Auftragsverarbeitungs­vereinbarung (AVV)

Alles, was du über Datenschutz und die Nutzung von Effizienzwerk Voice wissen musst.

Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 13.10.2026

1. Hintergrund und Spezifikation der Datenverarbeitung

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Effizienzwerk GmbH, Wischerstraße 7/2/17, 4040 Linz, Österreich, Firmenbuchnummer FN 663465i, vertreten durch den Geschäftsführer Immanuel Sebastian Starlinger (nachfolgend „Auftragsverarbeiter“), im Auftrag des im Hauptvertrag bezeichneten Kunden (nachfolgend „Verantwortlicher“).

Der Hauptvertrag umfasst das Angebot, die Bestellung oder eine andere nachweisbare Vereinbarung über die Nutzung von Effizienzwerk Voice. Name und Anschrift des Verantwortlichen, dessen vertretungsberechtigte Person, Weisungskontakt sowie die gebuchten Funktionen ergeben sich aus den zugehörigen Vertragsunterlagen. Diese Vereinbarung und ihre vier Anhänge werden durch ausdrückliche Einbeziehung Bestandteil des Hauptvertrags.

Der Verantwortliche bestimmt die Zwecke und die wesentlichen Mittel der Verarbeitung seiner Kunden-, Gesprächs- und sonstigen Auftragsdaten. Effizienzwerk verarbeitet diese Daten für ihn im Sinne von Art. 28 DSGVO. Verarbeitet der Kunde selbst im Auftrag eines Dritten, muss er die erforderliche Befugnis zur Beauftragung von Effizienzwerk besitzen; die dokumentierten Weisungen dieses Dritten sind zu berücksichtigen.

Die Verarbeitung von Daten zur eigenen Vertragsverwaltung, Abrechnung und Erfüllung eigener gesetzlicher Pflichten durch Effizienzwerk ist gesondert im Datenschutzhinweis für die Webapp beschrieben. Sie berechtigt nicht zur Nutzung von Gesprächsinhalten für eigene Zwecke.

2. Art, Zweck, Gegenstand und Rechtsgrundlage der Datenverarbeitung

Gegenstand ist die Bereitstellung und der Betrieb der vereinbarten KI-Telefonassistenz einschließlich der zugehörigen Webapplikation. Die Verarbeitung dient der Annahme und Bearbeitung von Anrufen, der Durchführung von Dialogen, der vereinbarten Dokumentation und Weiterleitung von Anliegen sowie den vom Verantwortlichen eingerichteten Arbeitsabläufen und Integrationen.

Je nach gebuchter und freigegebener Funktion umfasst die Verarbeitung das Erheben, Übermitteln, Ordnen, Auswerten, Speichern, Abrufen, Berichtigen, Bereitstellen, Exportieren und Löschen personenbezogener Daten. Dazu gehören Sprachverarbeitung, Transkription und Sprachausgabe, Zusammenfassungen, Wissenssuche, Assistentenkonfiguration und Workflowausführung. Audioaufzeichnungen und deren Abruf erfolgen nur im vereinbarten Umfang.

Die Rechtmäßigkeit der Erhebung und Nutzung der Daten, die erforderlichen Informationen an betroffene Personen sowie gegebenenfalls notwendige Einwilligungen liegen im Verantwortungsbereich des Verantwortlichen. Er stellt insbesondere die Zulässigkeit von Telefonaufzeichnungen, Weiterleitungen und eingebundenen Kundenintegrationen sicher. Diese Vereinbarung ersetzt weder eine Rechtsgrundlage nach Art. 6 oder Art. 9 DSGVO noch erforderliche Hinweise an Anrufende.

Verarbeitet wird während der Laufzeit des Hauptvertrags und anschließend nur noch soweit für die vereinbarte Rückgabe, Löschung oder eine gesetzlich erforderliche Aufbewahrung notwendig. Einzelne Speicher- und Löschfristen sowie zusätzliche Zweckbegrenzungen sind in Anhang 2 geregelt.

3. Personenbezogene Daten und Kategorien betroffener Personen

Der konkrete Umfang richtet sich nach dem vereinbarten Einsatz und den vom Verantwortlichen bereitgestellten oder während der Nutzung entstehenden Informationen.

