Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten im Rahmen des Dienstes „Anru.ai – KI-Telefonassistent" (Software-as-a-Service). Auftragsverarbeiter ist die Automotive Tec GmbH, Blumauer Straße 200A/GSR8, 2601 Sollenau, Österreich (FN 612686 i, Landesgericht Wiener Neustadt) – nachfolgend „Auftragsverarbeiter" oder „Anbieter". Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der jeweilige Geschäftskunde, der den Dienst nutzt – nachfolgend „Verantwortlicher" oder „Kunde".

Dieser AVV ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) und des zugrunde liegenden Nutzungsvertrags („Hauptvertrag"). Er gilt automatisch mit Vertragsschluss; der Kunde stimmt ihm mit der Registrierung bzw. der Buchung eines Tarifs zu. Der jeweils gültige Text ist dauerhaft abrufbar unter https://anru.ai/avv. Soweit der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, gehen die Regelungen dieses AVV den übrigen Vertragsbestandteilen in Datenschutzfragen vor.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung des im Hauptvertrag beschriebenen Dienstes. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den in diesem AVV festgelegten Zwecken und nach Weisung des Verantwortlichen.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der AVV endet automatisch mit Beendigung des Hauptvertrags, wobei die Pflichten zur Löschung, Rückgabe und Verschwiegenheit über das Vertragsende hinaus fortbestehen.

2. Art, Umfang und Zweck der Verarbeitung

Der Dienst ist eine cloudbasierte Software, die im Auftrag des Verantwortlichen insbesondere folgende Verarbeitungen ausführt:

• Entgegennahme eingehender Telefonanrufe der Endkunden des Verantwortlichen durch einen KI-Assistenten und Führung des Gesprächs in Echtzeit (Sprache-zu-Sprache / Speech-to-Speech);
• Umwandlung des gesprochenen Worts in Text (Transkription) sowie Erstellung von Gesprächszusammenfassungen und Extraktion von Vorgängen (z. B. Name, Anliegen, Terminwunsch, Rückrufnummer);
• Erfassung und Verwaltung von Terminen, optional durch Anlage bzw. Aktualisierung von Terminen im Google- oder Outlook-Kalender des Verantwortlichen;
• Versand von Termin- und Benachrichtigungs-SMS und -E-Mails;
• optionale Aufzeichnung von Gesprächen, sofern je Assistent aktiviert;
• optionales Forderungsmanagement für eigene Forderungen des Verantwortlichen (automatisierte Mahn-Anrufe und -E-Mails, Zahlungsabgleich durch Bankdaten-Import bzw. Open-Banking-Kontozugriff, Schuldner-Portal);
• Bereitstellung eines Web-Chat-Widgets, Kunden-/Kontaktverwaltung sowie Auswertungen/Statistiken.

Zweck der Verarbeitung ist ausschließlich die vertragsgemäße Bereitstellung des Dienstes. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Die Gesprächsinhalte werden nicht zum Training verallgemeinerter KI-/Sprachmodelle verwendet.

3. Art der personenbezogenen Daten

Verarbeitet werden – je nach Konfiguration und gebuchten Modulen – insbesondere folgende Datenarten:

• Stammdaten der Endkunden: Name, Telefonnummer, E-Mail-Adresse;
• Gesprächsinhalte: Audio-Streams, Transkripte, Zusammenfassungen;
• Termindaten: Datum, Uhrzeit, Anliegen, zugeordneter Kalender;
• optionale Anrufaufzeichnungen (nur bei je Assistent aktivierter Aufzeichnung);
• Forderungsdaten (nur Modul Forderungsmanagement): Rechnungsnummern, Beträge, Zahlungsstatus, Mahnverlauf sowie Bank-Transaktionsdaten beim Zahlungsabgleich;
• Web-Chat-Verläufe;
• technische Daten: Rufnummern, Zeitstempel, IP-Adressen, Verbindungs- und Statusdaten.

