Anlage 1 zu den Nutzungsbedingungen · gem. Art. 28 DSGVO
Diese Auftragsverarbeitungsvereinbarung (“AVV”) ist integraler Bestandteil der Nutzungsbedingungen und kommt mit Abschluss des Vertrags zwischen der Promocura GmbH (“Auftragsverarbeiter”) und dem Kunden (“Verantwortlicher”) zustande.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO.
Die Datenverarbeitung erfolgt zur Vertragsdurchführung, um dem Kunden einen KI-gestützten Telefonie-Assistenten zur Verfügung zu stellen. Die Verarbeitung umfasst Echtzeit-Spracherkennung, Transkription und Aufarbeitung der Telefoninhalte. Es erfolgt keine dauerhafte Speicherung von Audioaufnahmen. Die Dauer der Datenverarbeitung richtet sich nach der Dauer des Vertrages.
Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung sowie die Wahrung der Rechte der betroffenen Personen verantwortlich. Für Meldepflichten nach Art. 33, 34 DSGVO ist der Verantwortliche zuständig.
Der Verantwortliche hat das Recht, dem Auftragsverarbeiter jederzeit Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung in Textform zu erteilen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen gesetzliche Regelungen verstößt, und ist berechtigt, die Durchführung auszusetzen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und Weisungen. Der Auftragsverarbeiter ist verpflichtet, jeden Verstoß gegen datenschutzrechtliche Vorschriften sowie jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden, dem Verantwortlichen mitzuteilen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten aus Art. 32-36 DSGVO sowie bei der Beantwortung von Betroffenenanfragen.
Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter Unterauftragsverarbeiter einsetzt. Die aktuell eingesetzten Unterauftragsverarbeiter sind:
| Anbieter | Zweck / Standort |
|---|---|
| ElevenLabs Inc., New York, USA | Voice-AI-Verarbeitung (TTS, STT), LLM-Verarbeitung (Google Gemini via ElevenLabs) — DPF-zertifiziert |
| Twilio Ireland Ltd., Dublin, Irland | Telefonie-Infrastruktur (Verbindungsaufbau, Anrufweiterleitung) — EU |
| Hetzner Online GmbH, Gunzenhausen, DE | Hosting, Speicherung von Transkripten und Metadaten — Deutschland |
| Stripe Payments Europe Ltd., Dublin, IE | Zahlungsabwicklung — EU / DPF-zertifiziert |
| HighLevel Inc., Dallas, USA | CRM und Kundenverwaltung — USA, SCCs |
Vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen. Der Verantwortliche kann innerhalb von 30 Kalendertagen schriftlich Einspruch einlegen. Ist der Auftragsverarbeiter innerhalb von 30 Kalendertagen nach Einspruch nicht in der Lage, eine Alternative anzubieten, kann jede Partei den Vertrag außerordentlich und fristlos kündigen.
Der Auftragsverarbeiter wird personenbezogene Daten vornehmlich in der Europäischen Union verarbeiten. Die primäre Datenspeicherung erfolgt in Deutschland (Hetzner). Eine Drittübermittlung in die USA erfolgt im Rahmen der Nutzung von ElevenLabs (DPF-zertifiziert) und HighLevel (SCCs). Jede Übermittlung muss mit Kapitel V der DSGVO in Einklang stehen.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Datenschutzverpflichtungen zur Verfügung. Auf Verlangen gestattet der Auftragsverarbeiter die Kontrolle während der üblichen Geschäftszeiten nach angemessener Vorankündigung. Kontrollen können von einem unabhängigen, zur Verschwiegenheit verpflichteten Auditor durchgeführt werden. Kosten trägt der Verantwortliche.
Der Auftragsverarbeiter verpflichtet sich, angemessene technische und organisatorische Maßnahmen zu treffen. Die Maßnahmen sind in Annex 1 gelistet. Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu Daten, als dies zur Vertragsdurchführung erforderlich ist, und verpflichtet alle befugten Personen zur Vertraulichkeit.
Die Löschung personenbezogener Daten erfolgt gemäß den gesetzlichen Aufbewahrungsfristen:
Nach Beendigung der AVV löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt diese zurück und löscht bestehende Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Äußert sich der Verantwortliche nicht, werden die Daten 30 Tage nach Vertragsende gelöscht.
Der AVV beginnt mit Abschluss des Vertrags und endet mit dessen Beendigung. Der Verantwortliche kann den AVV jederzeit fristlos kündigen, wenn ein schwerwiegender Verstoß des Auftragsverarbeiters vorliegt.
gem. Art. 32 DSGVO