Auftragsverarbeitungsvertrag (AVV)
Version 3.1 – Stand 02/2026
Zwischen
[Auftraggeber] – Verantwortlicher im Sinne der DSGVO
und
AnrufAssist
– nachfolgend „Auftragnehmer" –
1. Gegenstand und Dauer der Verarbeitung
(1) Der Auftragnehmer erbringt für den Auftraggeber Voice-Agent-Dienstleistungen zur automatisierten telefonischen Kommunikation.
(2) Gegenstand der Verarbeitung ist die technische Bereitstellung, Weiterleitung und Verarbeitung von Sprach- und Kommunikationsdaten im Rahmen eingehender oder ausgehender Telefoninteraktionen.
(3) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers.
(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere:
- Entgegennahme von Telefongesprächen
- Speech-to-Text-Umwandlung
- Verarbeitung der Inhalte zur Generierung von Antworten
- Text-to-Speech-Ausgabe
- temporäre Speicherung technischer Sitzungsdaten
- Proxy-basierte Filter- und Strukturierungslogik
Die Verarbeitung dient ausschließlich der automatisierten Kundenkommunikation des Auftraggebers.
3. Kategorien betroffener Personen
- Kunden und Interessenten des Auftraggebers
- Geschäftspartner
- sonstige Anrufer
4. Kategorien personenbezogener Daten
Je nach Gesprächsinhalt können verarbeitet werden:
- Telefonnummern
- Gesprächsinhalte (Sprachtranskripte)
- Kommunikationsmetadaten (Zeitstempel, Dauer, Session-ID)
Es erfolgt keine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten.
5. Technische Umsetzung / Proxy-Funktion
(1) Der Auftragnehmer betreibt eine technische Proxy-Instanz.
(2) Diese übernimmt:
- Weiterleitung von Anfragen zwischen Voice-Plattform und Sprachmodell
- strukturierte Aufbereitung von Produktinformationen
- Validierung und Filterung von Ausgaben
- technische Zugriffskontrolle
(3) Die Proxy-Instanz dient ausschließlich der Sicherstellung einer stabilen und sicheren Systemkommunikation.
(4) Eine eigenständige inhaltliche Profilbildung oder dauerhafte Auswertung personenbezogener Gesprächsdaten findet nicht statt.
6. Speicher- und Löschkonzept
(1) Der Auftragnehmer löscht personenbezogene Daten, insbesondere Gesprächstranskripte und Sitzungsdaten, sobald deren Speicherung für die Erbringung der vertraglich geschuldeten Leistung nicht mehr erforderlich ist, spätestens jedoch innerhalb von sieben (7) Tagen nach Abschluss der jeweiligen Verarbeitung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
(2) Weitere personenbezogene Kommunikationsdaten werden nicht dauerhaft gespeichert, sofern dies nicht ausdrücklich im Hauptvertrag vorgesehen ist.
7. Technische und organisatorische Maßnahmen
Der Auftragnehmer gewährleistet Maßnahmen gemäß Art. 32 DSGVO, insbesondere:
- Hosting in der EU (Frankfurt am Main)
- Verschlüsselte Datenübertragung (TLS 1.2+)
- Verschlüsselte Datenspeicherung auf Infrastrukturebene
- Zugriffsbeschränkung über rollenbasierte Zugriffskontrolle
- Automatisierte Löschmechanismen
- Mehrstufige API-Authentifizierung
Die technischen und organisatorischen Maßnahmen sind in Anlage 2 geregelt.
8. Unterauftragsverarbeiter
Die aktuell eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 3.
9. Kontrollrechte
Der Auftraggeber ist berechtigt, nach angemessener Ankündigung die Einhaltung der vertraglich vereinbarten Datenschutzmaßnahmen zu überprüfen.
10. Haftung
Die Haftung richtet sich nach Art. 82 DSGVO sowie den Bestimmungen des Hauptvertrags.
11. Gerichtsstand
Gerichtsstand ist Stuttgart, sofern der Auftraggeber Kaufmann im Sinne des HGB ist.
12. Schlussbestimmungen
Änderungen dieses Vertrags bedürfen der Schriftform.
ANLAGE 1 – Beschreibung der konkreten Verarbeitung
1. Voice-Agent-System
Das System verarbeitet Sprachdaten im Rahmen eingehender oder ausgehender Telefoninteraktionen. Die Verarbeitung umfasst:
- Echtzeit-Transkription
- Antwortgenerierung
- Ausgabe über Sprachsynthese
2. Temporäre Speicherung
Folgende Daten werden temporär gespeichert:
- Transkripte
- Telefonnummern
- Session-IDs
- Gesprächsmetadaten
Gesprächstranskripte und technische Sitzungsdaten werden spätestens innerhalb von sieben (7) Tagen nach Abschluss der jeweiligen Sitzung gelöscht.
