Auftragsverarbeitungsvertrag und Anlagen

1. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

2. Verarbeitung bezeichnet jeden Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu gehören das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten.

3. Weisungen sind dokumentierte Anweisungen des Auftraggebers zur Verarbeitung personenbezogener Daten. Der Hauptvertrag und dieser Vertrag enthalten die anfänglichen Weisungen. Der Auftraggeber kann sie durch Einzelweisungen ändern oder ergänzen.

4. Unterauftragsverarbeiter sind weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO, die der Auftragnehmer für einzelne Verarbeitungstätigkeiten einsetzt.

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung und der Support von Vera.

2. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er verantwortet die Rechtmäßigkeit der Erhebung und der Verarbeitung sowie die Wahrung der Rechte betroffener Personen.

3. Der Auftragnehmer verarbeitet die Daten nur für die in § 4 genannten Zwecke und nach dokumentierten Weisungen des Auftraggebers.

1. Dieser Vertrag tritt mit Abschluss des Hauptvertrages in Kraft. Die bei Vertragsschluss geltende Fassung dieses Vertrages wird dem Auftraggeber in elektronischer Form zur Verfügung gestellt.

2. Seine Laufzeit entspricht der Laufzeit des Hauptvertrages. Pflichten, die ihrer Natur nach über das Vertragsende hinaus gelten, bleiben unberührt.

3. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

1. Vera nimmt Anrufe und, soweit gebucht, Nachrichten für den Auftraggeber entgegen. Vera wandelt Sprache in Text und Text in Sprache um, erkennt das Anliegen, erstellt Gesprächsprotokolle und übermittelt Ergebnisse an den Auftraggeber. Je nach beauftragter Funktion gehören Rückrufwünsche, E-Mail-Benachrichtigungen, angebundene Verwaltungssysteme, die Adressprüfung, Standortkarten, Browser-Benachrichtigungen, die Portal-Analyse und der WhatsApp-Kanal zur Verarbeitung.

2. Die Verarbeitung umfasst das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Berichtigen, Zurückgeben und Löschen personenbezogener Daten.

3. Umfang und Konfiguration richten sich nach dem Hauptvertrag, den gebuchten oder freigeschalteten Funktionen und den Weisungen des Auftraggebers.

4. Der Auftragnehmer verarbeitet personenbezogene Daten an den Standorten, die Anlage 1 je Dienst nennt. Die Anlage unterscheidet Verarbeitung in der Europäischen Union oder im Europäischen Wirtschaftsraum von Drittlandverarbeitungen und möglichen Fernzugriffen aus Drittländern.

5. Der Auftragnehmer nutzt Gesprächsaudio, Transkripte, Gesprächsinhalte, Rufnummern, Kontakt- und Objektdaten nicht zum Training von KI-Modellen und nicht für eigene Zwecke, soweit sie einen Personenbezug aufweisen. Personenbezogene technische Daten aus Betrieb, Fehleranalyse und Portalnutzung verarbeitet der Auftragnehmer im Rahmen dieses Auftrags für die Leistungserbringung, Fehlerbehebung und, bei aktivierter Portal-Analyse, die Verbesserung der vom Auftraggeber genutzten Funktionen.

6. Der Auftraggeber gestattet dem Auftragnehmer, die in Absatz 5 Satz 1 genannten Daten zu aggregierten Kennzahlen über die Kommunikation in der Immobilienverwaltung zu verdichten und die Ergebnisse für Produktverbesserung, Markt- und Branchenanalysen sowie deren Veröffentlichung zu nutzen. Der Auftragnehmer weist einen Wert nur aus, wenn er auf mindestens drei Gesprächen aus mindestens drei Kundenbeständen beruht; darunter unterbleibt die Angabe. Wörtliche Zitate, Transkriptauszüge, Namen und Rufnummern fließen nicht in die Ergebnisse ein. Die Ergebnisse lassen keinen Rückschluss auf den Auftraggeber oder eine betroffene Person zu.

7. Der Auftraggeber kann der Einbeziehung seiner Bestände in die Auswertung nach Absatz 6 jederzeit in Schriftform (E-Mail ausreichend) widersprechen. Der Auftragnehmer vermerkt den Widerspruch in der Dokumentation der Auswertung und schließt die Bestände ab dem folgenden Auswertungslauf aus. Bereits veröffentlichte Ergebnisse bleiben unberührt.

