Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Verantwortlicher/Kunde

Die im Hauptvertrag, Bestellformular oder Kundenkonto bezeichnete juristische oder natürliche Person, nachfolgend „Kunde" genannt.

Auftragsverarbeiter

Voqel.AI GmbH, Franzstr. 51, 52064 Aachen, Deutschland, vertreten durch Carsten Heim und Lukas Heim, nachfolgend „VOQEL" genannt.

Vertragseinbeziehung

Dieser AVV ist Bestandteil des zwischen dem Kunden und VOQEL geschlossenen SaaS-Vertrags, Nutzungsvertrags oder sonstigen Hauptvertrags. Er gilt mit Abschluss des Hauptvertrags oder mit dessen wirksamer elektronischer Einbeziehung. Eine gesonderte Unterzeichnung dieses AVV ist nicht erforderlich.

1. Gegenstand und Anwendungsbereich

1.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten durch VOQEL im Auftrag des Kunden im Rahmen der Nutzung der VOQEL AI Voice Agent Platform. Er findet Anwendung, soweit VOQEL als Auftragsverarbeiter oder als weiterer Auftragsverarbeiter tätig wird.

1.2 Der Kunde ist für produktive KI-gestützte Telefonate grundsätzlich Verantwortlicher im Sinne der DSGVO. Ist der Kunde selbst als Auftragsverarbeiter für einen Dritten tätig, versichert er, dass er zur Beauftragung von VOQEL und zur Erteilung der erforderlichen Weisungen berechtigt ist.

1.3 Im Rahmen der Accountverwaltung, Vertragsabwicklung, Abrechnung, eigener Vertriebsprozesse und der direkten Kommunikation mit Ansprechpartnern des Kunden kann VOQEL selbst Verantwortlicher im Sinne der DSGVO sein. Diese Verarbeitungen sind nicht Gegenstand dieses AVV.

1.4 Die Einzelheiten der Auftragsverarbeitung ergeben sich aus Anlage 1. Der Hauptvertrag regelt die geschuldeten Leistungen, Funktionen und die Vergütung.

2. Weisungen und Verantwortlichkeit des Kunden

2.1 VOQEL verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden. Dies gilt auch für Übermittlungen in Drittländer, soweit VOQEL nicht durch eine gesetzliche Vorschrift zu einer Verarbeitung verpflichtet ist. Besteht eine solche gesetzliche Verpflichtung, informiert VOQEL den Kunden vor der Verarbeitung über diese Verpflichtung, sofern das anwendbare Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Der Hauptvertrag, dieser AVV, die vom Kunden vorgenommenen Konfigurationen innerhalb der Plattform und dokumentierte Mitteilungen des Kunden an VOQEL gelten als anfängliche Weisungen.

2.2 Ergänzende Weisungen können über die hierfür vorgesehenen Funktionen der Plattform oder in Textform an VOQEL erteilt werden. Führt eine Weisung zu einer wesentlichen Änderung des vereinbarten Leistungsumfangs oder zu zusätzlichem Aufwand, stimmen die Parteien die Umsetzung und gegebenenfalls anfallende zusätzliche Kosten vorab miteinander ab.

2.3 Hält VOQEL eine Weisung des Kunden für datenschutzrechtlich unzulässig, informiert VOQEL den Kunden unverzüglich. VOQEL ist berechtigt, die Umsetzung der betroffenen Weisung auszusetzen, bis die Weisung entsprechend geändert oder deren Rechtmäßigkeit geklärt ist.

