Auftragsverarbeitungsvereinbarung

Version: 1.6
Maßgebliche Sprache: Deutsch

1. Parteien und Geltungsbereich

Diese Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO ("AVV") wird zwischen dem im elektronischen Annahmenachweis bezeichneten Geschäftskunden ("Kunde") und

V-IZ Video-Integrationszentrum, Inhaber: Fuat Karacocuk, handelnd unter dem Produktnamen Doli
S 3, 2A, 68161 Mannheim, Deutschland
E-Mail: info@doliapp.de
USt-IdNr.: DE446446262

("Doli") geschlossen. Sie gilt nur für Doli-Geschäftskonten und die in Anlage 1 beschriebene weisungsgebundene Verarbeitung.

2. Rang und Begriffe

Diese AVV ergänzt die Geschäftskundenbedingungen. Bei Widersprüchen über die Verarbeitung personenbezogener Daten geht sie vor. Begriffe der DSGVO haben ihre gesetzliche Bedeutung. "Kundendaten" sind personenbezogene Daten, die Doli im Auftrag verarbeitet. "Anwendbares Datenschutzrecht" bezeichnet die für die jeweilige Verarbeitung zwingend anwendbaren Datenschutzgesetze.

3. Kundenrolle und Rollen von Doli

Der Kunde wählt verbindlich, ob er Verantwortlicher oder Auftragsverarbeiter ist. Als Auftragsverarbeiter handelt er für einen oder mehrere vorgeschaltete Verantwortliche und setzt Doli als weiteren Auftragsverarbeiter ein.

Doli ist Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter für kundengesteuerte Audio-, Text-, Chat-, Untertitel-, Bild-, PDF- und Dokumentinhalte, Antwortwünsche, erzeugte Übersetzungen und Erklärungen sowie hierfür zwingend erforderliche Weiterleitungsdaten.

Doli ist eigenständig Verantwortlicher für Konto und Authentifizierung, Unternehmensprofil und Vertreterdaten, Rollenwahl, Vertragsannahme und -nachweis, Webkauf oder früherer Kauf über Apple App Store oder Google Play, Berechtigung, Kontingent, Abgleich, Buchführung, Rechtsverteidigung sowie eigene Kundenbetreuungs-, Sicherheits-, Betrugs-, Missbrauchs- und Zuverlässigkeitsdaten. Diese Verarbeitung fällt nicht unter diese AVV.

4. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung der Doli-Funktionen für authentifizierte Geschäftskonten: Echtzeitdolmetschen, Chat- und Untertitelübersetzung sowie Kamera-, Bild-, PDF- und Dokumenterklärung einschließlich Antwortentwürfen. Die Verarbeitung beginnt erst mit aktiviertem Geschäftsvertrag und endet mit dem Ende der beauftragten Leistung, soweit Daten nicht früher gelöscht werden oder zwingendes Recht eine begrenzte Aufbewahrung verlangt. Anlage 1 bestimmt Zwecke, Datenarten, betroffene Personen und Löschkriterien.

5. Weisungen und Zweckbindung

Doli verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht entgegensteht. Doli informiert den Kunden vor einer gesetzlich vorgeschriebenen Verarbeitung, soweit das Recht dies erlaubt.

Geschäftskundenbedingungen, diese AVV, Anlagen, Kontokonfiguration und die rechtmäßige Funktionsnutzung bilden die anfänglichen dokumentierten Weisungen. Für das in Anlage 1 bezeichnete Projekt gilt Zero Data Retention nach den Vorgaben von Google: Die Ausnahme von der Vertex-Prompt-Protokollierung zur Missbrauchsüberwachung ist genehmigt, der Datenzwischenspeicher des Projekts ist abgeschaltet, und Doli nutzt keine speichernden Google-Funktionen. Die rechtmäßige Nutzung im dort beschriebenen Umfang bildet die dokumentierte Weisung. Entfällt eine dieser Voraussetzungen, informiert Doli den Verantwortlichen unverzüglich. Doli sagt keine ausschließlich europäische Verarbeitung sämtlicher Konto-, Abrechnungs- und technischen Dienstdaten der Anbieter zu.

Weitere Weisungen erfolgen mindestens in Textform. Doli informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

6. Pflichten des Kunden

Der Kunde gewährleistet insbesondere Rechtsgrundlage, Transparenz gegenüber betroffenen Personen, zulässige Datenübermittlung, geschützte Geräte und Zugriff nur durch autorisierte volljährige Personen. Besondere Kategorien personenbezogener Daten dürfen nur bei bestehender Rechtsgrundlage, Erforderlichkeit und angemessenen Schutzmaßnahmen übermittelt werden.

