Datenschutz und Vertragsunterlagen

1. Verantwortlicher

Verantwortlicher für die auf dieser Website beschriebenen Verarbeitungsvorgänge ist die Teloro GmbH. Die veröffentlichten Unternehmens- und Kontaktdaten finden Sie im Impressum.

Datenschutzanfragen richten Sie an info@teloro.ai.

2. Geltungsbereich und Begriffe

Diese Datenschutzerklärung gilt für die öffentlich erreichbaren Seiten unter teloro.ai und die dort angebotenen Kontakt-, Termin- und Demonstrationsfunktionen. Für registrierte Nutzer der Webapp gilt ergänzend die gesonderte Datenschutzerklärung Webapp.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Verarbeitung umfasst insbesondere das Erheben, Übermitteln, Speichern, Auswerten, Strukturieren und Löschen solcher Daten.

3. Bereitstellung der Website und Server-Protokolle

Die Website und die hierfür erforderliche Serverinfrastruktur werden über die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, bereitgestellt. Mit dem Anbieter werden die datenschutzrechtlich erforderlichen Vereinbarungen geschlossen.

Bei jedem Seitenabruf können insbesondere IP-Adresse, Datum und Uhrzeit, Zieladresse, übertragene Datenmenge, Referrer-URL, Browsertyp, Browserversion, Betriebssystem sowie technische Status- und Fehlerdaten in Server-Protokollen verarbeitet werden.

Die Verarbeitung ist erforderlich, um Inhalte auszuliefern, Angriffe und missbräuchliche Nutzung zu erkennen, Fehler zu analysieren und die Stabilität des Angebots zu sichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren, störungsfreien und wirtschaftlichen Betrieb der Website. Protokolldaten werden grundsätzlich nach 14 Tagen gelöscht oder anonymisiert; eine längere Aufbewahrung erfolgt nur anlassbezogen und auf den erforderlichen Zeitraum begrenzt, etwa zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Erfüllung gesetzlicher Pflichten.

4. Kontaktaufnahme und Demo-Anfragen

Wenn Sie uns per E-Mail, Telefon oder Formular kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Angaben. Dazu können Name, Unternehmen, E-Mail-Adresse, Telefonnummer, gewünschter Termin, Website-Adresse, Inhalt der Nachricht und die zur Bearbeitung erforderlichen Kommunikationsdaten gehören.

Die Verarbeitung erfolgt zur Beantwortung der Anfrage, zur Terminabstimmung, zur Vorbereitung eines Angebots und – sofern gewünscht – zur Anbahnung oder Durchführung eines Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit die Anfrage nicht auf einen Vertrag gerichtet ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung geschäftlicher Kommunikation.

Zur nachvollziehbaren Bearbeitung des Vertriebsprozesses können Anfragen unter einer zufällig erzeugten internen Lead-ID mit ihrer Herkunft, bestätigten Demo-, Testanruf- oder Registrierungsereignissen, Bearbeitungsstatus, internen Notizen sowie – bei entstehender Kundenbeziehung – Konto-, Tarif-, Abonnement- und Umsatzinformationen zusammengeführt werden. Der Zugriff ist auf authentifizierte, berechtigte Teloro-Administratoren beschränkt. Eine ausschließlich automatisierte Entscheidung über Interessenten oder Kunden findet dabei nicht statt.

Anfragedaten werden gelöscht, wenn die Bearbeitung abgeschlossen ist und weder ein Vertragsverhältnis noch gesetzliche Dokumentations- oder Aufbewahrungspflichten eine weitere Speicherung erfordern. Entsteht ein Vertragsverhältnis, werden die erforderlichen Informationen in die Vertrags- und Kundenverwaltung übernommen.

5. Online-Terminvereinbarung über Calendly

Soweit auf der Website eine Terminbuchung über Calendly angeboten wird, nutzen wir Calendly LLC, 271 17th St NW, Atlanta, GA 30363, USA. Im Rahmen der Buchung können insbesondere Name, E-Mail-Adresse, Telefonnummer, ausgewählter Termin, Zeitzone, IP-Adresse und freiwillige Angaben verarbeitet werden.

Zweck ist die von Ihnen gewünschte Terminplanung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Verarbeitung in den USA kann nicht ausgeschlossen werden. Sie wird, soweit erforderlich, auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln, gestützt. Die Buchungsinformationen werden nach den für die jeweilige Anfrage geltenden Fristen gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen.

6. Telefon-Test und KI-gestützte Demo

Sie können einen von Ihnen gewünschten Testanruf anfordern oder eine bereitgestellte Telefonnummer für eine Demonstration der KI-Telefonassistenz verwenden. Dabei können je nach Ausgestaltung folgende Daten verarbeitet werden:

• Rufnummern, Anrufzeitpunkt, Gesprächsdauer und technische Verbindungsdaten,
• gesprochene Inhalte, Anliegen und freiwillig mitgeteilte Informationen,
• Live-Sprachdaten und daraus erzeugte Transkripte; Audiodateien nur, wenn eine gesonderte Aufzeichnung aktiviert ist,
• automatisch erzeugte Gesprächszusammenfassungen, die aufgerufene Website-Seite, Kategorien und Funktionsaufrufe,
• technische Kennungen, Sicherheits- und Rate-Limit-Daten.

Die Verarbeitung dient der Durchführung der von Ihnen angeforderten Demo, der Darstellung der Produktfunktionen, der technischen Absicherung und der Vorbereitung einer möglichen Geschäftsbeziehung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsschutzmaßnahmen beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Beim über das Telefonnummernfeld angeforderten Website-Testanruf ist die Audioaufzeichnung deaktiviert. Das Gespräch wird jedoch live verarbeitet und transkribiert. Nach Gesprächsende erhält ein autorisierter Teloro-Admin per E-Mail eine interne Zusammenfassung mit vollständiger Rufnummer, aufgerufener Teloro-Seite und Transkript. Anschließend wird die Löschung der zugehörigen Gesprächsdaten im Ultravox-Konto technisch angestoßen.

Soweit ein Gespräch als Audiodatei aufgezeichnet wird, informieren wir vor Beginn der Aufzeichnung in geeigneter Weise. Eine Aufzeichnung erfolgt nur, wenn hierfür eine wirksame Rechtsgrundlage besteht und – soweit erforderlich – eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erteilt wurde. Eine Einwilligung ist freiwillig, kann mit Wirkung für die Zukunft widerrufen werden und darf nicht durch bloßes Schweigen unterstellt werden.

Für Telefonie, Sprachverarbeitung und technische Orchestrierung können die unter Ziffer 9 genannten Empfänger eingesetzt werden. Demo-Daten werden nur so lange aufbewahrt, wie dies zur Durchführung, Fehleranalyse und Nachbereitung erforderlich ist oder eine Einwilligung beziehungsweise gesetzliche Pflicht eine längere Verarbeitung trägt.

