Auftragsverarbeitungsvertrag (Entwurf)

Verantwortlicher ist der Betrieb, der Callwerk einsetzt (nachfolgend „Auftraggeber“).

Auftragsverarbeiter ist digital crafted GmbH, Quälkampsweg 93a, 22880 Wedel, Deutschland (nachfolgend „Auftragnehmer“).

Gegenstand ist die Entgegennahme eingehender Anrufe für den Auftraggeber, die Erfassung der für die Bearbeitung erforderlichen Angaben sowie deren Bereitstellung in einem geschützten Dashboard.

Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags.

Art der Verarbeitung: Erheben, Aufzeichnen im Sinne der Texterfassung, Organisieren, Speichern, Auslesen und Löschen.

Zweck: Annahme und Dokumentation eingehender Kundenanfragen für den Auftraggeber.

Kategorien betroffener Personen:

• Anrufende Personen — insbesondere Kundinnen und Kunden, Interessenten sowie Mieterinnen und Mieter betreuter Objekte.
• Beschäftigte und Ansprechpartner des Auftraggebers — soweit der Auftraggeber sie im Rahmen der Einrichtung hinterlegt, damit Anfragen zugeordnet werden können.

Kategorien personenbezogener Daten — anrufende Personen:

• Name
• Telefonnummer
• E-Mail-Adresse
• Anschrift
• Beschreibung des Anliegens
• Dringlichkeitskennzeichen
• Terminwunsch mit Datum und Uhrzeit
• Gesprächstranskript und Gesprächszusammenfassung

Kategorien personenbezogener Daten — Beschäftigte und Ansprechpartner des Auftraggebers:

• Name
• Rolle oder Funktion im Betrieb
• geschäftliche Telefonnummer
• geschäftliche E-Mail-Adresse
• allgemeine Verfügbarkeitszeiten
• Leistungen und Zuständigkeitsbereiche
• Kennzeichen, ob die Person bei als dringlich eingestuften Anliegen kontaktiert werden darf

Diese Angaben dienen ausschließlich der Zuordnung eingehender Anfragen. Es findet keine Personalverwaltung statt: keine Arbeitszeiterfassung, keine Urlaubs- oder Schichtplanung, keine Leistungs- oder Verhaltenskontrolle und keine Personalakte.

Offener Punkt: Der Auftraggeber ist dafür verantwortlich, seine Beschäftigten nach Art. 13 DSGVO über diese Verarbeitung zu informieren und die Zulässigkeit nach § 26 BDSG bzw. einer etwaigen Betriebsvereinbarung zu prüfen.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Assistent erfragt sie nicht. Da anrufende Personen von sich aus entsprechende Angaben machen können, sind ein Vermeidungs- und ein Löschkonzept vorzusehen.

Offener Punkt: Ein Verfahren zum Erkennen und Entfernen unbeabsichtigt erfasster besonderer Kategorien ist noch nicht umgesetzt.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

Die im Rahmen der Einrichtung getroffene Konfiguration gilt als dokumentierte Weisung.

Der Auftragnehmer stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragnehmer ergreift die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der aktuelle Stand ist in der Sicherheits- und Verarbeitungsübersicht beschrieben.

Offener Punkt: Für einen Abschluss ist eine verbindliche Anlage erforderlich, die die Maßnahmen abschließend beschreibt. Die verlinkte Übersicht ist derzeit eine Beschreibung des Ist-Zustands, keine Zusicherung.

Dieser Entwurf sieht eine allgemeine Genehmigung zur Inanspruchnahme der nachfolgend genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert über beabsichtigte Änderungen rechtzeitig vorab in Textform; der Auftraggeber kann innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen.

• Vapi

  Telefonieplattform: Annahme eingehender Anrufe, Steuerung des Gesprächs, Sprachausgabe sowie Erzeugung von Transkript und strukturierter Zusammenfassung.

  Ort: Noch zu bestätigen: Verarbeitungsregion von Vapi bestätigen

• Deepgram

  Spracherkennung: Umwandlung des gesprochenen Worts in Text (Modell Nova 3, Sprache Deutsch).

  Ort: Noch zu bestätigen: Verarbeitungsregion von Deepgram bestätigen

• Anthropic

  Sprachmodell für die Gesprächsführung und die Erzeugung der strukturierten Zusammenfassung (Claude Haiku 4.5, eingebunden über Vapi).

  Ort: Noch zu bestätigen: Verarbeitungsregion von Anthropic bestätigen

• Microsoft Azure (Sprachausgabe)

  Sprachsynthese: Umwandlung der Antworten des Assistenten in hörbare Sprache (Stimme „Amala", deutsch), eingebunden über Vapi.

  Ort: Noch zu bestätigen: Verarbeitungsregion von Microsoft Azure bestätigen

• Make (Make.com)

  Automatisierung: Empfang des Anrufberichts von Vapi und Übertragung der Gesprächsdaten in die Supabase-Datenbank.

  Ort: Noch zu bestätigen: Verarbeitungsregion des Make-Kontos bestätigen

• Supabase

  Datenbank und Benutzerauthentifizierung für das Callwerk-Dashboard sowie Zielsystem der von Make übertragenen Gesprächsdaten.

  Ort: Noch zu bestätigen: Speicherregion des Supabase-Projekts bestätigen

Offener Punkt: Die Liste ist noch nicht vertraglich verwendbar. Vapis vollständige Subprozessorenliste, Regionen, DPA/AVV und etwaige SCC stehen trotz versendeter Datenschutzanfrage aus. Auch die Vertragsketten zu Deepgram, Anthropic und Microsoft Azure sind zu bestätigen.

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Lösch- oder Einschränkungsverlangen an den Auftragnehmer, leitet dieser das Verlangen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte.

Offener Punkt: Die technischen Funktionen für Auskunft und Löschung einzelner Anrufdatensätze sind vorbereitet, aber noch nicht aktiv.

Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich und unterstützt ihn bei den Pflichten aus Art. 32 bis 36 DSGVO.

Offener Punkt: Eine konkrete Meldefrist gegenüber dem Auftraggeber ist festzulegen. Sie muss so bemessen sein, dass der Auftraggeber die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

Nach Abschluss der Erbringung löscht der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Während der Vertragslaufzeit sind folgende Fristen vorgesehen:

• Audioaufnahmen neuer Gespräche: entfällt — die Aufzeichnung ist deaktiviert
• Wortgenaue Gesprächstranskripte: 30 Tage (Entwurf)
• Gesprächszusammenfassungen: 12 Monate (Entwurf)
• Kontaktdaten von Anrufenden: 12 Monate nach dem letzten Kontakt (Entwurf)
• Anliegen, Terminwünsche und Statusangaben: 12 Monate (Entwurf)

Offener Punkt: Diese Fristen sind Entwürfe. Ihre Aktivierung in einer späteren Pilotumgebung ist nicht nachgewiesen; für Vapi fehlen bestätigte Fristen und Aussagen zur vollständigen Löschung einschließlich Backups und Subprozessoren.

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen. Diese sind mit angemessener Vorlaufzeit anzukündigen und dürfen den Betrieb nicht unangemessen beeinträchtigen.

Ein Abschluss ist derzeit nicht möglich. Sobald der Text geprüft und die weiterhin offenen Anbieter- und Vertragsangaben geklärt sind, wird an dieser Stelle eine unterzeichnungsfähige Fassung zum Herunterladen bereitgestellt.

Offener Punkt: Bis dahin darf dieser Entwurf keinem Kundenbetrieb als abschlussfähiges Dokument übermittelt werden.