1. Verantwortlicher
Zwei Fragen, und sie haben nicht dieselbe Antwort. Wer diese Website betreibt und Ihren Vertrag unterzeichnet, ist die eine Frage; wer Verantwortlicher für die personenbezogenen Daten ist, die Sie uns darüber senden, die andere. Das Impressum beantwortet die erste: Die AUDACT AI LIMITED (Irland, CRO 822514) betreibt diese Website und unterzeichnet Kunden-, Pilot- und Lieferantenverträge. Dieser Abschnitt beantwortet die zweite, und das ist heute nicht dieselbe Gesellschaft. Das steht hier ausdrücklich und wird nicht geglättet, denn wer sich darin vertut, wendet sich an die falsche Aufsichtsbehörde.
Verantwortlicher für diese Website und für das, was Sie uns darüber senden: Audact AI Ltd, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich (Registernummer 17059133) — „Audact“, „wir“, „uns“. Kontakt: privacy@audact.ai
Was sich ändert, wenn der Vertrag übergeht. AUDACT AI LIMITED (Irland, CRO 822514, gegründet am 29. Juli 2026) ist die EU-Betriebsgesellschaft und die Vertragspartei, die in der Fußzeile dieser Website und im Impressum genannt wird. Ein mit der britischen Gesellschaft geschlossener Vertrag wird ihr durch schriftliche Mitteilung übertragen. Diese Seite behauptet nicht, dass diese Übertragung bereits vollzogen ist, denn das ist hier nicht festgestellt. Wo sie vollzogen ist, ist die irische Gesellschaft für diesen Datensatz Verantwortliche und die Data Protection Commission die zuständige Aufsichtsbehörde statt des ICO. Wenn Sie das vor einer Unterschrift geklärt haben möchten, fragen Sie privacy@audact.ai und lassen Sie sich die Antwort schriftlich geben.
Wo Audact nicht Verantwortlicher ist. Personenbezogene Daten, die durch den Einsatz eines Kunden laufen — Anrufende, Transkripte, Quittungen —, werden auf Weisung dieses Kunden verarbeitet. Dort ist Audact Auftragsverarbeiter oder Unterauftragsverarbeiter und nicht Verantwortlicher, und diese Verarbeitung richtet sich nach dem Auftragsverarbeitungsvertrag, der dem unterzeichneten Auftragsformular des Kunden beigefügt ist; die hier veröffentlichte Fassung ist ein Entwurf in anwaltlicher Prüfung. Abschnitt 1A stellt beide Ketten dar.
1A. Wer ist Verantwortlicher, und wer ist Auftragsverarbeiter
Es gibt zwei Wege, Audact zu beziehen, und sie stellen dieselben Beteiligten in unterschiedliche Rollen. Welcher davon gilt, wird je Einsatz in dem Vertrag festgelegt, den Sie unterschreiben, und nicht auf dieser Seite.
- Rolle nach der DSGVO
- Verantwortlicher
- Direkt
- Der Kunde, der unterschreibt — die Organisation, deren Anrufende in der Leitung sind
- White-Label
- Der Endkunde der Agentur
- Rolle nach der DSGVO
- Auftragsverarbeiter
- Direkt
- Die auf Ihrem Auftragsformular genannte Audact-Gesellschaft (Auftragsverarbeitungsvertrag, Abschnitt 1)
- White-Label
- Die Agentur. Für das, was sie über die Weisungen ihres Kunden hinaus mit den Daten tut, ist eine Agentur zugleich selbst Verantwortliche
- Rolle nach der DSGVO
- Unterauftragsverarbeiter
- Direkt
- Die im Auftragsverarbeitungsvertrag, Abschnitt 3, aufgeführten Anbieter
- White-Label
- Audact
- Rolle nach der DSGVO
- Weitere Unterauftragsverarbeiter
- Direkt
- —
- White-Label
- Die im Auftragsverarbeitungsvertrag, Abschnitt 3, aufgeführten Anbieter
Drei Achsen werden leicht verwechselt und keine ist mit der anderen deckungsgleich: Anbieter und Betreiber kommen aus der KI-Verordnung, Hersteller kommt aus der Produkthaftungsrichtlinie, und Verantwortlicher und Auftragsverarbeiter kommen aus der DSGVO. Eine White-Label-Agentur kann auf allen drei Achsen gleichzeitig eine andere Rolle innehaben.
2. Welche Daten wir erheben
Agentur-Bewerbung. Das Formular unter /for-agencies/apply hat drei Pflichtfelder — Name der Agentur und Ihre Rolle, E-Mail-Adresse und die Branche, in der Sie arbeiten — sowie acht optionale hinter einer einzigen Schaltfläche: aktive Endkunden, aktuelle Plattform, EU-Rechtsräume, in denen Sie einsetzen, Sprachen, die Ihre Agenten sprechen, Minuten pro Monat, Zeitfenster bis zum Live-Gang, was Sie einem Endkunden monatlich berechnen und Vertragswunsch. Bleiben alle acht leer, ändert das an der Bewerbung nichts.
