Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 25. Oktober 2026

Diese Vereinbarung schließen der Kunde von Kesru als Verantwortlicher (im Folgenden Auftraggeber) und die Umbolement UG (haftungsbeschränkt), Ulmenweg 10, 85221 Dachau, Deutschland, als Auftragsverarbeiter (im Folgenden Auftragnehmer).

Falls zwischen Auftraggeber und Auftragnehmer nicht anders vereinbart, ist diese Auftragsverarbeitungsvereinbarung integraler Bestandteil der Allgemeinen Geschäftsbedingungen des Auftragnehmers, die unter kesru.de/agb abrufbar sind. Diese Vereinbarung gilt zwischen Auftraggeber und Auftragnehmer immer dann, wenn der Auftragnehmer im Rahmen der Bereitstellung seiner Dienste personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Der Auftraggeber schließt sie bei der Bestellung auf kesru.de/buchen ab. Sie wird mit dem Vertragsschluss Vertragsbestandteil, ohne dass es einer gesonderten Unterzeichnung bedarf. Auf Wunsch erhält der Auftraggeber eine vom Auftragnehmer unterschriebene Fassung.

1. Hintergrund und Spezifikation der Datenverarbeitung

1.1 Der Auftragnehmer bietet unter dem Namen Kesru folgende Leistungen an: Einrichten, Betreiben und Bereitstellen eines KI-Telefonassistenten, der für den Auftraggeber Anrufe führt.

1.2 Der Auftraggeber ist ein Unternehmen oder eine öffentliche Stelle, welche die Leistungen des Auftragnehmers in Anspruch nimmt.

1.3 Diese Auftragsverarbeitungsvereinbarung legt die Bedingungen für die Verarbeitung personenbezogener Daten durch den Auftragnehmer unter Billigung des Auftraggebers in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO) fest. Der Auftragnehmer handelt als Auftragsverarbeiter im Sinne der DSGVO.

2. Art, Zweck, Gegenstand und Rechtsgrundlage der Datenverarbeitung

2.1 Die Leistungen des Auftragnehmers sind in den Allgemeinen Geschäftsbedingungen des Auftragnehmers beschrieben, abrufbar unter kesru.de/agb.

2.2 Im Zuge der Leistungserbringung stellt der Auftraggeber dem Auftragnehmer die für die Leistungserbringung erforderlichen personenbezogenen Daten zur Verfügung, insbesondere über die Anrufe, die der KI-Telefonassistent für ihn führt, und über die Angaben, die er für die Einrichtung macht.

2.3 Die Verarbeitung personenbezogener Daten kann insbesondere durch Organisation, Ordnen, Speicherung sowie gegebenenfalls Anpassung oder Veränderung, Abfragen, Verknüpfung, Einschränkung, Löschen, Kombination, Kopieren, Ausblenden, Verbindung, Analyse, Lesen, Empfangen, Senden und Aktualisierung erfolgen, soweit dies jeweils für die Erbringung der vereinbarten Leistungen erforderlich ist.

2.4 Der Zweck der Verarbeitung besteht in der vertraglich festgelegten Leistungserbringung gegenüber dem Auftraggeber.

2.5 Der Auftragnehmer ist nicht verpflichtet, die Rechtmäßigkeit der zugrundeliegenden Datenverarbeitungen des Auftraggebers zu prüfen.

3. Betroffene personenbezogene Daten und Kategorien betroffener Personen

3.1 Im Rahmen der vereinbarten Leistungen können die personenbezogenen Daten verarbeitet werden, die für die Leistungserbringung erforderlich sind. Insbesondere können das die folgenden Daten sein:

Telefonnummern
Telefonie-Metadaten
Audio-Sprachdaten
Telefonkonversationsdaten
alle Daten, die die Gesprächsteilnehmer im Rahmen des Gesprächs mit der KI selbsttätig einbringen
Kontaktdaten
Konfigurationsdaten
KI-Prompts und andere KI-bezogene Informationen
Log-Daten

3.2 Von der Verarbeitung sind grundsätzlich alle für die Erbringung der vereinbarten Leistungen notwendigen besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) umfasst, insbesondere Gesundheitsdaten, soweit Anrufer sie im Gespräch nennen.

3.3 Von der Verarbeitung sind grundsätzlich alle für die Erbringung der vereinbarten Leistungen notwendigen Kategorien von Betroffenen erfasst. Insbesondere fallen darunter die folgenden Kategorien betroffener Personen:

Anrufer, etwa Kunden des Auftraggebers sowie Bürgerinnen und Bürger
Mitarbeiter des Auftraggebers
Partner des Auftraggebers
Lieferanten des Auftraggebers

3.4 Der Auftragnehmer führt im Rahmen der vereinbarten Leistungen keine Stimmidentifikation und keine Stimmverifikation durch. Er erstellt, speichert und vergleicht insbesondere keine Stimmprofile. Audio-Sprachdaten werden ausschließlich zur Sprachein- und -ausgabe sowie zur Transkription verarbeitet.

