Auftragsverarbeitungsvertrag
Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil des Vertrags über die Nutzung von «Answify» zwischen der Frascati GmbH mit Sitz in Oberwil BL, Geschäftsadresse Binningerstrasse 95, 4123 Allschwil BL, Schweiz (nachfolgend «Auftragsbearbeiterin»), und Ihnen als Kundin oder Kunde von Answify (nachfolgend «Verantwortlicher»). Er regelt die Bearbeitung von Personendaten Ihrer Endkundinnen und Endkunden durch die Auftragsbearbeiterin und setzt Art. 9 des Schweizer Datenschutzgesetzes (DSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO) um. Er gilt ab der Eröffnung des Kontos, also auch während der Testphase.
1. Gegenstand und Dauer
Die Auftragsbearbeiterin bearbeitet die in Anhang 1 beschriebenen Personendaten, um Answify für den Verantwortlichen bereitzustellen. Dieser AVV gilt, solange sie Personendaten für den Verantwortlichen bearbeitet, also für die Dauer des Vertrags und bis zur Löschung nach Abschnitt 12.
2. Weisungen
Die Auftragsbearbeiterin bearbeitet die Personendaten nur auf dokumentierte Weisung des Verantwortlichen, auch was die Übermittlung ins Ausland betrifft. Die Weisungen ergeben sich aus dem Vertrag, aus den Einstellungen, die der Verantwortliche in Answify vornimmt, etwa Regeln, Vorlagen und Kontakte, und aus weiteren Weisungen in Textform. Verpflichtet sie zwingendes Recht zu einer anderen Bearbeitung, teilt sie dies dem Verantwortlichen vorher mit, soweit das Recht es nicht verbietet. Hält sie eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis er die Weisung bestätigt oder ändert.
3. Pflichten der Auftragsbearbeiterin
Die Auftragsbearbeiterin:
- bearbeitet die Personendaten nur für die Zwecke dieses Vertrags und nicht für eigene Zwecke, weder für Werbung noch zum Trainieren von KI-Modellen,
- verpflichtet alle Personen, die Zugriff auf die Daten haben, in Textform zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Schweigepflicht unterliegen,
- trifft die technischen und organisatorischen Massnahmen nach Anhang 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken,
- unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Abschnitt 10) und bei seinen Pflichten zur Datensicherheit, zur Meldung von Verletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde, soweit ihr die nötigen Informationen vorliegen,
- führt ein Verzeichnis ihrer Bearbeitungstätigkeiten, soweit das Gesetz es verlangt,
- gibt dem Verantwortlichen die Informationen, die er zum Nachweis der Einhaltung dieses AVV braucht (Abschnitt 11).
4. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmässigkeit der Bearbeitung verantwortlich. Er entscheidet, welche Regeln für automatische Nachrichten laufen, gibt die Vorlagen frei, stellt sicher, dass er die Endkundinnen und Endkunden auf diesem Weg kontaktieren darf, holt nötige Einwilligungen ein und informiert die betroffenen Personen über die Bearbeitung, auch darüber, dass er die Auftragsbearbeiterin einsetzt. Er beachtet die Pflichten zu Nachrichten an Endkundinnen und Endkunden nach Abschnitt 13 der AGB. Besonders schützenswerte Personendaten, etwa Angaben zur Gesundheit, erfasst er nur, soweit es für den Zweck nötig ist, und schreibt sie nicht in Vorlagen für automatische Nachrichten. Stellt er Fehler oder Unregelmässigkeiten bei der Bearbeitung fest, informiert er die Auftragsbearbeiterin unverzüglich.
5. Automatische Nachrichten, Bewertungsanfragen und KI-Mitarbeiter
Die Auftragsbearbeiterin versendet automatische Nachrichten im Namen des Verantwortlichen nur nach den Regeln, die in seinem Konto eingeschaltet sind, und mit den Vorlagen, die dort freigegeben sind. Regeln und Vorlagen ab Werk kann der Verantwortliche jederzeit ändern oder ausschalten. Eine Nachfass-Folge endet, sobald die Endkundin oder der Endkunde antwortet. Jede automatische Nachricht enthält einen Hinweis, wie weitere Nachrichten abgelehnt werden können: bei SMS von einer Nummer mit der Antwort «STOP» oder über einen Abmeldelink, sonst über den Abmeldelink. Nach einer Abmeldung gehen an diesen Kontakt keine automatischen Nachrichten des Verantwortlichen mehr.
