Vereinbarung zur Auftragsverarbeitung
Anlage 2 zum Auftrag · Vereinbarung nach Art. 28 DSGVO · Fassung 2.0.0, Stand 22.10.2026
Ihr Betrieb
— nachfolgend „Auftraggeber“ —
BRELYNT
Nico Grunwald, Einzelunternehmer
Fritz-Büsing-Str. 44
26655 Westerstede
— nachfolgend „Auftragnehmer“ —
§ 1 Gegenstand, Dauer, Zustandekommen
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit er ihm die Telefonassistenz Merle und die Plattform für Handwerksbetriebe (Kundenportal) nach dem Hauptvertrag bereitstellt. Hauptvertrag ist auch der Vertrag über den kostenlosen Zugang zur Plattform.
(2) Diese Vereinbarung kommt durch beiderseitige Unterzeichnung oder dadurch zustande, dass der Auftraggeber ihr bei der Registrierung oder im Kundenportal ausdrücklich zustimmt; Zeitpunkt und Fassung der Zustimmung werden gespeichert. Auf Wunsch zeichnet der Auftragnehmer die Vereinbarung zusätzlich gegen.
(3) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages. Sie endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf; die Pflichten aus § 11 bleiben bis zur vollständigen Löschung bestehen.
(4) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Anrufer und Kunden.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck der Verarbeitung ist die Annahme und Bearbeitung eingehender Telefonanrufe für den Auftraggeber, die Erfassung des Anliegens, die Terminvereinbarung, die Benachrichtigung des Auftraggebers sowie die Verwaltung seiner Kunden, Aufträge, Termine, Belege und Betriebsdaten in der Plattform.
(2) Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln an den Auftraggeber, Einschränken und Löschen der Daten.
(3) Die Telefonassistenz ist ein KI-System. Sie gibt sich zu Beginn jedes Gesprächs als KI zu erkennen; dieser Hinweis wird auch auf Wunsch des Auftraggebers nicht abgeschaltet.
§ 3 Art der Daten und Kreis der Betroffenen
Verarbeitet werden folgende Kategorien personenbezogener Daten:
- Rufnummer des Anrufers sowie Zeitpunkt und Dauer des Gesprächs.
- Gesprächstext und Name des Anrufers, soweit er ihn im Gespräch nennt.
- Kontaktdaten für Rückruf oder Terminbestätigung, soweit angegeben.
- Inhaltliche Angaben zum Anliegen in Form einer Zusammenfassung und strukturierter Felder.
- Termindaten einschließlich Anschrift des Einsatzortes, soweit angegeben.
- Daten, die der Auftraggeber in der Plattform selbst speichert: Kunden, Aufträge, Termine, Belege, Dokumente, Mitarbeiterdaten, gegebenenfalls Fahrzeugpositionen.
- Zugangs- und Nutzungsdaten der Mitarbeiter des Auftraggebers im Kundenportal.
Betroffene Personen sind Anrufer des Auftraggebers, insbesondere dessen Kunden und Interessenten, Kunden und Geschäftspartner, deren Daten der Auftraggeber in der Plattform speichert, sowie Beschäftigte des Auftraggebers.
§ 4 Aufzeichnung und Löschfristen
(1) Eine Tonaufnahme der Gespräche findet nicht statt, sofern der Auftraggeber sie nicht ausdrücklich und dokumentiert verlangt. Verlangt er sie, schafft er die datenschutzrechtliche Grundlage und sorgt dafür, dass Anrufer zu Beginn des Gesprächs informiert werden.