Bei jeder Übermittlung zusätzlich erfasst, unabhängig davon, ob Sie die optionalen Felder ausfüllen: der Zeitpunkt, die IP-Adresse, von der die Anfrage kam, und über welchen Link Sie auf das Formular gekommen sind (einer von zwei Werten, „apply“ oder „pilot“). Das Formular trägt außerdem ein verstecktes Feld, das nur eine automatisierte Übermittlung ausfüllt; sein Wert wird geprüft und nie gespeichert.
Wohin eine Übermittlung geht. Der Datensatz wird in eine Datenbank in der in Abschnitt 4 genannten Region geschrieben. Dieselben Felder gehen zusätzlich als Benachrichtigung an uns und werden in das Anwendungs-Log unseres Hosting-Anbieters geschrieben, damit eine Anfrage nicht verloren geht, wenn eines von beiden ausfällt. Diese Kopien sind kein eigenes Register und dienen keinem anderen Zweck. Anfragen aus dem Enterprise-Formular werden zusätzlich in einen Slack-Kanal von uns gestellt; Slack ist als Unterauftragsverarbeiter im Auftragsverarbeitungsvertrag aufgeführt.
Weitere Formulare auf dieser Website. Das Enterprise-Anfrageformular erhebt Name, Organisation, E-Mail-Adresse und Branche, dazu optional das Monatsvolumen, eine Freitextnachricht und fünf Scoping-Antworten (Handlungsklasse, aktuelle Kontrolle, Phase, System, Rahmenwerk). Warteliste, Sandbox-Anfrage, WordPress-Plugin-Benachrichtigung und Newsletter erheben eine E-Mail-Adresse; bei einem Ressourcen-Download (z. B. dem Migrations-Kit) wird zusätzlich festgehalten, welche Ressource, und optional werden Sie der Migrations-Liste hinzugefügt, wenn Sie das Kästchen ankreuzen. Alle erfassen Zeitpunkt und IP-Adresse auf dieselbe Weise.
Cookies. Ausschließlich unbedingt erforderliche Cookies. Keine Tracking-Cookies, keine Werbe-Tracker und keine Analysedienste von Drittanbietern. Siehe unsere Cookie-Richtlinie.
Plattformnutzung (nach dem Start): Anruf-Metadaten (Zeitstempel, Rechtsraum, Policy-Entscheidungen, Nachweis-Hashes). Audio wird standardmäßig nicht aufbewahrt; ist die Aufzeichnung eingeschaltet, wird sie bis zu 90 Tage gespeichert.
Website: Einfache Server-Logs (IP-Adresse, User-Agent, besuchte Seiten). Keine Werbe-Tracker.
3. Zweck, Rechtsgrundlage und Aufbewahrung (Art. 6 DSGVO)
Eine Zeile je Datenkategorie aus Abschnitt 2: warum wir sie halten, auf welcher Grundlage und wie lange.
- Daten
- Pflichtfelder der Bewerbung: Agentur und Rolle, E-Mail-Adresse, Branche
- Zweck
- Die Anfrage beurteilen und das von Ihnen gewünschte Gespräch vorbereiten
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b — Maßnahmen auf Ihre Anfrage hin vor Vertragsschluss
- Aufbewahrung
- Solange die Bewerbung offen ist, und bis zu 12 Monate nach unserem letzten Kontakt dazu
- Daten
- Die acht optionalen Felder der Bewerbung
- Zweck
- Die Anfrage vor dem Gespräch qualifizieren, damit es um Ihre Lage geht und nicht um das Formular
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f — unser Interesse, eine eingehende Anfrage zu qualifizieren. Sie können jedes einzelne leer lassen
- Aufbewahrung
- Mit dem Bewerbungsdatensatz
- Daten
- Zeitpunkt und IP-Adresse der Übermittlung
- Zweck
- Ratenbegrenzung (fünf Übermittlungen je Adresse und Stunde) und Nachverfolgung einer automatisierten oder betrügerischen Übermittlung
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f — Sicherheit und Verfügbarkeit des Formulars
- Aufbewahrung
- Mit dem Bewerbungsdatensatz. Der Zähler der Ratenbegrenzung selbst liegt eine Stunde im Arbeitsspeicher
- Daten
- Benachrichtigungs- und Log-Kopien derselben Felder
- Zweck
- Damit eine Anfrage nicht verloren geht, wenn Datenbankschreibung und Benachrichtigung auseinanderlaufen
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b und lit. f, wie bei den Feldern selbst
- Aufbewahrung
- 30 Tage
- Daten
- Felder der Enterprise-Anfrage
- Zweck
- Einen Pilot zuschneiden und Ihre Frage beantworten
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b — Maßnahmen auf Ihre Anfrage hin vor Vertragsschluss
- Aufbewahrung
- Wie der Bewerbungsdatensatz oben
- Daten
- E-Mail-Adresse für Warteliste, Entwickler-Sandbox, Plugin-Benachrichtigung und Newsletter
- Zweck
- Ihnen mitteilen, wenn das, wonach Sie gefragt haben, existiert
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. a — Einwilligung, erteilt mit dem Absenden dieses Formulars zu diesem Zweck
- Aufbewahrung
- Bis Sie uns um Löschung bitten, oder 12 Monate nach der Anmeldung, je nachdem, was früher eintritt
- Daten
- E-Mail-Adresse für eine Ressourcenanforderung (das Migrations-Kit) und, nur bei gesetztem Häkchen, die Migrations-Liste
- Zweck
- Ihnen die Ressource zusenden, sobald sie fertig ist; und, nur bei gesetztem Häkchen, die Migrations-Liste senden
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b für das Zusenden der Ressource; Art. 6 Abs. 1 lit. a — Einwilligung, durch Setzen des Häkchens erteilt — für die Liste
- Aufbewahrung
- Bis Sie uns um Löschung bitten, oder 12 Monate nach der Anmeldung, je nachdem, was früher eintritt
- Daten
- Plattform-Dienstdaten (nach dem Start)
- Zweck
- Erbringung der Compliance-Dienste nach dem Kundenvertrag
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b — Vertragserfüllung
- Aufbewahrung
- Wie mit dem Kunden vereinbart; siehe Abschnitt 5
- Daten
- Server-Logs der Website
- Zweck
- Betrieb und Absicherung der Website
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f — Sicherheit und Verfügbarkeit
- Aufbewahrung
- 30 Tage
Ein Antrag nach Abschnitt 6 erfasst den Datensatz in allen diesen Systemen.
