Auftragsverarbeitungsvertrag (Muster)
Stand: 6. November 2026
Dieses Muster beschreibt, wie Alfreed Daten im Auftrag eines Kunden (Verantwortlicher) verarbeitet, nach Art. 28 DSGVO. Für den Pilot schicken wir die unterschriebene Fassung auf Anfrage.
1. Gegenstand und Dauer
Bereitstellung eines Live-Assistenten für Verkaufsgespräche (Spracherkennung, KI-Vorschläge, Nachbereitung) für die Laufzeit des Hauptvertrags.
2. Art der Daten und Betroffene
- Beschäftigte des Kunden: Name, E-Mail, Rolle, Nutzungsdaten (Minuten, Anzahl Calls).
- Gesprächspartner des Kunden: Kontaktdaten aus Leads, Gesprächsinhalte als Transkript und Zusammenfassung.
- Keine besonderen Kategorien nach Art. 9 DSGVO vorgesehen; der Kunde vermeidet deren Erfassung.
3. Pflichten von Alfreed
- Verarbeitung nur nach dokumentierter Weisung des Kunden; die Einstellungen in der App (Löschfrist, Rollen, eigener KI-Schlüssel) gelten als Weisung.
- Vertraulichkeit aller beteiligten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Abschnitt 5).
- Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen ohne schuldhaftes Zögern, spätestens innerhalb von 24 Stunden nach Kenntnis.
- Löschung oder Rückgabe aller Daten nach Vertragsende innerhalb von 30 Tagen; Sicherungskopien werden mit dem nächsten Sicherungszyklus des Anbieters überschrieben.
- Keine Nutzung der Kundendaten zum Training von KI-Modellen.
4. Unterauftragsverarbeiter
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Vercel Inc. (USA) | Hosting der Website und Server-Funktionen | Server-Funktionen in Frankfurt (fra1); Auslieferung über ein weltweites Netz. Übermittlung in die USA auf Basis des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. |
| Supabase Inc. (USA) | Datenbank, Anmeldung, Datei-Speicher | Rechenzentrum Frankfurt (eu-central-1). Standardvertragsklauseln. |
| ElevenLabs Inc. (USA) | Live-Spracherkennung (Ton → Text) | Ton wird während des Gesprächs gestreamt und in Text umgewandelt. Standardvertragsklauseln. |
| Browser-Hersteller (Google, Microsoft, Apple) | Notfall-Spracherkennung des Browsers | Nur wenn der Nutzer sie im Call ausdrücklich einschaltet (z. B. wenn ElevenLabs nicht erreichbar ist). Der Ton geht dann an den Hersteller des Browsers. |
| Anthropic PBC (USA) | KI-Vorschläge, Zusammenfassungen, Auswertung von Dateien | Text wird über die Anthropic-API verarbeitet. Laut Anthropic werden API-Daten nicht zum Training verwendet. Standardvertragsklauseln. Optional: eigener Vertrag des Kunden über eigenen API-Schlüssel. |
Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher an; der Kunde kann widersprechen.
5. Technische und organisatorische Maßnahmen (Kurzfassung)
- Zugriff: Anmeldung pro Person, Rollen Admin/Manager/Verkäufer, Datenbank-Regeln pro Organisation (Row Level Security), keine Einsicht in fremde Transkripte.
- Übertragung: TLS-Verschlüsselung, Audio nur als Live-Stream zur Spracherkennung, keine Audio-Speicherung.
- Speicherung: Rechenzentrum Frankfurt, verschlüsselte Datenträger beim Anbieter, eigene KI-Schlüssel AES-256-verschlüsselt.
- Löschung: automatische Löschung von Transkripten nach Frist, Konto-Löschung durch Nutzer.
- Nachvollziehbarkeit: Änderungsprotokoll für Mitglieder, Wissen und Playbook.
6. Kontrollrechte und Unterstützung
Der Kunde kann die Einhaltung jederzeit überprüfen, durch Auskünfte, Unterlagen und Nachweise sowie nach angemessener Vorankündigung auch durch Inspektionen (Art. 28 Abs. 3 lit. h DSGVO). Alfreed unterstützt bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO) und stellt eine Vorlage zur Folgenabschätzung bereit.
7. Drittländer
Für Dienstleister in den USA gelten das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Eine Bewertung der Übermittlung (Transfer Impact Assessment) stellen wir auf Anfrage bereit.
Vertragspartner: Daniel Haag (Alfreed), Theodorstraße 8, 12099 Berlin, contact.danielhaag@gmail.com