1. Parteien und Gegenstand
Die Kundin ist Verantwortliche («Verantwortliche»), die oben genannte Betreiberin von Piketto ist Auftragsbearbeiterin («Auftragsbearbeiterin»). Gegenstand ist die Bearbeitung der Personendaten von Anrufenden, deren Anrufe die Verantwortliche über Piketto entgegennehmen lässt.
2. Dauer
Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Auftragsbearbeiterin Personendaten der Verantwortlichen bearbeitet.
3. Art und Zweck der Bearbeitung
Die Auftragsbearbeiterin bearbeitet die Daten ausschliesslich, um für die Verantwortliche Anrufe entgegenzunehmen: Sprache in Echtzeit erkennen und beantworten, das Gespräch transkribieren, Anliegen erfassen und zusammenfassen, dringende Anrufe durchstellen, die Verantwortliche per E-Mail und SMS benachrichtigen, die Anrufe im Dashboard anzeigen sowie Gesprächszeit abrechnen. Eine Bearbeitung zu eigenen Zwecken der Auftragsbearbeiterin, etwa für Werbung oder zum Training eigener KI-Modelle, findet nicht statt.
4. Kategorien von Personendaten und betroffenen Personen
Betroffene Personen sind die Anrufenden der Verantwortlichen sowie Mitarbeitende der Verantwortlichen, an die Anrufe durchgestellt werden. Bearbeitet werden:
- Anrufernummer, Zeitpunkt und Dauer des Anrufs;
- die Stimme der Anrufenden, ausschliesslich in Echtzeit und ohne Speicherung von Tonaufnahmen;
- das Transkript des Gesprächs;
- erfasste Angaben wie Name, Rückrufnummer, Anliegen, Dringlichkeit, Terminwunsch und Zusammenfassung;
- Durchstell- und Benachrichtigungsnummern der Mitarbeitenden.
Die Bearbeitung besonders schützenswerter Personendaten oder von Daten, die einem Berufsgeheimnis unterstehen, ist nicht vorgesehen und bedarf einer separaten schriftlichen Vereinbarung. Die Verantwortliche richtet ihre Telefonassistenz so ein, dass solche Daten nicht abgefragt werden.
5. Weisungen
Die Auftragsbearbeiterin bearbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Als Weisungen gelten dieser Vertrag, die Konfiguration im Dashboard (insbesondere Aufbewahrungsfrist, Durchstell- und Benachrichtigungseinstellungen) und schriftliche Einzelweisungen. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche unverzüglich.
6. Vertraulichkeit
Die Auftragsbearbeiterin gewährt nur Personen Zugriff auf die Daten, die ihn für die Vertragserfüllung benötigen und die zur Vertraulichkeit verpflichtet sind. Die Pflicht besteht über das Ende des Vertrags hinaus.
7. Technische und organisatorische Massnahmen
Die Auftragsbearbeiterin gewährleistet eine dem Risiko angemessene Datensicherheit nach Art. 8 DSG und den Art. 1–6 der Datenschutzverordnung (DSV), insbesondere:
- Verschlüsselung der Datenübertragung (TLS) und Schutz gespeicherter Zugangsdaten durch Hashing;
- logische Trennung der Daten jeder Verantwortlichen; Zugriff im Dashboard nur für deren Benutzerinnen und Benutzer;
- rollenbasierter Zugriff der Mitarbeitenden der Auftragsbearbeiterin nach dem Need-to-know-Prinzip;
- Datensparsamkeit: keine Tonaufnahmen, automatische Löschung nach der gewählten Aufbewahrungsfrist;
- sorgfältige Auswahl und vertragliche Verpflichtung der Unterauftragsverarbeiter;
- Protokollierung sicherheitsrelevanter Ereignisse sowie regelmässige Überprüfung und Anpassung der Massnahmen.
8. Unterauftragsverarbeiter
Die Verantwortliche genehmigt den Beizug der in der Datenschutzerklärung aufgeführten Unterauftragsverarbeiter: ElevenLabs für Sprach-KI einschliesslich seiner Sprachmodell-Unterauftragsverarbeiter (Google Gemini), netcup GmbH für Anwendung und Datenbank in Wien, Österreich, Cloudflare für CDN, TLS und DDoS-Schutz, Google Workspace für E-Mail, Twilio für Telefonie und SMS sowie Stripe für Zahlungen. Die jeweiligen Bearbeitungsländer und Garantien sind dort aufgeführt. Eine verschlüsselte Datenbanksicherung liegt auf eigener Infrastruktur der Betreiberin in der Schweiz. Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich zu mindestens gleichwertigem Datenschutz.
