dem Anruf, auch wenn der Versand scheitert. Eine andere Verwendung findet nicht statt, und die Umschrift des Gesprächs gehört nicht dazu. Ist das Mitschreiben eingeschaltet, bleiben sie zusätzlich als Teil des gespeicherten Verlaufs für die dort eingestellte Frist.
• Bestätigung per SMS. Bei einer Buchung, einer Verschiebung oder einer Rückrufbitte kann der Assistent dem Anrufer eine SMS schicken, mit dem Namen des Betriebs, dem Termin und der Vorgangsnummer. Sie geht an die Rufnummer, die der Anrufer dafür im Gespräch nennt, sonst an die, von der aus angerufen wurde. Bei uns gespeichert wird sie nicht. Der Versand erfolgt über den in Ziffer 9 genannten Telefonie-Anbieter, in den Vereinigten Staaten. Bei Agenten mit hinterlegter Schweigepflicht ist sie voreingestellt aus und wird nur auf Entscheidung des Verantwortlichen eingeschaltet, bei einem Kunden des Auftraggebers also dieses Kunden.
• Hinweis auf die KI zu Gesprächsbeginn. Der Assistent nennt zu Beginn jedes Anrufs, dass es sich um eine KI handelt. Dieser Hinweis ist fest hinterlegt und nicht abschaltbar. Ist das Mitschreiben eingeschaltet, sagt er auch das.

Für die Umwandlung von Sprache in Text und die Sprachausgabe setzen wir die in Ziffer 9 genannten Dienste ein, die dabei in den Vereinigten Staaten verarbeiten; siehe dazu Ziffer 14. Die Antwort erzeugt das KI-Sprachmodell von Mistral AI in der EU oder ein über unseren Dienstleister für die Gesprächsvermittlung angebundenes Sprachmodell in den Vereinigten Staaten.

Kein Speichern und kein Training entlang der ganzen Kette. Die Sprachdienste sind uns gegenüber vertraglich verpflichtet, die übermittelten Daten weder aufzubewahren noch zu protokollieren, noch sie für das Training oder die Verbesserung von KI-Modellen zu verwenden. Das gilt für das Sprachmodell von Mistral AI ebenso wie für unseren Dienstleister für die Gesprächsvermittlung, und dieser gibt die Verpflichtung an die dahinterliegenden Anbieter für Spracherkennung, Sprachmodell und Sprachausgabe weiter.

Die Telefonanbindung läuft über die EU. Eingehende Anrufe werden über den europäischen Zugangspunkt unseres Dienstleisters geführt. Der Weg des Gesprächs von der Telefonleitung bis zu uns bleibt damit innerhalb der EU; die Sprachverarbeitung selbst findet weiterhin in den Vereinigten Staaten statt.

Berufsgeheimnisträger. Es gilt Ziffer 7. Der Auftraggeber prüft eigenverantwortlich, ob der Einsatz eines Telefon-Assistenten mit seiner Berufspflicht vereinbar ist; wir raten in diesen Fällen zu einer Klärung mit der zuständigen Kammer.

5c. Beantragung einer eigenen Rufnummer für einen Betrieb

Soll ein Betrieb unter einer eigenen Rufnummer erreichbar sein, muss diese Nummer bei der Bundesnetzagentur auf ihn registriert werden. Der Telefonanbieter verlangt dafür die in Ziffer 4 genannten Angaben zum Betrieb und einen Nachweis über das Gewerbe. Ein Ausweisdokument wird nicht verlangt.

