Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO
zwischen dem Kunden (Name und Anschrift laut Kundenkonto) – „Verantwortlicher“ –
und Florian Heiner Lammers, handelnd unter „Sayvio“, Westerhuesweg 25, 46348 Raesfeld – „Auftragsverarbeiter“ –
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen einen KI-gestützten Telefonassistenten nach dem Hauptvertrag (Sayvio-AGB). Dabei verarbeitet er personenbezogene Daten der Anrufer und gegebenenfalls von Kunden und Beschäftigten des Verantwortlichen ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
(2) Art, Zweck, Datenkategorien und Kategorien betroffener Personen ergeben sich aus Anlage 1.
(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus.
§ 2 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder das Recht der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2) Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Verantwortliche im Dashboard vornimmt (z. B. Empfänger von Benachrichtigungen, Kalenderanbindung, Kundenliste). Weitere Weisungen erteilt der Verantwortliche in Textform.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
(4) Zum Auftrag gehört auch die Fehleranalyse und Qualitätssicherung des Assistenten des Verantwortlichen (z. B. Auswertung einzelner Gespräche, um Missverständnisse des Assistenten zu beheben). Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters, insbesondere zum Training von KI-Modellen, zur Verbesserung von Diensten für andere Kunden oder zu Werbezwecken, findet nicht statt.
§ 3 Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 4 Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind. Er haftet für dessen Pflichtverletzungen gegenüber dem Verantwortlichen.
§ 6 Übermittlungen in Drittländer
(1) Eine Verarbeitung außerhalb der EU/des EWR findet nur statt, soweit sie in Anlage 3 ausgewiesen ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914).
(2) Der Verantwortliche weist den Auftragsverarbeiter hiermit an, die in Anlage 3 ausgewiesenen Übermittlungen vorzunehmen. Für die Übermittlung an die Sprachplattform (USA, siehe Anlage 3) erstellt der Auftragsverarbeiter eine Transfer-Folgenabschätzung und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung.
§ 7 Unterstützung des Verantwortlichen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO), insbesondere durch Export, Berichtigung und Löschung von Gesprächsdaten über das Dashboard oder auf Anfrage innerhalb von 5 Werktagen. Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich weiter.
(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.
§ 8 Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
(2) Er ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.
§ 9 Löschung und Rückgabe
(1) Gesprächsdaten werden während der Laufzeit nach den Fristen in Anlage 1 automatisch gelöscht.
(2) Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, nachdem dieser Gelegenheit zum Export hatte, sofern keine gesetzliche Aufbewahrungspflicht besteht. In Datensicherungen enthaltene Daten werden im regulären Sicherungszyklus überschrieben (spätestens nach 6 Monaten) und bis dahin nur zur Wiederherstellung nach einem Störfall verwendet. Bei Unterauftragsverarbeitern gelten deren Löschfristen gemäß Anlage 3. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.
§ 10 Nachweise und Kontrollen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung, insbesondere aktuelle Fassungen der Anlagen 2 und 3.
(2) Der Verantwortliche kann Überprüfungen, einschließlich Inspektionen, nach Anmeldung mit mindestens 14 Tagen Vorlauf während der Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Anstelle einer Vor-Ort-Prüfung kann der Auftragsverarbeiter geeignete Nachweise vorlegen, sofern diese ausreichen. Den Aufwand für Vor-Ort-Prüfungen von mehr als einem Tag pro Jahr kann der Auftragsverarbeiter angemessen in Rechnung stellen.
§ 11 Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
§ 12 Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Der Vertrag wird elektronisch geschlossen; Sayvio protokolliert Zeitpunkt, Fassung und Kundenkonto der Zustimmung (Art. 28 Abs. 9 DSGVO).
Anlage 1 zum AV-Vertrag – Gegenstand, Datenkategorien, Betroffene, Zwecke, Fristen
Zweck der Verarbeitung
Annahme von Telefonanrufen auf der Rufnummer des Verantwortlichen durch einen KI-Assistenten; Gesprächsführung in natürlicher Sprache; Aufnahme des Anliegens; Erstellung einer schriftlichen Zusammenfassung; Weiterleitung an den Verantwortlichen über die von ihm gewählten Kanäle; optional Terminbuchung, Wiedererkennung von Bestandskunden und Notfallbenachrichtigung; Fehleranalyse und Qualitätssicherung des Assistenten des Verantwortlichen.
Betroffene Personen
- Anrufer (Kunden, Interessenten, Lieferanten, sonstige Anrufer des Verantwortlichen)
- Bestandskunden des Verantwortlichen, die er in der Kundenliste hinterlegt
- Beschäftigte des Verantwortlichen, die als Empfänger von Benachrichtigungen hinterlegt sind
Datenkategorien und Fristen
| Datenkategorie | Beispiele | Zweck | Ort | Löschfrist |
|---|---|---|---|---|
| Verbindungsdaten | Rufnummer des Anrufers, angerufene Nummer, Zeitpunkt, Dauer | Annahme, Rückruf, Abrechnung | Telefonie-Server, Datenbank | Rufnummer 90 Tage; Gesprächsdauer ohne Personenbezug für die Abrechnung nach § 147 AO |
| Audio | Stimme des Anrufers | Spracherkennung in Echtzeit | nur im Durchgang | keine Speicherung |
| Transkript | Wortlaut des Gesprächs | Zusammenfassung, Nachvollziehbarkeit, Fehleranalyse | Sprachplattform; Datenbank (geschwärzt) | Sprachplattform 1 Tag (danach bis zu 30 Tage in deren Sicherungen); Datenbank 30 Tage |
| Zusammenfassung und erkannte Felder | Name, Anschrift, Anliegen, Wunschtermin, Kundenstatus | Weitergabe an den Verantwortlichen | Datenbank, E-Mail an den Verantwortlichen | 90 Tage in der Datenbank; im Postfach des Verantwortlichen nach dessen Regeln |
| Kundenliste | Name, Ort, Rufnummer der Bestandskunden | Wiedererkennung | Datenbank; Name und Ort für die Dauer des Anrufs an die Sprachplattform | bis zur Löschung durch den Verantwortlichen, spätestens 30 Tage nach Vertragsende |
| Termindaten | Name, Telefon, Anliegen, Zeitpunkt | Terminbuchung | Kalender des Verantwortlichen bzw. Cal.com | nach den Regeln des Kalenders |
| Benachrichtigungen | Inhalt von E-Mail, SMS, WhatsApp | Information des Verantwortlichen | Versanddienste, Versandprotokoll | Versandprotokoll 90 Tage; versandter Mailtext 30 Tage |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt erhoben. Nennt ein Anrufer sie von sich aus, sind sie im Transkript enthalten und unterliegen den Fristen oben.