7. Cookies, Local Storage und vergleichbare Technologien

Die Website kann Informationen im Browser speichern oder bereits gespeicherte Informationen auslesen. Technisch notwendige Vorgänge dienen beispielsweise der Speicherung einer Datenschutzentscheidung, dem Schutz von Formularen, der Lastverteilung oder der Bereitstellung ausdrücklich gewünschter Funktionen.

Soweit die Speicherung oder der Zugriff unbedingt erforderlich ist, erfolgt dies nach § 25 Abs. 2 TDDDG; die anschließende Verarbeitung personenbezogener Daten beruht je nach Zweck auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Nicht notwendige Analyse-, Komfort- oder Marketingtechnologien werden nur nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO eingesetzt.

Für die Messung von Google-Ads-Conversions nutzt die Website das Google-Tag mit Consent Mode v2. Werbe-, Analyse-, Werbenutzer- und Personalisierungsspeicher sind zunächst deaktiviert. Erst bei Auswahl „Alle akzeptieren“ werden die entsprechenden Einwilligungssignale erteilt; bei „Nur notwendige“ bleiben sie deaktiviert. Im deaktivierten Zustand kann Google technisch reduzierte, cookielose Messsignale einschließlich des Einwilligungsstatus erhalten. Bei einer bestätigten Demo-Anfrage wird ausschließlich eine vom Teloro-Backend erzeugte Buchungs-ID als Transaktions-ID an Google übermittelt. Bei einem erfolgreich durch den Telefonieanbieter erstellten Testanruf wird ausschließlich dessen technische Anruf-ID als Transaktions-ID verwendet. E-Mail-Adresse, Telefonnummer, Name und Formularinhalte werden nicht an Google übertragen; Enhanced Conversions sind für den Testanruf deaktiviert. Anzeigen-Klickkennungen wie gclid, gbraid oder wbraid können zur Zuordnung in URLs weitergegeben werden.

Zur internen First-Touch-Zuordnung einer späteren Anfrage oder Registrierung können beim ersten Anzeigenbesuch die in der URL vorhandenen Anzeigen-Klickkennungen, UTM- und Kampagnenparameter sowie Zielseite, erster Referrer und Zeitpunkt unter einer zufällig erzeugten Attribution-ID gespeichert werden. Ein auf die Domain .teloro.ai begrenztes First-Party-Cookie und ein browserseitiger Ausfallspeicher erhalten diese Zuordnung bei der Navigation zwischen Website und App; spätere Seitenaufrufe überschreiben den ersten Datensatz nicht. Bei einer Anfrage werden E-Mail-Adresse und Telefonnummer nicht in der Attributionstabelle abgelegt, sondern ausschließlich als nicht rückrechenbare HMAC-Prüfwerte für eine mögliche spätere Kontozuordnung verwendet. Diese internen Daten werden nicht als Nutzer- oder Formulardaten an Google übermittelt und ändern die gewählte Consent-Mode-Einstellung nicht.

Eine erteilte Auswahl kann jederzeit mit Wirkung für die Zukunft geändert oder widerrufen werden. Durch den Widerruf wird die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht berührt.

8. Empfänger und Kategorien von Empfängern

Innerhalb der Teloro GmbH erhalten nur Personen Zugriff, die ihn zur Bearbeitung der jeweiligen Aufgabe benötigen. Darüber hinaus können sorgfältig ausgewählte Dienstleister Daten verarbeiten, insbesondere für Hosting, Telefonie, KI- und Sprachverarbeitung, E-Mail-Versand und optionale Kalenderfunktionen.

Dienstleister, die weisungsgebunden für uns tätig werden, werden nach Art. 28 DSGVO verpflichtet. Eine Übermittlung an sonstige Dritte erfolgt nur, wenn sie zur Vertragserfüllung erforderlich ist, eine gesetzliche Pflicht besteht, ein überwiegendes berechtigtes Interesse vorliegt oder Sie eingewilligt haben.

9. Drittlandübermittlungen

Wir bevorzugen eine Verarbeitung innerhalb der EU oder des EWR. Bei Anbietern mit Muttergesellschaften oder möglichen Zugriffen in Drittländern werden, soweit erforderlich, zusätzliche Schutzmechanismen vereinbart. Hierzu zählen Angemessenheitsbeschlüsse der Europäischen Kommission, eine gültige Zertifizierung nach dem EU-US Data Privacy Framework, EU-Standardvertragsklauseln, ergänzende technische Maßnahmen und vertraglich festgelegte EU-Verarbeitungsregionen.

Eine Kopie der maßgeblichen Garantien oder weitere Informationen können über die oben genannte Kontaktadresse angefordert werden, soweit keine Rechte Dritter oder Geheimhaltungsinteressen entgegenstehen.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist. Maßgebliche Kriterien sind der Bearbeitungsstand einer Anfrage, die Dauer einer Geschäftsbeziehung, gewählte Produktkonfigurationen, Sicherheits- und Nachweisinteressen sowie gesetzliche Aufbewahrungsfristen. Handels- und steuerrechtlich relevante Unterlagen können entsprechend den gesetzlichen Fristen aufbewahrt werden.

Ist eine konkrete Frist nicht im jeweiligen Verarbeitungsvorgang genannt, wird ihre Erforderlichkeit regelmäßig überprüft. Nach Wegfall des Zwecks werden Daten gelöscht oder anonymisiert, sofern keine gesetzliche Pflicht, Rechtsverteidigung oder zulässige Anschlussverarbeitung entgegensteht.

11. Pflicht zur Bereitstellung von Daten

Beim bloßen Besuch der Website besteht keine vertragliche Pflicht zur Bereitstellung personenbezogener Daten; technisch erforderliche Verbindungsdaten fallen jedoch automatisch an. Für Kontaktaufnahme, Terminbuchung oder Testanruf müssen die als erforderlich bezeichneten Angaben bereitgestellt werden. Ohne diese Daten können wir die gewünschte Funktion gegebenenfalls nicht ausführen.

12. Rechte betroffener Personen

Bei Vorliegen der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO und Widerspruch nach Art. 21 DSGVO.

Eine Einwilligung kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, insbesondere am gewöhnlichen Aufenthaltsort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes.

Zur Bearbeitung einer Anfrage können wir zusätzliche Angaben anfordern, wenn dies erforderlich ist, um die Identität der anfragenden Person zu bestätigen und Daten vor einer unberechtigten Offenlegung zu schützen.

14. Automatisierte Entscheidungen

Beim Besuch der Website und bei gewöhnlichen Demo-Anfragen findet keine ausschließlich automatisierte Entscheidung statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in vergleichbarer Weise erheblich beeinträchtigt. KI-generierte Inhalte und Klassifizierungen dienen der Funktionsdarstellung und werden nicht als verbindliche Entscheidung über Ihre Person verwendet.

