Auftragsverarbeitungsvertrag

1. Parteien

Verantwortlicher: Sie („Kunde“), der KI-Betreiber, die Agentur oder die Plattform, die Audact-Dienste nutzt. Sind Sie gegenüber Ihrem eigenen Endkunden selbst Auftragsverarbeiter und nicht Verantwortlicher, so wirkt dieser Vertrag als Unterauftragsverarbeitungsvertrag, zu denselben Bedingungen. Welche der beiden Rollen Sie innehaben, wird je Einsatz im unterzeichneten Vertrag festgelegt, nicht auf dieser Seite.

Auftragsverarbeiter: die Audact-Gesellschaft, die auf dem von Ihnen unterzeichneten Auftragsformular als Auftragsverarbeiterin benannt ist. Es gibt zwei Gesellschaften, und sie tun Unterschiedliches. Die Audact AI Ltd, 71-75 Shelton Street, London WC2H 9JQ, Vereinigtes Königreich (Registernummer 17059133) hält das geistige Eigentum. Die AUDACT AI LIMITED (Irland, CRO 822514, eingetragen am 29. Juli 2026) ist die EU-Betriebsgesellschaft und die Gesellschaft, die im Impressum und in der Fußzeile dieser Seite als Vertragspartnerin genannt ist. Welche der beiden benannt ist, verarbeitet Interaktions-Metadaten in Ihrem Auftrag als Auftragsverarbeiterin im Sinne von Artikel 28 DSGVO, zu den nachstehenden Bedingungen.

Welche der beiden Partei Ihres Vertrags ist, ist ein offener Punkt, und dieser Abschnitt sagt das, statt es vorauszusetzen. Ein mit der Audact AI Ltd geschlossener Vertrag geht durch schriftliche Mitteilung auf die AUDACT AI LIMITED über, wirksam zum Datum dieser Mitteilung und ohne dass die Rechte des Kunden beeinträchtigt werden. Dieser Abschnitt behauptet nicht, dass bereits jeder bestehende Vertrag übertragen worden ist, denn das ist hier nicht festgestellt. Vor der Unterzeichnung geht das Auftragsformular vor; wenn Sie es vorher geklärt haben möchten, fragen Sie unter legal@audact.ai, welche Gesellschaft heute Ihre Auftragsverarbeiterin ist, und lassen Sie sich das schriftlich geben.

2. Umfang der Verarbeitung (Art. 28 Abs. 3 DSGVO)

Gegenstand & Dauer: Bereitstellung der Compliance-Plattform von Audact; Dauer entsprechend dem zugrunde liegenden Servicevertrag zuzüglich etwaiger gesetzlich vorgeschriebener Aufbewahrungsfristen.

Art & Zweck: Compliance-Validierung, Erzeugung der Evidence Chain und Pflege des Prüfprotokolls gemäß den Weisungen des Kunden über die Plattformkonfiguration.

Datenkategorien: Anruf-Metadaten (Zeitstempel, Rechtsraum-Kennungen, Policy-Entscheidungen, Validierungsergebnisse, Nachweis-Hashes, Einwilligungsnachweise); Gesprächsaudio während der Übertragung, gespeichert nur, wenn der Kunde die Aufzeichnung einschaltet; transkribierter Gesprächstext; die an den Anrufer freigegebene Ausgabe; sowie die daraus folgenden Quittungs-, Policy- und Einwilligungsdatensätze. Bringt der Anwendungsfall des Kunden besondere Kategorien personenbezogener Daten nach Artikel 9 in eine gesteuerte Interaktion, bestimmt der Kunde als Verantwortlicher die Bedingung nach Artikel 9 und weist Audact entsprechend an.

Betroffene Personen: Endnutzer / Anrufer / Chat-Teilnehmer der KI-Bereitstellung des Kunden.

Nicht gespeichert: Audio läuft durch die in Abschnitt 3 genannten Subprozessoren (Spracherkennung, Sprachsynthese und Sprachmodell), denn ein gesteuertes Gespräch lässt sich ohne das nicht steuern. Standardmäßig wird es nicht aufbewahrt. Schaltet der Kunde die Aufzeichnung ein, wird Gesprächsaudio bis zu 90 Tage aufbewahrt und danach gelöscht. Über das für die Compliance-Validierung Erforderliche hinaus werden keine weiteren personenbezogenen Daten gespeichert. Alle personenbezogenen Daten werden verschlüsselt; die Löschung per Crypto-Shredding (folgt in Kürze): Der Schlüssel für die Nutzdaten wird vernichtet, die Abfolge bleibt prüfbar, der Inhalt ist weg.

Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3): Audact (a) verarbeitet ausschließlich auf dokumentierte Weisung des Kunden; (b) stellt sicher, dass das Personal zur Vertraulichkeit verpflichtet ist; (c) setzt Sicherheitsmaßnahmen nach Art. 32 um (Abschnitt 5); (d) zieht Subprozessoren nur zu den Bedingungen aus Abschnitt 3 hinzu; (e) unterstützt den Kunden bei den Rechten betroffener Personen und den Pflichten nach Art. 32-36; (f) löscht oder gibt Kundendaten bei Beendigung zurück (Abschnitt 8); (g) stellt die zum Nachweis der Compliance erforderlichen Informationen bereit und ermöglicht Audits gemäß Abschnitt 10.

Die Dauer der Verarbeitung steht je Objekt in Abschnitt 2A, denn die sechs Dinge, die ein gesteuertes Gespräch hinterlässt, werden nicht aus demselben Grund und nicht gleich lange aufbewahrt.

2A. Aufbewahrung, je Objekt

Eine gesteuerte Interaktion hinterlässt sechs Dinge. Sie werden aus unterschiedlichen Gründen und unterschiedlich lange aufbewahrt — und, das ist der Teil, auf den es ankommt, nicht alle von derselben Partei festgelegt. Je eine Zeile.

Aus der KI-Verordnung folgt keine Aufbewahrungsfrist. Artikel 50 ist eine Transparenzpflicht und sieht keine Aufbewahrungsfrist vor, und die Leitlinien der Kommission C(2026)5054 stellen unter Ziffer (73) fest, dass eine vollständige Provenienzkette nicht verpflichtend ist. Wo eine Frist gilt, folgt sie aus diesem Vertrag oder aus einer Regel, die für die Branche des Kunden gilt.

Die Organisation bestimmt das Mandat; Audact setzt es durch. Für die Aufbewahrung gilt dieselbe Aufteilung. Der Kunde legt die Fristen fest, die seine eigenen Regeln verlangen, und Audact wendet sie an; Audact berät den Kunden nicht dazu, wie lange er etwas aufbewahren muss.

Nachweiskettendatensätze werden für die Vertragslaufzeit aufbewahrt und danach nur so lange, wie die einschlägige Regel es verlangt. Aus der KI-Verordnung folgt keine Aufbewahrungsfrist; maßgeblich ist die Frist aus Ihrem Vertrag.

3. Subprozessoren

Alle Dritten, die Daten im Auftrag von Audact oder unseren Kunden verarbeiten. Diese Liste wird gemäß Artikel 28 DSGVO geführt.

Die aktuelle Liste der Subprozessoren wird zudem in unserem Trust Center veröffentlicht.

Wir kündigen die Aufnahme oder den Austausch eines Subprozessors mindestens 30 Tage im Voraus an. Sie können innerhalb dieser Frist aus berechtigten Gründen schriftlich widersprechen; wird keine einvernehmliche Lösung gefunden, können Sie den betroffenen Dienst kündigen.

4. Datenstandort

Primäres Anwendungs-Hosting: Frankfurt. AWS eu-central-1; eine Backup-Region in AWS eu-west-1 (Irland) wird eingerichtet. Compliance-Daten des Kunden (Interaktions-Metadaten, Evidence Chains, Prüfprotokolle) werden auf dieser Infrastruktur innerhalb des EWR gespeichert und verarbeitet.

Mehrere der in Abschnitt 3 aufgeführten Subprozessoren sind außerhalb des EWR niedergelassen. Soweit sie personenbezogene Daten verarbeiten, ist der Übermittlungsmechanismus die Standardvertragsklauseln (Modul 3, Auftragsverarbeiter zu Auftragsverarbeiter, Beschluss (EU) 2021/914) zusammen mit geeigneten technischen und organisatorischen Maßnahmen. Die Tabelle oben nennt je Subprozessor, was verarbeitet wird und wo.

5. Sicherheitsmaßnahmen (Art. 32 DSGVO)

• Verschlüsselung im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.3)
• Verschlüsselung personenbezogener Daten, damit Crypto-Shredding greifen kann (folgt in Kürze): Der Schlüssel für die Nutzdaten wird vernichtet, die Abfolge bleibt prüfbar, der Inhalt ist weg.
• SHA-256-Hash-Ketten für die Nachweisintegrität. Jede kontrollierte Interaktion erzeugt eine Compliance-Quittung; der Kunde kann den Eingabe-Hash, den Ausgabe-Hash und die Verkettung zur vorhergehenden Quittung allein aus der exportierten Datei nachrechnen, ohne Schlüssel und ohne Zugriff auf Systeme von Audact. Die genaue Form ist unter /sample-receipt-readme.txt veröffentlicht.
• Rollenbasierte Zugriffskontrolle (RBAC)
• SOC 2 Type II: geplant, kein Prüfer beauftragt, eingetaktet nach den ersten zahlenden Einsätzen
• Schwachstellen-Scans von Abhängigkeiten und Infrastruktur. Ein externer Penetrationstest wurde bisher nicht durchgeführt; ein erster Test ist vor dem ersten zahlenden Einsatz vorgesehen.