4. Bedingungen der Datenverarbeitung

4.1 Der Auftragnehmer verpflichtet sich, während der gesamten Leistungserbringung sämtliche Vorgaben der DSGVO einzuhalten.

4.2 Der Auftragnehmer verpflichtet sich, personenbezogene Daten nur auf schriftliche Anweisung in Form eines Vertrags mit dem Auftraggeber zu verarbeiten. Abweichungen von diesen Weisungen bedürfen der vorherigen schriftlichen Zustimmung des Auftraggebers.

4.3 Der Auftragnehmer verarbeitet die personenbezogenen Daten nach dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO und daher nur so weit, als dies zur Erbringung der vereinbarten Leistungen erforderlich ist.

4.4 Der Zugriff auf personenbezogene Daten des Auftraggebers wird ausschließlich jenen Personen erteilt, welche diesen Zugriff aufgrund vertraglicher oder gesetzlicher Bestimmungen benötigen.

4.5 Alle Personen aufseiten des Auftragnehmers, welche Zugriff auf personenbezogene Daten des Auftraggebers haben, sind zur Verschwiegenheit zu verpflichten. Die Verschwiegenheitspflicht bleibt auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Auftragnehmer bestehen.

4.6 Der Auftragnehmer ist verpflichtet, alle geeigneten, angemessenen und dem Stand der Technik entsprechenden technischen und organisatorischen Maßnahmen zu ergreifen und aufrechtzuerhalten, um die Verfügbarkeit, Vertraulichkeit und Integrität der personenbezogenen Daten zu gewährleisten. Die vereinbarten technischen und organisatorischen Maßnahmen stehen in Anlage 1, abrufbar unter kesru.de/toms.

4.7 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Verpflichtungen aus der DSGVO, insbesondere in Bezug auf die Rechte der betroffenen Personen.

4.8 Sofern gesetzliche Bestimmungen nicht entgegenstehen, wird der Auftragnehmer den Auftraggeber unverzüglich informieren, wenn er eine Information oder Mitteilung einer betroffenen Person, der Datenschutzaufsichtsbehörde oder einer sonstigen Behörde oder eines Dritten erhält und diese Information oder Mitteilung in unmittelbarem oder mittelbarem Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung steht.

4.9 Im Zusammenhang mit der beauftragten Datenverarbeitung wird der Auftragnehmer den Auftraggeber, soweit gesetzlich erforderlich, bei der Erstellung und Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten, bei der Durchführung der Datenschutz-Folgenabschätzung sowie gegebenenfalls bei vorherigen Konsultationen mit der Datenschutzaufsichtsbehörde im Sinne von Art. 36 DSGVO unterstützen und alle dafür notwendigen Angaben machen und Informationen erteilen.

4.10 Der Auftragnehmer hat den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, zu informieren, wenn die an ihn überlassenen personenbezogenen Daten unrechtmäßig verwendet wurden und/oder den Betroffenen Schaden droht. Er stellt dem Auftraggeber alle notwendigen Informationen zur Verfügung, damit der Auftraggeber seinen Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen nachkommen kann.

4.11 Jede Übermittlung von personenbezogenen Daten durch den Auftragnehmer an ein Drittland oder eine internationale Organisation erfolgt im Einklang mit dem Unions- oder nationalen Recht und muss insbesondere mit den Bestimmungen der DSGVO im Einklang stehen.

4.12 Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.

5. Unterauftragsverarbeiter

5.1 Der Auftragnehmer setzt für die Leistungserbringung die Unterauftragsverarbeiter ein, die in Anlage 2 stehen, abrufbar unter kesru.de/unterauftragsverarbeiter. Sie gelten mit Abschluss dieser Vereinbarung als genehmigt.

5.2 Durch die Nutzung von Unterauftragsverarbeitern kann eine Datenübertragung in Drittländer erfolgen. Der Auftragnehmer stellt sicher, dass bei einer Übermittlung personenbezogener Daten in Drittländer die Anforderungen der Art. 44 bis 49 DSGVO eingehalten werden, und informiert den Auftraggeber über die jeweils eingesetzten Garantien, etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss.

5.3 Zwischen dem Auftragnehmer und dem Unterauftragsverarbeiter muss ein Vertrag gemäß Art. 28 Abs. 4 DSGVO geschlossen werden. Der Unterauftrag muss den datenschutzrechtlichen Bestimmungen im selben Umfang Rechnung tragen, wie diese zwischen dem Auftraggeber und dem Auftragnehmer in dieser Vereinbarung vereinbart wurden, und die Datenverarbeitung darf nur zu dem in der jeweils gesondert beauftragten Leistung angegebenen Zweck erfolgen.