4. Kategorien betroffener Personen

• Anrufer / Endkunden des Verantwortlichen;
• Schuldner des Verantwortlichen (nur Modul Forderungsmanagement);
• Mitarbeiterinnen und Mitarbeiter des Verantwortlichen (z. B. als Nutzer des Dashboards oder als in Terminen bzw. Vorgängen genannte Personen).

5. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten dieser AVV, der Hauptvertrag sowie insbesondere die vom Verantwortlichen im Dashboard vorgenommenen Konfigurationen und Einstellungen (z. B. Aktivierung von Aufzeichnungen, Ansagen, Aufbewahrungsfristen, verbundene Kalender, Module). Einzelweisungen darüber hinaus sind in Textform (z. B. E-Mail) zu erteilen.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

6. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. Die zur Verarbeitung befugten Personen werden mit den einschlägigen Datenschutzbestimmungen sowie – soweit einschlägig – dem Fernmeldegeheimnis (§ 160 TKG 2021, § 120 StGB) vertraut gemacht und im erforderlichen Umfang unterwiesen.

7. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anhang 1 beschrieben. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen fortzuentwickeln, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

8. Unterauftragsverhältnisse

Der Verantwortliche erteilt hiermit seine allgemeine schriftliche Genehmigung zum Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter. Der Einsatz dieser Unterauftragsverarbeiter gilt mit Vertragsschluss als genehmigt.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten.

Änderungsmechanismus: Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens 14 Tage im Voraus (per E-Mail oder über das Dashboard). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht einvernehmlich ausräumen, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

9. Unterstützung bei den Rechten der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu angewiesen. Soweit hierfür ein über den üblichen Aufwand hinausgehender Aufwand entsteht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

10. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (Art. 32–36 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Datenschutz-Folgenabschätzung (Art. 35) und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

Meldung von Verletzungen des Schutzes personenbezogener Daten: Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Verantwortungsbereich des Verantwortlichen verarbeitete Daten betrifft, meldet er dies dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

11. Übermittlung in Drittländer

Die Kernverarbeitung findet innerhalb der EU/des EWR statt. Die Sprach-KI-Verarbeitung erfolgt in einem Rechenzentrum in der EU (Google Cloud / Vertex AI, Region europe-west4, Niederlande); Hosting (Deutschland), primäre Telefonie (Irland), Zahlungsabwicklung (Irland) und E-Mail-Versand (Deutschland) erfolgen ebenfalls in der EU.

Eine Übermittlung an Dienstleister mit Sitz oder Verarbeitung in einem Drittland erfolgt nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der EU-Standardvertragsklauseln (SCC, Art. 46 DSGVO), ergänzt um erforderliche zusätzliche Schutzmaßnahmen, bzw. – soweit zertifiziert – des EU-US Data Privacy Framework. Beim primären Telefonieanbieter Telnyx (Konzern mit US-Bezug) sind Drittlandübermittlungen entsprechend abgesichert. Technische Betriebs- und Störungsbenachrichtigungen an den Betreiber werden über Telegram FZ-LLC (VAE) übermittelt; sie enthalten grundsätzlich keine, in Einzelfällen jedoch geringfügige personenbezogene Daten.

12. Löschung und Rückgabe nach Beendigung der Verarbeitung

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Der Verantwortliche hat die Möglichkeit, seine Daten innerhalb einer Exportfrist von 30 Tagen ab Vertragsende zu exportieren. Nach Ablauf dieser Frist werden die Daten einschließlich vorhandener Kopien binnen 90 Tagen gelöscht.

Gesetzliche Aufbewahrungspflichten (z. B. nach § 132 BAO, § 212 UGB) bleiben unberührt; insoweit werden die betreffenden Daten für die Dauer der gesetzlichen Frist gesperrt und nach deren Ablauf gelöscht. Die Löschung wird dem Verantwortlichen auf Anfrage bestätigt.

