Hinweis: Diese deutsche Fassung dient der Information. Im Falle von Abweichungen gilt die englische Fassung.

Dieses Master‑Datenverarbeitungsaddendum („MDPA“) wird durch Verweis Bestandteil der Vereinbarung über die Nutzung der Voice2Evolve‑Dienste („Vereinbarung“), die zwischen Ihnen, dem Kunden (wie in der Vereinbarung definiert) („Kunde“), und Voice2Evolve UG (haftungsbeschränkt) („Voice2Evolve“) geschlossen wird, um die Vereinbarung der Parteien hinsichtlich der Verarbeitung personenbezogener Daten durch Voice2Evolve ausschließlich im Auftrag des Kunden abzubilden. Beide Parteien werden gemeinsam als „Parteien“ und jeweils einzeln als „Partei“ bezeichnet.

Sofern in diesem MDPA nichts anderes bestimmt ist, bleiben die Bestimmungen der Vereinbarung in vollem Umfang in Kraft. Großgeschriebene Begriffe, die in diesem MDPA nicht definiert sind, haben die in der Vereinbarung festgelegte Bedeutung. Etwaige zuvor zwischen Voice2Evolve und dem Kunden getroffene datenschutzrechtliche Regelungen oder Vereinbarungen werden durch dieses MDPA ersetzt.

Dieses MDPA trat ursprünglich am 08.02.2026 in Kraft und wurde zuletzt am 20. September 2026 aktualisiert. Es gilt zwischen dem Kunden und Voice2Evolve ab dem Wirksamkeitsdatum der Vereinbarung („MDPA‑Wirksamkeitsdatum”).

Die Parteien vereinbaren Folgendes: (MDPA)

1. Begriffsbestimmungen

Soweit hierin nicht anders definiert, haben großgeschriebene Begriffe die in den anwendbaren Datenschutzgesetzen festgelegte Bedeutung.

Affiliate (verbundenes Unternehmen): Jede Einheit, die eine Partei direkt oder indirekt beherrscht, von ihr beherrscht wird oder unter gemeinsamer Beherrschung steht.
Approved Jurisdiction (genehmigte Rechtsordnung): Jeder Staat innerhalb des EWR oder solche Staaten, denen die Europäische Kommission ein angemessenes Schutzniveau bescheinigt.
Controller (Verantwortlicher): Die Stelle, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.
Auftragsverarbeiter: Die Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.
Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Verarbeitung: Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, z. B. Erhebung, Speicherung, Veränderung, Übermittlung oder Löschung.
Unterauftragsverarbeiter: Ein von Voice2Evolve eingesetzter Dritter als Auftragsverarbeiter.
Betroffene Person: Eine identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.
Sicherheitsmaßnahmen: Die von Voice2Evolve implementierten technischen und organisatorischen Maßnahmen gemäß Anlage A.
Datenschutzverletzung: Ein Sicherheitsvorfall, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.
Aufsichtsbehörde: Eine unabhängige öffentliche Stelle gemäß Art. 51 DSGVO.
Besondere Kategorien personenbezogener Daten: Wie in Art. 9 DSGVO definiert, einschließlich Gesundheits‑, biometrischer oder strafrechtlicher Daten.
Datenschutzgesetze: DSGVO, UK GDPR und CPRA gemeinsam.

2. Rollen und Verantwortlichkeiten

2.1 Verhältnis der Parteien

Der Kunde handelt als Verantwortlicher, Voice2Evolve handelt als Auftragsverarbeiter.

2.2 Weisungen des Kunden

Voice2Evolve verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Kunden. Wenn Voice2Evolve der Auffassung ist, dass eine Weisung gegen die DSGVO oder anwendbares Recht verstößt, informiert Voice2Evolve den Kunden unverzüglich.

2.3 Umfang und Zweck

Die Verarbeitung umfasst KI‑basiertes Voice‑Sparring, Transkription, Scoring und zugehörige Analysen.

2.4 Dauer

Die Verarbeitung erfolgt für die Laufzeit der Vereinbarung und endet, wenn alle Daten gemäß Abschnitt 14 zurückgegeben oder gelöscht wurden.

2.5 Besondere Kategorien und Sprachdaten

Die Leistungen verarbeiten Live-Sprachaudio zum Zweck des KI-gestützten Gesprächstrainings (Sparring) und der Analyse. Im aktuell dokumentierten Serviceablauf speichert Voice2Evolve nach der Verarbeitung kein Roh-Audio der Sitzung. Voice2Evolve verarbeitet Sprachdaten nicht zum Zweck der eindeutigen Identifizierung einer natürlichen Person (biometrische Identifizierung) im Sinne von Art. 9 Abs. 1 DSGVO. Live-Sprachaudio, das im Rahmen dieses MDPA verarbeitet wird, wird daher nicht allein deshalb als besondere Kategorie personenbezogener Daten behandelt, weil es sich um Sprachdaten handelt. Der Kunde darf keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in die Dienste einbringen, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

2.6 Automatisierte Entscheidungsfindung

Die Dienste erzeugen Bewertungen, Analysen und Feedback mittels KI‑Modellen. Diese Ergebnisse dienen ausschließlich Informations‑ und Übungszwecken und entfalten keine rechtlichen Wirkungen oder ähnlich erhebliche Auswirkungen auf betroffene Personen im Sinne von Art. 22 Abs. 1 DSGVO. Es werden keine Entscheidungen mit rechtlicher oder vergleichbarer Wirkung allein auf Grundlage automatisierter Verarbeitung getroffen.

