Auftragsverarbeitungsvertrag, CallMerlin

Dieser Auftragsverarbeitungsvertrag („AVV") ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen von CallMerlin und gilt für die Verarbeitung personenbezogener Daten durch CallMerlin (der „Auftragsverarbeiter") im Auftrag des Nutzers (der „Verantwortliche"). Dieser AVV wurde gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (DSGVO) erstellt.

In diesem AVV gelten die folgenden Definitionen: a) „Verantwortlicher": der Nutzer, der Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. b) „Auftragsverarbeiter": Small Guy B.V. (CallMerlin), die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. c) „Betroffene Person": die identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen. d) „Personenbezogene Daten": alle Daten im Sinne von Artikel 4 Nr. 1 DSGVO. e) „Verarbeitung": jeder Vorgang im Sinne von Artikel 4 Nr. 2 DSGVO. f) „Unterauftragsverarbeiter": ein vom Auftragsverarbeiter beauftragter Dritter, der personenbezogene Daten für den Verantwortlichen verarbeitet. g) „Datenschutzverletzung": eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt.

2.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Bereitstellung der CallMerlin-Plattform für den Verantwortlichen. 2.2. Die Verarbeitung dauert so lange, wie der Vertrag zwischen den Parteien in Kraft ist. Nach der Beendigung werden personenbezogene Daten gemäß Artikel 10 dieses AVV gelöscht.

Die Verarbeitung umfasst: a) Abwicklung eingehender Telefonanrufe sowie Sprach-Widget-Gespräche über den KI-Sprachassistenten; b) Transkription von Gesprächen und Erstellung von Zusammenfassungen; c) Ausführung von Aktionen in Verbundenen Diensten im Auftrag des Verantwortlichen (z. B. Anlegen von Terminen, Tickets oder Datensätzen); d) Verifizierung von PIN-Nutzern, einschließlich SMS-Zwei-Faktor-Authentifizierung; e) Speicherung und Anzeige von Gesprächsprotokollen und Statistiken; f) Versand von Benachrichtigungen über Anrufe und ausgeführte Aktionen.

Die folgenden Kategorien personenbezogener Daten werden verarbeitet: a) Kontaktdaten von Anrufern: Name, Telefonnummer, E-Mail-Adresse, soweit während eines Gesprächs mitgeteilt. b) Gesprächsdaten: Transkripte, Zeitpunkt, Dauer, Ergebnis des Gesprächs. Audio wird nicht aufbewahrt. c) Termin- und Anfragedaten: Datum, Uhrzeit, Betreff und weitere vom Anrufer mitgeteilte Details. d) PIN-Nutzerdaten: Name, PIN-Konfiguration, Verifizierungstelefonnummer. e) Daten in Verbundenen Diensten: Daten, die im Auftrag des Verantwortlichen aus Verbundenen Diensten abgerufen oder in diese geschrieben werden. Grundsätzlich werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet. Anrufer können solche Daten jedoch während eines Gesprächs spontan mitteilen (z. B. Gesundheitsinformationen bei der Terminvereinbarung). Der Verantwortliche ist für die Rechtmäßigkeit dieser Verarbeitung und für die entsprechende Konfiguration des Sprachassistenten verantwortlich.

Die personenbezogenen Daten beziehen sich auf: a) Anrufer, die mit dem Sprachassistenten des Verantwortlichen kommunizieren, telefonisch oder über das Sprach-Widget. b) Mitarbeiter und PIN-Nutzer des Verantwortlichen. c) Endkunden des Verantwortlichen (bei Agenturen). d) Personen, deren Daten im Auftrag des Verantwortlichen aus Verbundenen Diensten abgerufen oder in diese geschrieben werden.

6.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Die Konfiguration des Sprachassistenten und der Verbundenen Dienste durch den Verantwortlichen gilt als solche Weisung. 6.2. Der Auftragsverarbeiter gewährleistet, dass zur Verarbeitung personenbezogener Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben. 6.3. Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO, darunter: a) Verschlüsselung: TLS 1.3 (Übertragung), AES-256 (Ruhe), einschließlich Zugangsdaten Verbundener Dienste; b) Zugriffskontrolle: RBAC, Least-Privilege, 2FA; c) Datenisolation: Multi-Tenant-Trennung pro Konto; d) Überwachung und Protokollierung; e) Tägliche verschlüsselte Backups; f) Incident-Response-Plan. 6.4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, DSFA, vorherige Konsultation). 6.5. Der Auftragsverarbeiter unterstützt bei Anträgen betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch). Kosten für Unterstützung, die über die normale Mitwirkung hinausgeht, können dem Verantwortlichen in Rechnung gestellt werden.

