Auftragsverarbeitungsvertrag (DPA)

Artikel 1. Allgemeine Verpflichtungen von SKIPCALL

SKIPCALL verpflichtet sich:

• Personenbezogene Daten nur auf Anweisung des Kunden zu verarbeiten und personenbezogene Daten nicht für andere Zwecke als die strikte Erfüllung des Vertrags zu verwenden.
• Daten gemäß den Anweisungen des Kunden zu verarbeiten. Der Kunde versteht, dass er die Verarbeitungsparameter selbst konfigurieren kann (Datenart, Verarbeitungsvorgänge, Aufbewahrungsfrist, sofern diese Einstellung verfügbar ist, usw.). Wenn SKIPCALL eine Anweisung für nicht konform mit den Anwendbaren Bestimmungen hält, wird es den Kunden informieren.
• Die Vertraulichkeit der verarbeiteten Personenbezogenen Daten zu gewährleisten und sicherzustellen, dass autorisierte Personen zur Vertraulichkeit verpflichtet sind.
• Die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in seinen Tools und Diensten anzuwenden.
• Die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und Unterstützung zu leisten, um dem Kunden die Erfüllung seiner gesetzlichen Verpflichtungen zu ermöglichen.
• Sicherheitsmaßnahmen umzusetzen, die Risiken wie Vernichtung, Verlust, Veränderung, unbefugte Weitergabe oder Zugang zu personenbezogenen Daten berücksichtigen.
• Den Kunden über jede Verletzung des Schutzes personenbezogener Daten innerhalb von höchstens 72 Stunden nach Bekanntwerden zu informieren, auch per E-Mail an den Datenschutzbeauftragten des Kunden, unter Angabe von:
  • Beschreibung der Verletzung
  • Ansprechpartner
  • Voraussichtliche Folgen
  • Ergriffene oder vorgeschlagene Maßnahmen

  Wenn vollständige Informationen nicht sofort verfügbar sind, werden weitere Einzelheiten so schnell wie möglich nachgereicht.

• Alle notwendigen Informationen bereitzustellen, um die Konformität nachzuweisen, und Audits unter angemessenen Bedingungen zu ermöglichen. Der Kunde ist auf ein Audit pro Vertragsjahr beschränkt (außer in Notsituationen). Wenn Audits Mehraufwand verursachen, können sie in Rechnung gestellt werden, sofern sie nicht durch Artikel 28 DSGVO vorgeschrieben sind.
• Ein schriftliches Verzeichnis der Verarbeitungstätigkeiten zu führen, das Folgendes enthält:
  • Kundendaten
  • Unterauftragsverarbeiter
  • Verarbeitungskategorien
  • Internationale Übermittlungen
  • Sicherheitsmaßnahmen

Artikel 2. Unterauftragsverarbeiter

2.1 Der Kunde ermächtigt SKIPCALL, die Unterauftragsverarbeiter einzusetzen, die in der unter skipcall.io/de/unterauftragsverarbeiter veröffentlichten und aktuell gehaltenen Liste aufgeführt sind und die der Kunde nach eigener Erklärung eingesehen hat. Diese Liste nennt für jeden Unterauftragsverarbeiter seine Identität, den Zweck, zu dem er eingesetzt wird, das Verarbeitungsland und gegebenenfalls die Garantie, die Übermittlungen außerhalb der Europäischen Union absichert.

2.2 SKIPCALL informiert den Kunden über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens 15 Tage vor dessen Inbetriebnahme, per E-Mail an die vom Kunden angegebene Kontaktadresse und gegebenenfalls über das Abonnement der Benachrichtigungen zur Aktualisierung der Liste.

2.3 Der Kunde kann dieser Hinzufügung oder Ersetzung aus berechtigten Gründen des Datenschutzes innerhalb von 15 Tagen nach der Information widersprechen. Kommt keine für beide Parteien annehmbare Lösung zustande, kann der Kunde den Vertrag für den betroffenen Teil der Dienste ohne Vertragsstrafe kündigen.

2.4 SKIPCALL erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutz- und Vertraulichkeitspflichten auf, die denen dieser Vereinbarung gleichwertig sind, und bleibt gegenüber dem Kunden für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters vollumfänglich verantwortlich.

Artikel 3. Rechte der betroffenen Personen

3.1 Der Kunde bleibt gemäß Artikel 13 und 14 DSGVO für die Information der betroffenen Personen bei der Datenerhebung verantwortlich.

