Vereinbarung über die Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO

Version 1.0

Stand: 13.08.2026

---

Verantwortlicher

Der Kunde, welcher mit DIE KI-MA Betreuer GmbH einen Vertrag über die Erbringung von Leistungen im Zusammenhang mit KI-gestützten Automatisierungslösungen abgeschlossen hat (im Folgenden „Auftraggeber")

Auftragsverarbeiter

DIE KI-MA Betreuer GmbH

Püchlgasse 1B/214

1190 Wien

Österreich

(im Folgenden „Auftragnehmer")

Diese Vereinbarung zur Auftragsverarbeitung ist – sofern zwischen den Parteien nichts Abweichendes vereinbart wurde – fixer Bestandteil der Allgemeinen Geschäftsbedingungen des Auftragnehmers (abrufbar unter diekibetreuer.com/agb). Sie kommt immer dann zur Anwendung, wenn der Auftragnehmer im Zuge der Bereitstellung seiner Leistungen personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

Weitere Informationen zum Unternehmen: Impressum · Datenschutzerklärung

1. Gegenstand und Hintergrund der Verarbeitung

1.1 Der Auftragnehmer erbringt folgende Leistung: Einrichtung, Konfiguration und laufende Betreuung KI-gestützter Automatisierungslösungen für Geschäftskunden – insbesondere KI-Voice-Agents für die Telefonie, KI-gestützten Support über WhatsApp und E-Mail, Kalendermanagement sowie CRM- und Datenpflege – einschließlich der dazugehörigen persönlichen Vor-Ort-Betreuung.

1.2 Der Auftraggeber beabsichtigt, diese Leistungen in Anspruch zu nehmen bzw. nimmt diese bereits in Anspruch.

1.3 Diese Vereinbarung regelt die Bedingungen, unter denen der Auftragnehmer im Auftrag und nach Weisung des Auftraggebers personenbezogene Daten im Einklang mit der DSGVO verarbeitet. Der Auftragnehmer handelt dabei als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

2. Art, Zweck und Rechtsgrundlage der Verarbeitung

2.1 Die konkrete Leistungsbeschreibung ergibt sich aus den AGB des Auftragnehmers (diekibetreuer.com/agb).

2.2 Der Auftraggeber übermittelt dem Auftragnehmer die zur Leistungserbringung notwendigen personenbezogenen Daten auf dem jeweils passenden Weg – etwa elektronisch, physisch, mündlich, im Rahmen von Beratungsgesprächen oder über eingesetzte Software-Tools.

2.3 Die Verarbeitung kann u. a. folgende Vorgänge umfassen: Erheben, Speichern, Ordnen, Anpassen, Abfragen, Verknüpfen, Einschränken, Löschen, Kombinieren, Kopieren, Übermitteln, Analysieren sowie Aktualisieren – jeweils soweit dies zur vereinbarten Leistungserbringung erforderlich ist.

2.4 Zweck der Verarbeitung ist die vertraglich vereinbarte Leistungserbringung gegenüber dem Auftraggeber.

2.5 Eine Prüfpflicht des Auftragnehmers hinsichtlich der Rechtmäßigkeit der vom Auftraggeber veranlassten Datenverarbeitungen besteht nicht.

3. Betroffene Daten und Personengruppen

3.1 Im Rahmen der Leistungserbringung können insbesondere folgende Datenkategorien verarbeitet werden:

Kontakt- und Identifikationsdaten

Telefonnummern und Telefonie-Metadaten

Rechnungs- und Zahlungsdaten

Audio-Sprachdaten aus Telefongesprächen

Transkripte und Gesprächsinhalte

Terminbezogene Daten

CRM- und Konfigurationsdaten (z. B. in GoHighLevel)

Daten aus automatisierten Workflows (z. B. via Make, Zapier, n8n)

Sales- und Kontaktdaten aus Vertriebstools (z. B. Apollo.io)

Nutzungs- und Interaktionsdaten

Geräte- und Browserinformationen, IP-Adressen

Technische Zugangs- und Authentifizierungsdaten (z. B. API-Keys)

E-Mail-, WhatsApp- und sonstige Kommunikationsdaten

Log- und Fehlerdaten

KI-Prompts und damit zusammenhängende Informationen

Freitextangaben der Gesprächsteilnehmer

3.2 Sofern für die konkrete Leistungserbringung erforderlich (z. B. bei Kunden aus dem Gesundheits- oder Praxisbereich), können auch besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO – insbesondere Gesundheitsdaten – verarbeitet werden.

3.3 Von der Verarbeitung betroffen sind grundsätzlich alle Personengruppen, die für die Leistungserbringung relevant sind, insbesondere: Kunden und Kundinnen des Auftraggebers, Mitarbeitende des Auftraggebers, Vertragspartner, Partner und Lieferanten des Auftraggebers sowie Kunden der Kunden des Auftraggebers.

3.4 Da der Auftragnehmer diese Liste nicht laufend selbst überprüfen kann, verpflichtet sich der Auftraggeber, notwendige Änderungen unverzüglich mitzuteilen.

