Stand: 28.07.2026 zwischen dem jeweiligen Kunden der MeinAssistent Digital GmbH, der im Rahmen des Hauptvertrags als Verantwortlicher im Sinne der Datenschutz-Grundverordnung handelt, nachfolgend „Verantwortlicher“ oder „Auftraggeber“, und MeinAssistent Digital GmbH Durlacher Allee 75 76131 Karlsruhe Deutschland Handelsregister: Amtsgericht Mannheim, HRB 707561 Geschäftsführer: Frank Meier E-Mail: info@meinassistent.ai Telefon: +49 721 95279593 Webseite: www.meinassistent.ai nachfolgend „Auftragsverarbeiter“ oder „MeinAssistent“, gemeinsam auch „Parteien“ genannt. PRÄAMBEL Die Parteien haben einen Vertrag über digitale Dienstleistungen, Softwareleistungen, KI-gestützte Leistungen, Beratung, Implementierung, Migration, Integration, Automatisierung, Support oder vergleichbare Leistungen geschlossen, nachfolgend „Hauptvertrag“. Im Rahmen der Leistungserbringung kann MeinAssistent personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Dies kann insbesondere bei KI-Telefonie und digitalen Assistenzsystemen, der Verarbeitung von Anrufen, Chats, Formularen und Nachrichten, Transkriptionen und Gesprächszusammenfassungen, automatisierten Termin- und Kommunikationsprozessen, Prozessanalysen, CRM- und ERP-Implementierungen, Datenmigrationen, Schnittstellen, Automatisierungen, Tests, Schulungen, Support, Wartung und Fehleranalysen erfolgen. Mit diesem Vertrag konkretisieren die Parteien ihre datenschutzrechtlichen Rechte und Pflichten gemäß Art. 28 DSGVO. MeinAssistent verarbeitet personenbezogene Daten grundsätzlich ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag gilt nur für Verarbeitungsvorgänge, bei denen MeinAssistent tatsächlich als Auftragsverarbeiter tätig wird. Verarbeitet MeinAssistent personenbezogene Daten für eigene Zwecke, insbesondere zur Vertragsanbahnung, Vertragsverwaltung, Abrechnung, Buchhaltung, Erfüllung gesetzlicher Pflichten oder Geltendmachung eigener Ansprüche, handelt MeinAssistent insoweit als eigenständig Verantwortlicher. Dieser Vertrag wird Bestandteil des Hauptvertrags, sobald der Verantwortliche eine Leistung beauftragt oder nutzt, bei der MeinAssistent personenbezogene Daten in seinem Auftrag verarbeitet. Ein gesonderter Ausdruck oder eine handschriftliche Unterzeichnung ist nicht erforderlich. § 1 GEGENSTAND UND ANWENDUNGSBEREICH 1.1 Gegenstand Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch MeinAssistent im Auftrag des Verantwortlichen im Rahmen der im Hauptvertrag vereinbarten Leistungen. Die Einzelheiten ergeben sich aus diesem Vertrag, dem Hauptvertrag, dem jeweiligen Angebot, der Leistungsbeschreibung, den Systemeinstellungen, dokumentierten Weisungen und den Anlagen zu diesem Vertrag. 1.2 Erfasste Leistungsbereiche Dieser Vertrag kann insbesondere folgende Leistungsbereiche erfassen: KI-Telefonassistenten, Voice-AI-Dienste, Chatbots, digitale Kommunikationsassistenten, automatisierte Kundenkommunikation, Gesprächsaufzeichnung, Spracherkennung, Transkription, Sprachsynthese, Gesprächszusammenfassungen, Terminbuchungen, Rufweiterleitungen, E-Mail- und SMS-Kommunikation, CRM-, ERP-, Kalender- und Helpdesk-Integrationen, APIs, Webhooks, Workflows, Prozessberatung, Systemanalyse, Systemeinführung, Datenexport, Datenimport, Test- und Produktivmigrationen, Datenbereinigung, Einrichtung von Rollen und Berechtigungen, Test-, Schulungs-, Entwicklungs- und Migrationsumgebungen, Support, Wartung, Fernzugriff und Fehleranalyse. Es gelten jeweils nur die Leistungen, die der Verantwortliche tatsächlich beauftragt oder aktiviert hat. 1.3 Abgrenzung zur eigenen Verantwortlichkeit MeinAssistent handelt nicht als Auftragsverarbeiter, soweit MeinAssistent die Zwecke und wesentlichen Mittel einer Verarbeitung selbst festlegt. Dies betrifft insbesondere die Verarbeitung von Ansprechpartnerdaten zur Vertragsanbahnung, Vertragsverwaltung, Projektorganisation, allgemeinen Kundenkommunikation, Rechnungsstellung, Zahlungsabwicklung, Buchhaltung, steuerlichen Dokumentation, Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten, Rechtsverteidigung sowie internen Sicherheits- und Missbrauchsprävention. 1.4 Direkt beauftragte Anbieter Software-, Hosting-, Cloud-, CRM-, ERP-, Kommunikations- oder sonstige Anbieter, die unmittelbar durch den Verantwortlichen beauftragt wurden, sind nicht allein deshalb Unterauftragsverarbeiter von MeinAssistent. Soweit MeinAssistent im Auftrag des Verantwortlichen auf ein solches System zugreift, bleibt die datenschutzrechtliche Vertragsbeziehung zwischen dem Verantwortlichen und dem jeweiligen Anbieter unberührt. 1.5 Vorrang Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. § 2 DAUER DER VERARBEITUNG 2.1 Vertragsdauer Dieser Vertrag beginnt mit Abschluss des Hauptvertrags oder mit dem erstmaligen Beginn einer Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen. Er gilt für die Dauer der auftragsbezogenen Verarbeitung. 2.2 Ende der Verarbeitung Die Verarbeitung endet grundsätzlich mit Beendigung des Hauptvertrags, Abschluss der jeweiligen Projektleistung, Beendigung des betreffenden Verarbeitungsvorgangs, auf dokumentierte Weisung des Verantwortlichen oder sobald MeinAssistent die Daten nicht mehr zur Leistungserbringung benötigt. 2.3 Fortgeltende Pflichten Vertraulichkeits-, Lösch-, Nachweis- und Unterstützungspflichten gelten über das Ende des Hauptvertrags hinaus, soweit dies zur ordnungsgemäßen Beendigung der Verarbeitung oder aufgrund gesetzlicher Verpflichtungen erforderlich ist. § 3 ART UND ZWECK DER VERARBEITUNG 3.1 Zweckbindung MeinAssistent verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen und nach Maßgabe dokumentierter Weisungen des Verantwortlichen. 3.2 Mögliche Zwecke Die Verarbeitung kann insbesondere folgenden Zwecken dienen: automatisierte Annahme und Bearbeitung von Anrufen, KI-gestützte Gespräche, Chatbot- und Kommunikationsfunktionen, Terminverwaltung, Transkription, Sprachsynthese, Gesprächszusammenfassungen, Kategorisierung von Kommunikationsinhalten, Rufweiterleitung, E-Mail- und SMS-Kommunikation, Kontakt- und Vorgangsverwaltung, Aufgabenplanung, Datenübertragung an CRM-, ERP-, Kalender-, Helpdesk- und Fachsysteme, Prozessanalyse, Systemkonfiguration, Datenexport, Datenbereinigung, Datenzuordnung, Test- und Produktivmigration, Schnittstellen, Automatisierungen, Systemtests, Support, Wartung, Fehleranalyse, technische Absicherung und Schulung. 