Bekommen wir den AVV als gegenzeichenbares PDF?

Ja. Die Bedingungen sind unter /legal/dpa veröffentlicht, das PDF wird beim Onboarding bereitgestellt. Schreiben Sie an privacy@audact.ai, wenn der Einkauf es früher braucht.

Sitzen alle Subprozessoren in der EU?

Nein. Mehrere sind US-Gesellschaften; diese Übermittlungen laufen unter Standardvertragsklauseln. Die Tabelle im Trust Center nennt Land und Übermittlungsmechanismus je Partei und ist das maßgebliche Register; die herunterladbare CSV zeigt das Dateiformat, nicht das Register.

Wer ist Anbieter nach Artikel 50, wir oder Audact?

Das hängt vom Einsatz ab, und der Vertrag legt fest, welche Pflicht wo liegt, statt es später ausdiskutieren zu lassen. Eine Agentur, die ihren eigenen Namen auf einen Sprachagenten setzt und ihn weiterverkauft, ist nach überwiegender Lesart dessen Anbieter. Klären Sie das vor dem ersten Gespräch, nicht danach.

Führen Sie Penetrationstests durch?

Noch nicht. Es wurde kein externer Penetrationstest durchgeführt. Ein erster externer Test ist vor dem ersten zahlenden Einsatz vorgesehen; das Datum veröffentlichen wir hier, sobald er gebucht ist. Bis dahin gehen wir die Maßnahmen Zeile für Zeile mit Ihrem Sicherheitsteam durch.

Was geschieht mit unseren Daten, wenn wir wechseln?

Zwei Monate Frist und keine Wechselentgelte ab dem 12. Januar 2027. Kapitel VI gibt Ihnen außerdem das Recht, Ihre Nachweiskette in einem strukturierten, gängigen, maschinenlesbaren Format zu exportieren; dieses Recht steht für sich. Der Produktivexport dahinter wurde am 26. August in Browser-Anrufen nachgemessen: fünf Anrufe, dreißig validierte Züge, dreißig Quittungen — Abschnitt 4 nennt deshalb diese Messung, statt die Lieferung zuzusichern. Die Löschung durch Vernichtung des Schlüssels, wodurch der abgeleitete Chiffretext dauerhaft unlesbar wird, folgt in Kürze.

Security

Die Unterlagen, nach denen eine Sicherheitsprüfung fragt, bevor sie fragt.

Aktualisiert am 27. August 2026

Neun Punkte: der Auftragsverarbeitungsvertrag nach Artikel 28, eine Beispieldatei für das maschinenlesbare Subprozessor-Format, die Aufteilung der Artikel-50-Pflichten zwischen Audact und einer Agentur, die Wechselbedingungen nach dem EU Data Act, unser Zertifizierungsstand, ein Beispiel-Exportpaket für Datenschutzbeauftragte und die DSFA-Vorlage, die wir nicht haben.

Wogegen geprüft wird

Ein Auftragsverarbeitungsvertrag über Umfang, Weisungen, Vertraulichkeit, Sicherheit und die Kette der Unterauftragsverarbeiter.: Verordnung (EU) 2016/679 (DSGVO), Art. 28(3)
Dem Risiko angemessene technische und organisatorische Maßnahmen und ein Verfahren zu ihrer Überprüfung.: Verordnung (EU) 2016/679, Art. 32(1)(d)
Fortlaufende Integrität der Verarbeitungssysteme und der darin gehaltenen Aufzeichnungen.: Verordnung (EU) 2016/679, Art. 32(1)(b)
Eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt.: Verordnung (EU) 2016/679, Art. 35
Transparenz gegenüber einer Person, die mit einem KI-System interagiert, verteilt zwischen Anbieter und Betreiber.: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50; in Kraft seit 2. August 2026
Eine Höchstfrist für den Wechsel des Cloud-Dienstes und den Wegfall der Wechselentgelte.: Verordnung (EU) 2023/2854 (Data Act), Kapitel VI