3.5 Keine Stimmerkennung: Im Rahmen der Leistungserbringung wird keine Stimmidentifikation oder -verifikation vorgenommen. Es werden keine Voiceprints oder Stimm-Templates erstellt, gespeichert oder verglichen, und es kommen keine Verfahren zum Einsatz, die auf eine eindeutige oder gesprächsübergreifende Wiedererkennung einer Person anhand ihrer Stimme abzielen. Audio-Sprachdaten dienen ausschließlich der Sprachein-/-ausgabe sowie der Transkription.

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verpflichtet sich, die Vorgaben der DSGVO während der gesamten Vertragslaufzeit einzuhalten.

4.2 Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers, wie sie sich aus dem zwischen den Parteien geschlossenen Vertrag ergibt.

4.3 Es wird der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) beachtet.

4.4 Zugriff auf personenbezogene Daten des Auftraggebers erhalten ausschließlich Personen, die diesen aus vertraglichen oder gesetzlichen Gründen benötigen. Alle zugriffsberechtigten Personen beim Auftragnehmer werden zur Vertraulichkeit verpflichtet.

4.5 Der Auftragnehmer trifft und hält alle geeigneten technischen und organisatorischen Maßnahmen (TOMs) nach dem Stand der Technik aufrecht (siehe Anhang 1).

4.6 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten aus der DSGVO, insbesondere im Hinblick auf die Rechte betroffener Personen sowie bei Meldepflichten (Meldung von Vorfällen spätestens binnen 24 Stunden).

5. Sub-Auftragsverarbeiter

5.1 Je nach beauftragter Leistung werden bestimmte, zugelassene Sub-Auftragsverarbeiter in die Verarbeitung einbezogen. Die zum Zeitpunkt des Vertragsschlusses genehmigten Sub-Auftragsverarbeiter sind in Anhang 3 aufgeführt.

5.2 Der Einsatz von Sub-Auftragsverarbeitern kann zu einer Datenübermittlung in Drittländer führen. Der Auftragnehmer stellt sicher, dass dabei die Vorgaben der Art. 44–49 DSGVO eingehalten werden.

5.3 Mit jedem Sub-Auftragsverarbeiter wird ein Vertrag gemäß Art. 28 Abs. 4 DSGVO geschlossen.

5.4 Die Beauftragung neuer oder die Änderung bestehender Sub-Auftragsverarbeiter ist zulässig, wenn der Auftragnehmer dies mindestens zwei Wochen im Voraus ankündigt und der Auftraggeber nicht innerhalb dieser Frist widerspricht.

6. Kontrolle und Nachweis

6.1 Der Auftragnehmer ermöglicht dem Auftraggeber bzw. von ihm beauftragten Vertreter:innen die Durchführung von Audits zur Überprüfung dieser Vereinbarung. Die Kosten trägt grundsätzlich der Auftraggeber.

6.2 Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der DSGVO-Konformität erforderlichen Informationen zur Verfügung.

7. Laufzeit und Beendigung

7.1 Diese Vereinbarung gilt für die Dauer der Verarbeitungstätigkeiten.

7.2 Nach Beendigung der Vereinbarung wird der Auftragnehmer die verarbeiteten Daten nach Wahl des Auftraggebers löschen oder übergeben. Äußert sich der Auftraggeber nicht, löscht der Auftragnehmer die Daten 30 Tage nach Vertragsende (vorbehaltlich gesetzlicher Aufbewahrungspflichten).

8. Pflichten, Verantwortlichkeit und Haftung des Auftraggebers

8.1 Im Sinne der DSGVO agiert der Auftraggeber als alleiniger Verantwortlicher (Art. 4 Nr. 7 DSGVO). Er trägt die volle rechtliche Verantwortung dafür, dass alle von ihm genutzten Prozesse, die Inanspruchnahme der Leistungen des Auftragnehmers sowie die Einbindung sämtlicher eingesetzter Software-Tools mit den geltenden datenschutzrechtlichen Bestimmungen konform sind.

8.2 Der Auftraggeber verpflichtet sich ausdrücklich, die Zusammenarbeit mit dem Auftragnehmer und alle hierbei eingesetzten externen Tools und Workflows in seinen eigenen Datenschutzhinweisen (Datenschutzerklärung) sowie gegebenenfalls in seinen AGB transparent, ordnungsgemäß und vollständig auszuweisen.

8.3 Der Auftraggeber stellt eigenverantwortlich sicher, dass die erforderlichen Rechtsgrundlagen (z. B. Einwilligung oder berechtigtes Interesse) für die Erhebung und Verarbeitung der Daten seiner Endkunden und Leads – insbesondere bei der Nutzung von Drittanbieter-Tools – rechtmäßig vorliegen.

8.4 Haftungsfreistellung: Der Auftraggeber stellt den Auftragnehmer von jeglichen Ansprüchen Dritter (insbesondere von betroffenen Personen, Aufsichtsbehörden oder Mitbewerbern) sowie von behördlichen Bußgeldern vollumfänglich frei, die aufgrund von Datenschutzverstößen des Auftraggebers, fehlenden oder fehlerhaften Datenschutzhinweisen oder einer unzulässigen Nutzung der zur Verfügung gestellten Tools (insbesondere bei US-Diensten wie Apollo.io) geltend gemacht werden.

