Rechtliches

Auftragsverarbeitungsvertrag

Version 2026-10-14. Zuletzt aktualisiert: 14. Oktober 2026. Diese Vereinbarung liegt in deutscher und englischer Sprache vor. Bei Abweichungen ist die englische Fassung maßgeblich.

Dieser Vertrag wird nach Art. 28 Abs. 3 DSGVO zwischen Ihrer Organisation (dem Verantwortlichen) und uns (dem Auftragsverarbeiter) geschlossen. Er regelt unsere Verarbeitung personenbezogener Daten Ihrer Endnutzer — also der Personen, die die von Ihnen eingerichteten Agenten anrufen, anschreiben oder mit ihnen chatten. Er ist Bestandteil der Nutzungsbedingungen und wird wirksam, wenn ein Inhaber bei der Erstellung der Organisation zustimmt.

Er verweist bewusst auf die Datenschutzerklärung und die Nutzungsbedingungen, statt sie zu wiederholen. Verlinkte Texte sind Bestandteil dieses Vertrags und verbindlich, nicht bloße Hintergrundinformation.

Individuell verhandelte Verträge. Wenn Ihre Organisation einen gesonderten, verhandelten Auftragsverarbeitungsvertrag mit uns unterzeichnet hat, gilt dieser; der vorliegende Vertrag findet dann keine Anwendung. Partner, die die Plattform in ihrer eigenen Cloud-Umgebung betreiben, schließen eigene Verträge mit ihren Kunden; daran sind wir nicht beteiligt.

1. Die Vertragsparteien

Ihr Auftragsverarbeiter ist die visibleIT Inc., 12625 Caballo Ct, Estero, FL 33928, USA, der die Plattform gehört, die sie betreibt und die mit Kunden in allen Ländern die Verträge schließt. Ihr Vertreter in der Europäischen Union nach Art. 27 DSGVO ist die visibleIT GmbH, Hunoldstr. 13, 34479 Breuna, Deutschland. Angaben zu den Gesellschaften finden Sie in der Datenschutzerklärung §1.

Verantwortlicher ist Ihre Organisation, wie in Ihrem Profil benannt. Mit Ihrer Zustimmung erfassen wir, welche Gesellschaft Ihr Auftragsverarbeiter ist, welche Version Sie angenommen haben und wann.

2. Anwendungsbereich

Was wir verarbeiten und wozu, steht in Anlage I. Die Verarbeitung dauert für die Laufzeit Ihres Abonnements zuzüglich der dort beschriebenen Speicherfristen.

Dieser Vertrag erfasst ausschließlich Daten Ihrer Endnutzer. Daten über Sie und Ihre Kolleginnen und Kollegen — Kontoprofile, Rechnungskontakte, Support-E-Mails — verarbeiten wir als Verantwortliche nach der Datenschutzerklärung, nicht nach diesem Vertrag.

3. Wir handeln auf Ihre Weisung

Wir verarbeiten die personenbezogenen Daten Ihrer Endnutzer ausschließlich auf Ihre dokumentierte Weisung, auch bei internationalen Übermittlungen, es sei denn, Rechtsvorschriften verpflichten uns anders — dann informieren wir Sie vorher, sofern das Gesetz dies nicht verbietet.

Ihre Weisungen sind dieser Vertrag, die Nutzungsbedingungen und Ihre Konfiguration der Plattform: Verhaltensanweisungen Ihrer Agenten, Wissensdatenbank, Tabellen, Werkzeuge, Speicherfristen und Kanaleinstellungen. Die Nutzung einer dokumentierten Funktion ist eine Weisung.

Wir weisen Sie darauf hin, wenn eine Weisung aus unserer Sicht gegen das Datenschutzrecht verstößt.

Wir nutzen die Daten Ihrer Endnutzer nie für eigene Zwecke, verkaufen sie nie, werten sie nie kundenübergreifend aus und verwenden sie nie zum Training von KI-Modellen; unsere KI- und Sprachanbieter sind vertraglich verpflichtet, ebenfalls nicht damit zu trainieren. Unsere Mitarbeitenden greifen auf Gesprächsinhalte nur zu, um den Dienst zu erbringen, wenn Sie uns um Support bitten, oder um Missbrauch oder einen Sicherheitsvorfall aufzuklären oder soweit das Gesetz es verlangt.

4. Vertraulichkeit

Alle von uns zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet — vertraglich oder gesetzlich — und erhalten nur den Zugriff, den ihre Rolle erfordert.

5. Sicherheit

Wir setzen die in Anlage II aufgeführten Maßnahmen nach Art. 32 DSGVO um. Wir können sie mit der Entwicklung der Plattform verbessern; das Schutzniveau senken wir nicht.

6. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage III. Jeder wird auf Grundlage eines schriftlichen Vertrags eingebunden, der nicht weniger schützt als dieser Vertrag; Ihnen gegenüber bleiben wir voll verantwortlich.

Hinzufügen oder Austausch löst die 30-tägige Vorankündigung samt Widerspruchsrecht aus, die in der Datenschutzerklärung §5 geregelt ist und als Bestandteil dieses Vertrags gilt.

Ihre eigenen Integrationen sind keine Unterauftragsverarbeiter. Wenn Sie Ihr Postfach, Ihren Kalender oder ein anderes System verbinden, fließen Daten dorthin auf Grundlage Ihres eigenen Vertrags mit diesem Anbieter.

7. Wie wir Sie bei Ihren Pflichten unterstützen

Betroffenenanfragen. Sie beantworten sie; wir unterstützen technisch — Transkript-Export, Speicherfristen je Agent, Löschung. Erreicht uns eine Anfrage direkt, leiten wir sie an Sie weiter, statt sie selbst zu beantworten.
Datenschutzverletzungen. Wir informieren Sie unverzüglich, nachdem uns eine Verletzung bekannt wird, die Daten Ihrer Endnutzer betrifft — mit dem, was Sie für Ihre Pflichten nach Art. 33 und 34 benötigen. Unsere eigene Meldezusage gegenüber der Aufsichtsbehörde steht in der Datenschutzerklärung §11.
Folgenabschätzungen. Wir leisten angemessene Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36, unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen.

8. Löschung und Rückgabe

Sie können alle Ihre Daten jederzeit während des laufenden Abonnements als eine Datei exportieren (Einstellungen → Ihre Daten exportieren). Exportieren Sie, was Sie behalten möchten, bevor Sie Ihre Organisation schließen — danach gilt der Ablauf aus den Nutzungsbedingungen §13: vorläufige Löschung, 90 Tage, in denen wir wiederherstellen oder Ihnen auf Anfrage einen vollständigen Export schicken, dann endgültige Löschung.

Die Speicherung während des Abonnements richtet sich nach der Datenschutzerklärung §7. Darüber hinaus bewahren wir Daten nur auf, wenn das Gesetz es verlangt — vor allem bei der gesetzlichen Rechnungsaufbewahrung.

9. Nachweise und Überprüfungen

Wir stellen die Informationen bereit, die Sie zum Nachweis der Einhaltung von Art. 28 benötigen, und ermöglichen sowie unterstützen Überprüfungen durch Sie oder von Ihnen beauftragte Prüfer. Zunächst geschieht dies über unsere eigene Dokumentation und die Zertifizierungen unserer Infrastrukturanbieter (ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3), wie in den Nutzungsbedingungen §15 erwähnt.

10. Internationale Übermittlungen

Wir haben unseren Sitz in den Vereinigten Staaten. Haben Sie Ihren Sitz im EWR, im Vereinigten Königreich oder in der Schweiz oder gilt die DSGVO aus anderen Gründen für diese Verarbeitung, unterliegt die Übermittlung der personenbezogenen Daten Ihrer Endnutzer an uns den Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), Modul 2 (Übermittlung vom Verantwortlichen an den Auftragsverarbeiter), die durch Bezugnahme Bestandteil dieses Vertrags sind; die in ihren Anhängen verlangten Angaben ergeben sich aus diesem Vertrag. Innerhalb dieser Klauseln gilt: Die Kopplungsklausel (Klausel 7) und die fakultative Rechtsbehelfsklausel (Klausel 11) finden keine Anwendung; Unterauftragsverarbeiter sind allgemein genehmigt, mit der in der Datenschutzerklärung §5 beschriebenen Vorankündigung (Klausel 9 Buchst. a, Option 2); zuständige Aufsichtsbehörde ist die des Mitgliedstaats, in dem unser Vertreter in der EU niedergelassen ist, also Deutschland (Klausel 13); die Klauseln unterliegen deutschem Recht, Streitigkeiten werden vor deutschen Gerichten entschieden (Klauseln 17 und 18). Für Übermittlungen, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, gilt zusätzlich das International Data Transfer Addendum des britischen Information Commissioner; für Übermittlungen, die Schweizer Recht unterliegen, gelten die Klauseln mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten verlangten Anpassungen. Weiterübermittlungen an unsere Unterauftragsverarbeiter stützen sich auf die in der Datenschutzerklärung §6 beschriebenen Mechanismen; diese gilt als Bestandteil dieses Vertrags.

11. Vorrang und Haftung

In Datenschutzfragen geht dieser Vertrag den Nutzungsbedingungen vor; im Übrigen gehen die Nutzungsbedingungen vor. Ein unterzeichneter, verhandelter Vertrag geht beiden vor.

