Unterauftragsverarbeiter bei der Nutzung von Vera
Anlage zum Auftragsverarbeitungsvertrag zwischen der HeyVera GmbH, Dresdener Straße 113b, 10179 Berlin, und dem Kunden. Stand:
HeyVera verarbeitet personenbezogene Daten der Anruferinnen und Anrufer im Auftrag des Kunden. Dafür bindet HeyVera die folgenden Unternehmen ein, überwiegend als Unterauftragsverarbeiter, also als weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO. Einzelne dieser Unternehmen werden nicht als Auftragsverarbeiter tätig, sondern als eigenständig Verantwortliche; das steht dann in der Spalte zur vertraglichen Grundlage. Software, die HeyVera selbst betreibt und bei der der Anbieter keine Daten erhält, steht unter den Tabellen.
Änderungen an dieser Liste kündigt HeyVera nach Art. 28 Abs. 2 DSGVO an. Der Kunde kann einer Änderung nach § 15 Abs. 3 des Auftragsverarbeitungsvertrags binnen 14 Tagen schriftlich widersprechen.
Immer eingesetzt
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Garantie bei Übermittlung in ein Drittland | Vertragliche Grundlage beim Anbieter |
|---|---|---|---|---|---|
| Google Cloud Platform | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Betrieb der Anwendung, Sprachtransport, Speicherung der Gesprächsaufzeichnungen, Protokollierung, Schlüsselverwaltung und KI-Sprachmodelle über Vertex AI | Belgien (Region europe-west1) | Im Regelbetrieb keine Übermittlung in ein Drittland. Konzerninterner Supportzugriff durch Google LLC ist über das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert. | Cloud Data Processing Addendum |
| Supabase | Supabase, Inc., 3500 S. DuPont Highway, Dover, DE 19901, USA | Datenbank, Anmeldung und Dateispeicher der Plattform, einschließlich der Gesprächsprotokolle | Deutschland (AWS eu-central-1, Frankfurt) | Standardvertragsklauseln im Auftragsverarbeitungsvertrag | Data Processing Addendum |
| Twilio (einschließlich SendGrid) | Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA | Telefonie-Infrastruktur, Rufnummern, Anrufweiterleitung und Versand transaktionaler E-Mails | USA (Account-Region US1) | EU-US Data Privacy Framework (Teilnehmer-ID 5394), ergänzend Standardvertragsklauseln | Data Protection Addendum |
| Deepgram | Deepgram, Inc., 548 Market St Suite 25104, San Francisco, CA 94104, USA | Spracherkennung: Umwandlung der gesprochenen Sprache in Text während des Anrufs | EU (Endpunkt api.eu.deepgram.com) | Standardvertragsklauseln für den konzerninternen Zugriff aus den USA. Keine Speicherung nach der Verarbeitung, keine Nutzung zum Modelltraining. | Datenschutzangaben des Anbieters |
| ElevenLabs | Eleven Labs, Inc., 169 Madison Ave #2484, New York, NY 10016, USA. Vertragspartnerin im EWR: Eleven Labs Poland sp. z o.o., Warschau | Sprachausgabe des Assistenten sowie letzter Ausweichdienst der Spracherkennung | EU (Endpunkt api.eu.residency.elevenlabs.io) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln, für den konzerninternen Zugriff aus den USA | Data Processing Agreement |
| OpenAI | OpenAI Ireland Limited, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland | Sprachmodell zur Gesprächsführung, nachgelagerte Auswertung von Transkripten sowie Ausweichdienst für die Chat-Funktion im Kundenportal | USA | Standardvertragsklauseln. Löschung der Anfragen und Antworten nach 30 Tagen, keine Nutzung zum Modelltraining. | Data Processing Addendum |
| Anthropic über Google Vertex AI | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Betreiberin der Vertex-AI-Plattform | Sprachmodell für die Chat-Funktion im Kundenportal | Belgien (Region europe-west1) | Im Regelbetrieb keine Übermittlung in ein Drittland | Cloud Data Processing Addendum |
| Sentry | Functional Software, Inc. (dba Sentry), 45 Fremont Street, San Francisco, CA 94105, USA | Erkennung und Analyse technischer Fehler der Anwendung | Deutschland (Region de.sentry.io) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Addendum |
Automatische Ausweichdienste
Der Kunde kann diese Dienste nicht abwählen. Sie springen ein, wenn der vorgelagerte Dienst nicht antwortet, und erhalten dann dieselben Daten wie dieser. Die Reihenfolge der Spracherkennung legt HeyVera fest: zuerst Deepgram, dann AssemblyAI, zuletzt ElevenLabs. ElevenLabs steht unter „Immer eingesetzt“, weil derselbe Dienst die Sprachausgabe übernimmt.
