Auftragsverarbeitungsvertrag

Stand: September 2026

zwischen dem Kunden („Verantwortlicher“) und der Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlin („Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Nutzungsvertrag beschriebenen Leistungen der KI-gestützten telefonischen Anrufannahme. Gegenstand dieses AVV ist die dabei erfolgende Verarbeitung personenbezogener Daten im Auftrag.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsvertrags. Er endet mit dessen Beendigung, spätestens jedoch mit der vollständigen Löschung oder Rückgabe der Daten nach § 8.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die telefonische Annahme eingehender Anrufe, die Echtzeit-Transkription der Gespräche, die maschinelle Zusammenfassung und strukturierte Erfassung von Anliegen (insbesondere Rückruf- und Terminwünsche) sowie die Benachrichtigung des Verantwortlichen per E-Mail und die Bereitstellung der Daten im Dashboard. Zweck ist die Erreichbarkeit des Verantwortlichen und die geordnete Bearbeitung seiner Anrufe.

§ 3 Datenkategorien und Kreis der Betroffenen

Datenkategorien:

• Stammdaten der Anrufer, soweit im Gespräch mitgeteilt (z. B. Name, Firma)
• Rufnummern und Verbindungsdaten (Zeitpunkt, Dauer)
• Gesprächsinhalte in Textform (Transkript, Zusammenfassung, erfasste Anliegen wie Rückrufnummer und Terminwunsch)

Kreis der Betroffenen: Anrufer des Verantwortlichen (insbesondere Kunden, Interessenten, Lieferanten und sonstige Kontaktpersonen).

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); der Nutzungsvertrag und die Konfiguration des Assistenten durch den Verantwortlichen gelten als Weisungen. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich;
2. gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO);
3. trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 1);
4. unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten; solche Verletzungen meldet er dem Verantwortlichen unverzüglich;
5. löscht oder retourniert die Daten nach Maßgabe des § 8;
6. stellt dem Verantwortlichen alle für den Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung (§ 7).

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter hat mit jedem Unterauftragsverarbeiter einen Vertrag geschlossen, der diesem dieselben Datenschutzpflichten auferlegt, wie sie in diesem AVV festgelegt sind.

(2) Über die beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht zu.

§ 6 Drittlandtransfer

Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln (SCC) mit den in Anlage 2 genannten Unterauftragsverarbeitern, ergänzt um zusätzliche Schutzmaßnahmen (insbesondere Transportverschlüsselung, Pseudonymisierung wo möglich).

§ 7 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV zu kontrollieren. Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.

(2) Kontrollen erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten. Der Auftragsverarbeiter kann Nachweise zunächst durch geeignete Dokumentation, Testate oder Zertifizierungen erbringen.

§ 8 Löschung und Rückgabe

(1) Der Auftragsverarbeiter löscht einzelne Datensätze jederzeit auf Weisung des Verantwortlichen.

(2) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie in einem gängigen Format zurück und löscht vorhandene Kopien, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

§ 9 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

(2) Es gilt deutsches Recht. Änderungen und Ergänzungen bedürfen der Textform.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

• Verschlüsselung: Sämtliche Datenübertragungen erfolgen transportverschlüsselt (TLS); gespeicherte Daten werden auf verschlüsselten Systemen der Infrastrukturanbieter vorgehalten.
• Zugriffskontrolle: Zugriff auf Anrufdaten haben nur der jeweilige Kunde (Dashboard mit Zugangsschutz, HttpOnly-Sitzungscookies) und autorisierte Mitarbeiter des Auftragsverarbeiters nach dem Need-to-know-Prinzip; administrative Zugänge sind gesondert abgesichert.
• Standortwahl: Verarbeitung und Speicherung erfolgen in EU-Rechenzentren, wo dies die eingesetzten Anbieter ermöglichen.
• Audio-Aufbewahrung mit Löschkonzept: Gespräche werden nach vorheriger Ansage als Audio aufgezeichnet und verschriftlicht; Aufnahme und Transkript werden gemäß dem vereinbarten Löschkonzept aufbewahrt und gelöscht.
• Protokollierung: Systemereignisse und administrative Zugriffe werden protokolliert und regelmäßig ausgewertet.
• Trennung: Die Daten der Kunden werden logisch getrennt (mandantenbezogene Zuordnung aller Anrufdaten).
• Wiederherstellbarkeit: Regelmäßige Datensicherungen der Datenbank und dokumentierte Wiederherstellungsverfahren.

Anlage 2: Genehmigte Unterauftragsverarbeiter