2.4 Der Kunde bleibt insbesondere für die Rechtmäßigkeit der Erhebung und Nutzung der Auftragsdaten verantwortlich:

• Dies umfasst die Festlegung zulässiger Verarbeitungszwecke und geeigneter Rechtsgrundlagen.
• Der Kunde ist ferner für die Erfüllung der Informationspflichten gegenüber Gesprächspartnern verantwortlich. Hierzu gehört auch der erforderliche Hinweis auf die Interaktion mit einem KI-System.
• Der Kunde ist für die Einholung und Dokumentation einer erforderlichen Einwilligung verantwortlich, bevor eine Audioaufzeichnung aktiviert wird.
• Der Kunde legt angemessene Speicherfristen im Rahmen der technisch verfügbaren Konfigurationsmöglichkeiten fest.
• Der Kunde ist für die ordnungsgemäße Berechtigung seiner Nutzer und für die Vertraulichkeit der von ihm vergebenen Zugangsdaten verantwortlich.
• Soweit automatisierte Entscheidungen durch eine entsprechende Konfiguration ermöglicht werden, trägt der Kunde die Verantwortung für deren datenschutzrechtliche Zulässigkeit.

2.5 Die Plattform ist nicht für die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt. Beabsichtigt der Kunde eine systematische Verarbeitung solcher Daten, hat er VOQEL vor Beginn der Verarbeitung zu informieren. Der Kunde stellt in diesem Fall sicher, dass eine erforderliche Rechtsgrundlage besteht und die erforderlichen zusätzlichen Schutzmaßnahmen getroffen werden. Sensible Informationen, die im Rahmen eines Gesprächs unbeabsichtigt übermittelt werden, unterliegen weiterhin den allgemeinen Schutzpflichten dieses AVV.

3. Pflichten von VOQEL

3.1 VOQEL verarbeitet Auftragsdaten ausschließlich zur Bereitstellung, Absicherung, Wartung und vertragsgemäßen Weiterentwicklung der beauftragten Plattformfunktionen sowie auf Grundlage der dokumentierten Weisungen des Kunden.

3.2 VOQEL stellt sicher, dass alle zur Verarbeitung von Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf Auftragsdaten wird auf den Umfang beschränkt, der zur Erfüllung der jeweiligen Aufgaben erforderlich ist.

3.3 VOQEL verwendet Auftragsdaten nicht zum Training eigener oder fremder KI-Modelle. VOQEL stellt Auftragsdaten auch nicht Dritten für Trainingszwecke zur Verfügung.

3.4 VOQEL führt die nach Art. 30 Abs. 2 DSGVO erforderlichen Verzeichnisse. VOQEL stellt dem Kunden die Informationen zur Verfügung, die dieser zur Erfüllung seiner datenschutzrechtlichen Nachweispflichten benötigt, soweit dies im Rahmen der Auftragsverarbeitung erforderlich und im angemessenen Umfang ist.

4. Technische und organisatorische Maßnahmen

4.1 VOQEL trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Bei der Festlegung und Umsetzung dieser Maßnahmen berücksichtigt VOQEL Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten betroffener Personen.

4.2 VOQEL ist berechtigt, die technischen und organisatorischen Maßnahmen während der Vertragslaufzeit weiterzuentwickeln oder durch andere geeignete Maßnahmen zu ersetzen. Voraussetzung ist, dass das vereinbarte Schutzniveau insgesamt nicht verringert wird.

4.3 Der Kunde prüft vor Beginn der Auftragsverarbeitung und während der Vertragslaufzeit, ob die von VOQEL getroffenen technischen und organisatorischen Maßnahmen für die von ihm vorgesehenen Verarbeitungsvorgänge und die damit verbundenen Risiken angemessen sind. Erkennt der Kunde besondere Risiken im Zusammenhang mit seinem konkreten Einsatz der Plattform, informiert er VOQEL darüber.

5. Unterstützung des Kunden

5.1 VOQEL unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der VOQEL zur Verfügung stehenden Informationen in angemessenem Umfang bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO.

5.2 Gehen bei VOQEL Anfragen betroffener Personen ein, die erkennbar Auftragsdaten eines Kunden betreffen, leitet VOQEL diese an den zuständigen Kunden weiter. VOQEL beantwortet solche Anfragen nur auf Weisung des Kunden, sofern keine gesetzliche Verpflichtung entgegensteht.