Die Haftungsregelungen der Nutzungsbedingungen gelten auch hier. Nichts in diesem Vertrag beschränkt die Rechte betroffener Personen oder die Haftung einer Partei nach Art. 82 DSGVO.

12. Laufzeit und Änderungen

Dieser Vertrag gilt ab Ihrer Zustimmung, solange wir personenbezogene Daten Ihrer Endnutzer verarbeiten.

Wir können ihn bei Änderungen der Rechtslage, der Plattform oder unserer Unterauftragsverarbeiter anpassen. Wesentliche Änderungen kündigen wir mindestens 30 Tage vorher an; wir erfassen, welche Version Ihre Organisation angenommen hat, damit stets klar ist, was wann vereinbart wurde.

13. Datenschutzgesetze der US-Bundesstaaten

Soweit auf die personenbezogenen Informationen Ihrer Endnutzer Datenschutzgesetze von US-Bundesstaaten anwendbar sind — zum Beispiel der California Consumer Privacy Act in der Fassung des California Privacy Rights Act (CCPA/CPRA) und vergleichbare Gesetze anderer Bundesstaaten —, handeln wir als Ihr „Service Provider“ bzw. „Processor“ im Sinne dieser Gesetze. Wir bestätigen, dass wir die folgenden Beschränkungen verstehen und einhalten werden:

Wir verarbeiten diese personenbezogenen Informationen nur zu den Geschäftszwecken der Bereitstellung der Plattform für Sie, nach Ihren Weisungen gemäß diesem Vertrag.
Wir verkaufen oder teilen sie nicht („sell“ bzw. „share“ im Sinne dieser Gesetze).
Wir speichern, nutzen oder offenbaren sie weder zu anderen Zwecken noch außerhalb der unmittelbaren Geschäftsbeziehung zwischen Ihnen und uns.
Wir verknüpfen sie nicht mit personenbezogenen Informationen aus anderen Quellen, außer soweit diese Gesetze es erlauben.
Wir erfüllen die Pflichten, die diese Gesetze uns auferlegen, und gewährleisten das von ihnen verlangte Datenschutzniveau. Können wir diese Pflichten nicht mehr erfüllen, teilen wir Ihnen das mit.
Sie dürfen angemessene und geeignete Maßnahmen ergreifen, um eine unbefugte Nutzung dieser personenbezogenen Informationen zu unterbinden und ihre Folgen zu beheben.

Anlage I — Gegenstand der Verarbeitung

Gegenstand: Betrieb von KI-Agenten in Ihrem Auftrag, die Telefonate, Web-Chat und E-Mail mit Ihren Endnutzern abwickeln.
Art und Zweck: Entgegennahme und Transkription von Unterhaltungen; Erzeugung von Antworten; Abruf aus Ihrer Wissensdatenbank; Lesen und Schreiben Ihrer Datentabellen; Extraktion strukturierter Felder wie Termin oder Lead; Versand von Ihnen konfigurierter Folge-E-Mails; Analyse Ihrer eingehenden Unterhaltungen.
Kategorien betroffener Personen: Ihre Endnutzer — Anrufende Ihrer Sprachagenten, Web-Chat-Besucher, Personen, die Ihren Agenten schreiben, sowie alle, deren Angaben in einer Unterhaltung oder in von Ihnen hochgeladenen Daten vorkommen.
Arten personenbezogener Daten: Rufnummer des Anrufers; Audio und Transkript des Gesprächs; Chat-Transkript und IP-Adresse des Besuchers; E-Mail-Adresse, Nachrichteninhalt und Anhänge; vom Agenten erfasste Felder (Name, Termin, Lead-Score); sowie alles Weitere, was ein Endnutzer sagt oder schreibt. Gesprächsaudio wird nur so lange vorgehalten, wie die Transkription dauert, und danach gelöscht.
Besondere Kategorien: Werden nicht gezielt verarbeitet. Gibt ein Endnutzer solche Daten von sich aus preis — etwa Gesundheitsdaten —, werden sie nur verarbeitet, soweit für die Leistungserbringung erforderlich. Konfigurieren Sie Agenten nicht so, dass sie ohne eigene Rechtsgrundlage besondere Kategorien erheben.
Dauer und Speicherung: Laufzeit Ihres Abonnements zuzüglich der Speicherfristen aus der Datenschutzerklärung §7 (standardmäßig 90 Tage für Unterhaltungen oder die Frist, die Sie je Agent festlegen; einzelne Unterhaltungen lassen sich jederzeit löschen).
Häufigkeit: Fortlaufend, solange Ihre Agenten aktiv sind.

Anlage II — Technische und organisatorische Maßnahmen

Die Maßnahmen, die wir nach Art. 32 DSGVO umsetzen. Es ist dieselbe Liste, die als §11 der Datenschutzerklärung veröffentlicht ist — ein Satz Maßnahmen, dort als Information, hier als vertragliche Zusage.