Ein Kunde in der Rolle des Auftragsverarbeiters gewährleistet, dass jeder betroffene vorgeschaltete Verantwortliche die Weisungen, Doli und Dolis inhaltsverarbeitende Unterauftragsverarbeiter wirksam autorisiert hat. Er leitet Mitteilungen über Vorfälle, Unterauftragsverarbeiter, rechtswidrige Weisungen, Betroffenenanfragen, Audits und Transfers ohne unangemessene Verzögerung weiter. Die Identität eines vorgeschalteten Verantwortlichen wird nicht standardmäßig erhoben; der Kunde teilt sie info@doliapp.de mit, wenn sie für Nachweis, Mitteilung, Audit oder Betroffenenanfrage erforderlich ist.

7. Vertraulichkeit und Sicherheit

Doli stellt sicher, dass zugriffsberechtigte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur erforderliche Zugriffe erhalten. Doli unterhält die technischen und organisatorischen Maßnahmen aus Anlage 2. Die Maßnahmen dürfen fortentwickelt werden, wenn das vereinbarte Schutzniveau nicht wesentlich verringert wird.

8. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung für die in Anlage 3 genannten direkten Unterauftragsverarbeiter. Doli gibt die nach Artikel 28 DSGVO erforderlichen Pflichten vertraglich weiter und bleibt dem Kunden für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter voll verantwortlich.

Doli kündigt neue oder ersetzte direkte Unterauftragsverarbeiter mindestens 30 Tage vorher an. Der Kunde darf aus dokumentierten datenschutzrechtlichen Gründen widersprechen. Ist keine angemessene Lösung möglich, kann der Kunde den betroffenen Dienst zum Wirksamwerden der Änderung kündigen.

9. Internationale Übermittlungen

Drittlandübermittlungen erfolgen nur auf dokumentierte Weisung, soweit für den vereinbarten Dienst erforderlich, und nach den anwendbaren Übermittlungsvorschriften. Die bedingten regionalen Regelungen in Anlage 4 gelten entsprechend dem serverseitig freigegebenen Kundenland und dem tatsächlichen Transfer. Standardvertragsklauseln oder regionale Zusätze werden nur einbezogen, wenn der konkrete Transfer sie erfordert.

10. Unterstützung und Betroffenenrechte

Doli unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzung und Behördenkonsultation, soweit die Verarbeitung durch Doli betroffen ist und die Informationen Doli vorliegen. Doli leitet zulässigerweise eingehende Anfragen zu Kundendaten weiter und antwortet nicht eigenständig ohne Weisung.

Außergewöhnliche, über die reguläre Leistung hinausgehende Unterstützung darf nur nach vorheriger Kosteninformation angemessen berechnet werden. Keine Berechnung erfolgt, soweit der Aufwand durch einen Verstoß von Doli oder seinen Unterauftragsverarbeitern gegen diese AVV verursacht wurde.

11. Verletzungen des Schutzes personenbezogener Daten

Doli informiert den Kunden ohne unangemessene Verzögerung, sobald Doli von einer Verletzung des Schutzes von Kundendaten Kenntnis erlangt; Doli wartet nicht auf eine interne Bestätigung. Die Mitteilung enthält, soweit jeweils verfügbar, Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Kontaktstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Abhilfe- und Minderungsmaßnahmen. Fehlende Informationen werden schrittweise ergänzt.

12. Rückgabe und Löschung

Nach Ende der Leistung löscht Doli nach Wahl des Kunden Kundendaten oder gibt sie zurück und löscht vorhandene Kopien, soweit keine zwingende gesetzliche Aufbewahrungspflicht besteht. Gesetzlich aufzubewahrende Daten werden gesperrt, zweckbeschränkt und nach Fristablauf gelöscht. Doli übermittelt berechtigte Löschanweisungen an betroffene Unterauftragsverarbeiter.

13. Nachweise und Audits

Doli stellt die zur Darlegung der Einhaltung erforderlichen Informationen bereit. Zunächst werden aktuelle Sicherheitsdokumentation, Verträge, TOMs, Zertifikate, Anbieterberichte und angemessene Fragebögen verwendet. Reichen diese Nachweise begründet nicht aus, darf der Kunde höchstens einmal pro Zwölfmonatszeitraum ein angemessenes Audit durchführen lassen. Zusätzliche Audits sind bei einem Vorfall oder auf Anordnung einer zuständigen Behörde zulässig.

Audits erfolgen mit angemessener Vorankündigung, während üblicher Geschäftszeiten, vertraulich und ohne unverhältnismäßige Betriebsstörung. Der Kunde trägt seine Kosten, außer das Audit weist einen wesentlichen von Doli zu vertretenden Verstoß nach. Rechte von Behörden bleiben unberührt.

14. Anbieterbedingte Sicherheits- und Richtlinienverarbeitung

Seit dem 25. September 2026 verarbeitet Doli sämtliche Inhalte über Google Cloud Vertex AI: die gesprochene Übersetzung und die Sprachen-Anfrage beim Start mit Gemini 3.8 Live, Chat, Untertitel sowie Brief- und Bilderklärung mit Gemini-Flash-Modellen von Google. Der Modellstandort ist für alle diese Funktionen auf die Google-Cloud-Multi-Region EU festgelegt; im Regelbetrieb nutzen alle den EU-Endpunkt der Vertex-API. Dieser Verarbeitungsweg gilt für Privat- und Geschäftskonten; eine Festlegung auf Deutschland besteht nicht mehr. Die Gemini Developer API von Google LLC wird nicht mehr verwendet.

