Auftragsverarbeitungsvertrag (AVV) – Stand: September 2026

Hinweis für Geschäftskunden (gewerblich)

GrischaVoice verarbeitet im Rahmen der Software-as-a-Service-Leistung Personendaten von Endkunden unserer Geschäftskunden (z. B. Telefonnummern, SMS-/Dialog-Inhalte, Namen, Anliegen). Soweit der Anbieter dabei als Auftragsverarbeiter und der Geschäftskunde als Verantwortlicher handelt, bedarf es nach Schweizer DSG und – soweit anwendbar – DSGVO Art. 28 einer Vereinbarung zur Auftragsverarbeitung.

Mit der Registrierung, dem Vertragsschluss bzw. der Nutzung des Dienstes bestätigt der Geschäftskunde, dass:

1. er Unternehmer ist und den Dienst nicht zu privaten Zwecken nutzt;

2. er für die Rechtmässigkeit der Übermittlung und Verarbeitung der Endkundendaten verantwortlich ist (Informationspflichten, Einwilligungen, Telekommunikations-/Werberecht);

3. die nachfolgenden Bestimmungen als AVV gelten, soweit nicht eine individuelle schriftliche Vereinbarung etwas anderes regelt.

Für eine unterzeichnete Fassung oder Anpassungen (z. B. TOMs-Anhang, Unterauftragsverarbeiter-Liste) kontaktieren Sie: grischavoice@gmail.com.

Vereinbarung zur Auftragsverarbeitung

zwischen

dem jeweiligen Geschäftskunden von GrischaVoice

(nachfolgend «Verantwortlicher») – das ist das Unternehmen bzw. die natürliche Person, die ein GrischaVoice-Konto registriert und den Dienst nutzt, mit den bei der Registrierung und in den Firmeneinstellungen hinterlegten Angaben (insbesondere Firmenname, Inhabername, Kontakt-E-Mail und Geschäftsadresse bzw. Kontaktangaben).

und

Magnus Sparrholm

Gäuggelistrasse 7

7000 Chur

Schweiz

E-Mail: grischavoice@gmail.com

Marke / Dienst: GrischaVoice (Mitwirkung am Produkt: Gustav Sparrholm)

(nachfolgend «Auftragsverarbeiter»)

gemeinsam die «Parteien».

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung von Personendaten im Zusammenhang mit der Nutzung der Plattform GrischaVoice (Konto, Übersicht, Sprachanrufe inkl. Smart-Routing und Sprach-KI, SMS, optional WhatsApp soweit aktiviert und plattformseitig bereit, Nachfass-Kommunikation, Website-Einbindung/Widget, Web-Push, Benachrichtigungen, Abrechnungsschnittstellen).

(2) Die Dauer entspricht der Vertragslaufzeit des Hauptvertrags (AGB / Abo; Preise u. a. CHF 129.00 / Monat bzw. CHF 1'290.00 / Jahr gemäss Checkout) zuzüglich gesetzlich oder vertraglich vorgesehener Nachlaufzeiten (Löschung, Aufbewahrung).

§ 2 Art und Zweck der Verarbeitung

Zweck: Bereitstellung eines digitalen Assistenten für Sprachanrufe, SMS, optional WhatsApp, Erfassung von Anfragen, Übersicht, Website-Einbindung und zugehörige Betriebsfunktionen unter der Marke GrischaVoice. Zusätzliche Preview-/Beta-Module gehören nur dann zum Gegenstand, soweit sie tatsächlich freigeschaltet und genutzt werden; für Preview-Module besteht keine Verfügbarkeitsgarantie (vgl. AGB § 4). Ein vollautomatischer WhatsApp-Dialog ist nicht Gegenstand, soweit er nicht ausdrücklich freigeschaltet ist.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln, Verändern, Löschen, Pseudonymisieren soweit technisch vorgesehen; Übermittlung an KI-, Telefonie-/SMS-/WhatsApp- und sonstige Infrastrukturdienstleister zur Leistungserbringung; ggf. Speicherung von Anruftranskripten, Zusammenfassungen und – soweit aktiviert – Aufzeichnungsreferenzen.

§ 3 Art der Personendaten und Kategorien betroffener Personen

Datenarten (je nach Nutzung):

Kontaktdaten (Name, Telefonnummer, E-Mail), Kommunikationsinhalte (Sprachanrufe/Transkripte, SMS, WhatsApp, Dialog), Anruf- und Nachrichten-Metadaten (Zeitstempel, Status, externe IDs), Firmeneinstellungen des Verantwortlichen, technische Protokolle.

Betroffene:

Anrufer sowie SMS-/WhatsApp- bzw. Dialognutzer und Website-Besucher des Verantwortlichen; Mitarbeitende des Verantwortlichen mit Zugang zur Übersicht; ggf. weitere vom Verantwortlichen eingegebene Personen.

