Vertrag zur Auftragsverarbeitung
Muster nach Art. 28 DSGVO. Entwurf, Stand: 6. November 2026
Entwurf, noch nicht gültig. Dieses Muster wurde noch nicht anwaltlich geprüft und wird erst nach dieser Prüfung verwendet. Gelb markierte Stellen sind noch offen.
Auftraggeber (Verantwortlicher): ______________________________ (Name und Anschrift des Betriebs, wird je Vertrag eingetragen)
Auftragnehmer (Auftragsverarbeiter): Nie Besetzt GbR, Am Mühlenbusch 56, 42781 Haan
1. Gegenstand und Dauer
Der Auftragnehmer betreibt für den Auftraggeber einen KI-Telefonassistenten. Art, Zweck, Daten und betroffene Personen stehen in Anlage 1. Der Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, bis alle Daten gelöscht sind.
2. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, außer das Unionsrecht oder das Recht eines Mitgliedstaats verlangt etwas anderes. Darüber informiert er vorab, soweit das erlaubt ist. Hält er eine Weisung für rechtswidrig, sagt er das unverzüglich. Der Hauptvertrag und dieser Vertrag sind die ersten Weisungen, auch für die Übermittlungen in Anlage 3.
3. Vertraulichkeit und Sicherheit
Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 stehen, und darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
4. Unterauftragnehmer
Der Auftraggeber erlaubt die Unterauftragnehmer in Anlage 3 und erteilt die allgemeine Genehmigung für weitere. Der Auftragnehmer kündigt Änderungen mindestens 21 Tage vorher in Textform an. Der Auftraggeber kann aus Datenschutzgründen widersprechen. Lässt sich keine Lösung finden, kann jede Seite den betroffenen Teil der Leistung kündigen. Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich auf vergleichbare Datenschutzpflichten und haftet für sie nach Art. 28 Abs. 4 DSGVO.
5. Übermittlung in Drittländer
Daten werden auch außerhalb der EU verarbeitet, wie Anlage 3 zeigt. Grundlage sind ein Angemessenheitsbeschluss oder Standardvertragsklauseln nach Kapitel V DSGVO. Fällt eine Grundlage weg, informiert der Auftragnehmer den Auftraggeber und sucht eine Ersatzlösung.
6. Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei Sicherheit, Meldungen von Datenpannen, Datenschutz-Folgenabschätzungen und Konsultationen der Behörde (Art. 32 bis 36 DSGVO). Anfragen betroffener Personen, die bei ihm eingehen, leitet er unverzüglich weiter. Einen Aufwand, der über das Übliche hinausgeht, kann er nach Absprache berechnen.
7. Datenpannen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem er davon erfahren hat, mit den Angaben, die ihm vorliegen.
8. Nachweise und Kontrollen
Der Auftragnehmer stellt alle Informationen bereit, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen, und ermöglicht Überprüfungen nach angemessener Vorankündigung. Für Unterauftragnehmer genügen in der Regel deren Prüfberichte und Zertifikate.
9. Löschung
Gesprächstexte, Zusammenfassungen und erfasste Angaben werden 30 Tage nach dem Gespräch automatisch gelöscht. Termine im Kundenbereich werden 30 Tage nach dem Termin automatisch gelöscht, Wünsche ohne feste Zeit 30 Tage nach dem Gespräch. Rückmeldungen zu Anrufen bleiben danach nur als Summen ohne Personenbezug. Nach Vertragsende löscht der Auftragnehmer verbliebene Daten oder gibt sie auf Wunsch zurück, außer eine Aufbewahrungspflicht steht entgegen. Bei Unterauftragnehmern gelten deren Löschfristen, soweit sie nicht kürzer vereinbart sind, einschließlich Datensicherungen.
10. Pflichten des Auftraggebers
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung und die Information der Anrufer verantwortlich. Dafür nutzt er Anlage 4 oder eine eigene Fassung.
Ort, Datum, Unterschrift Auftraggeber
Ort, Datum, Unterschrift Nie Besetzt GbR (beide Gesellschafter)
Anlage 1: Daten und Betroffene
- Zweck: Anrufe annehmen, Auskünfte geben, Anliegen aufnehmen, Bericht an den Auftraggeber schicken, Berichte, Rückmeldungen und Termine im Kundenbereich bereitstellen, vom Auftraggeber bestätigte Schließzeiten an den Assistenten geben, Nutzung abrechnen. Wenn der Auftraggeber es einschaltet, außerdem Termine zur Übertragung in den eigenen Kalender bereitstellen (Zeit, Dauer, Status und Bezeichnung der Leistung, ohne Namen, Kennzeichen und Rufnummern). Das Kalenderprogramm dafür wählt der Auftraggeber selbst und in eigener Verantwortung. [Rechtsprüfung: Weitergabe an den vom Auftraggeber gewählten Kalender-Anbieter und Abruf über einen Link ohne Anmeldung prüfen]
- Betroffene: Anrufende und in den Gesprächen genannte Personen, Beschäftigte des Auftraggebers als Empfänger der Berichte.
