AVV / Data Processing Agreement (DPA) · Version 1.6 · gültig ab 25. August 2026 · Unterzeichenbares PDF herunterladen
Dieser AVV wird durch Verweis in die SonicR1-Nutzungsbedingungen einbezogen und gilt automatisch in jedem Tarif – eine gesonderte Unterschrift ist optional (siehe Annahme). Verbindlich ist die englische Vertragsfassung (Version 1.6, als PDF oben verlinkt); diese deutsche Fassung ist eine Lesefassung zur Verständlichkeit. Angaben zu Architektur, Routing, Aufbewahrung und technischen Maßnahmen wurden am 25. August 2026 gegen den Produktivcode geprüft. Angaben, die von einer Anbieter-Kontoeinstellung abhängen, tragen ihr eigenes Prüfdatum in Anhang 2. SonicR1 prüft beides vor jeder neuen Version dieses AVV erneut.
Dieser Auftragsverarbeitungsvertrag (der „AVV“) ist Bestandteil der Nutzungsbedingungen, des Abonnementvertrags, des Bestellformulars oder der sonstigen Vereinbarung, die die Nutzung der SonicR1-Dienste durch den Kunden regelt (der „Hauptvertrag“). Er gilt immer dann, wenn SonicR1 personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei einem Widerspruch in Bezug auf die Verarbeitung personenbezogener Daten geht dieser AVV dem Hauptvertrag insoweit vor.
| Auftragsverarbeiter | Ömer Dertlioglu, handelnd unter der Geschäftsbezeichnung SonicR1, Kurfürstendamm 96, 10709 Berlin, Deutschland („SonicR1“) |
|---|---|
| Kunde | Die im Hauptvertrag als Kunde bezeichnete juristische Person oder Einheit („Kunde“) |
| Wirksamkeitsdatum | Das Wirksamkeitsdatum des Hauptvertrags oder der Tag, an dem der Kunde erstmals Dienste nutzt, die eine Verarbeitung von Auftragsdaten umfassen – je nachdem, was früher eintritt |
| Datenschutz-Kontakt | legal@sonicr1.com (postalisch: Anschrift oben). Es ist kein Telefonkontakt benannt; E-Mail ist der maßgebliche Kanal. |
1.1 Der Kunde ist Verantwortlicher und SonicR1 Auftragsverarbeiter in Bezug auf Auftragsdaten – außer der Kunde handelt selbst als Auftragsverarbeiter für einen anderen Verantwortlichen; dann handelt SonicR1 als Unterauftragsverarbeiter des Kunden. Der Kunde sichert zu, dass er zur Beauftragung von SonicR1 in dieser Rolle berechtigt ist.
1.2 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anhang 1 beschrieben.
1.3 Dieser AVV gilt nur für Verarbeitungen, die SonicR1 im Auftrag des Kunden durchführt. Er gilt nicht für Daten, deren Zwecke und Mittel SonicR1 selbst bestimmt. Diese beschränken sich auf Kontoverwaltung, Abrechnung, Betrugsprävention und Plattformsicherheit, gesetzliche Aufbewahrung, die Aufbewahrung von Metadaten-Grabsteinen nach einer Inhaltslöschung oder nach einer Löschung gemäß Ziffer 13.2, die Aufbewahrung von Einwilligungs-Nachweisen und Löschprotokollen als Beweis zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen sowie die Korrespondenz mit den Kontokontakten des Kunden zur Vertragsbeziehung; hierfür gilt die SonicR1-Datenschutzerklärung. Gesprächsaudio, Transkripte, Knowledge-Base-Inhalte, CRM- und Kalenderinhalte sowie daraus abgeleitete KI-Ausgaben verarbeitet SonicR1 nicht zu eigenen Zwecken.
1.4 Handelt der Kunde selbst als Auftragsverarbeiter für einen anderen Verantwortlichen, gilt: (a) der Kunde sichert zu, dass seine dokumentierten Weisungen mit den Weisungen übereinstimmen, die er von diesem Verantwortlichen erhalten hat; (b) der Kunde übt die Rechte aus den Ziffern 8, 12 und 13 für diesen Verantwortlichen aus und leitet die Informationen an ihn weiter, die SonicR1 nach den Ziffern 9.2, 10.2 und 11 bereitstellt; (c) der Kunde sichert zu, dass dieser AVV die Anforderungen erfüllt, die seine eigene Vereinbarung mit diesem Verantwortlichen an Unterauftragsverarbeiter stellt; und (d) SonicR1 schuldet die Pflichten aus diesem AVV allein dem Kunden und muss nicht unmittelbar mit diesem Verantwortlichen verkehren.
2.1 „Auftragsdaten“ bezeichnet die personenbezogenen Daten, die SonicR1 im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet.
2.2 „Datenschutzrecht“ bezeichnet die DSGVO, das Bundesdatenschutzgesetz (BDSG) und die weiteren anwendbaren Gesetze, die die Verarbeitung personenbezogener Daten nach dem Hauptvertrag regeln.
2.3 „EWR“ bezeichnet den Europäischen Wirtschaftsraum. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ sind im Sinne der DSGVO zu verstehen.
2.4 „Unterauftragsverarbeiter“ bezeichnet einen von SonicR1 eingesetzten Dritten, der Auftragsdaten im Auftrag des Kunden verarbeitet.
2.5 „Genehmigte globale Verarbeitung“ bezeichnet eine Workspace-Einstellung oder sonstige dokumentierte Weisung, mit der der Kunde eine konkret freigegebene KI-Verarbeitung außerhalb des EWR autorisiert. Es handelt sich um eine Verarbeitungserlaubnis, nicht um einen Speicherort; der EU-Speicherort der von SonicR1 gehosteten Kundendaten ändert sich dadurch nicht. Mit Stand dieser Version werden keine Auftragsdaten an einen KI-Inferenz-Endpunkt außerhalb des EWR geleitet und es ist keine Sprachmodell-Option außerhalb des EWR aktiviert (siehe Ziffer 11.4 und Anhang 2); die Einstellung ist wirkungslos, bis Anhang 2 nach Maßgabe von Ziffer 10 aktualisiert wird.
2.6 „Dienste“ bezeichnet die SonicR1-Leistungen, die dem Kunden nach dem Hauptvertrag bereitgestellt werden.
3.1 SonicR1 verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, die Verarbeitung ist nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich. Der Hauptvertrag, dieser AVV, die Konfiguration und Nutzung der Dienste durch den Kunden sowie schriftliche Support- oder Implementierungsanfragen gelten als dokumentierte Weisungen. Konfiguration und Nutzung der Dienste gelten nur im Rahmen der von den Diensten bereitgestellten Funktionen als Weisung. Die bloße Nutzung der Dienste ist keine Weisung nach Ziffer 6.4 oder Ziffer 11.2; eine Weisung nach Ziffer 6.4 sowie eine Weisung nach Ziffer 11.2 zur Übermittlung von Auftragsdaten an einen Empfänger, der weder ein in Anhang 2 gelisteter autorisierter Unterauftragsverarbeiter noch ein vom Kunden nach Anhang 1, Teil E selbst angebundenes Drittsystem ist, setzen jeweils eine gesonderte ausdrückliche schriftliche Weisung voraus. Die Aktivierung der genehmigten globalen Verarbeitung nach Ziffer 3.4 sowie die Anbindung und Konfiguration eigener Drittsysteme des Kunden nach Anhang 1, Teil E sind dokumentierte Weisungen im Sinne von Ziffer 11.2.
3.2 Ist SonicR1 gesetzlich verpflichtet, Auftragsdaten abweichend von den Weisungen des Kunden zu verarbeiten, informiert SonicR1 den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern das Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
3.3 SonicR1 informiert den Kunden unverzüglich, falls SonicR1 der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt. SonicR1 darf die betroffene Verarbeitung aussetzen, bis sich die Parteien auf eine rechtmäßige Weisung geeinigt haben.
3.4 Sollte künftig ein KI-Anbieter außerhalb des EWR freigegeben werden, stellt die Aktivierung der genehmigten globalen Verarbeitung durch den Kunden eine dokumentierte Weisung dar, die dann in Anhang 2 benannten Anbieter für die von der Einstellung erfassten Funktionen zu nutzen. SonicR1 leitet diese Erlaubnis nicht aus IP-Adresse, Spracheinstellung, Rechnungsadresse oder ähnlichen Signalen ab und aktiviert sie auch nicht auf dieser Grundlage.
4.1 Der Kunde ist für die Rechtmäßigkeit, die Verarbeitung nach Treu und Glauben, die Transparenz, die Richtigkeit und den Umfang der Auftragsdaten und seiner Weisungen verantwortlich. Der Kunde erfüllt sämtliche Informationspflichten gegenüber den betroffenen Personen und schafft eine geeignete Rechtsgrundlage für die Verarbeitung – jeweils auch in Bezug auf Beschäftigte, Vertriebsmitarbeitende, Interessenten, Kunden und weitere Gesprächsteilnehmende.