Keine besonderen Kategorien von Personendaten (DSGVO Art. 9 / besonders schützenswerte Personendaten nach DSG) sind bestimmungsgemäss Gegenstand. Der Verantwortliche verpflichtet sich, solche Daten (insbesondere Gesundheits-, Diagnose-, Therapie- oder Rezeptdaten) nicht unbefugt in den Dienst einzuspeisen. Erfolgt dies dennoch ohne gesonderte schriftliche Vereinbarung, geschieht dies allein auf Risiko und Weisung des Verantwortlichen; der Auftragsverarbeiter darf den Dienst sperren oder die betroffenen Daten löschen bzw. die Verarbeitung einstellen.

§ 4 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet Personendaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, eine Pflicht nach schweizerischem oder Unionsrecht verpflichtet ihn dazu.

(2) Die Nutzung der Plattformfunktion (Einstellungen, Aktivierung des Assistenten, Website-Einbindung) gilt als Weisung im Rahmen der Produktbeschreibung von GrischaVoice.

(3) Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform (E-Mail an grischavoice@gmail.com genügt).

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter Magnus Sparrholm (GrischaVoice):

• stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
• trifft angemessene technische und organisatorische Massnahmen (TOMs) entsprechend Risiko und Stand der Technik;
• unterstützt den Verantwortlichen angemessen bei Betroffenenanfragen und bei Datenschutz-Folgenabschätzungen, soweit die Informationen beim Auftragsverarbeiter liegen;
• meldet Verletzungen des Schutzes Personendaten dem Verantwortlichen ohne unangemessene Verzögerung, nachdem er davon Kenntnis erlangt hat, und in der Regel innerhalb von 72 Stunden, soweit ihm die für eine Meldung erforderlichen Tatsachen vorliegen (DSGVO Art. 33 Abs. 2 analog; DSG Art. 24 bleibt für die Meldepflicht des Verantwortlichen gegenüber dem EDÖB massgeblich). Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Massnahmen;
• löscht oder gibt nach Ende der Auftragsverarbeitung die Personendaten nach Wahl des Verantwortlichen zurück – vorbehaltlich gesetzlicher Aufbewahrungspflichten – und löscht vorhandene Kopien, soweit zumutbar und technisch möglich.

§ 6 Pflichten des Verantwortlichen

Der Verantwortliche:

• ist für die Rechtmässigkeit der Verarbeitung und die Information der Betroffenen verantwortlich;
• erteilt nur rechtmässige Weisungen;
• stellt sicher, dass Anruf-/SMS-/WhatsApp-/Dialog-Einsatz (inkl. ggf. Aufzeichnungen und Nachfass-Nachrichten) gegenüber Endkunden rechtlich zulässig ist;
• konfiguriert den Dienst (Firmendaten, Wissensbasis, Bewertungslinks) so, dass keine unnötigen Personendaten verarbeitet werden.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern, die für den Betrieb von GrischaVoice erforderlich sind. Die namentlich bekannten Unterauftragsverarbeiter und Empfängerstaaten stehen in der Datenschutzerklärung Ziff. 7–8. Insbesondere:

• Hosting / App: Vercel Inc. (USA / Edge weltweit)
• Datenbank / Auth: Supabase Inc. (typischerweise EU-Region; Konzernsitz USA)
• Zahlungsabwicklung: Stripe (USA / Irland)
• Telefonie / SMS / optional WhatsApp: Twilio Inc. (USA)
• Echtzeit-Sprache: Vapi Inc. (USA), Cartesia AI, Inc. (USA), LiveKit, Inc. (USA / regionale Cloud)
• KI-Text: OpenAI (USA / Irland)
• Sprachmodelle Google (USA) soweit über den Telefonie-Anbieter oder einen Fallback genutzt
• Terminbuchung optional: Cal.com / cal.eu mit Anbindung an Google Calendar bzw. Microsoft Outlook — nur bei aktivierter Kalenderfunktion
• Rate-Limiting: Upstash Inc. (USA / gewählte Region; keine Gesprächsinhalte)
• Bot-Schutz: Cloudflare, Inc. (USA / Edge; Turnstile)
• E-Mail: Resend, Inc. (USA); SendGrid nur als vergleichbarer Ersatz
• optional cookieless Webstatistik: Plausible Insights OÜ (Estland), soweit konfiguriert
• Web-Push: jeweiliger Browser-/OS-Pushdienst (z. B. Google FCM, Apple APNs)
• Fehlerüberwachung: Functional Software, Inc. / Sentry (USA / EU-Region, soweit aktiviert)
• optionales TTS-Fallback: ElevenLabs Inc. (USA), nur soweit ein Fallback genutzt wird

(2) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die dem Schutzniveau dieser Vereinbarung im Wesentlichen entsprechen.

(3) Wesentliche Änderungen der Unterauftragsverarbeiter teilt der Auftragsverarbeiter in geeigneter Form mit (z. B. Aktualisierung dieser Seite oder Hinweis im Produkt). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; bei Widerspruch können die Parteien den Hauptvertrag ausserordentlich beenden, ohne dass eine Rückerstattungspflicht entsteht, soweit die AGB dies vorsehen.

