Hedy DSGVO-Konformität: AVV, Standardvertragsklauseln und EU-Datenschutzstandards

Hedy AI hat den vertraglichen und technischen Rahmen implementiert, um die rechtmäßige und konforme Verarbeitung personenbezogener Daten nach der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union zu unterstützen. Das bedeutet, dass unsere Nutzer – ob in Berlin, Barcelona oder Boston – Hedy mit der Gewissheit nutzen können, dass ihre Gesprächsdaten gemäß einem der weltweit strengsten Datenschutzrahmenwerke behandelt werden. Dieses Rahmenwerk bietet alle erforderlichen Garantien für den Einsatz von Hedy AI als Auftragsverarbeiter nach europäischem Datenschutzrecht.

Was DSGVO-Konformität für KI-Tools tatsächlich bedeutet

Wenn Sie ein KI-Meeting-Coaching-Tool wie Hedy nutzen, teilen Sie Gesprächstranskripte, Meeting-Erkenntnisse und potenziell sensible Geschäftsinformationen. DSGVO-Konformität bedeutet nicht nur, regulatorische Kästchen abzuhaken – es geht darum, konkrete Schutzmaßnahmen für diese Daten zu etablieren.

Für KI-Anwendungen stellt die DSGVO besondere Herausforderungen dar. Anders als einfache Datenspeicherdienste verarbeiten und analysieren KI-Tools Ihre Informationen, um Erkenntnisse zu generieren. Dies erfordert sorgfältige Berücksichtigung von:

• Wie Daten zwischen Ihrem Gerät und KI-Verarbeitungssystemen fließen
• Was mit Ihren Transkripten nach der Analyse geschieht
• Wie KI-Drittanbieter Ihre Informationen behandeln
• Ihre Möglichkeit, Ihre Daten zu kontrollieren, zu exportieren oder zu löschen

Ein starkes Fundament für europäische Unternehmen

Europäische Organisationen können sich nun auf ein verstärktes Auftragsverarbeiter-Rahmenwerk verlassen, das sie bei der Erfüllung ihrer eigenen Pflichten nach der Datenschutz-Grundverordnung (DSGVO) unterstützt. Wie immer verbleibt die letztendliche Verantwortung für die DSGVO-Konformität beim Kunden als Verantwortlichem – Hedy AI stellt die auf Auftragsverarbeiterseite erforderlichen Garantien bereit.

Was wir implementiert haben

Um eine robuste Grundlage für den DSGVO-konformen Einsatz von Hedy AI zu schaffen, haben wir die folgenden vertraglichen und technischen Komponenten erstellt und veröffentlicht:

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Unser Auftragsverarbeitungsvertrag definiert genau, wie wir Ihre Daten als Auftragsverarbeiter behandeln. Diese rechtsverbindliche Vereinbarung stellt sicher, dass wir Daten nur gemäß Ihren Weisungen und für die von Ihnen autorisierten spezifischen Zwecke verarbeiten – nämlich die Bereitstellung von Echtzeit-Meeting-Intelligence.

EU-Standardvertragsklauseln (Modul 2, 2021/914)

Die Standardvertragsklauseln sind als Transfermechanismus für personenbezogene Daten enthalten, die aus der EU/dem EWR in die Vereinigten Staaten übermittelt werden. Diese Klauseln verpflichten Hedy AI vertraglich zu EU-Schutzniveau und sichern durchsetzbare Rechte für betroffene Personen.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir haben umfassende Sicherheitsmaßnahmen dokumentiert und implementiert, darunter:

• Ende-zu-Ende-Verschlüsselung für Daten bei der Übertragung und im Ruhezustand
• Zero Data Retention wo möglich
• Strenge Zugangskontrollen und Authentifizierungsprotokolle
• Regelmäßige Sicherheitsaudits und Schwachstellenbewertungen
• Klare Richtlinien zur Datenaufbewahrung und -löschung
• Verfahren zur Reaktion auf Vorfälle
• Infrastruktur-Schutzmaßnahmen

Transfer Impact Assessment (TIA)

Wir haben eine gründliche Transferfolgenabschätzung durchgeführt, die die relevanten US-Gesetze und -Praktiken bewertet, die den Zugang zu übermittelten personenbezogenen EU-Daten betreffen. Basierend auf der initialen TIA haben wir Risikominderungsschritte identifiziert und zusätzliche Maßnahmen zum Schutz Ihrer Daten implementiert. Diese Bewertung, verfügbar in unserem Trust Center, zeigt, wie wir EU-Daten auch bei grenzüberschreitender Übermittlung schützen.

