AUFTRAGSVERARBEITUNGSVERTRAG

gemäß Art. 28 DSGVO

zwischen

Heytina GmbH
Kaingasse 74
1210 Wien

FN 680290b

(nachfolgend „Auftragsverarbeiter“)

und

dem jeweiligen Kunden

(nachfolgend „Verantwortlicher“)

gemeinsam auch „Parteien“ genannt.

1. Gegenstand und Zustandekommen der Vereinbarung

1.1 Der Auftragsverarbeiter erbringt gegenüber dem Verantwortlichen Leistungen im Zusammenhang mit der Bereitstellung und dem Betrieb einer cloudbasierten SaaS-Plattform zur Erstellung, Konfiguration und Nutzung KI-gestützter Telefonassistenten gemäß den Bestimmungen des Hauptvertrages (einschließlich der AGB).

1.2 Im Rahmen der Erbringung dieser vertraglichen Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

1.3 Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 Abs. 3 und 4 DSGVO. Die Einzelheiten der Verarbeitung (Art, Zweck, Datenkategorien, Betroffene) sind in Anhang 1 dieser Vereinbarung verbindlich festgelegt.

2. Laufzeit der Vereinbarung

2.1 Diese Vereinbarung tritt mit dem Zustandekommen des Hauptvertrages in Kraft und wird auf unbestimmte Zeit geschlossen.

2.2 Sie kann von keiner Partei isoliert gekündigt werden, sondern endet automatisch mit der endgültigen Beendigung des Hauptvertrages und der vollständigen Löschung oder Rückgabe aller Daten gemäß Punkt 14 dieser Vereinbarung.

3. Pflichten des Auftragsverarbeiters und Weisungsrecht

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die primären Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung sowie den vom Verantwortlichen selbst vorgenommenen Konfigurationen innerhalb der Benutzeroberfläche der Plattform (z.B. Festlegung von Löschfristen, Prompt-Strukturen, Wissensdatenbanken).

3.2 Ergänzende Einzelweisungen können in Textform erteilt werden. Der Auftragsverarbeiter ist berechtigt, den Aufwand für weitreichende, über die Plattformfunktionalität hinausgehende Sonderweisungen gesondert in Rechnung zu stellen, soweit diese über die vertraglich vereinbarten Leistungen und die gewöhnliche Unterstützungspflicht nach Art. 28 DSGVO hinausgehen.

3.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich gemäß Art. 28 Abs. 3 Unterabsatz 3 DSGVO in Textform (z.B. per E-Mail), wenn eine vom Verantwortlichen erteilte Weisung nach seiner fachlichen Auffassung gegen datenschutzrechtliche Bestimmungen der Europäischen Union oder der Mitgliedstaaten verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung bis zu einer Klarstellung, Bestätigung oder Abänderung durch den Verantwortlichen auszusetzen.

3.4 Der Auftragsverarbeiter nutzt die ihm zur Verarbeitung überlassenen Daten für keine anderen Zwecke, insbesondere nicht für eigene kommerzielle Zwecke oder zur Weitergabe an unbefugte Dritte.

4. Absolutes KI-Modelltrainings-Verbot

4.1 Der Auftragsverarbeiter garantiert, dass die vom Verantwortlichen eingebrachten oder im Rahmen der Telefonate generierten Daten (insbesondere Audioaufzeichnungen, Transkripte und Textbausteine) zu keinem Zeitpunkt und weder unmittelbar noch mittelbar für das Training, das Fine-Tuning oder die allgemeine qualitative Verbesserung von eigenen KI-Modellen oder Modellen der eingesetzten Drittanbieter verwendet werden.

4.2 Dies gilt uneingeschränkt sowohl für personenbezogene als auch für anonymisierte oder pseudonymisierte Datenbestände. Der Auftragsverarbeiter stellt über entsprechende vertragliche Vereinbarungen mit den in Anhang 2 genannten KI-Anbietern sicher, dass diese Daten dort ebenfalls nicht zu Trainingszwecken herangezogen werden.

5. Vertraulichkeit des Personals

5.1 Der Auftragsverarbeiter stellt sicher, dass sämtliche Personen (Mitarbeiter, Entwickler, Support-Mitarbeiter), die mit der Verarbeitung der personenbezogenen Daten betraut sind, vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5.2 Diese Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Hauptvertrages und der Tätigkeit der betroffenen Personen unvermindert fort.