Audact ist nicht zertifiziert – weder nach ISO 27001, noch liegt ein SOC-2-Bericht vor. Ein SOC 2 Type II ist geplant; ein Prüfer ist nicht beauftragt, und der Zeitpunkt liegt nach den ersten zahlenden Einsätzen. Soweit dieser Vertrag auf Auditberichte Dritter verweist, verweist er auf Berichte, die es noch nicht gibt.

6. Rechte betroffener Personen

Der Verantwortliche hat nach Artikel 12 Abs. 3 einen Monat, um der betroffenen Person zu antworten, verlängerbar um zwei weitere Monate. Die Frist von Audact unten ist die Zeit, in der Audact diesen Verantwortlichen unterstützt, und nicht dessen Frist.

Audact unterstützt den Kunden bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit) innerhalb von 72 Stunden nach Benachrichtigung. Löschung per Crypto-Shredding (folgt in Kürze): Der Schlüssel für die Nutzdaten wird vernichtet, die Abfolge bleibt prüfbar, der Inhalt ist weg.

7. Meldung von Verletzungen (Art. 33 Abs. 2 DSGVO)

Die 72 Stunden sind die des Kunden, nicht die von Audact. Art. 33 Abs. 1 gibt dem Verantwortlichen 72 Stunden für die Meldung an seine Aufsichtsbehörde, gerechnet ab dem Zeitpunkt, zu dem er Kenntnis erlangt. Art. 33 Abs. 2 setzt dem Auftragsverarbeiter keine feste Frist: er verlangt die unverzügliche Meldung an den Verantwortlichen. Ein Auftragsverarbeiter, der die 72 Stunden als sein eigenes Budget behandelte, übergäbe dem Verantwortlichen eine Frist, die bereits abgelaufen ist.

Das wiegt schwerer, als es sich liest: nach den Leitlinien des EDSA zur Meldung von Datenschutzverletzungen gilt der Kunde als in Kenntnis gesetzt, sobald Audact Kenntnis hat. Die Meldung von Audact bemisst sich deshalb nicht an diesen 72 Stunden — jede Stunde geht von der Frist des Kunden ab. Audact meldet unverzüglich nach Bekanntwerden und in jedem Fall spätestens nach 72 Stunden; das ist eine Höchstgrenze und kein Zielwert. Benötigt der Kunde eine kürzere feste Frist im Vertrag, wird sie im Auftragsformular vereinbart; dieser veröffentlichte Entwurf setzt keine. Die Meldung umfasst: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen. Audact leistet angemessene Unterstützung, damit der Kunde seinen Pflichten nach Art. 33 / 34 gegenüber Aufsichtsbehörden und betroffenen Personen nachkommen kann.

8. Laufzeit & Beendigung

Dieser AVV gilt für die Dauer des Servicevertrags. Bei Beendigung löscht Audact alle Kundendaten innerhalb von 30 Tagen (Phase (3) des Offboarding-Lebenszyklus) oder gibt sie zurück, sofern keine Aufbewahrung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich ist, das für den Kunden oder für Audact gilt, oder nach den in Abschnitt 2A vereinbarten Fristen. Kryptografische Evidence Chains können in nicht-personenbezogener, ausschließlich aus Hashes bestehender Form aufbewahrt werden, um die Audit-Integrität für den nach Abschnitt 2A geltenden Zeitraum zu wahren.

Keine Frist hier folgt aus der KI-Verordnung. Artikel 50 ist eine Transparenzpflicht und sieht keine Aufbewahrungsfrist vor, und eine Zehnjahresgrenze ist eine Regel, die für die Branche des Kunden gilt, und keine, die Audact setzt. Beides steht in Abschnitt 2A, in der Zeile, in der die festlegende Partei genannt ist.

9. Internationale Übermittlungen

Compliance-Daten des Kunden werden innerhalb des EWR gespeichert und verarbeitet. Soweit die in Abschnitt 3 aufgeführten, außerhalb des EWR niedergelassenen Subprozessoren personenbezogene Daten verarbeiten, darunter Gesprächsaudio während der Übertragung und Gesprächstext, ist der Übermittlungsmechanismus die Standardvertragsklauseln (Modul 3, Auftragsverarbeiter zu Auftragsverarbeiter, Beschluss (EU) 2021/914), ergänzt durch geeignete technische und organisatorische Maßnahmen.

10. Auditrechte

Auf angemessene schriftliche Anfrage und höchstens einmal je Zwölfmonatszeitraum stellt Audact die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereit, einschließlich Auditberichten Dritter, sobald solche Berichte vorliegen. Verlangt der Kunde berechtigterweise ein weitergehendes Audit, vereinbaren die Parteien Umfang, Zeitpunkt und Kosten; Audits dürfen andere Kunden nicht beeinträchtigen und unterliegen der Vertraulichkeit.

11. Kontakt

AVV-Anfragen: dpo@audact.ai

Versionsverlauf

Zuletzt geändert am 8. Oktober 2026. Frühere Fassungen dieses Dokuments sind auf Anfrage erhältlich.