3.3 Arten der Verarbeitung Die Verarbeitung kann insbesondere das Erheben, Erfassen, Aufzeichnen, Ordnen, Strukturieren, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Abgleichen, Verknüpfen, Übermitteln, Bereitstellen, Weiterleiten, Kopieren, Exportieren, Importieren, Migrieren, Transkribieren, Zusammenfassen, Kategorisieren, Pseudonymisieren, Einschränken, Löschen und Vernichten umfassen. 3.4 Keine Verarbeitung zu eigenen Zwecken MeinAssistent darf die im Auftrag verarbeiteten personenbezogenen Daten nicht zu eigenen Werbe-, Vertriebs-, Profilbildungs- oder sonstigen vertragsfremden Zwecken verwenden. Eine Verarbeitung zu einem eigenen Zweck ist nur zulässig, wenn eine gesetzliche Verpflichtung oder eigenständige Rechtsgrundlage besteht, eine gesonderte Vereinbarung getroffen wurde oder die Daten zuvor wirksam und dauerhaft anonymisiert wurden. 3.5 Anonymisierte Informationen MeinAssistent darf vollständig und irreversibel anonymisierte Informationen für statistische, technische oder sicherheitsbezogene Zwecke verwenden. Eine bloße Pseudonymisierung gilt nicht als Anonymisierung. § 4 KATEGORIEN PERSONENBEZOGENER DATEN Abhängig von den beauftragten Leistungen können insbesondere folgende Daten verarbeitet werden: Identifikations- und Stammdaten, Namen, Titel, Geburtsdaten, Anschriften, Telefonnummern, E-Mail-Adressen, Unternehmenszugehörigkeit, Abteilung, Funktion, Kunden-, Interessenten-, Lieferanten- und Geschäftspartnerdaten, Beschäftigten- und Bewerberdaten, Benutzerkonten, Zugangsdaten, technische Kennungen, Rollen, Berechtigungen, Audio- und Sprachdaten, Gesprächsinhalte, Aufzeichnungen, Transkripte, Zusammenfassungen, Chatverläufe, Formulardaten, E-Mail- und SMS-Inhalte, Kommunikationsdaten, Termin- und Kalenderdaten, Aufgaben- und Vorgangsdaten, CRM-, ERP-, Helpdesk-, Vertrags-, Angebots-, Auftrags-, Rechnungs-, Zahlungs- und Buchungsdaten, Dokumente, Dateianhänge, Beschwerde-, Service-, Bewertungs-, Prozess- und Projektdaten, IP-Adressen, Browser- und Geräteinformationen, Verbindungs-, Protokoll-, Nutzungs-, Fehler-, API-, Webhook- und Integrationsdaten sowie sonstige vom Verantwortlichen bereitgestellte personenbezogene Daten. § 5 KATEGORIEN BETROFFENER PERSONEN Abhängig von den Leistungen können insbesondere folgende Personen betroffen sein: Kunden, Interessenten, Anrufer, Kommunikationspartner, Webseiten- und Chatbot-Nutzer, Personen mit Terminbuchungen, Beschwerdeführer, Bewerber, Beschäftigte, ehemalige Beschäftigte, freie Mitarbeiter, Ansprechpartner, gesetzliche Vertreter, Lieferanten, Dienstleister, Geschäftspartner, Mandanten, Patienten, Bewohner, Pflegebedürftige, Versicherungsnehmer, Schulungs- und Veranstaltungsteilnehmer, Systemnutzer sowie sonstige Personen, deren Daten in Kundensystemen, Dokumenten, Datenbanken, Kommunikationsverläufen oder Migrationsbeständen enthalten sind. § 6 BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN 6.1 Mögliche Verarbeitung Abhängig von der Branche und den Systemen des Verantwortlichen können besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden. Hierzu können insbesondere Gesundheitsdaten, Daten zur ethnischen Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung sowie Daten zum Sexualleben oder zur sexuellen Orientierung gehören. Darüber hinaus können Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO betroffen sein. 6.2 Vorherige Information Der Verantwortliche muss MeinAssistent vor Beginn der Verarbeitung informieren, wenn im Rahmen der beauftragten Leistungen regelmäßig besondere Kategorien personenbezogener Daten oder Daten gemäß Art. 10 DSGVO verarbeitet werden. Die Information kann insbesondere im Angebot, in der Projektkommunikation, per E-Mail, über ein Projektmanagementsystem oder im Rahmen der Systemkonfiguration erfolgen. 6.3 Verantwortung des Verantwortlichen Der Verantwortliche stellt sicher, dass eine ausreichende Rechtsgrundlage besteht, die Verarbeitung erforderlich ist, Informationspflichten erfüllt wurden, erforderliche Einwilligungen oder sonstige Nachweise vorliegen und besondere gesetzliche, berufsrechtliche und technische Schutzanforderungen berücksichtigt werden. 6.4 Datenminimierung Die Parteien wirken darauf hin, besondere Kategorien personenbezogener Daten nur im erforderlichen Umfang zu verarbeiten. Für Tests, Schulungen und Entwicklung sollen nach Möglichkeit anonymisierte, pseudonymisierte oder synthetische Daten verwendet werden. § 7 RECHTE UND PFLICHTEN DES VERANTWORTLICHEN 7.1 Rechtmäßigkeit Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und seiner Weisungen verantwortlich. Dies umfasst insbesondere die Zulässigkeit der ursprünglichen Datenerhebung, die Festlegung der Zwecke und Rechtsgrundlagen, die Einhaltung der Grundsätze aus Art. 5 DSGVO, Informationspflichten, Einwilligungen, Lösch- und Aufbewahrungsfristen, Widersprüche, Sperrvermerke, Betroffenenanfragen, Datenschutz-Folgenabschätzungen, die Beteiligung von Datenschutzbeauftragten, Betriebs- oder Personalräten sowie branchenspezifische Pflichten. 7.2 Weisungsrecht Der Verantwortliche erteilt MeinAssistent Weisungen zu Art, Umfang, Zweck und Mitteln der Verarbeitung. Weisungen können sich insbesondere auf Zugriff, Erhebung, Speicherung, Übermittlung, Berichtigung, Einschränkung, Export, Rückgabe, Löschung, Speicherfristen, Systemeinstellungen, Dienstleister, Verarbeitungsorte, Berechtigungen und Sicherheitsmaßnahmen beziehen. 7.3 Form der Weisung Weisungen werden grundsätzlich in Textform erteilt. Als dokumentierte Weisung gelten insbesondere Regelungen im Hauptvertrag, im Angebot, in Leistungsbeschreibungen, freigegebenen Projektunterlagen, E-Mails, Supportanfragen, Freigaben in Projektmanagementsystemen, Systemkonfigurationen sowie vom Verantwortlichen veranlasste Einstellungen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. 7.4 Weisungsberechtigte Personen Bis zu einer abweichenden Mitteilung darf MeinAssistent davon ausgehen, dass die im Hauptvertrag, Angebot, Projekt, Supportvorgang oder Kundenkonto benannten Ansprechpartner weisungsberechtigt sind. Der Verantwortliche informiert MeinAssistent über Änderungen der Weisungsberechtigung. 