AIOOS ← Zurück
Vorabfassung · Stand: August 2026 — die finale Fassung befindet sich in anwaltlicher Endprüfung.

AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

gemäß Art. 28 DSGVO

Version: 1.0 · Stand: August 2026

Zwischen

AIOOS GmbH
Blümelstraße 11/5, A-8020 Graz, Österreich
Firmenbuchnummer: FN 684338 f · Firmenbuchgericht: Landesgericht für Zivilrechtssachen Graz
UID: wird nach Vergabe ergänzt
vertreten durch: die Geschäftsführung
E-Mail: hello@aioos.ai · Telefon: +43 660 5246710

— nachfolgend „AIOOS" oder „Auftragsverarbeiter" —

und

Firmenname des Kunden
Anschrift
Firmenbuchnummer / UID
vertreten durch vertretungsbefugte Person
E-Mail: E-Mail

— nachfolgend „Kunde" oder „Verantwortlicher" — gemeinsam die „Parteien" —

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten, die AIOOS im Auftrag des Kunden im Rahmen des zwischen den Parteien geschlossenen Hauptvertrages (insbesondere AGB, Leistungsbeschreibung und Bestellung lt. Website aioos.ai) durchführt. Er gilt mit Abschluss des Hauptvertrages als abgeschlossen. Die Leistungen richten sich ausschließlich an Unternehmer im Sinne des UGB.

1. Gegenstand und Dauer des Auftrags

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch AIOOS im Auftrag und nach Weisung des Verantwortlichen im Rahmen des Betriebs der cloudbasierten KI-Kommunikationsplattform aioos.ai (KI-Telefonassistenten, KI-Rezeptionisten, Sprachdialogsysteme und Website-Chatbots).

1.2 Art und Umfang der Verarbeitung ergeben sich aus dem Hauptvertrag, der gewählten Leistung und diesem AVV samt Anhängen.

1.3 Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Die Pflichten zu Löschung/Rückgabe (Abschnitt 12) und Vertraulichkeit (Abschnitt 7) bestehen über das Vertragsende hinaus fort.

2. Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken:

Eine Verarbeitung zu eigenen Zwecken von AIOOS, insbesondere zum Training allgemeiner KI-Modelle, findet nicht statt, soweit nicht ausdrücklich und gesondert vereinbart.

3. Kategorien betroffener Personen

4. Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht zielgerichtet erhoben. Soweit ein Anrufer von sich aus solche Daten im Gespräch nennt, liegt die Festlegung der Rechtsgrundlage und der Verarbeitungszwecke beim Verantwortlichen.

5. KI-Verarbeitung (native Sprach-zu-Sprache-Verarbeitung)

5.1 Der Verantwortliche weist AIOOS ausdrücklich an, personenbezogene Daten zur Durchführung KI-gestützter Prozesse zu verarbeiten. Dies umfasst insbesondere: das Verstehen gesprochener und geschriebener Sprache, die Erzeugung gesprochener und geschriebener Antworten, Transkription, Zusammenfassung, Klassifizierung/Sentiment-Einstufung sowie Routing und die Abfrage hinterlegter Wissensinhalte.

5.2 Technische Klarstellung: Die Sprachverarbeitung erfolgt durch ein natives Sprach-zu-Sprache-KI-Modell (Audio-Eingabe und Audio-Ausgabe samt Werkzeugaufrufen und Transkription in einem Modell). Es kommen keine separaten Speech-to-Text- oder Text-to-Speech-Dienstleister zum Einsatz. Für textbasierte Aufgaben (z. B. Zusammenfassungen, Auswertung verlinkter Wissensinhalte) wird ein leichtgewichtiges Textmodell desselben Anbieters genutzt.

5.3 Dem Verantwortlichen ist bekannt, dass KI-Systeme fehlerhafte, unvollständige oder unrichtige Ergebnisse („Halluzinationen") erzeugen können. Die Verantwortung für Entscheidungen, Auskünfte und Handlungen auf Basis der Ergebnisse verbleibt beim Verantwortlichen.