• Die hochgeladene Datei wird bei uns nicht gespeichert. Sie wird unmittelbar an den Telefonanbieter übermittelt und bei uns anschließend verworfen. Es entsteht keine Kopie in unserer Dateiablage, in unserer Datenbank oder in einer Sicherung.
• Bei uns gespeichert wird ausschließlich, für welchen Betrieb eine Beantragung läuft, welche Art von Nachweis eingereicht wurde, wann das geschah, die Vorgangskennung beim Telefonanbieter und der Stand der Prüfung. Diese Angaben brauchen wir, um dem Auftraggeber den Stand anzuzeigen und die Nummer nach der Freigabe zuzuordnen.
• Der Telefonanbieter verarbeitet diese Unterlagen nicht allein auf unsere Weisung. Er erfüllt damit zugleich eine eigene gesetzliche Pflicht gegenüber der Regulierungsbehörde und ist insoweit selbst Verantwortlicher. Für die Dauer der Aufbewahrung dort gelten seine Fristen, nicht unsere.
• Die Nummer wird auf den Betrieb registriert, aber in unserem Konto beim Telefonanbieter geführt. Der Betrieb erhält dort keinen eigenen Zugang. Gibt er die Nummer auf, veranlassen wir die Löschung der Registrierung.
• Eine Verwendung zu anderen Zwecken findet nicht statt. Die Unterlagen dienen ausschließlich der Beantragung der Rufnummer. Sie werden nicht ausgewertet, nicht weitergegeben und nicht zum Training von KI-Modellen verwendet.

Der Auftraggeber sichert zu, dass ihm der Betrieb die Unterlagen zu diesem Zweck überlassen hat.

5d. Postfach-Assistent

Der Postfach-Assistent verarbeitet E-Mails nur in Postfächern, für die er ausdrücklich eingeschaltet wurde: vom Auftraggeber oder, bei einem Postfach eines Kunden des Auftraggebers, von diesem Kunden selbst, jeweils mit der Erklärung, über das Postfach verfügen zu dürfen. Eine Verbindung zu Kalender oder E-Mail-Versand allein schaltet ihn nicht ein. Der Auftraggeber kann ihn jederzeit abschalten, bei einem Postfach eines Kunden auch der Kunde; danach werden keine E-Mails mehr gelesen. Wieder eingeschaltet wird ein solches Postfach nur mit einer neuen Erklärung des Kunden.

• Lesen und Ordnen. Der Assistent liest eingehende E-Mails samt Anhängen. Eingescannte Dokumente und Bilder macht er per Texterkennung lesbar; dafür wird derselbe KI-Dienst eingesetzt wie für die übrige Verarbeitung (Ziffer 9). Er ordnet E-Mails ein, markiert sie, verschiebt sie in Ordner des Postfachs und legt Antwortentwürfe im jeweiligen Postfach an.
• Weiterleiten und Ablegen nur nach festgelegten Regeln. Nach Regeln, die der Auftraggeber selbst festlegt, leitet der Assistent E-Mails oder Anhänge an Ziele weiter, die der Auftraggeber bestimmt hat, oder legt sie dort ab, etwa an die Beleg-Adresse seiner Buchhaltung, an eine Anbindung oder in ein Ablage- oder Buchhaltungssystem. Ohne eine solche Regel geht nichts an ein Ziel. Das KI-Modell wählt höchstens unter den Zielen, die der Auftraggeber hinterlegt hat; eine Adresse oder ein Ziel aus einer empfangenen E-Mail wird nie übernommen. Ist die Zuordnung nicht eindeutig, schlägt der Assistent sie vor, und ein Mensch bestätigt sie. Regeln und Ziele sind Weisungen des Auftraggebers im Sinne von Ziffer 6. Beim Postfach eines Kunden des Auftraggebers legt dieser Kunde Regeln und Ziele selbst fest; der Auftraggeber kann sie ihm vorschlagen, wirksam werden sie erst mit der Bestätigung des Kunden. Sie gelten dann als Weisungen des Auftraggebers, und was dieser Vertrag über Regeln und Ziele des Auftraggebers sagt, gilt für sie entsprechend.
• Das Zielsystem gehört dem Auftraggeber, beim Postfach eines Kunden diesem Kunden. Für die Verarbeitung dort ist der Inhaber des Zielsystems verantwortlich und schließt die erforderlichen Verträge selbst (Ziffer 9). Er prüft, dass die Ziele zur jeweiligen Art von Nachricht passen.
• Was gespeichert wird. Inhalte von E-Mails werden nur verarbeitet, solange es für Einordnen, Übersicht, Entwurf, Weiterleitung oder Ablage nötig ist, und nicht bei uns gespeichert. Einzige Ausnahme: Ein Anhang, der an ein Ziel zugestellt werden soll, wird bis zur Zustellung bei uns zwischengespeichert, höchstens sieben Tage, auf Servern in Deutschland, und danach gelöscht. Gespeichert werden sonst nur die Adresse des Postfachs, Kennungen der dort angelegten Ordner, Kennungen der Nachricht, ihres Verlaufs und eines angelegten Entwurfs, die zugeordnete Kategorie, ob die Nachricht als dringend markiert wurde, der Bearbeitungsstand, bei Weiterleitung oder Ablage das gewählte Ziel und der Stand der Zustellung, wer einen Entwurf oder eine vorgeschlagene Zuordnung über die Anwendung freigegeben hat, Zeitpunkte und der Nachweis der Erklärung zum Einschalten, dazu die Signatur, die für das Postfach hinterlegt wird. Die Angaben zu einzelnen Nachrichten löschen wir nach 90 Tagen. Entwürfe liegen im jeweiligen Postfach.
• Was der Assistent nicht tut. Er löscht keine E-Mails und versendet keine Antwort ohne einzelne Freigabe durch den Auftraggeber oder eine von ihm berechtigte Person. Weitergeleitet oder abgelegt wird nur nach einer festgelegten Regel an ein bestimmtes Ziel (siehe oben). Anweisungen, die in empfangenen E-Mails stehen, werden nicht ausgeführt.
• Wer Inhalte sieht. Inhalte aus dem Postfach eines Kunden des Auftraggebers zeigt die Anwendung nur Nutzern mit einem eigenen Zugang für diesen Kunden an, nicht dem Auftraggeber selbst. Wer einen solchen Zugang hat, wird dem Kunden vor dem Verbinden angezeigt. Inhalte aus Postfächern sind von unserem Zugriff nach Ziffer 5 und vom Support-Zugriff nach Ziffer 10a ausgenommen.