§ 8 Internationale Datenübermittlungen

Soweit eine Übermittlung in Staaten ohne angemessenes Datenschutzniveau erfolgt (namentlich USA), stellt der Auftragsverarbeiter – soweit erforderlich – geeignete Garantien sicher: Swiss-U.S. Data Privacy Framework soweit der Empfänger zertifiziert ist, sonst vom EDÖB anerkannte Standardvertragsklauseln (DSG Art. 16 Abs. 2 lit. d) oder eine gesetzliche Ausnahme (Art. 17 DSG). Die Empfängerstaaten sind in der Datenschutzerklärung Ziff. 8 genannt.

§ 9 Technische und organisatorische Massnahmen (Überblick)

Ohne Anspruch auf Vollständigkeit: Zugangskontrollen und Authentifizierung; Verschlüsselung der Übertragung (TLS/HTTPS); Passwort-Hashing; rollenbasierte Zugriffe; Protokollierung sicherheitsrelevanter Ereignisse; Sicherungs-/Wiederherstellungskonzepte der Infrastrukturanbieter; Zugriffsbeschränkung und Missbrauchsschutz.

Eine detaillierte TOM-Liste kann auf Anfrage bei grischavoice@gmail.com bereitgestellt werden.

§ 10 Kontrollrechte

(1) Der Verantwortliche darf sich – nach angemessener Vorankündigung (mindestens zehn Werktage) und unter Wahrung von Betriebs- und Geschäftsgeheimnissen – von der Einhaltung dieser Vereinbarung überzeugen lassen, z. B. durch Auskünfte, vorhandene Zertifizierungen/Berichte der Infrastruktur oder, in begründeten Fällen, Audits.

(2) Audits finden in der Regel nicht häufiger als einmal jährlich statt, es sei denn, ein dokumentierter Datenschutzvorfall rechtfertigt dies. Audits erfolgen während üblicher Geschäftszeiten, stören den Betrieb nicht unverhältnismässig und dürfen keine Rohdaten Dritter ohne Notwendigkeit einsehen.

(3) Kosten: Zeigt das Audit keinen wesentlichen Verstoss des Auftragsverarbeiters gegen diese Vereinbarung, trägt der Verantwortliche die angemessenen Kosten des Audits (einschliesslich interner Aufwände des Auftragsverarbeiters zu marktüblichen Sätzen). Andernfalls trägt der Auftragsverarbeiter seine eigenen, nachweisbaren Mehrkosten.

§ 11 Haftung und Freistellung

(1) Die Haftung richtet sich nach dem Hauptvertrag (AGB von GrischaVoice, insbesondere zu Preview, Haftungsbeschränkung, KI und Drittanbietern) und dem anwendbaren Schweizer Recht (u. a. Obligationenrecht).

(2) Soweit gesetzlich zulässig, gelten die Haftungsausschlüsse und -höchstbeträge der AGB auch für datenschutzbezogene Ansprüche zwischen den Parteien, einschliesslich Ansprüchen wegen Ausfällen oder Fehlern von Unterauftragsverarbeitern/Drittanbietern (z. B. OpenAI, Vapi, Cartesia, LiveKit, Twilio, Supabase, Vercel), soweit der Auftragsverarbeiter nicht vorsätzlich oder grob fahrlässig gehandelt hat.

(3) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Betroffener und Behörden frei, soweit diese darauf beruhen, dass der Verantwortliche rechtswidrige Weisungen erteilt, erforderliche Einwilligungen/Informationen unterlassen, besondere Kategorien von Personendaten ohne Vereinbarung eingespeist oder den Dienst entgegen den AGB missbraucht hat – ausgenommen Vorsatz und grobe Fahrlässigkeit des Auftragsverarbeiters.

(4) Ansprüche betroffener Personen gegen den jeweils Verantwortlichen bleiben unberührt, soweit zwingend. Eine weitergehende Freistellungspflicht des Auftragsverarbeiters besteht nur im Rahmen der AGB und des zwingenden Rechts.

§ 12 Schlussbestimmungen

(1) Es gilt Schweizer Recht. Ausschliesslicher Gerichtsstand ist Chur, Schweiz, soweit gesetzlich zulässig.

(2) Bei Widersprüchen zwischen AGB und diesem AVV gehen für den Datenschutz der Auftragsverarbeitung die Regelungen dieses AVV vor; im Übrigen gehen die AGB vor.

(3) Salvatorische Klausel: Unwirksame Bestimmungen werden durch wirksame ersetzt, die dem wirtschaftlichen und rechtlichen Zweck sowie dem gesetzlich zulässigen Betreiberschutz am nächsten kommen.

Auftragsverarbeiter / Kontakt

Magnus Sparrholm

Gäuggelistrasse 7, 7000 Chur, Schweiz

E-Mail: grischavoice@gmail.com

Marke: GrischaVoice (Mitwirkung: Gustav Sparrholm)