5.4 Anbieter-Wechselrecht. AIOOS setzt für die KI-Verarbeitung derzeit Google (Google AI / Gemini, native Sprach-zu-Sprache) ein. AIOOS ist berechtigt, einzelne Modelle, Modellversionen oder den KI-Anbieter gegen einen funktional vergleichbaren Anbieter auszutauschen, sofern dadurch kein wesentlich niedrigeres Datenschutz- oder Sicherheitsniveau entsteht. Ein solcher Wechsel wird wie eine Änderung des Subprozessoren-Bestands nach Abschnitt 9 behandelt (Aktualisierung der Subprozessorenliste, Widerspruchsmöglichkeit des Verantwortlichen).

5.5 Drittlandbezug. Die KI-Verarbeitung erfolgt über die Google AI Developer-Schnittstelle; dabei werden Daten durch Google in den USA verarbeitet. Dies stellt einen Drittlandtransfer dar, der nach Abschnitt 10 (Art. 44 ff. DSGVO, Standardvertragsklauseln) abgesichert wird.

5.6 Keine biometrische Sprecheridentifikation. Es findet keine Stimm-/Sprecherbiometrie (Voice Biometrics) statt. Eingesetzt werden lediglich nicht-biometrische Signalverfahren (Sprachaktivitätserkennung sowie ein Musik-/Tongate zur Steuerung der Weiterleitung). Die Sentiment-Einstufung erfolgt ausschließlich als Textklassifikation über das Transkript und stellt keine Emotionserkennung aus biometrischen Daten dar.

5.7 Transparenz (Art. 50 KI-VO). Die Assistenten geben sich gegenüber den Endnutzern als KI zu erkennen.

6. Weisungsrecht

6.1 AIOOS verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses AVV und auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten AIOOS zur Verarbeitung verpflichtet.

6.2 Dieser AVV samt Anhängen bildet die initiale dokumentierte Weisung. Weitere Weisungen erfolgen über die Plattform-Konfiguration des Verantwortlichen sowie in Textform an hello@aioos.ai.

6.3 Hält AIOOS eine Weisung für rechtswidrig, informiert AIOOS den Verantwortlichen unverzüglich. AIOOS ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung auszusetzen, bis sie bestätigt oder geändert wird.

7. Vertraulichkeit

7.1 AIOOS stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

7.2 AIOOS verpflichtet eingesetzte Subauftragsverarbeiter zu entsprechenden Vertraulichkeitspflichten. Die Vertraulichkeitspflicht besteht über das Vertragsende hinaus fort.

8. Technische und organisatorische Maßnahmen (TOMs)

8.1 AIOOS trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese sind in Anhang 1 (TOMs) beschrieben und Bestandteil dieses AVV.

8.2 AIOOS darf die TOMs im Laufe der Zeit anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

9. Unterauftragsverarbeiter

9.1 Der Verantwortliche erteilt AIOOS die allgemeine schriftliche Genehmigung zur Heranziehung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsabschlusses eingesetzten Unterauftragsverarbeiter sind in Anhang 2 (Subprozessorenliste) aufgeführt und umfassen insbesondere: Hetzner Online GmbH (Hosting/Infrastruktur, DE/EU), Google LLC (KI-Sprach-/Textverarbeitung — das Kernmodell, USA), DIDWW (SIP-Telefonie/Anrufzustellung), Stripe, Inc. (Zahlungsabwicklung, USA), Resend, Inc. (Transaktions-E-Mail/Login-Links, USA), easyname GmbH (SMTP-Versand für Benachrichtigungen, AT/EU) sowie Cloudflare, Inc. (CDN/DNS/WAF im Transit, USA). Bei optionalem Social-Login kommen Google bzw. Apple als Identitäts-Login hinzu — ausschließlich, wenn der Nutzer dies wählt.

9.2 Klarstellung zur eigenen Infrastruktur: Die Echtzeit-Medienverarbeitung (LiveKit) und die Datenbank (PostgreSQL) werden selbst gehostet auf der eigenen Hetzner-Infrastruktur von AIOOS betrieben und stellen keinen zusätzlichen Drittanbieter-Subprozessor dar.