Bitten um eine Bewertung versendet die Auftragsbearbeiterin nur zu Aufträgen, die der Verantwortliche nach dem Einschalten dieser Regel als erledigt markiert. Sie gehen an alle Kundinnen und Kunden dieser Aufträge, ohne Vorauswahl nach vermuteter Zufriedenheit, mit höchstens einer Erinnerung, wenn der Link nach drei Tagen nicht geöffnet wurde. An persönliche Links, die der Verantwortliche selbst erstellt und schickt, erinnert sie nicht.
Den KI-Mitarbeiter am Telefon setzt die Auftragsbearbeiterin nur ein, wenn der Verantwortliche ihn in seinem Konto einschaltet; mit dem Einschalten weist er sie dazu an und genehmigt den Beizug von ElevenLabs nach Anhang 3. Der KI-Mitarbeiter nimmt nur Anrufe entgegen, die im Betrieb niemand annimmt, und sagt im ersten Satz, dass eine KI spricht und das Gespräch schriftlich festgehalten wird. Die Stimme wird in Echtzeit verarbeitet und nicht als Ton gespeichert. Die Auftragsbearbeiterin speichert Abschrift, Zusammenfassung und Dauer des Gesprächs sowie die aufgenommenen Angaben an der Anfrage des Verantwortlichen.
6. Berufsgeheimnis
Unterliegt der Verantwortliche einem Berufsgeheimnis, etwa als Arzt-, Zahnarzt- oder Physiotherapiepraxis, wahrt die Auftragsbearbeiterin die Geheimnisse, die ihr dabei bekannt werden, als an seiner Tätigkeit mitwirkende Person. Sie nimmt von ihnen nur Kenntnis, soweit es für ihre Leistung nötig ist, und verpflichtet die Personen und Unterauftragsverarbeiter, die sie beizieht, zur Geheimhaltung. Ihr ist bekannt, dass die Verletzung eines Berufsgeheimnisses strafbar sein kann, namentlich nach Art. 321 des Schweizerischen Strafgesetzbuchs und § 203 des deutschen Strafgesetzbuchs.
7. Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Beizug der Unterauftragsverarbeiter in Anhang 3. Die Auftragsbearbeiterin kündigt den Beizug oder Ersatz eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform an die E-Mail-Adresse der Inhaberin oder des Inhabers im Konto an und passt Anhang 3 an. Der Verantwortliche kann innert 14 Tagen nach der Ankündigung aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann er den Vertrag auf den Zeitpunkt des Wechsels kündigen. Muss ein Unterauftragsverarbeiter aus dringenden Gründen der Sicherheit oder des Betriebs kurzfristig ersetzt werden, informiert die Auftragsbearbeiterin unverzüglich; Widerspruch und Kündigung sind dann ebenso möglich.
Kapso und Meta (WhatsApp) zieht die Auftragsbearbeiterin nur bei, wenn der Verantwortliche WhatsApp in Answify verbindet; mit dem Verbinden weist er sie dazu an. Dabei nimmt er zudem die Bedingungen von Meta für WhatsApp Business an.
ElevenLabs zieht die Auftragsbearbeiterin nur bei, wenn der Verantwortliche den KI-Mitarbeiter am Telefon einschaltet (Abschnitt 5).
Google und Microsoft zieht die Auftragsbearbeiterin nur bei, wenn der Verantwortliche oder eine Person seines Teams einen Kalender oder das Google-Unternehmensprofil in Answify verbindet; mit dem Verbinden weist er sie an, Termine mit den Angaben der Endkundinnen und Endkunden in diesen Kalender zu schreiben, belegte Zeiten daraus zu lesen, Rezensionen des Profils zu laden und die Antworten zu veröffentlichen, die sein Team abschickt. Für das verbundene Konto bei Google oder Microsoft gelten zudem deren Bedingungen.
