Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — scoco.ai

Stand: 30.10.2026

Präambel und Parteien

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen

dem Kunden des Dienstes scoco.ai — Firma und Anschrift gemäß den bei der Registrierung gemachten bzw. den im Dashboard hinterlegten aktuellen Angaben — („Auftraggeber")

und

der LuminaByte GmbH, Julius-Hatry-Straße 1, 68163 Mannheim, Amtsgericht Mannheim, HRB 748625 („Auftragnehmer").

Der Abschluss erfolgt durch die dokumentierte Zustimmung des Auftraggebers im Bestellprozess (§ 11 Abs. 2 der AGB); Zeitpunkt und Fassung der Zustimmung werden protokolliert.

(1) Der Auftragnehmer betreibt für den Auftraggeber den KI-Telefonassistenten scoco.ai und, soweit gebucht, den WhatsApp-Assistenten auf Grundlage des Hauptvertrags (AGB nebst gebuchtem Tarif und Preisseite). Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und ist Bestandteil des Hauptvertrags. Bei Widersprüchen geht in Datenschutzfragen dieser AVV vor.

(2) Rollen: Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO — auch gegenüber Anrufern und sonstigen Betroffenen. Der Auftragnehmer ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Gegenstand dieses AVV ist ausschließlich die Verarbeitung von Daten des Auftraggebers (insbesondere Gesprächsinhalte als Transkript, WhatsApp-Nachrichten, Anruferdaten, Kontakte, Kalenderdaten) gemäß Anlage 1. Nicht erfasst sind Verarbeitungen, die der Auftragnehmer als eigener Verantwortlicher vornimmt (insbesondere Vertrags- und Abrechnungsdaten des Auftraggebers, siehe Fußnote 1 der Anlage 3, sowie Betriebsdaten nach § 13 Abs. 6); hierüber informiert die Datenschutzerklärung des Auftragnehmers.

(4) KI-Verordnung (deklaratorisch): Im Sinne der VO (EU) 2024/1689 ist der Auftragnehmer Anbieter (Art. 3 Nr. 3) und der Auftraggeber Betreiber (Art. 3 Nr. 4) des KI-Systems. Die Pflicht aus Art. 50 Abs. 1 KI-VO erfüllt der Auftragnehmer durch das Systemdesign; die Pflicht zur maschinenlesbaren Kennzeichnung synthetischer Audioausgaben aus Art. 50 Abs. 2 KI-VO trägt ebenfalls der Auftragnehmer, soweit sie technisch durchführbar ist, und teilt dem Auftraggeber den Stand ihrer Umsetzung auf Anfrage mit. Der Auftraggeber verpflichtet sich in den AGB, die KI-Offenlegung nicht zu entfernen oder zu umgehen, und trägt die Betreiberpflichten aus Art. 50 Abs. 3 und 4 KI-VO, soweit deren Tatbestände durch seine Nutzung ausgelöst werden; verbotene Praktiken nach Art. 5 KI-VO sind ausgeschlossen. Einzelheiten regeln die AGB.

§ 1 Gegenstand und Dauer

(1) Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. § 10 gilt über das Vertragsende hinaus fort.

(3) Anlagen dieses AVV sind: Anlage 1 (Gegenstand, Datenarten, Betroffene, Löschfristen), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Subprozessoren und Empfänger).

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen gemäß Anlage 1.

(2) Die Verarbeitung findet im Europäischen Wirtschaftsraum statt; Ausnahmen richten sich nach § 12 in Verbindung mit Anlage 3.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) können Gegenstand der Verarbeitung sein, wenn Anrufer oder Absender sie mitteilen — bei Auftraggebern aus Heilberufen regelmäßig, etwa Angaben zu Beschwerden, Behandlungen oder Terminen. Der Auftragnehmer verarbeitet sie ausschließlich im Rahmen dieses AVV; er bildet keine Profile und wertet sie nicht für eigene Zwecke aus. Funktionen, die Anrufe einordnen (etwa als dringend) oder Themen bilden, nutzt der Auftraggeber für sich (§ 13 Abs. 3). Die Rechtsgrundlage bestimmt der Auftraggeber als Verantwortlicher (etwa Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG).

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf Übermittlungen in Drittländer —, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine Mitteilung nicht verbietet.

(2) Als dokumentierte Weisungen gelten: der Hauptvertrag, dieser AVV sowie die Konfiguration des Dienstes im Dashboard durch berechtigte Nutzer des Auftraggebers (einschließlich Ansagetexten, Regeln, Speicherfrist-Einstellungen und Integrationen); Konfigurationsänderungen werden protokolliert. Darüber hinausgehende Einzelweisungen bedürfen der Textform (Support-/Ticketweg). Als dokumentierte Weisungen gelten auch die Gestattungen nach § 13 Abs. 6 und 7 und eine Einwilligung nach § 13 Abs. 8.