5.3 VOQEL unterstützt den Kunden durch die verfügbaren technischen Funktionen und durch angemessene zusätzliche Informationen bei der Erfüllung von Pflichten im Zusammenhang mit Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Entsteht hierbei ein zusätzlicher Aufwand, der über die vertraglich geschuldeten Leistungen hinausgeht, kann VOQEL diesen nach vorheriger Abstimmung mit dem Kunden berechnen, sofern VOQEL die Ursache des zusätzlichen Aufwands nicht zu vertreten hat.

5.4 VOQEL informiert den Kunden unverzüglich, nachdem VOQEL eine Verletzung des Schutzes von Auftragsdaten bekannt geworden ist. Die Mitteilung enthält die zu diesem Zeitpunkt verfügbaren Angaben zu Art und Umfang der Verletzung, zu möglichen Folgen, zu bereits ergriffenen oder vorgeschlagenen Maßnahmen und zu einer Kontaktmöglichkeit für Rückfragen. Soweit einzelne Informationen zunächst nicht vorliegen, können diese nachgereicht werden.

5.5 Die Prüfung und Erfüllung eigener Meldepflichten und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen obliegt dem Kunden.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt VOQEL die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. VOQEL verpflichtet die eingesetzten Unterauftragsverarbeiter vertraglich zur Einhaltung eines Datenschutz- und Sicherheitsniveaus, das den für den jeweiligen Unterauftragsverarbeiter relevanten Pflichten aus diesem AVV entspricht.

6.2 VOQEL informiert die betroffenen Kunden mindestens sieben Kalendertage vor dem erstmaligen Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters. Die Information erfolgt per E-Mail an die im Kundenkonto hinterlegte geschäftliche E-Mail-Adresse. Die Mitteilung enthält mindestens Angaben zum Anbieter, zu dessen Sitz, zu dessen Tätigkeit und zu einem möglichen Drittlandbezug.

6.3 Der Kunde kann dem Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters innerhalb der genannten Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien werden sich in diesem Fall um eine angemessene Lösung bemühen. Ist keine zumutbare Lösung möglich, kann VOQEL die von dem Einsatz betroffene Funktion einschränken. Jede Partei kann außerdem den hiervon betroffenen Leistungsteil nach Maßgabe des Hauptvertrags beenden.

6.4 Ist eine kurzfristige Änderung zwingend erforderlich, um eine konkrete Sicherheitsgefährdung abzuwehren, einen Dienstausfall zu vermeiden oder einer unmittelbar geltenden gesetzlichen Verpflichtung nachzukommen, kann VOQEL ausnahmsweise von der Vorankündigungsfrist abweichen. VOQEL informiert die betroffenen Kunden in diesem Fall unverzüglich und teilt die Gründe für die Dringlichkeit mit.

6.5 VOQEL bleibt gegenüber dem Kunden für die Erfüllung der datenschutzrechtlichen Pflichten der eingesetzten Unterauftragsverarbeiter verantwortlich. Weitere Unterauftragsverarbeiter der in Anlage 3 genannten Anbieter werden auf Grundlage der vertraglichen Unterauftragsverarbeiterregelungen dieser Anbieter einbezogen.

7. Drittlandübermittlungen

7.1 VOQEL verwendet für die produktive Sprachverarbeitung, KI-Verarbeitung und Infrastrukturverarbeitung EU-Regionen, soweit diese für den jeweiligen Dienst verfügbar und konfigurierbar sind. Bei internationalen Anbietern können dennoch Drittlandbezüge bestehen, insbesondere im Zusammenhang mit Supportleistungen, Sicherheitsfunktionen, verbundenen Unternehmen oder weiteren Unterauftragsverarbeitern.