9.3 AIOOS verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).

9.4 AIOOS informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern (z. B. über die aktualisierte Subprozessorenliste). Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Bei berechtigtem, nicht ausräumbarem Widerspruch ist jede Partei zur Kündigung der betroffenen Leistung berechtigt.

10. Internationale Datenübermittlungen (Drittland)

10.1 Eine Übermittlung personenbezogener Daten in ein Drittland (außerhalb des EWR) erfolgt nur, soweit zur Leistungserbringung erforderlich, und ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO (Kapitel V).

10.2 Betroffen sind insbesondere die in Anhang 2 als USA-Transfer gekennzeichneten Unterauftragsverarbeiter (Google, Stripe, Resend, Cloudflare). Für diese Übermittlungen werden geeignete Garantien sichergestellt, insbesondere die EU-Standardvertragsklauseln (SCCs) und, soweit anwendbar, eine Zertifizierung nach dem EU-US Data Privacy Framework, jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

11. Gesprächsaufzeichnungen

11.1 Die Aktivierung von Gesprächsaufzeichnungen erfolgt eigenverantwortlich durch den Verantwortlichen (controller-aktiviert). AIOOS stellt hierfür den technischen Mechanismus sowie eine gesprochene Aufzeichnungs-Hinweiszeile bereit; die Verantwortung für deren Einsatz trägt der Verantwortliche.

11.2 Der Verantwortliche ist verpflichtet, die einschlägigen Informations- und Hinweispflichten einzuhalten, erforderliche Einwilligungen einzuholen und nationale telekommunikations- und datenschutzrechtliche Vorgaben zu beachten. AIOOS haftet nicht für Verstöße des Verantwortlichen gegen diese Pflichten.

11.3 Für aktivierte Aufzeichnungen gilt die Speicherdauer nach Abschnitt 12.

12. Löschung und Rückgabe nach Vertragsende

12.1 Aufbewahrung/Auto-Löschung Anrufdaten. Gesprächsaufzeichnungen (Audio) werden 14 Tage vorgehalten und anschließend automatisch gelöscht. Transkripte, Zusammenfassungen, erfasste Felder und Anruf-Metadaten unterliegen ebenfalls einer 14-Tage-Aufbewahrung mit automatisierter Löschung (Auto-Prune).

12.2 Konto-/Vertragsdaten werden für die Dauer des Vertrags sowie für die Erfüllung gesetzlicher Aufbewahrungsfristen (z. B. UGB/BAO — bis zu 7 Jahre für Rechnungen) gespeichert.

12.3 Nach Beendigung des Hauptvertrages löscht AIOOS die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder mitgliedstaatlichem Recht besteht. Vorhandene Kopien werden gelöscht, soweit keine Aufbewahrungspflicht entgegensteht.

12.4 AIOOS weist die Löschung bzw. Rückgabe auf Verlangen nach.

13. Unterstützungspflichten

13.1 AIOOS unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen mit angemessenen technischen und organisatorischen Maßnahmen bei:

13.2 AIOOS informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die für eine Meldung nach Art. 33/34 DSGVO erforderlichen Informationen bereit.

14. Nachweis- und Kontrollrechte

14.1 AIOOS stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

14.2 AIOOS ermöglicht Überprüfungen — einschließlich Inspektionen —, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt, und trägt zu diesen bei. Prüfungen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Der Nachweis kann auch durch geeignete Zertifizierungen oder Auditberichte erbracht werden.

15. Schlussbestimmungen

15.1 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des IPR und des UN-Kaufrechts. Gerichtsstand ist Graz.

15.2 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen — soweit den Datenschutz betreffend — die Regelungen dieses AVV vor.

15.3 Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

15.4 Bestandteil dieses AVV sind:

Ort, Datum: Ort, Datum

Für den Verantwortlichen (Kunde): Name, Funktion, Unterschrift

Für den Auftragsverarbeiter (AIOOS GmbH): Name, Funktion, Unterschrift

Stand: August 2026 · © 2026 AIOOS GmbH · Impressum · Datenschutz · AGB