Beantragt der Verantwortliche eine Answify-Nummer aus Deutschland oder Österreich, gibt die Auftragsbearbeiterin die Angaben und Unterlagen, die er dafür hochlädt (Firma, Adresse im Gebiet der Vorwahl, Register- oder Steuernummer, Name und Kontakt der Person, die ihn vertritt, Registerauszug, Gewerbeanmeldung, Schreiben des Finanzamts, Ausweis), direkt an Twilio als Empfänger weiter: Die Vorgaben der Bundesnetzagentur und der RTR verlangen für solche Nummern einen Nachweis von Firma und Standort, den Twilio vor der Vergabe prüft. Diese Angaben betreffen den Verantwortlichen und die Person, die ihn vertritt, nicht seine Endkundinnen und Endkunden; die Auftragsbearbeiterin bearbeitet sie als Verantwortliche nach ihrer Datenschutzerklärung (Abschnitt 4 dort). Sie speichert keine Kopie, nur Dateiname, Art, Stand der Prüfung und die Kennungen bei Twilio. Twilio bewahrt die Unterlagen auf, solange die Nummer besteht, und danach, soweit Twilio sie für gesetzliche Pflichten, zur Abwehr von Betrug oder aus Sicherheitsgründen braucht. Bis Twilio den Antrag freigibt, kann der Verantwortliche ihn in Answify zurückziehen, danach auf Verlangen in Textform; die Auftragsbearbeiterin gibt eine eingerichtete Nummer dann zurück und lässt die Angaben und Unterlagen bei Twilio löschen, soweit Twilio das zulässt. Sobald über die neue Nummer der erste Anruf angekommen ist, gibt sie die bisherige Schweizer Answify-Nummer des Verantwortlichen zurück und teilt ihm das per E-Mail mit.
Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht, und bleibt gegenüber dem Verantwortlichen für ihn verantwortlich. Die Unterauftragsverarbeiter setzen ihrerseits Dienstleister ein; deren Listen sind in Anhang 3 verlinkt.
8. Übermittlung ins Ausland
Die Auftragsbearbeiterin gibt Personendaten nur in Staaten bekannt, für die der Bundesrat und, für Daten aus der EU, die Europäische Kommission einen angemessenen Datenschutz festgestellt haben, oder gestützt auf geeignete Garantien, insbesondere die Standardvertragsklauseln der EU mit den Anpassungen für die Schweiz. Für Empfänger in den USA gilt der angemessene Schutz, soweit sie unter dem Data Privacy Framework zertifiziert sind. Die Grundlage je Unterauftragsverarbeiter steht in Anhang 3.
9. Verletzungen der Datensicherheit
Die Auftragsbearbeiterin meldet dem Verantwortlichen eine Verletzung der Datensicherheit, die seine Daten betrifft, unverzüglich, spätestens 48 Stunden nachdem sie davon Kenntnis erhalten hat. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen. Fehlende Angaben reicht sie nach, sobald sie vorliegen. Sie ergreift unverzüglich die nötigen Massnahmen, um die Daten zu sichern und nachteilige Folgen zu mindern.
10. Anfragen betroffener Personen
Wendet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet diese die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nur mit einem Hinweis auf den Verantwortlichen. Abmeldungen mit «STOP» oder über den Abmeldelink setzt Answify automatisch um. Weisungen zur Berichtigung, Löschung oder Herausgabe einzelner Daten, die der Verantwortliche nicht selbst in Answify vornehmen kann, setzt die Auftragsbearbeiterin innert zehn Tagen um.
11. Nachweise und Kontrollen
Die Auftragsbearbeiterin gibt dem Verantwortlichen auf Anfrage die Auskünfte und Unterlagen, die er zum Nachweis der Einhaltung dieses AVV braucht. Eine Kontrolle vor Ort durch den Verantwortlichen oder eine von ihm beauftragte, zur Verschwiegenheit verpflichtete Prüfperson kündigt er mindestens 30 Tage im Voraus an. Sie findet zu Geschäftszeiten und höchstens einmal im Kalenderjahr statt, ausser nach einer Verletzung der Datensicherheit oder auf Anordnung einer Behörde. Jede Partei trägt ihre eigenen Kosten; für weitere Kontrollen kann die Auftragsbearbeiterin ihren Aufwand angemessen verrechnen. Die Rechte der Aufsichtsbehörden bleiben vorbehalten.
12. Löschung und Rückgabe nach Vertragsende
Nach Vertragsende gibt die Auftragsbearbeiterin dem Verantwortlichen auf Verlangen, das er bis 30 Tage nach Vertragsende in Textform stellt, einen Export seiner Kontakte und Anfragen in einem gängigen Dateiformat. Spätestens 60 Tage nach Vertragsende löscht sie sämtliche Personendaten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Konten, für die nach der Testphase kein Paket gewählt wird, löscht sie 90 Tage nach dem Ende der Testphase. Löscht der Verantwortliche sein Konto selbst, sind die Daten sofort gelöscht. In den täglichen Sicherungen bleiben gelöschte Daten noch bis zu sieben Tage erhalten; bei den Unterauftragsverarbeitern gelten die Fristen in Anhang 3. Auf Verlangen bestätigt die Auftragsbearbeiterin die Löschung in Textform.