3. Scraping-Modul (produktbezogen)
Sofern aktiviert, werden öffentlich zugängliche Produktinformationen von der Website des Auftraggebers automatisiert ausgelesen.
Es werden ausschließlich produktbezogene Informationen gespeichert (z. B. Name, Beschreibung, Preis). Es werden keine personenbezogenen Daten aus dem Scraping-Prozess verarbeitet.
4. Keine automatisierte Qualitätsanalyse
Eine automatisierte Weiterleitung von Gesprächstranskripten an externe KI-Anbieter zur Qualitätsanalyse findet derzeit nicht statt.
Anlage 2 – Technische und organisatorische Maßnahmen (TOM)
Stand: 02/2026
Die nachfolgenden Maßnahmen dienen der Gewährleistung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO.
1. Vertraulichkeit
1.1 Zutrittskontrolle
- Hosting in zertifizierten Rechenzentren innerhalb der EU (AWS, Region Frankfurt)
- Physische Sicherheitsmaßnahmen des Rechenzentrumsbetreibers (Zutrittskontrollen, Videoüberwachung, Zugangsbeschränkungen)
1.2 Zugangskontrolle (Systemzugriff)
- Zugriff auf Backend-Systeme ausschließlich für autorisierte Administratoren
- Authentifizierung über rollenbasiertes Zugriffssystem
- Nutzung sicherer Passwörter
- Zugriff auf Produktionsdaten nur mit gesonderten Berechtigungen
1.3 Zugriffskontrolle (Datenzugriff)
- Aktivierte Row-Level-Security (RLS) in der Datenbank
- Rollenbasierte Zugriffsbeschränkung
- Trennung von Administrations- und Benutzerrechten
- Maskierung von Telefonnummern in Anwendungs-Logs
1.4 Verschlüsselung
- TLS-Verschlüsselung (HTTPS) für alle externen Verbindungen
- TLS-gesicherte Kommunikation zwischen Edge Functions und Datenbank
- Verschlüsselung ruhender Daten (at rest) durch AWS-Managed Encryption (AES-256)
- API-Keys und Secrets im verschlüsselten Vault gespeichert
Keine Feld-Level-Verschlüsselung personenbezogener Daten.
2. Integrität
2.1 Eingabekontrolle
- Protokollierung von Voice-Agent-Tool-Calls
- Speicherung von Sitzungs-Metadaten zur Nachvollziehbarkeit
2.2 Weitergabekontrolle
- Datenübertragung an Subprozessoren ausschließlich über verschlüsselte Verbindungen
- Drittlandübermittlung nur bei aktivierten Modulen (z. B. Webcall mit ElevenLabs)
- Vertragliche Einbindung aller Subprozessoren nach Art. 28 DSGVO
3. Verfügbarkeit und Belastbarkeit
- Serverless-Architektur (auto-skalierend)
- Automatische Datenbank-Backups (Point-in-Time-Recovery durch Hostinganbieter)
- Monitoring der Infrastruktur durch Hostinganbieter
4. Trennungsgebot
- Mandantentrennung über tenant_id auf Datenbankebene
- Getrennte Verarbeitung je Kunde
- Keine Vermischung von Kundendaten
5. Löschkonzept
Es besteht ein organisatorisches und technisches Löschkonzept zur fristgerechten Entfernung von Gesprächstranskripten und Sitzungsdaten. Die Löschung erfolgt spätestens innerhalb von sieben (7) Tagen nach Abschluss der jeweiligen Verarbeitung.
6. Auftragskontrolle
- Schriftlicher AVV mit allen Kunden
- Dokumentierte Subprozessor-Liste (Anlage 3)
- Vertragliche Verpflichtung der Subprozessoren nach Art. 28 DSGVO
- Regelmäßige Überprüfung der eingesetzten Dienstleister
7. Incident-Response
- Interne Prozesse zur Erkennung und Meldung von Datenschutzverletzungen
- Information des Auftraggebers gemäß Art. 33 DSGVO
- Dokumentation sicherheitsrelevanter Vorfälle
ANLAGE 3 – Genehmigte Unterauftragsverarbeiter (modular)
1. Voice-Plattform
Voicery (MAWI Software Solutions)
München, Deutschland
Leistung: Telefonie, Speech-to-Text, Text-to-Speech
Verarbeitungsort: EU
2. Hosting-Infrastruktur
Lovable Cloud (Supabase Infrastruktur)
Frankfurt am Main, Deutschland
Leistung: Hosting, PostgreSQL-Datenbank, Edge Functions
Verarbeitungsort: EU
3. Infrastrukturprovider
Amazon Web Services (AWS)
eu-central-1, Frankfurt, Deutschland
Leistung: Rechenzentrumsbetrieb
Verarbeitungsort: EU
4. Kalenderbuchung (optional)
Cal.com (EU-Hosting – cal.eu)
EU
Leistung: Terminbuchungssystem
Verarbeitungsort: EU