Der Auftraggeber schaltet den Postfach-Assistenten nur für Postfächer ein, über die er verfügen darf, und holt für Postfächer seiner Kunden deren Weisung ein. Für Postfächer von Beschäftigten trägt er die Verantwortung für deren Information und, soweit erforderlich, die Beteiligung der Arbeitnehmervertretung. Für Berufsgeheimnisse gilt Ziffer 7, auch für Weiterleitung und Ablage.

6. Weisungsbindung

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten die Einstellungen, die der Auftraggeber in der Plattform vornimmt (z. B. Agenten-Konfiguration, Zielsysteme, Regeln des Postfach-Assistenten). Sind wir der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weisen wir darauf hin und dürfen die Ausführung aussetzen.

7. Vertraulichkeit und Berufsgeheimnisse

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet (Art. 28 Abs. 3 lit. b DSGVO).

Unterliegt der Auftraggeber oder sein Kunde einer gesetzlichen Verschwiegenheitspflicht, etwa nach § 203 StGB als Arzt, Zahnarzt, Psychotherapeut, Rechtsanwalt oder Steuerberater, wirken wir an dessen beruflicher Tätigkeit als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 StGB mit, bei Steuerberatern als Dienstleister im Sinne von § 62a StBerG, bei Rechtsanwälten im Sinne von § 43e BRAO. Dafür gilt:

• Wir sind zur Verschwiegenheit über alle fremden Geheimnisse verpflichtet, die uns dabei bekannt werden, und verschaffen uns davon nur Kenntnis, soweit es für unsere Leistung erforderlich ist.
• Alle Personen auf unserer Seite, die Zugang zu solchen Daten haben könnten, verpflichten wir zur Verschwiegenheit und weisen sie auf die strafrechtlichen Folgen einer Pflichtverletzung hin (§ 203 Abs. 4 StGB).
• Unsere Unterauftragsverarbeiter nach Ziffer 9 sind vertraglich zur Vertraulichkeit verpflichtet; Dienste, die über einen anderen Dienstleister eingebunden sind, über dessen Vertrag.
• Das gilt für alle Funktionen der Plattform, ausdrücklich auch für den Telefon-Assistenten (Ziffer 5b), den Postfach-Assistenten sowie Weiterleitung und Ablage nach Regeln des Auftraggebers (Ziffer 5d).