Kategorien personenbezogener Daten

  • Stamm- und Kontaktdaten, insbesondere Namen, Telefonnummern, E-Mail-Adressen und gegebenenfalls Anschriften
  • Gesprächs- und Kommunikationsdaten: Sprachsignale, vereinbarte Audioaufzeichnungen, Transkripte, Zusammenfassungen, Nachrichten und Anliegen
  • Termin-, Vorgangs- und Kundendaten sowie vom Verantwortlichen bereitgestellte Wissensdateien und Assistentenanweisungen
  • Workflowdaten, Zwischenergebnisse, Gesprächskontext und gegebenenfalls ein vereinbartes Kundengedächtnis
  • Technische Daten und Verbindungsdaten, insbesondere Zeitpunkte, Gesprächsdauer, Kennungen und erforderliche Protokolldaten
  • Zugangsdaten und Berechtigungen für die vom Verantwortlichen eingerichteten Integrationen, soweit diese für deren Ausführung erforderlich sind

Kategorien betroffener Personen

  • Anrufende, Kunden und Interessenten des Verantwortlichen
  • Mitarbeiter, Ansprechpartner und sonstige zur Plattformnutzung berechtigte Personen des Verantwortlichen
  • Geschäftspartner und weitere Personen, deren Daten im vereinbarten Prozess übermittelt werden

Besondere Datenkategorien und Sprachverarbeitung

Gesprächsinhalte können unerwartet besondere Kategorien personenbezogener Daten enthalten. Eine gezielte Verarbeitung insbesondere von Gesundheitsdaten setzt einen gesondert beschriebenen und freigegebenen Einsatz, eine geeignete Rechtsgrundlage und die Eignung sämtlicher beteiligter Anbieter voraus. Der Standardauftrag erteilt keine pauschale Freigabe für solche Verarbeitungen.

Die Verarbeitung von Sprachsignalen zur Gesprächsführung, Transkription und Sprachausgabe umfasst keine vereinbarte Erstellung von Stimmabdrücken zur eindeutigen Identifizierung einer Person. Eine biometrische Identifizierung ist nicht Gegenstand dieses Auftrags.

4. Bedingungen der Datenverarbeitung

4.1 Dokumentierte Weisungen und Zweckbindung

Effizienzwerk verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich Übermittlungen in Drittländer. Der Hauptvertrag, diese Vereinbarung, ihre konkretisierten Anhänge und autorisierte Plattformkonfigurationen bilden die anfänglichen Weisungen. Weitere Weisungen können in Textform an geschaeftsfuehrung@effizienzwerk.ai oder über eine nachvollziehbar dokumentierte Plattformfunktion erteilt werden. Dringende mündliche Weisungen werden zeitnah dokumentiert.

Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats Effizienzwerk zu einer Verarbeitung ohne Weisung, informiert Effizienzwerk den Verantwortlichen vorab über diese Pflicht, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält Effizienzwerk eine Weisung für datenschutzwidrig, weist es den Verantwortlichen unverzüglich darauf hin und setzt die betroffene Verarbeitung soweit erforderlich bis zur Klärung aus.

Auftragsdaten werden nicht für eigene Werbung, kundenübergreifende Profile oder freiwilliges Training allgemeiner KI-Modelle verwendet. Eine vereinbarte Qualitätssicherung erfolgt ausschließlich zur Prüfung und Verbesserung des konkreten Kundenprozesses nach dessen Weisung. Dienstbezogene Sicherheits- und Missbrauchsverarbeitungen der beteiligten Anbieter sind im jeweiligen Anbieterprofil gesondert zu berücksichtigen.

4.2 Vertraulichkeit

Effizienzwerk gewährt Zugriff nur Personen, die ihn für die Erfüllung des Auftrags benötigen. Vor dem Zugriff sind diese zur Vertraulichkeit zu verpflichten oder einer angemessenen gesetzlichen Verschwiegenheitspflicht zu unterstellen und über die einzuhaltenden Datenschutzpflichten zu unterrichten. Die Vertraulichkeitspflicht gilt auch nach Beendigung ihrer Tätigkeit fort. Anhang 4 konkretisiert diese Verpflichtung.

