Stand: 30. September 2026
zwischen
dem Kunden von Meldedirekt – dem Salon oder sonstigen Betrieb, der diesen Vertrag in Textform oder bei der Online-Freischaltung annimmt, mit Name und Anschrift aus seiner Annahmeerklärung – nachfolgend „Verantwortlicher“ –
und
Vladyslav Lysytskyi, handelnd unter „Meldedirekt“ (Einzelunternehmen), Ismaninger Straße 136, 81675 München – nachfolgend „Auftragsverarbeiter“ –
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung des Dienstes „Meldedirekt“ – der automatisierten Entgegennahme von Telefonanrufen, die beim Verantwortlichen nicht persönlich angenommen werden können, durch einen digitalen Sprachassistenten, sowie der Weiterleitung der dabei aufgenommenen Anfragen per SMS an den Verantwortlichen; je nach Tarif außerdem der Beantwortung von Fragen der anrufenden Person anhand vom Verantwortlichen hinterlegter Angaben (Öffnungszeiten, Adresse, Preise) und des Versands einer SMS-Bestätigung an die anrufende Person.
(2) Dieser Vertrag ergänzt die Nutzungsbedingungen von Meldedirekt und gilt für die Dauer der Nutzung einschließlich des kostenlosen Testzeitraums. Endet die Nutzung, endet auch dieser Vertrag, unbeschadet der Pflichten aus § 9.
(3) Der Vertrag kommt zustande, wenn der Verantwortliche ihn zusammen mit den Nutzungsbedingungen in Textform annimmt – etwa mit der Nachricht „Ja, einverstanden“ per WhatsApp oder E-Mail unter Angabe von Name und Anschrift seines Betriebs – oder wenn er bei der Online-Freischaltung unter meldedirekt.de/los Name und Anschrift seines Betriebs angibt, das Häkchen setzt und die Freischaltung abschließt; der Auftragsverarbeiter speichert dazu Zeitpunkt, Angaben und die angenommene Fassung (jeweils elektronisches Format nach Art. 28 Abs. 9 DSGVO). Maßgeblich ist die zu diesem Zeitpunkt unter dieser Adresse abrufbare Fassung. Auf Wunsch erhält der Verantwortliche den Vertrag zusätzlich als PDF zur Unterschrift.
(1) Art und Zweck: Entgegennahme eingehender Anrufe, die auf eine vom Verantwortlichen beim Telefonanbieter eingerichtete Rufumleitung bei Nichtmelden zur Rufnummer des Auftragsverarbeiters geleitet werden; Spracherkennung und automatisierte Gesprächsführung durch ein KI-Sprachmodell; automatisierte Zusammenfassung des Anliegens; Versand dieser Zusammenfassung per SMS an eine vom Verantwortlichen benannte Rufnummer; in den Tarifen Standard und Team außerdem Versand einer SMS mit der Anfrage an die deutsche Mobilfunknummer, von der die anrufende Person angerufen hat. Auf Weisung des Verantwortlichen zusätzlich oder statt der SMS: Benachrichtigung des Verantwortlichen im Messenger Telegram mit Anliegen, Wunschzeit und einem Link; Name und Rufnummer der anrufenden Person gehen nicht über Telegram, sondern werden auf dem Server des Auftragsverarbeiters zum Abruf über diesen Link bereitgehalten. Auf Weisung des Verantwortlichen statt der SMS: Benachrichtigung über die WhatsApp Business Platform von Meta an eine vom Verantwortlichen benannte WhatsApp-Nummer mit denselben Angaben wie die SMS; schlägt die Zustellung fehl oder wird sie nicht innerhalb von zehn Minuten bestätigt, wird die Anfrage zusätzlich per SMS gesendet. Eine Kopie der Anfrage per E-Mail ist nicht Teil der Leistung.
(2) Kategorien personenbezogener Daten:
(3) Kategorien betroffener Personen: anrufende Kundinnen und Kunden des Verantwortlichen; Mitarbeitende bzw. der Verantwortliche selbst als Empfänger der SMS-Benachrichtigung (deren Mobilfunknummer wird hierfür verarbeitet). In den Tarifen Standard und Team ist die anrufende Person zugleich Empfängerin der SMS-Bestätigung.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Konfiguration des Dienstes durch den Verantwortlichen (z. B. hinterlegte Empfängernummer für SMS, Ruhezeiten, hinterlegte Angaben zum Betrieb) gilt als dokumentierte Weisung.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Beim Auftragsverarbeiter als Einzelunternehmen verarbeitet der Inhaber selbst; werden künftig weitere Personen mit Zugriff auf die Daten betraut, gilt dies entsprechend.
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Wesentliche Änderungen, die das Schutzniveau senken, teilt er dem Verantwortlichen vorab mit.