15. Datensicherheit und Aktualisierung

Wir setzen risikoorientierte technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Manipulation, unbefugtem Zugriff und unzulässiger Offenlegung zu schützen. Dazu gehören insbesondere verschlüsselte Übertragungswege, Berechtigungskonzepte, Protokollierung, Datensicherung und Verfahren zur Behandlung von Sicherheitsvorfällen.

Wir aktualisieren diese Erklärung, wenn sich rechtliche Anforderungen, eingesetzte Dienste oder Verarbeitungsvorgänge wesentlich ändern. Die jeweils veröffentlichte Fassung gilt ab dem angegebenen Stand.

1. Verantwortlicher und Kontakt

Für die Verwaltung von Nutzerkonten, Vertragsbeziehungen, Abrechnung, Support und Systemsicherheit ist die Teloro GmbH datenschutzrechtlich Verantwortlicher. Unternehmens- und Kontaktdaten sind im Impressum veröffentlicht. Anfragen zum Datenschutz richten Sie bitte an info@teloro.ai.

Für Kommunikationsdaten, die ein Kunde mithilfe der Webapp für eigene Zwecke verarbeitet, ist grundsätzlich der jeweilige Kunde Verantwortlicher; Teloro handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO.

2. Leistungsgegenstand der Webapp

Die Webapp unterstützt Unternehmen bei der KI-gestützten Bearbeitung telefonischer und digitaler Kommunikation. Je nach gebuchtem Umfang umfasst dies Anrufannahme und Outbound-Kommunikation, Gesprächssteuerung, Transkription, Zusammenfassungen, strukturierte Datenerfassung, Weiterleitungen, Benachrichtigungen, Terminverwaltung, Integrationen und administrative Auswertungen.

3. Rollenverteilung

Teloro als Verantwortlicher: Soweit wir Daten zur Registrierung, Vertragsdurchführung, Abrechnung, Bereitstellung des Kontos, Missbrauchsabwehr, Produktkommunikation oder Bearbeitung von Supportanfragen für eigene Zwecke verarbeiten, bestimmen wir Zwecke und Mittel dieser Verarbeitung.

Teloro als Auftragsverarbeiter: Soweit der Kunde festlegt, welche Anrufe, Kontakte, Inhalte und Integrationen verarbeitet werden, handelt Teloro ausschließlich nach dokumentierter Weisung des Kunden. Einzelheiten regelt der AVV.

Der Kunde bleibt insbesondere dafür verantwortlich, betroffene Personen ordnungsgemäß zu informieren, eine tragfähige Rechtsgrundlage festzulegen, erforderliche Einwilligungen einzuholen und gesetzliche Vorgaben für Telefonwerbung, Aufzeichnungen, Berufsgeheimnisse und besondere Datenkategorien einzuhalten.

4. Verarbeitung für Nutzerkonto und Vertragsbeziehung

Bei Registrierung und Nutzung können insbesondere Name, geschäftliche Kontaktdaten, Unternehmen, Rechnungsanschrift, Steuerangaben, Tarif, Abrechnungsintervall, Zugangsdaten, Rollen, Berechtigungen, Login-Zeitpunkte, Sicherheitsereignisse, Supportkommunikation sowie Vertrags- und Abrechnungsinformationen verarbeitet werden.

Die Verarbeitung erfolgt zur Einrichtung und Bereitstellung der Webapp, Verwaltung der Vertragsbeziehung, Abrechnung, Authentifizierung und Bearbeitung von Anfragen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsprotokolle, Betrugs- und Missbrauchsschutz sowie die Stabilisierung des Dienstes beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich vorgeschriebene Dokumentationen beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

5. Zwecke der Auftragsverarbeitung

Im Auftrag des Kunden können personenbezogene Daten verarbeitet werden, um Kommunikationsvorgänge anzunehmen oder auszulösen, Inhalte in Echtzeit zu verstehen, Antworten bereitzustellen, Anliegen zu strukturieren, Termine zu koordinieren, Gesprächsergebnisse zusammenzufassen, Informationen an vom Kunden bestimmte Empfänger zu übermitteln und die gewählten Webapp-Funktionen auszuführen.

Teloro verwendet die im Auftrag verarbeiteten Inhalte nicht für eigene Werbezwecke und nicht zum Training allgemein verfügbarer KI-Modelle. Eine Nutzung für andere eigene Zwecke erfolgt nur, wenn sie gesetzlich zulässig ist und die Rollenverteilung transparent angepasst wurde.

6. Datenkategorien

7. Betroffene Personengruppen

Betroffen sein können Beschäftigte und Nutzer des Kunden, dessen Interessenten und Kunden, Anrufer, Gesprächspartner, Lieferanten, Dienstleister, Bewerber, Patienten, Mandanten oder sonstige Personen, deren Daten im Rahmen der vom Kunden konfigurierten Kommunikation verarbeitet werden.

8. Besondere Kategorien und vertrauliche Angaben

Da Teloro branchenübergreifend eingesetzt werden kann, können Gesprächspartner aus eigenem Antrieb Daten nach Art. 9 DSGVO, Informationen über strafrechtliche Verurteilungen oder anderweitig besonders geschützte Angaben mitteilen. Die Verarbeitung erfolgt nur innerhalb der vom Kunden festgelegten Funktionen und Weisungen.

Der Kunde muss vor Einsatz in regulierten Bereichen prüfen, ob zusätzliche rechtliche, berufsrechtliche oder technische Anforderungen gelten. Dazu können Schweigepflichten, Vorgaben für Gesundheits- oder Sozialdaten, eine Datenschutz-Folgenabschätzung, besondere Löschfristen oder zusätzliche Vereinbarungen gehören. Die Standardleistung ersetzt diese Prüfung nicht.

9. Gesprächsaufzeichnungen und Transkripte

Audioaufzeichnungen und Transkripte sind konfigurationsabhängig. Der Kunde entscheidet im Rahmen der verfügbaren Einstellungen und des vereinbarten Leistungsumfangs über Aktivierung, zulässige Zwecke und Aufbewahrung. Er ist dafür verantwortlich, Gesprächspartner vor Beginn rechtskonform zu informieren und erforderliche Einwilligungen nachweisbar einzuholen.

Teloro stellt technische Funktionen zur Umsetzung der Weisung bereit. Eine bloße Nutzung eines Telefonanschlusses darf nicht ohne weitere Prüfung als Einwilligung in eine Aufzeichnung behandelt werden.

10. Unterauftragnehmer und Empfänger

Für die Webapp werden die nachfolgend beschriebenen Anbieter entsprechend der aktivierten Funktionen eingesetzt. Details und vertragliche Regeln enthält der AVV einschließlich Unterauftragnehmerliste.