7.5 Unzulässige Weisungen Hält MeinAssistent eine Weisung für datenschutzrechtlich unzulässig, informiert MeinAssistent den Verantwortlichen unverzüglich und darf die Durchführung aussetzen, bis die Weisung bestätigt, geändert oder zurückgenommen wurde. 7.6 Bereitstellung von Informationen Der Verantwortliche informiert MeinAssistent insbesondere über besondere Datenkategorien, regulierte Tätigkeitsbereiche, erhöhte Risiken, besondere Löschfristen, gesetzliche Geheimhaltungspflichten, besonders schutzbedürftige Personengruppen, vorgeschriebene Datenstandorte und unzulässige Verarbeitungsformen. 7.7 Sicherungen und Freigaben Der Verantwortliche ist für erforderliche Sicherungen seiner Ausgangs- und Produktivsysteme verantwortlich, sofern MeinAssistent die Datensicherung nicht ausdrücklich übernommen hat. Vor Produktivmigrationen, wesentlichen Systemänderungen oder automatisierten Verarbeitungsschritten erteilt der Verantwortliche die erforderlichen fachlichen Freigaben. § 8 PFLICHTEN DES AUFTRAGSVERARBEITERS 8.1 Weisungsbindung MeinAssistent verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, im Rahmen des Hauptvertrags, nach Maßgabe dieses Vertrags und soweit keine gesetzliche Verpflichtung eine andere Verarbeitung verlangt. 8.2 Gesetzlich vorgeschriebene Verarbeitung Ist MeinAssistent aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert MeinAssistent den Verantwortlichen vorab, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. 8.3 Vertraulichkeit MeinAssistent stellt sicher, dass alle zur Verarbeitung befugten Personen nur im erforderlichen Umfang auf personenbezogene Daten zugreifen, zur Vertraulichkeit verpflichtet sind und über die datenschutzrechtlichen Anforderungen informiert wurden. 8.4 Sicherheit MeinAssistent setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Die Maßnahmen sind in Anlage 3 beschrieben. 8.5 Unterstützung MeinAssistent unterstützt den Verantwortlichen insbesondere bei Betroffenenanfragen, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Sicherheitsmaßnahmen, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und Nachweisen gegenüber Aufsichtsbehörden. 8.6 Dokumentation MeinAssistent stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten gemäß Art. 28 DSGVO nachzuweisen. 8.7 Zusammenarbeit mit Behörden MeinAssistent arbeitet im gesetzlich erforderlichen Umfang mit zuständigen Datenschutzaufsichtsbehörden zusammen. 8.8 Datenminimierung MeinAssistent verarbeitet nur die Daten, die zur Erbringung der vereinbarten Leistungen oder zur Umsetzung dokumentierter Weisungen erforderlich sind. 8.9 Mandantentrennung MeinAssistent trifft angemessene Maßnahmen zur logischen Trennung der Daten verschiedener Kunden. 8.10 Keine Veräußerung MeinAssistent verkauft, vermietet oder vermarktet personenbezogene Kundendaten nicht. § 9 PERSONAL UND VERTRAULICHKEIT 9.1 Zugriffsberechtigung Zugriff auf personenbezogene Daten erhalten nur Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen. 9.2 Verpflichtung Beschäftigte, freie Mitarbeiter und sonstige eingesetzte Personen werden angemessen zur Vertraulichkeit verpflichtet. 9.3 Fortgeltung Die Vertraulichkeitsverpflichtung gilt auch nach Beendigung der Tätigkeit. 9.4 Schulung MeinAssistent informiert und schult die mit der Verarbeitung befassten Personen entsprechend ihren Aufgaben und den bestehenden Risiken. 9.5 Berechtigungskontrolle Berechtigungen werden angemessen vergeben, regelmäßig geprüft und bei Wegfall der Erforderlichkeit entzogen. § 10 TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN 10.1 Sicherheitsniveau MeinAssistent gewährleistet ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken. 10.2 Konkretisierung Die bei Vertragsschluss geltenden technischen und organisatorischen Maßnahmen sind in Anlage 3 beschrieben. 10.3 Weiterentwicklung MeinAssistent darf die Maßnahmen weiterentwickeln und anpassen, wenn das Sicherheitsniveau nicht unterschritten wird und die Änderungen gleichwertige oder bessere Schutzwirkungen entfalten. 10.4 Projektspezifische Anforderungen Besondere Sicherheitsanforderungen, die über Anlage 3 hinausgehen, müssen ausdrücklich im Hauptvertrag, Angebot, in einer Leistungsbeschreibung oder durch eine dokumentierte Weisung vereinbart werden. 10.5 Kundenseitige Sicherheit Der Verantwortliche bleibt für die Sicherheit seiner eigenen Systeme, Endgeräte, Netzwerke, Zugangsdaten, Benutzerkonten und internen Berechtigungen verantwortlich. § 11 BERICHTIGUNG, LÖSCHUNG UND EINSCHRÄNKUNG 11.1 Durchführung auf Weisung MeinAssistent berichtigt, löscht oder beschränkt personenbezogene Daten nach dokumentierter Weisung des Verantwortlichen, soweit dies technisch möglich und gesetzlich zulässig ist. 11.2 Eigenmächtige Änderungen MeinAssistent berichtigt oder löscht Daten nicht eigenmächtig, sofern dies nicht zur Erfüllung einer gesetzlichen Verpflichtung, zur Abwehr einer unmittelbaren Sicherheitsgefahr oder aufgrund einer allgemeinen dokumentierten Weisung erforderlich ist. 11.3 Information Soweit MeinAssistent eine gesetzlich zwingende Löschung oder Einschränkung vornimmt, informiert MeinAssistent den Verantwortlichen, sofern dies rechtlich zulässig ist. § 12 UNTERSTÜTZUNG BEI BETROFFENENRECHTEN 12.1 Allgemeine Unterstützung MeinAssistent unterstützt den Verantwortlichen im Rahmen der Art der Verarbeitung und der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Rechten im Zusammenhang mit automatisierten Entscheidungen. 12.2 Direkt eingehende Anfragen Richtet sich eine betroffene Person unmittelbar an MeinAssistent und betrifft die Anfrage eine Auftragsverarbeitung, beantwortet MeinAssistent die Anfrage nicht eigenständig, sondern leitet sie unverzüglich an den Verantwortlichen weiter, soweit eine Zuordnung möglich ist. 12.3 Identitätsprüfung Die Prüfung der Identität der anfragenden Person obliegt grundsätzlich dem Verantwortlichen. 12.4 Technische Unterstützung MeinAssistent unterstützt, soweit erforderlich und technisch möglich, durch Datensuche, Export, Berichtigung, Löschung, Sperrung, Einschränkung und Bereitstellung technischer Informationen. 