7.2 Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Abhängig vom jeweiligen Empfänger stützt VOQEL die Übermittlung insbesondere auf einen Angemessenheitsbeschluss. Dies umfasst bei entsprechend zertifizierten Empfängern auch das EU-US Data Privacy Framework. Soweit kein Angemessenheitsbeschluss vorliegt, stützt VOQEL die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission und trifft erforderlichenfalls ergänzende Schutzmaßnahmen.

7.3 VOQEL stellt dem Kunden auf Anfrage Informationen über die im konkreten Fall verwendeten Garantien zur Verfügung, soweit dem keine Rechte Dritter oder Vertraulichkeitspflichten entgegenstehen.

8. Rückgabe, Export und Löschung

8.1 Während der Vertragslaufzeit stellt VOQEL dem Kunden die von der Auftragsverarbeitung umfassten Daten auf Anfrage in einem gängigen und technisch verfügbaren Format zur Verfügung. Ein gewünschter Export sollte vom Kunden spätestens bis zum Ende des Hauptvertrags angefordert werden.

8.2 Der Kunde legt die fachlichen Speicherfristen innerhalb der von VOQEL technisch angebotenen Konfigurationsmöglichkeiten fest. Für Transkripte gilt derzeit eine technische Mindestfrist von sieben Tagen. Die Standardkonfiguration beträgt 90 Tage. Audioaufzeichnungen werden nur gespeichert, wenn die Aufnahmefunktion aktiviert ist. Die Standardfrist für Audioaufzeichnungen beträgt 90 Tage und kann vom Kunden im Rahmen der verfügbaren Konfigurationsmöglichkeiten angepasst werden.

8.3 Nach Beendigung des Hauptvertrags löscht VOQEL die nicht mehr erforderlichen Auftragsdaten innerhalb von 90 Tagen. Dies umfasst insbesondere produktive Gesprächsdaten, Knowledgebase-Daten und Konfigurationsdaten. Eine Löschung erfolgt nicht, soweit der Kunde zuvor die Rückgabe der betreffenden Daten verlangt hat oder gesetzliche Pflichten eine weitere Aufbewahrung erfordern.

8.4 In Sicherungskopien enthaltene Auftragsdaten werden bis zur planmäßigen Überschreibung der jeweiligen Sicherungskopie gegen eine produktive Nutzung gesperrt. Mit der planmäßigen Überschreibung werden diese Daten gelöscht. Soweit gesetzliche Aufbewahrungspflichten bestehen, werden die hiervon betroffenen Daten von der weiteren Verarbeitung getrennt und ausschließlich für den gesetzlich vorgesehenen Zweck gespeichert.

9. Nachweise und Kontrollen

9.1 VOQEL stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Verpflichtungen aus diesem AVV erforderlich sind. Kontrollen vor Ort sollen nur durchgeführt werden, wenn dokumentenbasierte Nachweise, geeignete Prüfberichte oder eine angemessene Prüfung aus der Ferne für den erforderlichen Nachweis nicht ausreichen.

9.2 Kontrollen sind grundsätzlich mindestens 14 Kalendertage im Voraus anzukündigen. Sie sind während der üblichen Geschäftszeiten durchzuführen und auf den für den jeweiligen Prüfzweck erforderlichen Umfang zu beschränken. Die Durchführung der Kontrolle darf die Sicherheit oder Vertraulichkeit der Verarbeitung und die Rechte anderer Kunden nicht beeinträchtigen. Bei einem konkreten Datenschutzvorfall oder aufgrund einer behördlichen Anordnung findet die Vorankündigungsfrist keine Anwendung.

9.3 Der Kunde trägt die angemessenen Kosten einer von ihm veranlassten Kontrolle, sofern im Rahmen der Kontrolle kein wesentlicher Verstoß von VOQEL gegen diesen AVV festgestellt wird. Gesetzliche Kontrollrechte und Kontrollbefugnisse der zuständigen Aufsichtsbehörden bleiben unberührt.

