Hinweis: Entwurfsfassung (vorläufig) — die anwaltliche Prüfung dieser Inhalte ist beauftragt und steht noch aus. Bei Fragen: [email protected].
Auftragsverarbeitungsvereinbarung (AVV)
Überblick
Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO
- Auftragnehmer (Auftragsverarbeiter)
- thepaulagency UG (haftungsbeschränkt)
Kaiser-Friedrich-Promenade 149
61352 Bad Homburg v. d. Höhe
Deutschland - Registergericht / Registernummer
- Amtsgericht Frankfurt am Main, HRB 132806
- Geschäftsführer
- Marlon Rolf Diebold
- [email protected]
- Auftraggeber (Verantwortlicher)
- Der jeweilige Geschäftskunde
Die Vereinbarung gliedert sich in §§ 1–12 sowie drei Anlagen: Anlage 1 (Technische und organisatorische Maßnahmen, TOMs), Anlage 2 (Genehmigte Unterauftragnehmer) und Anlage 3 (Speicherfristen / Löschkonzept).
Datenkategorien und betroffene Personen (§ 3 / § 4)
Gegenstand der Verarbeitung sind insbesondere Kommunikationsdaten: Audioaufnahmen der Telefonate, Transkripte, Gesprächsprotokolle und Zeitstempel.
Betroffene Personen sind die Anrufer bzw. Endkunden des Auftraggebers, die mit dem Voice-Agent kommunizieren. Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden grundsätzlich nicht verarbeitet.
Genehmigte Unterauftragnehmer (Anlage 2)
Stand: 14.04.2026
| Unterauftragnehmer | Verarbeitungszweck | Standort | Drittland-Garantie |
|---|---|---|---|
| Hetzner Online GmbH | Server-Hosting, Datenbank, Backup, E-Mail (Mailcow) | Falkenstein, Deutschland | — (EU) |
| Nebius B.V. | LLM-basierte Gesprächsführung der Voice-Agents (Modell gpt-oss-120b) | EU (Finnland/Frankreich) | Intra-EU – kein Drittlandtransfer; CLOUD-Act-Restrisiko partiell |
| Deepgram, Inc. | Speech-to-Text (Spracherkennung) | USA | EU SCC (2021/914) |
| Gradium | Text-to-Speech (Sprachsynthese) | Region in Klärung (Failover: Piper, on-box) | Zu verifizieren |
| Telnyx LLC | Telefonie, SMS, WhatsApp-Routing | EU (Dublin) + USA | EU SCC (2021/914) + DPF |
| WAHA / WhatsApp (Meta) | Versand von Termin-/Reservierungs-Bestätigungen (self-hosted WAHA-Gateway → WhatsApp/Meta-Kette) | WAHA self-hosted (Region in Klärung); Meta: EU/USA | Zu verifizieren (WhatsApp-Business-AVV + DPF/SCC der Meta-Kette) |
| Stripe, Inc. | Zahlungsabwicklung (SEPA-Lastschrift) | EU (Tallinn, Estland) | — (EU) |
| Pipedrive OÜ | CRM-System (Kontakt-/Dealdaten) | EU + USA | EU SCC (2021/914) + DPF |
| Microsoft Corporation | Microsoft 365 (interne Kommunikation, Dokumente) | EU + USA | EU SCC (2021/914) |
Genehmigungsmodell gemäß § 6 der AVV: allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) mit 14-tägigem Widerspruchsrecht des Auftraggebers bei Änderungen der Unterauftragnehmer-Liste.
Drittlandtransfers
Für alle Unterauftragnehmer mit Sitz oder Datenverarbeitung in den USA werden die Standardvertragsklauseln der EU-Kommission gemäß Durchführungsbeschluss (EU) 2021/914 als Garantie gemäß Art. 46 Abs. 2 lit. c DSGVO eingesetzt. Ergänzend wird auf die Zertifizierung einzelner Anbieter unter dem EU-U.S. Data Privacy Framework (DPF) gemäß Art. 45 DSGVO zurückgegriffen, soweit zutreffend.
Speicherfristen und Löschung (Anlage 3)
Audioaufnahmen und Transkripte der Telefonate werden nach 30 Tagen gelöscht. Die vollständigen Speicherfristen und das Löschkonzept sind in Anlage 3 der AVV geregelt.