Antworten für den Datenschutzbeauftragten

SalesFrank — Another Side Ventures FZ-LLC

Stand: Juni 2026

Nachfolgend beantworten wir die vom Datenschutzbeauftragten gestellten Fragen im Detail. Die ausführlichen vertraglichen Regelungen finden sich im Auftragsverarbeitungsvertrag (AVV) einschließlich der Anlagen sowie in den Allgemeinen Geschäftsbedingungen (AGB).

Frage 1: Zugriff und Datenfluss

Wer hat technisch Zugriff auf Gesprächsdaten und Aufzeichnungen und erfolgt dieser Zugriff auch aus den VAE oder anderen Drittländern?

Zugriffsberechtigung: Der technische Zugriff auf Gesprächsdaten und Aufzeichnungen ist strikt auf autorisiertes internes Personal beschränkt. Der Auftragnehmer setzt ausschließlich internes Entwicklungs- und Betriebspersonal ein — es werden keine externen Entwickler oder Drittanbieter mit Zugriff auf personenbezogene Daten beauftragt.

Der Zugriff erfolgt nach dem Need-to-Know-Prinzip und ist durch ein rollenbasiertes Berechtigungskonzept (RBAC) geregelt. Sämtliche administrativen Zugriffe auf die Produktivsysteme werden protokolliert.

Zugriff aus den VAE: Der Geschäftssitz des Auftragnehmers befindet sich in Ras Al Khaimah, VAE. Sämtliche personenbezogenen Daten werden jedoch ausschließlich auf Servern innerhalb der Europäischen Union gespeichert und verarbeitet (Microsoft Azure, Region Frankfurt, Deutschland). Es werden keine personenbezogenen Daten in die VAE oder andere Drittländer übermittelt oder dort gespeichert.

Der administrative Fernzugriff auf die EU-Server durch autorisiertes Personal erfolgt ausschließlich über:

• Verschlüsselte VPN-Verbindungen mit End-to-End-Verschlüsselung
• Multi-Faktor-Authentifizierung (MFA) für jeden Zugriff
• Rollenbasierte Zugriffsbeschränkungen
• Vollständige Protokollierung aller Zugriffsvorgänge
• Keine lokale Speicherung personenbezogener Daten auf Endgeräten

Diese Maßnahmen stellen sicher, dass auch bei einem Fernzugriff ein dem Art. 32 DSGVO entsprechendes Schutzniveau gewährleistet ist.

Referenz: AVV § 8 Abs. 4, Anlage 2 (TOMs) Nr. 2–4

Frage 2: Absicherung von Drittlandtransfers

Wie genau werden Datenübermittlungen an eingesetzte Dienstleister (insbesondere in den USA) rechtlich und technisch abgesichert, inklusive dokumentierter Transfer Impact Assessments?

Grundsatz: Die Kernsysteme der Plattform (Hosting, Datenbank, Anwendungsserver, LLM-Verarbeitung) werden vollständig innerhalb der Europäischen Union betrieben (Microsoft Azure, Region Frankfurt). Für diese Kernsysteme findet kein Drittlandtransfer statt.

Sprachinfrastruktur: Die primäre Echtzeit-Sprachkommunikation wird über eine selbst-gehostete LiveKit-Instanz auf Microsoft Azure (Frankfurt, Deutschland) orchestriert. Dieses Kernsystem wird vom Auftragnehmer selbst betrieben — es findet kein Datentransfer an LiveKit, Inc. statt. Für die Sprachsynthese und Spracherkennung werden Sprachdienstleister (ElevenLabs, Deepgram, Cartesia) eingesetzt. Deepgram verarbeitet über die aktivierte EU-Hosting-Region. Die Absicherung erfolgt auf drei Ebenen:

Rechtliche Absicherung:

• Auftragsverarbeitungsverträge (DPAs) mit allen Sprachdienstleistern
• Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c) DSGVO
• Prüfung der Teilnahme am EU-US Data Privacy Framework gemäß Art. 45 DSGVO (soweit zutreffend)