4.2 Der Kunde ist dafür verantwortlich, die anwendbaren telekommunikationsrechtlichen Vorgaben, die rechtlichen Anforderungen an die Aufzeichnung von Gesprächen, das Arbeits- und Beschäftigtendatenschutzrecht, die mitbestimmungsrechtlichen Anforderungen sowie die Einwilligungserfordernisse einzuhalten. SonicR1 stellt technische Einwilligungs- und Hinweisfunktionen bereit, entscheidet aber nicht, ob ein bestimmtes Gespräch rechtmäßig aufgezeichnet oder analysiert werden darf.
4.3 Der Kunde übermittelt nicht absichtlich besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO oder stark regulierte Daten, es sei denn, die Parteien haben ausdrücklich geeignete Weisungen und Schutzmaßnahmen schriftlich vereinbart. Die Parteien erkennen an, dass frei gesprochene Sprache und Freitext solche Daten beiläufig enthalten können.
4.4 Der Kunde konfiguriert Nutzerzugriffe angemessen, schützt Zugangsdaten, prüft KI-generierte Ausgaben, bevor er sich auf sie verlässt, und stellt sicher, dass seine Nutzung von Coaching-Bewertungen oder Auswertungen mit den anwendbaren arbeitsrechtlichen und KI-Governance-Anforderungen vereinbar ist.
5.1 SonicR1 stellt sicher, dass zur Verarbeitung von Auftragsdaten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
5.2 SonicR1 beschränkt den Zugriff auf Personen, die ihn zur Bereitstellung, Absicherung, Unterstützung oder Wartung der Dienste benötigen, und gibt diesen Personen angemessene Datenschutz- und Sicherheitsanleitung.
6.1 SonicR1 trifft und unterhält geeignete technische und organisatorische Maßnahmen zum Schutz der Auftragsdaten vor zufälliger oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff. Die aktuellen Maßnahmen sind in Anhang 3 beschrieben.
6.2 SonicR1 darf die Maßnahmen an den technischen Fortschritt, Änderungen der Dienste oder veränderte Risiken anpassen, sofern das Gesamtschutzniveau während der Laufzeit nicht wesentlich abgesenkt wird.
6.3 Der Kunde erkennt an, dass Sicherheit eine geteilte Verantwortung ist, und nutzt die von SonicR1 bereitgestellten Sicherheits- und Zugriffsfunktionen, einschließlich Rollenzuweisungen, freigegebener Integrationen, Einwilligungssteuerung, Aufbewahrungseinstellungen und Datenregion-Einstellungen.
6.4 SonicR1 nutzt Auftragsdaten nicht selbst zum Training eines gemeinsamen oder allgemeinen Modells ohne dokumentierte Weisung des Kunden. SonicR1 setzt verfügbare Konto-Steuerungen und Vertragsbedingungen der Anbieter ein, um die Nutzung von Auftragsdaten durch Unterauftragsverarbeiter zur Verbesserung gemeinsamer Modelle zu beschränken; insbesondere ist das Speech-to-Text-Konto von SonicR1 (AssemblyAI) für das Modellverbesserungs-Opt-out des Anbieters registriert und eine kontoweite Speicherdauer von einem (1) Tag für anbieterseitige Audio-Dateien und Transkripte konfiguriert (siehe Anhang 2).
6.5 SonicR1 unterhält ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen aus Anhang 3 im Sinne von Art. 32 Abs. 1 lit. d DSGVO. Automatisierte Tests, die die regionalen Übermittlungsgrenzen und die Zugriffskontrolle absichern, laufen bei jeder Änderung des Quellcodes; zusätzlich überprüft und dokumentiert SonicR1 die Maßnahmen mindestens alle zwölf (12) Monate sowie nach jeder wesentlichen Änderung der Dienste, der Architektur oder der Unterauftragsverarbeiter. Das Datum der letzten Überprüfung ist für den Kunden über legal@sonicr1.com abrufbar.
7.1 SonicR1 meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich, spätestens jedoch innerhalb von zweiundsiebzig (72) Stunden, nachdem SonicR1 hiervon Kenntnis erlangt hat. Die Meldung erfolgt per E-Mail an den Kontoinhaber sowie an jeden vom Kunden benannten Administrator- oder Datenschutz-Kontakt.
7.2 Unter Berücksichtigung der Art der Verarbeitung und der SonicR1 vorliegenden Informationen enthält die Meldung, soweit bekannt: die Art der Verletzung; die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; ergriffene oder vorgeschlagene Maßnahmen; und eine Kontaktstelle für weitere Informationen. Informationen können schrittweise bereitgestellt werden, soweit sie nicht gleichzeitig vorliegen.
7.3 SonicR1 ergreift angemessene Schritte zur Eindämmung, Untersuchung, Minderung und Behebung der Verletzung und unterstützt den Kunden in zumutbarer Weise bei dessen Pflichten aus Art. 33 und 34 DSGVO. Eine Meldung ist kein Anerkenntnis eines Verschuldens oder einer Haftung.
8.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt SonicR1 den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung von dessen Pflichten zur Beantwortung von Anfragen nach Art. 12 bis 23 DSGVO.
8.2 Erhält SonicR1 eine Anfrage einer betroffenen Person unmittelbar zu Auftragsdaten, antwortet SonicR1 nicht im Namen des Kunden, sofern SonicR1 dazu nicht ermächtigt oder gesetzlich verpflichtet ist, und leitet die Anfrage, soweit dies vernünftigerweise möglich ist, an den Kunden weiter oder verweist die Person an ihn.
8.3 Der Kunde kann Zugriff auf Auftragsdaten sowie deren Export, Berichtigung und Löschung verlangen, indem er sich an den in Anhang 4 genannten Datenschutz-Kontakt von SonicR1 wendet; SonicR1 unterstützt ihn dabei nach Ziffer 8.1. Soweit SonicR1 in den Diensten Selbstbedienungsfunktionen für solche Anfragen bereitstellt, nutzt der Kunde diese, bevor er manuelle Unterstützung anfragt. SonicR1 darf für außergewöhnliche, wiederholte oder technisch maßgeschneiderte Unterstützung, die nicht Teil der Dienste ist, angemessene Kosten berechnen, soweit Hauptvertrag und anwendbares Recht dies zulassen; es gilt das Kostenschätzungsverfahren nach Ziffer 9.3.
9.1 Unter Berücksichtigung der Art der Verarbeitung und der SonicR1 vorliegenden Informationen unterstützt SonicR1 den Kunden in zumutbarer Weise bei dessen Pflichten aus Art. 32 bis 36 DSGVO, einschließlich Sicherheitsbewertungen, Meldepflichten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörden.
9.2 SonicR1 stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO vernünftigerweise erforderlich sind, einschließlich dieses AVV, einschlägiger Sicherheitsdokumentation und Informationen zu Unterauftragsverarbeitern und internationalen Übermittlungen.
9.3 Die Unterstützung nach den Ziffern 8 und 9 erfolgt unter Berücksichtigung der Art der Verarbeitung und der SonicR1 vorliegenden Informationen. Verlangt der Kunde Unterstützung, die wiederholt erfolgt, den Anhang 3 und die Standard-Sicherheitsdokumentation von SonicR1 wesentlich übersteigt oder maßgeschneiderte technische Arbeiten erfordert, darf SonicR1 seine angemessenen und belegten Kosten berechnen, sofern SonicR1 die voraussichtlichen Kosten vorab in Textform mitteilt und der Kunde ihnen vor Beginn der Arbeiten zustimmt.
10.1 Der Kunde erteilt SonicR1 die allgemeine Genehmigung, die in Anhang 2 genannten Unterauftragsverarbeiter einzusetzen und Unterauftragsverarbeiter nach Maßgabe dieser Ziffer hinzuzufügen oder zu ersetzen.