3.2 SKIPCALL unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen und soweit möglich dabei, Anträgen auf Ausübung der in Artikel 15 bis 22 DSGVO vorgesehenen Rechte nachzukommen: Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit und Widerspruchsrecht.

3.3 Zu diesem Zweck stellt SKIPCALL dem Kunden über die Oberfläche der Dienste folgende Funktionen zur Verfügung:

• Suche und Einsicht: Suche nach Name, Telefonnummer oder E-Mail-Adresse, mit der sich alle einer Person zugeordneten Daten ermitteln lassen: Kontaktdatensatz, Anrufe, Aufzeichnungen, SMS, zugehörige Aufgaben und Notizen.
• Berichtigung: direkte Änderung der Identifikations- und Kontaktdaten eines Kontakts aus seinem Datensatz heraus.
• Löschung: Löschen eines Kontakts, einer Auswahl von Kontakten oder der gesamten Kontaktdatenbank.
• Auskunft und Datenübertragbarkeit: Export der Kontakte und ihrer Verlaufsdaten im CSV-Format aus einer Sequenz. Der Administrator des Kunden erlaubt oder beschränkt diese Funktion für die Mitglieder seines Arbeitsbereichs.
• Einsicht in den Inhalt der Kommunikation: Anhören der Audioaufzeichnung sowie Lesen der Zusammenfassung und der vollständigen Transkription eines Anrufs aus dem zugehörigen Aufzeichnungsdatensatz, mit Kopie der Zusammenfassung und der Transkription.
• Einschränkung der Verarbeitung: Deaktivierung der Anrufaufzeichnung für den gesamten Arbeitsbereich durch den Administrator des Kunden.
• Benutzerverwaltung: Hinzufügen, Rollenänderung, Deaktivierung, Reaktivierung und Entfernen eines Benutzers aus dem Arbeitsbereich durch den Administrator des Kunden.
• Kontrolle der Datenflüsse zu Drittanbieter-Tools: jederzeitige Verbindung und Trennung des CRM des Kunden (Salesforce, HubSpot, Pipedrive, Attio).

3.4 Kann ein Antrag vom Kunden nicht über die Oberfläche erledigt werden, bearbeitet SKIPCALL ihn auf dokumentierte Weisung des Kunden innerhalb von 7 Werktagen nach Eingang der Weisung.

3.5 Richtet eine betroffene Person einen Antrag auf Ausübung ihrer Rechte direkt an SKIPCALL, so beantwortet SKIPCALL ihn nicht in der Sache, sondern leitet ihn innerhalb von höchstens 7 Werktagen an den Kunden weiter und informiert die betroffene Person über diese Weiterleitung.

Artikel 4. Aufbewahrung und Löschung personenbezogener Daten

SKIPCALL wird Daten nicht über die vom Kunden festgelegten oder, hilfsweise, die in Punkt 1.6 von Anhang 1 genannten Aufbewahrungsfristen hinaus aufbewahren, außer zur Einhaltung von Vorschriften oder zum Nachweis vertraglicher Verpflichtungen.

Die Daten werden auf Anfrage des Kunden innerhalb von 30 Tagen gelöscht. Ohne Weisung werden sie innerhalb von 90 Tagen nach Ende des Abonnements automatisch gelöscht. Backups laufen automatisch nach 30 Tagen ab; die Löschung wirkt sich zu diesem Zeitpunkt auch auf sie aus.

Auf Anweisung des Kunden oder bei Vertragsbeendigung wird SKIPCALL Daten zurückgeben oder dauerhaft löschen und eine Vernichtungsbestätigung vorlegen.

Artikel 5. Datenschutzbeauftragter

Jede Partei muss die Kontaktdaten ihres Datenschutzbeauftragten mitteilen und Änderungen melden.

Artikel 6. Datenübermittlungen

SKIPCALL wird personenbezogene Daten innerhalb der EU oder in Ländern mit angemessenem Schutzniveau, das von der Europäischen Kommission und der CNIL anerkannt ist, hosten und verarbeiten.

Übermittlungen außerhalb der EU erfolgen nur mit geeigneten Schutzmaßnahmen wie Zertifizierungen oder Standardvertragsklauseln.

Artikel 7. Sensible Daten

Die Dienste verarbeiten keine sensiblen Daten im Sinne der Artikel 9 und 10 DSGVO.

Falls erforderlich, wird die Verarbeitung durch eine Ergänzung geregelt, die zusätzliche Schutzmaßnahmen festlegt.