Technische Absicherung:

• Verschlüsselung der Datenübertragung mittels TLS 1.2+
• Transiente Verarbeitung: Audiodaten werden in Echtzeit verarbeitet (Stream-Processing) und nicht dauerhaft bei den Dienstleistern gespeichert
• Keine Speicherung von Gesprächsinhalten bei den Sprachdienstleistern — die dauerhafte Speicherung (Aufzeichnung, Transkript) erfolgt ausschließlich auf den EU-Servern des Auftragnehmers

Transfer Impact Assessments (TIAs): Für jeden eingesetzten Sprachdienstleister mit Sitz in den USA wurde ein Transfer Impact Assessment durchgeführt. Die TIAs bewerten:

• Das Datenschutzniveau im Empfängerland (USA)
• Die anwendbaren Rechtsvorschriften (insbesondere FISA 702, Executive Order 14086)
• Die Wahrscheinlichkeit eines behördlichen Zugriffs auf die verarbeiteten Daten
• Die Wirksamkeit der getroffenen ergänzenden Maßnahmen

Die TIAs kommen unter Berücksichtigung der Art der verarbeiteten Daten (transiente Echtzeit-Sprachverarbeitung, keine dauerhafte Speicherung beim Dienstleister) und der getroffenen technischen und vertraglichen Schutzmaßnahmen zu dem Ergebnis, dass ein angemessenes Schutzniveau gewährleistet ist.

Administrativer Fernzugriff aus den VAE: Für den administrativen Fernzugriff durch autorisiertes Personal des Auftragnehmers aus den VAE wurde ebenfalls ein Transfer Impact Assessment durchgeführt. Unter Berücksichtigung der folgenden Faktoren kommt das TIA zu dem Ergebnis, dass ein angemessenes Schutzniveau gewährleistet ist:

• Es handelt sich um einen rein administrativen Zugriff (Systemverwaltung, Support), nicht um eine systematische Datenverarbeitung
• Der Zugriff erfolgt ausschließlich über verschlüsselte VPN-Verbindungen mit MFA
• Es werden keine personenbezogenen Daten lokal auf Endgeräten gespeichert
• Sämtliche Daten verbleiben auf den EU-Servern
• Alle Zugriffe werden protokolliert

EU-Vertreter gemäß Art. 27 DSGVO: Der Auftragnehmer hat heyData GmbH (Martin Bastius) als Vertreter in der Europäischen Union gemäß Art. 27 DSGVO benannt. heyData ist unter datenschutz@heydata.eu erreichbar und dient als Anlaufstelle für betroffene Personen und Aufsichtsbehörden.

Die TIA-Dokumentation kann auf Anfrage eingesehen werden.

Referenz: AVV § 8, Anlage 3

Frage 3: Verarbeitung von Sprachdaten

Werden Gespräche aufgezeichnet oder analysiert? Welche konkreten Auswertungen erfolgen und wie lange werden diese Daten gespeichert?

Aufzeichnung: Ja, Telefongespräche werden aufgezeichnet. Die Aufzeichnung umfasst den gesamten Gesprächsverlauf (Audio). Die Aufzeichnungen werden auf den EU-Servern des Auftragnehmers (Microsoft Azure, Frankfurt) gespeichert.

Transkription: Zusätzlich zur Audioaufzeichnung wird eine vollständige Transkription des Gesprächs erstellt. Die Transkription wird ebenfalls auf den EU-Servern gespeichert.