10.2 SonicR1 kündigt die beabsichtigte Aufnahme oder Ersetzung eines Unterauftragsverarbeiters mindestens dreißig (30) Tage im Voraus per E-Mail an den Kontoinhaber- oder Administrator-Kontakt des Kunden an; zusätzlich darf SonicR1 produktinterne Hinweise nutzen. SonicR1 hält die Angaben zu Unterauftragsverarbeitern in Anhang 2 (einschließlich Anbieteridentität, Land, Zweck, Datenkategorien, Ort und Übermittlungsmechanismus, mit Links zu den Rechtsseiten, auf denen der jeweilige Anbieter seine Datenverarbeitungsbedingungen veröffentlicht, oder – soweit die Bedingungen durch Unterzeichnung abgeschlossen wurden – mit einem entsprechenden Hinweis, sowie, soweit vorhanden, mit einem Link zur eigenen Unterauftragsverarbeiter-Liste des Anbieters) aktuell und stellt sie dem Kunden jederzeit über legal@sonicr1.com bereit. Muss ein Unterauftragsverarbeiter mit kürzerer Frist aufgenommen oder ersetzt werden, um die Sicherheit oder die Fortführung der Dienste zu wahren – etwa weil ein Anbieter die Leistung einstellt, insolvent wird oder nach einem Sicherheitsvorfall ersetzt wird –, kündigt SonicR1 dies unter Angabe des Grundes so früh an, wie dies vernünftigerweise möglich ist. Der Kunde kann innerhalb von dreißig (30) Tagen ab dieser Mitteilung nach Ziffer 10.3 widersprechen; die Einsatzverbote aus Ziffer 10.3 gelten für eine solche Ersetzung nicht, und bleibt der Widerspruch ungelöst, so gelten die Rechtsfolgen aus Ziffer 10.3.
10.3 Der Kunde kann innerhalb der Ankündigungsfrist aus vernünftigen und dokumentierten Datenschutzgründen widersprechen. SonicR1 setzt den vorgeschlagenen Unterauftragsverarbeiter während der Ankündigungsfrist oder, solange ein fristgerechter Widerspruch ungelöst ist, nicht zur Verarbeitung von Auftragsdaten ein. Die Parteien wirken nach Treu und Glauben auf eine Lösung hin. Ist keine wirtschaftlich zumutbare Lösung verfügbar, darf SonicR1 die betroffene Funktion einstellen oder der Kunde die betroffenen Dienste kündigen; in beiden Fällen erhält der Kunde eine anteilige Erstattung vorausbezahlter Entgelte für den ungenutzten Zeitraum nach der Einstellung oder Kündigung.
10.4 SonicR1 erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens das nach Art. 28 Abs. 4 DSGVO gebotene Schutzniveau gewährleisten – über die Datenverarbeitungsbedingungen des Anbieters und, wo ein Anbieter eine gesonderte Unterzeichnung verlangt, über einen gegengezeichneten Anbieter-AVV – und bleibt dem Kunden gegenüber für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter verantwortlich. Die Spalte „Übermittlungsgarantien“ des Anhangs 2 benennt je Unterauftragsverarbeiter das Instrument und, soweit die Bedingungen gesondert unterzeichnet wurden, das Datum der Unterzeichnung; ist kein Datum angegeben, werden die Bedingungen mit Annahme der Online-Bedingungen des Anbieters einbezogen. SonicR1 offenbart einem Unterauftragsverarbeiter keine Auftragsdaten, bevor diese schriftlichen Bedingungen in Kraft sind. Anhang 2 weist je Unterauftragsverarbeiter das Instrument aus und, soweit die Bedingungen gesondert unterzeichnet wurden, das Datum der Unterzeichnung. Werden die Bedingungen eines Anbieters mit Annahme seiner Online-Bedingungen einbezogen, waren sie in Kraft, bevor diesem Anbieter Auftragsdaten offengelegt wurden.
11.1 SonicR1 speichert die von SonicR1 gehosteten Kundendatensätze – Konto- und Workspace-Daten, aufbewahrtes Gesprächsaudio, Transkripte, KI-Ausgaben und Knowledge-Base-Inhalte – in der EU und leitet die gesamte KI-Inferenz über EU-Endpunkte. Hosting-, Protokoll- und Steuerungsebenendaten, der Schritt-Zustand der Hintergrund-Orchestrierung (der aus Gesprächen abgeleiteten Text enthalten kann) sowie Inhalte und Metadaten transaktionaler E-Mails werden teilweise außerhalb der EU verarbeitet, wie in Ziffer 11.5 und Anhang 2 dargestellt. Die detaillierte aktuelle Verarbeitungstopologie ist in den Anhängen 1 bis 3 beschrieben.
11.2 SonicR1 übermittelt Auftragsdaten nicht in ein Drittland oder an eine internationale Organisation, außer auf dokumentierte Weisung des Kunden oder soweit dies zur Erbringung der Dienste über einen autorisierten Unterauftragsverarbeiter erforderlich ist – und nur, wenn ein gültiger Übermittlungsmechanismus und etwaige erforderliche ergänzende Maßnahmen bestehen. Zum Zeitpunkt des Inkrafttretens dieser Version bestehen mit jedem in Anhang 2 gelisteten Unterauftragsverarbeiter schriftliche Datenschutzbedingungen und, soweit einschlägig, ein Übermittlungsmechanismus. SonicR1 teilt den aktuellen Stand auf Anfrage über legal@sonicr1.com mit.
11.3 In Betracht kommende Übermittlungsmechanismen sind, soweit anwendbar, ein Angemessenheitsbeschluss, die Teilnahme eines geeigneten Empfängers am EU-U.S. Data Privacy Framework oder die Standardvertragsklauseln (SCC) der Europäischen Kommission nach Durchführungsbeschluss (EU) 2021/914 – Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), soweit SonicR1 Auftragsdaten an einen Unterauftragsverarbeiter übermittelt – jeweils zusammen mit ergänzenden Maßnahmen, soweit erforderlich.
11.4 Mit Stand dieser Version werden keine Auftragsdaten an einen KI-Inferenz-Endpunkt außerhalb des EWR geleitet und es ist keine Sprachmodell-Option außerhalb des EWR aktiviert; die gesamte KI-Inferenz läuft über EU-Endpunkte. Zur Klarstellung: Einige Anbieter von EU-Endpunkt-Verarbeitung (etwa AssemblyAI, Inc. für Speech-to-Text) sind in den USA niedergelassen – die rechtliche Niederlassung ist vom Verarbeitungs-Endpunkt zu unterscheiden, und Anhang 2 weist beides aus. Der Mechanismus der genehmigten globalen Verarbeitung (Ziffern 2.5 und 3.4) ist im Produkt angelegt, bleibt aber wirkungslos, bis ein Anbieter mit Ankündigung nach Ziffer 10 in Anhang 2 aufgenommen wird.
11.5 Regionale Bereitstellungsbezeichnungen bestimmen nicht zwingend den Ort von Kontodaten, Steuerungsebene, Support-Zugriff, Protokollen oder Metadaten eines Anbieters. Anhang 2 benennt bekannte Einschränkungen, einschließlich der Speicherung von Kontodaten, Nachrichteninhalten und E-Mail-Metadaten durch Resend in den USA unabhängig von der gewählten Versandregion sowie der US-gehosteten Datenspeicher von Inngest, die Job-Kennungen, Ausführungs-Metadaten und die Rückgabewerte von Workflow-Schritten erhalten – darunter pseudonymisierter Transkripttext und bei CRM-Schreibjobs die erzeugte Schreib-Nutzlast mit zu ihren ursprünglichen Werten aufgelösten Token sowie abgeleitete Gesprächskennzahlen – sowie bei Jobs für transaktionale E-Mails zusätzlich die E-Mail-Adresse der empfangenden Person und die zur Erzeugung der Nachricht erforderlichen Variablen, die den Namen oder die E-Mail-Adresse eines weiteren im Hinweis genannten Workspace-Mitglieds enthalten können.
11.6 SonicR1 schließt die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), im eigenen Namen als Datenexporteur mit jedem Unterauftragsverarbeiter ab, der Auftragsdaten in einem Drittland verarbeitet – auch durch Annahme über die Datenverarbeitungsbedingungen des jeweiligen Anbieters. Als Verantwortlicher oder, in den Fällen der Ziffer 1.4, für den Verantwortlichen bevollmächtigt der Kunde SonicR1 zu diesem Abschluss und zur Vereinbarung der Anhänge dieser Klauseln im Einklang mit den Anhängen 1 bis 4 dieses AVV; Drittbegünstigter dieser Klauseln ist der Kunde oder, in den Fällen der Ziffer 1.4, der Verantwortliche, für den der Kunde handelt. Anhang 2 weist je Unterauftragsverarbeiter die abgeschlossenen Klauseln und, soweit sie gesondert unterzeichnet wurden, das Datum der Unterzeichnung aus. Verlangt ein Unterauftragsverarbeiter die Unterzeichnung durch den Verantwortlichen selbst, holt SonicR1 zuvor eine gesonderte schriftliche Vollmacht des Kunden ein. SonicR1 stellt die so abgeschlossenen Klauseln dem Kunden auf Anfrage über legal@sonicr1.com bereit.