2.7 Mandantendatentrennung

Voice2Evolve unterhält technische und organisatorische Maßnahmen, die darauf ausgelegt sind, die personenbezogenen Daten jedes Kunden logisch von den Daten anderer Kunden zu isolieren. Diese Maßnahmen umfassen mandantenspezifische Authentifizierung, Datenbankzugriffskontrollen und anwendungsseitige Autorisierungskontrollen, die der Architektur und den Risiken der Leistungen angemessen sind.

2.8 Datenschutz‑Kontakt

Der benannte Ansprechpartner für alle Datenschutzangelegenheiten nach diesem MDPA ist: Voice2Evolve UG (haftungsbeschränkt) — E‑Mail: help@voice2evolve.com

3. Pflichten des Verantwortlichen (Kunde)

Der Kunde informiert Voice2Evolve unverzüglich über Beschwerden, Anfragen oder Untersuchungen betroffener Personen oder einer Aufsichtsbehörde, die die Verarbeitung nach diesem MDPA betreffen. Beide Parteien arbeiten zusammen, um eine konsistente und fristgerechte Kommunikation mit Behörden und betroffenen Personen sicherzustellen.

Der Kunde:

stellt eine Rechtsgrundlage für alle bereitgestellten Daten sicher,
erfüllt Informations‑ und Einwilligungspflichten gegenüber betroffenen Personen,
stellt korrekte, minimierte Daten bereit,
dokumentiert seine Verarbeitungszwecke und informiert Voice2Evolve über Änderungen.

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. a–h DSGVO) und rechtsgebietsübergreifende Compliance

Voice2Evolve hält auch gleichwertige Pflichten als Auftragsverarbeiter nach US‑Bundesstaaten‑Datenschutzgesetzen ein, einschließlich CPRA (Kalifornien) und CDPA (Virginia), um die gleichen Datenschutz‑, Vertraulichkeits‑ und Betroffenenrechte‑Grundsätze über Rechtsordnungen hinweg konsistent anzuwenden.

Voice2Evolve wird:

personenbezogene Daten ausschließlich auf schriftliche Weisung des Kunden verarbeiten,
die Vertraulichkeit des Personals sicherstellen (Art. 28 Abs. 3 lit. b DSGVO),
geeignete technische und organisatorische Maßnahmen umsetzen (Art. 28 Abs. 3 lit. c DSGVO),
die Autorisierung von Unterauftragsverarbeitern beachten und eine aktuelle Liste führen (Art. 28 Abs. 3 lit. d DSGVO),
den Kunden bei der Beantwortung von Betroffenenanfragen unterstützen (Art. 28 Abs. 3 lit. e DSGVO),
den Kunden bei DSFA/DPIA und Konsultationen mit Aufsichtsbehörden unterstützen (Art. 28 Abs. 3 lit. f DSGVO),
Daten nach Beendigung löschen oder zurückgeben, sofern keine gesetzliche Pflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO),
alle Informationen zur Verfügung stellen, die zur Nachweisführung erforderlich sind, und eine Verifikation gemäß Abschnitt 10 unterstützen (Art. 28 Abs. 3 lit. h DSGVO),
mit Aufsichtsbehörden kooperieren,
Verzeichnisse von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO führen.

5. Unterauftragsverarbeitung

Voice2Evolve kann Unterauftragsverarbeiter gemäß Anlage B und der jeweils aktuellen öffentlichen Unterauftragsverarbeiterliste einsetzen. Unterauftragsverarbeiter, die personenbezogene Daten im Auftrag von Voice2Evolve verarbeiten, unterliegen schriftlichen Datenschutzbedingungen, Transfergarantien und Sicherheitsverpflichtungen, die ihrer Verarbeitungsrolle angemessen sind. Voice2Evolve bleibt für Handlungen und Unterlassungen der Unterauftragsverarbeiter verantwortlich, die es im Rahmen dieses MDPA einsetzt.

Zur Klarstellung: Wenn eine betroffene Person sich für die Authentifizierung über einen externen Identitätsanbieter entscheidet (z. B. Google oder Microsoft Azure), kann dieser Identitätsanbieter für Verarbeitungen innerhalb seines eigenen Authentifizierungsdienstes als eigenständiger Verantwortlicher handeln. Solche Identitätsanbieter werden von Voice2Evolve nicht als Unterauftragsverarbeiter eingesetzt, sofern sie nicht ausdrücklich in Anlage B für die Verarbeitung von Kundendaten im Auftrag des Kunden aufgeführt sind.

5.1 Vorankündigung neuer Unterauftragsverarbeiter

Voice2Evolve informiert den Kunden mindestens dreißig (30) Kalendertage vor der Autorisierung eines neuen Unterauftragsverarbeiters zur Verarbeitung personenbezogener Daten. Die Benachrichtigung erfolgt über die im Kundenkonto hinterlegten Kontaktdaten oder über einen Änderungsbenachrichtigungsmechanismus, den der Kunde abonnieren kann.

5.2 Widerspruchsrecht

Der Kunde kann innerhalb der dreißigtägigen Ankündigungsfrist aus berechtigten datenschutzrechtlichen Gründen schriftlich Widerspruch gegen einen neuen Unterauftragsverarbeiter einlegen. Voice2Evolve unternimmt wirtschaftlich zumutbare Anstrengungen, den Widerspruch auszuräumen, einschließlich durch Angebot eines alternativen Unterauftragsverarbeiters oder einer alternativen Konfiguration. Kann Voice2Evolve den Widerspruch nicht innerhalb von dreißig (30) Tagen nach Erhalt angemessen berücksichtigen, kann der Kunde die betroffenen Leistungen — oder, sofern der Unterauftragsverarbeiter für den gesamten Dienst wesentlich ist, die Vereinbarung — ohne Vertragsstrafe durch schriftliche Mitteilung vor Beginn der Verarbeitung durch den neuen Unterauftragsverarbeiter kündigen.

