Vapi DSGVO-konform zu verwenden ist ein ziemliches Rabbithole. Falls sich jemand auch gerade damit beschäftigt, vielleicht hilft das: (Falls irgendwas nicht stimmt, bitte korrigieren. Das sind alles keine gesicherten Infos sondern nur mein aktueller Wissenstand.) Wenn Daten von einem Unternehmen für irgendwelche Zwecke an andere weitergegeben und verarbeitet werden, braucht man immer ein DPA (Data Processing Agreement). Die meisten relevanten Firmen für das Bauen von Voicebots haben soetwas. Manchmal kann man sich da ein Dokument erstellen lassen. (Bsp. Make.com: https://www.make.com/en/hq/gdpr-dpa) Viele Firmen haben aber nur ein Data Processing Addendum auf ihrer Website, was scheinbar auch geht. Das ist dann ein Zusatz zum bestehenden Vertrag. (Bsp. OpenAI: https://openai.com/policies/data-processing-addendum/) Vapi bietet scheinbar auch ein DPA an und soll auch GDPR-konform nutzbar sein. Das DPA ist aber nicht öffentlich zugänglich und ich habe gelesen, dass man Enterprise-Kunde sein soll. (Weiß jemand wie viel das kostet?) --> https://security.vapi.ai/ Wenn alle Daten eines Anbieters ausschließlich in Europa verarbeitet werden, reicht ein DPA. Oft kann man auch einstellen, dass die Daten nur in der EU bleiben. Falls das nicht möglich ist und ein Anbieter nur Server in den USA hat, kann man ihn trotzdem DSGVO-konform nutzen, wenn ein Data Processing Agreement (DPA) mit dem Anbieter abgeschlossen wird und Standardvertragsklauseln (SCCs) vereinbart werden, um die Übermittlung in die USA rechtlich abzusichern (oft bereits im DPA enthalten, aber nicht zwingend).