Was auf dieser Seite steht

Eine Compliance-Quittung je gesteuerter Interaktion, von der drei Felder jeder ohne Schlüssel nachrechnen kann.: Heute in Betrieb
Nur anhängende, hashverkettete Aufzeichnungen: eine spätere Änderung oder Umsortierung wird durch Nachrechnen gegen ein gespeichertes Commitment erkennbar.: Umgesetzt
AVV nach Artikel 28, als Entwurf veröffentlicht.: In rechtlicher Prüfung
Das Subprozessorenregister mit Land und Übermittlungsgrundlage je Partei steht im Trust Center, dazu eine Beispieldatei, die das maschinenlesbare Format zeigt.: Register im Trust Center · Beispieldatei zum Herunterladen
Richtlinie zur koordinierten Offenlegung von Schwachstellen mit Safe-Harbour-Zusage.: Veröffentlicht
Ein Beispiel-Exportpaket für Datenschutzteams.: Zum Herunterladen
Eine DSFA-Vorlage, die Ihr eigener Datenschutzbeauftragter anpassen kann.: Nicht verfügbar
ISO 27001, ISO 42001, SOC 2 Type II.: Nicht zertifiziert – kein Audit beauftragt

1 · Der Vertrag

Auftragsverarbeitungsvertrag.

Der Vertrag nach Artikel 28 deckt Verarbeitungsumfang, die Subprozessorenkette, den Datenstandort, die Sicherheitsmaßnahmen nach Artikel 32, die Meldung von Verletzungen und Crypto-Shredding (folgt in Kürze) als Löschmechanismus ab. Er ist als Entwurf zur rechtlichen Prüfung veröffentlicht und wird nicht erst nach einem Gespräch zugeschickt.

Der endgültige Wortlaut liegt bei externem Rechtsbeistand. Weichen der veröffentlichte Text und das gegengezeichnete PDF nach dieser Prüfung voneinander ab, gilt das PDF, und die Änderung wird auf dieser Seite vermerkt.

2 · Die Kette

Das Subprozessorenregister, und eine Beispieldatei für das Format.

Maßgeblich ist die Tabelle im Trust Center: jeder Subprozessor mit Zweck, Datenkategorie, Land und Übermittlungsmechanismus, einschließlich Standardvertragsklauseln, wo sie greifen. Kunden erhalten 30 Tage Vorlauf, bevor eine Partei hinzukommt, und können innerhalb dieser Frist widersprechen.

Die CSV unten ist nicht dieses Register. Sie ist ein Beispiel für das maschinenlesbare Format, das ein Einkaufssystem einlesen kann, mit AVV-Kennungen, die nicht gegen die zugrunde liegenden Verträge geprüft sind. Die Tabelle der Unterauftragsverarbeiter im [Trust Center](/trust) ist das maßgebliche, aktuelle Register.

3 · Wer wem was schuldet

Artikel-50-Pflichten, vertraglich verteilt.

Der Reseller-Vertrag ordnet die anbieterseitigen Pflichten (Integrität der Nachweiskette und Attestierung der Offenlegung) Audact zu und die betreiberseitigen Pflichten (Skriptinhalte, Endkunden-Onboarding, Einholung von Einwilligungen) der Agentur. Was er noch nicht tut, ist etwas der Höhe nach zu deckeln: Betragsobergrenzen werden erst in der Vorlage des Reseller-Vertrags festgelegt, sobald EU-Rechtsberatung sie geprüft hat, und bis dahin machen weder die Nutzungsbedingungen noch diese Seite eine betragsmäßige Zusage. Fragen Sie den Betrag dort ab, wo es ihn gibt, statt hinter der Pflichtenverteilung einen zu vermuten.

Das wiegt schwerer, als es sich liest. Ab dem 9. Dezember 2026 behandelt die überarbeitete Produkthaftungsrichtlinie eine Partei, die ihren eigenen Namen, ihre Marke oder ein anderes Kennzeichen auf das Produkt eines anderen setzt, als dessen Hersteller, Software eingeschlossen. Es ist eine Richtlinie, sie erreicht Sie also über das Recht Ihres eigenen Mitgliedstaats, und welche Partei das in Ihrem Aufbau ist, ergibt sich aus der Rollenzuordnung auf der White-Label-Seite. Abschnitt 4 der Nutzungsbedingungen sagt dasselbe zu den Obergrenzen, in denselben Begriffen.