11. Datenlokation und Drittlandschutz

Die zentrale Infrastruktur ist für eine Verarbeitung in Deutschland beziehungsweise innerhalb der EU vorgesehen. Bei Konzernen mit Muttergesellschaften in Drittländern kann ein rechtlicher oder technischer Drittlandbezug nicht vollständig ausgeschlossen werden. Soweit erforderlich, werden EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework, vertragliche EU-Regionen und ergänzende technische Schutzmaßnahmen eingesetzt.

12. Speicherdauer und Löschung

Nutzerkonto-, Vertrags- und Abrechnungsdaten werden für die Dauer der Geschäftsbeziehung und anschließend entsprechend gesetzlicher Aufbewahrungs- und Verjährungsfristen gespeichert. Sicherheitsdaten werden nur so lange vorgehalten, wie dies zur Erkennung und Aufklärung von Missbrauch erforderlich ist.

Für Auftragsdaten bestimmt der Kunde innerhalb der verfügbaren Konfiguration die Aufbewahrung. Audio und Transkripte können nach Leistungsumfang deaktiviert oder gelöscht werden. Nach Vertragsende werden Auftragsdaten nach Maßgabe des AVV zurückgegeben oder gelöscht, soweit keine unionsrechtliche oder nationale Pflicht eine weitere Speicherung verlangt. Sicherungskopien werden im Rahmen geregelter Überschreibungszyklen entfernt und bis dahin gesperrt.

13. Zugriffe, Support und Vertraulichkeit

Ein Zugriff durch Teloro-Personal auf Kundeninhalte erfolgt nicht routinemäßig. Er ist auf autorisierte Personen und erforderliche Fälle beschränkt, insbesondere konkrete Supportaufträge, Störungsanalyse, Sicherheitsvorfälle oder dokumentierte Weisungen. Personen mit Zugriff werden auf Vertraulichkeit verpflichtet; technisch mögliche Zugriffe werden nach dem Need-to-know- und Least-Privilege-Prinzip begrenzt.

14. Cookies und lokale Speicher der Webapp

Die Webapp nutzt technisch erforderliche Mechanismen für Anmeldung, Sitzungssteuerung, Spracheinstellungen, CSRF-Schutz, Sicherheit und ausdrücklich gewählte Funktionen. Diese Vorgänge sind für die Bereitstellung der vom Nutzer angeforderten Webapp erforderlich. Optionale Integrationen können zusätzliche Speicher- oder Zugriffsvorgänge auslösen, wenn sie durch den Kunden beziehungsweise Nutzer aktiviert werden.

15. Betroffenenrechte und Zuständigkeit

Für Daten, die Teloro als Verantwortlicher verarbeitet, können Rechte nach Art. 15 bis 22 DSGVO unmittelbar gegenüber Teloro geltend gemacht werden. Für Kommunikations- und Kundendaten, die Teloro ausschließlich im Auftrag verarbeitet, ist die Anfrage grundsätzlich an den jeweiligen Teloro-Kunden als Verantwortlichen zu richten.

Teloro leitet irrtümlich eingegangene Anfragen, soweit möglich, an den zuständigen Kunden weiter und unterstützt ihn nach Maßgabe des AVV. Eine eigenständige Herausgabe oder Löschung von Auftragsdaten erfolgt nur auf Weisung des Verantwortlichen oder aufgrund einer zwingenden gesetzlichen Verpflichtung.

16. Automatisierte Entscheidungen

Die Webapp kann Inhalte transkribieren, zusammenfassen, kategorisieren und regelbasiert weiterleiten. Teloro trifft dabei nicht eigenständig Entscheidungen nach Art. 22 DSGVO über betroffene Personen. Beabsichtigt ein Kunde einen Einsatz für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, muss er die Zulässigkeit, Transparenz und erforderliche menschliche Überprüfung selbst sicherstellen.

17. Sicherheit und Änderungen

Teloro setzt angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Die wesentlichen Maßnahmengruppen werden im AVV beschrieben. Diese Erklärung wird aktualisiert, wenn sich die Webapp, die Anbieterstruktur oder die Rechtslage wesentlich ändert.

§ 1 Geltungsbereich

(1) Diese Allgemeinen Geschäftsbedingungen gelten für Verträge zwischen der Teloro GmbH – nachfolgend „Teloro“ – und dem jeweiligen Vertragspartner – nachfolgend „Kunde“ – über die Bereitstellung der Teloro Webapp, KI-gestützte Telefonie und ergänzende Leistungen.

(2) Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Ein Vertragsschluss mit Verbrauchern ist nicht vorgesehen.

(3) Abweichende Geschäftsbedingungen des Kunden werden nur Vertragsbestandteil, wenn Teloro ihrer Geltung ausdrücklich in Textform zustimmt. Die vorbehaltlose Leistungserbringung stellt keine Zustimmung dar.

§ 2 Vertragsunterlagen und Rangfolge

(1) Art und Umfang der Leistung ergeben sich in absteigender Rangfolge aus einer individuellen Vereinbarung oder einem Angebot, der bei Vertragsschluss bezeichneten Leistungsbeschreibung, dem AVV einschließlich seiner Anlagen und diesen AGB.

(2) Individuell vereinbarte Regelungen gehen allgemeinen Regelungen vor. Bei Widersprüchen zum Schutz personenbezogener Daten geht der AVV für die Auftragsverarbeitung vor.

(3) Werbliche Darstellungen, Teststellungen und unverbindliche Produktbeschreibungen begründen keine Beschaffenheitsgarantie, sofern sie nicht ausdrücklich als solche bezeichnet werden.

§ 3 Vertragsschluss

(1) Ein Vertrag kommt durch beiderseitige Unterzeichnung, Annahme eines Angebots, Bestätigung einer Online-Bestellung oder Freischaltung eines zahlungspflichtigen Kontos zustande. Eine bloße Demo oder Testnutzung begründet nur dann einen entgeltlichen Vertrag, wenn dies vorab eindeutig ausgewiesen wurde.

(2) Der Kunde sichert zu, dass die handelnde Person zum Vertragsschluss und zur Erteilung datenschutzrechtlicher Weisungen berechtigt ist.

§ 4 Leistungsgegenstand

(1) Teloro stellt eine cloudbasierte Plattform zur Automatisierung von Kommunikationsvorgängen bereit. Mögliche Funktionen sind insbesondere:

• Entgegennahme, Weiterleitung und Auslösung von Telefonanrufen,
• KI-gestützte Dialogführung sowie Verarbeitung von Sprach- und Textdaten,
• Transkripte, Gesprächszusammenfassungen und strukturierte Datenerfassung,
• Terminabstimmung und optionale Kalenderanbindungen,
• Benachrichtigungen, Integrationen und administrative Auswertungen.

(2) Der konkrete Funktionsumfang richtet sich nach Tarif, Angebot und technischer Konfiguration. Teloro schuldet die fachgerechte Bereitstellung der vereinbarten Funktionen, nicht einen bestimmten wirtschaftlichen, vertrieblichen oder rechtlichen Erfolg.

