Rechtliches

Auftragsverarbeitungsvereinbarung (AVV)

Fassung 2026-09-16. Anlage 1 zu den Allgemeinen Geschäftsbedingungen. Verarbeitet Kyoomee im Auftrag eines Kunden personenbezogene Daten, gilt diese Vereinbarung nach Art. 28 DSGVO.

Verantwortlicher („Auftraggeber“): der Kunde der Kyoomee GmbH.

Auftragsverarbeiter („Auftragnehmer“): Kyoomee GmbH, Grazer Straße 1/3, 8120 Peggau, Österreich, FN 682788 a, UID ATU83518524, kontakt@kyoomee.com.

1. Gegenstand und Geltung

1.1 Diese Vereinbarung ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen des Auftragnehmers (kyoomee.com/agb) und für die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers allein maßgeblich. Sie gilt, sobald und soweit der Auftragnehmer bei Erbringung seiner Leistungen personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

1.2 Gegenstand der Verarbeitung sind die in den AGB beschriebenen Leistungen: die cloudbasierte Software zur Annahme und Bearbeitung eingehender Telefonanrufe durch einen KI-gestützten Assistenten samt Kundenportal, Kontaktbuch, Wissensbasis, Terminbuchung (auch über eine Online-Buchungsseite) und Benachrichtigungen sowie gesondert beauftragte Einrichtung, Betreuung, Schulung und Beratung.

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Vertrags nach den AGB. Die Pflichten aus Ziffer 7 gelten darüber hinaus bis zur vollständigen Löschung.

2. Art und Zweck der Verarbeitung

2.1 Die Verarbeitung umfasst insbesondere das Entgegennehmen von Anrufen, die Umwandlung gesprochener Sprache in Text und von Text in Sprache, die Gesprächsführung und Auswertung von Gesprächen mithilfe von KI-Sprachmodellen, das Speichern, Ordnen, Abfragen und Anzeigen von Daten im Kundenportal, die Übermittlung an vom Auftraggeber eingerichtete Ziele (etwa E-Mail-Empfänger, Kalender, Weiterleitungsziele und Webhooks) sowie das Löschen.

2.2 Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen gegenüber dem Auftraggeber. Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke.

2.3 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung gegenüber den betroffenen Personen verantwortlich, einschließlich der Informationspflichten nach Art. 13 und 14 DSGVO.

3. Datenarten und betroffene Personen

3.1 Verarbeitet werden folgende Arten personenbezogener Daten:

• Kontakt- und Identifikationsdaten von Anrufern und buchenden Personen, etwa Name, Telefonnummer, E-Mail-Adresse und Organisation
• Gesprächsinhalte: gesprochene Sprache während des Gesprächs (eine Tonaufzeichnung wird nicht gespeichert), Mitschriften, Zusammenfassungen und im Gespräch erfasste Angaben wie Anliegen und Rückrufwünsche
• Termin- und Buchungsdaten
• Verbindungsdaten, etwa Rufnummern, Zeitpunkte, Dauer und Weiterleitungen
• Daten im Kontaktbuch des Auftraggebers
• Inhalte der Wissensbasis und der Konfiguration des Assistenten, soweit sie personenbezogene Daten enthalten
• Daten der Nutzer des Kundenportals, etwa Name, E-Mail-Adresse, Telefonnummer, Rolle sowie Anmelde- und Protokolldaten
• Daten verbundener Kalender, etwa Belegtzeiten und Termineinträge

3.2 Je nach Tätigkeit des Auftraggebers und Inhalt der Gespräche können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden, insbesondere Gesundheitsdaten.

3.3 Betroffen sind Anrufer des Auftraggebers, Personen, die über die Online-Buchungsseite des Auftraggebers Termine buchen, Personen im Kontaktbuch des Auftraggebers, Nutzer des Kundenportals sowie Dritte, die in Gesprächen genannt werden.

3.4 Nicht Gegenstand dieser Vereinbarung sind die Daten, die der Auftragnehmer zur Vertragsabwicklung und Abrechnung mit dem Auftraggeber verarbeitet; dafür ist der Auftragnehmer selbst Verantwortlicher (Datenschutzhinweise unter kyoomee.com/datenschutz).

4. Weisungen

4.1 Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Dokumentierte Weisungen sind diese Vereinbarung, die AGB und die Einstellungen, die der Auftraggeber im Kundenportal vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.