Der Auftragnehmer verarbeitet je nach Auftrag und aktivierter Funktion diese Datenarten:

• Namen, E-Mail-Adressen, Rufnummern und weitere Kontaktdaten;

• Benutzerkennungen, Rollen, Anmelde- und Sitzungsdaten;

• Gesprächsinhalte und Transkripte;

• Zeitpunkt, Dauer und technische Verbindungsdaten eines Anrufs;

• Anliegen, Rückrufwünsche und vom Auftraggeber festgelegte Bearbeitungsmerkmale;

• Objekt- und Wohnungsadressen sowie zugehörige Objektangaben;

• Daten zu Mietern, Eigentümern, Beschäftigten, Handwerkern und weiteren Dienstleistern nach dem Hauptvertrag;

• Nachrichten und Medien aus gebuchten Messaging-Kanälen;

• technische Protokoll-, Fehler- und Nutzungsdaten; sowie

• bei aktivierter Gesprächsaufzeichnung das Gesprächsaudio.

Anrufende Personen können in einem freien Gespräch insbesondere Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO nennen. Der Auftragnehmer fragt solche Angaben nicht gezielt ab. Er verarbeitet sie nur, soweit sie Bestandteil des vom Auftraggeber veranlassten Gesprächs sind.

Die Verarbeitung kann folgende Personen betreffen:

• Beschäftigte und Benutzer des Auftraggebers;

• Anrufer und Absender von Nachrichten;

• Mieter und Eigentümer;

• Handwerker und andere Dienstleister; sowie

• weitere Kontaktpersonen, deren Daten der Auftraggeber Vera bereitstellt oder die sich an den Auftraggeber wenden.

1. Der Auftraggeber kann während der Vertragslaufzeit durch eine rechtmäßige Weisung die Berichtigung, Löschung, Einschränkung oder Herausgabe personenbezogener Daten verlangen. Der Auftragnehmer setzt die Weisung im technisch möglichen Umfang um und dokumentiert das Ergebnis.

2. Nach Vertragsende sperrt der Auftragnehmer die Zugänge des Auftraggebers ohne unangemessene Verzögerung. Der Auftraggeber teilt bis zum Vertragsende mit, ob der Auftragnehmer die personenbezogenen Daten zurückgibt oder löscht. Ohne Mitteilung löscht der Auftragnehmer die Daten.

3. Verlangt der Auftraggeber die Rückgabe, stellt der Auftragnehmer die Daten innerhalb von 30 Kalendertagen bereit. Strukturierte Daten liefert er in einem gängigen maschinenlesbaren Format. Dateien liefert er im vorhandenen Dateiformat. Die Parteien stimmen den verschlüsselten Übergabeweg in Schriftform (E-Mail ausreichend) ab.

4. Der Auftragnehmer löscht die personenbezogenen Daten aus seinen Primärsystemen innerhalb von 30 Kalendertagen nach der Rückgabe. Verlangt der Auftraggeber keine Rückgabe oder trifft er keine Wahl, beginnt die Frist mit dem Vertragsende.

5. Bis zur Löschung sperrt der Auftragnehmer die Daten für den Regelbetrieb. Wiederherstellungspunkte der Datenbank (Point-in-Time Recovery) laufen nach sieben Tagen aus. Andere Sicherungskopien löscht oder überschreibt der Auftragnehmer im Rahmen der dokumentierten Rotation, spätestens 90 Kalendertage nach der Primärlöschung. Stellt der Auftragnehmer innerhalb dieser Frist eine Sicherungskopie wieder her, löscht er die betroffenen Daten erneut.

6. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Der Auftragnehmer trennt solche Restbestände, sperrt sie für andere Zwecke und löscht sie nach Ablauf der Aufbewahrungsfrist.

7. Der Auftragnehmer bestätigt dem Auftraggeber auf Verlangen in Schriftform (E-Mail ausreichend), wann er die Zugänge gesperrt, die Daten zurückgegeben und die Primärdaten gelöscht hat. Die Bestätigung nennt auch den Zeitpunkt, zu dem die letzte Sicherungskopie ausläuft.