(3) Telekommunikationsleistungen, Rufnummern und externe Integrationen können von der Verfügbarkeit und den Bedingungen eingebundener Anbieter abhängen.

§ 5 Einrichtung und Mitwirkung des Kunden

(1) Der Kunde stellt Teloro rechtzeitig vollständige und richtige Informationen, Ansprechpartner, Gesprächsleitfäden, Weiterleitungsziele, Zugänge und sonstige Mitwirkungen zur Verfügung, die für Einrichtung und Betrieb erforderlich sind.

(2) Vor Produktivschaltung prüft der Kunde Begrüßungen, Gesprächslogik, fachliche Inhalte, Eskalationswege, Integrationen und Zielsysteme. Er meldet erkennbare Fehler unverzüglich.

(3) Verzögerungen oder Mehraufwand, die aus verspäteter, unvollständiger oder fehlerhafter Mitwirkung entstehen, gehen nicht zulasten von Teloro. Vereinbarte Termine verschieben sich angemessen; zusätzlicher Aufwand kann nach vorherigem Hinweis berechnet werden.

§ 6 Nutzerkonten und Zugangssicherheit

(1) Zugänge sind personenbezogen und dürfen nur den vereinbarten Nutzern überlassen werden. Der Kunde hält Zugangsdaten geheim, verwendet angemessene Passwörter und aktiviert angebotene zusätzliche Sicherheitsverfahren, soweit dies für seine Risikolage erforderlich ist.

(2) Der Kunde informiert Teloro unverzüglich über vermutete Kompromittierungen, unberechtigte Zugriffe oder personelle Änderungen, die eine Anpassung von Berechtigungen erfordern.

(3) Handlungen über ordnungsgemäß authentifizierte Konten werden dem Kunden zugerechnet, soweit Teloro die missbräuchliche Nutzung nicht zu vertreten hat.

§ 7 Rechtmäßige Nutzung und Kommunikationspflichten

(1) Der Kunde nutzt die Leistungen nur im Rahmen anwendbarer Gesetze, behördlicher Vorgaben und Rechte Dritter. Unzulässig sind insbesondere täuschende, belästigende, diskriminierende oder rechtswidrige Kommunikationsvorgänge sowie die Übermittlung schädlicher Inhalte.

(2) Der Kunde prüft eigenverantwortlich die Zulässigkeit von Inbound- und Outbound-Kommunikation. Er stellt insbesondere sicher, dass erforderliche Einwilligungen oder andere Rechtsgrundlagen für Anrufe, Werbung, Aufzeichnungen und Datenübermittlungen vorliegen und nachgewiesen werden können.

(3) Der Kunde informiert Gesprächspartner transparent über den Einsatz eines KI-Systems, sofern dies gesetzlich erforderlich ist oder andernfalls eine Irreführung entstehen könnte. Bei Aufzeichnungen sind sämtliche Vorgaben zum Schutz des nicht öffentlich gesprochenen Wortes und zum Datenschutz einzuhalten.

(4) Teloro darf offensichtlich rechtswidrige Konfigurationen ablehnen und Funktionen vorübergehend sperren, wenn konkrete Anhaltspunkte für eine erhebliche Rechtsverletzung, Gefährdung Dritter oder Sicherheitsstörung bestehen.

§ 8 Verantwortung für Inhalte und sensible Daten

(1) Der Kunde ist für die von ihm bereitgestellten Inhalte, Wissensgrundlagen, Weisungen, Kontaktdaten und Gesprächsziele verantwortlich. Teloro ist nicht verpflichtet, diese ohne konkreten Anlass rechtlich oder fachlich zu prüfen.

(2) Vor Einsatz in besonders regulierten Bereichen prüft der Kunde zusätzliche Anforderungen, insbesondere Berufsgeheimnisse, Art. 9 und 10 DSGVO, sozial- und gesundheitsrechtliche Vorgaben, Dokumentationspflichten und Anforderungen an eine Datenschutz-Folgenabschätzung.

(3) Der Kunde vermeidet die Verarbeitung nicht erforderlicher sensibler Daten und konfiguriert Löschung, Zugriffsrechte und Aufzeichnungen nach dem Grundsatz der Datenminimierung.

§ 9 KI-generierte Ergebnisse

(1) KI-Systeme arbeiten probabilistisch. Transkripte, Antworten, Zusammenfassungen, Klassifizierungen und Extraktionen können unvollständig, missverständlich oder unrichtig sein.

(2) Der Kunde setzt für risikobehaftete Entscheidungen eine angemessene menschliche Prüfung ein. Ergebnisse dürfen nicht ungeprüft für medizinische, rechtliche, finanzielle, sicherheitskritische oder anderweitig erhebliche Entscheidungen verwendet werden.

(3) Teloro übernimmt keine Garantie für eine fehlerfreie Erkennung jedes Gesprächsinhalts, Akzents, Eigennamens, Hintergrundgeräuschs oder fremdsprachigen Ausdrucks. Gesetzliche Gewährleistungsrechte bleiben unberührt.

§ 10 Drittanbieter und Integrationen

(1) Teloro darf zur Leistungserbringung spezialisierte Anbieter einsetzen, insbesondere für Hosting, Telefonie, KI-Verarbeitung, E-Mail und Kalender. Datenschutzrechtliche Einzelheiten ergeben sich aus dem AVV.

(2) Optionale Integrationen werden nur auf Veranlassung des Kunden aktiviert. Der Kunde ist für Berechtigungen, Konten, Inhalte und die Einhaltung ergänzender Bedingungen des Drittanbieters verantwortlich.

(3) Änderungen oder Ausfälle externer Schnittstellen können Anpassungen erforderlich machen. Teloro wird zumutbare Maßnahmen ergreifen, schuldet jedoch keine unveränderte Verfügbarkeit einer von Dritten kontrollierten Schnittstelle.

§ 11 Verfügbarkeit, Wartung und Support

(1) Teloro bemüht sich um eine hohe Verfügbarkeit. Eine ununterbrochene oder vollständig fehlerfreie Nutzung kann aufgrund von Wartung, Internet- und Telekommunikationsnetzen, Drittanbietern und unvorhersehbaren Störungen nicht zugesichert werden.

(2) Planbare Wartungen werden nach Möglichkeit in nutzungsarmen Zeiten durchgeführt und vorab angekündigt, soweit Umfang und Dringlichkeit dies zulassen. Sicherheitskritische Maßnahmen können ohne Vorankündigung erfolgen.

(3) Supportumfang, Reaktionszeiten und Service Levels gelten nur, wenn sie im Angebot oder einer gesonderten Vereinbarung festgelegt sind.

§ 12 Vergütung und Abrechnung

(1) Preise, Freikontingente, nutzungsabhängige Einheiten, Abrechnungsperioden und Zahlungsbedingungen ergeben sich aus dem vereinbarten Tarif oder Angebot. Preise verstehen sich gegenüber Unternehmern zuzüglich gesetzlicher Umsatzsteuer, sofern nicht ausdrücklich anders angegeben.

