Auftragsverarbeitungsvertrag (AVV)
Stand: 6. August 2026
1. Gegenstand und Rollen
HalloMia (Archibo GmbH, „Auftragsverarbeiter") verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Kunden („Verantwortlicher") gemäß Art. 28 DSGVO. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung der Daten seiner Anrufer und Kontakte verantwortlich.
2. Gegenstand, Dauer, Art und Zweck
Bereitstellung eines KI-Telefonassistenten (Anrufannahme, Terminvereinbarung, Nachrichtenaufnahme, Transkription) für die Dauer des Hauptvertrags zzgl. gesetzlicher Fristen.
3. Betroffene und Datenkategorien
Anrufer und Kontakte des Verantwortlichen sowie ggf. dessen Beschäftigte. Kategorien: Bestandsdaten (Name, Rufnummer, E-Mail), Kommunikationsinhalte (Audioaufzeichnungen — sofern aktiviert — und Transkripte), Termin- und Nachrichtendaten, Anruf-Metadaten. Besondere Kategorien (Art. 9) je nach Branche — Rechtsgrundlage stellt der Verantwortliche sicher.
4. Technisch-organisatorische Maßnahmen
Verschlüsselung in Transit (TLS) und at rest, rollenbasierte Zugriffskontrolle, Mandantentrennung je Organisation, Audit-Log, automatisierte Sicherheitsprüfungen in der Auslieferungskette.
5. Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Ort | Garantie |
|---|---|---|---|
| Vapi | Sprach-KI-Orchestrierung, Anruf-Handling, Aufzeichnung/Transkript | USA | SCC |
| Twilio | Telefonie/Rufnummern, SMS | EU/USA | SCC/DPF/BCR — verarbeitet Teilbereiche zusätzlich als eigenständiger Verantwortlicher (Abrechnung, Betrugsprävention, Rechtspflichten, Produktverbesserung) gem. Twilio-DPA §3 |
| Stripe | Zahlungsabwicklung | EU/USA | SCC |
| SendGrid (Twilio) | Transaktions-E-Mails | USA | SCC — Backups bis 1 Jahr nach Vertragsende (Twilio-DPA §9) |
| Google / Microsoft | Kalender-Integration | EU/USA | SCC (nur bei Opt-in) |
| Anthropic | LLM-Verarbeitung | USA | SCC |
| ElevenLabs / Cartesia | TTS | USA | SCC |
| Deepgram (via Vapi) | STT | USA | SCC |
| Jina AI | Website-Analyse (nur öffentliche Kunden-Website) | USA | SCC |
| Microsoft Azure | Hosting/DB/Storage | EU | EU-Region |
Änderungen werden mindestens 30 Tage vorab in Textform angekündigt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Soweit einzelne Anbieter Daten (auch) als eigenständige Verantwortliche verarbeiten, liegt dies außerhalb des Auftragsverhältnisses; maßgeblich sind die jeweiligen Vereinbarungen der Archibo GmbH mit dem Anbieter.
6. Weisungen
Verarbeitung nur auf dokumentierte Weisung; diese Vereinbarung und die Plattform-Konfiguration gelten als dokumentierte Weisung.
7. Löschung und Rückgabe
Nach Beendigung Löschung oder Rückgabe nach Wahl des Verantwortlichen, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Aufbewahrungsfristen: Audit-Log 2 Jahre (Pseudonymisierungs-Einträge 6 Jahre), Verbindungs-/Nutzungsdaten 7 Monate, Gesprächsaufzeichnungen 30 Tage (konfigurierbar), Abrechnungsdaten 10 Jahre (AO/HGB).
8. Unterstützung, Kontrolle, Meldungen
Unterstützung bei Betroffenenrechten (Art. 15–22) und Meldepflichten (Art. 33/34); Bereitstellung der zur Kontrolle erforderlichen Informationen; Meldung von Datenschutzverletzungen unverzüglich nach Bekanntwerden.