(3) Hält der Auftragnehmer eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzvorschriften, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung besteht über das Ende der jeweiligen Tätigkeit hinaus fort.

(2) Zusätzlich belehrt der Auftragnehmer alle mit der Verarbeitung befassten Personen förmlich und dokumentiert über das Fernmeldegeheimnis (§ 3 TDDDG) und die Strafbarkeit seiner Verletzung (§ 206 StGB), da Inhalte und nähere Umstände von Telefonaten verarbeitet werden.

(3) Den Nachweis der Verpflichtungen erbringt der Auftragnehmer auf Anfrage im Verfahren nach § 11.

(4) Berufsgeheimnisträger: Gehört der Auftraggeber zu den in § 203 Abs. 1 oder 2 StGB genannten Personen (etwa Ärzte, Psychotherapeuten, Tierärzte, Rechtsanwälte oder Steuerberater), kann er verlangen, dass die Parteien eine gesonderte Verschwiegenheitsvereinbarung schließen, mit der der Auftragnehmer sich als mitwirkende Person (§ 203 Abs. 3 Satz 2 StGB) zur Geheimhaltung verpflichtet. Der Auftragnehmer schließt sie auf Verlangen nach seinem Muster ab, das er auf Anfrage bereitstellt.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 (TOM) als eigenes, versioniertes Dokument beschrieben.

(2) Der Auftragnehmer darf die Maßnahmen an den Stand der Technik anpassen. Änderungen sind nur zulässig, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer mit; die jeweils aktuelle Fassung der TOM ist für den Auftraggeber abrufbar.

§ 6 Subprozessoren

(1) Der Auftraggeber erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) für die Einschaltung der in Anlage 3 genannten Unterauftragsverarbeiter („Subprozessoren"). Empfänger, die als eigenständige Verantwortliche handeln (insbesondere der Telekommunikationsanbieter, Anlage 3 Abschnitt B), sind keine Subprozessoren.

(2) Beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Subprozessoren, einschließlich der Erweiterung um einen Verarbeitungsort in einem Drittland) zeigt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vor Wirksamwerden per E-Mail an die im Dashboard hinterlegte Administrator-Adresse an. Die jeweils aktuelle Liste wird zusätzlich unter scoco.ai/de/subprozessoren veröffentlicht. Zeigt ein Subprozessor dem Auftragnehmer eine Änderung seiner eigenen Unterauftragsverarbeiter an, gibt der Auftragnehmer die Anzeige unverzüglich weiter, sobald er sie erhält.

(3) Der Auftraggeber kann der Änderung binnen 14 Tagen ab Zugang der Anzeige in Textform widersprechen; der Widerspruch bedarf eines wichtigen datenschutzrechtlichen Grundes, der zu begründen ist.

(4) Im Fall eines Widerspruchs bemühen sich die Parteien um Abhilfe (etwa: keine Verarbeitung von Daten des Auftraggebers durch den neuen Subprozessor). Ist Abhilfe nicht möglich oder unzumutbar, kann der Auftraggeber den betroffenen Dienst mit Wirkung zum Wirksamwerden der Änderung außerordentlich kündigen; vorausbezahlte Entgelte für nicht erbrachte Leistungen werden anteilig erstattet.

(5) Pflichten-Durchreiche (Art. 28 Abs. 4 DSGVO): Der Auftragnehmer legt jedem Subprozessor vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV vereinbart sind — einschließlich Vertraulichkeit, Sicherheitsmaßnahmen und der Verbote aus § 13. Bei Drittlandbezug gilt § 12. Kommt ein Subprozessor seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung wie für eigenes Handeln.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12–23 DSGVO zu beantworten. Hierzu stellt der Dienst je Mandant im Dashboard insbesondere eine Suche über die Anrufe, das Löschen einzelner Anrufe samt Transkript und Zusammenfassung, den Abruf des Transkripts eines Anrufs und die Anrufliste als Datei bereit (Selbstbedienung). Berichtigungen und einen vollständigen Export der zu einer Person gespeicherten Daten nimmt der Auftragnehmer auf Weisung vor. Unterstützung über die Selbstbedienung hinaus erbringt er gegen Erstattung des angemessenen Aufwands, soweit der Antrag nicht auf einem Verstoß des Auftragnehmers beruht.

(2) Anträge betroffener Personen, die unmittelbar beim Auftragnehmer eingehen, leitet dieser unverzüglich, spätestens binnen 5 Werktagen, an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anträge nicht selbst, es sei denn, er ist gesetzlich dazu verpflichtet.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens 48 Stunden nach Kenntniserlangung.

