Auftragsverarbeitung

Dieser Abschnitt ist eine AVV-Vorbereitung, kein abgeschlossener Auftragsverarbeitungsvertrag. Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag eines verantwortlichen Kunden verarbeitet. Eigene Verantwortlichkeit des Anbieters wird davon getrennt.

BLUECALL enthält KI-gestützte Telefonie, Gesprächsverarbeitung und Werkzeuge zur Terminbuchung. Die Projektprüfung belegt eine Vapi-Anbindung und Webhook-Verarbeitung, nicht den aktuellen Telefoniebetrieb oder eine wirksame Aufzeichnungseinwilligung.

Der Vertrag muss Gegenstand und Dauer, Art und Zweck, Datenarten und betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen konkret festlegen. Verarbeitungen erfolgen nur aufgrund dokumentierter zulässiger Weisungen; rechtswidrige Weisungen sind dem Kunden mitzuteilen.

Kontaktdaten, Telefonnummern, Gesprächspartner und Anrufmetadaten.

Gesprächsinhalte, Transkripte, KI-Zusammenfassungen und gegebenenfalls Audioaufzeichnungen bzw. deren Abrufadressen.

Termin- und Buchungsangaben, Kontodaten und technische Ereignisprotokolle.

Betroffene Personengruppen sind anhand des tatsächlichen Kundenbetriebs festzulegen, beispielsweise Beschäftigte, Geschäftskontakte, Teilnehmer oder Empfänger.

Zugriffsberechtigte Personen sind zur Vertraulichkeit zu verpflichten. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO müssen dem tatsächlichen Risiko entsprechen, dokumentiert und überprüfbar sein.

Weitere Auftragsverarbeiter dürfen nur nach den vertraglich vereinbarten und gesetzlichen Voraussetzungen eingesetzt werden. Genehmigungs- und Informationsverfahren, Widerspruchsmöglichkeiten und gleichwertige Verpflichtungen sind zu regeln. Drittlandübermittlungen unterliegen zusätzlich Art. 44 ff. DSGVO.

Der Auftragsverarbeiter unterstützt bei Betroffenenrechten, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen. Datenschutzverletzungen sind dem Verantwortlichen unverzüglich nach Bekanntwerden mitzuteilen. Erforderliche Informationen und vertraglich geregelte Prüfungen müssen ermöglicht werden.

Nach Ende der Leistungen sind personenbezogene Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bestehende Kopien, Backups, Löschbestätigungen und Übergangsprozesse müssen ausdrücklich geregelt werden.