8. Ein Zurückbehaltungsrecht hinsichtlich der verarbeiteten personenbezogenen Daten und der zugehörigen Datenträger ist ausgeschlossen.

1. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen aus Anlage 2. Sie gewährleisten ein Schutzniveau, das dem Risiko der Verarbeitung entspricht.

2. Der Auftragnehmer darf Maßnahmen an den technischen Fortschritt anpassen. Das vereinbarte Sicherheitsniveau darf dabei nicht sinken. Änderungen der technischen und organisatorischen Maßnahmen richten sich im Übrigen nach § 18 Abs. 3.

3. Der Auftragnehmer prüft die Wirksamkeit der Maßnahmen und passt sie an, wenn die Verarbeitung oder ihre Risiken dies erfordern.

1. Der Auftraggeber erteilt Einzelweisungen in Schriftform (E-Mail ausreichend). Mündliche Weisungen bestätigt er ohne unangemessene Verzögerung in Schriftform (E-Mail ausreichend).

2. Der Auftragnehmer verarbeitet personenbezogene Daten nur nach dem Hauptvertrag, diesem Vertrag und dokumentierten Weisungen. Dies gilt auch für die Übermittlung an ein Drittland oder eine internationale Organisation.

3. Verpflichtet das Recht der Europäischen Union oder eines Mitgliedstaats den Auftragnehmer zu einer Verarbeitung, informiert er den Auftraggeber vor der Verarbeitung. Eine gesetzliche Mitteilungssperre aus wichtigem öffentlichen Interesse bleibt unberührt.

4. Hält der Auftragnehmer eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen der Europäischen Union oder ihrer Mitgliedstaaten, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

5. Eine zusätzliche Vergütung für Einzelweisungen setzt eine gesonderte Vereinbarung voraus. § 10 Abs. 7 bleibt unberührt.

1. Der Auftragnehmer bestellt einen Datenschutzbeauftragten, soweit das Gesetz dies verlangt. Er teilt dem Auftraggeber die Kontaktdaten auf Anfrage mit.

2. Der Auftragnehmer gewährt nur Personen Zugang zu personenbezogenen Daten, die ihn unterstützen. Er verpflichtet diese Personen zur Vertraulichkeit oder stellt eine gesetzliche Verschwiegenheitspflicht fest. Die Pflicht gilt nach dem Ende ihrer Tätigkeit fort.

3. Der Auftragnehmer informiert den Auftraggeber unverzüglich über jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft und deren Vorliegen aufgrund objektiver Umstände festgestellt werden kann.

4. Die Erstmeldung enthält die verfügbaren Angaben zur Art der Verletzung, zu den Kategorien und der Zahl betroffener Personen und Datensätze, zu den wahrscheinlichen Folgen sowie zu den ergriffenen oder vorgeschlagenen Maßnahmen. Der Auftragnehmer nennt eine Anlaufstelle für Rückfragen. Fehlende Angaben liefert er ohne unangemessene Verzögerung nach.

5. Der Auftragnehmer begrenzt den Vorfall, sichert erforderliche Nachweise und unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO.

6. Der Auftraggeber gestattet die Verarbeitung im Homeoffice oder bei mobiler Arbeit. Der Auftragnehmer wendet dort die Maßnahmen aus Anlage 2 an.

7. Die Vergütung aus dem Hauptvertrag deckt die Pflichten des Auftragnehmers bei Datenschutzverletzungen, Datenrückgabe, Löschung, Betroffenenrechten und der Unterstützung nach Art. 32 bis 36 DSGVO. Eine zusätzliche Vergütung setzt eine gesonderte Beauftragung voraus, die über diese Vertragspflichten hinausgeht.

1. Der Auftraggeber verantwortet die Zulässigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen.

2. Der Auftraggeber informiert den Auftragnehmer über Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Verarbeitung feststellt.

3. Der Auftraggeber verantwortet die Erfüllung der Informationspflichten nach Art. 12 bis 14 DSGVO gegenüber den betroffenen Personen.

4. Der Auftraggeber erteilt Weisungen so rechtzeitig und vollständig, dass der Auftragnehmer sie umsetzen kann.

5. Der Auftraggeber erfüllt seine Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Der Auftragnehmer unterstützt ihn nach § 10 und § 12.