6. Technische und organisatorische Maßnahmen (TOM)

6.1 Der Auftragsverarbeiter implementiert und unterhält vor Beginn der Verarbeitung die in Anhang 3 detailliert beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Verarbeitungsrisiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen dienen dem Zweck, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen.

6.2 Der Auftragsverarbeiter ist berechtigt, die implementierten Maßnahmen im Zuge des technologischen Fortschritts anzupassen und weiterzuentwickeln, sofern das vertraglich vereinbarte Schutzniveau und die Sicherheitsstandards hierdurch nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Verlangen zur Verfügung gestellt.

7. Unterauftragsverhältnisse (Subprozessoren)

7.1 Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende auszutauschen. Die zum Zeitpunkt des Vertragsabschlusses zugelassenen Unterauftragsverarbeiter sind in Anhang 2 dieser Vereinbarung abschließend aufgeführt.

7.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder des Austausches von Unterauftragsverarbeitern rechtzeitig, mindestens jedoch 14 Tage vorab, in Textform (z.B. per E-Mail oder über Mitteilungen im Dashboard).

7.3 Der Verantwortliche kann gegen eine solche Änderung innerhalb von 14 Kalendertagen ab Zugang der Mitteilung begründeten Einspruch in Textform erheben. Ein Einspruch darf nur aus gewichtigen, objektiv nachvollziehbaren datenschutzrechtlichen Gründen erhoben werden.

7.4 Erhebt der Verantwortliche Einspruch und lässt sich zwischen den Parteien keine wirtschaftlich und technisch zumutbare alternative Lösung erzielen, sind beide Parteien berechtigt, den Hauptvertrag hinsichtlich der von der Änderung betroffenen Teilleistung mit einer Frist von 14 Tagen außerordentlich zu kündigen.

8. Drittstaatenübermittlungen und Datentransfers

8.1 Die Verarbeitung der Daten (insbesondere die Speicherung und die Kern-KI-Sprachverarbeitung) erfolgt grundsätzlich auf Servern innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR).

8.2 Soweit eine Übermittlung von Daten in Drittstaaten (z.B. USA) durch den Einsatz global agierender Infrastrukturpartner stattfindet, wird der Auftragsverarbeiter sicherstellen, dass Datenübermittlungen in Drittländer ausschließlich auf einer zum jeweiligen Zeitpunkt datenschutzrechtlich zulässigen Übermittlungsgrundlage erfolgen. Dies umfasst insbesondere die Geltung der aktuellen EU-Standardvertragsklauseln (SCCs) und – soweit anwendbar – das Vorliegen von Angemessenheitsbeschlüssen der Europäischen Kommission (wie dem EU-U.S. Data Privacy Framework).

9. Rechte betroffener Personen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (z.B. Auskunft, Berichtigung, Löschung).

9.2 Richtet eine betroffene Person einen solchen Antrag direkt an den Auftragsverarbeiter, wird dieser den Antrag unverzüglich an den Verantwortlichen weiterleiten und nicht eigenmächtig beantworten.

10. Meldung von Datenschutzverletzungen

10.1 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich (ohne schuldhaftes Zögern) nach Bekanntwerden über jegliche Verletzungen des Schutzes personenbezogener Daten (Datenpannen, unbefugte Zugriffe, Sicherheitsvorfälle), die Daten betreffen, die im Auftrag des Verantwortlichen verarbeitet werden.

10.2 Die Benachrichtigung erfolgt in Textform und enthält alle notwendigen Details zum Vorfall (Art des Vorfalls, betroffene Datenkategorien, geschätzte Anzahl der Betroffenen, ergriffene und empfohlene Sofortmaßnahmen), um dem Verantwortlichen die Erfüllung seiner gesetzlichen Meldepflichten gemäß Art. 33 und 34 DSGVO zu ermöglichen.

11. Unterstützung bei datenschutzrechtlichen Pflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Verletzungen, Durchführung von Datenschutz-Folgenabschätzungen sowie vorherige Konsultationen mit Aufsichtsbehörden). Der Aufwand hierfür kann, sofern er über die Standardfunktionen der Plattform hinausgeht, angemessen in Rechnung gestellt werden.