10. Laufzeit, Rangfolge und Schlussbestimmungen

10.1 Dieser AVV gilt für die Dauer des Hauptvertrags. Er gilt darüber hinaus fort, solange VOQEL Auftragsdaten verarbeitet oder aufgrund gesetzlicher oder vertraglicher Verpflichtungen aufzubewahren hat.

10.2 Bei Widersprüchen zwischen diesem AVV und anderen Bestandteilen des Vertragsverhältnisses gehen die Regelungen dieses AVV vor, soweit Fragen der Auftragsverarbeitung betroffen sind. Individuell in Textform vereinbarte und speziellere datenschutzrechtliche Regelungen gehen den Bestimmungen dieses AVV vor.

10.3 Die im Hauptvertrag vereinbarten Haftungsregelungen gelten auch für diesen AVV, soweit dies gesetzlich zulässig ist. Rechte betroffener Personen und zwingende gesetzliche Haftungsregelungen bleiben hiervon unberührt.

10.4 Im Übrigen gelten die Bestimmungen des Hauptvertrags. Dies gilt insbesondere für Regelungen zur Laufzeit, Kündigung, zum anwendbaren Recht und zum Gerichtsstand.

10.5 Datenschutzbezogene Mitteilungen an VOQEL können an datenschutz@voqel.ai gerichtet werden. Mitteilungen an den Kunden erfolgen an die im Hauptvertrag oder im Kundenkonto hinterlegte geschäftliche Kontaktadresse.

Anlage 1: Beschreibung der Auftragsverarbeitung

1. Gegenstand und Dauer

VOQEL stellt dem Kunden die VOQEL AI Voice Agent Platform zur Durchführung produktiver KI-gestützter Telefonate zur Verfügung. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Auftragsdaten, die nach Beendigung des Hauptvertrags nicht mehr erforderlich sind, werden innerhalb von 90 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht einer Löschung entgegensteht.

2. Art und Zweck der Verarbeitung

Abhängig von den durch den Kunden aktivierten Funktionen umfasst die Verarbeitung insbesondere.

• Entgegennahme und Durchführung von Telefonaten einschließlich Echtzeit-Audioübertragung, Spracherkennung und obligatorischer Transkription.
• Optionale Audioaufzeichnung sowie KI-gestützte Verarbeitung von Gesprächsinhalten und Erzeugung gesprochener Antworten.
• Verarbeitung kundenspezifischer Knowledgebase-Inhalte einschließlich Embeddings und darauf beruhender Kontextsuche.
• Verarbeitung von Terminangaben, Kontaktdaten und Adressdaten.
• Speicherung, Übertragung, Bereitstellung, Export, Einschränkung und Löschung von Auftragsdaten sowie vorübergehende Verarbeitung in technischen Warteschlangen.
• Administration, Protokollierung, Absicherung, Wartung, Fehleranalyse und vertragsgemäße Weiterentwicklung der Plattform.

Auftragsdaten werden nicht zum Training eigener oder fremder KI-Modelle verwendet.

3. Kategorien betroffener Personen

Zu den betroffenen Personen gehören insbesondere.

• Kunden und Interessenten des Kunden.
• Anrufer, angerufene Personen und sonstige Gesprächspartner.
• Ansprechpartner und Beschäftigte.
• Lieferanten und Dienstleister.
• Sonstige Personen, deren personenbezogene Daten der Kunde über die Plattform verarbeiten lässt.

4. Kategorien personenbezogener Daten

Je nach Nutzung der Plattform können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden.