12.5 Fristen Der Verantwortliche übermittelt Weisungen so rechtzeitig, dass MeinAssistent die erforderliche Unterstützung innerhalb der gesetzlichen Fristen leisten kann. § 13 DATENSCHUTZVERLETZUNGEN 13.1 Meldung MeinAssistent informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, soweit Daten des Verantwortlichen betroffen sind. Eine erste Information erfolgt grundsätzlich innerhalb von 24 Stunden nach Bekanntwerden, soweit dies unter Berücksichtigung der tatsächlichen Umstände möglich ist. 13.2 Inhalt der Meldung Die Meldung enthält, soweit verfügbar, eine Beschreibung der Verletzung, die betroffenen Systeme und Verarbeitungsvorgänge, die Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, bereits ergriffene oder geplante Maßnahmen sowie einen Ansprechpartner. 13.3 Schrittweise Information Sind nicht alle Informationen sofort verfügbar, können sie ohne unangemessene Verzögerung schrittweise nachgereicht werden. 13.4 Unterstützung MeinAssistent unterstützt den Verantwortlichen angemessen bei Risikobewertung, Dokumentation, Meldungen an Aufsichtsbehörden, Benachrichtigungen betroffener Personen und Gegenmaßnahmen. 13.5 Kein Anerkenntnis Die Meldung einer Datenschutzverletzung stellt kein Anerkenntnis einer rechtlichen Verantwortlichkeit oder Pflichtverletzung dar. 13.6 Verantwortlichkeit für Meldungen Die Entscheidung über Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen obliegt grundsätzlich dem Verantwortlichen. § 14 DATENSCHUTZ-FOLGENABSCHÄTZUNG UND KONSULTATION 14.1 Unterstützung MeinAssistent unterstützt den Verantwortlichen im angemessenen Umfang bei der Prüfung und Durchführung einer Datenschutz-Folgenabschätzung sowie bei einer vorherigen Konsultation der Aufsichtsbehörde. 14.2 Verantwortlichkeit Die Entscheidung über die Erforderlichkeit und Durchführung einer Datenschutz-Folgenabschätzung obliegt dem Verantwortlichen. 14.3 Erforderliche Informationen Der Verantwortliche informiert MeinAssistent über geplante Einsätze, besondere Risiken, betroffene Personengruppen, sensible Datenarten, automatisierte Entscheidungen und branchenspezifische Anforderungen. 14.4 Zusatzaufwand Unterstützungsleistungen, die über die übliche Bereitstellung vorhandener Informationen hinausgehen, können nach den vereinbarten Vergütungssätzen berechnet werden, sofern sie nicht aufgrund eines von MeinAssistent zu vertretenden Verstoßes erforderlich wurden. § 15 UNTERAUFTRAGSVERARBEITER 15.1 Allgemeine Genehmigung Der Verantwortliche erteilt MeinAssistent die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss genehmigten Anbieter ergeben sich aus Anlage 4. 15.2 Voraussetzungen MeinAssistent setzt nur Unterauftragsverarbeiter ein, die hinreichende Garantien für eine den gesetzlichen Anforderungen entsprechende Verarbeitung bieten. 15.3 Vertragliche Verpflichtung MeinAssistent verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die hinsichtlich der betreffenden Verarbeitung ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten. 15.4 Verantwortung MeinAssistent bleibt gegenüber dem Verantwortlichen für die datenschutzrechtlichen Pflichten der Unterauftragsverarbeiter nach Maßgabe der gesetzlichen Vorschriften verantwortlich. 15.5 Änderungen MeinAssistent informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Die Information kann per E-Mail, Kundenportal, veröffentlichter Unterauftragsverarbeiterliste oder Projektmanagementsystem erfolgen. 15.6 Widerspruchsfrist Der Verantwortliche kann einer Änderung innerhalb von 14 Kalendertagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Der Widerspruch muss in Textform erfolgen, den betreffenden Anbieter benennen und den konkreten datenschutzrechtlichen Grund enthalten. 15.7 Berechtigter Widerspruch Bei einem berechtigten Widerspruch bemühen sich die Parteien um eine angemessene Lösung, insbesondere den Verzicht auf den Anbieter, eine technische Alternative, Deaktivierung der betroffenen Funktion, Änderung des Leistungsumfangs oder Kündigung des betroffenen Leistungsteils. 15.8 Kundenseitige Anbieter Dienstleister, die der Verantwortliche selbst unmittelbar beauftragt, gelten nicht als Unterauftragsverarbeiter von MeinAssistent. 15.9 Projektspezifische Anbieter Bei CRM-, ERP-, Migrations-, Implementierungs- und Integrationsprojekten können zusätzliche projektspezifische Unterauftragsverarbeiter erforderlich werden. Diese werden vor ihrem Einsatz nach Maßgabe dieses Paragrafen mitgeteilt. § 16 DRITTLANDÜBERMITTLUNGEN 16.1 Grundsatz Eine Übermittlung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. 16.2 Übermittlungsgrundlagen Eine Drittlandübermittlung kann insbesondere auf einem Angemessenheitsbeschluss, dem EU-US Data Privacy Framework, Standardvertragsklauseln, verbindlichen internen Datenschutzvorschriften, gesetzlichen Ausnahmen oder weiteren geeigneten Garantien beruhen. 16.3 Zusätzliche Maßnahmen Soweit erforderlich, werden zusätzliche Maßnahmen wie Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen, verkürzte Speicherfristen oder regionale Verarbeitungseinstellungen eingesetzt. 16.4 Information MeinAssistent informiert den Verantwortlichen über wesentliche Änderungen der eingesetzten Übermittlungsmechanismen, soweit diese die Auftragsverarbeitung betreffen. 16.5 Staatliche Offenlegungsanfragen Soweit rechtlich zulässig, informiert MeinAssistent den Verantwortlichen über verbindliche Anfragen staatlicher Stellen und prüft diese im angemessenen Umfang auf Rechtmäßigkeit und Verhältnismäßigkeit. § 17 KI-SPEZIFISCHE VERARBEITUNG 17.1 Einsatz von KI-Diensten Soweit vertraglich vereinbart, können KI-, Sprach-, Transkriptions-, Sprachsynthese- oder Inferenzdienste eingesetzt werden. 17.2 Zweckbindung Der Einsatz erfolgt nur, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist. 17.3 Kein Training öffentlicher Modelle Personenbezogene Daten, Gesprächsinhalte, Audiodaten, Transkripte, Prompts, Dateien, Chatverläufe, CRM-, ERP-, Kalender- und sonstige Inhaltsdaten des Verantwortlichen werden nicht zum Training öffentlich verfügbarer KI-Modelle verwendet. 17.4 Kein eigenes Training ohne Weisung Eine Verwendung personenbezogener Kundendaten zum Training, Fine-Tuning oder zur Verbesserung eigener oder fremder Modelle ist nur zulässig, wenn eine ausdrückliche dokumentierte Weisung, eine geeignete Rechtsgrundlage und die erforderlichen datenschutzrechtlichen Voraussetzungen bestehen. 