4.3 Sicherheit der Verarbeitung

Effizienzwerk verpflichtet sich, die in Anhang 1 vereinbarten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen und aufrechtzuerhalten. Das Schutzniveau berücksichtigt den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände, Zwecke und Risiken der Verarbeitung. Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

4.4 Unterstützung des Verantwortlichen

Effizienzwerk unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten zu Betroffenenrechten sowie nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Sicherheitsmaßnahmen, Datenschutz-Folgenabschätzungen und eine erforderliche vorherige Konsultation der Aufsichtsbehörde.

Bei Effizienzwerk eingehende Anträge zu Auftragsdaten werden unverzüglich an den Verantwortlichen weitergeleitet. Eine eigenständige inhaltliche Beantwortung erfolgt nur auf dessen Weisung oder bei einer zwingenden gesetzlichen Verpflichtung. Effizienzwerk stellt die für die Unterstützung erforderlichen auftragsbezogenen Informationen bereit.

4.5 Verletzungen des Schutzes personenbezogener Daten

Sobald Effizienzwerk eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt wird, informiert es den Verantwortlichen unverzüglich. Die Erstmeldung wird nicht bis zur vollständigen Aufklärung zurückgehalten. Sie enthält die zu diesem Zeitpunkt verfügbaren Informationen über Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, Kontaktpersonen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen. Weitere Informationen werden ohne unangemessene Verzögerung nachgereicht.

Effizienzwerk unterstützt die Untersuchung, Eindämmung und Behebung des Vorfalls sowie die erforderlichen Meldungen an Aufsichtsbehörden und betroffene Personen. Datenschutz- und Vorfallkontakt ist geschaeftsfuehrung@effizienzwerk.ai; verantwortlich ist Immanuel Sebastian Starlinger, vertreten durch Florian Zorn.

5. Sub-Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die Hinzuziehung von Sub-Auftragsverarbeitern nach dem Verfahren dieses Abschnitts. Die bei Abschluss für seinen konkreten Auftrag genehmigten Anbieter sind in Anhang 3 mit ihrem Verarbeitungsumfang bezeichnet. Optionale Dienste sind nur bei entsprechender Vereinbarung und Nutzung erfasst. Die vereinbarte Fassung der Anbieterliste wird mit den Vertragsunterlagen festgehalten.

Anhang 3 kann Anbieter als Haupt- und als Fallback-Anbieter bezeichnen. Die Genehmigung umfasst beide. Der Wechsel zwischen genehmigten Anbietern im dort beschriebenen Umfang ist keine Hinzuziehung oder Ersetzung im Sinne des folgenden Absatzes.

Über die beabsichtigte Hinzuziehung oder Ersetzung eines Sub-Auftragsverarbeiters informiert Effizienzwerk den Verantwortlichen aktiv vor dessen Einsatz. Die Mitteilung enthält den Rechtsträger, die Aufgabe, betroffene Daten, Verarbeitungsorte, die einschlägige Transfergrundlage und den vorgesehenen Beginn. Ab Zugang erhält der Verantwortliche mindestens sieben Kalendertage für einen begründeten datenschutzbezogenen Widerspruch; bei komplexen oder wesentlichen Änderungen wird eine angemessen längere Frist eingeräumt.

Bei einem begründeten Widerspruch stimmen die Parteien eine rechtmäßige Abhilfe ab. Der beanstandete neue Einsatz beginnt nicht, solange berechtigte Einwände ungeklärt sind. Ist keine rechtmäßige Lösung möglich, kann der betroffene Leistungsumfang beendet werden.

Effizienzwerk verpflichtet Sub-Auftragsverarbeiter vertraglich zu denselben einschlägigen Datenschutzpflichten, die sich aus dieser Vereinbarung ergeben, und stellt ausreichende Garantien für geeignete technische und organisatorische Maßnahmen sicher. Effizienzwerk bleibt dem Verantwortlichen gegenüber für die Erfüllung dieser Pflichten verantwortlich.

