Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO für den Fall, dass der Kunde (Verantwortlicher) mit dem Dienst Speechwerk personenbezogene Daten verarbeitet. Auftragsverarbeiter ist:

Maßgebliche Fassung dieses AVV: 2026-07-27. Eine neue Fassung macht eine erneute Annahme erforderlich.

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung des Dienstes — Diktat sowie Bereinigung und Umwandlung von Text, den der Verantwortliche in der Browser-Erweiterung markiert. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung des Dienstes). Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung des Dienstes gilt als Weisung.

Art und Zweck: Umwandlung gesprochener Sprache in Text und branchengerechte Bereinigung des Ergebnisses; sprachliche Bereinigung und Umwandlung in ein Zielformat für Text, den der Verantwortliche auf einer Webseite markiert; sowie die zur Bereitstellung erforderlichen Neben­zwecke (Authentifizierung, Nutzungsmessung, Abrechnung).

Art der Daten: Inhaltsdaten, die der Verantwortliche diktiert oder auf einer Webseite markiert (beides flüchtig, nicht gespeichert), Konto- und Abrechnungsdaten sowie aggregierte Nutzungszähler.

Kategorien betroffener Personen: die durch den Inhalt des Diktats oder des markierten Textesbestimmten Personen (z. B. Mandanten, Patienten, Geschäftspartner) sowie die Nutzer des Verantwortlichen. Bei markiertem Text bestimmt der Verantwortliche mit der Auswahl, welche Inhalte übermittelt werden; diese können auch personenbezogene Daten Dritter enthalten, die nicht aus seinem eigenen Diktat stammen.

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a).
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (lit. b).
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 (siehe Abschnitt 4).
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten (lit. e, f).
• Löschung oder Rückgabe der Daten nach Abschluss der Verarbeitung (lit. g; siehe Abschnitt 6).

• EU-only: Hosting und Anwendungs-Compute (Rechen-Region Frankfurt), Transkription, Text-Bereinigung und Datenbank verarbeiten ausschließlich auf EU-Servern. Fest verdrahtet sind dabei beide Seiten: die Endpunkte, an die wir senden, und die Region, in der unsere eigenen Server-Funktionen rechnen.
• Datensparsamkeit: Audio verlässt die EU nie und wird nur im Stream verarbeitet; weder Roh- noch bereinigter Diktat-Text noch markierter Text wird dauerhaft gespeichert.
• Verschlüsselung: Übertragung ausschließlich transportverschlüsselt (TLS); kurzlebige, zeitlich begrenzte Zugriffstoken für den Audio-Stream.
• Mandantentrennung: Datenbank-seitige Zeilen-Sicherheit (Row Level Security) erzwingt, dass jeder Nutzer nur eigene Daten sieht und schreibt.
• Nachweisbarkeit: AVV-Annahmen werden unveränderlich (append-only) als Nachweis protokolliert.

Der Verantwortliche genehmigt den Einsatz der nachstehenden Sub-Auftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter rechtzeitig, sodass ein Widerspruch möglich ist.

Da Audio, Diktat-Text und markierter Text nicht gespeichert werden, beschränkt sich eine Löschung im Wesentlichen auf Konto- und Abrechnungsdaten sowie aggregierte Zähler. Nach Beendigung des Vertrags werden diese gelöscht, soweit keine gesetzlichen Aufbewahrungsfristen (z. B. § 147 AO, § 257 HGB) entgegenstehen. AVV-Annahmen bleiben als Nachweis des Vertragsschlusses erhalten.

Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung des Art. 28 erforderlichen Informationen zur Verfügung und unterstützt ihn bei Anfragen betroffener Personen sowie bei Meldepflichten nach Art. 33/34. Anfragen richten Sie an datenschutz@speechwerk.de.