6. Sicherheitsmaßnahmen (Art. 32 DSGVO)

Voice2Evolve setzt die in Anlage A beschriebenen Sicherheitsmaßnahmen um, insbesondere:

Verschlüsselung ruhender und übertragener Daten,
rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte,
Multifaktor‑Authentifizierung,
Protokollierung, Monitoring und Incident‑Management,
regelmäßige Schwachstellenanalysen und Sicherheitstests entsprechend dem Risiko,
Aufbewahrungs- und sichere Löschkontrollen gemäß Abschnitt 14.

7. Meldung von Datenschutzverletzungen (Art. 33 DSGVO)

Voice2Evolve informiert den Kunden über jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich nach Kenntniserlangung. Die Erstmitteilung enthält, soweit zum Zeitpunkt der Mitteilung vernünftigerweise verfügbar, die Art der Verletzung, die Kategorien und ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die getroffenen oder vorgeschlagenen Maßnahmen zur Behebung. Soweit vollständige Angaben zum Zeitpunkt der Erstmitteilung noch nicht vorliegen, stellt Voice2Evolve die verbleibenden Informationen phasenweise ohne weitere unangemessene Verzögerung bereit.

8. Rechte betroffener Personen

Verifizierung der Identität betroffener Personen

Vor Erfüllung einer Betroffenenanfrage verifiziert Voice2Evolve die Identität des Anfragenden gemäß Art. 12 Abs. 6 DSGVO. Verifizierungsmethoden können die Authentifizierung über registrierte Kontodaten oder andere angemessene Verfahren umfassen, um unbefugten Zugriff oder unbefugte Offenlegung zu verhindern (Art. 15–22 DSGVO).

Voice2Evolve unterstützt den Kunden bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Einschränkung, Löschung, Datenübertragbarkeit oder Widerspruch. Bei Anfragen zur Datenübertragbarkeit stellt Voice2Evolve die betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON oder CSV) bereit. Voice2Evolve beantwortet Anfragen betroffener Personen nicht direkt, sofern es nicht vom Kunden dazu autorisiert ist.

9. Internationale Datenübermittlungen (Art. 44–49 DSGVO)

Voice2Evolve führt Transfer Impact Assessments (TIAs) vor internationalen Datenübermittlungen im Einklang mit EDPB-Leitlinien durch und berücksichtigt dabei Überwachungsgesetze, behördliche Zugriffsrechte und verfügbare Rechtsbehelfe. TIAs werden in unseren Anbieterunterlagen geführt und stehen Kunden auf begründete Anfrage zur Verfügung.

Übermittlungen außerhalb des EWR stützen sich auf:

EU‑Standardvertragsklauseln (Anlage C),
UK‑Addendum (Anlage D) oder
Angemessenheitsbeschlüsse bzw. andere zulässige Garantien.

Voice2Evolve stellt sicher, dass in Drittstaaten übermittelte Daten auf einem der DSGVO gleichwertigen Niveau geschützt bleiben.

10. Compliance-Verifikation und Dokumentation

Voice2Evolve stellt die zum Nachweis der Compliance vernünftigerweise erforderlichen Informationen durch schriftliche Dokumentation und Remote-Assurance-Maßnahmen bereit, die Sicherheit, Vertraulichkeit und die Privatsphäre anderer Kunden schützen. Routinemäßige Vor-Ort-Inspektionen privater Wohnsitze, Homeoffices oder Rechenzentren Dritter werden nicht angeboten.

Der Kunde kann jährlich oder nach einer bestätigten Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, Compliance-Informationen anfordern.
Voice2Evolve kann solche Anfragen durch Richtlinien, Sicherheitszusammenfassungen, Antworten auf Fragebögen, Zusammenfassungen unabhängiger Auditberichte oder Zertifizierungen sowie Remote-Erläuterungstermine erfüllen.
Jede Prüfung, die über Dokumentation oder Remote-Review hinausgeht, setzt die vorherige schriftliche Zustimmung von Voice2Evolve oder eine eindeutige zwingende gesetzliche Anforderung einer zuständigen Aufsichtsbehörde voraus.
Alle zur Nachweisführung erforderlichen Unterlagen werden vorgehalten und auf Anfrage bereitgestellt, vorbehaltlich Vertraulichkeits-, Sicherheits- und Verhältnismäßigkeitsschutzmaßnahmen.

11. Haftung

Die Haftung zwischen den Parteien aus oder im Zusammenhang mit diesem MDPA richtet sich ausschließlich nach Abschnitt 11 des MSA.

Nichts in diesem MDPA beschränkt gesetzliche Rechte betroffener Personen oder eine Haftung, die nach anwendbarem Datenschutzrecht nicht beschränkt werden kann.

Jede Partei bleibt für Verwaltungsstrafen, Bußgelder oder Sanktionen verantwortlich, die durch eine Aufsichtsbehörde unmittelbar gegen sie wegen eigener Nicht‑Compliance mit anwendbarem Datenschutzrecht verhängt werden, soweit dies gesetzlich erforderlich ist.

12. Schweizer Datenschutz (DSG) – Konformität

Voice2Evolve erfüllt auch die Anforderungen des Schweizer Bundesgesetzes über den Datenschutz (DSG/FADP). Für Datenübermittlungen aus der Schweiz gelten die gleichen Garantien, Standardvertragsklauseln und Sicherheitsmaßnahmen wie in diesem MDPA beschrieben. Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz‑ und Öffentlichkeitsbeauftragte (EDÖB/FDPIC).