11.7 Ist der Kunde außerhalb des EWR niedergelassen und stellt SonicR1 ihm Auftragsdaten zur Verfügung, werden die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Modul 4 (Auftragsverarbeiter an Verantwortlichen), durch Verweis in diesen AVV einbezogen; SonicR1 ist Datenexporteur, der Kunde Datenimporteur. Die Anhänge 1 bis 3 dieses AVV füllen die Anhänge dieser Klauseln aus, und die Kontakte in Anhang 4 sind die Kontaktstellen der Parteien. Für diese Klauseln vereinbaren die Parteien, dass die optionale Andockklausel in Klausel 7 Anwendung findet, dass die optionale Regelung in Klausel 11 lit. a keine Anwendung findet, dass nach Klausel 17 deutsches Recht gilt und dass nach Klausel 18 lit. b die Gerichte in Berlin, Deutschland, als zuständig bestimmt werden. Für Übermittlungen, die dem Recht des Vereinigten Königreichs unterliegen, gilt für diese Klauseln das UK International Data Transfer Addendum; für Übermittlungen, die dem Schweizer Recht unterliegen, gelten die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) veröffentlichten Anpassungen. Erfolgt eine solche Übermittlung an einen Unterauftragsverarbeiter, schließt SonicR1 das entsprechende Addendum bzw. die Anpassungen mit diesem ab; Anhang 2 weist aus, wo dies geschehen ist.
12.1 SonicR1 ermöglicht und unterstützt Audits, einschließlich Inspektionen, durch den Kunden oder einen vom Kunden beauftragten unabhängigen Prüfer, wie in Art. 28 Abs. 3 lit. h DSGVO vorgesehen.
12.2 Audits beginnen regelmäßig mit einer Prüfung dieses AVV, des Anhangs 3 und der schriftlichen Antworten von SonicR1 auf den Sicherheitsfragebogen des Kunden sowie etwaiger Zertifizierungen oder unabhängiger Prüfberichte, die SonicR1 zu diesem Zeitpunkt vorliegen. SonicR1 hält keine eigene SOC-2- oder ISO/IEC-27001-Zertifizierung und betreibt kein eigenes Rechenzentrum; das Hosting erfolgt über die in Anhang 2 genannten Unterauftragsverarbeiter, deren eigene Prüfberichte bei diesen Anbietern erhältlich sind. Vor-Ort- oder eingriffsintensive technische Audits beschränken sich auf Systeme und Aufzeichnungen im Verantwortungsbereich von SonicR1; SonicR1 lässt ein solches Audit zu, wenn die vorgenannten Informationen für ein berechtigtes, konkretes Compliance-Anliegen nicht ausreichen, und kann stattdessen einen begleiteten Fernzugriff anbieten, soweit dieser das Anliegen ausräumt.
12.3 Sofern nicht eine Verletzung des Schutzes personenbezogener Daten, eine Anfrage einer Aufsichtsbehörde oder ein begründeter Hinweis auf wesentliche Nichteinhaltung etwas anderes rechtfertigt, darf der Kunde ein Audit je Zwölfmonatszeitraum durchführen – mit mindestens dreißig (30) Tagen Vorlauf, während der üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit, der Sicherheit und des ungestörten Betriebs.
12.4 Der Kunde trägt seine Auditkosten sowie die angemessenen, belegten Kosten außergewöhnlicher Unterstützung durch SonicR1 nach Maßgabe des Kostenschätzungsverfahrens der Ziffer 9.3, es sei denn, das Audit stellt eine wesentliche Nichteinhaltung durch SonicR1 fest; in diesem Fall trägt SonicR1 seine eigenen Unterstützungs- und Behebungskosten und stellt sie dem Kunden nicht in Rechnung. SonicR1 darf einen vorgeschlagenen Prüfer nur wegen eines dokumentierten Interessenkonflikts, Vertraulichkeits- oder Sicherheitsrisikos ablehnen; in diesem Fall wählt der Kunde einen anderen geeignet qualifizierten unabhängigen Prüfer – die endgültige Wahl liegt beim Kunden. Der Prüfer muss die Informationen anderer Kunden und die vertraulichen Informationen von SonicR1 schützen.
13.1 Während der Laufzeit kann der Kunde die verfügbaren Export- und Löschfunktionen nutzen und, soweit angeboten, Aufbewahrungsfenster oder ephemere Modi konfigurieren. Anhang 1, Teil D nennt die Aufbewahrungsfristen und Tarifobergrenzen für gespeicherte Gesprächsinhalte, die Fälle, in denen kein automatischer Löschlauf stattfindet, sowie die Löschregeln für abgeleitete Daten.
13.2 Nach Beendigung der Dienste, die eine Verarbeitung umfassen, gibt SonicR1 die Auftragsdaten nach Wahl des Kunden zurück oder löscht sie. Die Rückgabe umfasst sämtliche zu diesem Zeitpunkt bei SonicR1 vorhandenen Auftragsdaten mit Ausnahme der nachstehend behandelten KI-generierten Bewertungen; sie erfolgt als maschinenlesbarer Export über die Exportfunktionen der Dienste, soweit diese die Daten abdecken, und im Übrigen auf einem zwischen den Parteien vereinbarten anderen angemessenen Weg, jeweils innerhalb von vierzehn (14) Tagen nach der Anfrage des Kunden und für einen Export je Beendigung ohne zusätzliches Entgelt. Als technische und organisatorische Maßnahme nach Ziffer 6.1 und Anhang 3 werden KI-generierte Bewertungen einer einzelnen Person ausschließlich dieser Person offengelegt und sind daher nicht Teil einer Standard-Rückgabe an den Kunden; SonicR1 stellt sie dem Kunden gleichwohl bereit, soweit dieser sie zur Beantwortung eines Verlangens nach Art. 15 bis 22 DSGVO oder zur Erfüllung einer anderen rechtlichen Verpflichtung benötigt. Der Kunde kann innerhalb von dreißig (30) Tagen nach Beendigung einen Export verlangen; nach Ablauf dieser Frist (oder früher auf Weisung des Kunden) löscht SonicR1 aktive Auftragsdaten innerhalb weiterer dreißig (30) Tage, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Aufbewahrung verlangt. Die Löschung nach Beendigung erfolgt anhand einer dokumentierten Löschspezifikation, die jede Tabelle mit einer Workspace-, Projekt-, Organisations- oder Gesprächskennung klassifiziert; Tabellen, die Daten nur als Kinder einer solchen Tabelle halten, sind erfasst, soweit die Elterntabelle gelöscht wird. Die Ausführung ist automatisiert: Der Workspace wird zur Löschung eingereiht, bleibt für den vorstehend genannten Zeitraum abrufbar und wird anschließend durch einen geplanten Job ohne Eingriff des Betreibers gelöscht. Ein betreibergesteuertes Werkzeug wendet dieselbe Spezifikation an, soweit eine Löschung von Hand angestoßen oder abgeschlossen werden muss. Simulations- und Rollenspiel-Übungsgespräche sind der einzelnen Person und nicht dem Workspace zugeordnet: Bei der Löschung nach dieser Ziffer wird der Workspace-Bezug entfernt und der Datensatz bleibt der Person zugeordnet, die ihn erzeugt hat, es sei denn, der Kunde weist deren Löschung an; dann führt SonicR1 sie durch. SonicR1 bestätigt den Abschluss der Löschung auf Anfrage.
13.3 Daten in Sicherungskopien werden über den regulären Backup-Lebenszyklus des Hosting-Anbieters gelöscht. Die Produktionsdatenbank nutzt derzeit ein rollierendes tägliches Backup-Fenster von sieben (7) Tagen (Anbietereinstellung, geprüft am 22. Juli 2026); in jedem Fall laufen Sicherungskopien spätestens fünfunddreißig (35) Tage nach Löschung der aktiven Daten ab und bleiben bis zur Löschung geschützt und der gewöhnlichen Nutzung entzogen. Führt die Wiederherstellung eines Backups gelöschte Auftragsdaten wieder ein, wendet SonicR1 die betreffende Löschung erneut an, soweit dies vernünftigerweise möglich ist.
13.4 Über die in dieser Ziffer und in Anhang 1, Teil D genannten Fristen hinaus bewahrt SonicR1 Auftragsdaten in seiner Rolle als Auftragsverarbeiter nur auf, soweit Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung verlangt; ausgenommen sind die beiden in Anhang 1, Teil D offengelegten Aussetzungen. Soweit SonicR1 Einwilligungs-Nachweise und Löschprotokolle als Beweis zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahrt, handelt SonicR1 insoweit ausschließlich zu diesem Zweck als Verantwortlicher (Ziffer 1.3); diese Aufzeichnungen enthalten keine Gesprächsinhalte und sind isoliert und zugriffsbeschränkt. Soweit SonicR1 nach einer Inhaltslöschung oder nach einer Löschung gemäß Ziffer 13.2 Metadaten-Grabsteine aufbewahrt – ein auf Kennungen, Zeitstempel, Dauer, Status und Löschmarkierung reduzierter Gesprächsdatensatz ohne Gesprächsinhalte –, handelt SonicR1 insoweit ausschließlich zu Zwecken der Abrechnungs- und Nutzungsintegrität sowie der Missbrauchsprävention als Verantwortlicher (Ziffer 1.3) und löscht sie mit der Schließung des Workspace. Die operativen Aufbewahrungsfristen für aktive Systeme, temporäre Artefakte, Exporte, Protokolle und Einwilligungs-Nachweise sind in Anhang 1, Teil D dokumentiert.