Artikel 8. Verpflichtungen des Kunden

Der Kunde verpflichtet sich:

• Die notwendigen Daten bereitzustellen
• Anweisungen zu dokumentieren
• Die Einhaltung der Vorschriften sicherzustellen und bei Bedarf Folgenabschätzungen durchzuführen, mit der in Artikel 10 vorgesehenen Unterstützung von SKIPCALL
• Die Verarbeitung und Audits zu überwachen
• Verarbeitungsverzeichnisse zu führen
• Eine rechtmäßige Datenverarbeitung sicherzustellen
• Gleichwertige Verpflichtungen einzuholen, wenn er selbst als Auftragsverarbeiter handelt

Artikel 9. Zusammenarbeit bei Verstößen

Bei einem Konformitätsverstoß werden die Parteien zusammenarbeiten, um den Schweregrad zu bewerten und zu bestimmen, ob die Verarbeitung ausgesetzt oder der Vertrag gekündigt werden soll.

Wenn SKIPCALL keine Konformität herstellen kann, wird es den Kunden informieren. Nach 30 Tagen Aussetzung können Kündigungsrechte entstehen.

Der Kunde kann kündigen, wenn SKIPCALL einen schwerwiegenden oder wiederholten Verstoß begeht oder behördlichen Entscheidungen nicht nachkommt.

SKIPCALL kann kündigen, wenn Anweisungen des Kunden gegen geltendes Recht verstoßen.

Artikel 10. Unterstützung durch SKIPCALL gemäß Artikel 32 bis 36 DSGVO

10.1 Sicherheit der Verarbeitung (Artikel 32). SKIPCALL setzt die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen um und hält sie aufrecht. SKIPCALL informiert den Kunden über jede wesentliche Änderung dieser Maßnahmen. Diese Maßnahmen dürfen während der Vertragslaufzeit nicht abgeschwächt werden.

10.2 Meldung von Verletzungen (Artikel 33). SKIPCALL meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten innerhalb von höchstens 72 Stunden, nachdem sie ihr bekannt geworden ist, per E-Mail an die vom Kunden angegebene Datenschutz-Kontaktadresse. Die Meldung enthält die bereits in Artikel 1 vorgesehenen Angaben: Beschreibung der Verletzung, Ansprechpartner, voraussichtliche Folgen, ergriffene oder vorgeschlagene Maßnahmen. Zum Zeitpunkt der ersten Meldung nicht verfügbare Informationen werden nachgereicht, sobald sie vorliegen.

10.3 Benachrichtigung der betroffenen Personen (Artikel 34). SKIPCALL stellt dem Kunden auf Anfrage die Informationen und die Mitwirkung bereit, die er benötigt, um die betroffenen Personen von der Verletzung zu benachrichtigen, sofern eine solche Benachrichtigung erforderlich ist.

10.4 Datenschutz-Folgenabschätzung und vorherige Konsultation (Artikel 35 und 36). SKIPCALL unterstützt den Kunden bei der Durchführung seiner Datenschutz-Folgenabschätzungen und gegebenenfalls bei der vorherigen Konsultation der Aufsichtsbehörde. Diese Unterstützung besteht darin, auf schriftliche Anfrage Folgendes bereitzustellen: die Beschreibung der Verarbeitung in Anhang 1, die technischen und organisatorischen Maßnahmen in Anhang 2, die aktuelle Liste der Unterauftragsverarbeiter und die Informationen zu Übermittlungen außerhalb der Europäischen Union.

10.5 Modalitäten. Diese Unterstützung wird unentgeltlich erbracht.

Anhang 1. Beschreibung der Verarbeitung

1.1 Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Erbringung der vom Kunden gebuchten Dienste für Geschäftstelefonie und Telefonakquise, wie in den Allgemeinen Geschäftsbedingungen beschrieben.

1.2 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die gesamte Vertragslaufzeit, zuzüglich der in Artikel 4 und in Punkt 1.6 dieses Anhangs festgelegten Aufbewahrungsfristen.