6. Der Auftraggeber darf die Nachweise und Kontrollen nach § 14 verlangen.

1. Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei allen Rechten betroffener Personen nach Kapitel III DSGVO. Die Unterstützung richtet sich nach der Art der Verarbeitung.

2. Richtet eine betroffene Person eine Anfrage an den Auftragnehmer, leitet er sie unverzüglich an den Auftraggeber weiter. Ohne Weisung des Auftraggebers beantwortet er die Anfrage nicht, soweit ihn keine gesetzliche Pflicht zur Antwort trifft.

3. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Dazu gehören die Sicherheit der Verarbeitung, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen von Aufsichtsbehörden.

4. Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, über die er verfügt und die der Auftraggeber für diese Pflichten benötigt.

Beide Parteien und ihre Vertreter arbeiten auf Anfrage mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Der Auftragnehmer informiert den Auftraggeber über Maßnahmen einer Aufsichtsbehörde, soweit die Maßnahme Daten oder Verarbeitungen des Auftraggebers betrifft und das Gesetz die Information erlaubt.

1. Der Auftragnehmer stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung.

2. Der Auftraggeber darf Selbstauskünfte und vorhandene Prüfberichte anfordern. Er darf auf eigene Kosten Überprüfungen und Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

3. Der Auftraggeber berücksichtigt bei Kontrollen den Geschäftsbetrieb und die Rechte anderer Kunden. Der Auftragnehmer darf einen Prüfer ablehnen, der in einem Wettbewerbsverhältnis zu ihm steht.

4. Der Auftraggeber trägt die Kosten der von ihm veranlassten Kontrolle sowie die angemessenen Kosten der Mitwirkung des Auftragnehmers. Zwingende gesetzliche Rechte und Pflichten bleiben unberührt.

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die Unterauftragsverarbeiter aus Anlage 1 einzusetzen.

2. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter durch Vertrag zu denselben Datenschutzpflichten, die dieser Vertrag dem Auftragnehmer auferlegt. Er prüft vor dem Einsatz, ob der Unterauftragsverarbeiter hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet. Setzt ein unmittelbarer Unterauftragsverarbeiter einen weiteren Auftragsverarbeiter ein, verpflichtet der Auftragnehmer ihn, mit dem weiteren Auftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO zu schließen.

3. Über die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert der Auftragnehmer den Auftraggeber nach Maßgabe des § 18 Abs. 3.

4. Der Auftraggeber kann der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters nach Maßgabe des § 18 Abs. 3 aus wichtigem datenschutzrechtlichem Grund in Schriftform (E-Mail ausreichend) widersprechen. Der Auftragnehmer setzt den betroffenen Dienst bis zur Klärung nicht für den Auftraggeber ein.

5. Können die Parteien den Widerspruch nicht ausräumen und kann der Auftragnehmer die betroffene Leistung ohne den Dienst nicht erbringen, darf jede Partei die betroffene Leistung zum geplanten Einsatzzeitpunkt kündigen.

6. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der Datenschutzpflichten seiner unmittelbaren und weiteren Unterauftragsverarbeiter verantwortlich.

7. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die dieser für seine Kontrollpflichten benötigt. Er darf Geschäftsgeheimnisse und Informationen anderer Kunden schützen.

1. Der Auftragnehmer wahrt bei der Verarbeitung personenbezogener Daten die Vertraulichkeit.

2. Der Auftraggeber informiert den Auftragnehmer in Schriftform (E-Mail ausreichend) über besondere Geheimnisschutzregeln, die für die Verarbeitung gelten.

3. Die gesetzlichen und vertraglichen Geheimhaltungspflichten aus dem Hauptvertrag bleiben unberührt.

1. Für die Haftung der Parteien aus und im Zusammenhang mit diesem Auftragsverarbeitungsvertrag gelten die Haftungsregelungen des Hauptvertrages.

2. Zwingende gesetzliche Haftungsvorschriften, insbesondere Art. 82 DSGVO, bleiben unberührt.

1. Gefährden Pfändung, Beschlagnahme, Insolvenz oder andere Maßnahmen Dritter personenbezogene Daten des Auftraggebers, informiert der Auftragnehmer den Auftraggeber unverzüglich. Er weist die beteiligten Dritten auf die Verantwortlichkeit des Auftraggebers hin, soweit dies rechtlich zulässig ist.