Ergänzend stellen wir in der Anwendung eine Vorlage für eine gesonderte Verschwiegenheitsverpflichtung bereit, die dieser Ziffer entspricht. Ob der Einsatz einer Funktion mit seiner Berufspflicht vereinbar ist, prüft der Auftraggeber eigenverantwortlich; für Ziele, an die er nach Ziffer 5d weiterleiten oder ablegen lässt, sorgt er selbst für die nötige Verpflichtung.

8. Technische und organisatorische Maßnahmen (Art. 32)

• Verschlüsselung: Transportverschlüsselung (TLS) für alle Zugriffe auf die Plattform und alle Aufrufe externer Dienste.
• Zugriffskontrolle: Zugang nur über persönliche Konten mit Passwort, auch für Zugänge von Beschäftigten und Kunden des Auftraggebers; Passwörter ausschließlich als kryptografischer Hash gespeichert; Sitzungen mit Ablauf; Protokoll der Anmeldungen.
• Mandantentrennung: Daten sind je Konto getrennt; Abfragen sind auf das jeweilige Konto beschränkt.
• Datensparsamkeit: Gesprächsinhalte je Agent und Kanal abschaltbar, mit fester Löschfrist, keine Tonaufnahmen und keine Speicherung bei Berufsgeheimnisträgern, keine gesonderte Speicherung von Endkunden-Leads (siehe Ziffer 5); am Telefon ein Zwischenspeicher bis zur Benachrichtigung, gelöscht spätestens eine Stunde nach dem Anruf (siehe Ziffer 5b); Dateien nach sieben Tagen gelöscht; beim Postfach-Assistenten keine Speicherung von E-Mail-Inhalten bei uns, Anhänge für eine Zustellung höchstens sieben Tage (siehe Ziffer 5d); hochgeladene Kontaktlisten mit fester Löschfrist (siehe Ziffer 5a).
• Missbrauchsabwehr: Begrenzung von Nachrichtenlänge und Verarbeitungsvolumen, Kosten-Obergrenzen je Konto und insgesamt.
• Serverstandort: Betrieb der Anwendung, Datenbank und Dateiablage in Deutschland (Hetzner Online GmbH, Rechenzentrum Deutschland (EU)).
• KI-Verarbeitung im Chat und im Postfach: Mistral AI (Frankreich), also innerhalb der EU, beim Postfach-Assistenten einschließlich der Texterkennung.
• KI-Verarbeitung am Telefon: Spracherkennung und Sprachausgabe werden in den Vereinigten Staaten verarbeitet, das Sprachmodell bei Mistral AI in der EU oder über den Dienstleister für die Gesprächsvermittlung in den Vereinigten Staaten (siehe Ziffer 5b und 9), abgesichert über Auftragsverarbeitungsverträge und die EU-Standardvertragsklauseln. Es entsteht keine Tonaufnahme, und die Umschrift wird nur gespeichert, wenn das Mitschreiben für Telefonate eingeschaltet ist (siehe Ziffer 5b).
• Grenzen des Telefon-Assistenten: feste Höchstdauer je Gespräch sowie Tagesgrenzen je Konto und insgesamt.
• Datensicherung: regelmäßige Sicherung der Datenbank durch den Hosting-Dienstleister.

9. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Über einen Wechsel oder die Hinzunahme informieren wir mindestens sechs Wochen vorher in Textform; der Auftraggeber kann aus wichtigem Grund widersprechen. Wir erlegen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO); bei Diensten, die über einen anderen Dienstleister eingebunden sind, über dessen Vertrag.

