Vertrag über die Auftragsverarbeitung

(1) Dieser Vertrag über die Auftragsverarbeitung („AVV“) gilt zwischen dem Kunden von Pegasus als Verantwortlichem (nachfolgend „Auftraggeber“) und der Pegasus GbR, Daimlerstraße 50, 74211 Leingarten, vertreten durch die geschäftsführenden Gesellschafter Bernd Nutz und Tobias Müller (nachfolgend „Auftragnehmer“).

(2) Der AVV ergänzt den Hauptvertrag über die Nutzung von Pegasus nach den Allgemeinen Geschäftsbedingungen (AGB). Er wird elektronisch geschlossen: Ein Inhaber oder Administrator des Kundenkontos bestätigt ihn in der Web-App unter Einstellungen. Der Auftragnehmer speichert dabei die Version dieses AVV, den Zeitpunkt und die bestätigende Person. Das genügt der elektronischen Form nach Art. 28 Abs. 9 DSGVO.

(3) Bei Widersprüchen geht dieser AVV in Fragen des Schutzes personenbezogener Daten den AGB vor.

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber bei der Nutzung von Pegasus in die Software eingibt, dort entstehen lässt oder über Schnittstellen anbindet. Pegasus umfasst KI-Telefonagenten, CRM-Funktionen (Kontakte, Deals, Tickets, Aufgaben, Termine), E-Mail-Postfach, SMS und WhatsApp, Workflows, Team-Chat, den KI-Assistenten Wingman, die Mobil-App und Pegasus Desktop mit Softphone und Diktieren. Nicht Gegenstand dieses AVV sind die Pegasus-Community und die Pegasus Akademie; dort verarbeitet der Auftragnehmer Daten als eigener Verantwortlicher nach seiner Datenschutzerklärung.

(2) Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet (§ 12).

(3) Art und Zweck der Verarbeitung:

• Speichern, Ordnen, Anzeigen und Durchsuchen von Kunden- und Kontaktdaten im CRM;
• Annehmen und Führen von Telefongesprächen durch KI-Telefonagenten im Auftrag des Auftraggebers, einschließlich Spracherkennung, Sprachausgabe, Gesprächsführung durch Sprachmodelle, Weiterleitung an Mitarbeiter und ausgehender Anrufe, die der Auftraggeber veranlasst;
• Erstellen von Transkripten und Zusammenfassungen, auf Wunsch des Auftraggebers Audioaufzeichnungen (je Agent eingeschaltet, mit einstellbarer Speicherdauer von höchstens 730 Tagen; der Agent fragt zu Beginn nach dem Einverständnis und zeichnet ausschließlich nach einer ausdrücklichen Zustimmung des Anrufers im Gespräch auf; diese Abfrage lässt sich nicht abschalten);
• Auswertung von Gesprächen im Auftrag des Auftraggebers, etwa Anliegen, Stimmung (Sentiment), Interesse und weitere Erkenntnisse (Insights) für Zusammenfassungen, Übersichten und Berichte; die Auswertung von Stimmung und Interesse ist standardmäßig eingeschaltet und lässt sich je Organisation abschalten;
• Modus für sensible Daten (etwa Gesundheitsdaten oder Berufsgeheimnisse), den der Auftraggeber je Organisation einschaltet: keine Audioaufzeichnung, keine Auswertung von Stimmung und Interesse, keine Übernahme von Kontaktdaten aus dem Gespräch, keine Auswertung der Fragen („Agent lernt aus Anrufen“) und Push-Benachrichtigungen sowie E-Mails ohne Gesprächsinhalte;
• Anlegen von Kontakten für unbekannte Anrufer nur, wenn der Anrufer einen Namen oder ein Anliegen nennt oder ein Termin oder Ticket entsteht (abschaltbar); solche Kontakte ohne weitere Aktivität werden nach der eingestellten Frist für Gesprächsinhalte gelöscht;
• ausgehende Anrufkampagnen nur, nachdem der Auftraggeber je Kampagne bestätigt hat, dass für alle Kontakte eine Einwilligung in Anrufe bzw. eine andere Rechtsgrundlage (§ 7 UWG) vorliegt; die Verantwortung dafür liegt beim Auftraggeber, Pegasus speichert die Bestätigung mit Zeitpunkt und Nutzer als Nachweis;
• Datenschutzhinweis der Agenten: Auf Wunsch des Auftraggebers sagen die Agenten einen Datenschutzhinweis an und geben auf Nachfrage Auskunft, wer verantwortlich ist und wo Anrufer weitere Informationen erhalten;
• Mithören laufender Gespräche durch Mitarbeiter des Auftraggebers, wenn der Auftraggeber diese Funktion einschaltet; der Anrufer wird dann zu Beginn des Gesprächs darauf hingewiesen;
• Auswertung der Fragen von Anrufern je Agent zu häufigen Themen und Wissenslücken („Agent lernt aus Anrufen“): Speicherung neutral formulierter Fragen ohne Namen, Rufnummern oder sonstige Kontaktdaten und ohne Bezug zu einzelnen Mitarbeitern; Antworten fließen nur auf Veranlassung des Auftraggebers in die Wissensbasis seines Agenten ein;
• Senden und Empfangen von E-Mails, SMS, WhatsApp- und sonstigen Nachrichten über angebundene Postfächer und Dienste, Kalenderabgleich und Terminbuchung über Integrationen, die der Auftraggeber einrichtet;
• Verarbeitung durch KI-Funktionen wie Wingman (Spracherkennung, Sprachmodell und Sprachausgabe), Zusammenfassungen, Vorschläge und Diktieren (Umwandlung von Sprache in Text);
• Benachrichtigungen per E-Mail und Push, Fehleranalyse, Sicherung und Wiederherstellung.