14.1 Soweit gesetzlich nicht untersagt, benachrichtigt SonicR1 den Kunden über ein rechtsverbindliches Herausgabeverlangen einer Behörde zu Auftragsdaten. SonicR1 prüft das Verlangen auf Gültigkeit, tritt rechtswidrigen oder unverhältnismäßigen Verlangen entgegen, soweit dafür vernünftige Gründe bestehen, und legt nur die rechtlich mindestens erforderlichen Daten offen.
15.1 Die Haftung der Parteien aus diesem AVV unterliegt den Beschränkungen und Ausschlüssen des Hauptvertrags, soweit das Datenschutzrecht dies zulässt.
15.2 Nichts in diesem AVV beschränkt Rechte betroffener Personen oder Befugnisse der Aufsichtsbehörden oder verteilt Verantwortung in einer Weise, die mit Art. 82 oder 83 DSGVO unvereinbar ist.
15.3 Hat eine Partei Schadenersatz nach Art. 82 DSGVO für einen Schaden geleistet, der ganz oder teilweise auf einem Verstoß der anderen Partei gegen diesen AVV oder gegen die dieser anderen Partei nach dem Datenschutzrecht obliegenden Pflichten beruht, kann die zahlende Partei von der anderen Partei den auf deren Verantwortungsanteil entfallenden Teil des Schadenersatzes zurückfordern (Art. 82 Abs. 5 DSGVO); Ziffer 15.1 beschränkt diesen gesetzlichen Anspruch nicht. Hat eine Partei eine Geldbuße nach Art. 83 DSGVO gezahlt, die ganz oder teilweise auf einem Verstoß der anderen Partei gegen diesen AVV beruht, kann sie von dieser Ersatz verlangen, soweit das anwendbare Recht dies zulässt; Ansprüche nach diesem Satz unterliegen Ziffer 15.1.
16.1 Dieser AVV gilt, solange SonicR1 Auftragsdaten verarbeitet.
16.2 Bei einem Widerspruch zwischen diesem AVV und dem Hauptvertrag in Bezug auf die Verarbeitung personenbezogener Daten geht dieser AVV vor. Die Standardvertragsklauseln der Europäischen Kommission gehen, soweit anwendbar, widersprechenden Bestimmungen dieses AVV vor.
16.3 SonicR1 darf diesen AVV nur ändern, (i) um eine Änderung des Datenschutzrechts oder eine bindende Entscheidung einer Aufsichtsbehörde oder eines Gerichts abzubilden, (ii) um eine nach Ziffer 10 erfolgte Änderung der Dienste oder der Unterauftragsverarbeiter abzubilden, (iii) um eine nach Ziffer 6.2 zulässige Anpassung der technischen und organisatorischen Maßnahmen oder eine erneute Überprüfung der Tatsachenangaben in den Anhängen 1 bis 3 abzubilden, sofern das Gesamtschutzniveau nicht abgesenkt wird, oder (iv) um das Schutzniveau für Auftragsdaten zu erhöhen. SonicR1 kündigt eine wesentliche Änderung mindestens dreißig (30) Tage im Voraus per E-Mail an den Kontoinhaber- oder Administrator-Kontakt des Kunden an; dies gilt nicht, soweit die Änderung eine Aufnahme oder Ersetzung eines Unterauftragsverarbeiters abbildet, für die Ziffer 10.2 eine kürzere Ankündigung zulässt – insoweit gelten Frist und Begründungspflicht der Ziffer 10.2. Der Kunde kann innerhalb dieser Frist aus vernünftigen und dokumentierten Datenschutzgründen widersprechen, wobei das Verfahren und die Rechtsfolgen aus Ziffer 10.3 gelten. Eine Änderung darf während einer laufenden Vertragsperiode das Schutzniveau für Auftragsdaten nicht wesentlich absenken und die Verarbeitungszwecke nicht erweitern; ein wesentlich anderes internationales Übermittlungsrisiko darf sie nur durch eine nach Ziffer 10 vorgenommene Änderung der Unterauftragsverarbeiter einführen, für die das Widerspruchsrecht des Kunden und die Rechtsfolgen aus Ziffer 10.3 gelten.
17.1 Dieser AVV unterliegt deutschem Recht, unbeschadet der zwingenden Anwendung des Datenschutzrechts und der Rechtswahlbestimmungen etwaiger anwendbarer Standardvertragsklauseln. Gerichtsstand ist Berlin, Deutschland, soweit gesetzlich und nach dem Hauptvertrag zulässig.
17.2 Mitteilungen nach diesem AVV erfolgen über die Mitteilungswege des Hauptvertrags. Datenschutzbezogene Mitteilungen an SonicR1 sind an legal@sonicr1.com zu richten.
17.3 Sollte eine Bestimmung unwirksam oder undurchsetzbar sein, bleiben die übrigen Bestimmungen wirksam. Die Parteien ersetzen die betroffene Bestimmung durch eine rechtmäßige Bestimmung, die ihrem Zweck am nächsten kommt.
17.4 Dieser AVV wird in englischer Sprache geschlossen. Übersetzungen – einschließlich der von SonicR1 veröffentlichten deutschen Lesefassung – dienen ausschließlich der Verständlichkeit; bei Abweichungen ist die englische Fassung maßgeblich.
Dieser AVV ist verbindlich, wenn er in den Hauptvertrag einbezogen oder mit ihm angenommen wird. Wünschen die Parteien eine gesondert unterzeichnete Ausfertigung, können die Unterschriftsfelder der PDF-Fassung genutzt werden; die elektronische Signatur sowie die Unterzeichnung in mehreren gleichlautenden Ausfertigungen sind zulässig. Das PDF ist oben auf dieser Seite verlinkt; die gegengezeichnete Ausfertigung bitte an legal@sonicr1.com senden.