2. Die Verarbeitung findet an den in Anlage 1 genannten Standorten statt. Der Auftraggeber genehmigt die dort beschriebenen Drittlandverarbeitungen und Drittlandzugriffe. Der Auftragnehmer wahrt die Voraussetzungen der Art. 44 bis 49 DSGVO und nennt in Anlage 1 die eingesetzte Drittlandgarantie.

3. Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen werden dem Auftraggeber mindestens dreißig (30) Kalendertage vor ihrem vorgesehenen Inkrafttreten in Schriftform (E-Mail ausreichend) mitgeteilt und unter https://www.heyvera.de/avv veröffentlicht. Sie gelten als vereinbart, wenn der Auftraggeber ihnen nicht bis zum vorgesehenen Inkrafttreten, mindestens aber innerhalb von dreißig (30) Kalendertagen nach Zugang der Mitteilung, in Schriftform (E-Mail ausreichend) widerspricht. Der Auftragnehmer weist den Auftraggeber in der Mitteilung auf die Änderungen, die Widerspruchsmöglichkeit, die Widerspruchsfrist und die Folgen eines unterbleibenden Widerspruchs hin. Änderungen, die Gegenstand oder Zweck der Verarbeitung oder sonstige wesentliche Rechte und Pflichten der Parteien betreffen, bedürfen der vorherigen Zustimmung des Auftraggebers in Schriftform (E-Mail ausreichend). Widerspricht der Auftraggeber fristgerecht, gilt für ihn die bisherige Fassung fort.

4. Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam.

5. Es gilt deutsches Recht unter Ausschluss des Kollisionsrechts.

6. Es gilt der Gerichtsstand des Hauptvertrages, sofern er in Deutschland liegt. Andernfalls ist der Sitz des Auftragnehmers ausschließlicher Gerichtsstand.

Die Plattform verlangt für die geschützten Seiten des Kundenportals eine Anmeldung. Der Anmeldedienst prüft die Sitzung bei jedem Seitenaufruf. Gesperrte Benutzerkonten erhalten keinen Zugang.

Das Portal ordnet jedes Benutzerkonto einem oder mehreren Mandanten und einer Rolle zu. Die Rollen „Inhaber“, „Administrator“ und „Mitglied“ steuern die Rechte. Inhaber und Administratoren dürfen Mitglieder einladen und Konfigurationen verwalten. Mitglieder erhalten Leserechte und die Rechte, die eine einzelne Funktion vorsieht. Die Datenbank prüft bei Kundenkonten zusätzlich die Benutzerkennung, den Mandanten und die Rolle.

Supabase überträgt Daten über TLS 1.2 und verschlüsselt Datenträger sowie Backups mit AES-256. Google Cloud verschlüsselt Kundendaten nach Abschnitt 7.1.1 seines Auftragsverarbeitungsvertrags. Die Anbieter verwalten die dafür eingesetzten Schlüssel.

Die Plattform verschlüsselt Zugangsdaten zu angebundenen Verwaltungssystemen vor der Speicherung mit AES-256-GCM. Den Schlüssel und die Zugangsdaten zu weiteren Diensten legt HeyVera im Secret Manager von Google Cloud ab. Die Dienste erhalten diese Secrets erst zur Laufzeit über ihre jeweilige Dienstkennung.

Die Datenbank ordnet die Bestände über eine Mandantenkennung dem jeweiligen Kunden zu. Row Level Security, eine Zugriffskontrolle auf Zeilenebene, lässt angemeldete Kundenkonten nur auf Zeilen ihres Mandanten zugreifen. Die Datenbank setzt diese Grenze unabhängig von der Oberfläche durch.

Der Sprachdienst und die Auswertungsläufe erhalten die Mandantenkennung für den jeweiligen Verarbeitungsschritt. Abschnitt 8 beschreibt die technischen Zugänge von HeyVera.

Die Datenbank protokolliert das Anlegen, Ändern und Löschen von Mandanten, Sprachassistenten, Assistentenkonfigurationen, Funktionsfreigaben, Anbindungen und Benutzerrollen. Jeder Eintrag enthält den betroffenen Datensatz, den Zeitpunkt, die geänderten Felder und, soweit der Zugriff über ein Benutzerkonto erfolgt, die Benutzerkennung. Die Protokollierung entfernt Zugangsdaten aus den gespeicherten alten und neuen Werten. Kundenkonten können diese Einträge nicht ändern oder löschen.