17.5 Anonymisierte Auswertungen Vollständig und irreversibel anonymisierte Informationen dürfen für statistische oder technische Auswertungen verwendet werden. 17.6 Minimierung der Speicherdauer MeinAssistent wählt bei KI- und API-Anbietern nach Möglichkeit Einstellungen und Vertragsmodelle, die eine Trainingsnutzung ausschließen und Speicherfristen minimieren. 17.7 Zero Data Retention Soweit technisch und vertraglich verfügbar und für die Leistung geeignet, können Zero-Data-Retention-Einstellungen oder vergleichbare Speicherbeschränkungen eingesetzt werden. Eine generelle Garantie besteht nur, wenn dies ausdrücklich für den konkreten Dienst vereinbart wurde. 17.8 Automatisierte Entscheidungen MeinAssistent trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, sofern dies nicht ausdrücklich beauftragt, rechtlich geprüft und dokumentiert wurde. § 18 TEST-, ENTWICKLUNGS-, SCHULUNGS- UND MIGRATIONSUMGEBUNGEN 18.1 Grundsatz Im Rahmen von Systemprojekten können Test-, Entwicklungs-, Schulungs- oder Migrationsumgebungen eingerichtet werden. 18.2 Datenminimierung Nach Möglichkeit werden anonymisierte, pseudonymisierte, synthetische oder reduzierte Datenbestände verwendet. 18.3 Produktivdaten Produktive personenbezogene Daten werden nur verwendet, wenn dies erforderlich ist, der Verantwortliche dies angewiesen oder freigegeben hat und angemessene Sicherheitsmaßnahmen bestehen. 18.4 Zugriffsbeschränkung Zugriffe auf solche Umgebungen werden auf die erforderlichen Personen beschränkt. 18.5 Temporäre Dateien Export-, Import-, Test-, Sicherungs- und Migrationsdateien werden nach Wegfall des Zwecks gelöscht oder nach Weisung zurückgegeben. 18.6 Migrationsabschluss Sofern keine andere Weisung besteht, werden temporäre Migrationsdateien spätestens 30 Kalendertage nach Abschluss der betreffenden Migration gelöscht, soweit keine technischen oder gesetzlichen Gründe entgegenstehen. § 19 SUPPORT, WARTUNG UND FERNZUGRIFF 19.1 Zugriffe Im Rahmen von Support, Wartung oder Fehleranalyse kann MeinAssistent auf Systeme und personenbezogene Daten des Verantwortlichen zugreifen. 19.2 Erforderlichkeit Zugriffe erfolgen nur im erforderlichen Umfang, für den vereinbarten Zweck, durch berechtigte Personen und nach Maßgabe der Weisungen des Verantwortlichen. 19.3 Supportinhalte Der Verantwortliche soll Supportanfragen so gestalten, dass nur die erforderlichen personenbezogenen Daten übermittelt werden. 19.4 Bildschirmübertragungen Bei Bildschirmfreigaben und Fernwartung ist der Verantwortliche dafür verantwortlich, nicht erforderliche sensible Inhalte nach Möglichkeit auszublenden. 19.5 Protokollierung Administrative und sicherheitsrelevante Zugriffe können im erforderlichen Umfang protokolliert werden. § 20 SPEICHERFRISTEN 20.1 Weisungen Speicherfristen richten sich nach dokumentierten Weisungen, Systemkonfigurationen, Hauptvertrag, Leistungsbeschreibung und gesetzlichen Verpflichtungen. 20.2 Gesprächsdaten und Transkripte Soweit keine abweichende Weisung oder Konfiguration besteht, werden Gesprächsdaten und Transkripte aus KI-Telefonie-Diensten grundsätzlich spätestens nach sieben Kalendertagen gelöscht. 20.3 Längere Speicherung Eine längere Speicherung ist zulässig, wenn sie angewiesen wurde, technisch verfügbar ist, eine geeignete Rechtsgrundlage besteht und sie mit den eingesetzten Diensten vereinbar ist. 20.4 Projektdateien Temporäre Export-, Import-, Test- und Migrationsdateien werden nach Wegfall des Zwecks gelöscht, grundsätzlich spätestens innerhalb von 30 Kalendertagen nach Abschluss des betreffenden Arbeitsschritts. 20.5 Protokolldaten Technische Sicherheits-, Fehler- und Protokolldaten können für den zur Absicherung, Fehleranalyse und Nachweisführung erforderlichen Zeitraum gespeichert werden. 20.6 Gesetzliche Pflichten Gesetzliche Aufbewahrungs- und Nachweispflichten bleiben unberührt. § 21 RÜCKGABE UND LÖSCHUNG 21.1 Wahlrecht Nach Beendigung der Auftragsverarbeitung löscht MeinAssistent nach Wahl des Verantwortlichen die personenbezogenen Daten oder gibt sie zurück, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht. 21.2 Weisung Der Verantwortliche teilt spätestens bis zum Vertragsende mit, ob Rückgabe oder Löschung gewünscht ist. Liegt keine abweichende Weisung vor, darf MeinAssistent die Daten nach Ablauf einer angemessenen Abruf- und Übergangsfrist löschen. 21.3 Abruf- und Übergangsfrist Soweit nichts anderes vereinbart ist, beträgt die Frist 30 Kalendertage nach Beendigung des betreffenden Vertrags oder Leistungsteils. 21.4 Rückgabeformat Eine Rückgabe erfolgt in einem technisch verfügbaren und üblichen Format. Individuelle Aufbereitung, Sonderformate oder zusätzliche Migrationen können gesondert vergütet werden. 21.5 Sicherungskopien Daten in Sicherungskopien werden im Rahmen der regulären Sicherungs- und Überschreibungszyklen gelöscht. Bis dahin werden sie nicht für andere Zwecke verwendet und bleiben angemessen geschützt. 21.6 Löschbestätigung Auf Anfrage bestätigt MeinAssistent die vertragsgemäße Löschung in Textform. 21.7 Ausnahmen Die Löschpflicht gilt nicht, soweit eine gesetzliche Aufbewahrungspflicht besteht, Daten zur Rechtsverteidigung erforderlich sind oder eine weitere Speicherung gesetzlich vorgeschrieben ist. Solche Daten werden für andere Zwecke gesperrt. § 22 KONTROLL- UND AUDITRECHTE 22.1 Nachweise MeinAssistent stellt dem Verantwortlichen auf Anfrage angemessene Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Hierzu können Beschreibungen technischer und organisatorischer Maßnahmen, Sicherheitsdokumentationen, Fragebögen, Zertifizierungen, Prüfberichte und Auskünfte zu Unterauftragsverarbeitern gehören. 22.2 Prüfungen Der Verantwortliche darf die Einhaltung dieses Vertrags im erforderlichen und angemessenen Umfang selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer prüfen lassen. 22.3 Dokumentenbasierte Prüfung Prüfungen sollen zunächst anhand vorhandener Dokumentationen, Nachweise und schriftlicher Auskünfte erfolgen. Eine Vor-Ort-Prüfung ist insbesondere zulässig, wenn dokumentenbasierte Nachweise nicht ausreichen, konkrete Anhaltspunkte für einen erheblichen Verstoß bestehen oder eine Aufsichtsbehörde dies verlangt. 