(1) Arten personenbezogener Daten:

• Stamm- und Kontaktdaten (Name, Firma, Anschrift, Telefonnummer, E-Mail-Adresse, Position);
• Kommunikationsdaten: Rufnummern, Zeitpunkt und Dauer von Gesprächen, Gesprächsinhalte als Audiostrom, Transkript, Zusammenfassung und Auswertung, gegebenenfalls Audioaufzeichnungen, E-Mails, SMS und WhatsApp-Nachrichten, Chat- und Team-Nachrichten, Diktate;
• Vertrags-, Vorgangs- und Termindaten (Deals, Tickets, Aufgaben, Termine, Notizen, Dokumente in der Wissensbasis);
• Nutzerdaten der Mitarbeiter des Auftraggebers (Name, E-Mail, Rolle, Anmelde- und Nutzungsdaten, Gerätekennungen für Push-Benachrichtigungen);
• technische Daten (IP-Adressen, Protokolle, Fehlermeldungen).

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet Pegasus nicht gezielt. Teilen Anrufer solche Daten im Gespräch mit, werden sie wie die übrigen Gesprächsinhalte verarbeitet. Setzt der Auftraggeber Pegasus in Bereichen ein, in denen solche Daten regelmäßig anfallen (etwa im Gesundheitswesen), prüft er die Zulässigkeit selbst und informiert den Auftragnehmer vorab.

(3) Kreis der Betroffenen:

• Kunden, Interessenten, Anrufer, Bewerber und Geschäftspartner des Auftraggebers;
• Beschäftigte und sonstige Nutzer des Auftraggebers (Teammitglieder);
• sonstige Personen, deren Daten der Auftraggeber in Pegasus verarbeitet.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem AVV, den AGB und den Einstellungen, die der Auftraggeber in der Software vornimmt (etwa Agenten, Aufzeichnung, Speicherdauer, Integrationen, Löschungen). Einzelweisungen erteilt der Auftraggeber in Textform an datenschutz@pegasus.hn.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(1) Der Auftragnehmer verarbeitet die Daten nur für die Zwecke dieses AVV, soweit Absatz 5 nichts anderes bestimmt. Er nutzt Gesprächsinhalte, Aufzeichnungen, Transkripte und sonstige Kundendaten nicht, um eigene KI-Modelle zu trainieren, und gibt sie nicht für solche Zwecke an Dritte weiter.

(2) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Sie verarbeiten die Daten nur nach Weisung.

(3) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

(4) Der Ansprechpartner für den Datenschutz beim Auftragnehmer ist unter datenschutz@pegasus.hn erreichbar.

(5) Daten, die bei der Bereitstellung von Pegasus über die Nutzung durch den Auftraggeber und seine Nutzer entstehen (etwa Anmeldungen, Seitenaufrufe und Nutzungszeit je Nutzer, Umfang der genutzten Leistungen, Gesprächsminuten ohne Inhalt, Sicherheits- und Fehlerprotokolle), verarbeitet der Auftragnehmer als eigener Verantwortlicher für eigene Zwecke: Abrechnung, Support, Sicherheit und Missbrauchsabwehr sowie Verbesserung von Pegasus. Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. f DSGVO; Einzelheiten stehen in der Datenschutzerklärung. Gesprächsinhalte, Aufzeichnungen, Transkripte, E-Mails, Nachrichten und sonstige Inhalte des Auftraggebers verarbeitet der Auftragnehmer nicht für eigene Zwecke.