Die Plattform protokolliert für Gesprächsaufzeichnungen Wiedergaben, Downloads, fehlgeschlagene Zugriffe und Löschvorgänge mit Benutzerkennung, Zeitpunkt und Ergebnis. Das interne Administrationswerkzeug protokolliert den handelnden Superadmin bei jedem Aufruf. Beim Abruf eines Transkripts hält es zusätzlich Mandant und Gespräch fest.

Supabase erstellt nach seiner vertraglichen Zusage täglich verschlüsselte Backups auf unabhängigen Speichersystemen. Google Cloud sagt in Abschnitt 7.1.1 seines Auftragsverarbeitungsvertrags zu, den Zugang zu Kundendaten nach einem Vorfall wiederherzustellen. Backup und Recovery der Plattformdaten liegen bei diesen Anbietern.

Der Kunde kann die Löschung einer betroffenen Person über die Löschfunktion im Portal veranlassen. Die Plattform entfernt dabei die Person, ihre Anrufprotokolle, Tickets und zugehörige abgeglichene Datensätze.

Gesprächsaufzeichnungen sind im Auslieferungszustand ausgeschaltet. Aktiviert der Kunde die Funktion, setzt die Plattform beim Anlegen der Aufzeichnung einen Löschzeitpunkt. Die Frist beträgt 30 Tage, soweit nichts anderes vereinbart ist. Die Plattform löscht fällige Aufzeichnungen stündlich automatisch und protokolliert jede Löschung. Audio, das die Plattform nur für die nachgelagerte Umwandlung in Text zwischenspeichert, löscht die Plattform nach dem Umwandlungsversuch, spätestens 24 Stunden nach dem Speichern.

Sentry erfasst technische Fehler der Anwendung und des Sprachdienstes. Die Plattform übermittelt an Sentry keine Benutzerkennungen. Telefonnummern und E-Mail-Adressen entfernt die Plattform vor der Übermittlung aus den Fehlerdaten; die Rufnummer des Anrufs erscheint höchstens gekürzt auf die ersten vier Zeichen. Aufzeichnungen von Sitzungen im Kundenportal zeigen keine Texte und keine Medien. Google Cloud Monitoring prüft die Erreichbarkeit und technische Grenzwerte, darunter Fehlerraten und Auslastung. Für die hinterlegten Empfänger erzeugt die Plattform Benachrichtigungen aus diesen Regeln.

HeyVera kann Kundendaten über gesonderte Superadmin-Konten mandantenübergreifend abrufen und bearbeiten. Der Zugang setzt ein angemeldetes Benutzerkonto und eine gesonderte Freischaltung durch HeyVera voraus. Dienste von HeyVera greifen mit technischen Dienstkonten auf die Daten zu, soweit sie Anrufe bearbeiten, Inhalte auswerten, Anbindungen synchronisieren oder den Betrieb sichern.

Die Unterauftragsverarbeiter erhalten Daten für ihren jeweiligen Verarbeitungsschritt. Google Cloud und Supabase betreiben die Anwendung, Datenbank, Anmeldung und Dateispeicher. Telnyx und, bis zum Abschluss der Umstellung, Twilio transportieren Telefonate. Lettermint versendet transaktionale E-Mails. Deepgram, AssemblyAI und ElevenLabs verarbeiten Sprache. OpenAI und Anthropic über Google Vertex AI verarbeiten Text für Gesprächsführung, Auswertung oder die Chat-Funktion. Sentry erhält technische Fehlerdaten. Je nach gebuchter oder aktivierter Funktion kommen Meta für WhatsApp, PostHog für die Portal-Analyse und die Browser-Push-Dienste hinzu.

Lettermint verarbeitet die transaktionalen E-Mails in den Niederlanden innerhalb der Europäischen Union; Backups liegen in Deutschland.

Die Anlage „Unterauftragsverarbeiter der HeyVera GmbH“ nennt Rechtsträger, Verarbeitungsorte, Drittlandgarantien und Verträge. Sie kennzeichnet auch Dienste, die als eigenständig Verantwortliche handeln.