22.4 Ankündigung Vor-Ort-Prüfungen sind grundsätzlich mindestens 14 Kalendertage vorher anzukündigen. Bei konkreten Sicherheitsvorfällen oder behördlichen Anordnungen kann eine kürzere Frist erforderlich sein. 22.5 Durchführung Prüfungen erfolgen während üblicher Geschäftszeiten, unter Wahrung von Betriebs- und Geschäftsgeheimnissen, unter Schutz der Daten anderer Kunden und ohne unangemessene Beeinträchtigung des Betriebs. 22.6 Prüfer Ein externer Prüfer darf kein unmittelbarer Wettbewerber von MeinAssistent sein und muss zur Vertraulichkeit verpflichtet sein. 22.7 Kosten Der Verantwortliche trägt die Kosten einer von ihm veranlassten Prüfung, soweit diese nicht aufgrund eines von MeinAssistent zu vertretenden erheblichen Datenschutzverstoßes erforderlich wurde. 22.8 Zusatzaufwand Über den üblichen Nachweisumfang hinausgehender Prüf- und Unterstützungsaufwand kann nach den vereinbarten Vergütungssätzen berechnet werden. § 23 NACHWEIS UND VERZEICHNIS VON VERARBEITUNGSTÄTIGKEITEN 23.1 Dokumentation MeinAssistent führt die gesetzlich erforderlichen Aufzeichnungen über Verarbeitungstätigkeiten, für die MeinAssistent als Auftragsverarbeiter tätig ist. 23.2 Bereitstellung MeinAssistent stellt zuständigen Aufsichtsbehörden die gesetzlich erforderlichen Informationen auf Anfrage zur Verfügung. 23.3 Mitwirkung Der Verantwortliche stellt MeinAssistent die Informationen zur Verfügung, die zur ordnungsgemäßen Dokumentation erforderlich sind. § 24 VERGÜTUNG VON UNTERSTÜTZUNGSLEISTUNGEN 24.1 Übliche Unterstützung Die übliche Unterstützung durch vorhandene Dokumentationen und Standardfunktionen ist mit der Vergütung des Hauptvertrags abgegolten, soweit nichts anderes vereinbart ist. 24.2 Zusätzlicher Aufwand Zusätzlicher Aufwand kann insbesondere für umfangreiche individuelle Auswertungen, manuelle Datenrecherchen, Sonderexporte, individuelle Datenaufbereitungen, zusätzliche Audits, Datenschutz-Folgenabschätzungen, außergewöhnliche Betroffenenanfragen oder Sonderprogrammierungen berechnet werden. 24.3 Kein Zusatzentgelt bei eigenem Verstoß Eine zusätzliche Vergütung wird nicht verlangt, soweit die Unterstützung aufgrund eines von MeinAssistent zu vertretenden Verstoßes gegen diesen Vertrag erforderlich wurde. § 25 HAFTUNG 25.1 Gesetzliche Haftung Die Haftung der Parteien nach Art. 82 DSGVO und sonstigen zwingenden datenschutzrechtlichen Vorschriften bleibt unberührt. 25.2 Innenverhältnis Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind. 25.3 Verantwortungsbereiche Jede Partei haftet im Innenverhältnis für Schäden und Aufwendungen, die sie durch eine schuldhafte Verletzung ihrer jeweiligen datenschutzrechtlichen Pflichten verursacht hat. 25.4 Weisungen Der Verantwortliche trägt die Verantwortung für Schäden, die auf einer rechtswidrigen Weisung oder rechtswidrigen Bereitstellung personenbezogener Daten beruhen, soweit MeinAssistent die Rechtswidrigkeit nicht zu vertreten hat. 25.5 Unterauftragsverarbeiter Die gesetzliche Verantwortlichkeit von MeinAssistent für eingesetzte Unterauftragsverarbeiter bleibt unberührt. § 26 BEENDIGUNG UND AUSSETZUNG 26.1 Laufzeit Dieser Vertrag endet grundsätzlich mit vollständiger Beendigung der Auftragsverarbeitung. 26.2 Aussetzung MeinAssistent kann eine Verarbeitung aussetzen, wenn eine Weisung offensichtlich rechtswidrig ist, eine erhebliche Sicherheitsgefahr besteht, die Verarbeitung gegen gesetzliche Vorgaben verstößt oder erforderliche Informationen oder Freigaben fehlen. 26.3 Information MeinAssistent informiert den Verantwortlichen über eine Aussetzung und deren Gründe, soweit dies rechtlich zulässig ist. 26.4 Kündigung Jede Partei kann diesen Vertrag beziehungsweise den betroffenen Leistungsteil aus wichtigem Grund kündigen, wenn eine datenschutzkonforme Fortsetzung nicht möglich oder unzumutbar ist. § 27 SCHLUSSBESTIMMUNGEN 27.1 Änderungen Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist. 27.2 Elektronischer Vertragsschluss Dieser Vertrag wird elektronisch geschlossen und gilt als Bestandteil des Hauptvertrags, sobald der Verantwortliche die entsprechende Leistung beauftragt, ein Angebot annimmt, einen Nutzerzugang verwendet oder MeinAssistent mit einer Verarbeitung personenbezogener Daten im Auftrag beauftragt. Eine gesonderte handschriftliche Unterschrift ist nicht erforderlich. 27.3 Deutsches Recht Es gilt deutsches Recht, soweit keine zwingenden unionsrechtlichen oder sonstigen gesetzlichen Regelungen entgegenstehen. 27.4 Gerichtsstand Der Gerichtsstand richtet sich nach dem Hauptvertrag und den zwingenden gesetzlichen Bestimmungen. 27.5 Teilunwirksamkeit Sollten einzelne Regelungen unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Anstelle der unwirksamen Regelung gelten die gesetzlichen Vorschriften. 27.6 Anlagen Bestandteile dieses Vertrags sind Anlage 1 – Beschreibung der Verarbeitung, Anlage 2 – Kategorien personenbezogener Daten und betroffener Personen, Anlage 3 – Technische und organisatorische Maßnahmen und Anlage 4 – Genehmigte Unterauftragsverarbeiter. ANLAGE 1 – BESCHREIBUNG DER VERARBEITUNG 1. Gegenstand Gegenstand ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen im Rahmen der jeweils tatsächlich beauftragten Leistungen. 2. Leistungsbereiche Abhängig vom Hauptvertrag kann die Verarbeitung insbesondere folgende Leistungsbereiche betreffen: KI-Telefonie, Voice-AI, Chatbots, Gesprächsaufzeichnung, Transkription, Gesprächszusammenfassung, Terminbuchung, E-Mail- und SMS-Kommunikation, Rufweiterleitung, CRM-, ERP-, Kalender- und Helpdesk-Integration, APIs, Webhooks, Prozessautomatisierung, Prozessanalyse, Systemkonfiguration, Datenexport, Datenbereinigung, Datenzuordnung, Test- und Produktivmigration, Systemtest, Schulung, Support, Wartung, Fernzugriff, Fehleranalyse und Hosting. Es gelten nur die Funktionen und Leistungen, die im Hauptvertrag, Angebot, Kundenkonto oder Projekt tatsächlich vereinbart oder aktiviert wurden. 3. Zweck Zweck der Verarbeitung ist die Erbringung der im Hauptvertrag beschriebenen Leistungen für den Verantwortlichen. 4. Art der Verarbeitung Die Verarbeitung kann insbesondere das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Verknüpfen, Einschränken, Löschen, Vernichten, Exportieren, Importieren, Migrieren, Transkribieren, Zusammenfassen, Strukturieren, Kategorisieren, Umwandeln von Sprache in Text, Umwandeln von Text in Sprache und Bereitstellen über Schnittstellen umfassen. 