| Gegenstand | Bereitstellung der KI-gestützten SonicR1-Funktionen für Vertriebsintelligenz, Live-Coaching, Gesprächsanalyse, Training, Knowledge Base, Kalender, CRM-Integration, Berichte, Zusammenarbeit, Support, Sicherheit und verwandte SaaS-Funktionen. |
|---|---|
| Dauer | Für die Laufzeit des Hauptvertrags und darüber hinaus, bis Auftragsdaten gemäß Ziffer 13 und den Aufbewahrungsregeln in Teil D zurückgegeben oder gelöscht wurden. |
| Häufigkeit | Fortlaufend, wiederkehrend oder anlassbezogen, abhängig von Nutzung und Konfiguration der Dienste durch den Kunden. |
| Art der Verarbeitung | Erhebung, Empfang, Erfassung, Aufzeichnung (soweit aktiviert), Übermittlung, Transkription, Ordnung, Strukturierung, Speicherung, Abruf, Abfrage, Schwärzung, Pseudonymisierung/Tokenisierung, Analyse, KI-Inferenz, Generierung, Bewertung, Zusammenfassung, Anzeige, Integration, Export, Einschränkung, Support-Zugriff und Löschung. |
| Zwecke | Bereitstellung und Absicherung der Dienste; Transkription und Analyse von Verkaufsgesprächen; Live- und Nachgesprächs-Coaching; Erstellung von Zusammenfassungen, Scorecards, Handlungsempfehlungen und Entwürfen; Rollenspiele und Training; Verankerung der Ausgaben im Kundenwissen; Synchronisation der vom Kunden gewählten CRM- und Kalendersysteme; Team-/Admin-Funktionen; Fehlerbehebung; Missbrauchsprävention; und Umsetzung dokumentierter Kundenweisungen. |
A. Kategorien betroffener Personen
B. Kategorien personenbezogener Daten
| Kategorie | Beispiele |
|---|---|
| Konto- und Identitätsdaten | Namen, Nutzernamen, Profilangaben, Funktionsbezeichnungen, Rollen, Organisations-/Workspace-Zugehörigkeit, Nutzerkennungen, Authentifizierungs- und Einladungs-Metadaten. |
| Geschäftskontakt- und CRM-Daten | Geschäftliche E-Mail-Adressen, Telefonnummern, Firmen- und Kontodaten, Lead-/Kontaktdatensätze, Opportunity-/Deal-Daten, Pipeline-Phase, Notizen, Aktivitäten, Beziehungshistorie und vom Kunden gewählte CRM-Felder. |
| Kalender- und Meetingdaten | Meeting-Titel, Zeit, Teilnehmende, Kontaktdaten, Anbieter, Beschreibung, Beitrittslink, Agenda und zugehörige Vorbereitungsinformationen. |
| Gesprächs- und Audiodaten | Live- oder hochgeladenes Audio (soweit aktiviert), Sprecher-/Kanalinformationen, Timing, Sprache und zugehörige Erfassungs-Metadaten. SonicR1 nutzt Stimme nicht zur biometrischen Identifizierung und führt keine akustische Stimmlagen-Emotionsableitung durch. |
| Transkript- und Gesprächsinhalte | Transkripte, gesprochene Worte, Chat/Freitext, Fragen, Einwände, Aussagen, Zusagen, Produkt- und Geschäftsgespräche sowie weitere in Gesprächen oder Uploads übermittelte Inhalte. |
| KI-generierte und abgeleitete Daten | Live-Coaching-Karten, Antwortvorschläge, Zusammenfassungen, Scorecards, Coaching-Momente, Kompetenz- und Leistungsauswertungen, Benchmarking, textbasiertes Sentiment, Deal-Intelligenz, nächste Schritte, E-Mail-Entwürfe, CRM-Vorschauen, Klassifikationen und Modell-Ausgabe-Metadaten. |
| Knowledge-Base- und hochgeladene Inhalte | Produkt-, Wettbewerber-, Persona-, Prozess-, Playbook-, Dokument-, URL-Import- und weitere vom Kunden hochgeladene oder angebundene Materialien, einschließlich darin enthaltener personenbezogener Daten. |
| Technische, Nutzungs- und Sicherheitsdaten | IP-Adresse, Geräte-/Browser- und Sitzungs-Metadaten, Zeitstempel, Anwendungsereignisse, Audit- und Zugriffsprotokolle, Einwilligungs-Nachweis-Metadaten, Integrationskennungen, Diagnosedaten, Fehlerdatensätze, Rate-Limit-Schlüssel und Sicherheitsereignisse. |
| Support- und Implementierungsdaten | Support-Kommunikation, Konfigurationsanfragen, Screenshots, Diagnoseinformationen und Inhalte, die der Kunde zur Fehlerbehebung teilt. |
| Transaktions-E-Mail-Daten | Empfänger-E-Mail-Adresse, Zustell- und Ereignis-Metadaten, Betreff und Nachrichteninhalt, soweit für Einladungen, Authentifizierung, Sicherheit, Support und Dienstbenachrichtigungen erforderlich. |
C. Besondere Kategorien und sensible Daten
Besondere Kategorien personenbezogener Daten und Daten über strafrechtliche Verurteilungen sind für die gewöhnliche Nutzung weder erforderlich noch vorgesehen. Da Gespräche, CRM-Notizen und hochgeladene Dokumente Freiform-Inhalte sind, können solche Daten beiläufig enthalten sein. Der Kunde weist SonicR1 nicht absichtlich zur Verarbeitung solcher Daten an, es sei denn, er hat eine Rechtsgrundlage geschaffen und die Parteien haben etwaige erforderliche zusätzliche Schutzmaßnahmen vereinbart. Stimm-/Audiodaten werden von SonicR1 nicht zur eindeutigen biometrischen Identifizierung verarbeitet. Sentiment wird aus dem Transkripttext abgeleitet, nicht aus biometrischer oder akustischer Affektanalyse.
D. Aufbewahrung und Löschung (operativ, wie implementiert)
E. Weisungen des Kunden zu Ort und Empfängern
Anbieteridentität, Zweck, Datenkategorien und Verarbeitungsort wurden am 25. August 2026 gegen den Produktivcode und die Konfiguration geprüft; Einträge, die von einer Anbieter-Kontoeinstellung abhängen, tragen das Datum, an dem diese Einstellung zuletzt in der Konsole des Anbieters geprüft wurde. Ein regionaler Dienst-Endpunkt lokalisiert nicht zwingend Kontodaten, Protokolle, Support-Zugriff oder Steuerungsebene des Anbieters. Anbieteridentität (juristische Person und Land), Zweck, Datenkategorien, Ort und Übermittlungsmechanismus werden hier gepflegt; die Sitzangaben jedes Anbieters und dessen eigene Unterauftragsverarbeiter-Liste sind über die unten referenzierten Anbieter-Rechtsseiten abrufbar, und diese Informationen werden dem Kunden jederzeit über legal@sonicr1.com bereitgestellt. Änderungen folgen Ziffer 10 (30 Tage E-Mail-Ankündigung; kürzer und unter Angabe des Grundes, soweit Ziffer 10.2 eine sicherheits- oder kontinuitätsbedingte Ersetzung zulässt).
| Unterauftragsverarbeiter | Google Cloud EMEA Limited (Dublin, Irland; Google Cloud Platform) |
|---|---|
| Zweck | Vertex AI / Gemini KI-Textverarbeitung; Cloud-Text-to-Speech für Simulationsstimmen |
| Daten | Transkript- und Prompt-Text sowie Modellausgaben. Transkriptinhalte aus Gesprächen durchlaufen vor der Übermittlung die in Anhang 3 beschriebene Schwärzungsschicht; hochgeladene Knowledge-Base-Dokumente, importierter URL-Text, Briefing- und Pre-Call-Eingaben sowie Knowledge-Base-Fragen werden ungeschwärzt gesendet, da ihnen der Gesprächskontext für eine Tokenisierung fehlt. TTS erhält ausschließlich KI-Persona-Text |
| Ort / Verarbeitung | EU-Multiregion-KI-Endpunkt von Google („eu“, Anfragen bleiben innerhalb der EU-Geografie) für das aktuelle Standardmodell, dazu dedizierte EU-Regionen (europe-west1/west3/west4) für dort ausgelieferte Modelle und für den Failover; die Failover-Kette ist auf eine ausschließlich EU-Standorte umfassende Freigabeliste beschränkt. TTS über EU-Endpunkt |
| Übermittlungsgarantien | Google Cloud Data Processing Addendum (automatisch einbezogen; cloud.google.com/terms/data-processing-addendum); SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) wie dort einbezogen für etwaigen Drittland-Support-/Nebenzugriff |
| Unterauftragsverarbeiter | AssemblyAI, Inc. (USA) |
|---|---|
| Zweck | Batch- und Streaming-Speech-to-Text |