13. Anwendbares Recht und Gerichtsstand

Dieses MDPA unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand für alle Streitigkeiten ist Stuttgart, Deutschland, sofern zwingendes Recht nichts anderes vorsieht.

14. Datenaufbewahrung und Löschung

Voice2Evolve unterhält klare Aufbewahrungs‑ und Löschfristen, um Art. 30 und 32 DSGVO zu erfüllen. Personenbezogene Daten werden nur so lange gespeichert, wie es zur Erfüllung der Verarbeitungszwecke oder zur Einhaltung gesetzlicher Pflichten erforderlich ist. Aufbewahrungsfristen werden anhand folgender Kriterien festgelegt:

Sitzungstranskripte: Die Aufbewahrungsdauer richtet sich nach der vom Kunden konfigurierbaren Einstellung (7–365 Tage; Standardwert: 30 Tage). Nach Ablauf kann der Kunde wählen, ob der Transkriptinhalt unter Beibehaltung der Sitzungsmetadaten unkenntlich gemacht – also der gesprochene Inhalt durch einen entsprechenden Hinweis ersetzt – oder die Transkriptzeilen vollständig gelöscht werden. Das Unkenntlichmachen bei Fristablauf ist standardmäßig aktiviert. Ohne Kundeneinstellung werden Transkriptinhalte innerhalb von 30 Tagen nach Sitzungsabschluss unkenntlich gemacht oder gelöscht. Zugehörige, nicht nutzerseitige Verarbeitungsartefakte werden nach demselben Zeitplan gelöscht.
Sitzungsanalysen und Bewertungen: Bewertungen, Analyseergebnisse, Verhaltensmetriken sowie begrenzte Transkriptzitate oder Nachweisauszüge, die zum Anzeigen und Verstehen des historischen Berichts erforderlich sind, werden für die Dauer des Nutzerkontos gespeichert und bei Löschung des Nutzerkontos oder des Kunden-Tenants gelöscht, sofern der Kunde oder die betroffene Person nicht früher eine Löschung verlangt. Diese begrenzten Auszüge sind Teil des Analyseberichts und verlängern nicht die Aufbewahrung des Rohtranskripts oder nicht nutzerseitiger Verarbeitungsartefakte.
Berichte zur Service-Qualitätsbewertung: Berichte, die vom automatisierten Prozess zur Service-Qualitätsbewertung erstellt werden, werden 30 Tage aufbewahrt und anschließend gelöscht. Diese Berichte bewerten Servicekomponenten und enthalten keine nutzerbezogenen Bewertungsdaten. Siehe Abschnitt 15.1.
Anonymisierte Aggregatdaten: Vollständig anonymisierte, k‑anonyme Verhaltensaggregatdaten – aus denen keine Einzelperson, Sitzung oder Organisation re‑identifiziert werden kann – werden auf unbestimmte Zeit aufbewahrt, da sie nicht in den Anwendungsbereich des Begriffs „personenbezogene Daten" im Sinne von Art. 4 Nr. 1 DSGVO und Erwägungsgrund 26 fallen. Siehe Abschnitt 15.2.
Datenrückgabe nach Vertragsende: Nach Beendigung oder Ablauf der Vereinbarung stellt Voice2Evolve die personenbezogenen Daten des Kunden für einen Zeitraum von neunzig (90) Kalendertagen zum Export bereit. Nach Ablauf dieses Übergangszeitraums löscht oder anonymisiert Voice2Evolve alle verbleibenden personenbezogenen Daten gemäß diesem Abschnitt 14, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Kontodaten: Speicherung für die Dauer des Kontos; sichere Löschung innerhalb von 30 Tagen nach Schließung.
Zahlungs‑ und Abrechnungsunterlagen: Aufbewahrung für gesetzliche steuer‑ und handelsrechtliche Fristen (typischerweise 6–10 Jahre) und anschließende Löschung.
Audit‑ und Sicherheitsprotokolle: Aufbewahrung für 90 Tage, sofern nicht längere Speicherung für Vorfalluntersuchungen oder Compliance erforderlich ist.

Voice2Evolve stellt sicher, dass Löschungen mittels sicherer Verfahren erfolgen und Audit‑Trails zur Dokumentation der Löschung geführt werden. Aufbewahrungsrichtlinien werden jährlich überprüft und bei Bedarf an regulatorische und betriebliche Änderungen angepasst.

15. Zulässige Eigenverarbeitungszwecke von Voice2Evolve

Unbeschadet von Abschnitt 4 Ziffer 1 sind die nachfolgenden Eigenverarbeitungszwecke von Voice2Evolve durch die Vereinbarung ausdrücklich gestattet und stellen keine Verarbeitung außerhalb der dokumentierten Weisungen des Kunden dar:

15.1 Service-Qualitätsbewertung

Voice2Evolve betreibt einen automatisierten Prozess zur Service-Qualitätsbewertung, der Sitzungs‑Transkripte und Analyseergebnisse mithilfe von Unterauftragsverarbeitern (KI‑Sprachmodell‑Dienste gemäß Anlage B) ausschließlich zur Bewertung der Servicequalität verarbeitet. Diese Verarbeitung dient dem Zweck, die technische Qualität der gegenüber dem Kunden erbrachten Leistungen aufrechtzuerhalten und kontinuierlich zu verbessern. Sie bewertet keine einzelnen Nutzer, erzeugt keine nutzergerichteten Ausgaben und erstellt weder Nutzer‑Scores noch Nutzerprofile. Qualitätsbewertungsberichte sind nicht über die kundenseitige Anwendung zugänglich und werden innerhalb von 30 Tagen gelöscht.