12. Auditrechte (Überprüfungsrechte)

12.1 Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter einmal pro Kalenderjahr oder bei begründetem Verdacht auf einen Sicherheitsvorfall zu überprüfen (Audit).

12.2 Der Verantwortliche hat ein geplantes Audit mindestens vier Wochen im Voraus in Textform anzukündigen. Audits dürfen den laufenden Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen, müssen während der normalen Geschäftszeiten stattfinden und dürfen keine Geschäftsgeheimnisse oder Daten anderer Kunden gefährden.

12.3 Der Auftragsverarbeiter erfüllt seine Überprüfungspflicht primär dadurch, dass er dem Verantwortlichen geeignete, aktuelle Nachweise, unabhängige Prüfberichte (z.B. SOC 2, ISO-Zertifizierungen) oder Auditergebnisse bezüglich seiner Subprozessoren vorlegt. Eine physische Vor-Ort-Inspektion ist erst zulässig, wenn diese Nachweise nachweislich unvollständig sind.

12.4 Die Kosten des Audits (einschließlich des nachgewiesenen internen zeitlichen Aufwands des Auftragsverarbeiters) trägt vollumfänglich der Verantwortliche.

13. Pflichten und Haftungsabgrenzung des Verantwortlichen

13.1 Der Verantwortliche bleibt im Verhältnis zum Auftragsverarbeiter der alleinige Verantwortliche (im Sinne des Art. 4 Ziffer 7 DSGVO) für die Rechtmäßigkeit der Datenverarbeitung sowie für die Erfüllung sämtlicher gesetzlichen Informations-, Transparenz- und Einwilligungspflichten gegenüber den betroffenen Endanrufern.

13.2 Der Verantwortliche garantiert und haftet dafür, dass:

• Endanrufer rechtskonform und rechtzeitig (vor Beginn der Datenverarbeitung/Aufzeichnung) über den Einsatz der KI sowie über die Aufzeichnung/Transkription des Gesprächs im Sinne des Art. 50 AI Act und des § 160 TKG 2021 informiert werden,
• erforderliche Einwilligungen wirksam eingeholt und dokumentiert werden,
• ausgehende Anrufe (Outbound Calls) im Einklang mit § 174 TKG 2021 erfolgen,
• für die Nutzung der Voice-Cloning-Funktion alle notwendigen Rechte und datenschutzrechtlichen Erklärungen der betroffenen Stimminhaber lückenlos vorliegen.

Der Verantwortliche ist für sämtliche Transparenzpflichten nach der jeweils geltenden Fassung des AI Act verantwortlich.

13.3 Der Verantwortliche stellt den Auftragsverarbeiter von allen Schäden, Ansprüchen Dritter und behördlichen Bußgeldern frei, die dadurch entstehen, dass der Verantwortliche seine Pflichten verletzt oder das System fehlerhaft, unvollständig oder gesetzeswidrig konfiguriert hat.

14. Löschung und Rückgabe von Daten nach Vertragsbeendigung

14.1 Nach Beendigung des Hauptvertrages hat der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen entweder datenschutzkonform zu löschen oder an diesen in einem gängigen Format zurückzugeben, sofern nicht zwingende gesetzliche Aufbewahrungspflichten eine vorübergehende Speicherung erfordern.

14.2 Erfolgt innerhalb von 30 Tagen nach Vertragsbeendigung keine ausdrückliche Weisung des Verantwortlichen zur Rückgabe, wird der Auftragsverarbeiter die endgültige Löschung der Daten veranlassen.

15. Schlussbestimmungen

15.1 Diese Vereinbarung ist ein integraler Bestandteil des Hauptvertrages. Bei etwaigen Widersprüchen zwischen den Bestimmungen des Hauptvertrages (oder den AGB) und diesem AVV gehen hinsichtlich datenschutzrechtlicher Fragen die Bestimmungen dieses AVV vor.

15.2 Änderungen, Ergänzungen oder die Aufhebung dieser Vereinbarung bedürfen zu ihrer Wirksamkeit der Textform (z.B. per E-Mail). Dies gilt auch für ein Abgehen von diesem Formerfordernis.

15.3 Diese Vereinbarung unterliegt ausschließlich österreichischem Recht.

15.4 Als ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung wird das sachlich zuständige Gericht in Wien, Österreich, vereinbart.