(2) Die Meldung enthält, soweit bereits verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Informationen, die noch nicht vorliegen, liefert der Auftragnehmer ohne unangemessene Verzögerung schrittweise nach.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert Verletzungen einschließlich ihrer Auswirkungen und der Abhilfemaßnahmen.

(4) Die Meldung nach Absatz 1 ist kein Anerkenntnis eines Verschuldens.

§ 9 Unterstützung bei Datenschutz-Folgenabschätzung und Konsultation

(1) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Hierzu stellt der Auftragnehmer auf Anfrage eine Muster-Datenschutz-Folgenabschätzung für den Einsatz von scoco.ai bereit, sobald sie freigegeben ist: Systembeschreibung (Gesprächsablauf, Datenarten, Subprozessorkette samt Übermittlungsgrundlagen, Speicherfristen, keine Aufzeichnung von Gesprächsaudio, kein Training), Rechtsgrundlagen-Matrix, Risikoanalyse und Abhilfen mit Verweis auf Anlage 2. Die kundenindividuellen Felder (Zwecke, Branche, eigene Fristen-Konfiguration, Ansagetext-Version) füllt der Auftraggeber; die Durchführungspflicht nach Art. 35 Abs. 1 DSGVO bleibt bei ihm.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit gelten die Speicher- und Löschfristen der Anlage 1 Ziff. 7; Löschvorgänge werden protokolliert und sind gegenüber dem Auftraggeber nachweisbar.

(2) Nach Beendigung des Hauptvertrags — auch nach einer Testphase ohne anschließende Buchung — bleiben die Daten 30 Tage gespeichert, gerechnet ab dem Ende eines Übergangszeitraums nach AGB § 5 Abs. 6, wenn ein solcher vereinbart ist. In dieser Zeit kann der Auftraggeber sie über die Exportfunktionen des Dashboards abrufen oder ihre Herausgabe in einem strukturierten, maschinenlesbaren Format verlangen (AGB § 5 Abs. 6). Der Auftragnehmer kündigt die Löschung mindestens 14 Tage vorher in Textform an.

(3) Nach Ablauf dieser 30 Tage, frühestens 14 Tage nach der Ankündigung, löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers aus den Produktivsystemen, soweit im Einzelvertrag nicht anders vereinbart und sofern nicht Unionsrecht oder mitgliedstaatliches Recht eine weitere Speicherung verlangt. Steht dem Auftragnehmer zu diesem Zeitpunkt eine offene Forderung aus dem Hauptvertrag zu, löscht er die Inhaltsdaten (Gesprächsinhalte, Transkripte, Zusammenfassungen, Aufzeichnungen, Kontakte, Wissensdaten) ebenso und bewahrt bis zur Begleichung, Ausbuchung oder Verjährung der Forderung nur die Abrechnungsdaten und die Nutzungssummen je Kalendermonat auf; diese verarbeitet er als eigene Daten zur Durchsetzung der Forderung. Rechnungen, Zahlungsbelege und die Nutzungssummen je Kalendermonat bewahrt der Auftragnehmer als eigene Daten nach Art. 17 Abs. 3 lit. b DSGVO acht Jahre ab Ende des Kalenderjahres, in dem die Rechnung ausgestellt, bezahlt oder ausgebucht wurde, auf (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4, Abs. 3 AO), nur für diesen Zweck und ohne Zugriff des Auftraggebers über das Dashboard, und löscht sie danach; Gesprächsinhalte gehören nicht dazu. Die Löschung wird protokolliert; der Nachweis wird auf Anfrage erbracht.

(3a) Erreicht die Ankündigung nach Absatz 2 keinen Empfänger, steht sie auf der Abrechnungsseite des Kontos; der Auftraggeber hält seine Kontaktdaten aktuell (AGB § 7). Die Löschung erfolgt dann erst nach einer Bestätigung durch den Auftragnehmer, frühestens 14 Tage danach.

(4) Datensicherungen: Personenbezogene Daten in verschlüsselten Datensicherungen werden nicht sofort physisch getilgt, sondern laufen mit dem dokumentierten Rotationsplan der Sicherungen aus, spätestens sechs Monate nach der Löschung im Produktivsystem. Bis dahin sind sie verschlüsselt gespeichert und von jeder aktiven Verarbeitung ausgeschlossen. Eine Wiederherstellung aus Sicherungen erfolgt nur zur Wiederherstellung des Betriebs nach Datenverlust oder zur Erfüllung gesetzlicher Pflichten, nicht zur Wiederherstellung gelöschter Daten; wird eine Sicherung wiederhergestellt, werden zwischenzeitlich gelöschte Daten — einschließlich gelöschter Mandanten — unverzüglich erneut gelöscht.