• Stamm- und Kontaktdaten, insbesondere Namen, Telefonnummern, E-Mail-Adressen, Anschriften und Kundennummern.
• Stimmen, Audiodaten, Gesprächsinhalte, Transkripte und Angaben zu Terminwünschen.
• Knowledgebase-Inhalte sowie daraus erzeugte Embeddings und Vektorrepräsentationen.
• Konfigurationsdaten, Sitzungsdaten, Nutzungsdaten, Protokolldaten und sonstige technische Metadaten.
• Sonstige personenbezogene Informationen, die im Rahmen eines Gesprächs genannt oder vom Kunden für die Verarbeitung bereitgestellt werden.

5. Besondere Kategorien personenbezogener Daten

Die Plattform ist nicht für die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt. Solche Daten können jedoch im Einzelfall durch Gesprächsinhalte oder durch vom Kunden bereitgestellte Knowledgebase-Inhalte verarbeitet werden.

Beabsichtigt der Kunde eine systematische Verarbeitung besonderer Kategorien personenbezogener Daten, hat er VOQEL vor Beginn der Verarbeitung darüber zu informieren. Der Kunde stellt in diesem Fall sicher, dass eine geeignete Rechtsgrundlage besteht und die erforderlichen zusätzlichen Schutzmaßnahmen getroffen werden.

6. Speicher- und Löschregeln

Für die einzelnen Datenarten gelten folgende Speicher- und Löschregeln.

• Transkripte werden mindestens sieben Tage gespeichert, soweit diese Mindestfrist technisch erforderlich ist. Die Standardfrist beträgt 90 Tage. Der Kunde kann die Speicherfrist im Rahmen der verfügbaren Einstellungen anpassen.
• Audioaufzeichnungen werden nur gespeichert, wenn die Aufnahmefunktion aktiviert ist. Die Standardfrist beträgt 90 Tage. Der Kunde kann die Speicherfrist im Rahmen der verfügbaren Einstellungen anpassen.
• Daten in technischen Warteschlangen werden nur vorübergehend verarbeitet und spätestens nach sieben Tagen entfernt.
• Knowledgebase-Inhalte werden bis zur Löschung durch den Kunden oder bis zur Beendigung des Hauptvertrags gespeichert. Nach Beendigung des Hauptvertrags erfolgt die Löschung innerhalb der allgemeinen Frist von 90 Tagen.
• In Sicherungskopien enthaltene Auftragsdaten werden bis zur planmäßigen Überschreibung gegen eine produktive Nutzung gesperrt und anschließend gelöscht.

VOQEL stellt dem Kunden die Auftragsdaten auf Anfrage in einem gängigen und technisch verfügbaren Format zur Verfügung.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

VOQEL trifft unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für die Rechte und Freiheiten betroffener Personen insbesondere die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.

1. Vertraulichkeit und Zugriffskontrolle

• Alle Personen, die zur Verarbeitung von Auftragsdaten befugt sind, werden zur Vertraulichkeit verpflichtet.
• Zugriffsrechte werden rollenbasiert und nach dem Erforderlichkeitsprinzip vergeben. Dabei erhalten Nutzer nur die Rechte, die sie für ihre jeweilige Tätigkeit benötigen.
• Administrative Zugänge werden durch Mehrfaktor-Authentifizierung geschützt.
• Bestehende Zugriffsrechte werden regelmäßig überprüft. Nicht mehr erforderliche Berechtigungen werden angepasst oder entzogen.
• Administrative und sicherheitsrelevante Zugriffe werden protokolliert.

2. Schutz von Daten und Übertragungswegen

• Datenübertragungen erfolgen verschlüsselt mittels TLS. Verwendete Schnittstellen werden angemessen abgesichert.
• Gespeicherte Daten und Sicherungskopien werden verschlüsselt.
• Zugangsdaten und sicherheitsrelevante Konfigurationen werden geschützt verwaltet.