5. Dauer Die Dauer richtet sich nach dem Hauptvertrag, der jeweiligen Projektphase, den dokumentierten Weisungen, der Systemkonfiguration und den vereinbarten Speicherfristen. 6. Verarbeitungsorte Die Verarbeitung erfolgt abhängig von der beauftragten Leistung in Deutschland, innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, in einem Drittland mit Angemessenheitsbeschluss oder bei genehmigten Unterauftragsverarbeitern unter Verwendung geeigneter Garantien. 7. Projektspezifische Konkretisierung Projektspezifische Systeme, Verarbeitungsvorgänge, Speicherfristen und Sicherheitsanforderungen ergeben sich aus dem jeweiligen Angebot, der Leistungsbeschreibung, der Projektkommunikation, den Systemeinstellungen und den dokumentierten Weisungen des Verantwortlichen. ANLAGE 2 – KATEGORIEN PERSONENBEZOGENER DATEN UND BETROFFENER PERSONEN 1. Datenkategorien Verarbeitet werden können insbesondere Identifikations-, Stamm-, Kontakt-, Adress-, Unternehmens-, Funktions-, Kunden-, Interessenten-, Lieferanten-, Geschäftspartner-, Beschäftigten-, Bewerber-, Benutzer-, Berechtigungs-, Audio-, Sprach-, Gesprächs-, Transkriptions-, Kommunikations-, Termin-, Kalender-, CRM-, ERP-, Helpdesk-, Vertrags-, Angebots-, Auftrags-, Rechnungs-, Zahlungs-, Buchungs-, Aufgaben-, Vorgangs-, Dokumenten-, Bewertungs-, Beschwerde-, Prozess-, Projekt-, IP-, Geräte-, Browser-, Protokoll-, Nutzungs-, Verbindungs-, API-, Webhook- und Integrationsdaten. 2. Besondere Datenkategorien Abhängig vom Einsatzbereich können Gesundheitsdaten, biometrische und genetische Daten, Daten zur ethnischen Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Daten zum Sexualleben, zur sexuellen Orientierung sowie Daten über Straftaten und strafrechtliche Verurteilungen verarbeitet werden. 3. Betroffene Personengruppen Betroffen sein können Kunden, Interessenten, Anrufer, Webseiten- und Chatbot-Nutzer, Terminbuchende, Beschäftigte, Bewerber, ehemalige Beschäftigte, freie Mitarbeiter, Lieferanten, Dienstleister, Geschäftspartner, Ansprechpartner, Patienten, Mandanten, Bewohner, Pflegebedürftige, Versicherungsnehmer, Systemnutzer und sonstige Personen, deren Daten in den Systemen oder Datenbeständen des Verantwortlichen enthalten sind. 4. Projektspezifische Einschränkungen Projektspezifische Einschränkungen, ausgeschlossene Datenkategorien oder besondere Anforderungen werden im Hauptvertrag, Angebot, in der Leistungsbeschreibung, in der Projektkommunikation oder durch dokumentierte Weisungen festgelegt. ANLAGE 3 – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN 1. Organisation und Datenschutzmanagement MeinAssistent verfügt über festgelegte Verantwortlichkeiten für Datenschutz und Informationssicherheit, dokumentierte Sicherheitsvorgaben, Vertraulichkeitsverpflichtungen, Schulungen, geregelte Prozesse bei Eintritt, Änderung und Beendigung von Beschäftigungsverhältnissen sowie Verfahren zur Behandlung von Datenschutz- und Sicherheitsvorfällen. 2. Zutrittskontrolle Unbefugter physischer Zutritt zu Datenverarbeitungsanlagen wird durch angemessene Zutrittsregelungen verhindert. Bei extern betriebenen Rechenzentren und Cloud-Infrastrukturen werden die Sicherheitsmaßnahmen der jeweiligen Anbieter genutzt. 3. Zugangskontrolle Zum Schutz vor unbefugter Systemnutzung werden persönliche Benutzerkonten, Passwortschutz, sichere Authentifizierungsverfahren, Mehr-Faktor-Authentifizierung, Sperrung nicht benötigter Zugänge und regelmäßige Berechtigungsprüfungen eingesetzt, soweit technisch verfügbar und angemessen. 4. Zugriffskontrolle Zugriffe werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben. Administrative und reguläre Berechtigungen werden soweit angemessen getrennt. Nicht mehr erforderliche Berechtigungen werden entzogen. 5. Trennungskontrolle Daten verschiedener Kunden werden logisch getrennt verarbeitet. Test- und Produktivumgebungen sowie Daten unterschiedlicher Zwecke werden soweit technisch vorgesehen getrennt oder durch Berechtigungskonzepte abgegrenzt. 6. Übertragungs- und Weitergabekontrolle Datenübertragungen erfolgen soweit technisch möglich verschlüsselt, insbesondere mittels TLS. APIs und Webhooks werden authentifiziert. API-Schlüssel und Tokens werden geschützt. Drittlandübermittlungen werden vertraglich und technisch abgesichert. 7. Eingabe- und Änderungskontrolle Wesentliche administrative Änderungen und sicherheitsrelevante Vorgänge werden soweit technisch möglich protokolliert. Projektbezogene Freigaben, Weisungen und Konfigurationsänderungen werden angemessen dokumentiert. 8. Verschlüsselung und Pseudonymisierung Daten werden bei der Übertragung verschlüsselt. Ruhende Daten werden nach Maßgabe der eingesetzten Infrastruktur geschützt. Pseudonymisierung und Reduzierung von Klardaten werden eingesetzt, soweit dies technisch möglich und zweckmäßig ist. 9. Verfügbarkeit und Belastbarkeit Es werden angemessene Hosting-, Backup-, Wiederherstellungs-, Monitoring-, Update-, Schadsoftware- und Notfallprozesse eingesetzt. Redundanz und Skalierbarkeit richten sich nach der eingesetzten Infrastruktur und den vereinbarten Leistungen. 10. Wiederherstellbarkeit Es bestehen angemessene Verfahren zur Wiederherstellung von Daten und Systemen nach technischen oder physischen Zwischenfällen. Zuständigkeiten und Prioritäten werden entsprechend der Kritikalität der Systeme festgelegt. 11. Datenminimierung Es werden nur erforderliche Daten verarbeitet. Speicherfristen werden begrenzt. Für Tests und Entwicklung werden nach Möglichkeit anonymisierte, pseudonymisierte oder synthetische Daten verwendet. Temporäre Dateien werden nach Wegfall des Zwecks gelöscht. 12. Löschung und Datenträgerkontrolle Es bestehen geregelte Löschverfahren und Fristen für temporäre Dateien. Physische Datenträger werden, soweit eingesetzt, sicher entsorgt. Daten, die aus gesetzlichen Gründen nicht gelöscht werden dürfen, werden gesperrt. 13. Auftragskontrolle Personenbezogene Daten werden ausschließlich auf dokumentierte Weisung verarbeitet. Unterauftragsverarbeiter werden sorgfältig ausgewählt, vertraglich verpflichtet und entsprechend dem Risiko überprüft. 