§ 11 Nachweise und Audits

(1) Der Auftragnehmer weist die Einhaltung dieses AVV primär nach durch: Beantwortung von Prüf-Fragebögen, Vorlage der jeweils aktuellen Anlage 2 (TOM) sowie Kopien vorhandener Zertifikate und Prüfberichte (eigene und solche der Subprozessoren bzw. Rechenzentrumsbetreiber, soweit der jeweilige Anbieter die Weitergabe gestattet; im Übrigen Nachweise über deren Zertifizierung). Diese Nachweise genügen, soweit sie aussagekräftig sind.

(2) Ergänzend kann der Auftraggeber höchstens einmal pro Kalenderjahr eine Fernprüfung verlangen (Interviews, Einsicht in Konfigurationen per Bildschirmübertragung); Absatz 3 Satz 3 und Absatz 4 gelten entsprechend.

(3) Vor-Ort-Prüfungen sind höchstens einmal pro Kalenderjahr zulässig, mit einer Ankündigungsfrist von 30 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Prüfer darf kein unmittelbarer Wettbewerber des Auftragnehmers sein und muss zur Vertraulichkeit verpflichtet werden. Die Kosten anlassloser Prüfungen trägt der Auftraggeber; eigene Mitwirkungsaufwände trägt jede Partei selbst.

(4) Bei konkretem Anlass (insbesondere einer gemeldeten Verletzung nach § 8) oder auf Anordnung einer Aufsichtsbehörde gelten die Beschränkungen des Absatzes 3 Satz 1 nicht.

(5) Die Kontroll- und Nachweisrechte nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO bleiben unberührt; diese Regelung strukturiert ihre Ausübung.

§ 12 Drittlandübermittlungen

(1) Übermittlungen personenbezogener Daten in Drittländer erfolgen ausschließlich im Rahmen der Anlage 3 und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Grundlage sind ein Angemessenheitsbeschluss der Kommission — insbesondere das EU-US Data Privacy Framework (DPF) für zertifizierte Anbieter — oder die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), jeweils ergänzt um erforderliche zusätzliche Maßnahmen. Bei DPF-zertifizierten Anbietern werden Standardvertragsklauseln als Rückfallmechanismus vorgehalten.

(3) Für Übermittlungen auf Grundlage von Standardvertragsklauseln dokumentiert der Auftragnehmer eine Transfer-Folgenabschätzung (TIA); der Auftraggeber kann sie auf Anfrage einsehen.

§ 13 Fernmeldegeheimnis-Zusatz

(1) Der Auftragnehmer behandelt den Inhalt der über den Dienst geführten Telefonate und deren nähere Umstände nach dem Maßstab des Fernmeldegeheimnisses (§ 3 TDDDG) — unabhängig von der telekommunikationsrechtlichen Einordnung des Dienstes im Einzelnen.

(2) Kein Training mit Gesprächsinhalten: Gesprächsinhalte des Auftraggebers — Gesprächsaudio, Transkripte, Zusammenfassungen und ihre Übersetzungen, WhatsApp-Nachrichten, die darin erfassten Angaben sowie daraus abgeleitete Vektordarstellungen — werden weder vom Auftragnehmer noch von dessen Subprozessoren zum Training oder zum Feinabstimmen von KI-Modellen verwendet. Für eigene Zwecke des Auftragnehmers werden sie nicht genutzt. Personal des Auftragnehmers prüft Gespräche eines Auftraggebers nur zur Bearbeitung seiner Anfragen und Störungsmeldungen (Absatz 4) und im Qualitätsprogramm (Absatz 8); die Qualität des Dienstes und neuer Modelle prüft der Auftragnehmer im Übrigen mit synthetischen Testanrufen sowie mit Betriebsdaten nach Absatz 6.

(3) Keine mandantenübergreifende Inhaltsauswertung: Gesprächsinhalte werden nicht über Mandanten hinweg ausgewertet. Funktionen, die Gesprächsinhalte auswerten — etwa die Themenübersicht, die Suche oder „Frag scoco" —, arbeiten ausschließlich innerhalb des Kontos des Auftraggebers und für ihn. Studien oder Auswertungen, die Gespräche mehrerer Auftraggeber zusammen betrachten, führt der Auftragnehmer nicht durch. Erkenntnisse aus Absatz 4 und 8 übernimmt er in allgemeine Verbesserungen des Dienstes nur als inhaltsfreie Befunde oder synthetische Testfälle.