13. Haftung
Die Haftung der Parteien im Verhältnis zueinander richtet sich nach den AGB. Die Haftung gegenüber betroffenen Personen nach zwingendem Recht, etwa nach Art. 82 DSGVO, bleibt unberührt.
14. Rangfolge, Recht und Form
Widersprechen sich dieser AVV und die AGB in Bezug auf Personendaten, geht dieser AVV vor. Für diesen AVV gelten dasselbe Recht und derselbe Gerichtsstand wie für die AGB; zwingende Bestimmungen der DSGVO bleiben vorbehalten. Der AVV liegt in deutscher Sprache vor und wird mit der Eröffnung des Kontos in elektronischer Form geschlossen.
Anhang 1: Gegenstand, Art und Zweck der Bearbeitung
Gegenstand und Dauer: Bereitstellung von Answify für den Verantwortlichen, für die Dauer des Vertrags und bis zur Löschung nach Abschnitt 12.
Art und Zweck: Entgegennahme und Bündelung von Anfragen in einer Inbox, namentlich umgeleitete Anrufe auf die Answify-Nummer mit den Anrufdaten, eingehende SMS, Anfragen aus dem Formular für die Website des Verantwortlichen und Buchungen über seine Buchungsseite; hat der Verantwortliche seine WhatsApp-Business-Nummer verbunden, auch eingehende WhatsApp-Nachrichten. Rückmeldung per SMS direkt nach einem verpassten Anruf und Nachfrage ab 5 Minuten ohne Antwort; Nachfassen nach einem und nach sieben Tagen und eine Aufgabe «Anrufen» für das Büro nach drei Tagen; Erinnerung am Vorabend eines bestätigten Termins; Bitte um eine Google-Bewertung nach einem Auftrag, der nach dem Einschalten dieser Regel als erledigt markiert wurde, mit höchstens einer Erinnerung. Automatische Nachrichten gehen per SMS oder, wenn der Verantwortliche es so einstellt, per E-Mail. Hat der Verantwortliche oder eine Person seines Teams einen Kalender bei Google oder Microsoft verbunden, nimmt Answify belegte Zeiten (nur Beginn und Ende) von der Buchungsseite und trägt Termine in diesen Kalender ein; bei verbundenem Google-Unternehmensprofil lädt Answify dessen Rezensionen und veröffentlicht die Antworten des Teams. Dazu kommen Antworten des Teams per SMS oder, bei verbundenem WhatsApp, per WhatsApp aus der Inbox, die Verwaltung von Kontakten mit Import und Export, E-Mail-Benachrichtigungen an das Team, Auswertungen und Monatsbericht sowie die Abmelde- und die Bewertungsseite für Endkundinnen und Endkunden. Gespräche werden nicht aufgezeichnet und Audio wird nicht gespeichert. Hat der Verantwortliche den KI-Mitarbeiter am Telefon eingeschaltet, nimmt dieser Anrufe entgegen, die im Betrieb niemand annimmt, verarbeitet dafür die Stimme in Echtzeit, erstellt Abschrift und Zusammenfassung des Gesprächs und legt mit den genannten Angaben eine Anfrage an; Notfälle meldet er dem Team.
Betroffene Personen: Endkundinnen und Endkunden sowie Interessentinnen und Interessenten des Verantwortlichen, die ihn anrufen, ihm eine SMS oder WhatsApp schreiben, sein Website-Formular oder seine Buchungsseite nutzen oder die er selbst in Answify erfasst oder importiert; bei verbundenem Google-Unternehmensprofil Personen, die ihn bei Google bewerten; Mitglieder seines Teams, soweit ihre Namen mit Anfragen, Terminen oder Nachrichten verknüpft sind.