4. Datenspeicherung & Standort
Primäres Anwendungs-Hosting: Frankfurt. AWS eu-central-1; eine Backup-Region in AWS eu-west-1 (Irland) wird eingerichtet. Beide liegen im EWR. Mehrere der im Auftragsverarbeitungsvertrag aufgeführten Subprozessoren sind US-Unternehmen; soweit sie personenbezogene Daten verarbeiten, ist der Übermittlungsmechanismus die Standardvertragsklauseln nach Kapitel V DSGVO.
5. Aufbewahrungsdauer
Bewerbungsdatensätze (Agentur und Enterprise): solange die Bewerbung offen ist, und bis zu 12 Monate nach unserem letzten Kontakt dazu. Kommt ein Vertrag zustande, wird der Datensatz Teil des Kundendatensatzes und folgt diesem Vertrag.
Adressen aus Warteliste, Sandbox, Plugin-Benachrichtigung und Newsletter: bis Sie uns um Löschung bitten, oder 12 Monate nach der Anmeldung, je nachdem, was früher eintritt.
Anwendungs- und Server-Logs: 30 Tage.
Alles, was durch einen Einsatz läuft — Gesprächsaudio, Transkript, freigegebene Ausgabe, Quittungsmetadaten — sind Kundendaten, und dort ist Audact Auftragsverarbeiter und nicht Verantwortlicher. Diese Fristen stehen je Objekt im Auftragsverarbeitungsvertrag, Abschnitt 2A, zusammen damit, wer sie jeweils festlegt und wozu aufbewahrt wird.
Aus der KI-Verordnung folgt keine Aufbewahrungsfrist. Artikel 50 ist eine Transparenzpflicht und sieht keine Aufbewahrungsfrist vor, und die Leitlinien der Kommission C(2026)5054 stellen unter Ziffer (73) fest, dass eine vollständige Provenienzkette nicht verpflichtend ist. Wo eine Frist gilt, folgt sie aus dem Vertrag oder aus einer Regel, die für die Branche des Kunden gilt — nie aus Artikel 50.
6. Ihre Rechte (Art. 15-22 DSGVO)
Sie haben das Recht auf: Auskunft über Ihre Daten, Berichtigung unrichtiger Daten, Löschung (Recht auf Vergessenwerden), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Üben Sie diese Rechte unter privacy@audact.ai aus. Wir antworten innerhalb von 30 Tagen (bei komplexen Anfragen mit vorheriger Mitteilung um bis zu 60 Tage verlängerbar).
DSGVO-Löschung: Audact verwendet Crypto-Shredding (folgt in Kürze): Der Schlüssel für die Nutzdaten wird vernichtet, die Abfolge bleibt prüfbar, der Inhalt ist weg.
7. Subprozessoren
Wir setzen Subprozessoren zur Erbringung unserer Dienste ein. Die Tabelle der Unterauftragsverarbeiter im Trust Center ist das maßgebliche, aktuelle Register.
8. Kontakt & Beschwerden
Kontakt für Datenschutzfragen: dpo@audact.ai. Audact veröffentlicht keine Benennung einer oder eines Datenschutzbeauftragten nach Artikel 37; lesen Sie diese Adresse daher als Kontakt für Datenschutzfragen und nicht als benannte Stelle.
Aufsichtsbehörde: Information Commissioner’s Office (ICO), Vereinigtes Königreich. AUDACT AI LIMITED (Irland, CRO 822514, eingetragen am 29. Juli 2026): Data Protection Commission (DPC), Irland.
Versionsverlauf
Zuletzt geändert am 27. August 2026. Frühere Fassungen dieses Dokuments sind auf Anfrage erhältlich.