(4) Zweckbindung: Transkripte und Zusammenfassungen (einschließlich ihrer maschinellen Übersetzung in die Sprache des Kundenkontos) dienen ausschließlich der Zustellung an den Auftraggeber als bestimmungsgemäßen Empfänger der Kommunikation und der Anzeige in dessen Dashboard. Personal des Auftragnehmers sieht Inhalte nur, soweit es erforderlich ist, um eine Anfrage oder Störungsmeldung des Auftraggebers zu bearbeiten, Störungen zu beseitigen, die technischen Systeme zu schützen, einen konkreten Verdacht nach AGB § 5a Abs. 1 (ii) zu prüfen oder das Qualitätsprogramm nach Absatz 8 durchzuführen. Zugriffe über die Anwendung, die Verwaltungskonsole und die Kommandozeile werden je Konto und Zeitfenster von 15 Minuten protokolliert und dem Auftraggeber im Dashboard angezeigt (welcher einzelne Anruf geöffnet wurde, wird nicht festgehalten); Notfallsitzungen unmittelbar auf der Datenbank werden protokolliert und gezählt, lassen sich aber keinem Konto zuordnen und erscheinen nicht im Dashboard. Zur Untersuchung einer Störungsmeldung darf der Auftragnehmer die Konfiguration eines Assistenten (Ansagetexte, Regeln, Wissensbasis; ohne Rufnummern und ohne Verbindungen zu Drittdiensten) in ein internes Testkonto kopieren und dort mit Testanrufen prüfen; er löscht die Kopie, sobald die Untersuchung abgeschlossen ist.

(5) Im Standardbetrieb findet keine Aufzeichnung von Gesprächsaudio statt; Gesprächsaudio des Anrufers wird nur flüchtig im Arbeitsspeicher zur Echtzeit-Erkennung verarbeitet und nicht persistiert. Auf Datenträgern liegen ausschließlich vorberechnete, gesprächsunabhängige Systemansagen der Assistenz (Begrüßung, Wartehinweise) als Zwischenspeicher zur Verkürzung der Antwortzeit; sie enthalten keine Anruferdaten. Es erfolgt keine Stimmbiometrie und keine Emotions- oder Stimmungsanalyse. Die Antworttexte der Assistenz verarbeitet der Anbieter der Sprachsynthese nur zur Erzeugung der Sprachausgabe; der Auftragnehmer löscht die Texte aus dem Verlauf des Anbieters spätestens nach einer Stunde, Sicherungskopien des Anbieters laufen nach dessen Löschplan aus.

(6) Betriebsdaten: Betriebsdaten sind zusammengefasste Angaben über den Betrieb des Dienstes je Konto und mindestens je Kalendertag oder über Konten hinweg, insbesondere Anzahl und Dauer von Anrufen und Unterhaltungen, deren Ergebnisse (etwa Nachricht aufgenommen, Termin gebucht, durchgestellt), Antwort- und Verarbeitungszeiten, Häufigkeit von Fehlern und Störungen, die genutzten Funktionen sowie die eingesetzten Anbieter, Modelle und Sprachen. Betriebsdaten enthalten keine Gesprächsinhalte und keine Rufnummern oder sonstigen Kennungen von Anrufern oder Absendern. Angaben zu einzelnen Gesprächen und die Betriebsprotokolle bleiben Daten des Auftraggebers und werden nach Anlage 1 Ziff. 7 gelöscht. Der Auftraggeber gestattet dem Auftragnehmer, Betriebsdaten aus den im Auftrag verarbeiteten Daten zu bilden. Der Auftragnehmer verarbeitet sie als eigener Verantwortlicher zur Bereitstellung, Abrechnung, Sicherung und Störungsbeseitigung sowie zur Weiterentwicklung des Dienstes einschließlich der Auswahl und des Vergleichs von Anbietern und Modellen, bewahrt sie höchstens 24 Monate auf, soweit sie nicht als Abrechnungsunterlagen länger aufzubewahren sind (§ 10 Abs. 3), und unternimmt keinen Versuch, sie einem Anrufer oder Absender zuzuordnen. Der Maßstab des Absatzes 1 steht der Bildung und Nutzung solcher zusammengefassten Betriebsdaten nicht entgegen.

(7) Anonymisierte Statistiken: Der Auftragnehmer darf Betriebsdaten des Auftraggebers mit denen anderer Auftraggeber so zusammenfassen, dass weder der Auftraggeber noch eine natürliche Person bestimmbar ist, solche Statistiken für eigene Zwecke verwenden, auch nach dem Ende dieses AVV, und sie ohne Nennung des Auftraggebers veröffentlichen, etwa als Branchenvergleich. Veröffentlicht oder an Dritte weitergegeben wird eine Statistik nur, wenn sie auf den Daten von mindestens zehn Auftraggebern beruht. Gesprächsinhalte fließen in solche Statistiken nicht ein.