(2) Für die einzelnen Datenarten gelten folgende Löschfristen, soweit der Auftraggeber keine kürzere Frist festlegt und keine gesetzliche Aufbewahrungspflicht entgegensteht:
| Datenart | Frist | Hinweis |
|---|---|---|
| Tonaufnahme des Gesprächs | keine Aufnahme | Sprache wird nur während des Gesprächs in Text umgewandelt. |
| Gesprächstext (Wortlaut) beim Sprachdienst | 30 Tage | Einstellung je Assistenz bei ElevenLabs; Umstellung aller Assistenzen auf 30 Tage läuft. |
| Gesprächsnotiz und erfasste Angaben im Portal (Zusammenfassung, Name, Anliegen, Rückrufnummer) | 30 Tage | Danach bleiben nur Zeitpunkt, Dauer, Rufnummer und Ergebnis (z. B. „Termin“) für Abrechnung und Statistik. Frist je Betrieb einstellbar. |
| Was der Betrieb in Kunden, Aufträge oder Termine übernimmt | bis der Betrieb es löscht | Diese Daten pflegt der Betrieb selbst; spätestens Löschung nach Vertragsende. |
| Zeitpunkt, Dauer, Rufnummer eines Anrufs | Vertragsdauer | Für Minutenabrechnung und Nachweis; Löschung nach Vertragsende. |
| Ergebnis der KI-Qualitätsauswertung | Vertragsdauer | Nur Kategorien und Noten, keine Namen, Nummern oder Zitate. |
| Rechnungen und Buchungsbelege | 10 Jahre | Gesetzliche Aufbewahrung (§ 147 AO, § 257 HGB); Voreinstellung der Plattform. |
| Dokumente in der Ablage | je Ablagekategorie | Frist je Kategorie im Portal hinterlegt und dort sichtbar. |
| Fahrzeugortung | 90 Tage | Standard, je Betrieb einstellbar. |
| Standbilder der Überwachung | 72 Stunden | Höchstens 10 Tage; gesicherte Ereignisse mit Begründung höchstens 90 Tage. |
| Sicherungskopien | bis rund 6 Monate | Gelöschte Daten verschwinden zeitversetzt aus den rollierenden Sicherungen. |
| Alle Daten nach Vertragsende | 30 Tage | In dieser Zeit Export auf Wunsch, danach Löschung, soweit keine gesetzliche Pflicht entgegensteht. |
§ 5 Weisungsgebundenheit
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2) Weisungen erfolgen in Textform. Diese Vereinbarung und die im Kundenportal vorgenommenen Einstellungen gelten als dokumentierte Weisung.
(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.
§ 6 Vertraulichkeit und KI-Training
(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus. Die befugten Personen sind in den Anforderungen des Datenschutzes unterwiesen.
(2) Der Auftragnehmer nutzt die Daten des Auftraggebers nicht, um eigene oder fremde KI-Modelle zu trainieren.
(3) Für die eingesetzten KI-Dienste gilt: Nach den gewerblichen Bedingungen von Anthropic werden Kundeninhalte nicht zum Training von Modellen verwendet. Prüfvermerk: Ob ElevenLabs und die dort eingebundenen Sprachmodelle Gesprächsdaten zum Training nutzen dürfen und ob sich das vertraglich ausschließen lässt, wird geprüft. Bis dahin keine Zusage für diese Anbieter.
§ 7 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der Stand zum Zeitpunkt des Vertragsschlusses ergibt sich aus der folgenden Aufstellung. Der Auftragnehmer darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
| Bereich | Maßnahme | Was das bedeutet |
|---|---|---|
| Trennung je Betrieb | Zeilenbasierte Sicherheitsregeln (Row Level Security) in der Datenbank, automatisierte Tests | Jeder Datensatz trägt die Kennung seines Betriebs; die Datenbank selbst gibt nur Zeilen des eigenen Betriebs heraus, und ein automatischer Test prüft bei jeder Änderung, dass Betrieb A weder lesend noch schreibend an Daten von Betrieb B kommt. |
| Zugang | Persönliche Benutzerkonten, Kennwortregeln, Zwei-Faktor-Anmeldung | Jede Person meldet sich mit eigenem Konto an; ist ein zweiter Faktor (Authenticator-App) eingerichtet, verlangt das Portal ihn bei jeder Anmeldung, und die Dienstkonten des BRELYNT-Teams bei den Anbietern sind mit Mehr-Faktor-Anmeldung geschützt. |
| Rollen und Rechte | Rollen je Betrieb, Plattformrollen nur durch den Inhaber änderbar | Mitarbeitende sehen nur, was ihre Rolle erlaubt, und die Rechte des BRELYNT-Teams kann nur der Plattform-Inhaber ändern – erzwungen in der Datenbank, nicht nur in der Oberfläche. |
| Verschlüsselung | TLS auf allen Verbindungen; verschlüsselte Sicherungen; Tresor für Zugangsdaten | Daten reisen nur verschlüsselt (HTTPS), Sicherungskopien werden vor dem Speichern verschlüsselt, und Zugangsdaten zu verbundenen Konten liegen verschlüsselt in einem eigenen Tresor statt im Klartext. |
| Geheimnisse | Schlüssel nur auf dem Server, Prüfung auf offengelegte Schlüssel | API-Schlüssel stehen nur in einer geschützten Datei auf dem Server, nie im Programmcode oder im Browser; ein Prüfskript und ein Scanner im Prüflauf schlagen an, wenn doch einer auftaucht. |