4.2 Ist der Auftragnehmer durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

5. Pflichten des Auftragnehmers

5.1 Vertraulichkeit. Der Auftragnehmer gewährt Zugriff auf die Daten nur Personen, die ihn zur Leistungserbringung benötigen, und hat diese Personen zur Vertraulichkeit verpflichtet. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit.

5.2 Sicherheit der Verarbeitung. Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; sie sind in Anhang 2 beschrieben. Er darf sie an die technische Entwicklung anpassen, sofern das Schutzniveau nicht unterschritten wird.

5.3 Rechte betroffener Personen. Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge nach Kapitel III DSGVO zu beantworten. Dazu stehen im Kundenportal Funktionen zur Auskunft und Löschung je Rufnummer oder E-Mail-Adresse, zur Löschung der Inhalte einzelner Anrufe und zum Export aller Daten zur Verfügung; Auskunft und Löschung je Rufnummer oder E-Mail-Adresse sowie der Export bleiben auch während einer Sperre wegen Zahlungsverzugs und bis zur Löschung nach Ziffer 7.3 nutzbar. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

5.4 Weitere Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde.

5.5 Verletzungen des Schutzes personenbezogener Daten. Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag verarbeitete Daten betrifft, meldet er sie dem Auftraggeber unverzüglich nach Bekanntwerden in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse. Er stellt die Informationen nach Art. 33 Abs. 3 DSGVO bereit, soweit sie ihm vorliegen, bei Bedarf schrittweise, und unterstützt den Auftraggeber bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

5.6 Anfragen Dritter. Soweit gesetzlich zulässig, informiert der Auftragnehmer den Auftraggeber unverzüglich, wenn eine Aufsichtsbehörde, eine sonstige Behörde oder ein Dritter sich wegen der Verarbeitung im Auftrag an ihn wendet.

5.7 Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und benennt einen Datenschutzbeauftragten, soweit er dazu gesetzlich verpflichtet ist.

5.8 Nachweise und Überprüfungen. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Überprüfungen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unangemessen beeinträchtigen. Für Unterauftragsverarbeiter erfolgt der Nachweis vorrangig über deren Zertifikate, Prüfberichte und Verträge, soweit der Auftragnehmer sie weitergeben darf. Die Kosten einer Überprüfung trägt der Auftraggeber, es sei denn, sie deckt einen wesentlichen Verstoß des Auftragnehmers gegen diese Vereinbarung auf.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt den Einsatz der in Anhang 1 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).

6.2 Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO, der ihm dieselben Datenschutzpflichten auferlegt, und prüft die Einhaltung in angemessenen Abständen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber nach Art. 28 Abs. 4 DSGVO.

6.3 Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO. Die jeweilige Grundlage ist in Anhang 1 angegeben.

6.4 Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies mindestens zwei Wochen vor dem Einsatz in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse mit. Der Auftraggeber kann bis zum Einsatz in Textform widersprechen. Die Plattform wird für alle Kunden einheitlich betrieben; ein Ausschluss eines Unterauftragsverarbeiters für einzelne Kunden ist nicht möglich. Widerspricht der Auftraggeber, kann er den Vertrag zum Zeitpunkt des Einsatzes ohne Einhaltung einer Frist kündigen.

6.5 Dienste, die der Auftraggeber mit einem eigenen Konto verbindet, etwa Calendly, Cal.com oder Google Tabellen, sowie Empfänger, die er selbst einträgt, etwa Weiterleitungsziele, E-Mail-Empfänger und Webhooks, sind keine Unterauftragsverarbeiter des Auftragnehmers. Übermittlungen dorthin erfolgen auf Weisung des Auftraggebers; für seinen Vertrag mit diesen Anbietern ist er selbst verantwortlich.

7. Vertragsende, Rückgabe und Löschung

7.1 Während der Vertragslaufzeit löscht der Auftragnehmer automatisch: Mitschriften und Gesprächsauswertungen nach der im Kundenportal eingestellten Frist (höchstens 90 Tage), Kontakte 24 Monate nach dem letzten Kontakt, Angaben zu Terminen 24 Monate nach dem Termin und das Anrufprotokoll nach drei Jahren. Rückrufwünsche, Wissensbasis, Konfiguration und Nutzerkonten bleiben gespeichert, bis der Auftraggeber sie löscht oder das Kundenkonto nach Ziffer 7.3 gelöscht wird. Einzelne Daten kann der Auftraggeber jederzeit selbst über die Funktionen nach Ziffer 5.3 löschen.