15.5 Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung unverzüglich durch eine wirksame Bestimmung zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung rechtlich am nächsten kommt.

ANHANG 1: Details zur Datenverarbeitung (Zwecke, Daten & Betroffene)

1. Zweck und Natur der Verarbeitung

Der Auftragsverarbeiter stellt eine cloudbasierte Plattform zur Verfügung, die mittels künstlicher Intelligenz (LLMs) Telefonanrufe im Auftrag des Verantwortlichen automatisiert abwickelt. Die Natur der Verarbeitung umfasst das Erfassen, Strukturieren, Analysieren, Transkribieren, Speichern, Verknüpfen und Löschen von Kommunikations- und Stammdaten, um automatisierte Geschäftsprozesse (Termine, Bestellungen, Kundensupport) durchzuführen.

1. Kategorien personenbezogener Daten

• Identifikations- und Stammdaten: Vorname, Nachname, Anrede, Titel, Firmenname, Kundennummern, Benutzerkennungen.
• Telekommunikations- und Verbindungsdaten: Quell-Telefonnummer, Ziel-Telefonnummer, IP-Adressen der SIP-Anbindungen, Verbindungsdauer, Routing-Pfade, Gesprächs-IDs, Netzbetreiberinformationen.
• Inhalts- und Audiodaten: Vollständige Audioaufzeichnungen der Telefongespräche (Sprachaufnahmen), generierte Wort-für-Wort-Transkripte der Gespräche, KI-generierte Gesprächszusammenfassungen und Notizen.
• Prozess- und Transaktionsdaten: Termindaten (Datum, Uhrzeit, Grund), Bestelldaten (Produkt, Menge, Lieferadresse), Ticket- und Supportinformationen, Lead-Qualifizierungsdaten.
• Zahlungs- und Abrechnungsdaten: Rechnungsadressen, Zahlungshistorie, Maskierte Kreditkartendaten oder Transaktions-IDs (verarbeitet via Stripe).
• KI-Spezifische Systemdaten: System-Prompts, Konfigurationsdaten, Trainings- und Wissensdatenbanken (die personenbezogene Daten enthalten können), Protokolle über Prompt-Eingaben.
• Daten im Zusammenhang mit der Voice-Cloning-Funktion: Biometrische Sprachmuster, Stimmprofile und Sprachreferenzaufnahmen, sofern die Voice-Cloning-Funktion genutzt wird.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gegebenenfalls Gesundheitsdaten oder sonstige sensible Daten, sofern Endanrufer diese während des Gesprächs unaufgefordert äußern (z.B. Symptome bei medizinischen Terminbuchungen oder persönliche Umstände im Kundenservice). Der Verantwortliche ist allein dafür verantwortlich, dass für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO eine geeignete Rechtsgrundlage vorliegt.

1. Kategorien betroffener Personen

• Endkunden, Interessenten und Anrufer (natürliche Personen), die mit dem KI-Telefonassistenten des Verantwortlichen interagieren (Inbound & Outbound).
• Mitarbeiter, Administratoren, Agenten und gesetzliche Vertreter des Verantwortlichen, die ein Benutzerkonto auf der Plattform unterhalten.
• Lieferanten, Partner oder sonstige Kontaktpersonen des Verantwortlichen, deren Daten in den Telefonaten Erwähnung finden oder im System hinterlegt sind.

1. Spezifische Löschfristen im laufenden Betrieb

• Audioaufzeichnungen und Transkripte: Werden im laufenden Betrieb standardmäßig nach Ablauf von sechs (6) Monaten vollautomatisch und unwiderruflich gelöscht.
• Individuelle Konfiguration: Der Verantwortliche hat das Recht, über die Benutzeroberfläche des Dashboards kürzere Löschzyklen (z.B. 30, 60 oder 90 Tage) festzulegen. Das System setzt diese Fristen automatisiert um.

ANHANG 2: Zugelassene Unterauftragsverarbeiter (Subprozessoren)

Hinweis: Der Auftragsverarbeiter stellt durch entsprechende Verträge mit den unten genannten KI-Anbietern sicher, dass übermittelte personenbezogene Daten nicht für Trainingszwecke verwendet werden.

