Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: Oktober 2026

zwischen dem Kunden (Verantwortlicher, im Folgenden „Auftraggeber“) und
Wiktoria Wenta, Ansiva – KI-Telefonassistenz, Sachsenstraße 6, 47139 Duisburg (Auftragsverarbeiterin, im Folgenden „Auftragnehmerin“).

Dieser Vertrag wird mit Abschluss des Hauptvertrags (Bestellung oder Angebotsannahme unter Einbeziehung der AGB) elektronisch geschlossen.

§ 1 Gegenstand und Dauer

(1) Die Auftragnehmerin verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Einrichtung und des Betriebs einer KI-gestützten Telefonassistenz gemäß Hauptvertrag.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art und Zweck: Annahme und Führung von Telefongesprächen mit Anrufern des Auftraggebers durch eine KI-Assistenz; Spracherkennung und Abschrift; Beantwortung von Fragen nach Vorgaben des Auftraggebers; Vereinbarung, Änderung und Absage von Terminen im Kalender des Auftraggebers; Erstellung von Gesprächsnotizen; Versand von Bestätigungen und Erinnerungen per E-Mail oder SMS; Benachrichtigungen und Berichte an den Auftraggeber; Qualitätssicherung und Fehlerbehebung.

Arten von Daten: Telefonnummer, Name, E-Mail-Adresse, Gesprächsaudio (Aufzeichnung), Abschriften, Inhalt des Anliegens, Termindaten, Verbindungsdaten (Zeitpunkt, Dauer), sonstige Angaben, die Anrufer im Gespräch machen. Je nach Branche des Auftraggebers können darunter auch besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) oder Daten fallen, die einem Berufsgeheimnis unterliegen. Der Auftraggeber legt bei der Einrichtung fest, welche Angaben die Assistenz abfragen darf, und sorgt dafür, dass dabei nur die für die Terminvergabe erforderlichen Angaben erhoben werden.

Betroffene Personen: Anrufer (Kunden, Mandanten, Patienten, Interessenten und sonstige Personen, die den Auftraggeber anrufen), bei vereinbarten ausgehenden Anrufen die vom Auftraggeber benannten Kontaktpersonen, Beschäftigte des Auftraggebers.

§ 3 Weisungen

(1) Die Auftragnehmerin verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und die bei der Einrichtung festgelegten Abläufe gelten als Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Ist die Auftragnehmerin der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist sie den Auftraggeber unverzüglich darauf hin.

§ 4 Pflichten der Auftragnehmerin

(1) Die Auftragnehmerin gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind. Derzeit verarbeitet ausschließlich die Inhaberin selbst die Daten.

(2) Sie trifft die technischen und organisatorischen Maßnahmen (TOM) gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

(3) Sie unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden.

(4) Sie meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihr vorliegenden Informationen.

(5) Sie stellt dem Auftraggeber die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage von Dokumentation und Auskünften.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Die Auftragnehmerin informiert den Auftraggeber mindestens 14 Tage vorher in Textform über beabsichtigte Änderungen. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine Fortführung ohne die Änderung nicht zumutbar, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Die Auftragnehmerin verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

§ 6 Übermittlung in Drittländer

Einige Unterauftragsverarbeiter haben ihren Sitz in den USA. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) oder von EU-Standardvertragsklauseln mit ergänzenden Maßnahmen.

§ 7 Speicherdauer, Löschung und Rückgabe

(1) Gesprächsaufzeichnungen und Abschriften werden nach 30 Tagen gelöscht, sofern der Auftraggeber keine andere Frist anweist. Termine und Notizen verbleiben im Kalender des Auftraggebers und unterliegen dessen Kontrolle.

(2) Nach Ende des Hauptvertrags löscht die Auftragnehmerin alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen oder gibt sie auf Wunsch vorher an den Auftraggeber heraus, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anfrage bestätigt.

§ 8 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Anrufer (Art. 13 DSGVO) und für die Festlegung, welche Daten erhoben werden. Er informiert die Auftragnehmerin unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(2) Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Zugangs- und Zugriffskontrolle: Zugriff auf alle Dienstkonten nur durch die Inhaberin; starke, individuelle Passwörter; Zwei-Faktor-Authentifizierung, soweit vom Anbieter angeboten; gesperrte Endgeräte mit Bildschirmsperre und aktuellen Sicherheitsupdates.
• Trennung: Für jeden Auftraggeber eigene Assistenz, eigener Kalender bzw. eigene Kalenderfreigabe und eigene Konfiguration.
• Weitergabekontrolle: Übertragungen zwischen den Diensten ausschließlich verschlüsselt (HTTPS/TLS); Zugriff der Assistenz auf den Kalender über eine geschützte Schnittstelle mit geheimem Schlüssel.
• Datensparsamkeit: Die Assistenz fragt nur die für Terminvergabe und Rückruf nötigen Angaben ab; keine Abfrage von Kontodaten, Ausweisnummern oder Gesundheitsdetails, sofern nicht ausdrücklich vom Auftraggeber angewiesen.
• Löschung: Automatische bzw. regelmäßige Löschung von Aufzeichnungen und Abschriften nach der vereinbarten Frist.
• Verfügbarkeit: Einsatz etablierter Cloud-Anbieter mit eigener Ausfallsicherheit; Konfigurationen werden gesichert, damit eine Assistenz bei Bedarf schnell wiederhergestellt werden kann.
• Organisation: Verpflichtung auf Vertraulichkeit; Dokumentation der Einrichtung je Auftraggeber; Prüfung neuer Anbieter vor dem Einsatz.

Anlage 2 – Unterauftragsverarbeiter

Je nach Paket und Konfiguration werden nicht alle Anbieter eingesetzt. Die konkret eingesetzten Anbieter werden dem Auftraggeber bei der Einrichtung mitgeteilt.

Anlage 3 – Verschwiegenheitsverpflichtung für Berufsgeheimnisträger

Diese Anlage gilt, wenn der Auftraggeber Berufsgeheimnisträger ist, insbesondere Rechtsanwalt (§ 43e BRAO), Arzt, Zahnarzt oder Angehöriger eines anderen in § 203 StGB genannten Berufs.

(1) Die Auftragnehmerin wird hiermit zur Verschwiegenheit über alle fremden Geheimnisse verpflichtet, die ihr bei der Erbringung der Leistungen bekannt werden, insbesondere über die Identität von Mandanten oder Patienten und den Inhalt ihrer Anliegen.

(2) Die Auftragnehmerin wurde darüber belehrt, dass sie sich bei einer unbefugten Offenbarung solcher Geheimnisse nach § 203 Abs. 4 StGB strafbar machen kann.

(3) Die Auftragnehmerin darf nur insoweit Kenntnis von fremden Geheimnissen nehmen, als dies zur Erbringung der Leistungen erforderlich ist.

(4) Die Auftragnehmerin darf weitere Personen oder Unternehmen nur hinzuziehen, wenn sie diese in Textform zur Verschwiegenheit verpflichtet und über die strafrechtlichen Folgen belehrt hat, bzw. wenn diese Anbieter vertraglich zur Vertraulichkeit verpflichtet sind. Der Auftraggeber wurde auf den Einsatz der in Anlage 2 genannten Dienstleister hingewiesen.

(5) Diese Verpflichtung gilt zeitlich unbegrenzt, auch nach Ende des Vertrags.