7.2 Rückgabe. Der Auftraggeber kann bis zur Löschung nach Ziffer 7.3 alle im Kundenkonto gespeicherten Daten über den Datenexport im Kundenportal in einem gängigen, maschinenlesbaren Format abrufen, auch in den 30 Tagen nach Vertragsende. Zugangsdaten zu Diensten Dritter sind nicht enthalten.

7.3 Löschung. 30 Tage nach dem Ende des Vertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten in seinen Systemen, soweit nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Dabei löscht er die Zugangsdaten zu verbundenen Kalendern und Tabellen und widerruft seine Zugriffe beim jeweiligen Anbieter. Schließt der Auftraggeber innerhalb der 30 Tage einen neuen Vertrag ab, unterbleibt die Löschung. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

7.4 Datensicherungen. Datensicherungen werden verschlüsselt gespeichert und rotierend überschrieben: tägliche Sicherungen nach 14 Tagen, wöchentliche nach acht Wochen und monatliche nach zwölf Monaten. Gelöschte Daten sind daher spätestens 13 Monate nach ihrer Löschung in keiner Sicherung mehr enthalten. Sicherungen werden ausschließlich zur Wiederherstellung nach einem Datenverlust verwendet.

7.5 Bei Unterauftragsverarbeitern werden Daten nach deren vertraglichen Löschfristen gelöscht.

8. Schlussbestimmungen

8.1 Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

8.2 Widersprechen sich diese Vereinbarung und die AGB in Fragen des Datenschutzes, geht diese Vereinbarung vor.

8.3 Für Änderungen dieser Vereinbarung gilt §13 der AGB; für Änderungen der Unterauftragsverarbeiter gilt Ziffer 6.4.

8.4 Es gilt österreichisches Recht. Gerichtsstand ist Graz.

8.5 Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem Zweck am nächsten kommt und den Anforderungen des Art. 28 DSGVO entspricht.

Anhang 1 · Unterauftragsverarbeiter

Anhang 2 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland; die physische Zutrittskontrolle liegt beim Rechenzentrumsbetreiber.
• Netzwerk-Firewall, die eingehende Verbindungen standardmäßig abweist; Verwaltungsoberflächen der Server sind nicht öffentlich erreichbar, sondern nur über verschlüsselte Verbindungen.
• Anmeldung am Kundenportal mit persönlichen Konten; Passwörter werden ausschließlich als Argon2id-Hash gespeichert und bei der Vergabe gegen bekannte Datenlecks geprüft; wiederholte Fehlversuche führen zu einer vorübergehenden Sperre.
• Rollen- und Berechtigungskonzept im Kundenportal (Inhaber, Administrator, Builder, Editor, Betrachter).
• Trennung der Kunden auf Datenbankebene durch zeilenbasierte Zugriffsregeln (Row-Level-Security); Zugriffe der Kyoomee-Betreiberkonsole auf Kundenakten werden protokolliert.
• Getrennte Testumgebung mit eigener Datenbank.
• Verpflichtung aller Personen mit Datenzugriff auf Vertraulichkeit.

Integrität

• Übertragung zwischen Browser, Kundenportal und Schnittstellen ausschließlich verschlüsselt (TLS).
• Zugangsdaten zu verbundenen Kalendern werden verschlüsselt gespeichert.
• Rufnummern von Anrufern werden zusätzlich mit einem geheimen Schlüssel pseudonymisiert; Suche und Löschung zu einer Person laufen über diesen Wert.
• Das Anrufprotokoll, einschließlich des Nachweises der KI-Offenlegung, und das Löschprotokoll sind technisch gegen nachträgliche Änderung gesichert.

Verfügbarkeit und Belastbarkeit

• Tägliche, verschlüsselte Datensicherung auf einen getrennten Speicher der Hetzner Online GmbH in Deutschland, rotierend aufbewahrt (Ziffer 7.4), mit dokumentiertem Wiederherstellungsverfahren.
• Begrenzung gleichzeitiger Anrufe und Kontingente je Kunde.

Löschung und Datenminimierung

• Automatisierte Löschung nach festen und im Kundenportal eingestellten Fristen (Ziffer 7.1); Mitschriften höchstens 90 Tage.
• Keine Speicherung von Tonaufzeichnungen.
• Automatisierte vollständige Löschung 30 Tage nach Vertragsende (Ziffer 7.3).

Verfahren zur regelmäßigen Überprüfung

• Einsatz von Unterauftragsverarbeitern nur mit Vertrag nach Art. 28 DSGVO und Überprüfung vor dem Einsatz.
• Überprüfung dieser Maßnahmen bei wesentlichen Änderungen der Plattform.