Entwurf – vor Veröffentlichung von einer Rechtsanwältin oder einem Rechtsanwalt prüfen lassen. Platzhalter in [eckigen Klammern] ausfüllen.
Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
zwischen dem Kunden („Verantwortlicher“) und der Jointinventions GmbH, Frankfurter Straße 141, 63067 Offenbach am Main („Auftragsverarbeiter“). Stand: [Datum]
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung von Asoka (Verdolmetschung, Protokolle, KI-Assistentin, Telefonie, Kontaktverwaltung) nach den AGB. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art der Daten und Betroffene
| Datenarten | Sprachsignale (nur flüchtig, keine Speicherung), erkannter Gesprächstext und Übersetzungen, Namen, E-Mail-Adressen, Telefonnummern, Sprache, Einwilligungserklärungen mit Zeitpunkt, Stimmlage (flüchtig), Kontakte des Adressbuchs, Inhalte der Wissensbasis, Nutzungs- und Verbrauchsdaten. |
|---|---|
| Betroffene | Beschäftigte des Verantwortlichen, Gesprächspartner (z. B. Kunden, Lieferanten, Interessenten), Kontakte. |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Einstellungen in Asoka (z. B. Protokoll, Löschfrist, Websuche) gelten als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
- Verschlüsselung aller gespeicherten Daten (AES-256-GCM) mit getrennten Schlüsseln je Kunde; Transportverschlüsselung (TLS).
- Keine Speicherung von Tonaufnahmen; Protokolle nur bei Einwilligung aller Anwesenden.
- Automatische Löschung nach der vom Verantwortlichen festgelegten Frist; Löschen auf Knopfdruck; Überschreiben vor dem Löschen.
- Fälschungssicheres Ereignisprotokoll (verkettete Prüfsummen) über Einwilligungen und Verarbeitungsschritte.
- Strikte Mandantentrennung, Rollen- und Rechtekonzept, Passwörter nur als scrypt-Hash, Sperre nach Fehlversuchen, Schutz gegen Cross-Site-Anfragen.
- [Ergänzen: Rechenzentrum, Zutritts- und Zugangskontrolle, Datensicherung, Notfallkonzept, Penetrationstests.]
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Über Änderungen informiert der Auftragsverarbeiter mindestens [vier Wochen] vorher; der Verantwortliche kann aus wichtigem Grund widersprechen.
| Unternehmen | Leistung | Ort / Garantie |
|---|---|---|
| [Hosting-Anbieter] | Server | [EU] |
| OpenAI, L.L.C. / OpenAI Ireland Ltd. | Spracherkennung, Übersetzung, Sprachausgabe, Websuche | USA – [DPF / SCC] |
| Twilio Inc. | Telefonie | USA – [DPF / SCC] |
| [E-Mail-Dienstleister] | E-Mail-Versand | […] |
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Exporte, Löschung), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Nach Vertragsende werden alle Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Verantwortliche Protokolle und Ereignisprotokolle exportieren.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.