Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Version 2026-09-12 · Stand 12. September 2026

Präambel und Parteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen dem Kunden, der den Dienst Mantrex geschäftlich nutzt (nachfolgend „Verantwortlicher"), und Mantrex (Einzelunternehmen), Inhaber Paul Wolfram, Ortsstraße 56, 07924 Eßbach (nachfolgend „Auftragsverarbeiter"). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des KI-Telefonassistenten und gilt ergänzend zu den Allgemeinen Geschäftsbedingungen.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung der Anruferdaten verantwortlich; der Auftragsverarbeiter verarbeitet diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Entgegennahme und Bearbeitung von Telefonanrufen für den Verantwortlichen anfallen. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung von Mantrex); der AVV endet mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Annahme eingehender Anrufe, Beantwortung von Standardfragen, Terminvereinbarung und Aufnahme von Nachrichten/Rückrufbitten im Auftrag des Verantwortlichen.

Art der Daten: Sprachaufnahme des Anrufs, daraus erstelltes Transkript, Name, Rückrufnummer, Anliegen sowie Terminwunsch des Anrufers.

Kategorien betroffener Personen: Anrufer des Verantwortlichen (Kunden, Interessenten und sonstige Anrufende).

§ 3 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Die Konfiguration des Assistenten durch den Verantwortlichen (Öffnungszeiten, Leistungen, Begrüßung usw.) gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

· zur Vertraulichkeit: zur Verarbeitung befugte Personen sind zur Verschwiegenheit verpflichtet;
· geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen (siehe § 5);
· den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO) im Rahmen des technisch Möglichen zu unterstützen;
· den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
· Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden (§ 8);
· die Daten nach Wahl des Verantwortlichen nach Beendigung zu löschen oder zurückzugeben (§ 10).

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter unterhält angemessene technische und organisatorische Maßnahmen, u. a.: Transportverschlüsselung (TLS) für alle Verbindungen, Zugriffsschutz über Authentifizierung und zeilenbasierte Zugriffsregeln (Row Level Security), Mandantentrennung, Datenhaltung in der EU (Frankfurt) sowie automatische Löschfristen. Details werden dem Verantwortlichen auf Anfrage in Form einer TOM-Dokumentation zur Verfügung gestellt.

§ 6 Unterauftragsverhältnisse

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz der nachfolgenden Unterauftragsverarbeiter. Mit ihnen bestehen Verträge nach Art. 28 DSGVO. US-Übermittlungen sind über EU-Standardvertragsklauseln bzw. das Data Privacy Framework abgesichert:

· Supabase — Datenbank & Authentifizierung (Datenhaltung EU/Frankfurt)
· ElevenLabs, Inc. (USA) — Sprach-KI (Gesprächsführung, Transkription)
· Vercel Inc. (USA) — Hosting/Auslieferung
· Resend, Inc. (USA) — Versand von Benachrichtigungs-E-Mails

Beabsichtigt der Auftragsverarbeiter einen Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters, informiert er den Verantwortlichen vorab; dieser kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Kein Unterauftragsverhältnis: die Telefonverbindung. Der eingehende Anruf wird über DIDWW Ireland Limited (Irland) entgegengenommen und an die Sprach-KI weitergeleitet. DIDWW hat gegenüber dem Auftragsverarbeiter am 02.09.2026 schriftlich bestätigt, für seine Telekommunikationsdienste eigenständig Verantwortlicher und nicht Auftragsverarbeiter zu sein; das gilt für die Anrufvermittlung ebenso wie für die dabei entstehenden Verbindungsdaten (Zeitpunkt, Dauer, Herkunft, Ziel), die DIDWW zu eigenen Abrechnungs-, Sicherheits- und gesetzlichen Zwecken verarbeitet. Ein Vertrag nach Art. 28 DSGVO ist für dieses Verhältnis deshalb nicht einschlägig, und DIDWW ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Nach eigenen Angaben kann DIDWW dabei auch außerhalb des EWR verarbeiten und stützt solche Übermittlungen auf EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse und geeignete technische und organisatorische Maßnahmen. Die Verarbeitung der Gesprächsinhalte für den Verantwortlichen bleibt davon unberührt und erfolgt weiterhin durch den Auftragsverarbeiter und dessen oben genannte Unterauftragsverarbeiter.

Kein Unterauftragsverhältnis: der eigene Kalender des Verantwortlichen. Verbindet der Verantwortliche freiwillig seinen Google Kalender oder seinen Microsoft-Outlook-Kalender (höchstens einen davon), greift der Auftragsverarbeiter ausschließlich auf dessen Weisung darauf zu: Er liest die Belegt-Zeiten (nur Anfang, Ende und Belegt-Status, keine Termininhalte) und trägt Termine ein, die der Assistent für den Verantwortlichen bucht. Das Konto und die darin gespeicherten Daten gehören dem Verantwortlichen; für die Verarbeitung in diesem Konto gilt sein eigenes Vertragsverhältnis mit Google bzw. Microsoft. Der Auftragsverarbeiter beauftragt diese Anbieter insoweit nicht mit einer Verarbeitung für sich selbst und führt sie deshalb für diesen Zweck nicht als Unterauftragsverarbeiter. Die ausgestellten Token bewahrt der Auftragsverarbeiter ausschließlich verschlüsselt auf; der Verantwortliche kann die Verbindung jederzeit in der Einrichtung trennen und die Freigabe in seinem Konto beim jeweiligen Anbieter entziehen. Ohne ausdrückliche Verbindung findet kein Kalenderzugriff statt.

§ 7 Rechte betroffener Personen

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs- oder sonstigen Begehren direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und wird nicht selbst inhaltlich tätig, sofern keine Weisung vorliegt.

§ 8 Meldung von Verletzungen des Datenschutzes

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Kenntnis über Verletzungen des Schutzes personenbezogener Daten, die die Auftragsdaten betreffen, und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33/34 DSGVO) erforderlichen Informationen bereit.

§ 9 Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Auskünfte erfolgen vorrangig in Textform, um den laufenden Betrieb und die Rechte Dritter zu wahren.

§ 10 Löschung und Rückgabe nach Beendigung

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter die Auftragsdaten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sprachaufnahmen und Transkripte werden im laufenden Betrieb automatisch nach 90 Tagen gelöscht; bei Vertragsende erfolgt die Löschung der zugeordneten Daten.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie ergänzend nach den Haftungsregelungen des Hauptvertrags (AGB). Im Verhältnis der Parteien haftet jede Partei für die von ihr zu vertretenden Verstöße.

§ 12 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.