(2) Wiederkehrende Entgelte können im Voraus, verbrauchsabhängige Entgelte nachträglich abgerechnet werden. Vom Kunden verursachte Zusatzleistungen oder Verbrauchsmengen außerhalb eines Kontingents werden nach der vereinbarten Preisliste berechnet.

(3) Rechnungen sind zum ausgewiesenen Zeitpunkt ohne Abzug fällig. Bei Zahlungsverzug gelten die gesetzlichen Rechte. Teloro kann nach angemessener Mahnung und Ankündigung den Zugang vorübergehend beschränken, wenn der Kunde mit einem nicht nur unerheblichen Betrag in Verzug ist.

(4) Einwendungen gegen nutzungsabhängige Abrechnungen sollen innerhalb von 30 Tagen nach Zugang nachvollziehbar mitgeteilt werden. Gesetzliche Rechte bleiben unberührt.

§ 13 Leistungsänderungen

(1) Teloro darf die Leistung weiterentwickeln, wenn der vertragsgemäße Hauptzweck erhalten bleibt. Änderungen können insbesondere aufgrund technischer Weiterentwicklung, Sicherheit, Rechtsänderungen oder Anforderungen von Infrastrukturpartnern erforderlich sein.

(2) Wesentliche nachteilige Änderungen werden mit angemessener Frist angekündigt. Ist dem Kunden die Fortsetzung unzumutbar, erhält er für den betroffenen Leistungsteil ein angemessenes Sonderkündigungsrecht, sofern keine zwingende sofortige Änderung erforderlich ist.

§ 14 Datenschutz und Auftragsverarbeitung

(1) Beide Parteien halten die jeweils anwendbaren Datenschutzvorschriften ein. Jede Partei bleibt für Verarbeitungen verantwortlich, bei denen sie Zwecke und Mittel selbst bestimmt.

(2) Soweit Teloro personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der AVV nach Art. 28 DSGVO. Der AVV wird durch Bezugnahme im Angebot, Bestellprozess oder Vertrag Bestandteil der Vereinbarung.

§ 15 Nutzungsrechte und geistiges Eigentum

(1) Teloro und seine Lizenzgeber behalten sämtliche Rechte an Software, Benutzeroberflächen, Dokumentation, Modellen, Vorlagen, Marken und Weiterentwicklungen. Der Kunde erhält für die Vertragsdauer ein einfaches, nicht ausschließliches, nicht übertragbares Recht zur vertragsgemäßen Nutzung.

(2) Der Kunde behält Rechte an seinen Inhalten. Er räumt Teloro die für Vertragserfüllung, Sicherung und Fehlerbehebung erforderlichen Nutzungsrechte für die Vertragsdauer ein.

(3) Reverse Engineering, Umgehung technischer Schutzmaßnahmen, Weiterverkauf ohne Vereinbarung, automatisiertes Auslesen oder Nutzung zur Entwicklung eines konkurrierenden Dienstes sind unzulässig, soweit nicht zwingendes Recht etwas anderes erlaubt.

§ 16 Vertraulichkeit

(1) Die Parteien behandeln nicht offenkundige kaufmännische, technische und organisatorische Informationen der jeweils anderen Partei vertraulich. Sie verwenden diese nur für Vertragsdurchführung und geben sie nur an Personen weiter, die sie benötigen und angemessen verpflichtet sind.

(2) Die Verpflichtung gilt nicht für Informationen, die nachweislich allgemein bekannt, rechtmäßig von Dritten erlangt, unabhängig entwickelt oder aufgrund zwingender Vorschriften offenzulegen sind. Vor einer gesetzlich erforderlichen Offenlegung wird die andere Partei soweit zulässig informiert.

(3) Gesetzliche Geschäftsgeheimnis-, Datenschutz- und Berufsgeheimnispflichten bleiben unberührt.

§ 17 Mängel

(1) Der Kunde meldet reproduzierbare Mängel mit einer nachvollziehbaren Beschreibung. Teloro darf nach eigener Wahl nachbessern, eine Umgehungslösung bereitstellen oder die mangelhafte Leistung erneut erbringen.

(2) Kein Mangel liegt vor, soweit die Beeinträchtigung auf einer nicht freigegebenen Nutzung, Kundensystemen, Drittanbieteränderungen, fehlender Mitwirkung oder Umständen außerhalb des Verantwortungsbereichs von Teloro beruht.

(3) Gesetzliche Minderungs- und Rücktrittsrechte greifen nach erfolglosem Ablauf einer angemessenen Frist zur Nacherfüllung, soweit eine Fristsetzung nicht entbehrlich ist.

§ 18 Haftung

(1) Teloro haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit, bei Arglist, aus einer ausdrücklich übernommenen Garantie und nach dem Produkthaftungsgesetz.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht ist die Haftung auf den vertragstypischen, bei Vertragsschluss vorhersehbaren Schaden begrenzt. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

(3) Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Die vorstehenden Grenzen gelten entsprechend für Organe, Beschäftigte und Erfüllungsgehilfen.

(4) Der Kunde bleibt für angemessene Exporte und Sicherungen der von ihm benötigten Daten sowie für die menschliche Kontrolle kritischer Ergebnisse verantwortlich. Ein Mitverschulden wird nach den gesetzlichen Vorschriften berücksichtigt.

§ 19 Laufzeit, Kündigung und Sperrung

(1) Beginn, Mindestlaufzeit und ordentliche Kündigungsfrist ergeben sich aus Angebot oder Tarif. Fehlt eine abweichende Regelung, läuft ein wiederkehrender Vertrag für die vereinbarte Abrechnungsperiode und verlängert sich jeweils um dieselbe Periode, wenn er nicht fristgerecht gekündigt wird.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund kann insbesondere bei erheblichem Zahlungsverzug, fortgesetzter rechtswidriger Nutzung, schwerer Sicherheitsgefährdung oder wesentlicher Pflichtverletzung trotz Abmahnung vorliegen.

(3) Eine Sperrung wird auf das erforderliche Maß begrenzt und, soweit vertretbar, vorab angekündigt. Die Zahlungspflicht bleibt bestehen, wenn der Kunde die Sperrung zu vertreten hat.

(4) Der Kunde exportiert benötigte Daten rechtzeitig vor Vertragsende. Auftragsdaten werden anschließend nach dem AVV zurückgegeben oder gelöscht.

§ 20 Höhere Gewalt

Keine Partei haftet für Verzögerungen oder Ausfälle aufgrund eines außerhalb ihres zumutbaren Einflussbereichs liegenden Ereignisses, insbesondere Naturereignissen, flächendeckenden Netzstörungen, Arbeitskämpfen, behördlichen Maßnahmen, Krieg, Pandemien oder Angriffen auf übergeordnete Infrastruktur. Die betroffene Partei informiert die andere und begrenzt die Auswirkungen soweit zumutbar.

