Auftragsverarbeitungsvertrag

Version 2026-05-20

Entwurf / Platzhalter. Dieses Dokument ist ein Ausgangspunkt und steht unter juristischem Prüfvorbehalt. Mid-Market-Kunden, die einen gegengezeichneten AVV benötigen, sollten an teams@trueings.com schreiben. Wir stellen die aktuelle, anwaltlich geprüfte Fassung auf Anfrage bereit.

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt das Master Subscription Agreement zwischen Trueings und Ihrer Organisation. Er regelt, wie personenbezogene Daten verarbeitet werden, wenn Ihre Organisation am Trueings-B2B2C-Kanal teilnimmt.

1. Rollen und Verantwortlichkeiten

Ihre Mitarbeitenden sind die betroffenen Personen, deren personenbezogene Daten durch Trueings fließen. Sie (die Organisation) sind der Käufer des Lizenzpools; Trueings ist der Verantwortliche für die Kontodaten der Mitarbeitenden und die Feedback-Inhalte; Ihre Mitarbeitenden sind ebenfalls Verantwortliche in Bezug auf ihre eigenen Konten und die Personen, die sie zur Antwort einladen.

Ihre Organisation hat keinen Zugriff auf die Feedback-Inhalte der Mitarbeitenden. Der AVV bestätigt diese Grenze schriftlich.

2. Was wir im Auftrag Ihrer Mitarbeitenden verarbeiten

Kontodaten: die gewählte Konto-E-Mail jedes einlösenden Mitarbeitenden, Anzeigename, Land, Beruf und der Arbeitgeber-Zugehörigkeitsnachweis (geschäftliche E-Mail + Arbeitgeber-Anzeigename, lizenzgebundenes aktives Zeitfenster).
Feedback-Inhalte: Gesprächsbeiträge aus Interviews von Befragten, die der Mitarbeitende einlädt, gespeichert als rohe Transkripte für bis zu 30 Tage nach der Synthese, dann automatisch gelöscht.
Synthetisierte Ausgabe: der anonymisierte, vertraulichkeitsgefilterte Bericht, der nur dem Mitarbeitenden zugänglich ist.

3. Vertraulichkeitsgrenze

Ihre Organisation erhält nur aggregierte, inhaltsblinde Kennzahlen (Einlösequote, Abschlussquote, Werkzeug-Zufriedenheits-NPS, sobald erhoben). Ihre Organisation wird nicht versuchen, festzustellen, welcher Mitarbeitende welche Lizenz eingelöst hat, noch aus Engagement-Daten auf Feedback-Inhalte zu schließen, noch Mitarbeitende zu zwingen, ihre Berichte zu teilen.

4. Auftragsverarbeiter

Wir nutzen die folgenden Auftragsverarbeiter. Die Liste spiegelt die aktiv eingesetzten Anbieter wider; wesentliche Änderungen werden mit einer Frist von mindestens dreißig Tagen mitgeteilt.

Supabase: verwaltetes Postgres und passwortlose Authentifizierung. EU-Region.
Anthropic: Large-Language-Model-Inferenz. In den USA gehostet; Übermittlungen durch Standardvertragsklauseln abgedeckt. Eine Zero-Retention-Vereinbarung gilt für den Datenverkehr unserer Organisation, sodass Inhalte über die Inferenz hinaus nicht aufbewahrt und nicht zum Training verwendet werden.
Resend: Zustellung transaktionaler E-Mails. EU-Region.
Stripe: Zahlungsabwicklung für kostenpflichtige Tarife. Wir speichern keine Kartendaten.

5. Aufbewahrung

Rohe Gesprächstranskripte: automatisch dreißig Tage nach Abschluss des Berichts jedes Mitarbeitenden gelöscht.
Synthetisierte Berichte: für die Lebensdauer des Kontos des Mitarbeitenden aufbewahrt (das ein Ausscheiden aus Ihrer Organisation überdauert).
Lizenzunterlagen: für die Lebensdauer des Kontos Ihrer Organisation zuzüglich eines gesetzlichen Archivierungszeitraums für die Abrechnung aufbewahrt.

6. Grenzüberschreitende Übermittlungen

Die Daten werden überwiegend in der Europäischen Union verarbeitet. Übermittlungen an Auftragsverarbeiter außerhalb der EU (derzeit: Anthropic, US) sind durch Standardvertragsklauseln abgedeckt und auf das beschränkt, was der Dienst erfordert (nur LLM-Inferenz; keine identifizierenden Daten fließen nebenher).

7. Sicherheitsmaßnahmen

Wir treffen technische und organisatorische Maßnahmen, die der Sensibilität der Daten entsprechen, einschließlich Row-Level-Security auf personenbezogenen Daten, verschlüsselter Speicherung bei der Übertragung und im Ruhezustand, Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung und einer geprüften Betreiberoberfläche für jeden mandantenübergreifenden Zugriff.

8. Betroffenenrechte

Mitarbeitende können ihre DSGVO-Rechte (Auskunft, Berichtigung, Löschung, Übertragbarkeit) direkt von ihrem Trueings-Dashboard aus oder per E-Mail an privacy@trueings.com ausüben. Ihre Organisation ist bei diesen Anfragen nicht eingebunden, im Einklang mit der oben genannten Vertraulichkeitsgrenze.

9. Laufzeit und Beendigung

Dieser AVV bleibt so lange in Kraft, wie das MSA in Kraft ist UND solange Trueings personenbezogene Daten aufbewahrt, die im Auftrag Ihrer Mitarbeitenden verarbeitet werden. Die Beendigung löst die oben genannten Standard-Aufbewahrungsfristen aus.

10. Kontakt

Gegengezeichneter AVV, Benachrichtigungen zu Auftragsverarbeitern, Sicherheitsfragebögen: teams@trueings.com. Betroffenenanfragen (Mitarbeitende): privacy@trueings.com.