13. Nachweise und Kontrollen (Audit)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen. Der Nachweis erfolgt vorrangig durch Selbstauskünfte, aktuelle Testate, genehmigte Verhaltensregeln oder anerkannte Zertifizierungen sowie durch die Dokumentation der technischen und organisatorischen Maßnahmen (Anhang 1).

Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung (Audit) – auch durch einen zur Verschwiegenheit verpflichteten, unabhängigen Prüfer – vornehmen. Solche Audits finden höchstens einmal pro Kalenderjahr, nach angemessener vorheriger Ankündigung (in der Regel mindestens vier Wochen), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs statt. Die Kosten des Audits trägt der Verantwortliche; der beim Auftragsverarbeiter anfallende Aufwand kann angemessen vergütet werden. Anlassbezogene Prüfungen bei konkreten Datenschutzvorfällen bleiben unberührt.

14. Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags bzw. der AGB entsprechend, soweit dieser AVV nichts Abweichendes bestimmt. Die zwingende Außenhaftung gegenüber betroffenen Personen und Aufsichtsbehörden nach Art. 82 DSGVO bleibt hiervon unberührt.

15. Rangfolge, Änderungen und Form

Rangfolge: Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag oder den AGB gehen die Regelungen dieses AVV in allen Datenschutzfragen vor.

Form: Änderungen und Ergänzungen dieses AVV bedürfen der Textform bzw. der elektronischen Form; dies gilt auch für die Aufhebung dieses Formerfordernisses. Eine elektronische Zustimmung (z. B. im Rahmen von Registrierung oder Buchung) genügt.

16. Schlussbestimmung

Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt eine wirksame Regelung, die dem mit der unwirksamen Bestimmung verfolgten datenschutzrechtlichen Zweck möglichst nahekommt. Im Übrigen gelten das auf den Hauptvertrag anwendbare Recht und der dort vereinbarte Gerichtsstand.

Anhang 1: Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Der Auftragsverarbeiter setzt für den beschriebenen Stack die folgenden Maßnahmen um. Die Darstellung folgt den üblichen Schutzkategorien.

1. Zutrittskontrolle (Schutz vor unbefugtem physischem Zutritt zu Datenverarbeitungsanlagen)

• Betrieb der Server ausschließlich in einem professionellen EU-Rechenzentrum (Hetzner Online GmbH, Deutschland) mit den dortigen physischen Sicherungsmaßnahmen des Betreibers (Gelände- und Gebäudesicherung, Zutrittskontrolle, Videoüberwachung, geschultes Personal).
• Kein eigener physischer Serverstandort beim Auftragsverarbeiter; kein unbefugter Zutritt zu produktiven Systemen möglich.

2. Zugangskontrolle (Schutz vor unbefugter Systemnutzung)

• Administrativer Serverzugang ausschließlich über persönliche SSH-Schlüssel; ein Passwort-Login ist deaktiviert.
• Zugang zum Produkt (Dashboard) nur über individuelle Benutzerkonten; Passwörter werden ausschließlich als gesalzener Hash gespeichert.
• Serverseitige Sitzungssteuerung mit begrenzter Gültigkeit (angemeldete Sitzungen werden spätestens nach 30 Tagen ungültig).
• Dokumentierte, auf das notwendige Minimum beschränkte Administrator-Zugänge. Ein Zwei-Personen-Prinzip ist als Kleinunternehmen nicht umsetzbar; als Ausgleich werden die Admin-Zugänge eng begrenzt und dokumentiert.

3. Zugriffskontrolle (Schutz vor unbefugtem Lesen, Kopieren, Verändern oder Löschen)

• Rollenbasiertes Berechtigungskonzept im Produkt (Inhaber, Admin, Mitarbeiter, Viewer) mit abgestuften Rechten.
• Zugriff auf Kunden- und Anrufdaten technisch auf den jeweiligen Kontoinhaber und dessen berechtigte Nutzer beschränkt.
• Verschlüsselte Speicherung besonders sensibler Zugangsdaten – insbesondere OAuth-Token (Kalender) und Bank-Zugangsdaten – mittels symmetrischer Verschlüsselung (Fernet/AES).

