Auftragsverarbeitungsvertrag
gemäß Art. 28 DSGVO
zwischen dem Kunden des KI-Telefonie-Assistenten als Auftraggeber und
Neosophic GmbH, Opernplatz 14, 60313 Frankfurt am Main, als Auftragnehmer.
Der Auftraggeber ergibt sich aus dem Hauptvertrag (Registrierung / Vertragsabschluss).
Der Auftraggeber nutzt den KI-Telefonie-Assistenten des Auftragnehmers („Dienst“). Dabei verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag („AVV“) regelt die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Der AVV wird mit Zustimmung im Registrierungsprozess oder durch gesonderte Vereinbarung wirksam.
Dieser AVV ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung des Dienstes („Hauptvertrag“), bestehend aus den Allgemeinen Geschäftsbedingungen (AGB) von Neosophic und etwaigen individuellen Vereinbarungen, und ist Bestandteil desselben.
(1) Gegenstand und Umfang der Auftragsverarbeitung ergeben sich aus dem Hauptvertrag (Anlage 1).
(2) Die Verarbeitung dauert so lange wie der Hauptvertrag, sofern dieser AVV keine darüber hinausgehenden Pflichten vorsieht.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Auftraggebers. Datenkategorien und betroffene Personen regelt Anlage 1.
(2) Audiodaten werden primär in Echtzeit verarbeitet; die Audiodaten selbst werden nicht dauerhaft gespeichert. Aus den Gesprächen werden Transkripte und Zusammenfassungen erstellt und dem Auftraggeber in der App bereitgestellt; diese werden für die Dauer des Auftragsverhältnisses gespeichert (operatives Geschäftsregister des Auftraggebers). Der Auftraggeber kann einzelne Anrufe jederzeit löschen; die endgültige Entfernung erfolgt 30 Tage nach Löschung. Ergänzend löscht der Auftragnehmer Anrufdaten automatisch spätestens 6 Monate nach Beendigung der kostenpflichtigen Subscription (Backstop) sowie vollständig bei Vertragsende. Eingesetzte Dienstleister können kurzfristige, temporäre Verarbeitungen vornehmen; diese Daten werden in der Regel automatisch gelöscht.
(3) Der Auftragnehmer konfiguriert die KI-Dienstleister so, dass Eingabe- und Ausgabedaten nur minimal gespeichert werden. Die KI-Dienstleister verwenden die Daten nach aktuellem Kenntnisstand und auf Grundlage der bestehenden vertraglichen Vereinbarungen (insbesondere DPAs) nicht zum Training allgemeiner KI-Modelle.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Ist er gesetzlich zur Verarbeitung verpflichtet, informiert er den Auftraggeber vorab, sofern dies rechtlich zulässig ist.
(2) Weisungen erfolgen in Textform (z. B. E-Mail). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
(3) Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich.
(4) Weisungen müssen sich im Rahmen des vereinbarten Leistungsumfangs bewegen und technisch umsetzbar sein.
Der Auftragnehmer gewährleistet insbesondere:
(a) die Vertraulichkeit gem. Art. 28 Abs. 3 S. 2 lit. b DSGVO: Alle mit der Verarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht;
(b) die Umsetzung und Einhaltung aller für die Auftragsverarbeitung erforderlichen technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO (Einzelheiten in Anlage 3);
(c) die Unterstützung des Auftraggebers bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO, insbesondere bei Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen;
(d) die Unterstützung des Auftraggebers bei der Beantwortung von Anträgen betroffener Personen (Art. 15–21 DSGVO) durch geeignete technische und organisatorische Maßnahmen;
(e) nach Abschluss der Auftragsverarbeitung auf Weisung des Auftraggebers sämtliche personenbezogene Daten zu löschen oder zurückzugeben und bestehende Kopien zu löschen, sofern nicht eine unionsrechtliche oder mitgliedstaatliche Verpflichtung zur Speicherung besteht;
(f) dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen sowie Überprüfungen gemäß § 7 dieses AVV zu ermöglichen;
(g) die Benennung eines Datenschutzbeauftragten: Der Auftragnehmer hat einen Datenschutzbeauftragten bestellt. Dieser ist erreichbar unter: Neosophic GmbH, – Datenschutzbeauftragter –, Opernplatz 14, 60313 Frankfurt am Main, E-Mail: datenschutz@neoling.ai.