4 · Weggehen

Wechsel und Portabilität nach dem EU Data Act.

Kapitel VI der Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025; der erste und der dritte Punkt unten sind also Rechte, die Sie heute schon haben — nur das Verbot von Wechselentgelten beginnt später. Der dritte ist ein Recht, dessen Umsetzung am 26. August in Browser-Anrufen nachgemessen wurde, und das steht hier und nicht erst beim Ausstieg, denn das Weggehen ist der Punkt, an dem ein Käufer am häufigsten überrascht wird.

Zwei Monate Ausstiegsfrist (Phase 1), das Maximum nach Kapitel VI, für kundenseitig eingeleitete Wechsel.
Keine Wechselentgelte ab dem 12. Januar 2027.
Export Ihrer Nachweiskette in einem strukturierten, gängigen, maschinenlesbaren Format. Das Recht folgt aus Kapitel VI und gilt unabhängig davon, ob ein Vertrag es wiederholt. Die Umsetzung wurde am 26. August nach dem Deploy nachgemessen: fünf Anrufe, dreißig validierte Züge, dreißig Quittungen. Gemessen wurde an Browser-Anrufen, nicht über das Telefonnetz — diese Zeile trägt deshalb das Recht und die Messung statt einer vertraglichen Zusage.

5 · Zertifizierungsstand

Was wir haben, und was nicht.

Keines der drei. Das steht hier in denselben Worten wie im Trust Center, denn ein Security-Team, das zwei verschiedene Antworten findet, vertraut beiden nicht mehr.

Norm
ISO/IEC 27001
Stand
Nicht zertifiziert
Was das hier heißt
Es läuft kein Audit. Die Maßnahmen sind am Annex-A-Katalog ausgerichtet und wir gehen sie mit Ihnen Punkt für Punkt durch, aber kein externer Auditor hat sie geprüft. Ein Zieldatum nennen wir erst, wenn ein Audit beauftragt ist.
Norm
ISO/IEC 42001
Stand
Nicht zertifiziert
Was das hier heißt
Kein Zertifizierungspfad begonnen. Die harmonisierten europäischen Normen zur KI-Verordnung sind noch nicht endgültig; ein heute geprüftes Managementsystem würde an einem beweglichen Ziel gemessen. Wir verfolgen die Arbeit und sagen es hier, sobald ein Pfad beginnt.
Norm
SOC 2 Type II
Stand
Geplant, kein Prüfer beauftragt
Was das hier heißt
Eingetaktet nach den ersten zahlenden Einsätzen, damit der Prüfumfang reale Produktivkontrollen abbildet und keine leere Umgebung.

Zertifizierungsstand
Norm	Stand	Was das hier heißt
ISO/IEC 27001	Nicht zertifiziert	Es läuft kein Audit. Die Maßnahmen sind am Annex-A-Katalog ausgerichtet und wir gehen sie mit Ihnen Punkt für Punkt durch, aber kein externer Auditor hat sie geprüft. Ein Zieldatum nennen wir erst, wenn ein Audit beauftragt ist.
ISO/IEC 42001	Nicht zertifiziert	Kein Zertifizierungspfad begonnen. Die harmonisierten europäischen Normen zur KI-Verordnung sind noch nicht endgültig; ein heute geprüftes Managementsystem würde an einem beweglichen Ziel gemessen. Wir verfolgen die Arbeit und sagen es hier, sobald ein Pfad beginnt.
SOC 2 Type II	Geplant, kein Prüfer beauftragt	Eingetaktet nach den ersten zahlenden Einsätzen, damit der Prüfumfang reale Produktivkontrollen abbildet und keine leere Umgebung.

6 · Die Folgenabschätzung

DSFA-Vorlage.