| Protokoll | Änderungsprotokoll, das nur ergänzt werden kann | Sicherheits-, rollen- und abrechnungsrelevante Änderungen werden in einem Protokoll festgehalten, das die Datenbank gegen nachträgliches Ändern und Löschen sperrt. |
| Anbieter nur über das Backend | Dienstleister werden ausschließlich vom Server aus angesprochen | Telefonie, Sprachassistenz, E-Mail, Zahlung und KI werden nur über Schnittstellen im Backend aufgerufen; Ihr Browser hat keine Schlüssel und spricht diese Dienste nicht direkt an. |
| Eingehende Meldungen | Signaturprüfung für Webhooks | Meldungen von Telefonie- und Sprachdienst werden nur angenommen, wenn ihre Signatur stimmt; unsignierte Zustellungen werden verworfen, bevor etwas gespeichert wird. |
| Datensparsamkeit | Keine Tonaufnahme, Schwärzung vor der KI-Auswertung | Gespräche werden nicht als Ton gespeichert, und vor der Qualitätsauswertung werden Namen, Rufnummern, Anschriften und E-Mail-Adressen entfernt; gespeichert werden davon nur Kategorien und Noten. |
| Sicherung | Nächtliche verschlüsselte Sicherung, Wiederherstellungstest | Datenbank und Dateien werden jede Nacht verschlüsselt gesichert (7 tägliche, 4 wöchentliche, 6 monatliche Stände), mit einem Prüfskript wird eine Sicherung probeweise in eine leere Datenbank zurückgespielt und mit den Zeilenzahlen verglichen. |
| Test und Entwicklung | Getrennte Umgebungen, Musterdaten | Entwickelt und getestet wird mit erfundenen Musterdaten in eigenen Umgebungen, nicht mit Daten echter Betriebe oder Anrufer. |
| Änderungen am System | Automatische Prüfungen und Rückfall beim Ausrollen | Jede Änderung durchläuft Typprüfung, Tests und Sicherheitsprüfungen; schlägt die neue Fassung nach dem Ausrollen fehl, läuft automatisch wieder die alte. |
| Erreichbarkeit | Überwachung der Dienste | Eine externe Überwachung prüft regelmäßig, ob Portal und Schnittstellen antworten, und meldet Störungen an das BRELYNT-Team. |
| Personal | Verpflichtung auf Vertraulichkeit | Wer beim Auftragnehmer mit Ihren Daten arbeitet, wird vor Beginn schriftlich auf Vertraulichkeit verpflichtet und zum Datenschutz unterwiesen. |
§ 8 Unterauftragsverarbeiter
Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung der nachfolgend genannten Unterauftragsverarbeiter. Ein Anbieter, der nur bei einer bestimmten Funktion beteiligt ist, verarbeitet Daten nur, wenn der Auftraggeber diese Funktion nutzt.
| Anbieter und Sitz | Leistung | Serverstandort | Grundlage Drittland | Datenhaltung |
|---|---|---|---|---|
| STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland | Server für Kundenportal, Betreiberanwendung, Schnittstellen und Website; E-Mail-Postfächer; verschlüsselte Sicherungskopien auf dem Server | Deutschland | nicht erforderlich (EU) | Serverprotokolle kurzfristig; Sicherungen rollierend, höchstens rund sechs Monate |
| Supabase, Inc., USA | Datenbank, Anmeldung und Dateiablage der Plattform | Frankfurt am Main, Deutschland (Region eu-central-1) | Daten liegen in Frankfurt; für Zugriffe aus Drittländern (Wartung, Unterstützung) Standardvertragsklauseln laut Auftragsverarbeitungsvertrag von Supabase – Ablage wird geprüft | für die Vertragsdauer nach den Löschfristen dieser Vereinbarung |
| Eleven Labs Inc. (ElevenLabs), USA; Niederlassung Eleven Labs Poland sp. z o.o., Warschau, Polen | Telefonassistenz Merle: Spracherkennung, Stimme, Gesprächsführung, Speicherung des Gesprächstextes (nur bei Telefonassistenz Merle) | USA | wird geprüft (Zertifizierung nach dem EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln) | Gesprächstext 30 Tage, keine Tonaufnahme (Einstellung je Assistenz; Umstellung aller Assistenzen auf 30 Tage läuft) |
| Google (Gemini) und OpenAI (GPT) – über ElevenLabs, Google LLC bzw. OpenAI, USA | Sprachmodell, das ElevenLabs für Merles Antworten einbindet: derzeit Google Gemini; nur bei einer Störung springt ein Ersatzmodell ein (derzeit OpenAI GPT-4.1 mini, danach Google Gemini Flash-Lite) (nur bei Telefonassistenz Merle) | wird geprüft | Unterauftragsverarbeiter von ElevenLabs; ob der Vertrag mit ElevenLabs sie erfasst, wird geprüft | wird geprüft |
| Twilio Ireland Limited, Dublin, Irland (Konzernmutter Twilio Inc., USA) | Rufnummern, Verbindung der Anrufe, SMS (Notfall-SMS an den Betrieb, Terminerinnerungen) (nur bei Telefonassistenz Merle und SMS-Funktionen) | Irland und teilweise USA | wird geprüft (Data Privacy Framework der Twilio Inc. bzw. Standardvertragsklauseln im Twilio-Vertrag) | Verbindungsdaten, solange für Abrechnung und Missbrauchsschutz nötig; SMS-Inhalte: wird geprüft |