Übermittlungen in Drittländer erfolgen ausschließlich im vereinbarten Auftragsumfang und unter Einhaltung von Art. 44 ff. DSGVO. Die jeweils anwendbare Grundlage, erforderliche Bewertungen und gegebenenfalls ergänzende Schutzmaßnahmen werden dokumentiert. Bei Wegfall einer rechtmäßigen Grundlage wird die betroffene Übermittlung ausgesetzt oder rechtmäßig angepasst. Ein Serverstandort in Deutschland allein bedeutet nicht, dass sämtliche beteiligten Dienste ausschließlich im EWR verarbeiten.

6. Prüfung und Einhaltung

Effizienzwerk stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Es ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.

Die Parteien stimmen Ablauf, Umfang und Termin einer Prüfung angemessen ab. Dabei sind die Vertraulichkeit anderer Kunden, die Sicherheit der Systeme und der laufende Betrieb zu berücksichtigen. Vorankündigungen oder die Bereitstellung vorhandener Nachweise dürfen notwendige Kontrollen, dringende Prüfungen oder gesetzliche Befugnisse von Aufsichtsbehörden nicht ausschließen.

Effizienzwerk überprüft die Wirksamkeit der vereinbarten Schutzmaßnahmen regelmäßig und dokumentiert wesentliche Ergebnisse und erforderliche Verbesserungen. Es informiert den Verantwortlichen, wenn es seine Pflichten aus dieser Vereinbarung nicht mehr erfüllen kann, und wirkt an einer rechtmäßigen Abhilfe mit.

7. Laufzeit und Vertragsende

Diese Vereinbarung gilt ab ihrem nachweisbaren Abschluss für die Dauer der auftragsbezogenen Verarbeitung. Schutz-, Vertraulichkeits-, Unterstützungs- und Löschpflichten bestehen fort, soweit nach Ende des Hauptvertrags noch Auftragsdaten vorhanden sind.

Nach Abschluss der Leistungen gibt Effizienzwerk nach Wahl des Verantwortlichen die Auftragsdaten zurück oder löscht sie einschließlich vorhandener Kopien, sofern Unionsrecht oder das Recht eines Mitgliedstaats keine weitere Speicherung vorschreibt. Eine solche Ausnahme wird hinsichtlich Rechtsgrundlage, Umfang und Dauer dokumentiert; die Daten werden bis zur zulässigen Löschung gegen eine anderweitige Verwendung geschützt.

Die Abwicklung erfolgt grundsätzlich innerhalb von 30 Tagen nach Vertragsende oder entsprechender Weisung; bei einer dringenden rechtmäßigen Löschweisung früher. Rückgabeformate, Sicherungskopien, abgeleitete Daten und Bestände bei Sub-Auftragsverarbeitern richten sich ergänzend nach Anhang 2. Effizienzwerk dokumentiert die Durchführung und stellt dem Verantwortlichen auf Anfrage einen Nachweis bereit.

Bei einer wesentlichen oder fortdauernden Verletzung dieser Vereinbarung kann der Verantwortliche die betroffene Verarbeitung aussetzen lassen und bei ausbleibender Abhilfe den betroffenen Auftrag beenden. Ist eine rechtmäßige Fortsetzung nicht möglich, wird die Verarbeitung beendet und die Rückgabe oder Löschung veranlasst.

8. Schlussbestimmungen

Die Anhänge 1 bis 4 sind Bestandteil dieser Vereinbarung. Der vereinbarte Kundenbezug, die Funktionen, gegebenenfalls ergänzende Weisungen und die angenommene Fassung werden mit dem Abschlussnachweis festgehalten. Die Parteien erhalten eine nachvollziehbare Kopie der vereinbarten Unterlagen. Die Veröffentlichung dieser Seite allein begründet keinen Vertragsabschluss.

Bei Widersprüchen gehen die Regelungen dieser Vereinbarung für die Auftragsverarbeitung den Regelungen des Hauptvertrags vor. Zwingende datenschutzrechtliche Bestimmungen und einschlägige Standardvertragsklauseln für internationale Übermittlungen bleiben vorrangig. Im Übrigen gelten die Vereinbarungen des Hauptvertrags.

Änderungen werden in nachweisbarer Textform vereinbart, soweit keine strengere gesetzliche Form erforderlich ist. Die Aktualisierung einer veröffentlichten Webseite ändert bestehende Kundenvereinbarungen nicht automatisch. Das Informations- und Widerspruchsverfahren für Sub-Auftragsverarbeiter bleibt unberührt.