15.2 Anonymisierte Aggregatanalysen

Wie durch die Vereinbarung und diesen Abschnitt 15.2 gestattet, leitet Voice2Evolve aus Sitzungsdaten vollständig anonymisierte, aggregierte Verhaltensstatistiken ab, um die Dienste zu verbessern und Produkt‑Benchmarks zu entwickeln. Vor der Aggregation werden alle direkten und indirekten Identifikatoren – einschließlich Mandanten‑ID, Sitzungs‑ID und Nutzer‑ID – entfernt. Die Aggregation unterliegt k‑Anonymitätsschwellenwerten (mindestens 50 Sitzungen je Dimensionsgruppe); Gruppen unterhalb dieses Schwellenwerts werden vollständig ausgeschlossen. Nach erfolgter Anonymisierung gemäß diesem Standard stellen die entstehenden Daten keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO und Erwägungsgrund 26 mehr dar und unterliegen nicht den Beschränkungen dieses MDPA.

ANLAGE A – SICHERHEITSMASSNAHMEN

(Detaillierte Ausführung gemäß Art. 32 DSGVO)

Technische Maßnahmen:

Verschlüsselung: Kundendaten werden bei der Übertragung und Speicherung durch Verschlüsselungsfunktionen der jeweils anwendbaren verwalteten Infrastruktur- und Dienstanbieter geschützt. Verschlüsselungsschlüssel werden durch dokumentierte Lebenszykluskontrollen verwaltet, die an anerkannten Sicherheitspraktiken ausgerichtet sind.
Zugriffskontrolle: Für Personal und administrative Zugriffe von Voice2Evolve werden rollenbasierte Zugriffskontrollen und das Prinzip der geringsten Rechte eingesetzt. Multifaktor-Authentifizierung wird auf der administrativen und Infrastrukturebene eingesetzt, soweit unterstützt und angemessen. Endnutzerkonten von Kunden werden durch sichere Authentifizierungs- und Sitzungsverwaltungskontrollen geschützt. Zugriffsrechte werden regelmäßig überprüft und sicherheitsrelevante Zugriffe protokolliert.
Logging und Monitoring: Sicherheitsrelevante administrative und systemische Ereignisse werden durch zentrale oder anbieterbasierte Überwachung protokolliert und überwacht, die den Risiken der Leistungen angemessen ist. Sicherheitsprotokolle werden gemäß Abschnitt 14 aufbewahrt und, soweit für Sicherheitsbetrieb und Vorfalluntersuchung relevant, überprüft.
Netzwerksicherheit: Voice2Evolve nutzt verwaltete Plattform- und Cloud-Infrastruktur. Netzwerkschutzmaßnahmen, einschließlich Traffic-Filterung, DDoS-Abwehr, Firewalling, Isolation und damit verbundener Kontrollen, werden teilweise von den jeweiligen Infrastrukturanbietern bereitgestellt. Administrative Zugriffe auf Anbieterplattformen sind auf autorisiertes Personal beschränkt und werden, soweit unterstützt, durch Multifaktor-Authentifizierung geschützt.
Pseudonymisierung: Analyse- und Transkriptionsdaten werden, soweit angemessen, durch die Trennung von Identifikatoren und die Verwendung nicht semantischer Identifikatoren oder Tokens pseudonymisiert, um die direkte Verknüpfbarkeit zu verringern.
Sichere Softwareentwicklung: Sicherheitskontrollen sind durch Code-Reviews, Abhängigkeitsmanagement, Schwachstellenscans und risikogerechte Tests in den Softwareentwicklungsprozess integriert.
Backup und Wiederherstellung: Verschlüsselte Backup- und Wiederherstellungsfunktionen werden für Produktionsdaten mittels verwalteter Infrastrukturkontrollen vorgehalten. Wiederherstellungsverfahren sind dokumentiert; Wiederherstellungstests oder Disaster-Recovery-Übungen werden entsprechend dem Dienstrisiko regelmäßig durchgeführt.

Organisatorische Maßnahmen:

Security‑Governance: Informationssicherheitsrichtlinien und damit verbundene Kontrollen werden durch das Management regelmäßig überprüft und bei wesentlichen Änderungen aktualisiert.
Vertraulichkeit: Personal und Auftragnehmer mit Zugriff auf personenbezogene Daten unterliegen ihrer Rolle angemessenen Vertraulichkeitsverpflichtungen.
Schulung: Datenschutz- und Sicherheitsschulungsanforderungen sind für Personal mit Zugriff auf personenbezogene Daten dokumentiert; Abschlussnachweise werden, soweit zutreffend, aufbewahrt.
Vendor‑Management: Unterauftragsverarbeiter werden einer risikobasierten Prüfung unterzogen und erhalten ihrer Verarbeitungsrolle angemessene vertragliche Datenschutzanforderungen.
Incident Response: Dokumentierte Verfahren umfassen Erkennung, Eskalation, Eindämmung, Benachrichtigung und Nachbereitung. Meldungen über Verletzungen des Schutzes personenbezogener Daten erfolgen nach Abschnitt 7 und anwendbarem Recht.
Audit und Review: Interne Prüfungen, Management-Reviews und Nachweise über Korrekturmaßnahmen werden entsprechend dem Sicherheitsmanagementprozess des Unternehmens geführt. Unabhängige Auditberichte oder Zertifizierungen werden geprüft, soweit sie verfügbar und relevant sind.
Business Continuity: Verfahren zur Geschäfts- und Notfallkontinuität sowie zur Wiederherstellung nach Notfällen behandeln wesentliche Szenarien der Dienstunterbrechung, Wiederherstellung und Notfallmaßnahmen entsprechend den Leistungen.
Physische Sicherheit: Voice2Evolve betreibt keine eigenen Rechenzentren. Die physische Sicherheit der gehosteten Infrastruktur wird durch die jeweiligen Drittanbieter gewährleistet und im Rahmen des Lieferantenmanagements überprüft, einschließlich verfügbarer unabhängiger Zertifizierungen oder Prüfberichte, soweit angemessen.