Sub-Auftragsverarbeiter-Transparenz (Art. 28 Abs. 2 und 4 DSGVO)

Alle Sub-Auftragsverarbeiter sind vertraglich an die gleichen Schutzmaßnahmen gebunden, vollständig dokumentiert und mit ihren jeweiligen Rollen in unserem Trust Center unter trust.hedy.ai aufgelistet. Änderungen folgen dem gesetzlich vorgeschriebenen Benachrichtigungs- und Einspruchsverfahren.

Wo die KI-Verarbeitung für EU-Konten läuft

Welcher Anbieter den KI-Schritt übernimmt (Zusammenfassungen, detaillierte Notizen, Chat, Highlights und Live-Vorschläge), hängt von der Datenregion des Kontos und der gewählten Option unter KI-Verarbeitung ab.

• Cloud-KI für EU-Konten läuft bei Inceptron. Inceptron ist ein KI-Inferenzanbieter mit Sitz in Lund, Schweden, und GPU-Kapazitäten in Finnland und Frankreich. Unser Auftragsverarbeitungsvertrag legt fest, dass Hedys Konto ausschließlich für die EU konfiguriert ist. Die Verarbeitung bleibt damit innerhalb der EU und des EWR. Inceptron speichert weder Anfrage- noch Antwortinhalte und nutzt sie nicht für Training. Dies gilt für Konten in der EU-Datenregion und für ältere Konten, die EU-KI-Verarbeitung aktiviert haben. Die Inceptron-Ankündigung erklärt, warum wir uns für diesen Anbieter entschieden haben.
• Ausweichanbieter: Google Vertex AI in einer EU-Region. Ist Inceptron nicht verfügbar, gehen Anfragen von EU-Konten an Vertex AI in einer EU-Region und werden damit weiterhin in der EU verarbeitet. Google hat seinen Hauptsitz in den USA und wird deshalb als separater Unterauftragsverarbeiter aufgeführt.
• US-basierte Dienste für alle Nutzer. Kontoanmeldung, Abonnement-Abrechnung, Fehler-Tracking und die E-Mail-Anbieter für Auto-Recap-E-Mails laufen unabhängig von der Region in den USA. Diese Übermittlungen sind durch die oben beschriebenen Standardvertragsklauseln und die Transfer Impact Assessment abgedeckt. Wenn Sitzungsinhalte nicht per E-Mail versendet werden sollen, deaktivieren Sie Auto-Recaps und lesen Sie Ihre Sitzungen in der App.
• Lokale KI und Aus. Ist Lokale KI auf geeigneter Hardware ausgewählt, läuft die Analyse auf dem eigenen Gerät des Nutzers, ohne Beteiligung eines KI-Unterauftragsverarbeiters. Ist KI-Verarbeitung auf Aus gesetzt, wird nichts zur Analyse versendet.
• Apple Private Cloud Compute. Auf geeigneten iPhones und iPads mit iOS 27 können Nutzer Apple Private Cloud Compute für den KI-Schritt wählen. Die Verarbeitung läuft über das eigene Apple-Konto des Nutzers und unterliegt Apples Tageslimit, nicht über Hedys KI-Partner. Apple sagt keine Verarbeitungsregion zu, daher liegt diese Option außerhalb der EU-Datenregion. Hedy weist bei der ersten Auswahl darauf hin. Organisationen, die EU-Residenz benötigen, sollten ihre Nutzer bei Cloud-KI mit der EU-Region oder Lokale KI belassen.

Die Spracherkennung ist davon getrennt. Standardmäßig läuft sie auf dem Gerät des Nutzers, sodass Audio nicht zur Transkription an einen Server gesendet wird.

Was das für verschiedene Nutzer bedeutet

Für europäische Unternehmen

Europäische Unternehmen können Hedy innerhalb ihres eigenen DSGVO-Rahmens und ihrer Compliance-Bewertung nutzen. Die Dokumentation, die wir bereitstellen – einschließlich AVV, Standardvertragsklauseln, TOM und unserer TIA – hilft Compliance-Teams, Hedy zu bewerten und in ihre bestehenden Datenschutzprozesse zu integrieren.

Für Gesundheitswesen und regulierte Branchen

Unser DSGVO-konformes Rahmenwerk ist ein wichtiger Schritt zur Ermöglichung des verantwortungsvollen Einsatzes von Hedy in regulierten Umgebungen. Neben diesen DSGVO-Schutzmaßnahmen hat Hedy eine unabhängige SOC 2 Type I-Prüfung der eigenen Sicherheitskontrollen und eine HIPAA-Bewertung als Business Associate abgeschlossen — zusammen bieten sie eine starke Grundlage für Organisationen mit erhöhten Datenschutzanforderungen.