5.4 Der Auftragnehmer hat die Unterauftragsverarbeiter regelmäßig auf die Einhaltung der nach dieser Vereinbarung geltenden Datenschutzpflichten zu prüfen. Sollte dem Auftragnehmer im Rahmen dieser Prüfung zur Kenntnis gelangen, dass ein Unterauftragsverarbeiter die ihn nach dieser Vereinbarung treffenden Datenschutzpflichten nicht oder nicht ausreichend erfüllt, hat er den Auftraggeber unaufgefordert und umgehend darüber zu informieren.

5.5 Die Weitervergabe an Unterauftragsverarbeiter oder die Änderung der bestehenden Unterauftragsverarbeiter sind zulässig, sofern der Auftragnehmer sie mindestens zwei Wochen im Voraus schriftlich oder in Textform ankündigt und der Auftraggeber nicht binnen zwei Wochen ab Zugang der Ankündigung schriftlich oder in Textform Einwände erhebt. Im Falle eines Widerspruchs darf der betroffene Unterauftragsverarbeiter insoweit nicht eingesetzt werden, solange keine Einigung erzielt wurde. Als Änderung im Sinne dieser Ziffer gilt auch die Erweiterung des Einsatzumfangs eines bereits benannten Unterauftragsverarbeiters, insbesondere die Aufnahme eines zusätzlichen Verarbeitungsorts in einem Drittland.

6. Prüfung und Einhaltung

6.1 Der Auftragnehmer gestattet dem Auftraggeber oder den von ihm benannten Vertretern die Durchführung von Audits und Inspektionen, um die Einhaltung der Bestimmungen dieser Vereinbarung zu überprüfen. Solche Audits sind mit angemessener Vorankündigung durchzuführen und dürfen den Betrieb des Auftragnehmers nicht unangemessen beeinträchtigen. Die Kosten der Durchführung des Audits trägt der Auftraggeber, es sei denn, das Audit deckt einen schwerwiegenden Verstoß des Auftragnehmers gegen diese Vereinbarung auf.

6.2 Alle externen Prüfer unterliegen einer Vertraulichkeitsvereinbarung.

6.3 Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung und arbeitet mit ihm zusammen, um die Einhaltung der DSGVO nachzuweisen.

7. Laufzeit und Vertragsende

7.1 Diese Vereinbarung bleibt für die Dauer der Datenverarbeitungstätigkeiten in Kraft und endet mit dem Abschluss der Leistungserbringung oder wie von den Parteien anderweitig vereinbart.

7.2 Bei Beendigung dieser Vereinbarung, oder auch jederzeit vorher auf Verlangen des Auftraggebers, wird der Auftragnehmer die verarbeiteten personenbezogenen Daten einschließlich etwaiger Kopien nach freier Wahl des Auftraggebers entweder selbst vernichten oder zur Gänze an den Auftraggeber übergeben, sofern dem keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragnehmer weiterhin die Einhaltung aller Vorgaben. Sollte sich der Auftraggeber hinsichtlich der Vorgehensweise nicht äußern, wird der Auftragnehmer die Daten, vorbehaltlich gesetzlicher Aufbewahrungsauflagen, 30 Tage nach Beendigung der Vereinbarung vernichten.

7.3 Der Auftragnehmer ist gleichermaßen verpflichtet, die Vernichtung oder Übergabe durch etwaige Unterauftragsverarbeiter herbeizuführen.

8. Ergänzende Bestimmungen

8.1 Personenbezogene Daten werden weder durch den Auftragnehmer noch durch dessen Unterauftragsverarbeiter zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen verwendet.

8.2 Der Auftragnehmer zeichnet die Anrufe nicht auf und speichert weder Transkripte noch Zusammenfassungen der Gespräche.

8.3 Folgende Standard-Löschfristen werden angewandt:

Dialog-Logs und technische Protokolle: 30 Tage ab Anrufende
Für andere Datenkategorien gilt Ziffer 7.2.

9. Schlussbestimmungen

9.1 Änderungen und Ergänzungen dieser Vereinbarung und aller ihrer Bestandteile bedürfen einer schriftlichen Vereinbarung, die auch in Textform erfolgen kann, sowie der ausdrücklichen Angabe, dass es sich um eine Änderung oder Ergänzung dieser Vereinbarung handelt. Dies gilt auch für den Verzicht auf diese Formvorschrift. Ziffer 1.3 der Allgemeinen Geschäftsbedingungen (Änderungen der AGB) findet auf diese Vereinbarung und ihre Anlagen keine Anwendung.

9.2 Diese Vereinbarung unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist Dachau, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

9.3 Sollten einzelne Bestimmungen dieser Vereinbarung ungültig oder undurchsetzbar sein oder werden, so bleibt der Rest der Vereinbarung davon unberührt. Diese Bestimmungen gelten als durch gültige und durchsetzbare Regelungen ersetzt, die den von den Vertragsparteien beabsichtigten wirtschaftlichen Zweck am ehesten erreichen.

Anlagen

Anlage 1: Technische und organisatorische Maßnahmen, abrufbar unter kesru.de/toms.

Anlage 2: Unterauftragsverarbeiter, abrufbar unter kesru.de/unterauftragsverarbeiter.