(8) Qualitätsprogramm (nur auf Weisung): Der Auftraggeber kann den Auftragnehmer in Textform — sobald angeboten, auch über eine Einstellung im Dashboard — anweisen, Gespräche seines Kontos (Transkripte, Zusammenfassungen und die Angaben je Gespräch) durch Personal des Auftragnehmers prüfen zu lassen, um Fehler und Qualitätsmängel des Dienstes, wie er dem Auftraggeber erbracht wird, zu finden und zu beheben. Das ist Verarbeitung im Auftrag und auf dokumentierte Weisung (§ 3); ohne diese Weisung findet keine solche Prüfung statt, und Gesprächsinhalte werden nur innerhalb des Kontos des Auftraggebers und zur Bearbeitung seiner eigenen Anfragen und Störungsmeldungen verwendet (Absatz 4). Auch im Qualitätsprogramm werden Gesprächsinhalte nicht zum Training oder Feinabstimmen von KI-Modellen verwendet, nicht an Dritte weitergegeben und nicht aus dem Konto heraus kopiert; was der Auftragnehmer dabei lernt, fließt in allgemeine Verbesserungen des Dienstes nur als inhaltsfreier Befund ein (Absatz 3). Zugriffe werden nach Absatz 4 protokolliert. Der Auftraggeber kann die Weisung jederzeit in Textform mit Wirkung für die Zukunft widerrufen. Auftraggebern, die zu den in § 203 Abs. 1 oder 2 StGB genannten Personen gehören (§ 4 Abs. 4), und Auftraggebern, deren Anrufe typischerweise Gesundheitsdaten enthalten (§ 2 Abs. 3), bietet der Auftragnehmer das Qualitätsprogramm nicht an.

§ 14 Haftung

(1) Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags (AGB).

(2) Im Innenverhältnis haften die Parteien einander entsprechend ihrem Anteil an der Verantwortung für einen Schaden (Art. 82 Abs. 5 DSGVO). Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform; das gilt auch für die Änderung dieses Textformerfordernisses. Individuelle Vertragsabreden (§ 305b BGB) bleiben formfrei wirksam.

(2) Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen der Parteien gehen in Datenschutzfragen die Regelungen dieses AVV vor.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Für Rechtswahl und Gerichtsstand gilt § 15 Abs. 1 und 2 der AGB. Die Rechte betroffener Personen nach Art. 79 DSGVO bleiben unberührt.

Anlage 1 — Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffene, Löschfristen

1. Gegenstand

Betrieb des KI-Telefonassistenten scoco.ai für den Auftraggeber: Entgegennahme eingehender Anrufe, Führung des Dialogs in Echtzeit (Spracherkennung → Sprachmodell → Sprachsynthese), Erstellung von Transkript und Zusammenfassung — bei einem Gespräch in einer anderen Sprache als der des Kundenkontos auch die maschinelle Übersetzung des Transkripts in diese Sprache —, Zustellung an den Auftraggeber (Dashboard, E-Mail, SMS), optionales Durchstellen an Mitarbeiter des Auftraggebers, optionaler Abgleich mit Kontakten und Kalender-Frei/Belegt-Zeiten des Auftraggebers, optionales Anlegen von Terminen im Kalender des Auftraggebers sowie die Bereitstellung früherer Anliegen desselben Anrufers beim selben Auftraggeber (Name, Firma, Anlass der letzten Anrufe) als Gesprächskontext, soweit der Auftraggeber das nicht abgeschaltet hat.

Auf Veranlassung des Auftraggebers außerdem: SMS und E-Mails an Anrufer — etwa Rückruf-SMS nach einem verpassten Anruf, Terminbestätigungen und -erinnerungen, Antworten aus dem Posteingang des Dashboards — und der Empfang von SMS-Antworten der Anrufer; das Anlegen von Kontakten aus Anrufen; das Führen einer Sperrliste von Rufnummern.

Auf Veranlassung des Auftraggebers außerdem: Auswertung der Zusammenfassungen seines Kontos zu einer Themenübersicht (Vektordarstellungen und Benennung durch das Sprachmodell); Suche über seine Anrufe und Beantwortung von Fragen seiner Nutzer über seine Anrufe und Einstellungen („Frag scoco"); Einlesen von Inhalten seiner öffentlichen Website zur Einrichtung der Wissensbasis. Soweit der Auftraggeber eine eigene KI-Anwendung über die Schnittstelle für KI-Anwendungen (MCP) anbindet: Bereitstellung der von ihm freigegebenen Daten an diese Anwendung und Übernahme der von ihr vorgeschlagenen Änderungen, nachdem ein Nutzer des Auftraggebers sie bestätigt hat (AGB § 6c).