Gesetzliche Ansprüche betroffener Personen, insbesondere nach Art. 82 DSGVO, und die gesetzliche Verantwortlichkeit der Parteien werden durch diese Vereinbarung nicht ausgeschlossen oder eingeschränkt.

Anhänge

Anhang 1: Technische und organisatorische Maßnahmen (TOMs)

Die folgenden Maßnahmen beschreiben das für den Auftrag vereinbarte Schutzniveau. Effizienzwerk verpflichtet sich zu ihrer risikogerechten Umsetzung und Aufrechterhaltung. Besondere Anforderungen eines Kunden werden vor Beginn der entsprechenden Verarbeitung zusätzlich dokumentiert.

Technische Maßnahmen

  • Zugang und Zugriff: authentifizierte Plattformzugänge, rollen- und organisationsbezogene Berechtigungen, Beschränkung privilegierter Zugriffe auf erforderliche Personen sowie zeitnahe Anpassung und Entziehung von Berechtigungen.
  • Mandantentrennung: Trennung von Kundenorganisationen und Prüfung der jeweiligen Berechtigung beim Zugriff auf Gesprächsdaten, Aufzeichnungen, Wissensbestände und Konfigurationen.
  • Übertragung und Geheimnisse: geschützte Datenübertragung, insbesondere über TLS; verschlüsselte Speicherung unterstützter Integrationsgeheimnisse und geschützter Umgang mit API-Schlüsseln. Dies ist keine Zusage einer flächendeckenden Verschlüsselung aller gespeicherten Gesprächsinhalte.
  • Systemschutz: Beschränkung administrativer Zugänge, sichere Konfiguration, zeitnahe Behandlung von Sicherheitsupdates und Schwachstellen sowie dem Risiko angemessene Absicherung der eingesetzten Infrastruktur.
  • Verfügbarkeit und Wiederherstellung: geeignete Datensicherungen, Schutz der Sicherungskopien, dokumentierte Wiederherstellungsabläufe und regelmäßige Prüfung ihrer Funktionsfähigkeit unter Beachtung der Fristen in Anhang 2.
  • Löschbarkeit und Datenminimierung: Berücksichtigung aktiver Daten, abgeleiteter Bestände, Caches, Dateien und externer Speicher; Beschränkung technischer Protokolle auf erforderliche Informationen.

Organisatorische Maßnahmen

  • Verpflichtung und Unterrichtung berechtigter Personen zu Vertraulichkeit, Datenschutz, Weisungsbindung und sicherem Umgang mit Kundendaten vor Gewährung des Zugangs.
  • Zuständigkeiten für Datenschutz, Sicherheitsvorfälle, Berechtigungen und Datensicherungen; Vertretung bei Abwesenheit der zuständigen Person.
  • Dokumentierte Weisungen und Änderungen; Supportzugriffe nur für einen erforderlichen auftragsbezogenen Zweck und in nachvollziehbarem Umfang.
  • Prüfung und vertragliche Verpflichtung der Sub-Auftragsverarbeiter sowie Dokumentation der einschlägigen Übermittlungsgrundlagen.
  • Verfahren zur Bearbeitung von Betroffenenanfragen, Datenschutzvorfällen, Löschweisungen und Vertragsbeendigungen.
  • Regelmäßige Überprüfung der Wirksamkeit der Schutzmaßnahmen und risikogerechte Aktualisierung ohne Unterschreitung des vereinbarten Schutzniveaus.

Anhang 2: Ergänzende Bestimmungen

Die nachfolgenden Fristen sind vertragliche Höchstfristen. Kürzere, technisch und rechtlich umsetzbare Kundenweisungen gehen vor. Die Fristen beginnen bei Gesprächsdaten mit dem Ende des ursprünglichen Anrufs; das Erzeugen einer Kopie oder Zusammenfassung setzt sie nicht neu in Gang.

