Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Version 2026-08-02 · Stand 2. August 2026

Präambel und Parteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen dem Kunden, der den Dienst Mantrex geschäftlich nutzt (nachfolgend „Verantwortlicher"), und Mantrex (Einzelunternehmen), Inhaber Paul Wolfram, Ortsstraße 56, 07924 Eßbach (nachfolgend „Auftragsverarbeiter"). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des KI-Telefonassistenten und gilt ergänzend zu den Allgemeinen Geschäftsbedingungen.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung der Anruferdaten verantwortlich; der Auftragsverarbeiter verarbeitet diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Entgegennahme und Bearbeitung von Telefonanrufen für den Verantwortlichen anfallen. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung von Mantrex); der AVV endet mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Annahme eingehender Anrufe, Beantwortung von Standardfragen, Terminvereinbarung und Aufnahme von Nachrichten/Rückrufbitten im Auftrag des Verantwortlichen.

Art der Daten: Sprachaufnahme des Anrufs, daraus erstelltes Transkript, Name, Rückrufnummer, Anliegen sowie Terminwunsch des Anrufers.

Kategorien betroffener Personen: Anrufer des Verantwortlichen (Kunden, Interessenten und sonstige Anrufende).

§ 3 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Die Konfiguration des Assistenten durch den Verantwortlichen (Öffnungszeiten, Leistungen, Begrüßung usw.) gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

· zur Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Verschwiegenheit verpflichtet;
· geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen (siehe § 5);
· den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO) im Rahmen des technisch Möglichen zu unterstützen;
· den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
· Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden (§ 8);
· die Daten nach Wahl des Verantwortlichen nach Beendigung zu löschen oder zurückzugeben (§ 10).

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter unterhält angemessene technische und organisatorische Maßnahmen, u. a.: Transportverschlüsselung (TLS) für alle Verbindungen, Zugriffsschutz über Authentifizierung und zeilenbasierte Zugriffsregeln (Row Level Security), Mandantentrennung, Datenhaltung in der EU (Frankfurt) sowie automatische Löschfristen. Details werden dem Verantwortlichen auf Anfrage in Form einer TOM-Dokumentation zur Verfügung gestellt.

§ 6 Unterauftragsverhältnisse

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz der nachfolgenden Unterauftragsverarbeiter; mit ihnen bestehen Verträge nach Art. 28 DSGVO, US-Übermittlungen sind über EU-Standardvertragsklauseln bzw. das Data Privacy Framework abgesichert. Bei Unterauftragsverarbeitern, die noch nicht eingesetzt werden, wird der Vertrag vor der Aktivierung geschlossen:

· Supabase— Datenbank & Authentifizierung (Datenhaltung EU/Frankfurt)
· ElevenLabs, Inc. (USA) — Sprach-KI (Gesprächsführung, Transkription)
· Vercel Inc. (USA) — Hosting/Auslieferung
· Resend, Inc. (USA) — Versand von Benachrichtigungs-E-Mails
· DIDWW Ireland Limited (Irland) — Telefonie/Rufnummern: Entgegennahme des weitergeleiteten Anrufs und Weiterleitung an die Sprach-KI (sobald aktiviert). Verbindungsdaten (Zeitpunkt, Dauer, Herkunft, Ziel) verarbeitet DIDWW auch zu eigenen Abrechnungs- und gesetzlichen Zwecken und nach eigenen Angaben auch außerhalb des EWR
· Telnyx LLC (USA) — Telefonie/Rufnummern, vorgehalten; derzeit nicht im Einsatz
· Twilio Inc. (USA) — Telefonie/Rufnummern, nur als Ausweichlösung vorgehalten; derzeit nicht im Einsatz

Beabsichtigt der Auftragsverarbeiter einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters, informiert er den Verantwortlichen vorab; dieser kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 7 Rechte betroffener Personen

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs- oder sonstigen Begehren direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und wird nicht selbst inhaltlich tätig, sofern keine Weisung vorliegt.

§ 8 Meldung von Verletzungen des Datenschutzes

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Kenntnis über Verletzungen des Schutzes personenbezogener Daten, die die Auftragsdaten betreffen, und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33/34 DSGVO) erforderlichen Informationen bereit.

§ 9 Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Auskünfte erfolgen vorrangig in Textform, um den laufenden Betrieb und die Rechte Dritter zu wahren.

§ 10 Löschung und Rückgabe nach Beendigung

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter die Auftragsdaten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sprachaufnahmen und Transkripte werden im laufenden Betrieb automatisch nach 90 Tagen gelöscht; bei Vertragsende erfolgt die Löschung der zugeordneten Daten.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie ergänzend nach den Haftungsregelungen des Hauptvertrags (AGB). Im Verhältnis der Parteien haftet jede Partei für die von ihr zu vertretenden Verstöße.

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.