| Cal.com, Inc., San Francisco, USA | Terminbuchung: Merle fragt freie Zeiten ab und bucht Termine (nur bei Terminbuchung durch Merle) | EU-Instanz (cal.eu) bzw. USA (cal.com) je Kalenderkonto – wird geprüft | wird geprüft (Standardvertragsklauseln) | bis zur Löschung des Termins |
| Anthropic, PBC, San Francisco, USA | KI-Funktionen der Plattform: Qualitätsauswertung der Anrufe (vorher geschwärzt, abwählbar), Belegvorschlag, Angebotsvorschlag, KI-Assistent im Portal, automatische Zuordnung (nur bei Nutzung der KI-Funktionen) | USA | wird geprüft (Standardvertragsklauseln im Auftragsverarbeitungszusatz der gewerblichen Bedingungen von Anthropic) | nur für die einzelne Anfrage; Aufbewahrungsdauer beim Anbieter wird geprüft |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich | E-Mail-Versand: Anmeldung, Anrufnotizen, Benachrichtigungen, Angebote und Rechnungen | EU | nicht erforderlich (EU); Unterauftragnehmer von Brevo werden geprüft | Versandprotokolle nach den Fristen von Brevo – wird geprüft |
| Google Ireland Limited / Google LLC (Google Maps Platform), Dublin, Irland / USA | Routenplanung zu Einsatzorten (Abruf nur vom Server) (nur bei Routenplanung) | weltweit | wird geprüft (Data Privacy Framework der Google LLC bzw. Google-Vertragsbedingungen zur Datenverarbeitung) | wird geprüft |
| Anbieter für Sicherung außer Haus und Ersatzserver, noch nicht beauftragt – ausschließlich ein Anbieter mit Rechenzentrum in der EU | zweite, verschlüsselte Kopie der nächtlichen Sicherung; Ersatzserver für den Notfall | EU | nicht erforderlich (EU) | rollierend wie die Sicherungen, höchstens rund sechs Monate |
Wo „wird geprüft“ steht, ist die Angabe noch nicht anhand der Verträge belegt; der Auftragnehmer ergänzt sie und teilt dem Auftraggeber den Stand auf Anfrage mit. Die Verträge des Auftragnehmers mit den Unterauftragsverarbeitern werden derzeit abgeschlossen bzw. geprüft. Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
Nicht Unterauftragsverarbeiter des Auftragnehmers sind Dienste, die der Auftraggeber selbst mit eigenem Konto verbindet: Google Kalender, Microsoft Outlook / Microsoft 365, WhatsApp (Meta), Eigenes Postfach (IMAP/SMTP), Eigenes Stripe-Konto, Großhändler-Schnittstellen. Für sie gilt der Vertrag des Auftraggebers mit dem jeweiligen Anbieter.
Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen an dieser Liste. Der Auftraggeber kann einer Änderung innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.
Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter auf ein Schutzniveau, das dieser Vereinbarung entspricht, und bleibt dem Auftraggeber gegenüber verantwortlich.
§ 9 Unterstützung des Auftraggebers
(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und erteilt selbst keine Auskunft.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei einer Datenschutz-Folgenabschätzung.
(3) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie bekannt sind.
§ 10 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anforderung nach, insbesondere durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen sowie durch Unterlagen der eingesetzten Dienstleister, soweit sie vorliegen.
(2) Reichen diese Nachweise nicht aus, ermöglicht der Auftragnehmer dem Auftraggeber oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten eine Überprüfung. Der Auftraggeber trägt die Kosten seiner Prüfung; der Aufwand des Auftragnehmers wird nach Aufwand vergütet, sofern die Prüfung keinen Mangel ergibt.
§ 11 Löschung und Rückgabe
(1) Nach Beendigung des Hauptvertrages stellt der Auftragnehmer die Daten für 30 Tage zum Export bereit und löscht sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. In den rollierenden Sicherungskopien verschwinden die Daten zeitversetzt, spätestens nach rund sechs Monaten.
(2) Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden bis zum Ablauf der Frist gesperrt und danach gelöscht.
(3) Die Löschung wird dem Auftraggeber auf Anforderung in Textform bestätigt.
§ 12 Schlussbestimmungen
(1) Änderungen dieser Vereinbarung bedürfen der Textform.
(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.
(3) Es gilt das Recht der Bundesrepublik Deutschland.
Zustandekommen
Diese Vereinbarung gilt, wenn Sie ihr bei der Registrierung oder im Kundenportal zustimmen; Zeitpunkt und Fassung werden gespeichert. Eine von beiden Seiten unterschriebene Fassung erhalten Sie auf Wunsch über das Kundenportal (Einstellungen › Datenschutz) oder per Nachricht an info@brelynt.de.