Je nach der vom Verantwortlichen gewählten Konfiguration sowie den aktivierten Funktionen werden nicht sämtliche nachstehenden Unterauftragsverarbeiter eingesetzt. Die Verarbeitung erfolgt ausschließlich durch diejenigen Dienstleister, deren Dienste vom Verantwortlichen aktiviert oder für die jeweilige Funktion erforderlich sind.

ANHANG 3: Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt zum Schutz der personenbezogenen Daten ein Sicherheitskonzept um, das die folgenden Bereiche umfasst:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Das Hosting der Server erfolgt ausschließlich in zertifizierten Hochsicherheitsrechenzentren (u.a. AWS, Microsoft Azure) mit strenger physischer Zutrittskontrolle (Biometrische Scanner, 24/7-Sicherheitsdienst, Videoüberwachung, vereinzelte Schleusen).
• Zugangskontrolle (Systeme): Zugriff auf die Systeme und Datenbanken ist nur über verschlüsselte Verbindungen (SSH, VPN) möglich. Es gilt ein striktes Passwort-Regelwerk (Mindestlänge, Sonderzeichen). Der administrative Zugriff ist zwingend an eine Multi-Faktor-Authentisierung (MFA) gekoppelt.
• Zugriffskontrolle (Daten): Implementierung eines rollenbasierten Berechtigungskonzepts (Role-Based Access Control – RBAC) nach dem „Need-to-know“-Prinzip. Mitarbeiter erhalten nur Zugriff auf jene Daten, die für ihre spezifische Aufgabe (z.B. technischer Support) zwingend erforderlich sind.
• Pseudonymisierung: Soweit für statistische Auswertungen oder Fehleranalysen erforderlich, werden Verbindungsdaten automatisiert pseudonymisiert.
• Verschlüsselung:
  • Data in Transit: Sämtliche Datenströme, insbesondere die API-Kommunikation und der Dashboard-Aufruf, werden über moderne Verschlüsselungsprotokolle geschützt (HTTPS, TLS 1.3). Telefonieverbindungen werden, soweit vom Netzbetreiber unterstützt, via SRTP/TLS abgesichert.
  • Data at Rest: Alle Datenbanken, Audioaufzeichnungen und Transkripte werden auf den Speichermedien standardmäßig mittels AES-256 verschlüsselt hinterlegt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Dateneingabekontrolle: Sämtliche Systemzugriffe, Datenänderungen, Löschungen und administrativen Prozesse werden in fälschungssicheren Log-Dateien protokolliert. Die Logs werden separat gesichert und automatisiert auf Anomalien analysiert.
• Übertragungskontrolle: Die Datenübertragung zwischen den einzelnen Microservices der Plattform und den KI-Subprozessoren erfolgt ausschließlich über gesicherte, authentifizierte und verschlüsselte interne Netzwerke.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle: Einsatz redundanter Cloud-Infrastrukturen mit automatischer Skalierung (Auto-Scaling) und Load-Balancing, um Lastspitzen bei Telefonaufkommen abzufangen.
• Datensicherung (Backup-Konzept): Automatisierte, verschlüsselte Backups der Systemkonfigurationen und Datenbanken werden täglich erstellt und geographisch redundant in verschiedenen Brandabschnitten der Cloud-Infrastruktur aufbewahrt.
• Katastrophenvorsorge (Disaster Recovery): Vorhalten von Notfallplänen zur schnellen Wiederherstellung der Systeme bei Totalausfall eines Rechenzentrums. Unterbrechungsfreie Stromversorgung (USV) und redundante Netzanbindungen sind durch die Cloud-Infrastruktur-Provider garantiert.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Incident Management: Etablierter Prozess zur Erkennung, Dokumentation, internen Eskalation und Behebung von Sicherheitsvorfällen oder potenziellen Datenpannen.
• Schwachstellen-Scans & Penetrationstests: Regelmäßige automatisierte Überprüfung des Quellcodes und der Cloud-Infrastruktur auf Sicherheitslücken. Durchführung periodischer IT-Sicherheitstests (Penetration Tests) durch qualifizierte externe Sicherheitsdienstleister.
• Privacy by Design / Default: Bei der Softwareentwicklung werden Datenschutz- und Datensicherheitsaspekte von Beginn an berücksichtigt (z.B. standardmäßig aktivierte automatische Löschzyklen für Audioaufnahmen).