Auswertungen: Die Plattform führt folgende Auswertungen der Gesprächsdaten durch:

• Statuserfassung des Gesprächs (z. B. erreicht/nicht erreicht, Termin vereinbart, kein Interesse)
• Extraktion strukturierter Daten aus dem Gespräch gemäß der Konfiguration des Auftraggebers (z. B. vereinbarte Termine, Qualifizierungskriterien)
• Darstellung der Gesprächsergebnisse im Dashboard (Anrufstatus, Zeitpunkt, Dauer, Ergebnis)

Eine darüber hinausgehende automatisierte Analyse (z. B. Sentiment-Analyse, Emotionserkennung, biometrische Stimmanalyse) findet nicht statt.

Speicherdauer:

Der Auftraggeber hat jederzeit die Möglichkeit, über das Dashboard:

• Einzelne Gesprächsaufzeichnungen und Transkripte einzusehen
• Einzelne oder alle Gesprächsdaten zu löschen
• Einen vollständigen Datenexport durchzuführen

Referenz: AVV Anlage 1, Abschnitt 5

Frage 4: Steuerung der KI-Kommunikation

Wer definiert verbindlich, was die KI sagen darf und welche Kontrollmechanismen bestehen, um unzulässige Aussagen zu verhindern?

Verantwortung für die inhaltliche Steuerung: Die verbindliche Definition der Gesprächsinhalte liegt ausschließlich beim Auftraggeber (Kunden). Der Auftraggeber konfiguriert die KI-Agenten eigenständig über die Plattform, insbesondere:

• Erstellung und Pflege der Gesprächsskripte und Prompts
• Definition der zulässigen und unzulässigen Gesprächsinhalte
• Festlegung der Qualifizierungskriterien und Gesprächsziele
• Auswahl der zu kontaktierenden Personen

Kontrollmechanismen: Der Auftragnehmer stellt dem Auftraggeber folgende Werkzeuge und Mechanismen zur Steuerung und Kontrolle zur Verfügung:

1. Prompt-Editor: Der Auftraggeber definiert über einen Prompt-Editor detailliert, wie der KI-Agent das Gespräch führen soll, welche Themen adressiert werden und welche Aussagen zulässig sind.
2. AI Prompt Generator: Ein integriertes Werkzeug, das den Auftraggeber bei der Erstellung qualitativ hochwertiger und zielgerichteter Prompts unterstützt.
3. Testanrufe: Der Auftraggeber kann vor dem produktiven Einsatz Testanrufe durchführen, um die Gesprächsqualität und den Inhalt zu überprüfen.
4. Aufzeichnung und Transkription: Alle Gespräche werden aufgezeichnet und transkribiert. Der Auftraggeber kann die Gesprächsinhalte jederzeit nachvollziehen und seine Konfiguration entsprechend anpassen.
5. Dashboard-Übersicht: Echtzeit-Übersicht über alle geführten Gespräche, Ergebnisse und Auffälligkeiten.

Haftung: Der Auftragnehmer stellt die technische Infrastruktur und die KI-Modelle bereit, hat jedoch keinen Einfluss auf die konkreten Gesprächsinhalte, die durch die Konfiguration des Auftraggebers bestimmt werden. Die Verantwortung für die Rechtmäßigkeit und Zulässigkeit der Gesprächsinhalte liegt daher ausschließlich beim Auftraggeber (vgl. AGB § 6).

Referenz: AGB § 6, AVV § 4

Frage 5: Vertragliche Grundlage und Haftung

Gibt es einen vollständigen Auftragsverarbeitungsvertrag inkl. Subdienstleisterliste und wie ist die Haftung im Fall von Datenschutz- oder Wettbewerbsverstößen geregelt?

