Speichert Audact, was im Gespräch gesagt wurde?

Audio wird standardmäßig nicht aufbewahrt. Schaltet ein Kunde die Aufzeichnung ein, wird sie bis zu 90 Tage gespeichert und dann gelöscht. Compliance-Metadaten und kryptografische Hashes werden für die vereinbarte Frist gespeichert. Daraus besteht eine Quittung.

Ist Audact Verantwortlicher oder Auftragsverarbeiter?

Auftragsverarbeiter. Verantwortlich bleibt der Kunde, und Audact verarbeitet ausschließlich nach dessen dokumentierten Weisungen auf Grundlage des Standard-Auftragsverarbeitungsvertrags.

Wie funktioniert die Löschung, wenn die Beweiskette nachrechenbar bleiben muss?

Crypto-Shredding folgt in Kürze: Der Schlüssel für die Nutzdaten wird dann vernichtet, wodurch die personenbezogenen Daten unlesbar werden. Die kryptografischen Hashes werden nicht vernichtet; je nach Verknüpfbarkeit und Zusatzinformationen können sie noch personenbezogene Daten sein, wenn sie verknüpfbar sind. Die Kette lässt sich weiterhin nachrechnen, und eine spätere Änderung oder Umsortierung bleibt erkennbar.

Deckt eine DSGVO-Einwilligung auch das ePrivacy-Opt-in ab?

Nein. ePrivacy ist lex specialis für den Versand einer elektronischen Nachricht und verlangt ein eigenes vorheriges Opt-in. Beide werden getrennt beurteilt, und eine für den einen Zweck eingeholte Einwilligung trägt nicht in den anderen hinüber.

DSGVO

DSGVO für Sprach- und Chat-KI: die Pflichten, und wer sie trägt.

In Kraft seit 25. Mai 2018

Zuletzt geprüft: 8. Oktober 2026

Die DSGVO gilt für jede Organisation, die personenbezogene Daten von Menschen in der EU verarbeitet, unabhängig davon, wer die KI gebaut hat. Für einen Sprach- oder Chat-Agenten läuft das auf vier Dinge hinaus: eine Rechtsgrundlage für jede Verarbeitung, eine Grenze für das, was das System allein entscheiden darf, Information im Moment der Erhebung, und die Fähigkeit, eine Person auf Verlangen zu löschen. Audact arbeitet als Auftragsverarbeiter; verantwortlich bleibt durchgängig der Kunde.

Was das Gesetz verlangt

Jede Verarbeitung (Erhebung, Inferenz, Speicherung) braucht ihre eigene Rechtsgrundlage, und die muss vor Beginn der Verarbeitung feststehen.: Verordnung (EU) 2016/679, Art. 6(1)
Eine Sprachaufnahme oder ein Inhalt, der Gesundheit, Überzeugungen oder sexuelle Orientierung erkennen lässt, kann eine besondere Kategorie sein. Dafür braucht es eine stärkere Grundlage, etwa die ausdrückliche Einwilligung.: Verordnung (EU) 2016/679, Art. 9(1) und 9(2)(a)
Eine Person hat das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Wo eine solche Entscheidung zulässig ist, muss der Verantwortliche menschliches Eingreifen, die Darlegung des eigenen Standpunkts und die Anfechtung ermöglichen.: Verordnung (EU) 2016/679, Art. 22(1) und 22(3)
Bei der Erhebung ist zu informieren: wer verantwortlich ist, zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange gespeichert wird, und ob eine automatisierte Entscheidungsfindung stattfindet.: Verordnung (EU) 2016/679, Art. 13 und 14
Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, was systematische Überwachung mit neuer Technologie in aller Regel tut.: Verordnung (EU) 2016/679, Art. 35(1) und 35(3)
Eine Übermittlung außerhalb des EWR braucht ein Instrument aus Kapitel V: einen Angemessenheitsbeschluss oder Standardvertragsklauseln, gestützt auf eine Bewertung des Empfängerlands.: Verordnung (EU) 2016/679, Art. 44-46 · EuGH C-311/18 (Schrems II)
Die obere Bußgeldstufe liegt bei 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Achten Sie auf die Richtung: nach der KI-Verordnung läuft die Grenze für KMU genau andersherum.: Verordnung (EU) 2016/679, Art. 83(5)

Was Audact dazu tut

Primäres Anwendungs-Hosting in Frankfurt (AWS eu-central-1). Wo ein Unterauftragsverarbeiter US-Eigentum ist, läuft die Übermittlung über Standardvertragsklauseln, und die Unterauftragsverarbeiterliste nennt ihn beim Namen.: Läuft heute
Eine Backup-Region in Irland (eu-west-1) wird eingerichtet.: In Entwicklung
Audio wird standardmäßig nicht aufbewahrt. Schaltet ein Kunde die Aufzeichnung ein, wird sie bis zu 90 Tage gespeichert und dann gelöscht; Compliance-Metadaten und kryptografische Hashes werden für die vereinbarte Aufbewahrungsfrist gespeichert.: Läuft heute
Die Löschung vernichtet den Schlüssel für die Nutzdaten, die Abfolge bleibt prüfbar, der Inhalt ist weg.: In Entwicklung
Jede Interaktion trägt die Rechtsgrundlage, unter der sie erfolgt ist, sodass ein späteres Auskunfts- oder Widerspruchsersuchen aus dem Datensatz beantwortet werden kann und nicht aus der Erinnerung.: In Entwicklung

Rollen

Audact ist Auftragsverarbeiter. Verantwortlich bleiben Sie.

