Auftragsverarbeitungsvertrag

Zwischen dem Auftraggeber (nachfolgend "Verantwortlicher"), der den KI-Telefonassistenten von Yumita nutzt,

und

Yumita
Yusuf Albayrak
yusuf@yumita.net
(nachfolgend "Auftragsverarbeiter")

wird folgender Vertrag ueber die Auftragsverarbeitung (nachfolgend "AV-Vertrag") geschlossen.

Gegenstand: Der Auftragsverarbeiter stellt dem Verantwortlichen einen KI-Telefonassistenten als Software-as-a-Service (SaaS) bereit. Dies umfasst die automatisierte Annahme von Telefonanrufen, deren Aufzeichnung, Transkription, KI-gestuetzte Zusammenfassung sowie die Benachrichtigung des Verantwortlichen.

Dauer: Dieser AV-Vertrag gilt fuer die gesamte Laufzeit des SaaS-Vertrags und endet mit dessen Beendigung.

• Erhebung und Speicherung von Anruferdaten
• Aufzeichnung und Speicherung von Telefongespraechen (Audio)
• Automatische Transkription der Gespraeche
• KI-gestuetzte Analyse und Zusammenfassung
• Kategorisierung nach Dringlichkeit und Anruftyp
• Benachrichtigung des Verantwortlichen (Telegram, E-Mail, Webhook)
• Loeschung auf Anweisung des Verantwortlichen

• Telefonnummern der Anrufer
• Namen der Anrufer (soweit im Gespraech genannt)
• Gespraechsaufzeichnungen (Audiodateien)
• Transkripte der Gespraeche
• KI-generierte Zusammenfassungen
• Metadaten (Zeitpunkt, Dauer, Dringlichkeit)

Hinweis: Je nach Branche des Verantwortlichen koennen besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO betroffen sein (z.B. Gesundheitsdaten bei Arztpraxen). Der Verantwortliche ist verpflichtet, den Auftragsverarbeiter hierueber zu informieren.

• Anrufer / Kunden des Verantwortlichen
• Geschaeftspartner des Verantwortlichen
• Sonstige Personen, die den Verantwortlichen telefonisch kontaktieren

• Verarbeitung personenbezogener Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen
• Gewaehrleistung der Vertraulichkeit (alle Mitarbeiter sind zur Vertraulichkeit verpflichtet)
• Keine Nutzung der Daten fuer eigene Zwecke, insbesondere kein Training von KI-Modellen mit Kundendaten
• Unverzuegliche Information des Verantwortlichen bei rechtswidrigen Weisungen
• Unterstuetzung bei der Erfuellung von Betroffenenrechten (Art. 15-22 DS-GVO)
• Unverzuegliche Meldung von Datenschutzverletzungen (innerhalb von 24 Stunden)
• Unterstuetzung bei Datenschutz-Folgenabschaetzungen (Art. 35 DS-GVO)
• Zusammenarbeit mit Aufsichtsbehoerden

Der Auftragsverarbeiter trifft folgende Massnahmen gemaess Art. 32 DS-GVO:

Vertraulichkeit

• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (Row Level Security)
• Authentifizierung ueber Supabase Auth mit verschluesselten Passwoertern
• Mandantentrennung: Strikte Datenisolierung pro Kunde

Integritaet

• Transportverschluesselung: TLS 1.2+ fuer alle Verbindungen
• Speicherverschluesselung: AES-256 at rest (Supabase/AWS)
• Eingabekontrolle: Protokollierung aller Datenveraenderungen

Verfuegbarkeit

• Hosting auf Vercel (Edge Network, automatische Skalierung)
• Datenbank auf Supabase (automatische Backups, Region Frankfurt/EU)
• Redundante Infrastruktur bei allen Cloud-Anbietern

Belastbarkeit

• Rate Limiting zum Schutz vor Ueberlastung
• Automatische Skalierung bei erhoehtem Aufkommen

Loeschkonzept

• DSGVO-konforme Loeschfunktion im Dashboard ("Erledigt & Daten loeschen")
• Loeschung umfasst: Name, Telefonnummer, Zusammenfassung, Transkript, Audioaufnahme
• Anonymisierter Datensatz verbleibt als Tombstone (verhindert Re-Sync)

Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragnehmer. Der Auftragsverarbeiter informiert den Verantwortlichen vor Hinzufuegen oder Wechsel eines Unterauftragnehmers. Der Verantwortliche hat ein Einspruchsrecht.

DPF: EU-US Data Privacy Framework. SCCs: EU-Standardvertragsklauseln (Standard Contractual Clauses).

• Der Verantwortliche hat das Recht, Inspektionen durchzufuehren oder durch beauftragte Pruefer durchfuehren zu lassen
• Der Auftragsverarbeiter stellt alle erforderlichen Informationen bereit
• Inspektionen sind mit angemessener Vorlaufzeit (14 Tage) anzukuendigen
• Alternativ koennen aktuelle Zertifikate oder Pruefberichte vorgelegt werden

• Nach Vertragsende werden alle personenbezogenen Daten innerhalb von 30 Tagen geloescht
• Auf Wunsch des Verantwortlichen werden die Daten vor Loeschung in einem gaengigen Format exportiert und uebergeben
• Der Auftragsverarbeiter bestaetigt die vollstaendige Loeschung auf Anfrage schriftlich
• Ausgenommen sind Daten, fuer die eine gesetzliche Aufbewahrungspflicht besteht

Es gelten die Haftungsregelungen nach Art. 82 DS-GVO. Der Auftragsverarbeiter haftet gegenueber dem Verantwortlichen fuer Schaeden, die durch eine nicht den Weisungen des Verantwortlichen oder nicht der DS-GVO entsprechende Verarbeitung entstehen.

• Aenderungen dieses Vertrags beduerfen der Schriftform
• Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Uebrigen wirksam
• Es gilt deutsches Recht
• Gerichtsstand ist der Sitz des Auftragsverarbeiters