(1) Soweit im Rahmen der Diensterbringung besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO verarbeitet werden – insbesondere Gesundheitsdaten, die Gesprächspartner im Verlauf von Telefonaten nennen –, verarbeitet der Auftragnehmer diese im Rahmen der Echtzeit-Gesprächsführung sowie der Bereitstellung von Transkripten und Zusammenfassungen gemäß § 2 Abs. 2 (Speicherdauer: Dauer des Auftragsverhältnisses, mit Backstop 6 Monate nach Subscription-Ende und Vertragsende-Löschung; zusätzlicher Schutz durch Feldverschlüsselung der Gesundheitsdaten). Ein Zugriff auf Patientenakten, Pflegedokumentationen oder sonstige Gesundheitsinformationssysteme des Auftraggebers erfolgt nicht.
(2) Soweit der Auftraggeber der Schweigepflicht gemäß § 203 StGB unterliegt, stellt der Auftragnehmer sicher, dass alle mit der Verarbeitung betrauten Personen als sonstige mitwirkende Personen im Sinne des § 203 Abs. 3 StGB zur Verschwiegenheit verpflichtet sind.
(3) Der Auftraggeber ist als Verantwortlicher dafür verantwortlich, die erforderliche Rechtsgrundlage gemäß Art. 9 Abs. 2 DSGVO sicherzustellen und betroffene Personen über die Verarbeitung durch den KI-Assistenten zu informieren.
(1) Der Auftragnehmer meldet Datenschutzverletzungen unverzüglich an den Auftraggeber. Die Meldung enthält mindestens:
- eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der Anzahl der betroffenen Personen und Datensätze;
- den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
- eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei seinen Meldepflichten nach Art. 33 und 34 DSGVO.
(1) Der Auftraggeber genehmigt den Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die aktuell eingesetzten Unterauftragsverarbeiter listet Anlage 2.
(2) Änderungen an den Unterauftragsverarbeitern teilt der Auftragnehmer vorab mit. Der Auftraggeber kann innerhalb von 14 Kalendertagen (oder einer angemessenen Frist) Einspruch erheben.
(3) Führt ein Einspruch zu keiner Einigung, können beide Parteien den Hauptvertrag außerordentlich kündigen.
(4) Der Auftragnehmer verpflichtet seine Unterauftragsverarbeiter vertraglich auf die Bestimmungen dieses AVV und haftet für deren Einhaltung.
(5) Die Datenverarbeitung durch die eingesetzten Dienstleister erfolgt grundsätzlich über in der EU betriebene Infrastruktur und EU-Endpunkte. Ein Zugriff aus Drittländern kann im Einzelfall technisch nicht vollständig ausgeschlossen werden. Ein Drittlandtransfer wird durch geeignete Garantien gem. Art. 46 DSGVO (insbesondere EU Standardvertragsklauseln) oder einen Angemessenheitsbeschluss gem. Art. 45 DSGVO (insbesondere EU-U.S. Data Privacy Framework) abgesichert.
(1) Der Auftraggeber kann die Einhaltung dieses AVV prüfen – durch Auskünfte, Einsicht in Zertifikate und Auditberichte oder durch Vor-Ort-Inspektionen.
(2) Vor-Ort-Inspektionen finden nur statt, wenn keine gleichwertigen Nachweise vorliegen. Sie werden mindestens 14 Kalendertage vorher angekündigt und dürfen den Betrieb nicht unangemessen stören.
