Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-09-18.

Zwischen

*(Firmierung und Anschrift des Kunden — wird bei Vertragsschluss eingetragen)* — nachfolgend Verantwortlicher —

und

Rubel Trading Company GmbH, Gebrüder-Meyer-Straße 6, 32758 Detmold, eingetragen im Handelsregister des Amtsgerichts Lemgo unter HRB 10005, vertreten durch den Geschäftsführer Jerome Rubel — nachfolgend Auftragsverarbeiter —

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen einen telefonischen Assistenzdienst: Anrufe werden entgegengenommen, das Anliegen wird erfasst, Termine werden vereinbart und Ergebnisse werden dem Verantwortlichen bereitgestellt.

(2) Der Vertrag beginnt mit der Bereitstellung des Dienstes und läuft, solange der zugrunde liegende Hauptvertrag besteht. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

(3) Betroffene Personengruppen sind Anruferinnen und Anrufer des Verantwortlichen sowie dessen Beschäftigte, soweit sie das Kundenportal nutzen.

(4) Datenarten:

• Rufnummer der anrufenden Person
• Wortprotokoll des Gesprächs einschließlich der ausgelösten Werkzeugaufrufe
• Anliegen, Terminwünsche, Name der anrufenden Person
• maschinell erzeugte Zusammenfassung und erkannte Absicht
• Angaben, die die anrufende Person von sich aus nennt; dies können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein, insbesondere bei Heilberufspraxen. Der Auftragsverarbeiter fragt solche Angaben nicht ab.
• Konto- und Anmeldedaten der Beschäftigten des Verantwortlichen

(5) Es wird kein Ton dauerhaft gespeichert. Die Sprache wird im laufenden Gespräch verarbeitet; eine Tonaufzeichnung entsteht bauartbedingt nicht.

(6) Keine Stimmidentifikation und keine Stimmverifikation. Der Auftragsverarbeiter erstellt, speichert und vergleicht keine Stimmprofile. Er setzt kein Verfahren ein, das darauf gerichtet ist, eine natürliche Person anhand ihrer Stimme eindeutig zu identifizieren oder sie über ein Gespräch hinaus wiederzuerkennen. Sprachdaten werden ausschließlich zur Sprachein- und -ausgabe sowie zur Erzeugung des Wortprotokolls verarbeitet. Die technisch bedingte Unterscheidung von Gesprächsbeiträgen innerhalb eines Gesprächs — etwa zwischen anrufender Person und Assistent — dient nicht der Identifizierung und ermöglicht keine Wiedererkennung darüber hinaus.

(7) Absatz 6 ist eine Tatsachenbeschreibung dessen, was der Dienst tut und nicht tut. Nach Auffassung des Auftragsverarbeiters handelt es sich bei den verarbeiteten Sprachdaten deshalb nicht um biometrische Daten zum Zweck der eindeutigen Identifizierung im Sinne von Art. 4 Nummer 14, Art. 9 Absatz 1 DSGVO. Diese Einordnung ist eine Rechtsauffassung und keine Garantie oder Zusicherung im Rechtssinne; die Bewertung der vom Verantwortlichen veranlassten Verarbeitung im Einzelfall obliegt ihm. Unberührt bleibt, dass Gesprächsinhalte besondere Kategorien personenbezogener Daten enthalten oder auf sie schließen lassen können, insbesondere Gesundheitsdaten.

(8) Weitergabe unter fremder Marke. Wird dieser Vertrag mit einem Partner geschlossen, der den Dienst unter eigener Marke an seine eigenen Kunden weitergibt, so ist der Partner Auftragsverarbeiter seiner Kunden und der Auftragsverarbeiter dieses Vertrages insoweit dessen Unterauftragsverarbeiter. Der Partner benennt ihn in seinem eigenen Auftragsverarbeitungsvertrag namentlich. Eine weitere Stufe der Weitergabe bedarf der vorherigen Zustimmung in Textform.

