Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-08-26.

Vor der Verwendung juristisch prüfen lassen. Dieser Text ist aus dem

tatsächlichen Verhalten des Produkts geschrieben und inhaltlich belastbar,

aber er ersetzt keine anwaltliche Prüfung. Die Angaben zum

Verantwortlichen werden bei Vertragsschluss je Kunde eingetragen.

Zwischen

*(Firmierung und Anschrift des Kunden — wird bei Vertragsschluss eingetragen)* — nachfolgend Verantwortlicher —

und

Rubel Trading Company GmbH, Gebrüder-Meyer-Straße 6, 32758 Detmold, eingetragen im Handelsregister des Amtsgerichts Lemgo unter HRB 10005, vertreten durch den Geschäftsführer Jerome Rubel — nachfolgend Auftragsverarbeiter —

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen einen telefonischen Assistenzdienst: Anrufe werden entgegengenommen, das Anliegen wird erfasst, Termine werden vereinbart und Ergebnisse werden dem Verantwortlichen bereitgestellt.

(2) Der Vertrag beginnt mit der Bereitstellung des Dienstes und läuft, solange der zugrunde liegende Hauptvertrag besteht. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

(3) Betroffene Personengruppen sind Anruferinnen und Anrufer des Verantwortlichen sowie dessen Beschäftigte, soweit sie das Kundenportal nutzen.

(4) Datenarten:

• Rufnummer der anrufenden Person
• Wortprotokoll des Gesprächs einschließlich der ausgelösten Werkzeugaufrufe
• Anliegen, Terminwünsche, Name der anrufenden Person
• maschinell erzeugte Zusammenfassung und erkannte Absicht
• Angaben, die die anrufende Person von sich aus nennt; dies können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein, insbesondere bei Heilberufspraxen. Der Auftragsverarbeiter fragt solche Angaben nicht ab.
• Konto- und Anmeldedaten der Beschäftigten des Verantwortlichen

(5) Es wird kein Ton dauerhaft gespeichert. Die Sprache wird im laufenden Gespräch verarbeitet; eine Tonaufzeichnung entsteht bauartbedingt nicht.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen, die der Verantwortliche im Kundenportal vornimmt, gelten als dokumentierte Weisung.

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung auszusetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

§ 3 Keine Nutzung zum Training von KI-Modellen

Daten des Verantwortlichen und seiner Anrufer werden nicht zum Trainieren, Verbessern, Abstimmen oder Bewerten von Modellen verwendet — weder durch den Auftragsverarbeiter noch durch die von ihm eingesetzten Unterauftragsverarbeiter. Der Auftragsverarbeiter stellt dies vertraglich gegenüber seinen Unterauftragsverarbeitern sicher und weist es auf Verlangen nach.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Pflicht gilt über das Ende dieses Vertrages hinaus zeitlich unbegrenzt fort. Sie ist von den Löschfristen nach § 8 unabhängig.

(3) Setzt der Verantwortliche den Dienst als Berufsgeheimnisträger ein, gilt zusätzlich: Der Auftragsverarbeiter und die bei ihm mit den Daten befassten Personen werden ausdrücklich zur Verschwiegenheit verpflichtet. Die berufsrechtliche Zulässigkeit der Einschaltung prüft der Verantwortliche in eigener Verantwortung.

(4) Der Auftragsverarbeiter gibt die Vertraulichkeitspflicht in gleichem Umfang an jeden Unterauftragsverarbeiter weiter.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die eingesetzten Unternehmen sind in Anlage 1 mit Aufgabe, Datenumfang und Ort aufgeführt.

(2) Verfahren bei Änderungen. Der Auftragsverarbeiter teilt die Aufnahme eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens vier Wochen vor Wirksamkeit in Textform mit.

(3) Widerspruch. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen.

(4) Folge des Widerspruchs. Widerspricht der Verantwortliche, bemühen sich beide Seiten um eine einvernehmliche Lösung. Kommt sie nicht binnen zwei Wochen zustande, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Bereits gezahlte Entgelte werden zeitanteilig erstattet.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrages entsprechen.

§ 7 Übermittlung in Drittländer

(1) Eine Übermittlung in ein Drittland findet nur statt, soweit Anlage 1 sie ausweist.

(2) Sie erfolgt auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst ergänzender Maßnahmen. Die je Unterauftragsverarbeiter maßgebliche Grundlage ist in Anlage 1 benannt.

(3) Die Sprachverarbeitung und die Auswertung des Wortprotokolls finden in der Region `europe-west4` (Niederlande) statt. Die Zusage zur Datenresidenz gilt für Speicherung und Verarbeitung.

§ 8 Löschung und Rückgabe

(1) Anrufdaten werden nach Ablauf der vom Verantwortlichen eingestellten Frist automatisiert gelöscht. Der Vorgabewert beträgt 30 Tage.

(2) Nach Beendigung des Vertrages löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen binnen 30 Tagen, sofern der Verantwortliche nicht innerhalb dieser Frist die Herausgabe verlangt.

(3) Auf Verlangen stellt der Auftragsverarbeiter die Daten in einem gängigen, maschinenlesbaren Format bereit.

(4) Datenbanksicherungen werden nach 35 Tagen automatisch gelöscht. Bis dahin können gelöschte Daten in einer Sicherung fortbestehen; ein Zugriff darauf findet ausschließlich zur Wiederherstellung statt.

(5) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Solche Daten werden gesperrt und nicht weiterverarbeitet.

§ 9 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich weiter und erteilt selbst keine Auskunft.

(2) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(3) Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben mit.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Verlangen nach, insbesondere durch Vorlage von Anlage 2 und vorhandener Nachweise seiner Unterauftragsverarbeiter.

(2) Der Verantwortliche ist zu Überprüfungen berechtigt. Sie werden mit angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs durchgeführt.

§ 11 Behördlicher oder gerichtlicher Zugriff

Wird der Auftragsverarbeiter von einer Behörde oder einem Gericht zur Herausgabe personenbezogener Daten des Verantwortlichen aufgefordert, so

1. unterrichtet er den Verantwortlichen unverzüglich, soweit ihm das rechtlich nicht untersagt ist, 2. weist er auf ein bestehendes Beschlagnahmeverbot hin, wenn der Verantwortliche Berufsgeheimnisträger ist, 3. schöpft er zumutbare Rechtsbehelfe aus, und 4. beschränkt eine Herausgabe auf das rechtlich zwingend Gebotene.

§ 12 Anlagen, Rangfolge, Fassungen

(1) Bestandteil dieses Vertrages sind:

• Anlage 1 — Unterauftragsverarbeiter
• Anlage 2 — Technische und organisatorische Maßnahmen

(2) Bei Widersprüchen gilt: dieser Hauptvertragstext geht den Anlagen vor, die Anlagen gehen der Leistungsbeschreibung vor, diese geht den Allgemeinen Geschäftsbedingungen vor.

(3) Jede Anlage trägt eine Fassungsbezeichnung mit Datum. Die vom Verantwortlichen zugestimmte Fassung wird mit Versionsangabe und Prüfsumme des Wortlauts festgehalten; frühere Fassungen bleiben abrufbar.

§ 13 Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt deutsches Recht.