Subunternehmer bei der Nutzung von Vera
Anlage zum Auftragsverarbeitungsvertrag zwischen der HeyVera GmbH, Dresdener Straße 113b, 10179 Berlin, und dem Kunden. Stand:
HeyVera verarbeitet personenbezogene Daten der Anruferinnen und Anrufer im Auftrag des Kunden. Die folgenden Unternehmen sind dabei eingebunden, überwiegend als weitere Auftragsverarbeiter. Einzelne Empfänger werden nicht als Auftragsverarbeiter tätig; das steht in der letzten Spalte.
Änderungen an dieser Liste kündigt HeyVera nach Art. 28 Abs. 2 DSGVO vorab an. Der Kunde kann einer Änderung nach § 15 Abs. 3 des Auftragsverarbeitungsvertrags binnen vierzehn Tagen schriftlich widersprechen.
Immer eingesetzt
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Drittlandgarantie | Auftragsverarbeitung beim Anbieter |
|---|---|---|---|---|---|
| Google Cloud Platform | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Betrieb der Anwendung, Sprachtransport, Protokollierung, Schlüsselverwaltung und KI-Sprachmodelle über Vertex AI | Region europe-west1 (Belgien) | Keine Übermittlung in ein Drittland im Regelbetrieb. Konzerninterner Supportzugriff durch Google LLC ist über EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert. | Cloud Data Processing Addendum |
| Supabase | Supabase, Inc., 3500 S. DuPont Highway, Dover, DE 19901, USA | Datenbank, Anmeldung und Dateispeicher der Plattform, einschließlich Gesprächsprotokollen | AWS eu-central-1 (Frankfurt) | Standardvertragsklauseln im Auftragsverarbeitungsvertrag | Data Processing Addendum |
| Twilio (einschließlich SendGrid) | Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA | Telefonie-Infrastruktur, Rufnummern, Anrufweiterleitung und Versand transaktionaler E-Mails | USA (Account-Region US1) | EU-US Data Privacy Framework (Teilnehmer-ID 5394), ergänzend Standardvertragsklauseln | Data Protection Addendum |
| Deepgram | Deepgram, Inc., 548 Market St Suite 25104, San Francisco, CA 94104, USA | Umwandlung der gesprochenen Sprache in Text während des Anrufs | EU-Endpunkt api.eu.deepgram.com | Standardvertragsklauseln für den konzerninternen Zugriff aus den USA. Keine Speicherung nach der Verarbeitung, keine Nutzung zum Modelltraining. | Datenschutzangaben des Anbieters |
| ElevenLabs | Eleven Labs, Inc., 169 Madison Ave #2484, New York, NY 10016, USA. Vertragspartnerin im EWR: Eleven Labs Poland sp. z o.o., Warschau | Sprachausgabe des Assistenten sowie letzte Ausweichstufe der Spracherkennung | EU-Residency-Endpunkt api.eu.residency.elevenlabs.io | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln, für den konzerninternen Zugriff aus den USA | Data Processing Agreement |
| OpenAI | OpenAI Ireland Limited, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland | Sprachmodell zur Gesprächsführung, nachgelagerte Auswertung von Transkripten sowie Rückfallebene für die Chat-Funktion im Kundenportal | USA | Standardvertragsklauseln. Löschung der Anfragen und Antworten nach 30 Tagen, keine Nutzung zum Modelltraining. | Data Processing Addendum |
| Anthropic über Google Vertex AI | Google Ireland Limited, Dublin, Irland als Betreiberin der Vertex-AI-Plattform | Sprachmodell für die Chat-Funktion im Kundenportal | Region europe-west1 (Belgien) | Keine Übermittlung in ein Drittland im Regelbetrieb | Cloud Data Processing Addendum |
| Sentry | Functional Software, Inc. (dba Sentry), 45 Fremont Street, San Francisco, CA 94105, USA | Erkennung und Analyse technischer Fehler der Anwendung | EU-Region (de.sentry.io, Deutschland) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Addendum |
Automatische Ausweichdienste
Diese Dienste sind nicht kundenseitig abwählbar. Sie springen ein, wenn der jeweils vorgelagerte Dienst nicht antwortet, und erhalten in diesem Fall dieselben Daten wie dieser.