3. Mandantentrennung und Datenminimierung

• Daten verschiedener Kunden werden logisch voneinander getrennt und dem jeweiligen Mandanten oder der jeweiligen Organisation zugeordnet.
• Berechtigungsprüfungen stellen sicher, dass Nutzer nur auf Daten des jeweils zugeordneten Kunden zugreifen können.
• Entwicklungszugänge, Testzugänge und Produktivzugänge werden voneinander getrennt, soweit dies erforderlich ist.
• Zugriffe auf Produktivsysteme und die Verarbeitung produktiver Daten werden auf das jeweils erforderliche Maß beschränkt.

4. Verfügbarkeit und Wiederherstellung

• VOQEL erstellt regelmäßig verschlüsselte Sicherungskopien und überprüft deren Wiederherstellbarkeit.
• Für technische Störungen und Ausfälle bestehen Maßnahmen zur Wiederaufnahme des Betriebs.
• Die eingesetzten Systeme werden durch angemessene technische und organisatorische Maßnahmen auf Verfügbarkeit und Belastbarkeit ausgelegt.

5. Sicherheitsmanagement

• VOQEL unterhält geregelte Prozesse für Patchmanagement und Schwachstellenmanagement. Sicherheitsrelevante Änderungen werden angemessen geprüft.
• Sicherheitsrelevante Auffälligkeiten werden erfasst und ausgewertet.
• Für Datenschutzvorfälle und Sicherheitsvorfälle besteht ein dokumentierter Prozess zur Bewertung, Eindämmung, Behebung und Kommunikation.
• Die Wirksamkeit der eingesetzten Schutzmaßnahmen wird regelmäßig und bei entsprechendem Anlass überprüft.

6. Löschung und Speicherbegrenzung

• Daten werden nach den festgelegten Fristen automatisiert gelöscht. Soweit produktseitig vorgesehen, können Speicherfristen durch den Kunden konfiguriert werden.
• Daten in Sicherungskopien werden bis zur planmäßigen Überschreibung gegen eine produktive Nutzung gesperrt.
• Für den Export und die Löschung von Auftragsdaten nach Beendigung des Vertragsverhältnisses bestehen geregelte Verfahren.

7. Dienstleisterkontrolle

• Eingesetzte Unterauftragsverarbeiter werden datenschutzrechtlich geprüft und vertraglich zu den erforderlichen Datenschutz- und Sicherheitsmaßnahmen verpflichtet.
• Für die produktive Verarbeitung werden EU-Regionen genutzt, soweit diese für den jeweiligen Dienst verfügbar und konfigurierbar sind.
• Die eingesetzten Schutzmaßnahmen und Dienstleister werden regelmäßig überprüft.

VOQEL kann einzelne technische und organisatorische Maßnahmen weiterentwickeln oder durch gleichwertige Maßnahmen ersetzen, sofern das Schutzniveau insgesamt nicht verringert wird.

Anlage 3: Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der nachfolgend genannten Anbieter nach Maßgabe von Ziffer 6 des AVV. Die Verarbeitung erfolgt in den jeweils angegebenen Regionen, soweit der betreffende Dienst dies ermöglicht und entsprechend konfiguriert ist. Soweit ein Drittlandbezug besteht oder nicht ausgeschlossen werden kann, erfolgt die Absicherung nach Maßgabe von Ziffer 7 des AVV.

Hinweis zur Vertragsgesellschaft

Maßgeblich ist jeweils die Vertragsgesellschaft, die im aktuellen Anbieter-Konto, Bestellformular oder Einzelvertrag von VOQEL ausgewiesen ist. Weicht die dort genannte Vertragsgesellschaft von den vorstehenden Angaben ab, informiert VOQEL den Kunden im Rahmen der Änderungsmitteilung nach Ziffer 6.2 des AVV.

Weitere Unterauftragsverarbeiter der genannten Anbieter werden nach den jeweiligen vertraglichen Regelungen dieser Anbieter einbezogen. Änderungen dieser Liste unterliegen der vereinbarten Vorabinformation von mindestens sieben Kalendertagen. Die Regelung für dringliche Änderungen nach Ziffer 6.4 des AVV bleibt unberührt.