§ 21 Aufrechnung, Zurückbehaltung und Abtretung

Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Zurückbehaltungsrechte dürfen nur aus demselben Vertragsverhältnis ausgeübt werden. Eine Abtretung von Ansprüchen bedarf der Zustimmung der anderen Partei, soweit nicht § 354a HGB oder zwingendes Recht eingreift.

§ 22 Änderungen dieser AGB

Teloro kann diese AGB mit Wirkung für die Zukunft ändern, wenn ein sachlicher Grund besteht, insbesondere eine Rechtsänderung, technische Weiterentwicklung oder Erweiterung des Leistungsangebots, und das vertragliche Gleichgewicht nicht unangemessen zulasten des Kunden verschoben wird. Änderungen werden mindestens 30 Tage vorher in Textform angekündigt. Erhebliche nachteilige Änderungen berechtigen den Kunden zur Kündigung zum Änderungszeitpunkt.

§ 23 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand der Sitz von Teloro. Teloro bleibt berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen.

(3) Änderungen und Ergänzungen sollen aus Nachweisgründen in Textform erfolgen. Individuelle Abreden und zwingende gesetzliche Formvorschriften bleiben unberührt.

(4) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. An die Stelle tritt das dispositive Gesetzesrecht.

§ 1 Gegenstand und Anwendungsbereich

(1) Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber ausschließlich zur Erbringung der im Hauptvertrag beschriebenen Leistungen und innerhalb der dort gewählten Konfiguration.

(2) Der AVV gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von ihm eingesetzte Unterauftragnehmer mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.

(3) Soweit der Auftragnehmer Daten für eigene Zwecke als Verantwortlicher verarbeitet, insbesondere Vertrags-, Abrechnungs-, Sicherheits- und Supportdaten, findet dieser AVV auf diese Verarbeitung keine Anwendung. Hierüber informiert die Datenschutzerklärung Webapp.

(4) Begriffe dieses AVV sind im Sinne der DSGVO zu verstehen. Der „Hauptvertrag“ umfasst das maßgebliche Angebot, den Bestellvorgang, die Leistungsbeschreibung und die AGB.

§ 2 Dauer der Verarbeitung

(1) Der AVV tritt mit dem Hauptvertrag oder mit der erstmaligen Auftragsverarbeitung in Kraft und gilt für deren gesamte Dauer.

(2) Einzelne Daten können nach Beendigung nur insoweit weiterverarbeitet werden, wie dies zur geregelten Rückgabe, Löschung, Überschreibung von Sicherungskopien oder aufgrund zwingenden Unions- oder Mitgliedstaatenrechts erforderlich ist.

§ 3 Art und Zweck der Verarbeitung

(1) Die Verarbeitung kann – abhängig von der Kundenkonfiguration – das Erheben, Erfassen, Ordnen, Speichern, Abgleichen, Übermitteln, Strukturieren, Transkribieren, Zusammenfassen, Klassifizieren, Bereitstellen, Sperren und Löschen personenbezogener Daten umfassen.

(2) Zwecke sind insbesondere die Annahme oder Auslösung von Anrufen, KI-gestützte Dialogführung, Terminabstimmung, strukturierte Erfassung von Anliegen, Erstellung von Transkripten und Zusammenfassungen, Weiterleitung an festgelegte Empfänger, Bereitstellung im Dashboard sowie technische Sicherung und Fehlerbehebung.

(3) Der Auftragnehmer verarbeitet Auftragsdaten nicht für eigene Werbung, Profilbildung oder das Training allgemein verfügbarer KI-Modelle.

§ 4 Art der personenbezogenen Daten und betroffene Personen

(1) Die Datenkategorien und Personengruppen sind in Anlage 1 beschrieben. Der konkrete Umfang ergibt sich aus der Konfiguration und den Weisungen des Auftraggebers.

(2) Der Auftraggeber soll keine Daten verarbeiten lassen, die für den jeweiligen Zweck nicht erforderlich sind. Besondere Kategorien nach Art. 9 DSGVO oder anderweitig besonders geschützte Daten dürfen nur bei geeigneter Rechtsgrundlage und angemessenen Schutzmaßnahmen einbezogen werden.

§ 5 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte betroffener Personen und die Zulässigkeit seiner Weisungen verantwortlich.

(2) Er erfüllt insbesondere Informationspflichten nach Art. 13 und 14 DSGVO, legt Rechtsgrundlagen und Löschfristen fest, führt erforderliche Interessenabwägungen und Datenschutz-Folgenabschätzungen durch und holt notwendige Einwilligungen ein.

(3) Der Auftraggeber stellt sicher, dass Telefonkontakte, Outbound-Maßnahmen, Gesprächsaufzeichnungen und die Nutzung sensibler Inhalte nach Datenschutz-, Wettbewerbs-, Telekommunikations-, Straf- und Berufsrecht zulässig sind.

(4) Der Auftraggeber benennt weisungsberechtigte Personen und hält deren Berechtigungen aktuell. Weisungen von erkennbar unberechtigten Personen muss der Auftragnehmer nicht ausführen.

§ 6 Weisungsgebundene Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Übermittlungen in ein Drittland, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ihn zur Verarbeitung.

(2) In einem gesetzlich vorgeschriebenen Fall informiert der Auftragnehmer den Auftraggeber vor der Verarbeitung, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

(3) Hauptvertrag, Konfigurationen, administrativ erteilte Einstellungen, Supportaufträge und in Textform übermittelte Anordnungen gelten als dokumentierte Weisungen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. Die rechtliche Verantwortung des Auftraggebers bleibt unberührt.

(5) Wesentliche Änderungen des Verarbeitungsgegenstands bedürfen einer Anpassung des Hauptvertrags oder dieses AVV. Zusatzaufwand infolge nachträglicher Einzelweisungen kann nach vorheriger Information vergütet werden.

§ 7 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere,

• Auftragsdaten ausschließlich im vereinbarten Umfang und nach Weisung zu verarbeiten,
• die Grundsätze des Art. 5 DSGVO und Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen angemessen zu unterstützen,
• ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen, soweit erforderlich,
• mit der zuständigen Aufsichtsbehörde nach Art. 31 DSGVO zusammenzuarbeiten,
• dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen,
• gesetzlich erforderliche Benennungen und Meldungen vorzunehmen und
• den Auftraggeber zu informieren, wenn sich wesentliche Umstände der Auftragsverarbeitung ändern.

§ 8 Vertraulichkeit und Personal

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Ende ihrer Tätigkeit fort.

(2) Zugriffe werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben. Berechtigungen werden überprüft und bei Wegfall des Bedarfs entzogen.

(3) Beschäftigte werden angemessen zu Datenschutz und Informationssicherheit sensibilisiert. Der Auftragnehmer stellt sicher, dass sie Auftragsdaten nur im Rahmen der erteilten Weisungen verarbeiten.