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Drittlandgarantie | Auftragsverarbeitung beim Anbieter |
|---|---|---|---|---|---|
| AssemblyAI | AssemblyAI Inc., 169 Madison Ave STE 38365, New York, NY 10016, USA | Spracherkennung, wenn Deepgram nicht antwortet. Die Reihenfolge der Spracherkennungsdienste legt HeyVera fest. | EU-Endpunkt, Rechenzentrum Dublin | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Addendum |
Nur bei bestimmten Funktionen
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Drittlandgarantie | Auftragsverarbeitung beim Anbieter |
|---|---|---|---|---|---|
| Google Maps Platform | Google Ireland Limited, Dublin, Irland | Nur bei aktivierter Adressprüfung: Validierung und Geokodierung mündlich genannter Adressen | EU und USA | Standardvertragsklauseln, ergänzend EU-US Data Privacy Framework | Controller-Controller-Datenschutzbedingungen. Google ist für die Maps Platform eigene Verantwortliche, nicht Auftragsverarbeiterin. |
| WhatsApp Business (Meta Cloud API) | Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland | Nur bei gebuchtem WhatsApp-Kanal: Empfang und Versand von Nachrichten und Medien | EU, Verarbeitung innerhalb der Meta-Unternehmen auch in den USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Business Data Processing Terms |
| Browser-Push-Dienste (Google FCM, Apple Push, Mozilla autopush) | Google Ireland Limited, Dublin; Apple Distribution International Ltd., Cork; Mozilla Corporation, USA | Nur wenn Mitarbeitende des Kunden Browser-Benachrichtigungen aktiviert haben: Zustellung der Benachrichtigung über eingehende Anrufe | Abhängig vom Browser des Mitarbeitenden, EU und USA | Google LLC und Apple Inc. sind unter dem EU-US Data Privacy Framework zertifiziert. Der Nachrichteninhalt ist Ende-zu-Ende verschlüsselt; jeder Push-Dienst, auch Mozilla autopush, sieht nur den verschlüsselten Block und die Endpunkt-Metadaten. | Kein einheitlicher Auftragsverarbeitungsvertrag, die Zustellung erfolgt über den vom Browser gewählten Dienst. |
| PostHog | PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA | Analyse der Nutzung des eingeloggten Portals durch Mitarbeitende des Kunden zur Fehlersuche und Produktverbesserung. Anruferdaten sind in den Aufzeichnungen maskiert. | AWS eu-central-1 (Frankfurt) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Agreement |
| OpenStreetMap | OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich | Nur bei Aufruf der Standortkarte im Portal: Laden der Kartenkacheln | Vereinigtes Königreich und Niederlande | Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, gültig bis 27. Dezember 2031 | Kein Auftragsverarbeitungsvertrag, Abruf einer öffentlichen Kartenquelle. |
Eingesetzt, aber keine Auftragsverarbeitung
Diese Komponenten stecken im Betrieb, ohne dass der jeweilige Anbieter personenbezogene Daten erhält. Sie gehören deshalb nicht in die Tabellen oben und nicht in das Verarbeitungsverzeichnis des Kunden.
Sprachtransport: LiveKit, selbst betrieben
Der Echtzeit-Transport des Gesprächsaudios zwischen Anrufer und Assistent läuft über eine von HeyVera selbst betriebene Serverinstanz in der Google-Cloud-Region europe-west1. Die LiveKit, Inc. erhält dabei keine Gesprächsdaten und ist keine Auftragsverarbeiterin, da HeyVera die Software auf eigener Infrastruktur betreibt. Für die zugrunde liegende Infrastruktur gilt die Zeile zur Google Cloud Platform.
Gesprächsaufzeichnung
Die Aufzeichnung des Gesprächsaudios ist im Auslieferungszustand abgeschaltet. Wird sie je Assistent aktiviert, gilt eine voreingestellte Aufbewahrung von 30 Tagen; die Frist ist zwischen 1 und 365 Tagen einstellbar. Aufzeichnungen liegen in einem Speicher in der Region europe-west1 und werden nach Ablauf der eingestellten Frist automatisch gelöscht.
Hinweis
Diese Liste beschreibt den Stand der eingesetzten Dienste zum genannten Datum. Sie ersetzt keine rechtliche Prüfung durch den Kunden.