Speicherung und Löschung

  • Audioaufzeichnungen: höchstens 30 Tage; Aufzeichnung und Aufbewahrung können gesondert deaktiviert oder verkürzt werden.
  • Transkripte und Zusammenfassungen: höchstens 90 Tage; jeweils gesondert deaktivierbar oder verkürzbar.
  • Weitere Gesprächsableitungen zur selben Dokumentations- oder Qualitätssicherungsaufgabe: kein späteres Ablaufdatum als die zugehörigen ursprünglichen Gesprächsdaten. Dies gilt auch für Workflowein- und -ausgaben, Zwischenstände, Suchbestände und entsprechende Einträge im Kundengedächtnis.
  • Inhaltsarme technische Protokolle der eigenen Systeme: höchstens 14 Tage. Gesprächsinhalte werden nicht allein durch die Bezeichnung als technisches Protokoll von den kürzeren einschlägigen Fristen ausgenommen.
  • Eigene Sicherungskopien: Rotation innerhalb von höchstens 30 Tagen. Bis zur Rotation sind gelöschte Daten gegen reguläre Verwendung zu sperren; bei einer Wiederherstellung werden bereits erteilte Löschweisungen erneut umgesetzt.
  • Vom Kunden bereitgestellte Wissensdateien, Assistentenkonfigurationen und dauerhaft erforderliche Integrationsdaten: nur für die vereinbarte Nutzung und deren Dauer. Eine abweichende eigene Aufbewahrungsaufgabe wird mit Zweck und Frist ausdrücklich dokumentiert; ohne diese Vereinbarung darf Gesprächsinhalt nicht dauerhaft übernommen werden.

Anbieterbestände und Rückgabe

Effizienzwerk bezieht Bestände bei Sub-Auftragsverarbeitern in Löschweisungen und die Abwicklung ein. Bei Diensten mit eigenen Sicherheits-, Backup- oder gesetzlichen Restaufbewahrungen werden diese gesondert nach Zweck, Umfang und Frist dokumentiert und dem Verantwortlichen zugänglich gemacht. Eine beauftragte Verarbeitung wird nur begonnen, wenn die Anbieterbedingungen mit den vereinbarten Anforderungen vereinbar sind.

Rückgaben erfolgen über einen geschützten Übermittlungsweg, je nach Datenart als CSV oder JSON sowie bei Audio und Wissensdateien im verfügbaren Originalformat. Zugangsdaten und Geheimnisse werden nicht ungeschützt in allgemeine Exporte aufgenommen. Zurückzugeben oder zu löschen sind auch auftragsbezogene Kopien und abgeleitete Bestände.

KI-Verarbeitung und Qualitätssicherung

Die KI-Verarbeitung erfolgt für den jeweiligen Kundenprozess nach dessen Weisung. Es werden nur die für die konkrete Funktion erforderlichen Daten übermittelt. Modelltraining durch freiwillige Datenfreigabe wird nicht beauftragt.

Die Verarbeitungsorte, Aufbewahrungsbedingungen und Garantien der KI- und Sprachanbieter ergeben sich aus Anhang 3. Soweit dort eine globale Verarbeitung oder Standardaufbewahrung angegeben ist, sind eine ausschließlich europäische Verarbeitung und Zero Data Retention nicht zugesagt. Hochgeladene Dateien und Suchspeicher werden in das Löschverfahren einbezogen; sie verschwinden nicht allein durch das Ende eines Gesprächs.

Gesonderte Gesundheits- oder Berufsgeheimnisprozesse werden erst freigegeben, nachdem ihr genauer Umfang, die Schutzmaßnahmen, Anbieterbedingungen und Transferanforderungen nachgewiesen vereinbar sind. Anhang 4 ersetzt diese Prüfung nicht.

Anhang 3: Sub-Auftragsverarbeiter

Stand der Anbieterliste: 13.10.2026. Diese Übersicht nennt alle Anbieter, die Effizienzwerk für die Leistungserbringung einsetzen kann. Nicht jeder Anbieter wird in jedem Auftrag eingesetzt, und nicht jeder erhält alle Datenarten. Welche Anbieter im einzelnen Auftrag als Haupt- oder Ausweichanbieter eingesetzt werden, wird dem Kunden bei Vertragsabschluss mitgeteilt. Maßgeblich ist die mit dem Auftrag vereinbarte Liste.

