Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO) ist das Unternehmen bzw. der gewerbliche Nutzer, der VoiceField nutzt und diesen Vertrag bei der Registrierung oder in den Einstellungen abschließt.
Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO) ist:
Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (Hauptvertrag). Er wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer speichert als Nachweis, welche Version wann von wem abgeschlossen wurde.
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung von VoiceField, einem CRM für den Außendienst: Sprach-Memos werden transkribiert, mit KI ausgewertet und in Kontakte, Deals, Aufgaben, E-Mail-Entwürfe und Dokumente überführt.
Der Vertrag gilt für die Laufzeit des Hauptvertrags. Die Pflichten aus § 9 (Löschung und Rückgabe) gelten darüber hinaus.
| Art und Zweck | Speichern, Transkribieren, KI-gestütztes Auswerten, Strukturieren, Anzeigen, Übermitteln (z. B. Versand freigegebener E-Mails) und Löschen von Daten zur Kundenbetreuung und Vertriebssteuerung des Auftraggebers |
|---|---|
| Art der Daten | Kontakt- und Stammdaten (Name, Firma, Funktion, E-Mail, Telefon, Adresse), Gesprächsinhalte (Sprachaufnahmen, Transkripte, Gesprächsnotizen), Vertriebsdaten (Deals, Beträge, Stufen, Aufgaben), Kommunikationsdaten (E-Mail-Entwürfe), Dokumente (Angebote, Auftragsbestätigungen, Rechnungen), Nutzer- und Teamdaten (Name, E-Mail, Rolle, Zuständigkeit), Protokolldaten |
| Betroffene Personen | Kunden, Interessenten und deren Ansprechpartner; Beschäftigte und sonstige Nutzer des Auftraggebers |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Sprachaufnahmen werden ausschließlich transkribiert und nicht zur Identifizierung von Personen ausgewertet.
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet. Weisungen erteilt der Auftraggeber in erster Linie durch die Nutzung der Funktionen und Einstellungen von VoiceField (z. B. Freigeben, Bearbeiten, Löschen, Zuweisen), im Übrigen in Textform.
Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO). Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage vorher per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag außerordentlich kündigen.
Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), soweit der Auftraggeber sie nicht selbst über die Funktionen von VoiceField erfüllen kann. Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter.
Er unterstützt den Auftraggeber außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
Speicherdauer der Sprachaufnahmen. Der Auftraggeber weist den Auftragnehmer an, jede Sprachaufnahme 90 Tage nach der Aufnahme automatisch und endgültig zu löschen. Transkripte, KI-Auswertungen und CRM-Daten bleiben davon unberührt. In der App ist bei jeder Aufnahme das Löschdatum angegeben.
Ausscheiden von Nutzern. Löscht ein Nutzer im Team des Auftraggebers sein Konto oder wird er von einem Manager entfernt, weist der Auftraggeber den Auftragnehmer hiermit an: Kontakte, Deals, Memos mit Transkripten, E-Mail-Entwürfe, Dokumente und Aufgaben dieses Nutzers gehen an einen Manager des Auftraggebers über. Die Sprachaufnahmen des Nutzers werden gelöscht; eine zu diesem Zeitpunkt noch laufende Transkription wird zuvor abgeschlossen. Übernommene Kontakte werden vorübergehend mit dem Namen des ausgeschiedenen Nutzers gekennzeichnet, bis ein Manager die Zuständigkeit neu festlegt.
Beitritt mit bestehenden Daten. Tritt ein Nutzer mit einem bisher allein genutzten Konto dem Team des Auftraggebers bei, wählt er beim Beitritt, ob seine Kontakte, Deals und Memos in das Team übergehen oder gelöscht werden. Dokumente und Rechnungen des bisherigen Kontos werden in beiden Fällen gelöscht, nachdem der Nutzer bestätigt hat, seinen Datenexport heruntergeladen zu haben.
Vertragsende. Nach Ende des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie nach dessen Wahl zurück und löscht vorhandene Kopien (Art. 28 Abs. 3 lit. g DSGVO), sofern keine gesetzliche Pflicht zur Speicherung besteht. Die Löschung erfolgt über die Account-Löschung durch den Auftraggeber oder auf seine Anforderung innerhalb von 30 Tagen. Datensicherungen werden nach spätestens 14 Tagen automatisch überschrieben.
Rückgabe. Ein Manager des Auftraggebers kann jederzeit, auch nach Kündigung und vor der Löschung, alle Daten des Auftraggebers selbst herunterladen (Web-Dashboard, Einstellungen, „Datenexport“). Der Export ist eine ZIP-Datei mit allen Daten im JSON-Format, Kontakten, Deals und Aufgaben zusätzlich als CSV-Tabelle sowie den Dokumenten (PDF) und den noch vorhandenen Sprachaufnahmen (höchstens 90 Tage alt, siehe oben). Auf Anforderung stellt der Auftragnehmer den Export auch selbst bereit.
Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen sind mit angemessener Frist anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen.
Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen von Kapitel V DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses. Die betroffenen Unterauftragsverarbeiter sind in Anlage 2 genannt.
Richtet der Auftraggeber in VoiceField eigene Webhook-Ziele ein (z. B. Zapier oder Make), übermittelt der Auftragnehmer die gewählten Ereignisdaten auf Weisung des Auftraggebers an diese Adresse. Der Empfänger ist kein Unterauftragsverarbeiter des Auftragnehmers; für die Auswahl des Empfängers und eine damit verbundene Übermittlung in ein Drittland ist der Auftraggeber verantwortlich.
Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.
| Unternehmen | Leistung | Ort / Grundlage |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Server-Hosting, Datenbank und Dateispeicher (Sprachaufnahmen, Dokumente, Firmenlogo) | Deutschland (Nürnberg) |
| Deepgram, Inc., San Francisco | Transkription der Sprachaufnahmen | Verarbeitung in der EU (EU-Endpoint) · Sitz USA · Vertrag mit Standardvertragsklauseln angefordert, noch nicht abgeschlossen |
| Anthropic, PBC, San Francisco | KI-Auswertung der Transkripte und der dafür nötigen CRM-Daten, E-Mail-Entwürfe, Nachfass-Mails, Briefings | USA · DPA und Standardvertragsklauseln |
| Mistral AI SAS, Paris | Embeddings für die Suche im Gesprächsverlauf | Frankreich (EU) · eigene Unterauftragsverarbeiter gemäß Mistral-DPA, ggf. Drittlandübermittlung auf Grundlage der Standardvertragsklauseln |
| Resend Inc., San Francisco | E-Mail-Versand (freigegebene E-Mails, Angebote und Rechnungen, Einladungen, Erinnerungen) | USA · Standardvertragsklauseln |
| Functional Software, Inc. (Sentry) | Fehler-Tracking (technische Fehlerangaben, ohne Gesprächsinhalte) | EU-Region (Frankfurt) |
Für Mistral AI SAS gilt: Mistral AI setzt seinerseits Unterauftragsverarbeiter ein, deren aktuelle Liste im Mistral Trust Center (trust.mistral.ai/subprocessors) geführt wird. Der Auftragnehmer prüft Änderungen dieser Liste und gibt sie im Rahmen der Informationspflicht nach § 6 an den Auftraggeber weiter.