Soweit der Auftraggeber den WhatsApp-Assistenten gebucht und ein eigenes WhatsApp-Business-Konto verbunden hat zusätzlich: Empfang eingehender WhatsApp-Nachrichten über die WhatsApp Business Cloud API, Beantwortung durch die Assistenz auf Grundlage derselben Konfiguration und Wissensbasis (einschließlich Terminbuchung, -verschiebung und -absage, soweit eingerichtet), Umschrift von Sprachnachrichten und — nur bei eingeschalteter Bildbeschreibung — Beschreibung von Fotos, Übernahme des Chats durch Mitarbeiter des Auftraggebers im Dashboard oder in der WhatsApp-Business-App, Erstellung einer Zusammenfassung je Unterhaltung und Zustellung an den Auftraggeber.

2. Dauer

Laufzeit des Hauptvertrags (§ 1 Abs. 2).

3. Art der Verarbeitung

Erheben, Erfassen, Ordnen, Speichern, Verwenden, Übermitteln an den Auftraggeber und an Subprozessoren gemäß Anlage 3, Löschen. Gesprächsaudio wird ausschließlich flüchtig zur Echtzeit-Erkennung verarbeitet; eine Aufzeichnung von Gesprächsaudio findet im Standardbetrieb nicht statt. Auf Datenträgern liegen ausschließlich vorberechnete, gesprächsunabhängige Systemansagen der Assistenz (Begrüßung, Wartehinweise) als Zwischenspeicher zur Verkürzung der Antwortzeit; sie enthalten keine Anruferdaten.

WhatsApp: Sprachnachrichten und Fotos werden zur Umschrift bzw. Beschreibung ausschließlich flüchtig im Arbeitsspeicher verarbeitet; gespeichert wird nur der daraus entstandene Text. Das Original ruft der Auftraggeber bei Bedarf über die Plattform bei Meta ab, solange Meta es vorhält; der Auftragnehmer legt keine Kopie an. Bei Nutzung der WhatsApp-Business-App parallel zur Plattform („Koexistenz") fordert der Auftragnehmer auf Vorgabe von Meta die einmalige Synchronisierung von Kontakten und Gesprächsverlauf der App an; diese Daten werden bei Eingang ungespeichert verworfen.

4. Zweck

Telefonische Erreichbarkeit des Auftraggebers und, soweit gebucht, seine Erreichbarkeit über WhatsApp: Anliegenaufnahme, Information der Anrufer bzw. Absender, Terminanbahnung, Weiterleitung und Benachrichtigung des Auftraggebers über Gesprächsergebnisse.

5. Datenarten

6. Kategorien betroffener Personen

• Anrufer (Kunden, Interessenten und sonstige Kontakte des Auftraggebers),
• Absender von WhatsApp-Nachrichten an die verbundene Rufnummer des Auftraggebers,
• Mitarbeiter des Auftraggebers (Nutzerkonten, Durchstell-Ziele, Benachrichtigungsempfänger),
• Kontakte des Auftraggebers aus synchronisierten Kontakt- und Kalenderbeständen.

7. Speicher- und Löschfristen

Begründung der Standardfristen: 21 Tage Transkript decken Rückfragen und Reklamationen zum Einzelanruf ab; 365 Tage Zusammenfassung/Metadaten dienen der Geschäftsvorfall-Dokumentation des Auftraggebers über einen Jahreszyklus. Der Auftraggeber kann die Fristen innerhalb der genannten Grenzen einstellen (Art. 5 Abs. 1 lit. e DSGVO). Offenlegung der Untergrenze: Die 12-Monats-Untergrenze für Zusammenfassungen und Anruf-Metadaten besteht, weil die monatliche Abrechnung des Auftragnehmers zum Monatsende live über die Anrufdaten aggregiert; sie dient damit auch der eigenen Abrechnung des Auftragnehmers.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM)

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind im Dokument „Technische und organisatorische Maßnahmen (TOM) — scoco.ai" beschrieben (eigenständiges, versioniertes Dokument; Fassung und Stand ergeben sich aus dessen Kopfzeile — bei Vertragsschluss: Fassung 1.0, Stand 30.10.2026). Die jeweils aktuelle Fassung stellt der Auftragnehmer dem Auftraggeber auf Anfrage per E-Mail bereit; § 5 Abs. 2 gilt.

Anlage 3 — Subprozessoren und Empfänger

Diese Anlage entspricht der Liste der Subprozessoren, die der Auftragnehmer unter scoco.ai/de/subprozessoren veröffentlicht; maßgeblich ist die dort geführte, datierte Fassung. Änderungen richten sich nach § 6.

A. Unterauftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

B. Empfänger (keine Auftragsverarbeitung)

easybell erbringt als Telekommunikationsanbieterin die Sprachverbindungen in eigener Verantwortung und unterliegt dabei dem Fernmeldegeheimnis und den Pflichten des TKG (u. a. § 166 TKG); sie ist deshalb Empfängerin, nicht Unterauftragsverarbeiterin.