Hosting, Telefonie und E-Mail

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Aufgabe: Server-, Anwendungs- und Datenbankhosting. Daten: im Auftrag auf den betreffenden Systemen gespeicherte Plattform- und Gesprächsdaten, Dateien, Konfigurationen und erforderliche technische Daten. Standort der eingesetzten Server: Deutschland.

Twilio Ireland Limited, Irland. Aufgabe: Telefonie, Verbindungsaufbau, Sprachübertragung sowie vereinbarte Aufzeichnungen und Nachrichtenfunktionen. Daten: Rufnummern, Verbindungsdaten, Sprachsignale sowie Aufzeichnungen oder Nachrichten im beauftragten Umfang. Die tatsächlichen Verarbeitungsorte hängen vom Dienst und seiner Konfiguration ab; globale Verarbeitung ist möglich. Transfergarantien richten sich nach dem dienstbezogenen DPA, insbesondere den anwendbaren Standardvertragsklauseln und den für erfasste gruppeninterne Transfers einschlägigen Binding Corporate Rules.

Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Aufgabe: Versand vereinbarter E-Mails, etwa Plattformnachrichten und kundenkonfigurierter Workflow-Nachrichten. Daten: Empfänger- und Absenderdaten, Nachrichteninhalte und erforderliche Zustelldaten. Drittlandübermittlung: insbesondere auf Grundlage der im Anbieter-DPA vereinbarten Standardvertragsklauseln. Gesprächsinhalte werden nur übermittelt, soweit der entsprechende Versand vom Kunden angewiesen ist.

KI- und Sprachverarbeitung

Für Speech-to-Speech, Speech-to-Text, Text-to-Speech und die Verarbeitung mit Sprachmodellen (LLM) setzt Effizienzwerk je nach Funktion, Verfügbarkeit und Kundenkonfiguration einen oder mehrere der folgenden Anbieter ein. Die konkret eingesetzten Modelle können sich im Rahmen der hier beschriebenen Verarbeitungsorte und Garantien ändern.

OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Aufgabe: Speech-to-Speech, Speech-to-Text, Text-to-Speech und LLM-Verarbeitung, insbesondere KI-Dialog, Transkription, Sprachausgabe, Zusammenfassungen, Assistentenkonfiguration und Wissenssuche entsprechend den eingesetzten Funktionen. Daten: hierfür erforderliche Audio- und Textinhalte, Anweisungen, Wissensdateien und Kontextdaten. Verarbeitung: globale Dienstkonfiguration mit möglichen Verarbeitungen in den USA und weiteren Ländern der Anbieterkette; kein EU-only- oder Zero-Data-Retention-Auftrag. Keine Nutzung für Modelltraining. Drittlandübermittlung: die im Anbieter-DPA geregelten Garantien, insbesondere Standardvertragsklauseln oder ein anwendbarer Angemessenheitsbeschluss.

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Aufgabe: Speech-to-Speech, Speech-to-Text, Text-to-Speech und LLM-Verarbeitung über Azure OpenAI in Microsoft Foundry und Azure AI Speech, entsprechend den eingesetzten Funktionen. Daten: hierfür erforderliche Audio- und Textinhalte, Anweisungen und Kontextdaten. Verarbeitung: Ressourcen in EU-Regionen, Verarbeitung regional oder innerhalb der EU-Datengrenze (EU und EFTA). Ist ein Modell nur als globale Bereitstellung verfügbar, was derzeit insbesondere Speech-to-Speech-Modelle betrifft, kann die Verarbeitung auch außerhalb der EU erfolgen. Zur Missbrauchserkennung können Ein- und Ausgaben vorübergehend innerhalb der Geografie der Ressource gespeichert und im Verdachtsfall von Microsoft-Personal geprüft werden. Keine Nutzung für Modelltraining. Vorschau-Dienste werden für Auftragsdaten nicht eingesetzt. Drittlandübermittlung: Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Microsoft Corporation) sowie die im Microsoft-DPA vereinbarten Garantien, insbesondere Standardvertragsklauseln.

Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Aufgabe: Speech-to-Speech, Speech-to-Text, Text-to-Speech und LLM-Verarbeitung über Vertex AI (Gemini Enterprise Agent Platform), Cloud Speech-to-Text und Cloud Text-to-Speech, entsprechend den eingesetzten Funktionen. Daten: hierfür erforderliche Audio- und Textinhalte, Anweisungen und Kontextdaten. Verarbeitung: Speicherung und Modellverarbeitung ausschließlich in EU-Regionen, kein globaler Endpunkt. Prompts, die die automatische Missbrauchserkennung auslösen, können bis zu 90 Tage in dieser Region gespeichert werden. Keine Nutzung für Modelltraining. Drittlandübermittlung: Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Google LLC), ergänzend die im Cloud Data Processing Addendum vereinbarten Standardvertragsklauseln.

Anbieter, die in diesem Anhang nicht genannt sind, werden erst nach dem Verfahren in Abschnitt 5 eingesetzt.

Optionale Anbieter und Kundenintegrationen

Zoho Mail kann für auftragsbezogene Supportkommunikation eingesetzt werden, soweit dabei Kundendaten aus dem Auftrag verarbeitet werden. Die genutzten Postfächer befinden sich in der EU-Accountregion; mögliche Supportzugriffe aus Indien sind nach dem einschlägigen DPA gesondert zu berücksichtigen. Die für den Auftrag maßgebliche Zoho-Vertragsgesellschaft und der konkrete Umfang werden vor Einbeziehung in den individuellen Auftrag auf Grundlage des abgeschlossenen Zoho-DPA festgehalten. Die bloße Nutzung von Zoho für eigene Geschäftskommunikation begründet keine Verarbeitung sämtlicher Gesprächsdaten durch Zoho.

Vom Kunden verbundene Kalender, E-Mail-Postfächer, CRM-Systeme, CalDAV-/SMTP-Dienste und API-Ziele werden nur nach seiner dokumentierten Konfiguration angesprochen. Dazu können Google, Microsoft, HubSpot, Salesforce, Pipedrive oder Zoho CRM gehören. Datenschutzrollen und Verträge sind je Integration zu bestimmen: Ein vom Kunden selbst beauftragter Empfängerdienst wird nicht allein durch die Verbindung zum Sub-Auftragsverarbeiter von Effizienzwerk.

Stripe wird für die eigene Zahlungsabwicklung und Abonnementverwaltung von Effizienzwerk eingesetzt und ist deshalb nicht pauschal als Sub-Auftragsverarbeiter für Gesprächsinhalte dieses Auftrags aufgeführt.

Anhang 4: Verpflichtung zur Verschwiegenheit und zum Datenschutz

Effizienzwerk verpflichtet sich, die im Auftrag zugänglich werdenden personenbezogenen Daten, vertraulichen Informationen und gegebenenfalls Berufsgeheimnisse ausschließlich für die vereinbarte Tätigkeit zu verarbeiten und gegenüber unberechtigten Dritten geheim zu halten. Die Verpflichtung besteht unabhängig von der Form der Information und nach Ende des Auftrags fort.

Mitarbeiter und sonstige berechtigte mitwirkende Personen werden vor Zugang entsprechend verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Sie dürfen Daten nur im erforderlichen Umfang nach Weisung verarbeiten und weder privat nutzen noch unbefugt weitergeben. Zugänge und Geheimnisse sind zu schützen; vermutete Datenschutzverletzungen werden unverzüglich an die zuständige Stelle gemeldet.

Soweit ein ausdrücklich vereinbarter Einsatz berufsrechtliche Geheimhaltungspflichten auslöst, werden deren konkrete Anforderungen vor Zugang mit dem Verantwortlichen festgehalten. Dies gilt insbesondere für die notwendige Einbindung weiterer mitwirkender Personen und Sub-Auftragsverarbeiter. Eine allgemeine Vertraulichkeitszusage ersetzt keine erforderliche besondere Verpflichtung eines Anbieters.

Gesetzlich zwingende Offenlegungen werden auf den zulässigen Umfang beschränkt; der Verantwortliche wird soweit rechtlich erlaubt informiert. Nach Tätigkeitsende werden Zugriffsmöglichkeiten entzogen und die betroffenen Daten, Unterlagen und Kopien nach den vereinbarten Rückgabe- und Löschregeln behandelt.