ANLAGE B – UNTERAUFTRAGSVERARBEITER

Voice2Evolve unterhält einen dokumentierten Prozess zur regelmäßigen Überprüfung und Aktualisierung von Unterauftragsverarbeitern und erteilt Kunden eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Kunden können Änderungsbenachrichtigungen abonnieren, um eine angemessene Vorankündigung über neue Unterauftragsverarbeiter zu erhalten.

Anbieter	Rolle	Standort	Rechtsgrundlage / Garantien
Supabase Inc.	Datenbank, Authentifizierung	EU (Stockholm, Schweden als primäres Hosting); Weiterübermittlungen an Unterauftragsverarbeiter in USA / Singapur	Supabase DPA + SCCs + ergänzende Schutzmaßnahmen gemäß Supabase-TIA
OpenAI, L.L.C.	KI-Inferenz und Sprachverarbeitung, soweit verwendet	EU / USA / international, je nach Dienstkonfiguration	OpenAI-DPA + SCCs + zusaetzliche vertragliche und technische Schutzmassnahmen, soweit anwendbar
Google Cloud Platform (Google Cloud EMEA Limited / Google LLC)	KI-Inferenz und Cloud-Verarbeitung, soweit verwendet	EU / USA / ausgewaehlte Google-Cloud-Regionen je nach Dienstkonfiguration	Google Cloud CDPA + SCCs + DPF, soweit anwendbar
Microsoft Azure (Microsoft Ireland Operations Limited / Microsoft Corporation)	KI-Inferenz und Cloud-Verarbeitung, soweit verwendet	EU / USA / ausgewaehlte Microsoft-Azure-Regionen je nach Dienstkonfiguration	Microsoft Products and Services DPA + SCCs + DPF, soweit anwendbar
Stripe Payments Europe Ltd.	Zahlungen	EU / USA	GDPR DPA + SCCs
Vercel Inc.	Frontend‑Hosting (CDN)	EU / USA (AWS + Microsoft Azure + GCP; EU‑Edge‑Regionen: Paris, Frankfurt, Schweden)	SCCs (Modul 2, C2P) + UK IDTA
Railway Corp. (railway.com)	Backend‑Infrastruktur	USA / EU-Region-Deployment (Infrastruktur: GCP)	Ausgeführter DPA + EU‑SCCs (Modul 2, C2P) + DPF
Cloudflare, Inc.	DNS‑Auflösung, WebRTC‑TURN‑Relay	EU / USA	GDPR DPA + SCCs
Sentry, Inc.	Fehler‑Monitoring	EU / USA	GDPR DPA + DPF + SCCs + UK IDTA
Rybbit	Website‑ und Produktanalyse (nur ausgewählte App‑Seiten; sensible Pfade ausgeschlossen; Session Replay nicht aktiviert)	EU (EWR — Hetzner; Cloudflare Object Storage)	GDPR DPA (akzeptiert durch Nutzung) + SCCs
Plus Five Five, Inc. (Resend)	Transaktionale E‑Mails	USA	GDPR DPA + DPF + SCCs + UK IDTA
Anthropic PBC	KI‑Inference (LLM)	USA	GDPR DPA + SCCs
Haufe-Lexware GmbH & Co. KG (Lexware)	Rechnungs- und Buchhaltungssynchronisation	EU (Deutschland)	GDPR DPA (AVV)

ANLAGE C – STANDARDVERTRAGSKLAUSELN (VOLLSTÄNDIGER TEXT)

Hinweis: Anlage C wird im englischen Originaltext wiedergegeben, da die Standardvertragsklauseln durch Verweis auf den amtlichen Wortlaut in die Vereinbarung einbezogen werden und Übersetzungen hiervon abweichen können. Maßgeblich bleibt der amtliche Text im Amtsblatt der Europäischen Union.

Gemäß Art. 46 DSGVO und dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission werden die Standardvertragsklauseln (Modul 2: Verantwortlicher an Auftragsverarbeiter) vollständig durch Verweis einbezogen und bilden einen integralen Bestandteil dieser Vereinbarung. Der amtliche Volltext ist im Amtsblatt der Europäischen Union (ABl. L 199, 7.6.2021, S. 31-61) veröffentlicht und abrufbar unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

ANHANG I - ANGABEN ZUR UBERMITTLUNG

A. Liste der Parteien

Datenexporteur (Verantwortlicher): Der Kunde, wie in der Vereinbarung bezeichnet.
Datenimporteur (Auftragsverarbeiter): Voice2Evolve UG (haftungsbeschränkt), registriert in Deutschland. Kontakt: help@voice2evolve.com.