Auftragsverarbeitungsvertrag: Ja, es besteht ein vollständiger Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Dieser umfasst:

• Hauptvertrag (AVV): Regelungen zu Weisungsbefugnis, Pflichten des Auftragsverarbeiters, Rechten betroffener Personen, Meldepflichten, Kontrollrechten, Löschung und Drittlandtransfers (§§ 1–12)
• Anlage 1: Detaillierte Beschreibung der Datenverarbeitung (Art, Zweck, Datenkategorien, Betroffene, Aufbewahrungsfristen)
• Anlage 2: Technisch-organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO
• Anlage 3: Vollständige und aktuelle Liste aller genehmigten Unterauftragsverarbeiter mit Angaben zu Sitz, Verarbeitungsstandort, Zweck und Rechtsgrundlage für etwaige Drittlandtransfers

Haftung bei Datenschutzverstößen: Die Haftung richtet sich nach Art. 82 DSGVO:

• Der Auftraggeber (Verantwortlicher) haftet für Schäden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden.
• Der Auftragnehmer (Auftragsverarbeiter) haftet nur, soweit er seinen speziell an Auftragsverarbeiter gerichteten Pflichten nicht nachgekommen ist oder gegen die dokumentierten Weisungen des Auftraggebers gehandelt hat.
• Im Innenverhältnis haftet der Auftraggeber insbesondere für die Rechtmäßigkeit der Datenerhebung, die Rechtsgrundlage der Kontaktaufnahme und die inhaltliche Konfiguration der KI-Agenten.

Haftung bei Wettbewerbsverstößen: Wettbewerbsrechtliche Verstöße (z. B. unzulässige Telefonwerbung gemäß § 7 UWG) fallen ausschließlich in den Verantwortungsbereich des Auftraggebers. Der Auftragnehmer stellt die technische Plattform bereit — die Entscheidung über den konkreten Einsatz (welche Personen kontaktiert werden, mit welchen Inhalten, auf welcher Rechtsgrundlage) trifft allein der Auftraggeber. Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die aus einer rechtswidrigen Nutzung der Plattform resultieren (vgl. AGB § 5 Abs. 5).

Referenz: AVV §§ 11, 7; AGB §§ 5, 6, 11

Frage 6: Standort- und Betriebsabsicherung

Wie stellen Sie sicher, dass Betrieb und Support jederzeit gewährleistet sind, auch bei Einschränkungen am Unternehmensstandort?

Der Betrieb der Plattform ist vollständig standortunabhängig und durch folgende Maßnahmen abgesichert:

Infrastruktur:

• Die gesamte Plattform wird auf Microsoft Azure in der Region Frankfurt (Deutschland) betrieben. Es gibt keine Abhängigkeit von lokaler Infrastruktur am Unternehmensstandort (VAE).
• Microsoft Azure gewährleistet eine hohe Verfügbarkeit durch geo-redundante Infrastruktur, automatische Failover-Mechanismen und vertraglich zugesicherte Service Level Agreements (SLAs).
• Automatisierte tägliche Backups mit einer Aufbewahrung von mindestens 30 Tagen, gespeichert in geographisch getrennten Azure-Availability-Zones innerhalb der EU.

Betrieb:

• Die Plattform wird über automatisierte Deployment-Prozesse (CI/CD) bereitgestellt und aktualisiert.
• Monitoring- und Alerting-Systeme überwachen die Plattform rund um die Uhr (24/7) und melden Anomalien automatisch.
• Im Falle eines Ausfalls greifen automatisierte Wiederherstellungsmechanismen.

Support:

• Der Support wird standortunabhängig per E-Mail und Helpdesk-System erbracht.
• Das Team arbeitet verteilt und ist nicht an einen einzelnen physischen Standort gebunden. Lokale Einschränkungen am Unternehmensstandort (z. B. Infrastrukturausfälle, regulatorische Einschränkungen) haben daher keinen Einfluss auf die Erreichbarkeit des Supports oder den Betrieb der Plattform.

Referenz: AGB § 4; AVV Anlage 2 (TOMs) Nr. 7

Frage 7: Notfall- und Exit-Szenario

Wie erhalten wir Zugriff auf unsere Daten und Systeme, wenn Ihr Unternehmen kurzfristig nicht erreichbar ist oder der Betrieb eingeschränkt wird?