Microsoft 365 setzen wir ab dem Umzug unserer E-Mail-Postfächer ein. Bis dahin liegen sie bei Strato, das mit dem Umzug entfällt. Dieser Wechsel ist mit der Zustimmung zu der Liste oben bereits genehmigt; einer gesonderten Information vorher bedarf es dafür nicht.

Verbindet der Auftraggeber eigene Dienste (z. B. einen Automatisierungsdienst, eine Tabelle, ein E-Mail-Konto oder ein Ziel für Weiterleitung und Ablage des Postfach-Assistenten wie ein Buchhaltungs- oder Ablagesystem), handelt es sich um seine eigenen Auftragsverarbeiter. Für deren Einbindung und die erforderlichen Verträge ist der Auftraggeber selbst verantwortlich.

Dasselbe gilt für Telegram, wenn der Auftraggeber Meldungen aus seinem Konto selbst dorthin verbindet, etwa zu seinen Demos (Ziffer 3): Die Meldungen gehen auf seine Weisung an sein eigenes Konto bei diesem Dienst. Telegram ist kein Unterauftragsverarbeiter von uns.

10. Unterstützung des Auftraggebers

• Wir unterstützen den Auftraggeber bei der Beantwortung von Betroffenenanfragen, soweit uns das möglich ist. Leads werden bei uns nicht gesondert gespeichert. Gespeicherte Gesprächsverläufe (Ziffer 5) kann der Auftraggeber über die Plattform selbst einsehen und einzeln löschen; einen Export stellen wir auf Anfrage bereit.
• Wir unterstützen bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit erforderlich.

10a. Support-Zugriff

Neben dem Zugriff nach Ziffer 5 kann der Auftraggeber unserem Support, etwa beim Melden eines Fehlers, für einen begrenzten Zeitraum eine begleitete Sitzung in seinem Konto freigeben, um das Anliegen zu prüfen. Dazu gehört, Einstellungen einzusehen und die Terminberechnung mit dem verbundenen Kalender nachzuvollziehen; unser Support sieht dabei nur Zeiträume, keine Titel oder Inhalte von Terminen. Jeder Zugriff wird protokolliert. Der Auftraggeber kann die Freigabe jederzeit beenden; sie endet ohnehin nach Ablauf der angegebenen Zeit. Inhalte aus Postfächern sind ausgenommen.

Anliegen per E-Mail. Schickt der Auftraggeber unserem Support per E-Mail Daten seiner Kunden mit, etwa um eine fehlerhafte Buchung zu melden, verarbeiten wir sie, um sein Anliegen zu bearbeiten. Sie liegen dann in unserem E-Mail-Postfach, bis zum Umzug unserer Postfächer bei Strato in Deutschland, danach bei Microsoft in den Vereinigten Staaten (Ziffer 9 und 14).

Auswertung von Support-Fällen. Zur Fehlersuche werten wir Support-Fälle erst aus, nachdem Namen, Kontaktdaten und Anschriften daraus entfernt wurden.

11. Meldung von Verletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse, mit den uns bekannten Angaben zu Art, Umfang und ergriffenen Maßnahmen.

12. Löschung und Rückgabe

Nach Beendigung des Nutzungsverhältnisses löschen wir die im Konto gespeicherten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Anfrage stellen wir dem Auftraggeber seine Inhalte vorher als Export bereit, auch gespeicherte Gesprächsverläufe, soweit die Speicherung eingeschaltet war; sie werden mit dem Konto gelöscht. Endkunden-Leads liegen bei uns nicht gesondert vor.

13. Nachweise und Kontrollen

Wir stellen dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Kontrollen sind nach Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; vorrangig durch Auskunft und Vorlage geeigneter Nachweise.

14. Drittlandbezug

Wir als Auftragsverarbeiter sind eine US-Gesellschaft. Der technische Betrieb (Anwendung, Datenbank, Dateiablage) findet in Deutschland statt, die KI-Verarbeitung im Chat und beim Postfach-Assistenten in Frankreich.