§ 1a Ansprechpartner in Datenschutzfragen

(1) Beim Auftragsverarbeiter ist kein Datenschutzbeauftragter bestellt; die Voraussetzungen des § 38 Absatz 1 BDSG liegen nicht vor. Anliegen aus diesem Vertrag richtet der Verantwortliche an datenschutz@telofy.de oder an die oben genannte Anschrift, zu Händen der Geschäftsführung.

(2) Der Verantwortliche benennt dem Auftragsverarbeiter eine Stelle, die Weisungen erteilen und entgegennehmen kann, sowie — sofern bestellt — seinen Datenschutzbeauftragten. Er hält diese Angaben aktuell; die Angabe erfolgt bei Vertragsschluss und kann im Kundenportal geändert werden.

(3) Erklärungen nach diesem Vertrag sind an die jeweils zuletzt benannte Stelle zu richten. Fehlt eine Benennung, genügt die Erklärung gegenüber der gesetzlichen Vertretung.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen, die der Verantwortliche im Kundenportal vornimmt, gelten als dokumentierte Weisung.

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung auszusetzen.

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

§ 3 Keine Nutzung zum Training von KI-Modellen

Daten des Verantwortlichen und seiner Anrufer werden nicht zum Trainieren, Verbessern, Abstimmen oder Bewerten von Modellen verwendet — weder durch den Auftragsverarbeiter noch durch die von ihm eingesetzten Unterauftragsverarbeiter. Der Auftragsverarbeiter stellt dies vertraglich gegenüber seinen Unterauftragsverarbeitern sicher und weist es auf Verlangen nach.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Pflicht gilt über das Ende dieses Vertrages hinaus zeitlich unbegrenzt fort. Sie ist von den Löschfristen nach § 8 unabhängig.

(3) Setzt der Verantwortliche den Dienst als Berufsgeheimnisträger ein, gilt zusätzlich: Der Auftragsverarbeiter und die bei ihm mit den Daten befassten Personen werden ausdrücklich zur Verschwiegenheit verpflichtet. Die berufsrechtliche Zulässigkeit der Einschaltung prüft der Verantwortliche in eigener Verantwortung.

(4) Der Auftragsverarbeiter gibt die Vertraulichkeitspflicht in gleichem Umfang an jeden Unterauftragsverarbeiter weiter.

(5) Für Berufsgeheimnisträger gilt ergänzend die Verpflichtungserklärung zur Verschwiegenheit (Anlage 3). Sie ordnet den Auftragsverarbeiter als mitwirkende Person nach § 203 Absatz 3 Satz 2 StGB ein, verpflichtet ihn und seine Leute förmlich, benennt die Weiterverpflichtung der Unterauftragsverarbeiter und beschreibt in ihrem Abschnitt 9 ausdrücklich, was sie nicht zusichert. Sie gilt mit Vertragsschluss als vereinbart, ohne dass es einer gesonderten Unterschrift bedarf.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die eingesetzten Unternehmen sind in Anlage 1 mit Aufgabe, Datenumfang und Ort aufgeführt.

(2) Verfahren bei Änderungen. Der Auftragsverarbeiter teilt die Aufnahme eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens vier Wochen vor Wirksamkeit in Textform mit.

(3) Widerspruch. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen.

(4) Folge des Widerspruchs. Widerspricht der Verantwortliche, bemühen sich beide Seiten um eine einvernehmliche Lösung. Kommt sie nicht binnen zwei Wochen zustande, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Bereits gezahlte Entgelte werden zeitanteilig erstattet.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrages entsprechen.

§ 7 Übermittlung in Drittländer

(1) Eine Übermittlung in ein Drittland findet nur statt, soweit Anlage 1 sie ausweist.

(2) Sie erfolgt auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst ergänzender Maßnahmen. Die je Unterauftragsverarbeiter maßgebliche Grundlage ist in Anlage 1 benannt.