Für Untertitel teilt der Doli-Echtzeitserver das Mikrofonsignal anhand der Lautstärke in einzelne Sprechabschnitte und sendet jeden Abschnitt als kurze Audiodatei unmittelbar in der Anfrage an ein Gemini-Flash-Modell; die File API (Dateischnittstelle) und Google Cloud Storage werden dafür nicht verwendet. Der Server erkennt dabei nur Sprechpausen; er identifiziert keine Personen und erstellt keine Stimmprofile. Die Abschnitte liegen nur im Arbeitsspeicher, bis die Übersetzung zurückkommt (höchstens 12 Sekunden), und werden nicht gespeichert. Ersatzweise können die Untertitel vorübergehend mit Gemini 3.5 Live Translate laufen. Dann überträgt der Server das Mikrofonsignal fortlaufend über den globalen Vertex-Endpunkt, weil Google dieses Modell am EU-Endpunkt nicht anbietet; der Modellstandort bleibt die Multi-Region EU. In beiden Fällen verarbeitet derselbe Unterauftragsverarbeiter dieselben Datenarten zum selben Zweck.

Google verarbeitet Vertex-Kundendaten als Unterauftragsverarbeiter nach dem Google Cloud Data Processing Addendum. Für das Google-Cloud-Projekt 674711097607 gilt Zero Data Retention nach den Vorgaben von Google: Google hat die beantragte Ausnahme von der Prompt-Protokollierung zur Missbrauchsüberwachung genehmigt, der Datenzwischenspeicher des Projekts ist abgeschaltet, und Doli nutzt keine Funktionen, bei denen Google Inhalte speichert. Google verarbeitet Gesprächsinhalte deshalb nur für die jeweilige Anfrage und speichert sie weder zur Missbrauchsprüfung noch im Zwischenspeicher. Automatisierte Sicherheitsprüfungen während der Verarbeitung bleiben bestehen. Ändert sich eine dieser Voraussetzungen, passt Doli diesen Hinweis an.

Google verwendet Vertex-Kundendaten ohne vorherige Erlaubnis oder Weisung nicht zum Training oder zur Feinabstimmung von KI-Modellen. Doli erteilt für Gesprächsinhalte keine solche Erlaubnis. Doli verkauft Inhalte nicht und verwendet sie nicht für Werbung oder Profilbildung.

Doli verwendet keine Sitzungswiederaufnahme, Such- oder Kartenanreicherung, gespeicherten Interaktionen oder expliziten Kontextspeicher. Der Arbeitsspeicher-Cache von Google ist für das Doli-Projekt abgeschaltet.

Doli gibt keine Zusage für berufsgeheimnisgeschützte Verarbeitung nach § 203 StGB. Eine gesonderte entsprechende Vereinbarung ist nicht Bestandteil dieses Dienstes. Anlage 1 und Anlage 3 enthalten die weiteren Angaben.

15. Elektronische Annahme und Aktivierung

Bei einem neuen Geschäftskundenvertrag über die Website gelten für Vertragsschluss und technische Aktivierung die angezeigten Web-Vertragsbedingungen und gegebenenfalls der Pay-as-you-go-Zusatz. Die vertretende Person muss den Kunden wirksam binden dürfen. Eine Anzeige oder Weiterleitung im Browser genügt nicht als technischer Aktivierungsnachweis.

Für frühere native Geschäftskäufe bleibt der im jeweiligen Annahmenachweis bezeichnete Aktivierungsweg über Apple App Store oder Google Play und RevenueCat maßgeblich. Neue Geschäftskundentarife werden ausschließlich über die Website abgeschlossen.

Nach Aktivierung erhält der Kunde eine personalisierte unveränderbare Vertragskopie mit Kunden- und Vertreterdaten, Rollenwahl, Dokumentversionen und -Prüfsummen, Annahme- und Aktivierungszeit sowie nicht sensibler Kauf- oder Einrichtungsreferenz.

16. Laufzeit, Änderungen und Schlussbestimmungen

Diese AVV gilt für die Dauer der weisungsgebundenen Verarbeitung. Änderungen bedürfen mindestens der Textform; zwingende Betroffenenrechte und Behördenbefugnisse bleiben unberührt. Es gilt deutsches Recht. Eine Gerichtsstandsregelung des Hauptvertrags gilt nur, soweit rechtlich zulässig. Die Unwirksamkeit einzelner Bestimmungen berührt die übrigen nicht.

Anlagen: (1) Beschreibung der Verarbeitung, (2) technische und organisatorische Maßnahmen, (3) Anbieter- und Rollenverzeichnis, (4) internationale Anlagen.