Ort
Deutschland und Irland sowie USA (Sprachplattform); Einzelheiten in Anlage 3.
Anlage 2 zum AV-Vertrag – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
1. Vertraulichkeit
Zutrittskontrolle
- Server bei der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland); Zutritt und physische Sicherheit regelt Hetzner (ISO/IEC 27001).
- Datenbank bei Supabase in der Region eu-west-1 (Irland); Zutritt regelt der Anbieter bzw. dessen Rechenzentrumsbetreiber.
Zugangskontrolle
- Administrativer Serverzugang ausschließlich über verschlüsselte SSH-Verbindungen mit persönlichem Schlüssel.
- Zwei-Faktor-Authentifizierung für die Administrationskonten bei Telefonie- und Cloud-Anbietern.
- Kunden greifen über persönliche, passwortgeschützte Dashboard-Konten zu.
Zugriffskontrolle
- Mandantentrennung: Jeder Kunde sieht nur die Daten seiner eigenen Organisation; die Trennung wird auf Datenbankebene durchgesetzt.
- API-Schlüssel und Zugangsdaten liegen in zugriffsgeschützten Konfigurationsdateien, nicht im Quellcode. Ein automatischer Prüfer verhindert, dass Schlüssel, Rufnummern oder Gesprächswortlaute in die Versionsverwaltung gelangen.
- Gesprächswortlaute zur Fehleranalyse liegen in einem nicht versionierten, nur Administratoren zugänglichen Verzeichnis und werden nach 90 Tagen gelöscht.
Trennungskontrolle
- Getrennte Umgebungen für Produktion und Test; Testanrufe werden als solche gekennzeichnet.
Pseudonymisierung
- Transkripte werden in der Datenbank geschwärzt gespeichert (Rufnummern, E-Mail-Adressen und vergleichbare Kennungen werden ersetzt).
- In Quellcode, Tests und Dokumentation werden ausschließlich pseudonymisierte Beispiele verwendet.
2. Integrität
Weitergabekontrolle
- Verbindungen zwischen Dashboard, Datenbank, Sprachplattform und Benachrichtigungsdiensten laufen TLS-verschlüsselt (HTTPS). Benachrichtigungen der Sprachplattform an Sayvio werden per Signatur (HMAC) geprüft.
- Telefonie: Anrufe erreichen Sayvio über das öffentliche Telefonnetz, das Gespräche nach seinem technischen Standard unverschlüsselt überträgt. Die Strecke zwischen dem Sayvio-Vermittlungsserver und der Sprachplattform wird bis 31.10.2026 auf verschlüsselte Signalisierung (TLS) und verschlüsselte Sprachübertragung (SRTP) umgestellt. Der Rückfallweg, der nur bei Störungen der Sprachplattform greift, überträgt Sprache bis zu seiner Umstellung unverschlüsselt innerhalb der EU.
Eingabekontrolle
- Änderungen an Kundendaten im Dashboard werden mit Zeitpunkt und Nutzer protokolliert (Aufbewahrung 90 Tage).
3. Verfügbarkeit und Belastbarkeit
- Tägliche Datenbanksicherung (Aufbewahrung 14 Tage) und Sicherung des Servers auf einen getrennten Speicher bei Hetzner in Deutschland (Aufbewahrung bis 6 Monate).
- Überwachung der Dienste mit automatischer Alarmierung (Erreichbarkeit, Kosten, Verbrauch).
- Rückfallweg für die Telefonie bei Störungen der Sprachplattform.
4. Regelmäßige Überprüfung
- Datenschutzrelevante Änderungen werden vor dem Livegang geprüft, dokumentiert und erst nach Freigabe ausgerollt.
- Automatische Löschroutinen nach dem Löschkonzept; ihre Ausführung wird protokolliert.
- Überprüfung dieser Anlage mindestens jährlich und bei wesentlichen Änderungen.
5. Auftragskontrolle
- Unterauftragsverarbeiter nur mit Auftragsverarbeitungsvertrag (Anlage 3).
- Bei der Sprachplattform ist die Nutzung von Kundendaten zum Modelltraining deaktiviert (seit 14.10.2026), die Aufbewahrung von Gesprächsdaten auf 1 Tag begrenzt und die Speicherung von Audio deaktiviert.
- Keine Weitergabe von Gesprächsdaten an Dritte außer an die vom Kunden eingestellten Empfänger.
Unterauftragsverarbeiter
Die Liste der Unterauftragsverarbeiter steht unseren Kunden im Dashboard zur Verfügung und wird auf Anfrage an business@sayvio.de übermittelt.