Audact verarbeitet personenbezogene Daten ausschließlich nach den dokumentierten Weisungen des Kunden und zu keinem anderen Zweck. Damit ist der Kunde der Verantwortliche: die Stelle, die über Zweck und Mittel entscheidet, und die Stelle, an die sich eine betroffene Person oder eine Aufsichtsbehörde zuerst wendet.

Der Standard-Auftragsverarbeitungsvertrag benennt die Unterauftragsverarbeiter, die Aufbewahrungsfristen und die Unterstützung, die wir bei Auskunft, Berichtigung, Löschung und Übertragbarkeit schulden. Enterprise-Kunden können einen eigenen Vertrag anfordern.

Artikel 22

Die Vorschrift, die entscheidet, was Ihr Agent allein regeln darf.

Artikel 22 ist für einen KI-Betreiber die folgenreichste Vorschrift der DSGVO, und es geht darin überhaupt nicht um Offenlegung. Sie begrenzt die Entscheidung selbst: ein Agent, der einen Antrag ablehnt, eine Buchung verweigert, eine Betrugssperre auslöst oder einen Preis festsetzt, ohne dass ein Mensch die Sache prüft, fällt unmittelbar darunter.

Der Gerichtshof hat in SCHUFA (C-634/21) entschieden, dass ein Wahrscheinlichkeitswert, den eine Stelle erzeugt und eine andere ihrer Entscheidung zugrunde legt, selbst eine automatisierte Entscheidungsfindung ist. Für einen Anbieter von Scoring- oder Eignungslogik erweitert diese Lesart das Risiko erheblich: die Entscheidung muss nicht Ihre sein, damit Artikel 22 den Wert erfasst, den Sie geliefert haben.

Übermittlungen

Kapitel V ist eine Frage nach den Unterauftragsverarbeitern, nicht nach Ihrem Anruf.

Ein Sprach-KI-Stack besteht aus Bausteinen, und die Übermittlungsfrage folgt jedem Baustein einzeln, nicht dem Produktnamen auf der Rechnung. Die ehrliche Antwort für Audact lautet: primäres Anwendungs-Hosting in Frankfurt, und eine kleine Zahl von Unterauftragsverarbeitern ist US-Eigentum und verarbeitet unter Standardvertragsklauseln. Die Liste nennt jeden davon, sodass sich eine Übermittlungs-Folgenabschätzung auf Fakten stützen kann statt auf Zusicherungen.

Hinweis

Information, keine Rechtsberatung.

Diese Seite gibt die Regeln so wieder, wie wir sie lesen, mit den Artikelnummern, damit Sie uns nachprüfen können. Sie ist keine Rechtsberatung, und Ihre eigene Lage hängt von Umständen ab, die diese Seite nicht kennt. Holen Sie qualifizierten Rat ein, bevor Sie sich darauf stützen.

Fragen

Speichert Audact, was im Gespräch gesagt wurde?: Audio wird standardmäßig nicht aufbewahrt. Schaltet ein Kunde die Aufzeichnung ein, wird sie bis zu 90 Tage gespeichert und dann gelöscht. Compliance-Metadaten und kryptografische Hashes werden für die vereinbarte Frist gespeichert. Daraus besteht eine Quittung.
Ist Audact Verantwortlicher oder Auftragsverarbeiter?: Auftragsverarbeiter. Verantwortlich bleibt der Kunde, und Audact verarbeitet ausschließlich nach dessen dokumentierten Weisungen auf Grundlage des Standard-Auftragsverarbeitungsvertrags.
Wie funktioniert die Löschung, wenn die Beweiskette nachrechenbar bleiben muss?: Crypto-Shredding folgt in Kürze: Der Schlüssel für die Nutzdaten wird dann vernichtet, wodurch die personenbezogenen Daten unlesbar werden. Die kryptografischen Hashes werden nicht vernichtet; je nach Verknüpfbarkeit und Zusatzinformationen können sie noch personenbezogene Daten sein, wenn sie verknüpfbar sind. Die Kette lässt sich weiterhin nachrechnen, und eine spätere Änderung oder Umsortierung bleibt erkennbar.
Deckt eine DSGVO-Einwilligung auch das ePrivacy-Opt-in ab?: Nein. ePrivacy ist lex specialis für den Versand einer elektronischen Nachricht und verlangt ein eigenes vorheriges Opt-in. Beide werden getrennt beurteilt, und eine für den einen Zweck eingeholte Einwilligung trägt nicht in den anderen hinüber.

Sehen Sie, was in einer Quittung wirklich steht

Drei Angaben auf jeder Quittung kann heute jeder nachrechnen: Eingabe-Hash, Ausgabe-Hash und die Verknüpfung zur vorherigen Quittung. Ohne Schlüssel, ohne Konto. Die Merkle-Einbindung ist die vierte und wird mit dem Einschlussnachweis aus dem Artikel-50-Bericht des Anrufs gegen die veröffentlichte Wurzel geprüft. Proof geht eine echte durch, Feld für Feld.

Eine Quittung ansehen