7.1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. 7.2. Der Auftragsverarbeiter nutzt die folgenden Kategorien von Unterauftragsverarbeitern: a) Google Cloud Platform (EU), Hosting und Speicherung b) Cloudflare, Inc. (EU-Konfiguration), CDN und DDoS-Schutz c) Stripe, Inc. / Stripe Payments Europe, Ltd., Zahlungsabwicklung d) Telekommunikationsanbieter, Telefonnummern, Anrufrouting und SMS-Zustellung e) xAI, Inc. (Grok), Spracherkennung und Ausführung von KI-Diensten f) E-Mail-Anbieter, Zustellung transaktionaler E-Mails 7.3. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über die Absicht, einen neuen Unterauftragsverarbeiter zu beauftragen oder einen bestehenden zu ersetzen. 7.4. Der Verantwortliche kann innerhalb von 14 Tagen nach der Mitteilung begründeten Widerspruch gegen einen neuen Unterauftragsverarbeiter einlegen. Ist der Widerspruch begründet und kann der Auftragsverarbeiter keine angemessene Alternative anbieten, hat der Verantwortliche das Recht, den Vertrag kostenfrei zu kündigen. 7.5. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Pflichten auf wie in diesem AVV.

8.1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch 48 Stunden nach Entdeckung, über eine Datenschutzverletzung. 8.2. Die Meldung umfasst mindestens: a) die Art der Verletzung, einschließlich (annähernd) der Kategorien und Anzahl der betroffenen Personen und Datensätze; b) Name und Kontaktdaten der Anlaufstelle des Auftragsverarbeiters; c) die wahrscheinlichen Folgen der Verletzung; d) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer nachteiligen Auswirkungen. 8.3. Der Auftragsverarbeiter leistet dem Verantwortlichen angemessene Unterstützung bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).

9.1. Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind. 9.2. Der Verantwortliche hat das Recht, höchstens einmal pro Jahr ein Audit durchzuführen (oder durchführen zu lassen). Das Audit wird mindestens 30 Tage im Voraus angekündigt und findet während der Geschäftszeiten statt. 9.3. Die Kosten des Audits trägt der Verantwortliche, es sei denn, das Audit ergibt einen dem Auftragsverarbeiter zurechenbaren wesentlichen Mangel. 9.4. Verlangen mehrere Verantwortliche dasselbe Audit, kann der Auftragsverarbeiter vorschlagen, einen unabhängigen externen Prüfer zu beauftragen, dessen Bericht mit allen relevanten Verantwortlichen geteilt wird.

10.1. Nach Beendigung des Vertrags bietet der Auftragsverarbeiter dem Verantwortlichen 30 Tage lang die Möglichkeit, personenbezogene Daten (einschließlich Gesprächstranskripte) über die Exportfunktion der Plattform zu exportieren. 10.2. Nach Ablauf der Exportfrist löscht der Auftragsverarbeiter alle personenbezogenen Daten unwiderruflich, einschließlich aller Kopien, sofern keine Aufbewahrung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist. 10.3. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

11.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten grundsätzlich ausschließlich innerhalb des Europäischen Wirtschaftsraums (EWR). 11.2. Ist eine Übermittlung in ein Drittland erforderlich (z. B. für KI-Dienste oder Telefonie-Routing), erfolgt dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses, von Standardvertragsklauseln oder des EU-US Data Privacy Framework, ergänzt durch geeignete technische Maßnahmen. 11.3. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Übermittlungen in Drittländer.

12.1. Auf diesen AVV findet niederländisches Recht Anwendung. 12.2. Streitigkeiten werden dem zuständigen Gericht im Bezirk Zeeland-West-Brabant vorgelegt. 12.3. Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen hat dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten Vorrang.