- Daten: Stimme während des Gesprächs (ohne Speicherung als Tonaufnahme), Gesprächstext, Rufnummer, Zeit und Dauer, Name, Anliegen, Fahrzeugangaben, Kennzeichen, Wunschtermin, Zusammenfassung und alles, was Anrufende von sich aus sagen. Im Kundenbereich dazu, was der Auftraggeber einträgt: Erledigt-Vermerke, Auftrag und Auftragswert, Termine mit Name und Fahrzeug.
- Besondere Datenkategorien: Nicht vorgesehen. Eine Identifizierung über die Stimme findet nicht statt. Anrufende können solche Angaben aber von sich aus machen.
Anlage 2: Technische und organisatorische Maßnahmen
- Verschlüsselte Verbindung zum Server (HTTPS).
- Leitstand und Kundenbereich nur mit Anmeldung, Passwörter nicht im Klartext gespeichert, Schutz vor massenhaften Anmeldeversuchen. Ausnahme ist die freiwillige Übertragung in den eigenen Kalender: Sie läuft über einen langen, zufälligen Link, den der Auftraggeber jederzeit ersetzen oder abschalten kann.
- Anrufdaten erreichen den Server nur über Webhooks mit gültiger Signatur.
- Tonaufnahme beim Assistenten ausgeschaltet. Das eigene System speichert kein Transkript, sondern nur Zusammenfassung und erfasste Angaben.
- Automatische Löschung nach 30 Tagen im eigenen System und beim Assistenten.
- Schlüssel liegen nur in geschützten Konfigurationsdateien und nie im Programmcode.
- Zugriff haben nur die beiden Gesellschafter.
- [Ergänzen, sobald der Server steht: Standort, Verschlüsselung der Daten auf dem Server, Datensicherung, Updates, Zwei-Faktor-Anmeldung bei ElevenLabs und beim Server]
Anlage 3: Unterauftragnehmer
| Unternehmen | Aufgabe | Ort und Grundlage |
|---|---|---|
| Eleven Labs Inc., 169 Madison Ave #2484, New York, USA, samt deren Unterauftragnehmern | Spracherkennung, Sprachausgabe, Gesprächssteuerung, Speicherung des Gesprächstexts bis zu 30 Tage | USA und weitere Länder möglich. EU-U.S. Data Privacy Framework und Standardvertragsklauseln laut ElevenLabs DPA |
| Google Cloud Platform (Vertex AI), von ElevenLabs angesteuert | Betrieb des Sprachmodells von Anthropic für die Antworten | USA, EU oder Singapur laut Unterauftragnehmer-Liste von ElevenLabs (Stand 6.11.2026). Angemessenheitsbeschluss oder Standardvertragsklauseln laut Auftragsverarbeitungsvertrag von ElevenLabs |
| Anthropic | Einordnung der Anliegen im Kundenbereich, falls darin trotz Hinweis Daten stehen | [Vertragspartner, Ort und Grundlage aus dem Vertrag mit Anthropic eintragen] |
| [Telefon-Anbieter] | Annahme weitergeleiteter Anrufe | [Ort und Grundlage] |
| [Hosting-Anbieter] | Betrieb des Servers | [Ort und Grundlage] |
| [E-Mail-Anbieter] | Versand der Anrufberichte | [Ort und Grundlage] |
Anlage 4: Textbaustein für die Datenschutzhinweise des Betriebs
KI-Telefonassistent. Wenn wir einen Anruf nicht selbst annehmen können, nimmt ihn ein KI-Assistent an. Er sagt das zu Beginn des Gesprächs. Er wandelt Ihre Stimme live in Text um, beantwortet einfache Fragen und nimmt Ihr Anliegen auf. Eine Tonaufnahme wird nicht gespeichert.
Wir verarbeiten dabei Ihre Rufnummer, Ihre Angaben im Gespräch, den Gesprächstext und eine Zusammenfassung, um Ihr Anliegen zu bearbeiten und Sie zurückzurufen. Rechtsgrundlagen sind die Durchführung vorvertraglicher Maßnahmen oder eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Anrufe auch dann entgegenzunehmen, wenn gerade niemand abnehmen kann (Art. 6 Abs. 1 lit. f DSGVO).
Dienstleister in unserem Auftrag sind die Nie Besetzt GbR, Am Mühlenbusch 56, 42781 Haan, und deren Unterauftragnehmer, darunter Eleven Labs Inc., USA. Grundlage der Übermittlung in die USA sind das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Gesprächstext und Bericht werden bei den Dienstleistern nach 30 Tagen gelöscht. Was wir daraus in unsere Unterlagen übernehmen, löschen wir nach unseren üblichen Fristen.
Wenn Sie nicht mit dem Assistenten sprechen möchten, legen Sie einfach auf und rufen Sie uns später an oder schreiben Sie uns. Ihr Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch können Sie jederzeit bei uns geltend machen.