§ 9 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie der Risiken geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

(2) Die in Anlage 2 beschriebenen Maßnahmengruppen bilden das zum Zeitpunkt des Vertragsschlusses vorgesehene Schutzniveau ab. Der Auftragnehmer darf Maßnahmen durch gleichwertige oder höherwertige Maßnahmen ersetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird.

(3) Der Auftraggeber prüft, ob die Maßnahmen für sein konkretes Risiko, seine Datenkategorien und seinen Einsatzbereich ausreichend sind. Er teilt besondere Anforderungen vor Beginn der entsprechenden Verarbeitung mit.

§ 10 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragnehmer einzusetzen. Der Betrieb einer vollständig selbst gehosteten Softwarekomponente ohne Datenzugriff des Herstellers stellt kein Unterauftragsverhältnis mit dem Softwarehersteller dar.

(2) Der Auftragnehmer informiert über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers grundsätzlich mindestens 30 Tage vor Beginn. Bei dringenden Sicherheits-, Verfügbarkeits- oder Rechtsgründen kann die Frist angemessen verkürzt werden; der Grund ist mitzuteilen.

(3) Der Auftraggeber kann aus nachweisbaren datenschutzrechtlichen Gründen innerhalb von 14 Tagen widersprechen. Die Parteien suchen eine zumutbare Lösung. Ist keine Lösung möglich und der Einsatz für die Leistung erforderlich, kann jede Partei den betroffenen Leistungsteil außerordentlich beenden.

(4) Der Auftragnehmer verpflichtet Unterauftragnehmer mindestens zu denselben Datenschutzpflichten, soweit diese auf die jeweilige Leistung anwendbar sind. Er bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragnehmers verantwortlich.

(5) Reine Nebenleistungen ohne Zugriff auf Auftragsdaten, etwa allgemeine Telekommunikations-, Reinigungs- oder Wartungsleistungen, sind keine Unterauftragsverhältnisse im Sinne dieser Bestimmung. Der Auftragnehmer stellt dennoch angemessene Vertraulichkeit sicher.

§ 11 Übermittlungen in Drittländer

(1) Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und eine Weisung oder Genehmigung des Auftraggebers vorliegt.

(2) Geeignete Mechanismen können ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework, verbindliche interne Datenschutzvorschriften oder EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Maßnahmen sein.

(3) Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Bewertung der Übermittlung und stellt verfügbare Informationen über die eingesetzten Garantien bereit.

§ 12 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen nach Art. 12 bis 22 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist.

(2) Geht ein Antrag unmittelbar beim Auftragnehmer ein und betrifft erkennbar Auftragsdaten, leitet er ihn unverzüglich an den Auftraggeber weiter. Ohne Weisung beantwortet der Auftragnehmer den Antrag nicht inhaltlich, soweit keine gesetzliche Verpflichtung besteht.

(3) Der Auftraggeber bleibt für Identitätsprüfung, Fristüberwachung, rechtliche Bewertung und Kommunikation mit der betroffenen Person verantwortlich.

§ 13 Unterstützung bei Sicherheit und Folgenabschätzung

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Meldungen an Aufsichtsbehörden, Benachrichtigungen betroffener Personen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

§ 14 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Kontaktstelle.

(2) Nicht sofort verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. Der Auftragnehmer dokumentiert den Vorfall, begrenzt Auswirkungen und unterstützt die Untersuchung.

(3) Die Meldung ist kein Anerkenntnis einer Pflichtverletzung oder Haftung. Die Entscheidung über Meldungen nach Art. 33 und 34 DSGVO obliegt dem Auftraggeber, soweit er Verantwortlicher ist.

§ 15 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt geeignete Nachweise zur Verfügung, beispielsweise aktuelle Sicherheitsbeschreibungen, Zertifikate, Prüfberichte, Fragebogenantworten oder zusammengefasste Kontrollergebnisse.

(2) Reichen diese Nachweise aus objektiven Gründen nicht aus, darf der Auftraggeber selbst oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer eine Kontrolle durchführen. Sie ist grundsätzlich mindestens 14 Werktage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf relevante Systeme und Prozesse zu beschränken.

(3) Kontrollen dürfen Sicherheit, Vertraulichkeit, Rechte anderer Kunden und Betriebsabläufe nicht unangemessen beeinträchtigen. Direkter Zugang zu gemeinsam genutzter Infrastruktur oder Daten anderer Mandanten ist ausgeschlossen; gleichwertige Nachweise sind zulässig.

(4) Jede Partei trägt ihre eigenen Kosten. Unverhältnismäßiger Zusatzaufwand des Auftragnehmers kann nach vorheriger Mitteilung berechnet werden, es sei denn, die Kontrolle weist einen wesentlichen vom Auftragnehmer zu vertretenden Verstoß nach.

§ 16 Rückgabe und Löschung

(1) Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers sämtliche Auftragsdaten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Auftraggeber nutzt vor Vertragsende die verfügbaren Exportmöglichkeiten oder beauftragt rechtzeitig eine gesonderte Rückgabe. Soweit kein Format vereinbart ist, erfolgt die Rückgabe in einem verfügbaren, gängigen maschinenlesbaren Format.

(3) Daten in Sicherungskopien werden mit den geregelten Überschreibungszyklen gelöscht. Bis dahin sind sie vor produktiver Nutzung geschützt und dürfen nur zur Wiederherstellung eingesetzt werden.

(4) Gesetzlich aufzubewahrende Daten werden gesperrt, nur für den gesetzlichen Zweck verarbeitet und nach Ablauf der Pflicht gelöscht.

§ 17 Informationspflichten und Ansprechpartner

Die Parteien informieren sich über Änderungen ihrer Ansprechpartner, Weisungsberechtigten und datenschutzrechtlich relevanten Kontaktdaten. Mitteilungen im Rahmen dieses AVV können in Textform an die im Hauptvertrag oder Konto hinterlegten Adressen erfolgen.

§ 18 Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO, die sonstigen zwingenden gesetzlichen Vorschriften und die wirksam vereinbarten Haftungsregelungen des Hauptvertrags. Eine Freistellung von gesetzlichen Verantwortlichkeiten gegenüber betroffenen Personen oder Behörden ist damit nicht verbunden.

§ 19 Rangfolge, Änderungen und Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht der AVV hinsichtlich der Auftragsverarbeitung vor. Zwingende Datenschutzvorschriften bleiben unberührt.

(2) Änderungen dieses AVV bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist. Eine elektronische Annahme oder Einbeziehung durch dokumentierten Bestellvorgang genügt der Textform.

(3) Es gilt deutsches Recht. Gerichtsstandsregelungen des Hauptvertrags gelten entsprechend, soweit zulässig.

(4) Sollte eine Bestimmung unwirksam sein, bleibt der AVV im Übrigen wirksam; an ihre Stelle tritt das Gesetzesrecht.