Zugriff während des laufenden Betriebs: Der Auftraggeber hat jederzeit — unabhängig von der Erreichbarkeit des Auftragnehmers — über das Dashboard vollständigen Zugriff auf seine Daten. Dies umfasst:

• Einsicht in alle Kontaktdaten, Kampagnen und Gesprächsergebnisse
• Einsicht in Gesprächsaufzeichnungen und Transkripte
• Export aller Daten in maschinenlesbaren Formaten (CSV/JSON)
• Eigenständige Löschung von Daten

Da die Plattform als SaaS-Lösung auf Azure-Infrastruktur betrieben wird, bleibt der Zugriff auch bei kurzfristiger Nichterreichbarkeit des Auftragnehmers bestehen, solange die Plattform selbst verfügbar ist.

Exit-Szenario bei Vertragsende:

• Der Auftraggeber erhält nach Vertragsende eine Frist von 30 Tagen, um seine sämtlichen Daten über die Dashboard-Exportfunktion zu sichern.
• Der Datenexport umfasst alle vom Auftraggeber hochgeladenen und durch die Plattform generierten Daten in einem strukturierten, maschinenlesbaren Format (CSV/JSON).
• Nach Ablauf der 30-Tage-Frist werden sämtliche Daten des Auftraggebers unwiderruflich gelöscht. Die Löschung wird auf Anfrage schriftlich bestätigt.

Im Falle einer wesentlichen Betriebseinschränkung:

• Die automatisierte Infrastruktur (Azure, CI/CD, Monitoring) gewährleistet den Weiterbetrieb der Plattform auch ohne manuelle Eingriffe über einen angemessenen Zeitraum.
• Im Falle einer dauerhaften Betriebseinschränkung wird der Auftragnehmer den Auftraggeber unverzüglich informieren und eine angemessene Frist zur Datensicherung einräumen.

Referenz: AVV § 9; AGB § 10 Abs. 3

Frage 8: Alternative Betriebsstrukturen

Gibt es eine organisatorische oder rechtliche Struktur innerhalb der EU, die im Bedarfsfall den Betrieb übernehmen kann?

Aktuelle Struktur: Die Another Side Ventures FZ-LLC hat ihren Geschäftssitz in Ras Al Khaimah, VAE. Die gesamte technische Infrastruktur der Plattform — einschließlich Hosting, Datenbank, Anwendungsserver und Datenverarbeitung — wird ausschließlich innerhalb der EU betrieben (Microsoft Azure, Region Frankfurt, Deutschland).

Betriebskontinuität durch EU-Infrastruktur: Da die gesamte Infrastruktur innerhalb der EU liegt und über standardisierte Cloud-Dienste (Microsoft Azure) betrieben wird, ist der technische Betrieb zu keinem Zeitpunkt vom physischen Unternehmensstandort abhängig. Die Plattform läuft autonom auf der EU-Infrastruktur und ist unabhängig von der Erreichbarkeit einzelner Standorte oder Personen.

EU-Vertreter gemäß Art. 27 DSGVO: Der Auftragnehmer hat gemäß Art. 27 DSGVO einen Vertreter in der Europäischen Union benannt: heyData GmbH (Martin Bastius), erreichbar unter datenschutz@heydata.eu. Der EU-Vertreter dient als Anlaufstelle für betroffene Personen und Aufsichtsbehörden und gewährleistet eine direkte Ansprechbarkeit innerhalb der EU.

Perspektive: Der Auftragnehmer prüft darüber hinaus die Gründung einer EU-Tochtergesellschaft bzw. Niederlassung, die bei Bedarf die operative und vertragliche Verantwortung für den europäischen Geschäftsbetrieb übernehmen könnte. Über eine etwaige Strukturänderung werden die Auftraggeber rechtzeitig informiert.

Zusammenfassung

Another Side Ventures FZ-LLC
Al Shohada Road 158, Ras Al Khaimah, VAE

Ansprechpartner Datenschutz: info@salesfrank.com

Stand: Juni 2026