Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Stand: April 2026

§1 Gegenstand und Dauer

(1) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten im Zusammenhang mit der Sontor Voice-AI-Plattform.

(2) Auftraggeber (Verantwortlicher): Der Kunde.

(3) Auftragnehmer (Auftragsverarbeiter): Helfenstein Ventures GmbH, Oberhauser Weg 34, 88319 Aitrach.

(4) Dauer entspricht der Laufzeit des Hauptvertrags (AGB).

§2 Art und Zweck der Verarbeitung

• Ersteinrichtung: Deployment via Azure Lighthouse
• Software-Updates: Container-Image-Import + Revision
• Infrastruktur-Management: Wartung und Fehlerbehebung
• Plattformzugang: Dashboard zur Voicebot-Konfiguration
• Abrechnung: Verwaltung der Vertragsdaten

(2) Die Verarbeitung erfolgt ausschließlich auf Weisung des Auftraggebers.

§3 Kategorien betroffener Personen und Daten

Im Kunden-Tenant (kein routinemäßiger Sontor-Zugriff)

• Gesprächsaudio — Streaming, keine Speicherung
• Transkripte — Kunden-PostgreSQL
• Anrufer-Telefonnummern — Kunden-PostgreSQL
• Gesprächszusammenfassungen — Kunden-PostgreSQL

Auf der Sontor-Plattform

• Name, E-Mail, Organisation — Sontor-PostgreSQL (Sweden Central)
• Rechnungsadresse, USt-IdNr. — Sontor-PostgreSQL
• Login-Daten (Azure AD) — Sontor-PostgreSQL

§5 Unterauftragsverarbeiter

• Microsoft (Azure Cloud) — EU (Sweden Central, Germany West Central)
• Microsoft (Azure OpenAI) — EU (Sweden Central)
• Microsoft (Entra ID) — EU

Keine Nutzung für KI-Training: Microsoft garantiert vertraglich, dass Kundendaten in Azure OpenAI nicht zum Trainieren von Basismodellen verwendet werden (No-Training-Policy).

§6 Azure Lighthouse — Delegierter Zugriff

(1) Sontor erhält delegierten Zugriff (Contributor) für Deployment, Updates und Fehlerbehebung.

(2) Sontor verpflichtet sich, keinen Zugriff auf Kundendaten auszuüben, der nicht zur Leistungserbringung erforderlich ist.

(3) Jederzeit widerrufbar durch den Kunden im Azure Portal.

(4) Alle Zugriffe werden in den Azure Activity Logs protokolliert.

(5) Manuelle Zugriffe nur nach Support-Anfrage (Weisung). Automatisierte Zugriffe sind generell gewiesen.

§8 Löschung und Rückgabe

• Testnummern, Bridge-Logs — 30 Tage nach Vertragsende
• Azure Tenant-ID, Object-ID — 6 Jahre (§257 HGB)
• Rechnungsdaten — 10 Jahre (§14b UStG)
• Voicebot-Daten im Kunden-Tenant — Verbleiben beim Kunden

Anlage 1: Technisch-Organisatorische Maßnahmen (TOM)

Gemäß Art. 32 DSGVO

Vertraulichkeit

• Alle Systeme in Microsoft Azure-Rechenzentren (ISO 27001, C5)
• Authentifizierung über Microsoft Entra ID (MFA, keine eigenen Passwörter)
• Single-Tenant-Architektur: Physische Datentrennung pro Kunde
• Azure Lighthouse: jederzeit widerrufbar, vollständig auditierbar

Integrität

• TLS 1.2+ auf allen Verbindungen
• PostgreSQL: SSL erzwungen
• Audio: Streaming (keine Zwischenspeicherung)
• Azure Activity Logs für alle Lighthouse-Zugriffe

Verfügbarkeit

• Azure PostgreSQL: automatische Backups (7 Tage)
• Container Apps: Auto-Restart + Auto-Scaling
• Azure SLA: 99,95 %