(3) Auf Anfrage stellt der Auftragnehmer aktuelle TOM-Nachweise bereit (z. B. SOC 2 Type II, Zertifizierungen).
(4) Inspektionen darf der Auftragnehmer verweigern, wenn sie Geschäftsgeheimnisse oder die Sicherheit anderer Kunden gefährden würden.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den Regelungen des Hauptvertrags.
Soweit im Hauptvertrag Haftungsbeschränkungen vereinbart sind (insbesondere § 8 der AGB), gelten diese auch für Ansprüche aus diesem AVV, soweit gesetzlich zulässig.
(1) Dieser AVV läuft mit dem Hauptvertrag und endet automatisch mit dessen Beendigung.
(2) Das Recht zur außerordentlichen Kündigung bleibt unberührt – insbesondere bei wiederholten oder schwerwiegenden Verstößen gegen diesen AVV oder das Datenschutzrecht.
(3) Nach Vertragsende löscht der Auftragnehmer alle personenbezogenen Daten gemäß Anlage 1 Punkt 4, soweit keine gesetzlichen Aufbewahrungspflichten oder technische Einschränkungen (z. B. Backups) entgegenstehen. Anruf-Metadaten werden spätestens 30 Tage nach Vertragsende gelöscht; gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) bleiben unberührt. Die Löschung wird auf Wunsch schriftlich bestätigt.
(1) Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.
(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Frankfurt am Main.
(4) Bei Widersprüchen zum Hauptvertrag gehen die Datenschutzbestimmungen dieses AVV vor.
1. Art und Zweck der Verarbeitung
Der Auftragnehmer erbringt für den Auftraggeber einen KI-gestützten Telefonie-Assistenten, der im Namen des Auftraggebers Telefongespräche führt. Die Verarbeitung umfasst:
- Echtzeit-Spracherkennung (Speech-to-Text) der Gesprächspartner
- Verarbeitung durch ein großes Sprachmodell (LLM) zur Erzeugung kontextbezogener Antworten
- Echtzeit-Sprachsynthese (Text-to-Speech) zur Ausgabe der Antworten als gesprochene Sprache
- Telefonie-Infrastruktur (Annahme, Aufbau, Weiterleitung von Anrufen)
- Nutzerkontoverwaltung und Abrechnung
2. Kategorien betroffener Personen
- Gesprächspartner (Anrufer/Angerufene): Dritte, die mit dem KI-Assistenten telefonieren
- Mitarbeiter und Kontaktpersonen des Auftraggebers, sofern diese den Dienst konfigurieren oder nutzen
3. Kategorien personenbezogener Daten
- Telefonnummern
- Stimme / Audiodaten (nur Echtzeit-Verarbeitung)
- Transkripte und Gesprächszusammenfassungen (Bereitstellung in der App, Speicherdauer für die Vertragsdauer mit Backstop 6 Monate nach Subscription-Ende, jederzeitige Löschung durch den Auftraggeber möglich)
- Gesundheitsbezogene Angaben (Art. 9 Abs. 1 DSGVO), soweit diese von Gesprächspartnern im Telefonat genannt werden – insbesondere Pflegegrad, Art der benötigten Versorgung, Angaben zu Erkrankungen oder zum Gesundheitszustand (Echtzeit-Verarbeitung der Audiodaten; soweit im Transkript enthalten, gilt die Aufbewahrung für die Vertragsdauer mit Backstop 6 Monate nach Subscription-Ende)
- Gesprächsinhalte (primär Echtzeit-Verarbeitung, Speicherung auf technisches Minimum reduziert)
- Anruf-Metadaten (Zeitpunkt, Dauer, Richtung)
- Kontakt- und Identifikationsdaten der Nutzer (Name, E-Mail-Adresse)
4. Dauer der Verarbeitung
Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Die Echtzeit-Verarbeitung von Audiodaten ist auf die Dauer des jeweiligen Telefonats beschränkt. Transkripte, Zusammenfassungen und Anruf-Metadaten werden für die Dauer des Auftragsverhältnisses gespeichert (Aufbewahrung durch den Auftraggeber als Verantwortlichen gesteuert); der Auftraggeber kann sie jederzeit löschen (endgültige Entfernung 30 Tage nach Löschung). Als Backstop werden die Anrufdaten automatisch spätestens 6 Monate nach Beendigung der kostenpflichtigen Subscription vollständig gelöscht; bei Vertragsende erfolgt vollständige Löschung gemäß § 9, sofern der Auftraggeber keine abweichende schriftliche Weisung erteilt.