B. Beschreibung der Ubermittlung

Kategorien betroffener Personen: Endnutzer (Mitarbeitende, Kandidaten oder andere Personen), die die Dienste im Auftrag oder auf Weisung des Kunden nutzen.
Kategorien personenbezogener Daten: Sprachaufnahmen, Sitzungstranskripte, Sitzungsanalysen und Bewertungen, Kontoangaben (Name, E-Mail-Adresse), Nutzungsmetadaten und IP-Adressen.
Besondere Kategorien von Daten: Keine (siehe Abschnitt 2.5).
Häufigkeit der Übermittlung: Fortlaufend für die Dauer der Vereinbarung.
Art und Zweck der Verarbeitung: (1) Bereitstellung KI‑basierter Sprach‑Sparring‑, Trainings‑, Transkriptions‑, Bewertungs‑ und Analyseleistungen gemäß der Vereinbarung und Abschnitt 2.3. (2) Wenn der Kunde eine Personalvermittlungsagentur ist, die im Rahmen des Nachtrags für Personalvermittlungsagenturen handelt: Bereitstellung KI‑gestützter Vorbereitungssitzungen für Vorstellungsgespräche und Erstellung von Coaching‑Analysen, die sowohl dem Kandidaten als auch dem Kunden zur Nachbesprechung und Vorbereitungsunterstützung zugänglich sind, gemäß Abschnitt 16 dieses MDPA.
Aufbewahrungsdauer: Wie in Abschnitt 14 angegeben.

C. Zuständige Aufsichtsbehörde Zuständig ist die Datenschutzaufsichtsbehörde des EU-Mitgliedstaats, in dem der Datenexporteur niedergelassen ist, oder, falls der Datenexporteur nicht in der EU niedergelassen ist, die Aufsichtsbehorde des Mitgliedstaats, in dem sein EU-Vertreter niedergelassen ist. Falls keiner dieser Falle zutrifft, ist der Landesbeauftragte fur den Datenschutz und die Informationsfreiheit Baden-Wurttemberg (Deutschland) zustandig.

ANHANG II - TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN See Attachment A (Security Measures)

ANNEX III – SUBPROCESSORS See Attachment B (Subprocessors)

ANLAGE D – UK‑ADDENDUM (ICO)

Gilt für Datenübermittlungen aus dem Vereinigten Königreich nach dem vom ICO genehmigten Addendum zu den EU‑SCCs. Das Addendum stellt rechtmäßige Übermittlungen nach UK GDPR und Data Protection Act 2018 sicher.

Kernbestimmungen:

Die EU‑Standardvertragsklauseln (Modul 2) werden mit den nach dem UK‑Addendum erforderlichen Änderungen übernommen.
Verweise auf die DSGVO gelten als Verweise auf die UK GDPR.
Verweise auf die Europäische Union oder Mitgliedstaaten schließen das Vereinigte Königreich ein.
Zuständige Aufsichtsbehörde ist das Information Commissioner’s Office (ICO).
Anwendbares Recht und Gerichtsstand: England und Wales.

Diese Bestimmungen stellen rechtmäßige Datenübermittlungen zwischen dem Vereinigten Königreich und Drittstaaten nach UK‑Datenschutzrecht sicher.

ANLAGE D.1 – SCHWEIZ‑ADDENDUM (DSG/FADP)

Gilt für Datenübermittlungen aus der Schweiz gemäß dem Schweizer Bundesgesetz über den Datenschutz (DSG/FADP) und der zugehörigen Verordnung. Für Übermittlungen aus der Schweiz werden die gleichen EU‑Standardvertragsklauseln (Modul 2) mit erforderlichen Anpassungen übernommen:

Verweise auf die DSGVO sind als Verweise auf das DSG/FADP zu verstehen.
Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz‑ und Öffentlichkeitsbeauftragte (EDÖB/FDPIC).
Verweise auf EU‑Mitgliedstaaten umfassen die Schweiz.

Diese Klauseln stellen sicher, dass Datenübermittlungen aus der Schweiz in Drittstaaten ein angemessenes Schutzniveau gewährleisten, das dem nach DSG/FADP erforderlichen Niveau entspricht.

ANLAGE E – US‑DATENSCHUTZ‑ADDENDUM

Diese Anlage gilt nur, soweit und in dem Umfang, in dem anwendbare US‑Datenschutzgesetze der Bundesstaaten die Nutzung der Leistungen durch den Kunden regeln.

Voice2Evolve handelt als Service Provider und Processor nach anwendbaren US‑Bundesstaaten‑Datenschutzgesetzen, einschließlich, aber nicht beschränkt auf:

California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung,
Virginia Consumer Data Protection Act (CDPA),
Colorado Privacy Act (CPA),
Connecticut Data Privacy Act (CTDPA),
und jedes andere US‑Bundesstaaten‑Datenschutzgesetz, das Voice2Evolve im Zusammenhang mit den Leistungen Pflichten als Auftragsverarbeiter oder Service Provider auferlegt.

Nach diesen Gesetzen wird Voice2Evolve:

personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Kunden und zu vertraglichen Geschäftszwecken verarbeiten,
personenbezogene Daten weder verkaufen noch teilen noch für zielgerichtete Werbung, Profiling oder nicht vertraglich vereinbarte Zwecke verwenden,
den Kunden (Verantwortlichen) bei der Beantwortung verifizierter Verbraucherrechte‑Anträge unterstützen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Opt‑out von zielgerichteter Werbung),
sicherstellen, dass Weiterübermittlungen personenbezogener Daten den anwendbaren staatlichen Anforderungen und vertraglichen Garantien entsprechen,
angemessene Sicherheitspraktiken entsprechend der Sensibilität der personenbezogenen Daten umsetzen,
Dokumentation von Verarbeitungstätigkeiten und Datenschutz‑Assessments führen, soweit gesetzlich erforderlich,
den Kunden unverzüglich über Datenschutzverletzungen, Beschwerden oder Anfragen in Bezug auf CDPA/CPRA informieren,
dem Kunden eine Compliance‑Prüfung durch Dokumentation und Remote-Assurance-Maßnahmen gemäß Abschnitt 10 ermöglichen,
personenbezogene Daten auf Anfrage oder bei Beendigung der Vereinbarung löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Die Datenaufbewahrung bleibt auf die Leistungsdauer oder gesetzliche Pflichten beschränkt. Voice2Evolve bestätigt die Einhaltung aller anwendbaren US‑Bundesstaaten‑Datenschutzregelungen für seine Rolle als Auftragsverarbeiter/Service Provider.