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Garantie bei Übermittlung in ein Drittland | Vertragliche Grundlage beim Anbieter |
|---|---|---|---|---|---|
| AssemblyAI | AssemblyAI Inc., 169 Madison Ave STE 38365, New York, NY 10016, USA | Spracherkennung, wenn Deepgram nicht antwortet | Irland (Rechenzentrum Dublin) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Addendum |
Nur bei bestimmten Funktionen
| Dienst | Rechtsträger und Sitz | Zweck und Einsatzfall | Verarbeitungsort | Garantie bei Übermittlung in ein Drittland | Vertragliche Grundlage beim Anbieter |
|---|---|---|---|---|---|
| Google Maps Platform | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Nur bei freigeschalteter Adressprüfung oder Standortkarte: Validierung mündlich genannter Adressen während des Anrufs und Übersetzung der erkannten Adresse in Koordinaten danach | EU und USA | Standardvertragsklauseln, ergänzend EU-US Data Privacy Framework | Datenschutzbedingungen für eigenständig VerantwortlicheGoogle ist für die Maps Platform eigenständig Verantwortliche, nicht Auftragsverarbeiterin. |
| WhatsApp Business (Meta Cloud API) | Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland | Nur bei gebuchtem WhatsApp-Kanal: Empfang und Versand von Nachrichten und Medien | EU, innerhalb der Meta-Unternehmen auch USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Business Data Processing Terms |
| Browser-Push-Dienste (Google FCM, Apple Push, Mozilla autopush) | Google Ireland Limited, Dublin; Apple Distribution International Ltd., Cork; Mozilla Corporation, USA | Nur wenn Mitarbeitende des Kunden Browser-Benachrichtigungen aktiviert haben: Zustellung der Benachrichtigung über eingehende Anrufe | EU und USA, abhängig vom Browser des Mitarbeitenden | Google LLC und Apple Inc. sind unter dem EU-US Data Privacy Framework zertifiziert. Der Nachrichteninhalt ist Ende-zu-Ende-verschlüsselt; den Push-Diensten, auch Mozilla autopush, liegen nur der verschlüsselte Block und die Endpunkt-Metadaten vor. | Kein einheitlicher AuftragsverarbeitungsvertragDer Browser des Mitarbeitenden wählt den zustellenden Dienst. |
| PostHog | PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA | Analyse der Nutzung des eingeloggten Portals durch Mitarbeitende des Kunden zur Fehlersuche und Produktverbesserung; Daten anrufender Personen sind in den Aufzeichnungen maskiert | Deutschland (AWS eu-central-1, Frankfurt) | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln | Data Processing Agreement |
| OpenStreetMap | OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich | Nur bei Aufruf der Standortkarte im Portal: Laden der Kartenkacheln | Vereinigtes Königreich und Niederlande | Die Speicherung in den Niederlanden bleibt innerhalb der EU. Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, gültig bis 27. Dezember 2031. | Kein AuftragsverarbeitungsvertragHeyVera ruft eine öffentliche Kartenquelle ab. |
Eingesetzt, ohne dass der Anbieter Daten erhält
HeyVera setzt diese Komponenten ein, ohne dass der jeweilige Anbieter personenbezogene Daten erhält. Sie gehören deshalb weder in die Tabellen oben noch in das Verarbeitungsverzeichnis des Kunden.
Sprachtransport: LiveKit, von HeyVera selbst betrieben
Der Echtzeit-Transport des Gesprächsaudios zwischen der anrufenden Person und dem Assistenten läuft über eine Serverinstanz, die HeyVera selbst in der Google-Cloud-Region europe-west1 (Belgien) betreibt. LiveKit, Inc. erhält dabei keine Gesprächsdaten und ist nicht Auftragsverarbeiterin. Für die zugrunde liegende Infrastruktur gilt die Zeile zur Google Cloud Platform.
Gesprächsaufzeichnung
Die Aufzeichnung des Gesprächsaudios ist im Auslieferungszustand abgeschaltet. Wird sie für einen einzelnen Assistenten aktiviert, werden die Aufzeichnungen voreingestellt 30 Tage aufbewahrt, einstellbar zwischen 1 und 365 Tagen. Sie liegen in einem Speicher in der Region europe-west1 (Belgien) und werden nach Fristablauf automatisch gelöscht.
Hinweis
Diese Liste ersetzt keine rechtliche Prüfung durch den Kunden.