Trust Center
Transparenz auf dem Niveau, das B2B-DSB erwarten.
AVV, Sub-Processor-Liste und Incident-Prozess, öffentlich nachlesbar. Keine Marketing-Sprache: die Angaben unten spiegeln unsere Standard-Vertragsunterlagen wider; maßgeblich sind Angebot und AVV.
AVV nach Art. 28 DSGVO, Standard, kein Add-on.
Mit jedem Kunden schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ab. Er ist Teil des Kundenvertrags und wird mit ihm unterschrieben.
Der AVV regelt die beauftragte Datenverarbeitung und enthält als integralen Bestandteil unsere detaillierten technisch-organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO zum Schutz Ihrer Daten.
Spezifische Kunden-Anforderungen (Branchen-Klauseln BRAO/StBerG für Kanzleien, WEG-Spezifika für Hausverwaltungen, PMS-Daten-Routing für Hotels) ergänzen wir in einer Anlage. Beauftragte Verarbeitung ist ausschließlich der Inhalt des AVV, keine Eigen-Nutzung Ihrer Daten für eigene Zwecke (z. B. Modell-Training).
AVV-Muster als PDF auf Anfrage: hallo@podschi.de.
Wer verarbeitet welche Daten, in welchem Rechtsraum.
Vollständig identisch zur Tabelle in der Datenschutzerklärung. Änderungen werden 30 Tage im Voraus an aktive Kunden gemeldet (Widerspruchsfrist gemäß AVV).
| Dienst | Anbieter | Region | Rechtsgrundlage | Verarbeitete Daten |
|---|---|---|---|---|
| Webhosting | Vercel Inc. | USA | SCCs Modul 2 (Art. 46 DSGVO) + DPA | Server-Logs, IP-Adresse, Request-Metadaten (max. 14 Tage) |
| Voice-AI-Plattform | VAPI Inc. | USA | SCCs Modul 3 + DPA | Audio-Stream, Transkript, Anrufer-Metadaten (Telefonnummer, Zeitstempel) |
| Sprachmodell (LLM) | OpenAI L.L.C. (via VAPI) | USA | SCCs Modul 3 (über VAPI) | Konversations-Transkripte (API-Pfad) |
| Spracherkennung (STT) | Soniox, Inc. (via VAPI) | USA | SCCs Modul 3 (über VAPI) | Audio-Stream des Anrufers, transient |
| Sprachsynthese (TTS) | Cartesia AI, Inc. (via VAPI) | USA | SCCs Modul 3 (über VAPI) | Antwort-Text des Assistenten |
| Sprachsynthese (TTS) der Hotel-Demo | ElevenLabs, Inc. (via VAPI) | USA | SCCs Modul 3 (über VAPI) | Antwort-Text des Assistenten |
| Infrastruktur der Voice-Plattform | AWS, Microsoft Azure, Cloudflare, Databricks (via VAPI) | USA | SCCs Modul 3 (über VAPI) | Betrieb, Netzwerk und Speicherung der Anrufdaten |
| KI-Vermittlung (E-Mail-Assistent, Berichte) | OpenRouter, Inc. (Modelle u. a. Mistral AI, Microsoft Azure) | EU | DPA mit SCCs, nur EU-Endpunkte, Zero Data Retention | Mail-Inhalte und Berichtsdaten, Namen vor der Zimmerwunsch-Erkennung pseudonymisiert |
| Automatisierung (n8n, selbst betrieben) | Hetzner Online GmbH (Server und Sicherungen) | Deutschland | AVV, kein Drittlandtransfer | Strukturierte Anfragen aus Kontaktformular und Voice-Agent, Ausführungsprotokolle |
| Zweitkopie der Sicherungen | IONOS SE | Deutschland | AVV, kein Drittlandtransfer | Verschlüsselte Sicherungen |
| SMS-Versand | seven communications GmbH & Co. KG (seven.io) | Deutschland | AVV, kein Drittlandtransfer | Telefonnummer, SMS-Text (Buchungsbestätigung, Alarme) |
| E-Mail-Postfächer | Microsoft (Microsoft 365) | Deutschland, EU-Datengrenze | Datenschutzbedingungen von Microsoft; EU-US Data Privacy Framework | Geschäftliche E-Mails, Betriebsmeldungen, Datenschutzanfragen |
Im Ernstfall reden wir, bevor die Aufsichtsbehörde fragt.
Bei einem Datenschutz-Vorfall (z. B. Sub-Processor-Leak, unbefugter Zugriff, fehlgeleitete Übermittlung) greift dieser Eskalationsprozess. Die Zeitangaben sind angestrebte Zielwerte; verbindliche Fristen regelt der AVV:
- Sofort-Eskalation intern (Ziel: binnen 1 Stunde nach Kenntnis): Containment, betroffene Sub-Processor-Konten sperren.
- Kunden-Information (Ziel: binnen 24 Stunden): konkrete Daten-Kategorie, Betroffenen-Zahl, Maßnahmen, vermutete Risiken, schriftlich.
- 72-h-Meldung Sie als Verantwortliche entscheiden, ob Art. 33 DSGVO greift; wir liefern die technische Dokumentation für Ihre Meldung an die Aufsichtsbehörde.
- Post-Mortem (Ziel: binnen 14 Tagen): Ursachen-Analyse, dokumentierte Gegenmaßnahmen, schriftliche Übergabe.
Kontakt im Vorfall: hallo@podschi.de · Subject-Präfix „[INCIDENT]" landet bei aktiver Benachrichtigung.
Ehrliche Zahlen, nicht „99,99 %".
Wir veröffentlichen keine pauschalen Verfügbarkeits- oder SLA-Zusagen. Die Voice-Agent-Stack-Verfügbarkeit hängt von Sub-Processors ab (VAPI, OpenAI, Soniox, Cartesia, ElevenLabs); was vertraglich gilt, steht im jeweiligen Angebot.
- Service-Regelungen (Reaktionszeiten, Service-Zeitraum) werden je Auftrag im Angebot festgelegt, es gibt keine pauschale Verfügbarkeitszusage auf dieser Website.
- Telefonie-Failover: bei Voice-Agent-Ausfall konfigurierte Weiterleitung an eine Mailbox mit klarem Rückruf-Hinweis, soweit Telefonie-Anbindung und Zielsystem erreichbar sind.
- Kontinuierliche Überwachung zentraler Stack-Komponenten; bei wiederholten Fehlschlägen Eskalation an Sie gemäß vereinbarter Bereitschaftsregel.
Frage offen? Schicken Sie uns die DSB-Checkliste.
Wir bearbeiten standardisierte und individuelle Datenschutz-Fragebögen so schnell wie möglich, egal ob eigener Fragebogen, VAIT-Mapping, BAIT-Mapping oder eigener Anbieter-Audit.