Es gibt keine DSFA-Vorlage zum Herunterladen. Dieser Abschnitt beschreibt den vorgesehenen Inhalt, kein vorhandenes Dokument: den Audact-Datenfluss, die Aufbewahrungs-Standardwerte, die Optionen für die Rechtsgrundlage und die risikomindernden Maßnahmen für ausgehende Sprach-KI nach DSGVO Artikel 35, zum Anpassen durch Ihren eigenen Datenschutzbeauftragten und nicht zum Unterschreiben wie sie ist.

7 · Das Paket

Beispiel-Export für Datenschutzteams.

Das JSON-Paket, das ein Datenschutzbeauftragter auf Anfrage erhält: Beispielbelege, die Policy-Versionen, unter denen sie entstanden, die Herkunft der Einwilligung und die Subprozessor-Matrix zu diesem Zeitpunkt. Das Beispiel unten ist anonymisiert und trägt synthetische Werte.

8 · Ein Problem melden

Koordinierte Offenlegung von Schwachstellen.

Meldungen gehen an security@audact.ai, auf Wunsch verschlüsselt mit unserem öffentlichen PGP-Schlüssel. Er ist auf Anfrage verfügbar, und der Sicherheitskontakt ist unter /.well-known/security.txt nach RFC 9116 veröffentlicht. Bestätigung binnen 48 Stunden.

Die Safe-Harbour-Zusage und die vollständige Richtlinie stehen auf einer eigenen Seite, einschließlich dessen, was als Handeln in gutem Glauben gilt und wie viel Zeit wir vor einer öffentlichen Offenlegung erbitten.

Fragen

Bekommen wir den AVV als gegenzeichenbares PDF?: Ja. Die Bedingungen sind unter /legal/dpa veröffentlicht, das PDF wird beim Onboarding bereitgestellt. Schreiben Sie an privacy@audact.ai, wenn der Einkauf es früher braucht.
Sitzen alle Subprozessoren in der EU?: Nein. Mehrere sind US-Gesellschaften; diese Übermittlungen laufen unter Standardvertragsklauseln. Die Tabelle im Trust Center nennt Land und Übermittlungsmechanismus je Partei und ist das maßgebliche Register; die herunterladbare CSV zeigt das Dateiformat, nicht das Register.
Wer ist Anbieter nach Artikel 50, wir oder Audact?: Das hängt vom Einsatz ab, und der Vertrag legt fest, welche Pflicht wo liegt, statt es später ausdiskutieren zu lassen. Eine Agentur, die ihren eigenen Namen auf einen Sprachagenten setzt und ihn weiterverkauft, ist nach überwiegender Lesart dessen Anbieter. Klären Sie das vor dem ersten Gespräch, nicht danach.
Führen Sie Penetrationstests durch?: Noch nicht. Es wurde kein externer Penetrationstest durchgeführt. Ein erster externer Test ist vor dem ersten zahlenden Einsatz vorgesehen; das Datum veröffentlichen wir hier, sobald er gebucht ist. Bis dahin gehen wir die Maßnahmen Zeile für Zeile mit Ihrem Sicherheitsteam durch.
Was geschieht mit unseren Daten, wenn wir wechseln?: Zwei Monate Frist und keine Wechselentgelte ab dem 12. Januar 2027. Kapitel VI gibt Ihnen außerdem das Recht, Ihre Nachweiskette in einem strukturierten, gängigen, maschinenlesbaren Format zu exportieren; dieses Recht steht für sich. Der Produktivexport dahinter wurde am 26. August in Browser-Anrufen nachgemessen: fünf Anrufe, dreißig validierte Züge, dreißig Quittungen — Abschnitt 4 nennt deshalb diese Messung, statt die Lieferung zuzusichern. Die Löschung durch Vernichtung des Schlüssels, wodurch der abgeleitete Chiffretext dauerhaft unlesbar wird, folgt in Kürze.

Das größere Bild

Das Trust Center trägt dieselben Fakten in der Form, in der Einkauf und Recht danach fragen: die vollständige Subprozessorentabelle, Hosting und Aufbewahrung, die Gesellschaftsstruktur, die Marketing-Claim-Matrix und die Reichweite der Audact-Garantie.

Trust Center