Über den Beizug oder Ersatz eines Unterauftragsverarbeiters informiert die Auftragsbearbeiterin mindestens 30 Tage im Voraus per E-Mail. Die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; finden die Parteien keine Lösung, kann sie den Vertrag auf den Zeitpunkt des Wechsels kündigen.
9. Bekanntgabe ins Ausland
Eine Bekanntgabe von Personendaten ins Ausland erfolgt nur nach Art. 16 und 17 DSG: in Staaten mit angemessenem Datenschutz gemäss Bundesrat, an für die betreffende Bearbeitung nach dem Swiss-U.S. Data Privacy Framework zertifizierte Empfänger in den USA oder, andernfalls und bei weiteren Staaten ohne angemessenen Datenschutz, gestützt auf vom EDÖB anerkannte, für die Schweiz angepasste Standardvertragsklauseln und gegebenenfalls ergänzende Schutzmassnahmen. Die Auftragsbearbeiterin führt ein aktuelles Verzeichnis der Empfänger und Staaten gemäss Datenschutzerklärung.
10. Unterstützung bei Betroffenenrechten
Die Auftragsbearbeiterin unterstützt die Verantwortliche mit geeigneten Mitteln bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe). Einzelne Anrufe kann die Verantwortliche im Dashboard selbst einsehen und endgültig löschen. Erhält die Auftragsbearbeiterin eine Anfrage direkt, leitet sie diese unverzüglich an die Verantwortliche weiter. Sie unterstützt die Verantwortliche zudem bei Datenschutz-Folgenabschätzungen im Rahmen der ihr verfügbaren Informationen.
11. Verletzungen der Datensicherheit
Die Auftragsbearbeiterin meldet der Verantwortlichen eine Verletzung der Datensicherheit, die deren Daten betrifft, so rasch als möglich nach Kenntnis (Art. 24 Abs. 3 DSG). Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Datenkategorien, die möglichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen. Die Auftragsbearbeiterin unterstützt die Verantwortliche bei einer allfälligen Meldung an den EDÖB und bei der Information betroffener Personen.
12. Löschung und Rückgabe
Während der Vertragsdauer werden Transkripte und Anruferangaben nach der von der Verantwortlichen gewählten Frist (7 bis 365 Tage, standardmässig 90 Tage) automatisch gelöscht; Tonaufnahmen werden nicht gespeichert. Die Verantwortliche kann ihr Konto jederzeit in den Einstellungen löschen; die Auftragsbearbeiterin löscht dann sofort Betriebsprofil, Anrufdaten und Transkripte, entfernt den Telefonassistenten beim Unterauftragsverarbeiter ElevenLabs, gibt die Schweizer Rufnummer frei und beendet ein bestehendes Abonnement sofort. Endet das Abonnement durch Kündigung oder Ablauf, löscht die Auftragsbearbeiterin sämtliche Personendaten der Verantwortlichen 30 Tage nach Ende der letzten Abrechnungsperiode; wurde nie ein Abonnement abgeschlossen, 60 Tage nach der Registrierung. Bei ElevenLabs werden Gesprächsdaten spätestens nach 30 Tagen gelöscht. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten: Für die Abrechnung nötige Angaben ohne Gesprächsinhalt bleiben im gesetzlichen Umfang erhalten.
13. Nachweise und Kontrollen
Die Auftragsbearbeiterin stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Die Verantwortliche oder ein von ihr beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann nach rechtzeitiger Voranmeldung, während der Geschäftszeiten und höchstens einmal jährlich eine Kontrolle durchführen, ausser bei begründetem Verdacht auf einen Verstoss. Die Kosten trägt die Verantwortliche.
14. Schlussbestimmungen
Für die Haftung gelten die Bestimmungen der AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor. Es gilt schweizerisches Recht; Gerichtsstand ist der Sitz der Auftragsbearbeiterin.