14. Support und Fernzugriff Fernzugriffe erfolgen nur durch berechtigte Personen, im erforderlichen Umfang und über gesicherte Verfahren. Temporäre Zugänge werden nach Abschluss entzogen. Administrative Zugriffe können protokolliert werden. 15. KI- und Sprachdienste Bei KI- und Sprachdiensten werden geeignete Anbieter, Geschäftskunden- oder API-Modelle, minimierte Speicherfristen, der Ausschluss einer Trainingsnutzung sowie Zero-Data-Retention oder vergleichbare Einstellungen eingesetzt, soweit dies vertraglich vereinbart und technisch verfügbar ist. 16. Regelmäßige Überprüfung Die technischen und organisatorischen Maßnahmen werden regelmäßig überprüft, bewertet und bei neuen Risiken, technischen Entwicklungen oder Änderungen der eingesetzten Dienste angepasst. ANLAGE 4 – GENEHMIGTE UNTERAUFTRAGSVERARBEITER 1. Allgemeine Hinweise Die folgenden Anbieter sind genehmigt, soweit sie für die konkret beauftragte Leistung tatsächlich eingesetzt werden. Nicht jeder Anbieter wird bei jedem Kunden, Projekt oder Verarbeitungsvorgang eingesetzt. Maßgeblich sind der Leistungsumfang, die technische Konfiguration, das Hostingmodell, die Integrationen und die dokumentierten Weisungen des Verantwortlichen. Wird ein Anbieter unmittelbar durch den Verantwortlichen beauftragt, ist dieser insoweit kein Unterauftragsverarbeiter von MeinAssistent. 2. Allgemein genehmigte Anbieter Amazon Web Services EMEA SARL, Luxemburg: Cloud-Infrastruktur, Hosting, Rechen-, Speicher- und Netzwerkleistungen; möglicher Verarbeitungsort innerhalb der Europäischen Union, Drittlandzugriffe nur unter geeigneten Garantien. Anthropic Limited, Vereinigtes Königreich: Verarbeitung von Texteingaben durch generative KI-Modelle; möglicher Verarbeitungsort im Vereinigten Königreich und an weiteren vertraglich abgesicherten Standorten. Bland AI Inc., USA: Infrastruktur für automatisierte Telefonie und KI-Kommunikation; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Cartesia AI, Inc., USA: Sprachsynthese und Audioverarbeitung; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Celonis SE, Deutschland: Prozessanalyse und Prozessmanagement; Verarbeitungsort abhängig von der konkret eingesetzten Leistung und Konfiguration. Make s.r.o., Tschechische Republik: Prozessautomatisierung und Datenintegration; möglicher Verarbeitungsort innerhalb der Europäischen Union und an weiteren vertraglich abgesicherten Standorten. Deepgram Inc., USA: Sprachverarbeitung und Speech-to-Text; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. ElevenLabs, Inc., USA: Text-to-Speech, Sprachsynthese und Audioverarbeitung; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Google Ireland Limited, Irland: Cloud-, Kalender-, Kommunikations-, Speicher- und Integrationsdienste; möglicher Verarbeitungsort innerhalb der Europäischen Union und in Drittländern unter geeigneten Garantien. Groq Inc., USA: technische Inferenz-Infrastruktur; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. IONOS SE, Deutschland: Domain-, DNS-, Hosting- und Infrastrukturleistungen; möglicher Verarbeitungsort innerhalb der Europäischen Union und an weiteren vertraglich abgesicherten Standorten. Microsoft Ireland Operations Limited, Irland: Cloud-, Kalender-, Kommunikations-, Hosting- und Integrationsdienste; möglicher Verarbeitungsort innerhalb der Europäischen Union und in Drittländern unter geeigneten Garantien. Mistral AI SAS, Frankreich: generative KI- und Sprachmodelle; möglicher Verarbeitungsort innerhalb der Europäischen Union und an weiteren vertraglich vereinbarten Standorten. n8n GmbH, Deutschland: Workflow-Orchestrierung, Automatisierung und API-Integration; Verarbeitungsort abhängig vom eingesetzten Hostingmodell. Onepage GmbH, Deutschland: Webseiten-, Formular-, Landingpage-, Quiz- und Hostingfunktionen; möglicher Verarbeitungsort innerhalb der Europäischen Union und an weiteren vertraglich abgesicherten Standorten. OpenAI OpCo, LLC, USA: Verarbeitung von Text- und Spracheingaben durch generative KI-Modelle; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Retell AI Inc., USA: Conversational-Voice-Schnittstellen und Audio-Streaming; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. AgentFlow AI GmbH, Produkt Synthflow, Deutschland: Automatisierung von Sprachkommunikation; möglicher Verarbeitungsort innerhalb der Europäischen Union und an weiteren vertraglich abgesicherten Standorten. Telnyx LLC, USA: Telekommunikations- und Netzwerkinfrastruktur; möglicher Verarbeitungsort in den USA, innerhalb der Europäischen Union und an weiteren vertraglich vereinbarten Standorten. Twilio Inc. beziehungsweise die jeweils zuständige Twilio-Vertragsgesellschaft: Telefonie-, SMS- und Kommunikationsschnittstellen; Verarbeitungsort abhängig von der eingesetzten Leistung, Region und Konfiguration. Vapi Inc., USA: Koordination von Voice-AI-, Telefonie- und Audio-Streaming-Prozessen; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Zapier Inc., USA: automatisierte Datenübertragung und Integration webbasierter Anwendungen; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. Calendly LLC, USA: Online-Terminvereinbarung und Kalenderintegration; möglicher Verarbeitungsort in den USA und an weiteren vertraglich vereinbarten Standorten. 3. Projektspezifische Anbieter Weitere Anbieter können insbesondere für CRM-, ERP-, Buchhaltungs-, Dokumentenmanagement-, Cloud-, Hosting-, Automatisierungs-, Schnittstellen-, Monitoring-, Datensicherungs-, Support- und Entwicklungsleistungen eingesetzt werden. Projektspezifische Unterauftragsverarbeiter werden dem Verantwortlichen vor ihrem Einsatz nach Maßgabe von § 15 dieses Vertrags mitgeteilt. Die Mitteilung enthält, soweit erforderlich, den Anbieter, dessen Sitz, die Art der Leistung, den Verarbeitungsort und die maßgebliche Grundlage einer Drittlandübermittlung. 4. Drittlandgarantien Bei Drittlandübermittlungen werden abhängig vom Anbieter und Verarbeitungsvorgang insbesondere Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework, EU-Standardvertragsklauseln, zusätzliche technische und organisatorische Maßnahmen oder weitere gesetzlich anerkannte Garantien eingesetzt. Stand des Vertrags zur Auftragsverarbeitung: 28.07.2026