4. Weitergabekontrolle (Schutz bei Übertragung und Transport)

• Transportverschlüsselung mit TLS 1.2 oder höher (HTTPS) für alle Verbindungen zwischen Endgeräten, Servern und eingesetzten Diensten.
• Telefonie-Streams werden verschlüsselt übertragen, soweit dies vom jeweiligen Carrier unterstützt wird.
• Weitergabe an Unterauftragsverarbeiter nur auf Grundlage von Verträgen nach Art. 28 DSGVO; Drittlandübermittlungen nur mit Standardvertragsklauseln (siehe § 11 und Anhang 2).

5. Eingabekontrolle (Nachvollziehbarkeit von Verarbeitungsvorgängen)

• Protokollierung sicherheitsrelevanter Ereignisse (z. B. Anmeldungen, sicherheitsrelevante Systemvorgänge).
• Nachvollziehbarkeit von Vorgängen im Produkt über Zeitstempel und Zuordnung zum jeweiligen Konto.

6. Verfügbarkeitskontrolle (Schutz vor Verlust und Zerstörung)

• Tägliche Datenbank-Backups.
• Betrieb in einem Rechenzentrum mit redundanter Infrastruktur (Strom, Kühlung, Netzanbindung) durch den Hosting-Anbieter.
• Automatische Alarmierung des Betreibers bei Fehlern und Störungen zur raschen Reaktion.

7. Trennungskontrolle (getrennte Verarbeitung unterschiedlicher Zwecke/Mandanten)

• Mandantentrennung auf Datenebene durch eine eigentümerbasierte Isolation (owner-basiert): Jeder Kunde kann ausschließlich seine eigenen Daten sehen und verarbeiten. Die Trennung ist getestet.

8. Pseudonymisierung und Verschlüsselung

• Verschlüsselung gespeicherter Zugangsdaten (OAuth-Token, Bank-Zugangsdaten) mit Fernet/AES; Transportverschlüsselung (TLS); Passwörter nur als gesalzener Hash.
• Datenminimierung als Grundprinzip: konfigurierbare Aufbewahrungsfristen und optionale automatische Löschung von Aufzeichnungen; auf Wunsch Betrieb ohne dauerhafte Speicherung der Gesprächsinhalte (Zero Data Retention), sodass nur die für den Zweck notwendigen extrahierten Vorgänge erhalten bleiben.

9. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO)

• Überprüfung und Aktualisierung der Maßnahmen bei wesentlichen Änderungen des Dienstes oder der Risikolage.
• Auswahl der Unterauftragsverarbeiter nach vorheriger Eignungsprüfung hinsichtlich Datenschutz und Datensicherheit.
• Umsetzung der Grundsätze „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen" (Art. 25 DSGVO), insbesondere Datenminimierung als Voreinstellung.
• Reaktion auf sicherheitsrelevante Ereignisse auf Basis der Betreiber-Alarmierung.

Anhang 2: Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt mit Vertragsschluss den Einsatz der folgenden Unterauftragsverarbeiter. Mit „optional" gekennzeichnete Dienste werden nur eingesetzt, soweit der Verantwortliche die betreffende Funktion aktiviert bzw. den entsprechenden Anbieter auswählt.

Für den Betrieb der Infrastruktur, der Telefonie und des E-Mail-Versands können die genannten Anbieter ihrerseits weitere technische Unter-Unterauftragsverarbeiter (z. B. für Rechenzentrumsbetrieb oder Netzanbindung) einsetzen. Der Änderungs- und Widerspruchsmechanismus nach § 8 dieses AVV gilt entsprechend.