Für einzelne Fachleute

Ihre Meeting-Transkripte, Erkenntnisse und personenbezogenen Daten werden unter klaren Schutzmaßnahmen verarbeitet. Sie behalten die volle Kontrolle über Ihre Informationen mit der Möglichkeit, Ihre Daten jederzeit einzusehen, zu exportieren oder zu löschen, und haben volle Transparenz darüber, wie und warum sie verarbeitet werden.

Kundenpflichten bleiben unverändert

Um die vollständige DSGVO-Konformität sicherzustellen, müssen Kunden weiterhin ihre eigenen Pflichten als Verantwortliche erfüllen. Dazu gehören unter anderem:

• Festlegung einer Rechtsgrundlage für die Verarbeitung,
• Bereitstellung von Transparenzinformationen für betroffene Personen,
• Führung eines Verarbeitungsverzeichnisses,
• Implementierung interner Zugangs- und Löschverfahren,
• Durchführung von Datenschutz-Folgenabschätzungen, wo erforderlich.

Unser Rahmenwerk ist speziell darauf ausgelegt, diese Pflichten zu unterstützen und alle auf Auftragsverarbeiterseite erforderlichen Garantien gemäß der DSGVO bereitzustellen.

Für Compliance konzipiert, auf Vertrauen aufgebaut

Mit diesem Rahmenwerk liefert Hedy AI ein vollständiges auftragsverarbeiterseitiges Compliance-Setup – vertraglich, technisch und organisatorisch. In Kombination mit den eigenen Compliance-Maßnahmen des Kunden als Verantwortlichem kann Hedy AI für die Verarbeitung personenbezogener Daten in vollem Einklang mit dem europäischen Datenschutzrecht eingesetzt werden.

Die Compliance-Dokumentation verstehen

Wir wissen, dass juristische Dokumente umfangreich sein können. Um Ihnen die Navigation durch unser DSGVO-Compliance-Rahmenwerk zu erleichtern, haben wir einen umfassenden Leitfaden erstellt, der Sie durch jedes Dokument und Ihre Pflichten als Verantwortlicher führt.

Zugang zu unserem „Leitfaden zur Erfüllung Ihrer DSGVO-Rechenschaftspflicht bei der Nutzung von Hedy AI”:

• Englische Version
• Deutsche Version

Dieser Leitfaden bietet eine praktische Checkliste für die Überprüfung unseres Auftragsverarbeitungsvertrags, der Transferfolgenabschätzung, der technischen und organisatorischen Maßnahmen sowie der Sub-Auftragsverarbeiterliste. Er wurde entwickelt, um Ihrem Compliance-Team die effiziente Durchführung seiner DSGVO-Bewertungs- und Dokumentationsanforderungen zu erleichtern.

Implementierung für Organisationen

Wenn Sie Hedy in Ihrer Organisation einsetzen, können Sie die DSGVO-Konformität auf Ihrer Seite wie folgt sicherstellen:

1. Überprüfen und genehmigen Sie unseren AVV und seine Anhänge
2. Dokumentieren Sie Ihre Bewertung unserer Transferfolgenabschätzung
3. Stellen Sie sicher, dass unsere technischen und organisatorischen Maßnahmen Ihren Sicherheitsanforderungen entsprechen
4. Überprüfen und genehmigen Sie unsere aktuelle Sub-Auftragsverarbeiterliste
5. Etablieren Sie einen Prozess zur Überprüfung von Sub-Auftragsverarbeiter-Änderungen

Wir stellen detaillierte Anleitungen in unserem Trust Center bereit, um Ihrem Compliance-Team bei der Durchführung dieser Schritte zu helfen.

Privacy by Design, nicht aus Pflicht

Die DSGVO-Konformität repräsentiert unser Engagement für datenschutzorientierte Entwicklung. Als wir Hedys automatische Vorschläge entwickelten, haben wir die Funktion so konzipiert, dass Gespräche verarbeitet werden, ohne unnötige Daten zu speichern. Als wir Topics zur Organisation von Sitzungen implementierten, stellten wir sicher, dass Nutzer die volle Kontrolle über ihre gruppierten Gespräche behalten.

Dieser Ansatz – Privacy by Design statt nachträglicher Compliance – bedeutet, dass DSGVO-Prinzipien in der Funktionsweise von Hedy verankert sind, nicht nur in unserer Dokumentation.

Was kommt als Nächstes

Die DSGVO-Konformität ist ein Meilenstein in unserem fortlaufenden Engagement für den Datenschutz. Zu den jüngsten Fortschritten gehören:

• SOC 2 Type I: Unabhängige Prüfung unserer Sicherheitskontrollen abgeschlossen und durch Dritte validiert
• HIPAA: Unabhängig als Business Associate bewertet
• EU-Datenresidenz ist jetzt live — neue Nutzer können während des Onboardings europäische oder US-Speicherung wählen
• EU-KI-Verarbeitung bei Inceptron: Cloud-KI für EU-Konten läuft bei einem schwedischen Anbieter unter einem auf EU/EWR beschränkten Vertrag, mit Vertex AI in einer EU-Region als Ausweichanbieter

Für ein Bewertungsframework aus Käufersicht lesen Sie unsere DSGVO-Checkliste für KI-Meeting-Tools oder unsere ausführliche Analyse zum besten DSGVO-konformen KI-Meeting-Tool, um zu verstehen, wo die meisten Tools scheitern.