| Daten | Live-/hochgeladenes Gesprächsaudio, Transkripte, Timing-/Sprach-/Sprecher-Metadaten |
| Ort / Verarbeitung | EU-API- und Streaming-Endpunkte (Dublin, Irland), in der Anwendung fail-closed erzwungen. Konto: für das Modellverbesserungs-Opt-out des Anbieters registriert, anbieterseitige Speicherdauer 1 Tag (Anbieter-Konsole, geprüft am 22. Juli 2026) |
| Übermittlungsgarantien | Anbieter-AVV (assemblyai.com/legal/data-processing-addendum) einschließlich SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) für etwaigen Drittlandzugriff; US-niedergelassener Anbieter, EU-Verarbeitungs-Endpunkte |
| Unterauftragsverarbeiter | Supabase, Inc. (USA) |
|---|---|
| Zweck | Datenbank, Authentifizierung, Objekt-/Dateispeicher und zugehörige Backend-Dienste; Authentifizierungs-E-Mail |
| Daten | Konto-/Workspace-Datensätze, Gesprächsdateien, Transkripte, KI-Ausgaben, CRM-Snapshots, Wissensinhalte, Protokolle |
| Ort / Verarbeitung | Produktionsprojekt-Region: Central EU (Frankfurt) (Anbieter-Konsole, geprüft am 22. Juli 2026) |
| Übermittlungsgarantien | Anbieter-AVV (supabase.com/legal/dpa) einschließlich SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) für etwaigen Drittland-Support-Zugriff |
| Unterauftragsverarbeiter | Vercel Inc. (USA) |
|---|---|
| Zweck | Anwendungs-Hosting, Serverless-Compute, Deployment, Edge-Auslieferung und Protokolle |
| Daten | Anfrageinhalte soweit erforderlich, IP-/Geräte-/Anfrage-Metadaten, Anwendungsprotokolle, transiente Kundeninhalte |
| Ort / Verarbeitung | Anwendungs-Compute auf fra1 (Frankfurt) festgelegt; Vercel betreibt zusätzlich ein globales Edge-/Steuerungsnetz – fra1 wird nicht als vollständige Konto-/Protokoll-Residenz dargestellt |
| Übermittlungsgarantien | Anbieter-AVV (vercel.com/legal/dpa) einschließlich SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) |
| Unterauftragsverarbeiter | Inngest, Inc. (USA) |
|---|---|
| Zweck | Hintergrund-Job- und Workflow-Orchestrierung |
| Daten | Job-Kennungen (Call-/Run-/Intent-IDs) und Ausführungs-Metadaten. Da der Anbieter den Rückgabewert jedes Workflow-Schritts speichert, um einen Lauf fortsetzen zu können, erhalten seine Datenspeicher auch Schritt-Ergebnisse: dazu zählen pseudonymisierter (tokenisierter) Transkripttext für die Nachbereitung und bei CRM-Schreibjobs die erzeugte Schreib-Nutzlast mit zu ihren ursprünglichen Werten aufgelösten Token – Betreff und Text der Notiz, Titel und Beschreibungen von Aufgaben, Werte von Deal-Feldern und Begründungen von Stufenwechseln. Post-Call-Schritte geben zusätzlich abgeleitete Gesprächskennzahlen zurück, darunter eine KI-Gesprächsbewertung und die Redeanteilsquote. Gesprächsaudio wird nicht übermittelt. Jobs für transaktionale E-Mails tragen zusätzlich die E-Mail-Adresse der empfangenden Person und die zur Erzeugung der Nachricht erforderlichen Variablen, die den Namen oder die E-Mail-Adresse eines weiteren im Hinweis genannten Workspace-Mitglieds enthalten können |
| Ort / Verarbeitung | Der Anbieter gibt an, dass seine Datenspeicher in den USA gehostet werden (AWS) |
| Übermittlungsgarantien | Juristische Person: Inngest Inc, 1039 Iroquois Blvd, Royal Oak, MI 48067, USA. Anbieter-AVV am 4. August 2026 abgeschlossen (Common Paper Data Processing Agreement, Standard Terms v1.0), einschließlich der Standardvertragsklauseln (2021/914) – Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wobei SonicR1 als Auftragsverarbeiter des Kunden und der Anbieter als Unterauftragsverarbeiter von SonicR1 handeln – sowie des UK-Addendums für dem Recht des Vereinigten Königreichs unterliegende Übermittlungen. Gesprächsaudio wird nicht über diesen Anbieter geleitet |
| Unterauftragsverarbeiter | Upstash, Inc. (USA) |
|---|---|
| Zweck | Rate-Limiting und zugehörige Serverless-Datenfunktionen |
| Daten | Pseudonyme Schlüssel/IDs, Zähler, Zeitstempel und Rate-Limit-Metadaten; konstruktionsbedingt keine Gesprächsinhalte |
| Ort / Verarbeitung | Bereitgestellte Datenbank-Region: AWS eu-central-1 (Frankfurt) (Anbieter-Konsole, geprüft am 22. Juli 2026) |
| Übermittlungsgarantien | Anbieter-AVV (upstash.com/trust/dpa.pdf) einschließlich SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) |
| Unterauftragsverarbeiter | Fly.io, Inc. (USA) |
|---|---|
| Zweck | Hosting des Simulations-Gesprächsagenten und selbst gehosteter Sprachkomponenten |
| Daten | Trainings-/Simulationsaudio oder -text und transiente Dienst-Metadaten, abhängig von der Funktionsnutzung |
| Ort / Verarbeitung | Konfigurierte Region fra (Frankfurt) für alle Workloads |
| Übermittlungsgarantien | Teilnehmer des EU-U.S. Data Privacy Framework; Anbieter-AVV am 22. Juli 2026 beidseitig abgeschlossen, einschließlich per Addendum-Signatur angenommener SCC (2021/914); der Anbieter bewahrt Plattformdaten 90 Tage nach Beendigung auf |
| Unterauftragsverarbeiter | Plus Five Five, Inc., firmierend als Resend (USA) |
|---|---|
| Zweck | Transaktionaler E-Mail-Versand |
| Daten | Empfänger-E-Mail-Adressen, Nachrichteninhalte, Zustellereignisse, E-Mail-Metadaten, Protokolle und API-Datensätze |
| Ort / Verarbeitung | Versand über Irland geleitet (EU-Versandregion; Anbieter-Konsole, geprüft am 22. Juli 2026); der Anbieter speichert Kontodaten, Nachrichteninhalte, Metadaten, Protokolle und API-Datensätze unabhängig von der Versandregion in den USA |
| Übermittlungsgarantien | Anbieter-AVV automatisch einbezogen (resend.com/legal/dpa): SCC (2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter) und EU-U.S.-DPF-Zertifizierung |
Freigegebene globale KI-Anbieter
Keine. Derzeit ist kein KI-Inferenz-Anbieter außerhalb des EWR freigegeben oder im Einsatz. Bevor ein solcher Anbieter eingesetzt wird (etwa für künftige erweiterte Analysefunktionen), wird er mit Ankündigung nach Ziffer 10 in diesen Anhang aufgenommen; bis dahin bleibt die Einstellung der genehmigten globalen Verarbeitung wirkungslos.
Vom Kunden gewählte externe Dienste
Vom Kunden gewählte und angebundene CRM-, Kalender-, Konferenz- und Vertriebssysteme – etwa HubSpot, Salesforce, Pipedrive, Zoho, Monday, Close, Attio, Google Kalender, Microsoft Outlook, Calendly, Google Meet, Microsoft Teams oder Zoom – sind nicht automatisch Unterauftragsverarbeiter von SonicR1. SonicR1 übermittelt Daten auf Weisung des Kunden an diese Dienste; für Verträge, Einstellungen und die rechtmäßige Nutzung dieser Dienste ist der Kunde verantwortlich. Beauftragt SonicR1 einen solchen Anbieter später für eigene Verarbeitungszwecke, ist er in diesen Anhang aufzunehmen.
Abrechnung: Stripe verarbeitet Abrechnungsdaten der Kontoinhaber, für die SonicR1 als eigenständiger Verantwortlicher handelt; Stripe erhält keine Gesprächsinhalte des Kunden und unterliegt daher der SonicR1-Datenschutzerklärung, nicht diesem Anhang.
Die nachstehenden Maßnahmen beschreiben implementierte Kontrollen; sie wurden am 25. August 2026 gegen den Produktivcode geprüft und, soweit eine Kontrolle von einer Anbieter-Kontoeinstellung abhängt, gegen die Konsole dieses Anbieters zu dem in Anhang 2 genannten Datum. SonicR1 darf eine Maßnahme durch eine gleichwertige oder stärkere Kontrolle ersetzen, ohne das Gesamtschutzniveau abzusenken.