1.3 Art und Zweck der Verarbeitung

Liste der durchgeführten Vorgänge:

• Anlegen und Verwalten der Benutzerkonten und Arbeitsbereiche (Workspaces und Unterteams) des Kunden
• Zuweisung, Verwaltung und Rückgabe von Festnetz- und Mobilfunknummern
• Tätigen und Entgegennehmen von Telefonanrufen über den Browser und die mobile App für iOS und Android
• automatisierte Anwahl (Power Dialer und Parallel Dialer mit bis zu vier Leitungen) und automatische Anrufbeantworter-Erkennung, die eine SKIPCALL-eigene Logik mit der nativen Erkennung von Twilio kombiniert
• Aufzeichnung von Anrufen
• automatische Transkription von Anrufen, durchgeführt von Gladia (Verarbeitung in Frankreich / EWR)
• Erstellung von Anrufzusammenfassungen durch künstliche Intelligenz, durchgeführt von Gladia (Verarbeitung in Frankreich / EWR)
• Senden und Empfangen von SMS, manuell und automatisiert
• Hinterlassen voraufgezeichneter Sprachnachrichten auf den Mailboxen der Kontakte
• Hosting einer Kontaktdatenbank (Pre-CRM) sowie des Verlaufs der Kontakte, Status und zugehörigen Aufgaben
• Anreicherung der Kontaktdaten (Telefonnummern und E-Mail-Adressen)
• bidirektionale Synchronisierung mit den CRM-Systemen des Kunden (HubSpot, Pipedrive, Salesforce, Attio) sowie Bereitstellung einer REST-API und von Webhooks
• Erstellung von Statistiken und Aktivitäts-Dashboards (Volumen, Erreichbarkeitsquoten, Aktivität pro Team)
• Aufbewahrung, Archivierung und Löschung der Daten gemäß den vom Kunden gewählten Einstellungen
• Bereitstellung von Support und technischer Unterstützung

1.4 Kategorien personenbezogener Daten

Hinweis: Umfang des Zugriffs auf das CRM des Kunden

Der Zugriff von SKIPCALL auf das CRM des Kunden ist strikt auf die Berechtigungen beschränkt, die der Kunde bei der Verbindung seines Kontos erteilt. Beispielhaft erfordert die HubSpot-Integration die folgenden Berechtigungen:

SKIPCALL greift weder auf Deals noch auf Tickets noch auf E-Mails des Kunden zu. Der Kunde kann diesen Zugriff jederzeit über sein CRM widerrufen. Die Integrationen Pipedrive, Salesforce und Attio erfordern Berechtigungen gleichwertigen Umfangs: Lesen der Kontakt- und Unternehmensdatensätze und ihrer Eigenschaften, Schreiben in Kontaktdatensätze zur Übertragung der Telefonaktivität. Die genaue Liste der angeforderten Berechtigungen wird dem Kunden im Verbindungsbildschirm jeder Integration angezeigt, bevor er sie erteilt.

1.5 Kategorien betroffener Personen

• Die Benutzer des Kunden: Mitarbeiter des Kunden mit einer Skipcall-Lizenz.
• Die Benutzer des CRM des Kunden: Mitarbeiter des Kunden, die im verbundenen CRM als Eigentümer von Datensätzen geführt werden, unabhängig davon, ob sie eine Skipcall-Lizenz haben.
• Die Gesprächspartner des Kunden: Interessenten, Kunden, Bewerber und allgemein jede Person, die vom Kunden angerufen wird, den Kunden anruft oder eine über die Dienste gesendete SMS oder Sprachnachricht erhält.
• Während einer Kommunikation erwähnte Dritte: Personen, deren Daten während eines Anrufs oder in einer SMS genannt werden und dadurch in einer Aufzeichnung, einer Transkription oder einer Zusammenfassung festgehalten sind, ohne an der Kommunikation beteiligt zu sein.

1.6 Aufbewahrungsfristen

1.7 Garantien zur Verarbeitung durch künstliche Intelligenz

Die Daten des Kunden werden nicht zum Trainieren von KI-Modellen verwendet, auch nicht von Dritt- oder geteilten Modellen.

Die KI-Verarbeitung stützt sich ausschließlich auf den Audioinhalt des betreffenden Anrufs, unter Ausschluss jeder Wissensdatenbank oder externen Datenquelle.

Die Dienste führen keine Stimmungs-, Gemüts- oder Emotionsanalyse durch und enthalten keinen autonomen Konversationsagenten.

Sämtliche KI-Verarbeitung kann abgeschaltet werden: Die Deaktivierung der Anrufaufzeichnung auf Ebene des Arbeitsbereichs deaktiviert Transkription und Zusammenfassung, und es werden dann keine Daten an Gladia übermittelt.

Anhang 2. Technische und organisatorische Maßnahmen