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, informiert er den Verantwortlichen vorab in Textform (z. B. E-Mail oder WhatsApp). Der Verantwortliche kann dieser Änderung innerhalb von 14 Tagen aus berechtigtem Grund widersprechen; einigen sich die Parteien nicht, kann jede Partei den von der Änderung betroffenen Teil der Leistung zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
(3) Der Auftragsverarbeiter legt den Unterauftragsverarbeitern im Wege eines Vertrags oder anderen Rechtsinstruments die gleichen Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO), etwa durch zeitnahe Auskunft darüber, welche Daten zu einem bestimmten Anruf verarbeitet wurden bzw. – soweit der Gesprächstext bereits gelöscht ist – dass er nicht mehr vorliegt.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
(2) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die die im Rahmen dieses Vertrags verarbeiteten Daten betrifft, meldet er dies dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntniserlangung, mit den ihm bekannten Angaben zu Art, Umfang und wahrscheinlichen Folgen der Verletzung sowie den ergriffenen oder vorgeschlagenen Maßnahmen.
Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Rahmen dieses Vertrags verarbeitet wurden, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Speicherung der Daten vorschreibt. Da der Gesprächstext bereits im laufenden Betrieb nicht dauerhaft gespeichert wird (§ 2 und Anlage 1) und die SMS-Warteschlange sich spätestens nach 24 Stunden automatisch leert, betrifft dies in der Praxis vor allem die Konfigurationsdaten des Verantwortlichen (hinterlegte Rufnummern, Ruhezeiten, Angaben zum Betrieb) und ggf. verbliebene Protokolldaten nach Anlage 1.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt zu diesen bei. Vor-Ort-Kontrollen sind mit angemessenem zeitlichem Vorlauf (mindestens zwei Wochen) anzukündigen und auf das für den Nachweis Erforderliche zu beschränken; angesichts der Größe des Auftragsverarbeiters (Einzelunternehmen) kann die Nachweiserbringung auch schriftlich bzw. per Selbstauskunft erfolgen, soweit dies für den Verantwortlichen ausreichend ist.
(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
(2) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, München.
Stand 19.09.2026, am Code und auf dem Server geprüft (Firewall, Dienstkonfiguration, Dateirechte, Protokollfristen). Nur real umgesetzte Maßnahmen; bei Änderungen am Code oder an der Serverkonfiguration wird diese Anlage aktualisiert.
Nicht umgesetzt bzw. nicht geprüft sind unter anderem: eine gesonderte Festplattenverschlüsselung über die Voreinstellung des Hosters hinaus, ein Penetrationstest, eine formale Zutrittskontrolle zum Rechenzentrum über die vertraglichen Zusagen von Hetzner hinaus sowie eine Zwei-Faktor-Absicherung des SSH-Zugangs über den Schlüssel hinaus.
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland – Hosting des Servers. Deutschland, keine Drittlandübermittlung.
Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland – Spracherkennung, gesprochene Antwort (Gemini Live API) und automatisierte Zusammenfassung der Anfrage (Gemini-Textmodell), jeweils kostenpflichtiger Tarif; Google speichert Ein- und Ausgaben bis zu 55 Tage ausschließlich zur Missbrauchserkennung und nutzt sie im kostenpflichtigen Tarif nicht zur Verbesserung seiner Produkte. Verarbeitung nach dem „Data Processing Addendum for Products Where Google is a Data Processor“; Übermittlung in die USA gestützt auf das EU-U.S. Data Privacy Framework (Google LLC), hilfsweise EU-Standardvertragsklauseln.
Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate – nur wenn der Verantwortliche die Zustellung über Telegram wählt: Übermittlung von Anliegen und Wunschzeit sowie des Links an den Verantwortlichen. Name und Rufnummer der anrufenden Person werden Telegram nicht übermittelt; eine Vorschau des Links wird nicht erzeugt.
Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland – nur wenn der Verantwortliche die Zustellung über WhatsApp wählt: Versand der Anfrage über die WhatsApp Business Platform (Cloud API) nach den Datenverarbeitungsbedingungen von Meta für die WhatsApp Business Platform; Meta speichert die Nachrichten bis zu 30 Tage, um die Zustellung sicherzustellen. Übermittlung in die USA gestützt auf das EU-U.S. Data Privacy Framework (Meta Platforms, Inc.), ergänzend EU-Standardvertragsklauseln.
Telnyx LLC, 901 South 2nd St. Ste #201, Springfield, IL 62704, USA – Versand der SMS an den Verantwortlichen und – in den Tarifen Standard und Team – der SMS-Bestätigung an die anrufende Person; der SMS-Text wird bei Telnyx bis zu 10 Tage gespeichert. USA – Zertifizierung unter dem EU-U.S. Data Privacy Framework (im Register am 19.09.2026 als aktiv geprüft); Data Processing Addendum von Telnyx mit EU-Standardvertragsklauseln.
Rufnummer und Telefonleitung stellt die easybell GmbH, Brückenstraße 5a, 10179 Berlin, als eigenständiger Anbieter von Telekommunikationsdiensten bereit; sie ist nicht Unterauftragsverarbeiter im Sinne dieses Vertrags.
← Zur Startseite