| Kontrollbereich | Maßnahmen |
|---|---|
| Governance und Verantwortlichkeit | Dokumentierte Datenresidenz- und KI-Verarbeitungsrichtlinie; definierte Anbieter-Routing-Grenzen; dem Betreiber zugewiesene Datenschutz- und Sicherheitsverantwortung; Prüfung wesentlicher Architektur- und Unterauftragsverarbeiter-Änderungen; Aufzeichnungen zur Unterstützung von Compliance und Vorfallreaktion. |
| EU-Residenz als Standard | Anwendungs-Compute auf Vercel fra1 festgelegt; Datenbank/Auth/Speicher in einem Frankfurter Projekt; AssemblyAI-EU-Endpunkte; Google-KI ausschließlich über EU-Endpunkte, wobei die Failover-Kette auf eine ausschließlich EU-Standorte umfassende Freigabeliste beschränkt ist; Fly.io-Komponenten in fra konfiguriert. Keine Auftragsdaten werden an einen KI-Inferenz-Endpunkt außerhalb des EWR geleitet; keine Sprachmodell-Option außerhalb des EWR ist aktiviert. |
| Fail-closed-Routing-Kontrollen | Fehlende oder veraltete Workspace-Richtlinien fallen auf EU-/Nur-Regional-Verarbeitung zurück; nicht unterstützte explizite Richtlinienwerte schlagen fehl; regionale KI-Ausfälle führen nicht zu einem Rückfall auf einen Anbieter außerhalb des EWR; STT-Endpunkte werden zentral aufgelöst, und abweichende Nicht-EU-Konfigurationen erfordern eine ausdrückliche Ausnahme auf Deployment-Ebene. |
| Automatisierte Umgehungsprävention | Kontinuierliche CI-Prüfungen weisen Code zurück, der gelöschte Alt-Routing-Helfer referenziert, Anbieter-KI-/STT-SDKs außerhalb freigegebener Adapter importiert, STT-Konfiguration außerhalb des zentralen Adapters anspricht, Nicht-EU-Endpunkte hart kodiert oder rohe Datenregion-Werte auf Routenebene interpretiert; die Prüfungen testen sich selbst und nutzen exakte, begründete Freigabelisten. |
| Datenminimierung | Verarbeitet werden nur die für die gewählten Funktionen benötigten Daten. Hintergrund-Job-Ereignisnutzlasten tragen Kennungen statt Gesprächsinhalten, wobei der Orchestrierungs-Anbieter Workflow-Schritt-Ergebnisse speichert (siehe Anhang 2); Rate-Limiting nutzt Schlüssel/IDs statt Gesprächsinhalten; der E-Mail-Unterauftragsverarbeiter erhält ausschließlich Empfängeradressen und Nachrichteninhalte. |
| Pseudonymisierung und Schwärzung | Eine Schwärzungsschicht erkennt und tokenisiert Kontakt- und Finanzkennungen – Telefonnummern, E-Mail-Adressen, IBAN/BIC, Zahlungskartennummern, Postleitzahlen und URLs –, bevor in Frage kommende Inhalte an einen externen Sprachmodell-Anbieter gesendet werden. Auf dem Post-Call-Pfad werden zusätzlich Personennamen über eine Namensliste und eine maschinelle Namenserkennung tokenisiert; dies ist die Workspace-Voreinstellung. Steht die Erkennung nicht zur Verfügung, greift weiterhin die Namensliste. Auf dem latenzkritischen Live-Pfad beschränkt sich die Tokenisierung auf die oben genannten Kennungsarten; Personennamen im Live-Transkript werden daher ohne Tokenisierung an den EU-Modell-Endpunkt übermittelt – TLS-verschlüsselt und unter den in Anhang 2 ausgewiesenen Anbieterbedingungen. Inhalte, die keinen Gesprächskontext zur Tokenisierung tragen – hochgeladene Knowledge-Base-Dokumente, importierter URL-Text, Briefing- und Pre-Call-Eingaben sowie Knowledge-Base-Fragen –, werden ungeschwärzt an das externe Modell gesendet (Anhang 2). Die Übermittlung an ein externes Modell setzt im Produktivbetrieb einen Schwärzungsnachweis voraus – entweder über die angewandte Tokenisierung oder über die Feststellung, dass der Inhalt keinen Gesprächskontext zur Tokenisierung trägt – sowie eine Prüfung der ausgehenden Token, soweit tokenisiert wurde. |
| Zugriffskontrolle und Mandantentrennung | Authentifizierter Zugriff; rollenbasierte Workspace-Berechtigungen; Inhaber-/Admin-gebundene Datenschutz- und Datenregion-Einstellungen; Trennung von Service-Role-Vorgängen und normalen Routen; Projekt-/Workspace-Abgrenzung; Datenbank-Zeilensicherheit und anwendungsseitige Projekt-Guards. KI-generierte Bewertungen einer einzelnen Verkäuferin/eines einzelnen Verkäufers (Scores, Scorecards, Coaching-Feedback) werden ausschließlich dieser Person offengelegt: Sie sind für andere Workspace-Mitglieder oder Führungskräfte nicht sichtbar, und Massen-Datenexporte schließen sie aus. |
| Authentifizierung und Zugangsdaten | Verwaltete Authentifizierung über Supabase; Geheimnisse in geschützter Umgebungskonfiguration; kurzlebige STT-Streaming-Token; keine API-Geheimnisse für Clients, außer begrenzte temporäre Token, wo erforderlich. |
| Verschlüsselung und Übertragungssicherheit | TLS für Daten während der Übertragung; anbieterverwaltete Verschlüsselung ruhender Daten für gehostete Datenbanken, Dateien und unterstützte Cloud-Dienste; sichere WebSocket-/HTTPS-Endpunkte für Audio- und API-Verkehr. |
| Einwilligungs- und Transparenzkontrollen | Aufzeichnungs-/KI-Einwilligungsschranke mit Teilnehmerhinweis in unterstützten Sprachen vor der Erfassung, wo Aufzeichnung/KI-Analyse genutzt wird; nur anfügbare Einwilligungs-Nachweis-Metadaten ohne Gesprächsinhalte; für Rechtsgrundlage und Aufzeichnungsanforderungen bleibt der Kunde verantwortlich. |
| Ephemere Verarbeitungsoption | Der ephemere Modus ist darauf ausgelegt, nach der Live-Sitzung kein wiederverwendbares Audio, keine Transkripte und keine Zusammenfassungen zu behalten; rollierender Kontext existiert nur für die Sitzung, vorbehaltlich begrenzter Sicherheits-/Betriebs- und Einwilligungs-Nachweis-Metadaten. |
| Löschung und Aufbewahrung | Tarifbasierte Aufbewahrungsfenster, durchgesetzt durch einen geplanten nächtlichen Löschlauf mit Anomalie-Schutzschalter (Anhang 1, Teil D); jederzeit verfügbare kundenseitige Lösch- und Exportfunktionen; TTL-Jobs für Schwärzungs-Zuordnung und Debrief-Daten; anbieterseitige STT-Speicherdauer; ein betreibergesteuerter Lösch-/Rückgabeprozess bei Beendigung anhand einer Spezifikation, die jede Tabelle mit einer Workspace-, Projekt-, Organisations- oder Gesprächskennung klassifiziert; isolierte rechtliche Aufbewahrung, wo erforderlich. |
| Anbieter-Modelltraining-Beschränkungen | Speech-to-Text-Konto für das Modellverbesserungs-Opt-out des Anbieters registriert (auf Kontoebene nachgewiesen); Auftragsdaten werden von SonicR1 ohne dokumentierte Weisung nicht zum Training gemeinsamer Modelle genutzt. |
| Protokollierung und Prüfbarkeit | Betriebs- und Sicherheitsprotokolle; Aufzeichnungen über Übermittlungen an externe Modelle mit Anbieter, Zweck und Routing-Grund; betreibergebundene Regionsbereitschafts-Diagnosen, die wirksame Dienstregionen ohne Kundeninhalte oder Geheimnisse ausweisen. |
| Verfügbarkeit und Ausfallsicherheit | Verwaltete Cloud-Infrastruktur, Health-Checks, regionale Dienstkonfiguration, Fehlerweitergabe statt unsicherem Anbieter-Fallback, Wiederholungs-/Fehlerbehandlung sowie Backup-/Wiederherstellungsfähigkeiten der jeweiligen Infrastrukturanbieter. |
| Schwachstellen- und Änderungsmanagement | Versionskontrollierte Infrastruktur- und Anwendungsänderungen; Code-Review und automatisierte Tests; Abhängigkeits- und Deployment-Kontrollen; Umgebungstrennung; Sicherheitstests gegen die Regression regionaler Übermittlungsgrenzen. |
| Vorfallreaktion | Verfahren für Erkennung, Triage, Eindämmung, Untersuchung, Behebung, Beweissicherung und Kundenbenachrichtigung; Mitwirkung an den Pflichten des Kunden aus Art. 33–36 DSGVO. |
| KI-spezifische Kontrollen | SonicR1 trifft keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung; Sentiment wird ausschließlich aus dem Transkripttext abgeleitet; keine biometrische Stimmidentifizierung und keine akustische Emotionsableitung; KI-generierte Bewertungen einer Person sind technisch auf diese Person beschränkt (siehe „Zugriffskontrolle und Mandantentrennung“). |
| Datenschutz-Kontakt des Kunden | Der Konto-Inhaber, Administrator oder der vom Kunden im Hauptvertrag oder in den Diensten benannte Datenschutz-Kontakt. |
|---|---|
| Datenschutz-Kontakt von SonicR1 | legal@sonicr1.com (E-Mail ist der benannte Kanal; ein Telefonkontakt ist nicht benannt). |
| Sicherheitsvorfall-Kanal | legal@sonicr1.com sowie ein etwaiger später in der Trust-/Sicherheitsdokumentation oder im Hauptvertrag benannter Vorfall-Kanal. |
| Ankündigungsweg Unterauftragsverarbeiter | E-Mail an den Konto-Inhaber-/Administrator-Kontakt des Kunden (maßgeblich); produktinterne Hinweise können zusätzlich genutzt werden. |
| Weisung genehmigte globale Verarbeitung | Derzeit wirkungslos – kein KI-Anbieter außerhalb des EWR ist freigegeben (Anhang 2). Wird einer nach Ziffer 10 aufgenommen, muss der Inhaber/Admin des Kunden die Workspace-Option ausdrücklich aktivieren oder eine gleichwertige schriftliche Weisung erteilen; der sichere Standard bleibt Nur-Regional. |
| Rückgabe-/Löschweisung | Der Kunde stellt eine Anfrage über die verfügbaren Kontofunktionen oder an den Datenschutz-Kontakt jederzeit vor der Kontoschließung, innerhalb der in Ziffer 13.2 vorgesehenen dreißig (30) Tage nach Beendigung oder innerhalb eines von den Parteien vereinbarten längeren Übergangszeitraums. |
Das operative Prüfregister (Anbietervereinbarungen, Dashboard-Nachweise, Datumsangaben) führt SonicR1 gesondert; sein aktueller Stand ist für den Kunden jederzeit über legal@sonicr1.com verfügbar.