Die folgenden Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses vom Auftraggeber genehmigt (Stand: 23.06.2026):
----------------------------------- ----------------------------------------- --------------------- ----------------------------------------------- ----------- Anbieter Funktion Verarbeitungsort Drittlandtransfer DPA/AVV
Railway Corporation Hosting EU SCC Ja
Twilio Ireland Ltd. Telefonie EU und USA DPF + BCR + SCC Ja
LiveKit, Inc. Orchestrierung EU (Region-Pinning) DPF + SCC Ja
Microsoft Ireland Operations Ltd. LLM + TTS (Azure OpenAI + Azure Speech) EU Kein Drittlandtransfer (DPF + SCC zusätzlich) Ja (auto)
AssemblyAI, Inc. STT EU DPF + SCC Ja
Deepgram, Inc. STT/TTS (Backup) EU SCC Ja
Stripe Payments Europe, Ltd. Zahlungsabwicklung EU DPF + SCC Ja (auto)
PostHog, Inc. Produktanalytik + Website-Tracking EU SCC Ja ----------------------------------- ----------------------------------------- --------------------- ----------------------------------------------- -----------
Verarbeitungsort: Sämtliche mit „EU“ bezeichneten Verarbeitungen erfolgen in Rechenzentren innerhalb der Europäischen Union. Die konkrete EU-Region kann sich im Rahmen der technischen Betriebsführung ändern (bei der LLM-Verarbeitung modellabhängig); für die datenschutzrechtliche Bewertung maßgeblich sind die Abgrenzung EU/Drittland und der angegebene Transfermechanismus.
Hinweis zu den Transfer-Grundlagen (Stand 23.06.2026): Die DPF-Zertifizierung wurde über den offiziellen Participant-Eintrag (dataprivacyframework.gov) für alle eingesetzten US-Anbieter verifiziert – Microsoft, Twilio, PostHog, AssemblyAI, LiveKit und Stripe; datierte Nachweise in der DSFA-Akte (Ordner dsfa-akte/dpf-status/). Deepgram und Railway stützen den Transfer auf die EU-Standardvertragsklauseln (SCC, im jeweiligen DPA). Stripe Payments Europe, Ltd. ist zudem eine EU-Vertragspartei (Dublin).
Der LLM-Fallback bei einem Ausfall des Azure-OpenAI-Primärsystems erfolgt ausschließlich über eine zweite EU-Quelle (dasselbe Modell, EU-Region). Es findet KEIN Transfer an einen Drittland-/US-Dienstleister statt – die LLM-Verarbeitung erfolgt vollständig in der EU. Dies gilt insbesondere für besondere Kategorien (Art. 9) im Healthcare-Kontext.
Soweit Dienstleister in den USA eingesetzt werden, achtet der Auftragnehmer darauf, dass diese nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert sind, sofern eine solche Zertifizierung besteht. Der aktuelle Zertifizierungsstatus kann sich ändern und ist öffentlich einsehbar unter https://www.dataprivacyframework.gov.
Änderungen an dieser Liste werden dem Auftraggeber gemäß § 6 Abs. 2 dieses AVV mitgeteilt.