(3) Die Sprachverarbeitung und die Auswertung des Wortprotokolls finden in der Region `europe-west4` (Niederlande) statt. Die Zusage zur Datenresidenz gilt für Speicherung und Verarbeitung.

§ 8 Löschung und Rückgabe

(1) Anrufdaten werden nach Ablauf der vom Verantwortlichen eingestellten Frist automatisiert gelöscht. Der Vorgabewert beträgt 30 Tage.

(2) Nach Beendigung des Vertrages löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen binnen 30 Tagen, sofern der Verantwortliche nicht innerhalb dieser Frist die Herausgabe verlangt.

(3) Auf Verlangen stellt der Auftragsverarbeiter die Daten in einem gängigen, maschinenlesbaren Format bereit.

(4) Datenbanksicherungen werden nach 35 Tagen automatisch gelöscht. Bis dahin können gelöschte Daten in einer Sicherung fortbestehen; ein Zugriff darauf findet ausschließlich zur Wiederherstellung statt.

(5) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Solche Daten werden gesperrt und nicht weiterverarbeitet.

(6) Fristen je Datenart. Soweit der Verantwortliche nichts anderes einstellt, gilt:

§ 9 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich weiter und erteilt selbst keine Auskunft.

(2) Der Auftragsverarbeiter unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(3) Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, und teilt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben mit.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Verlangen nach, insbesondere durch Vorlage von Anlage 2 und vorhandener Nachweise seiner Unterauftragsverarbeiter.

(1a) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen ausführt (Art. 30 Absatz 2 DSGVO), und stellt den auf den Verantwortlichen entfallenden Auszug auf Verlangen bereit.

(2) Der Verantwortliche ist zu Überprüfungen berechtigt. Sie werden mit angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs durchgeführt.

(3) Die Kosten einer Überprüfung trägt der Verantwortliche. Deckt sie einen erheblichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag auf, trägt der Auftragsverarbeiter sie. Von ihm beauftragte externe Prüfer sind zur Vertraulichkeit zu verpflichten.

(4) Prüfungen bei Unterauftragsverarbeitern stimmt der Verantwortliche mit diesen unmittelbar ab; der Auftragsverarbeiter unterstützt ihn dabei, hat auf deren Bedingungen aber keinen Einfluss.

§ 11 Behördlicher oder gerichtlicher Zugriff

Wird der Auftragsverarbeiter von einer Behörde oder einem Gericht zur Herausgabe personenbezogener Daten des Verantwortlichen aufgefordert, so

1. unterrichtet er den Verantwortlichen unverzüglich, soweit ihm das rechtlich nicht untersagt ist, 2. weist er auf ein bestehendes Beschlagnahmeverbot hin, wenn der Verantwortliche Berufsgeheimnisträger ist, 3. schöpft er zumutbare Rechtsbehelfe aus, und 4. beschränkt eine Herausgabe auf das rechtlich zwingend Gebotene.

§ 12 Anlagen, Rangfolge, Fassungen

(1) Bestandteil dieses Vertrages sind:

• Anlage 1 — Unterauftragsverarbeiter
• Anlage 2 — Technische und organisatorische Maßnahmen
• Anlage 3 — Verpflichtungserklärung zur Verschwiegenheit (gilt für Berufsgeheimnisträger, siehe § 4 Absatz 5)

(2) Bei Widersprüchen gilt: dieser Hauptvertragstext geht den Anlagen vor, die Anlagen gehen der Leistungsbeschreibung vor, diese geht den Allgemeinen Geschäftsbedingungen vor.

(3) Jede Anlage trägt eine Fassungsbezeichnung mit Datum. Die vom Verantwortlichen zugestimmte Fassung wird mit Versionsangabe und Prüfsumme des Wortlauts festgehalten; frühere Fassungen bleiben abrufbar.

§ 13 Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt deutsches Recht.