Häufig gestellte Fragen

Ist Hedy DSGVO-konform?

Hedy implementiert das vollständige auftragsverarbeiterseitige Rahmenwerk, das die DSGVO verlangt: einen an Art. 28 ausgerichteten Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln für Übermittlungen in die USA, eine Transfer Impact Assessment, dokumentierte technische und organisatorische Maßnahmen und Transparenz über Unterauftragsverarbeiter. Kunden bleiben Verantwortliche und behalten ihre eigenen Pflichten (Rechtsgrundlage, Transparenz, DSFA wo erforderlich, Betroffenenrechte).

Stellt Hedy einen Auftragsverarbeitungsvertrag (AVV) bereit?

Ja. Der Hedy-AVV definiert genau, wie wir Ihre Daten als Auftragsverarbeiter nach Art. 28 DSGVO behandeln, einschließlich Verarbeitung nur nach Ihren Weisungen, Dauer der Verarbeitung, Sicherheitsverpflichtungen, Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Meldung von Datenschutzverletzungen. Er ist über das Trust Center verfügbar und für Geschäftskonten automatisch einbezogen.

Wo erhalte ich Hedys DSGVO-Compliance-Dokumentation?

Die gesamte Compliance-Dokumentation — AVV, EU-Standardvertragsklauseln (Modul 2, 2021/914), Transfer Impact Assessment, technische/organisatorische Maßnahmen und die aktuelle Unterauftragsverarbeiter-Liste — ist über das Trust Center unter trust.hedy.ai verfügbar. Kunden können die Dokumentation auch über die Kontoeinstellungen abrufen und Zugang per E-Mail an privacy@hedy.ai anfordern.

Wer sind Hedys Unterauftragsverarbeiter und wo arbeiten sie?

Alle Unterauftragsverarbeiter sind im Trust Center mit ihren Rollen und Verarbeitungsstandorten aufgeführt und vertraglich an die gleichen Schutzmaßnahmen wie Hedy gebunden. Änderungen folgen dem gesetzlich vorgeschriebenen Benachrichtigungs- und Einspruchsverfahren nach Art. 28 Abs. 2 und 4. Für EU-Konten läuft die Cloud-KI-Verarbeitung bei Inceptron in Lund, Schweden, unter einem Vertrag, der die Verarbeitung auf die EU und den EWR beschränkt, mit Google Vertex AI in einer EU-Region als Ausweichanbieter. Kontoanmeldung, Abonnement-Abrechnung, Fehler-Tracking und die Anbieter für Auto-Recap-E-Mails sind für alle Nutzer US-basiert.

Bleibt Apple Private Cloud Compute in der EU-Datenregion?

Nein. Apple Private Cloud Compute ist eine Option, die Nutzer auf geeigneten iPhones und iPads mit iOS 27 wählen können. Sie läuft über das eigene Apple-Konto des Nutzers. Apple sagt keine Verarbeitungsregion zu, daher liegt sie außerhalb von Hedys EU-Datenregion. Für EU-Residenz nutzen Sie Cloud-KI mit der EU-Region oder Lokale KI.

Ist Hedy nach der DSGVO Verantwortlicher oder Auftragsverarbeiter?

Hedy handelt als Auftragsverarbeiter, wenn Kundengesprächsdaten in Ihrem Auftrag verarbeitet werden. Sie — der Nutzer oder Ihre Organisation — sind der Verantwortliche. Hedy stellt technische, organisatorische und vertragliche Maßnahmen bereit, um Ihre Pflichten zu unterstützen; Sie behalten die Pflichten des Verantwortlichen, einschließlich Festlegung einer Rechtsgrundlage, Transparenz gegenüber betroffenen Personen und Bearbeitung von Rechteanfragen.

Zugang zur Dokumentation

Die gesamte DSGVO-Compliance-Dokumentation ist in unserem Trust Center verfügbar, zugänglich über Ihre Hedy-Kontoeinstellungen. Wenn Sie noch kein Kunde sind, aber unser Compliance-Rahmenwerk einsehen möchten, fordern Sie Zugang an unter trust.hedy.ai.

Fragen zu unserer DSGVO-Konformität oder unseren Datenschutzpraktiken? Kontaktieren Sie unser Datenschutzteam über das Trust Center oder per E-Mail an privacy@hedy.ai.