Beim Telefon-Assistenten werden Daten in den Vereinigten Staaten verarbeitet. Spracherkennung und Sprachausgabe laufen dort, je nach eingesetztem Modell auch das Sprachmodell, dazu die Telefonanbindung, der Versand von SMS und die Gesprächsvermittlung über Anbieter mit Sitz in den USA. Grundlage sind Auftragsverarbeitungsverträge und die EU-Standardvertragsklauseln (Art. 46 DSGVO). Wer den Telefon-Assistenten nicht einschaltet, ist von dieser Sprachverarbeitung nicht betroffen.

Weitere Dienstleister mit Sitz in den USA. Cloudflare, über das die Plattform und der Chat ausgeliefert werden, kann die dabei übertragenen Daten auch außerhalb der EU verarbeiten. Nylas (Kalender- und Postfach-Anbindung) ist ein US-Anbieter; die Daten liegen in seinem Rechenzentrum in London, für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission. Für beide gelten Auftragsverarbeitungsverträge, für Zugriffe aus den USA das EU-U.S. Data Privacy Framework oder die EU-Standardvertragsklauseln. Ab dem Umzug unserer E-Mail-Postfächer (Ziffer 9) liegen E-Mails an uns und von uns, auch solche an unseren Support mit Daten von Kunden des Auftraggebers (Ziffer 10a), bei Microsoft in Rechenzentren in den USA, ebenfalls mit Auftragsverarbeitungsvertrag und dem EU-U.S. Data Privacy Framework oder den EU-Standardvertragsklauseln.

Soweit im Verhältnis zum Auftragsverarbeiter darüber hinaus personenbezogene Daten in ein Drittland übermittelt werden, stützen wir uns ebenfalls auf die EU-Standardvertragsklauseln. Für die EU ist ein Vertreter nach Art. 27 DSGVO benannt.

Dienste, die der Auftraggeber selbst verbindet (Ziffer 9, letzte zwei Absätze), sind davon nicht erfasst. Das gilt insbesondere für Telegram: Die Unternehmen dahinter sitzen außerhalb der EU in Staaten ohne Angemessenheitsbeschluss, und Standardvertragsklauseln mit uns bestehen nicht. Ob er Meldungen dorthin verbindet, entscheidet der Auftraggeber.

15. Auftraggeber mit Sitz in der Schweiz

Untersteht der Auftraggeber dem Schweizer Datenschutzgesetz (revDSG), gilt dieser Vertrag zugleich als Vertrag über die Auftragsbearbeitung nach Art. 9 revDSG. Die Pflichten sind dieselben wie oben beschrieben; wo hier „Auftragsverarbeitung", „personenbezogene Daten" oder „Verantwortlicher" steht, sind „Auftragsbearbeitung", „Personendaten" und „Verantwortlicher" im Sinne des revDSG gemeint.

• Datenübermittlung: Anwendung, Datenbank, Dateiablage und die KI-Verarbeitung im Chat und im Postfach liegen in der EU. Die Schweiz und die EU anerkennen das Datenschutzniveau der jeweils anderen Seite als angemessen, zusätzliche Garantien sind dafür nicht erforderlich. Ausgenommen sind der Telefon-Assistent (Ziffer 5b) und die übrigen in Ziffer 14 genannten Dienstleister mit Sitz in den USA. Dafür gelten die Standardvertragsklauseln, die auch im Verhältnis zur Schweiz gelten (Art. 16 Abs. 2 lit. d revDSG).
• Unterbearbeiter: Es gilt Ziffer 9 dieses Vertrags. Wo die dort genannten Dienstleister Daten bearbeiten, steht in der Liste; für die mit Sitz oder Verarbeitung außerhalb der EU gilt Ziffer 14.
• Meldung von Verletzungen: Zusätzlich zu Ziffer 11 unterstützen wir den Auftraggeber bei der Meldung an den EDÖB nach Art. 24 revDSG.
• Aufsicht: Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern.

16. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für Fragen der Auftragsverarbeitung vor. Die Zustimmung wird mit Datum und Version im Konto protokolliert. Fragen: [email protected]