Der gesamte Datenverkehr wird bei der Übertragung verschlüsselt (TLS 1.2 oder höher).
Ruhende Daten werden mit der integrierten Verschlüsselung unseres Infrastrukturanbieters verschlüsselt.
Die Anmeldung unterstützt Passkeys (WebAuthn) und Codes aus Authentifizierungs-Apps. Zugriff auf Betreiberebene erfordert einen Passkey.
Die Mandantentrennung wird durch die Plattform durchgesetzt – eine Organisation kann die Daten einer anderen Organisation weder lesen noch schreiben.
Geheimnisse (API-Schlüssel, OAuth-Refresh-Token) werden in einem dedizierten Secrets-Manager gespeichert, nicht in der Datenbank.
Jede zustandsverändernde Aktion unserer Betreiber wird mit einer Begründung protokolliert und ist überprüfbar.
Wir verwenden Kundengespräche niemals zum Training von KI-Modellen oder für kundenübergreifende Auswertungen; die Gespräche jeder Organisation dienen nur dieser Organisation.
Keine Stimmprofile, keine biometrischen Identifikatoren. Wir extrahieren, erzeugen oder speichern keine Stimmprofile, Gesichtsprofile oder sonstigen biometrischen Identifikatoren aus dem Audio Ihrer Endnutzer, und wir verwenden Audio nicht, um dieselbe Person über mehrere Anrufe hinweg wiederzuerkennen. Unsere zugrunde liegenden Infrastrukturanbieter übernehmen dieselbe Anweisung.
Kontaktdaten werden in gespeicherten Transkripten standardmäßig geschwärzt — Rufnummern, E-Mail-Adressen und lange Zahlen werden in der gespeicherten Unterhaltung durch Platzhalter ersetzt. Die Schritte nach dem Gespräch, die die echten Werte benötigen, laufen vorher auf einer kurzlebigen, ungeschwärzten Arbeitskopie, die anschließend gelöscht wird und in der Anwendung nie abrufbar ist.

Wir können diese Maßnahmen weiterentwickeln; das Schutzniveau senken wir nicht.

Anlage III — Genehmigte Unterauftragsverarbeiter

Die Unterauftragsverarbeiter, die Sie nach Ziffer 6 genehmigen — dieselbe Liste, die als §5 der Datenschutzerklärung veröffentlicht ist, damit beide nie voneinander abweichen. Verarbeitungsorte und Übermittlungsmechanismen sind dort und in §6 beschrieben.

visibleIT GmbH: Unser verbundenes Unternehmen in Deutschland. Betreibt die Cloud- und Telefonie-Konten der Plattform (Google Cloud, Twilio) in unserem Auftrag, auf Grundlage einer schriftlichen Vereinbarung und nach unseren Weisungen.
Hunoldstr. 13, 34479 Breuna, Germany
Google Ireland Limited / Google LLC: Cloud-Infrastruktur — Hosting, Datenbanken, Authentifizierung, Dateispeicher, Terminplanung, Logging und Zustellung mobiler Benachrichtigungen — sowie Speech-to-Text und die KI-Modelle hinter unseren Sprach-, E-Mail- und Analysefunktionen. Die Verarbeitung erfolgt in der Europäischen Union; einzelne KI-Funktionen können über die globale Infrastruktur des Anbieters bereitgestellt werden. Zertifiziert unter dem EU-US Data Privacy Framework.
cloud.google.com/terms/cloud-privacy-notice · policies.google.com/privacy
Twilio Ireland Limited: Netzbetreiber und Unterauftragnehmer für die Sprachanbindung: Telefonnummern und Gesprächsverbindungen für Sprachagenten, bereitgestellt als Bestandteil des Dienstes. Das gilt für Nummern, die wir bereitstellen. Wenn Sie Ihr eigenes Carrier-Konto verbinden und eigene Nummern einbringen, ist dieser Carrier Ihr Auftragsverarbeiter aus Ihrem eigenen Vertrag und nicht unser Unterauftragsverarbeiter — die Gesprächsaudios erreichen weiterhin die oben beschriebene KI-Verarbeitung.
twilio.com/legal/privacy
ActiveCampaign, LLC (Postmark): Versand und Empfang von E-Mails für die Plattform und die Postfächer der Agenten. Zertifiziert unter dem EU-US Data Privacy Framework.
postmarkapp.com/eu-privacy · postmarkapp.com/privacy-policy
Cloudflare, Inc.: Schutz und Auslieferung unserer öffentlichen Website. Darüber laufen ausschließlich öffentliche Marketingseiten.
cloudflare.com/privacypolicy
Stripe, Inc.: Kartenzahlungen und Rechnungsstellung.
stripe.com/privacy