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Abschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2; sie gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform (E-Mail an die Inhaber des Kundenkontos und Hinweis in der App) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. In dringenden Fällen, etwa beim Ausfall eines Dienstleisters oder bei einer Sicherheitslücke, kann die Frist kürzer sein; der Auftragnehmer begründet das in der Mitteilung.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das diesem AVV entspricht, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet gegenüber dem Auftraggeber für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragnehmer als Nebenleistung bei Dritten in Anspruch nimmt, etwa öffentliche Telekommunikationsnetze. Ebenfalls keine Unterauftragsverarbeitung sind Dienste, die der Auftraggeber selbst anbindet und mit denen er eigene Verträge hat (etwa sein eigener SIP-Trunk, sein E-Mail-Postfach oder sein Kalender), sowie der Zahlungsdienstleister Stripe, der Zahlungsdaten als eigener Verantwortlicher verarbeitet.

(1) Datenbank und Dateispeicher von Pegasus liegen in der Europäischen Union (Frankfurt am Main), die Anwendungsserver in Deutschland. Einzelne Unterauftragsverarbeiter verarbeiten Daten auch außerhalb der EU bzw. des EWR, insbesondere in den USA (Anlage 2).

(2) Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-U.S. Data Privacy Framework für zertifizierte Unternehmen) oder der Standardvertragsklauseln der EU-Kommission samt gegebenenfalls erforderlicher zusätzlicher Maßnahmen.

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO) zu beantworten. Vieles davon kann der Auftraggeber selbst in der Software erledigen, etwa Kontakte bearbeiten, exportieren oder löschen. Gelöschte Kontakte liegen 30 Tage im Papierkorb und werden danach endgültig gelöscht.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst, soweit der Auftraggeber nichts anderes anweist.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen zu Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde. Er stellt dafür insbesondere Beschreibungen der Verarbeitung, der Unterauftragsverarbeiter und der Maßnahmen nach Anlage 1 bereit.

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich nach Kenntnis, möglichst innerhalb von 48 Stunden, per E-Mail an die Inhaber des Kundenkontos.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben reicht der Auftragnehmer nach, sobald sie vorliegen.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die Betroffenen zu mindern. Meldungen an Aufsichtsbehörden und Betroffene nimmt der Auftraggeber vor.

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung, etwa die aktuelle Fassung der Anlagen, Auskünfte zu den Maßnahmen sowie Prüfberichte oder Zertifikate der Unterauftragsverarbeiter, soweit verfügbar.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragnehmers ist, kann die Einhaltung dieses AVV überprüfen, auch durch Inspektionen. Inspektionen sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Auftragnehmer kann einen angemessenen Aufwandsersatz verlangen, wenn eine Prüfung nicht durch einen konkreten Anlass, etwa eine Datenschutzverletzung, veranlasst ist.

(1) Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten bis zur Löschung nach Absatz 2, mindestens aber 30 Tage lang, über die Exportfunktion der Software exportieren (Einstellungen der Organisation, ZIP-Datei mit Kontakten, Gesprächen samt Transkripten, Tickets und Aufgaben) oder ihre Herausgabe in einem gängigen Format verlangen.

(2) 90 Tage nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers einschließlich gespeicherter Dateien (etwa Audioaufzeichnungen und Anhänge) und der Nutzerkonten, die keinem anderen Kunden zugeordnet sind, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Er informiert den Auftraggeber 30 und 7 Tage vorher per E-Mail und in der Software; schließt der Auftraggeber vorher einen neuen Vertrag ab, unterbleibt die Löschung. Abrechnungsrelevante Angaben ohne Gesprächsinhalte (Abrechnungszeiträume, Minutensummen) bewahrt der Auftragnehmer für die gesetzlichen Fristen auf; Rechnungen liegen beim Zahlungsdienstleister. Daten in Datensicherungen werden mit dem regulären Ablauf der Sicherungen überschrieben und bis dahin nicht mehr verwendet. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform. Bei einem Zugang ohne kostenpflichtiges Abonnement (etwa einem kostenlosen Zugang oder einem über einen Partner bereitgestellten Zugang ohne Abrechnung) gilt als Vertragsende auch, dass sich 12 Monate lang niemand aus dem Team des Auftraggebers angemeldet hat und seine Agenten keine Gespräche geführt haben (AGB § 12 Abs. 4). In diesem Fall löscht der Auftragnehmer frühestens 30 Tage nach dem ersten Hinweis; jede Anmeldung bis zur Löschung verhindert sie.