Datenkategorien: Name, Telefonnummer, E-Mail-Adresse, Adresse, Anliegen und Beschreibung, Inhalte und Zustellstatus von Nachrichten, Anrufdaten (Nummer, Zeitpunkt, Dauer, Status der Weiterleitung), Termine, Notizen und Zuweisungen, Angaben zu Bewertungsanfragen (gesendet, geöffnet) und Abmeldungen, bei eingeschaltetem KI-Mitarbeiter die Stimme der Anrufenden (nur in Echtzeit verarbeitet, nicht gespeichert) sowie Abschrift und Zusammenfassung des Gesprächs, bei verbundenem Google-Unternehmensprofil Rezensionen mit angezeigtem Namen, Sternen, Text und Antwort. Besonders schützenswerte Personendaten sind nicht vorgesehen; sie können anfallen, wenn Endkundinnen und Endkunden sie selbst mitteilen oder eine Praxis Answify nutzt.
Aufbewahrung: Während des Vertrags bestimmt der Verantwortliche, welche Daten gespeichert bleiben; Löschungen, die er nicht selbst vornehmen kann, erledigt die Auftragsbearbeiterin nach Abschnitt 10. Nach Vertragsende gilt Abschnitt 12.
Anhang 2: Technische und organisatorische Massnahmen
Die Auftragsbearbeiterin trifft folgende Massnahmen (Stand 23. September 2026):
- Übertragung: Website und Applikation sind nur über HTTPS mit TLS erreichbar.
- Speicherung: Die Datenbank liegt bei Supabase im Tarif Pro in der Region Zürich, Schweiz. Datenträger und Sicherungen sind im Ruhezustand mit AES-256 verschlüsselt. Supabase erstellt täglich eine Sicherung; verfügbar sind die Sicherungen der letzten sieben Tage.
- Trennung der Betriebe: Alle Daten sind einem Betrieb zugeordnet. Row Level Security in der Datenbank beschränkt den Zugriff auf die Mitglieder des jeweiligen Betriebs; die Rollen Inhaber, Büro und Monteur regeln, wer was ändern darf.
- Anmeldung: Ein Konto ist erst nach Bestätigung der E-Mail-Adresse nutzbar. Passwörter haben mindestens acht Zeichen.
- Schlüssel: Dienste-Schlüssel mit erweiterten Rechten werden nur auf dem Server verwendet und nie an den Browser gegeben. Zugänge zu verbundenen Konten bei Google und Microsoft liegen mit AES-256-GCM verschlüsselt in der Datenbank; der Schlüssel liegt nur auf dem Server.
- Verwaltung: Der Adminbereich der Auftragsbearbeiterin ist nur für bestätigte E-Mail-Adressen auf einer festen Liste zugänglich.
- Schnittstellen: Eingehende Webhooks von Twilio, Stripe, Kapso und ElevenLabs werden anhand ihrer Signatur geprüft. Die Werkzeuge des KI-Mitarbeiters schreiben nur mit einem Schlüssel, der für ein einzelnes laufendes Gespräch gilt. Zeitgesteuerte Abläufe laufen nur mit einem geheimen Schlüssel.
- Formulare: Das Website-Formular ist gegen Spam geschützt und speichert für die Mengenbegrenzung statt der IP-Adresse einen Hashwert, der nach zwei Tagen gelöscht wird.
- Löschung: Nutzerinnen und Nutzer können ihr Konto selbst löschen. Ist die Person allein im Betrieb, werden der Betrieb und alle zugehörigen Daten mitgelöscht.
- Datensparsamkeit: Keine Aufzeichnung von Gesprächen und keine gespeicherte Tonaufnahme, auch nicht beim KI-Mitarbeiter: Bei ElevenLabs ist die Tonaufnahme ausgeschaltet und die Aufbewahrung auf die kürzeste Frist gestellt. Keine Analyse- oder Tracking-Werkzeuge.
- Personal: Personen mit Zugriff auf Personendaten sind zur Vertraulichkeit verpflichtet.