C. Vom Auftraggeber selbst beauftragte Dienste

Der Auftraggeber verbindet in Metas Anmeldefenster sein eigenes WhatsApp-Business-Konto, schließt dabei selbst die Bedingungen mit WhatsApp Ireland und trägt Metas Gebühren. WhatsApp Ireland ist insoweit Auftragsverarbeiter des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers; § 6 findet keine Anwendung. Der Auftragnehmer nennt den Dienst hier zur Vollständigkeit des Datenwegs.

Sein Google- oder Microsoft-Konto verbindet der Auftraggeber selbst; der Auftragnehmer greift mit dessen Freigabe auf die Kontakte und den Kalender dieses Kontos zu. Google und Microsoft verarbeiten diese Daten im Rahmen des Vertrags zwischen dem Auftraggeber und ihnen; sie sind insoweit keine Subprozessoren des Auftragnehmers.

Eine KI-Anwendung, die der Auftraggeber über die Schnittstelle für KI-Anwendungen anbindet, wählt er selbst und nutzt sie nach den Bedingungen ihres Anbieters; sie erhält nur die Daten, die der Auftraggeber bei der Anbindung freigibt, und ist kein Subprozessor des Auftragnehmers (AGB § 6c).

Fußnoten

¹ Stripe Payments Europe Ltd. (Irland) ist bewusst nicht in dieser Anlage aufgeführt: Stripe wickelt ausschließlich die Abrechnung des Vertragsverhältnisses zwischen dem Auftraggeber und LuminaByte ab (Firmenname, Rechnungs-E-Mail, Anschrift, USt-IdNr., Zahlungsmittel). Insoweit ist LuminaByte selbst Verantwortlicher; Gesprächs- und Anruferdaten erreichen Stripe nicht. Informationen hierzu enthält die Datenschutzerklärung von LuminaByte.

² Deepgram: Der Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln (Modul 3) ist beidseitig unterzeichnet (2026-08-20); die flüchtige Verarbeitung ist vertraglich zugesichert — Audio und Transkripte werden ausschließlich im Arbeitsspeicher verarbeitet und nicht persistent gespeichert (DPA §§ 8.1, 10.1).

³ Google LLC: Die Teilnahme am EU-US Data Privacy Framework ist geprüft und datiert dokumentiert (EU-US, UK-Erweiterung und Swiss-US aktiv, zuletzt geprüft am 2026-10-13); der Auftragnehmer prüft sie jährlich erneut.

⁴ Microsoft (Azure OpenAI) — Missbrauchsüberwachung: Prompts und Antworten werden zur Diensterbringung nicht gespeichert und nicht für Training verwendet (Modelle zustandslos). Microsofts Missbrauchsüberwachung prüft automatisch geflaggte Inhalte standardmäßig maschinell und ohne Speicherung; nur wenn diese maschinelle Prüfung nicht ausreicht, kann die geflaggte Stichprobe zeitlich begrenzt zur menschlichen Prüfung gespeichert werden — Zugriff ausschließlich durch autorisierte Microsoft-Mitarbeiter, für EWR-Deployments im EWR ansässig; Ablage in der Verarbeitungs-Geografie (EU). Eine vollständige Abschaltung dieser Speicherung („Modified Abuse Monitoring") bietet Microsoft derzeit nur account-betreuten Kunden an; der Antrag des Auftragnehmers wurde aus diesem Programmgrund am 2026-08-20 abgelehnt.

⁵ Soniox: Der Auftragsverarbeitungsvertrag (v1.3) ist beidseitig unterzeichnet (2026-10-17); die EU-Standardvertragsklauseln (Modul 3) sind einbezogen (DPA § 7). Gesprächsaudio wird vertraglich zugesichert flüchtig verarbeitet und nicht gespeichert; der Auftragnehmer aktiviert keine Funktion, die eine Speicherung erfordert; eine Verwendung für Training ist ausgeschlossen (DPA § 9). Der Vertrag lässt eine begrenzte Verarbeitung außerhalb der EU-Region zu, soweit sie für Sicherheit, Support, Betrieb des Dienstes oder die Erfüllung gesetzlicher Pflichten erforderlich ist (DPA § 7); der Anbieter hat schriftlich bestätigt (2026-10-19), dass das nur Daten betrifft, die der Auftragnehmer ihm selbst zu Support-, Rechts- oder Sicherheitszwecken übergibt. Die Transfer-Folgenabschätzung ist dokumentiert (2026-10-19). Für die Sprachsynthese gilt dieselbe flüchtige Verarbeitung ohne Speicherung in der EU-Region; der Anbieter hat das schriftlich bestätigt (2026-10-30).