(3) Während der Vertragslaufzeit löscht die Software Daten nach den Einstellungen des Auftraggebers: Gesprächsinhalte (Transkripte und Nachrichten von Anrufen und Chats sowie deren Zusammenfassungen) und die Inhalte abgeschlossener Tickets (Betreff, Beschreibung, Notizen, Kommentare und KI-Zusammenfassung; die Frist beginnt mit der Schließung, offene Tickets bleiben vollständig erhalten) nach der eingestellten Frist von 3, 6, 12 oder 24 Monaten (Standard 12 Monate), ausgewertete Fragen von Anrufern („Agent lernt aus Anrufen“) nach derselben Frist ab der letzten Nachfrage, Audioaufzeichnungen nach der je Agent eingestellten Speicherdauer, höchstens aber nach dieser Frist. Kontakte, die der Auftraggeber löscht, liegen 30 Tage im Papierkorb und werden danach endgültig gelöscht. Nachrichten im Team-Chat werden nach 12 Monaten gelöscht; Nutzer können eigene Nachrichten vorher löschen. Zeitpunkt, Dauer, Richtung und Ergebnis eines Gesprächs sowie Nummer, Status, Zeiten, Zuständigkeit und Kategorie eines Tickets bleiben für Abrechnung und Statistik erhalten; Rufnummern darin werden gekürzt. E-Mails sind ausgenommen, auch wenn sie einem Ticket zugeordnet sind, weil sie aufbewahrungspflichtige Geschäftsbriefe sein können; sie löscht der Auftraggeber selbst.

(4) Der Auftragnehmer setzt eine Löschung nach den Absätzen 2 und 3 aus, solange der Auftraggeber dies anweist oder eine gesetzliche Pflicht oder eine behördliche oder gerichtliche Anordnung die Aufbewahrung verlangt.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Der Auftragnehmer kann diesen AVV ändern, soweit das wegen geänderter Rechtslage, Rechtsprechung oder behördlicher Vorgaben erforderlich ist oder das Schutzniveau nicht verringert. Er informiert den Auftraggeber in Textform und bittet ihn in der App, die neue Fassung zu bestätigen. Änderungen der Unterauftragsverarbeiter richten sich nach § 6.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Heilbronn. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

• Zugang und Zugriff: Anmeldung mit E-Mail und Passwort (Passwortregeln) oder über Google bzw. Microsoft; Rollen je Kundenkonto (Inhaber, Administrator, weitere Rollen); Mandantentrennung in der Datenbank über Zeilenrechte (Row Level Security), deren Regeln automatisiert getestet werden; administrative Zugänge des Auftragnehmers nur für berechtigte Personen, Zugriffe im Support werden protokolliert.
• Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS); Datenbank und Dateispeicher beim Hoster verschlüsselt gespeichert (Encryption at Rest); Zugangsdaten für angebundene Dienste (etwa SIP-Trunks) zusätzlich verschlüsselt abgelegt; Schlüssel der Server liegen in Umgebungsvariablen, nicht im Quellcode.
• Datenminimierung und Pseudonymisierung: Fehlerberichte und Protokolle werden um Inhalte wie Telefonnummern, E-Mail-Adressen und Gesprächstexte bereinigt, soweit technisch möglich; IP-Adressen für den Missbrauchsschutz werden nur als Hashwert gespeichert; Audioaufzeichnungen sind je Agent standardmäßig ausgeschaltet.
• Integrität: Änderungen an Agenten werden versioniert; Eingaben werden serverseitig geprüft; die Zuordnung zu einem Kundenkonto ermittelt der Server und übernimmt sie nie ungeprüft vom Client.
• Verfügbarkeit und Belastbarkeit: regelmäßige Datensicherungen der Datenbank beim Hoster; Überwachung der Dienste und Fehleranalyse; Begrenzung gleichzeitiger Gespräche und Missbrauchsschutz gegen Überlastung; Updates der Sprachdienste ohne Abbruch laufender Gespräche.
• Wiederherstellbarkeit: Wiederherstellung aus Datensicherungen; dokumentierte Abläufe für Ausrollen und Rückweg.
• Verfahren zur Überprüfung: Sicherheitsprüfungen und Code-Reviews, automatisierte Tests der Zugriffsregeln, regelmäßige Überprüfung der Unterauftragsverarbeiter.
• Auftragskontrolle: Verträge zur Auftragsverarbeitung bzw. Datenverarbeitungsbedingungen mit allen Unterauftragsverarbeitern; Nutzung von Geschäftskunden-Schnittstellen der KI-Anbieter, bei denen Eingaben nach deren Bedingungen nicht zum Training verwendet werden.

Stand der Liste: Oktober 2026. Änderungen kündigt der Auftragnehmer nach § 6 Abs. 2 an. Dieselbe Liste steht in der Datenschutzerklärung.