Anhang 3: Unterauftragsverarbeiter
Supabase Pte. Ltd., Singapur
- Leistung
- Datenbank, Anmeldung
- Ort der Daten
- Datenbank in Zürich, Schweiz (AWS, eu-central-2); Sicherungen, Protokolle und Zugriffe für Betrieb und Support auch ausserhalb der Schweiz möglich
- Grundlage der Übermittlung
- Standardvertragsklauseln der EU (Modul 2) mit Ergänzung für die Schweiz
- Weitere Dienstleister
- Liste
Vercel Inc., USA
- Leistung
- Hosting, Serverfunktionen
- Ort der Daten
- Serverfunktionen in Frankfurt, Deutschland (fra1); Auslieferung über ein weltweites Netz; Bearbeitung hauptsächlich in den USA
- Grundlage der Übermittlung
- EU-US und Swiss-US Data Privacy Framework, Standardvertragsklauseln
- Weitere Dienstleister
- Liste
Twilio Ireland Limited, Irland, mit Twilio Inc., USA
- Leistung
- Telefonnummern, Anrufe, SMS
- Ort der Daten
- USA (Region US1)
- Grundlage der Übermittlung
- EU-US und Swiss-US Data Privacy Framework, verbindliche unternehmensinterne Datenschutzvorschriften, Standardvertragsklauseln
- Weitere Dienstleister
- Liste
Plus Five Five, Inc. (Resend), USA
- Leistung
- Versand von E-Mails
- Ort der Daten
- Versand über Irland (AWS, eu-west-1); gespeicherte Daten in den USA
- Grundlage der Übermittlung
- Standardvertragsklauseln (Modul 2) mit Anpassungen für die Schweiz; für Daten aus der EU zudem EU-US Data Privacy Framework
- Weitere Dienstleister
- Liste
Kapso, Inc., USA, mit Kapso SpA, Chile
- Leistung
- Anbindung an WhatsApp, nur wenn der Verantwortliche WhatsApp verbindet
- Ort der Daten
- USA und Chile
- Grundlage der Übermittlung
- Standardvertragsklauseln der EU (Modul 3) mit Anpassungen für die Schweiz
- Weitere Dienstleister
- Liste
WhatsApp Ireland Limited, Irland, mit Meta Platforms, Inc., USA
- Leistung
- WhatsApp Business Platform, nur wenn der Verantwortliche WhatsApp verbindet
- Ort der Daten
- Rechenzentren von Meta, auch in den USA
- Grundlage der Übermittlung
- Standardvertragsklauseln (WhatsApp Business Data Transfer Addendum)
- Weitere Dienstleister
- Bedingungen
Eleven Labs Inc., USA
- Leistung
- KI-Mitarbeiter am Telefon, nur wenn der Verantwortliche ihn einschaltet: Sprache in Text, Sprachmodell, Sprachausgabe, Abschrift und Zusammenfassung
- Ort der Daten
- Speicherung in den USA; Verarbeitung auch in der EU oder in Singapur möglich; Sprachmodell über Google Cloud
- Grundlage der Übermittlung
- EU-US und Swiss-US Data Privacy Framework; ergänzend Standardvertragsklauseln (Modul 2 oder 3) mit Anpassungen für die Schweiz
- Weitere Dienstleister
- Liste
Google Ireland Limited, Irland, mit Google LLC, USA
- Leistung
- Kalender und Google-Unternehmensprofil, nur wenn der Verantwortliche oder sein Team sie verbindet
- Ort der Daten
- Rechenzentren von Google, auch in den USA
- Grundlage der Übermittlung
- EU-US und Swiss-US Data Privacy Framework, Standardvertragsklauseln
- Weitere Dienstleister
- Liste
Microsoft Ireland Operations Limited, Irland, mit Microsoft Corporation, USA
- Leistung
- Kalender (Microsoft 365, Outlook), nur wenn der Verantwortliche oder sein Team ihn verbindet
- Ort der Daten
- Rechenzentren von Microsoft, auch in den USA
- Grundlage der Übermittlung
- EU-US und Swiss-US Data Privacy Framework, Standardvertragsklauseln
- Weitere Dienstleister
- Liste
Aufbewahrung bei den Unterauftragsverarbeitern: Twilio speichert Nachrichten und Anrufdaten nach seinen Standardeinstellungen bis zu 13 Monate (Unterlagen für eine Nummer aus Deutschland oder Österreich nach Abschnitt 7), Resend E-Mail-Inhalte und Protokolle 30 Tage, Kapso WhatsApp-Nachrichten und Dateien 30 Tage, Meta WhatsApp-Nachrichten höchstens 30 Tage; ElevenLabs speichert keine Tonaufnahme und merkt Abschriften und Angaben nach dem Gespräch zur Löschung vor, in Sicherungskopien bleiben sie bis zu 30 Tage. Supabase hält tägliche Sicherungen sieben Tage vor.
Der Zahlungsdienstleister Stripe bearbeitet nur die Konto- und Abrechnungsdaten des Verantwortlichen, keine Daten seiner Endkundinnen und Endkunden, und ist deshalb kein Unterauftragsverarbeiter nach diesem AVV. Darüber informiert die Datenschutzerklärung.
Stand: 25. September 2026