16. Verarbeitung durch Personalvermittlungsagenturen

Dieser Abschnitt gilt, wenn der Kunde eine Personalvermittlungsagentur, Direktsuchberatung, Headhunter-Gesellschaft oder ein Personaldienstleistungsunternehmen ist, das die Dienste zur Unterstützung der Kandidatenvorbereitung und des Coachings im Rahmen des Nachtrags für Personalvermittlungsagenturen zum MSA nutzt.

16.1 Art der betroffenen Personen

Im Personalvermittlungsmodell sind die betroffenen Personen (Kandidaten) Dritte, die keinen direkten Vertrag mit Voice2Evolve abgeschlossen haben. Sie sind Personen, die vom Kunden (als Verantwortlichem) auf dessen Anweisung zur Nutzung der Dienste eingeladen werden. Der Kunde bleibt für alle in diesem Kontext verarbeiteten personenbezogenen Daten Verantwortlicher.

16.2 Datenschutzinformationspflicht gegenüber Kandidaten

Der Kunde muss als Verantwortlicher jedem Kandidaten vor Beginn einer Sitzung eine DSGVO-konforme Datenschutzmitteilung nach Art. 13 DSGVO bereitstellen, wie im Nachtrag für Personalvermittlungsagenturen vorgeschrieben. Voice2Evolve stellt unter https://voice2evolve.com/legal/candidate-privacy-notice-template eine Mustervorlage für die Kandidaten-Datenschutzmitteilung bereit.

16.3 Rechtsgrundlage

Der Kunde muss eine Rechtsgrundlage nach Art. 6 DSGVO und, soweit anwendbar, eine zusätzliche nationale Beschäftigtendatenschutz-Voraussetzung wie §26 Abs. 1 BDSG für die Verarbeitung personenbezogener Bewerberdaten über die Dienste identifizieren und dokumentieren. Eine Einwilligung allein kann in Rekrutierungskontexten unzureichend sein, wenn das anwendbare Recht sie wegen des Machtgefälles zwischen Recruiter und Kandidat als nicht belastbar ansieht. Der Kunde darf Voice2Evolve nicht zur Verarbeitung von Bewerberdaten ohne dokumentierte Rechtsgrundlage anweisen.

16.4 Betroffenenrechte — Kandidatenzugang

Voice2Evolve unterstützt den Kunden technisch bei der Erfüllung von Anfragen auf Ausübung von Betroffenenrechten durch Kandidaten nach Art. 15–22 DSGVO gemäß Abschnitt 8 dieses MDPA. Voice2Evolve antwortet nicht direkt an Kandidaten; alle Rechtsreaktionen werden mit dem Kunden als Verantwortlichem koordiniert und von diesem erteilt.

16.5 Art.-22-Transparenzpflicht

Die durch die Dienste erstellten KI-Coaching-Analysen stellen Profiling im Sinne von Art. 4 Nr. 4 DSGVO dar. Voice2Evolve zeigt auf der kandidatenseitigen Analyseseite einen kurzen Hinweis an, dass der Coaching-Bericht auch für den Kunden (Recruiter) zur Vorbereitungsunterstützung einsehbar ist. Dieser Hinweis unterstützt die Transparenzpflichten des Kunden nach Art. 22 Abs. 3 DSGVO; der Kunde bleibt für die Bereitstellung jedes weiteren erforderlichen Art.-22-Hinweises und die Implementierung des nach Art. 22 Abs. 2 Buchst. b erforderlichen Überprüfungsmechanismus verantwortlich.

16.6 Ergänzender Verarbeitungszweck

Für die Zwecke von Anlage C (SCC Annex I) und etwaiger DSFAs gilt im Personalvermittlungsmodell folgender zusätzlicher Verarbeitungszweck: Bereitstellung KI-gestützter Vorbereitungssitzungen für Vorstellungsgespräche, die von einem Kunden als Personalvermittlungsagentur organisiert werden; Erstellung von KI-Coaching-Analysen (Live-Sprachaudio während Sitzungen, Transkripte, Sitzungsbewertungen, Verbesserungsempfehlungen), die sowohl dem Kandidaten als auch dem Kunden zur Nachbesprechung und Vorbereitungsunterstützung zugänglich sind, gemäß Abschnitt 16 dieses MDPA.

16.7 Verfügbarkeit in anderen Sprachen

Dieses MDPA ist derzeit auf Englisch, Deutsch und Französisch verfügbar. Italienische und spanische Sprachfassungen existieren noch nicht. Personalvermittlungs-Kunden, deren Vertragssprache Italienisch oder Spanisch ist, sollen die englische Fassung verwenden, die nach der Sprachregelungsklausel dieses MDPA maßgeblich ist.

Dieses MDPA wird elektronisch geschlossen und ist integraler Bestandteil der Vereinbarung. Es wird rechtsverbindlich mit der elektronischen Annahme der Vereinbarung durch den Kunden, einschließlich per Checkbox oder vergleichbarem Mechanismus.