9. Schlussbestimmungen

9.1 Änderungen und Ergänzungen bedürfen der Schriftform.

9.2 Diese Vereinbarung unterliegt österreichischem Recht. Gerichtsstand ist Wien.

9.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag davon unberührt.

Anhang 1 – Technische und organisatorische Maßnahmen (TOMs)

Hosting in zertifizierten Rechenzentren: Eingesetzte Infrastruktur wird bei Anbietern mit anerkannten Sicherheitszertifizierungen betrieben.

Netzwerksicherheit & Verschlüsselung: Firewalls und aktuelle Verschlüsselungsstandards (TLS/HTTPS). Daten werden sowohl gespeichert als auch bei der Übertragung verschlüsselt.

Zugriffs- und Berechtigungskonzept: Need-to-know- und Least-Privilege-Prinzip; Multi-Faktor-Authentifizierung und Passwortmanager.

Trennung von Systemen: Echte Kundendaten werden nicht in Testsystemen verwendet.

Backups & Protokollierung: Regelmäßige Datensicherungen und nachvollziehbare Zugriffsprotokollierung.

Organisatorische Maßnahmen: Führung eines Verarbeitungsverzeichnisses, regelmäßige Security-Awareness-Schulungen, dokumentierter Incident-Response-Prozess und definiertes Löschkonzept.

Anhang 2 – Ergänzende Bestimmungen

Personenbezogene Daten werden weder vom Auftragnehmer noch von dessen Sub-Auftragsverarbeitern zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen verwendet.

Für alle in Anhang 3 genannten Sub-Auftragsverarbeiter gelten die im Kundenvertrag bzw. in der Datenschutzerklärung des Anbieters genannten Speicherfristen; im Übrigen gilt Ziffer 7.2 dieser Vereinbarung.

Anhang 3 – Sub-Auftragsverarbeiter

HighLevel Inc. (GoHighLevel), 400 North Saint Paul Street, Dallas, TX 75201, USA

Leistung: CRM-, Telefonie- und Kommunikationsplattform

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4) / EU-US Data Privacy Framework, Server in den USA.

Twilio Ireland Limited, 25-28 North Wall Quay, Dublin, Irland

Leistung: Telefonie-Infrastruktur (Anrufversand/-empfang, SMS)

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln / EU-US Data Privacy Framework, Server in den USA.

Vapi Inc. (Vapi.ai), San Francisco, CA, USA

Leistung: Sprach-KI-Plattform zum Betrieb von Voice-Agents

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4), Server in den USA.

ElevenLabs Inc., 169 Madison Ave #2484, New York, NY 10016, USA

Leistung: Text-to-Speech (Sprachausgabe für Voice-Agents)

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4), Server in den USA.

Celonis Inc. (Make) / Celonis Deutschland GmbH, Theresienstraße 1, 80333 München, Deutschland

Leistung: Workflow-Automatisierung / Integrationsplattform

Rechtsgrundlage / Serverstandort: EU-Hosting / Serverstandort: Europa (EU)

Zapier Inc., 548 Market Street #62411, San Francisco, CA 94104, USA

Leistung: Workflow-Automatisierung / Integrationsplattform

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4), Server in den USA.

n8n GmbH, Berlin, Deutschland

Leistung: Workflow-Automatisierung / Integrationsplattform

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4) für genutzte Instanz auf US-Servern.

Apollo.io Inc., 415 Mission Street, Floor 37, San Francisco, CA 94105, USA

Leistung: Sales-Intelligence- und Kontaktdatenplattform

Rechtsgrundlage / Serverstandort: Standardvertragsklauseln (Modul 4), Server in den USA.

Besonderer Haftungshinweis zu Apollo.io: Der Auftraggeber trägt die alleinige datenschutzrechtliche Verantwortung für den Einsatz von Apollo.io (insbesondere im Bereich der B2B-Kaltakquise). Er verpflichtet sich, diesen Drittlandtransfer sowie den Einsatz des Tools in seinen eigenen Datenschutzhinweisen auszuweisen und die rechtlichen Voraussetzungen für die Ansprache sicherzustellen. Der Auftragnehmer übernimmt hierfür keine Haftung und wird vom Auftraggeber diesbezüglich vollumfänglich schad- und klaglos gehalten.

Anhang 4 – Verschwiegenheitsverpflichtung

Unterliegt der Auftraggeber einer gesetzlichen berufsrechtlichen Verschwiegenheitspflicht (z. B. als Ärzt:in, Rechtsanwält:in, Steuerberater:in), gilt ergänzend eine gesonderte Verpflichtungserklärung zur Verschwiegenheit und zum Datenschutz gemäß § 121 StGB, § 54 ÄrzteG, § 9 RAO bzw. § 80 WTBG 2017 sowie § 6 DSG. Diese ist auf Anfrage beim Auftragnehmer erhältlich und gilt mit Vertragsschluss als vereinbart, ohne dass es einer gesonderten Unterzeichnung bedarf.