Der Auftragnehmer trifft folgende Maßnahmen gem. Art. 32 DSGVO:
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle:
- Serverinfrastruktur wird von zertifizierten Cloud-Anbietern betrieben (Railway EU, Microsoft Azure EU)
- Kein eigenes Rechenzentrum – physische Sicherheit durch Cloud-Anbieter gewährleistet
Zugangskontrolle:
- Authentifizierung über sichere Passwörter und/oder Single-Sign-On (SSO)
- Rollenbasierte Zugriffsbeschränkungen (Role-Based Access Control)
- Zwei-Faktor-Authentifizierung für administrative Zugänge
Zugriffskontrolle:
- Berechtigungskonzept nach dem Prinzip der minimalen Rechte (Least Privilege)
- Protokollierung sicherheitsrelevanter Systemzugriffe
Trennungskontrolle:
- Logische Trennung der Kundendaten durch mandantenfähige Architektur
- Separate Datenbankinstanzen oder -schemata pro Kunde
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle:
- Verschlüsselung aller Datenübertragungen mittels TLS
- Verschlüsselte Speicherung sensibler Daten (Encryption at Rest): (a) Provider-Ebene (Railway/LiveKit, AES-256) und (b) Feldverschlüsselung sensibler Anrufer-Felder inkl. Gesundheitsdaten (health_data) auf Anwendungsebene (AES-256-GCM); der Schlüssel liegt getrennt von der Datenbank im Anwendungs-Secret und schützt zusätzlich gegen Datenbank-Breach, SQL-Injection und unbefugten internen Zugriff
- Sichere API-Kommunikation mit allen Drittanbietern
Eingabekontrolle:
- Protokollierung von Änderungen an Konfigurationsdaten
- Versionskontrolle der Systemkonfiguration
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
- Hosting bei Cloud-Anbietern mit hoher Verfügbarkeit (SLAs der Anbieter)
- Regelmäßige Backups der Nutzerdaten
- Monitoring und Alerting für Systemausfälle
- Redundante Auslegung kritischer Komponenten (Multi-Provider-Strategie für TTS/STT)
4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)
- Regelmäßige Sicherheitsüberprüfungen, automatisierte Schwachstellen-Scans der Software-Abhängigkeiten und kontinuierliches Monitoring
- Fortlaufende Verbesserung der Sicherheitsmaßnahmen entsprechend der technologischen Entwicklung
- Prüfung und Dokumentation der Datenschutzpraktiken der eingesetzten Unterauftragsverarbeiter (DPAs, SOC 2 Reports, Trust Centers)
- Datenschutz-Folgenabschätzung (DSFA) gem. Art. 35 DSGVO, sofern erforderlich durchgeführt und regelmäßig überprüft
5. Besondere Maßnahmen für die KI-Verarbeitung
- Echtzeit-Verarbeitung von Audiodaten mit Speicherung auf technisches Minimum reduziert (primäres Verarbeitungsmodell)
- Zero Data Retention (ZDR) bei KI-Dienstleistern konfiguriert, soweit technisch möglich
- Kein Training allgemeiner KI-Modelle mit Kundendaten, soweit technisch möglich und auf Grundlage der bestehenden vertraglichen Vereinbarungen
- Gesundheitsdaten in Audiodaten werden ausschließlich in Echtzeit verarbeitet; in Transkripten enthaltene Angaben unterliegen der Aufbewahrung für die Vertragsdauer (Backstop: vollständige Löschung 6 Monate nach Subscription-Ende; Vertragsende-Löschung) und sind zusätzlich feldverschlüsselt
- Verpflichtung aller mit der Verarbeitung betrauten Personen zur Verschwiegenheit gemäß § 203 Abs. 3 StGB, soweit der Auftraggeber der Schweigepflicht unterliegt
- Kernverarbeitung (LLM) in der EU (Azure OpenAI EU; Fallback dasselbe Azure-Modell – kein Drittlandtransfer)
- Transparenzhinweis zu Beginn jedes KI-geführten Gesprächs (Art. 50 KI-VO)
- Kennzeichnung synthetischer Audioinhalte in maschinenlesbarem Format, soweit technisch möglich (Art. 50 Abs. 2 KI-VO)