DSGVO und Auftragsverarbeitungsvertrag

Sprecho wird in Deutschland von der Melo Designer GmbH entwickelt und betrieben. Die DSGVO war dabei die Ausgangsbedingung und nicht etwas, das nachträglich angebaut wurde. Dieser Artikel benennt die Rollen, den Inhalt des Auftragsverarbeitungsvertrags und den Weg zum unterschriftsreifen Dokument.

Wenn du einen Lieferantenfragebogen ausfüllst, ist das Trust Center der schnellere Weg — dort liegen die zugrunde liegenden Dokumente.

Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Nutzt dein Unternehmen Sprecho beruflich, ist dein Unternehmen Verantwortlicher für alles, was deine Leute diktieren, und die Melo Designer GmbH ist Auftragsverarbeiterin, die ausschließlich nach deinen dokumentierten Weisungen handelt. Genau dieses Verhältnis regelt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Für die Website sprecho.ai selbst und für private Konten ist die Melo Designer GmbH Verantwortliche. Diesen Teil deckt die Datenschutzerklärung ab.

Wie bekomme ich den AVV für mein Unternehmen?

1. Öffne das Trust Center und klicke auf Zugang anfordern.
2. Gib deine geschäftliche E-Mail-Adresse an. Private Postfächer werden nicht akzeptiert — die Unternehmensdomain ist das, was die Prüfung möglich macht.
3. Bestätige den sechsstelligen Code aus der E-Mail. Verifizierte Unternehmensdomains werden automatisch freigeschaltet, meist innerhalb von Minuten; alles andere geht in die manuelle Prüfung.
4. Melde dich über den zugesandten Link an und lade den AVV aus der Liste Dokumente herunter.

Wenn du es lieber per E-Mail erledigst oder eine kundenspezifische Fassung brauchst, schreib an dpo@sprecho.ai und nenne die Firmierung und Anschrift, die im Vertrag stehen soll.

Ein AVV ist keine Vorbedingung, um Sprecho zu testen. Der Vertrag ist bereits ausformuliert, wird auf Deutsch und Englisch aus einer gemeinsamen Quelle gepflegt — die Fassungen können also nicht auseinanderlaufen — und deckt eine Testphase genauso ab wie den Produktivbetrieb.

Was der Vertrag regelt

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und personenbezogener Daten — der Mindestinhalt nach Art. 28 Abs. 3.
• Die technischen und organisatorischen Maßnahmen (Art. 32): Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle sowie die Mechanismen zur Aufbewahrung und Löschung.
• Anlage B, die Liste der Subdienstleister. Sie ist identisch mit der im Trust Center veröffentlichten Liste; wesentliche Änderungen werden mit einer Vorlaufzeit von mindestens 30 Tagen schriftlich mitgeteilt, sodass du widersprechen oder kündigen kannst.
• EU-Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) und ein UK-Addendum, damit die Unterlagen auch dort vollständig sind, wo sie nicht zwingend nötig wären.
• Unterstützung bei Betroffenenanfragen, Meldung von Datenschutzverletzungen, Prüfrechte und der Umgang mit den Daten bei Vertragsende.

Branchenspezifische Anlagen gibt es auf Anfrage: ein DORA-Addendum für EU-Finanzunternehmen und ein Addendum zum revidierten Schweizer DSG.

Wo verarbeitet wird

Die gesamte Verarbeitung findet innerhalb der EU beziehungsweise des EWR statt — Anwendung, Datenbank und Dateispeicher in Deutschland, GPU-Inferenz in Deutschland und den Niederlanden. Alle Subdienstleister sitzen in der EU oder im EWR. Eine Drittlandsübermittlung ist damit nicht zu bewerten, und es ist kein Transfer Impact Assessment zu erstellen.

Ein KI-Anbieter Dritter ist nicht beteiligt. Spracherkennung und Formatierung laufen auf von Sprecho betriebener Infrastruktur; Audio, Transkripte und Kontodaten werden nicht an externe KI-Dienste weitergegeben. Audio und Transkripte werden für kein Modell zum Training verwendet.

Die vollständige Übersicht steht unter wo Sprecho läuft und wer deine Daten verarbeitet.

Betroffenenrechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung gelten uneingeschränkt, und Sprecho setzt sie direkt im Produkt um, nicht nur auf dem Papier:

• Löschung — Selbstbedienung, sofort wirksam. Siehe Daten oder Konto löschen.
• Datenminimierung — die Speicherung von Transkripten und Audio lässt sich vollständig abschalten, serverseitig durchgesetzt. Siehe Speicherung von Text und Audio abschalten.
• Auskunft und Übertragbarkeit — Export über dpo@sprecho.ai anfordern; die Zustellung erfolgt als signierter Download-Link an die bestätigte Adresse.

Als Verantwortlicher kannst du deine Beschäftigten auch direkt auf diese beiden Artikel verweisen — sie beantworten die meisten internen Rückfragen, ohne dass dein Datenschutzteam eingebunden werden muss.

Anfragen an dpo@sprecho.ai werden innerhalb von 30 Tagen bearbeitet. Das Recht, dich jederzeit bei deiner Aufsichtsbehörde zu beschweren, bleibt davon unberührt.