Auftragsverarbeitungsvertrag

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Version 28.09.2026.v2

Dieser Auftragsverarbeitungsvertrag gilt zwischen dem jeweiligen Mandanten als Auftraggeber und Emrah Yamak, handelnd unter der Bezeichnung Fonavio, als Auftragnehmer/Auftragsverarbeiter. Er wird im Rahmen der Registrierung für den Testzugang elektronisch abgeschlossen und protokolliert.

1. Rollen

• Mandant: Verantwortlicher gegenüber seinen Endkunden, Mitarbeitern und sonstigen betroffenen Personen.
• Fonavio: Auftragsverarbeiter für den Mandanten, soweit Fonavio personenbezogene Daten im Auftrag verarbeitet.
• Endkunden: Kunden oder Interessenten des Mandanten. Sie schließen keinen AVV mit Fonavio ab.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung und der Betrieb der Fonavio-Plattform einschließlich Testzugang, Mandantenverwaltung, öffentlicher Mandantenseiten, serverseitiger mandantenbezogener Reichweitenstatistik, Online-Terminanfragen, optionalem digitalen Telefonassistenten, Benachrichtigungen, Support und technischer Protokollierung. Die Dauer richtet sich nach der Laufzeit des Testzugangs oder Vertragsverhältnisses und endet mit Löschung, Sperrung oder Vertragsbeendigung nach den vereinbarten Aufbewahrungs- und Nachweispflichten.

3. Art und Zweck der Verarbeitung

Fonavio verarbeitet Daten zur Erfassung, Strukturierung, Verwaltung und Weiterleitung von Terminanfragen, zur Administration von Mandantenkonten, zur Bereitstellung des digitalen Assistenten, zur Sicherheit der Plattform, zur E-Mail-Verifizierung, zur Fehleranalyse und zur Erfüllung gesetzlicher Nachweispflichten.

Zur mandantenbezogenen Reichweitenstatistik zählt Fonavio nach Weisung des Mandanten Aufrufe öffentlicher Mandantenseiten und stellt ausschließlich aggregierte Werte bereit. Eine Nutzung dieser Werte für personenbezogene Profile, Werbung oder eine mandantenübergreifende Zuordnung findet nicht statt.

4. Kategorien personenbezogener Daten

• Mandantendaten: Unternehmensname, Ansprechpartner, E-Mail, Telefonnummer, Login- und Vertragsdaten, Freigabestatus.
• Endkundendaten: Name, Telefonnummer, E-Mail, gewünschte Leistung, Wunschdatum, Wunschuhrzeit, optional Mitarbeiterwunsch und kurze Notiz.
• Kommunikationsdaten: strukturierte Telefon- und Web-Terminanfragen, technische Metadaten, notwendige Systemmails.
• Reichweitendaten: Mandantenkennung, vorgegebene Seitenkategorie, Kalendertag und aggregierte Anzahl der Seitenaufrufe. In der Basiskonfiguration werden keine IP-Adressen, User-Agents, Referrer, vollständigen URLs, URL-Parameter oder Besucherkennungen in der Reichweitenstatistik gespeichert.
• Protokolldaten: IP-Adresse, User-Agent, Zeitpunkt, Statusänderungen, Export-, Lösch- und Anonymisierungsvorgänge.

5. Besondere Kategorien personenbezogener Daten

Fonavio ist nicht für die aktive Erhebung besonderer Kategorien personenbezogener Daten ausgelegt. Der digitale Assistent darf insbesondere keine Gesundheitsdaten, Krankheiten, Allergien, Zahlungsdaten, Ausweisdaten oder private sensible Informationen aktiv abfragen. Werden solche Informationen unaufgefordert genannt, soll auf eine direkte Klärung mit dem Team vor Ort verwiesen und keine dauerhafte Speicherung in Freitexten erfolgen.

6. Weisungen des Mandanten

Fonavio verarbeitet personenbezogene Daten nur nach dokumentierter Weisung des Mandanten, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung der Plattform, Konfigurationen, Lösch-/Exportanforderungen und der Abschluss dieses AVV gelten als dokumentierte Weisungen.

Die Aktivierung der Reichweitenstatistik, die festgelegten Seitenkategorien, die Bereitstellung des mandantenbezogenen Dashboards und dokumentierte Löschanforderungen gelten als Weisungen des Mandanten. Erweiterungen um Besucherkennungen, Cookies, zusätzliche Merkmale oder mandantenübergreifende Auswertungen bedürfen einer gesonderten dokumentierten Freigabe und datenschutzrechtlichen Prüfung.

7. Pflichten von Fonavio

• Verarbeitung nur im Rahmen dieses AVV und dokumentierter Weisungen.
• Vertraulichkeit der mit der Verarbeitung befassten Personen.
• Angemessene technische und organisatorische Maßnahmen.
• Unterstützung bei Betroffenenrechten, soweit technisch möglich.
• Unterstützung bei Sicherheitsvorfällen und Nachweispflichten.
• Protokollierung wesentlicher DSGVO-relevanter Admin-Aktionen.

8. Technische und organisatorische Maßnahmen

Fonavio setzt insbesondere Mandantentrennung, rollenbasierte Zugriffe, HTTPS, sichere Session-Cookies, Zugriffsbeschränkungen, Protokollierung, Backups, Eingabevalidierung, Rate-Limiting und Lösch-/Anonymisierungskonzepte ein. Für das Hosting stützt sich Fonavio auf die technischen und organisatorischen Maßnahmen der IONOS SE, soweit die jeweils gebuchte IONOS-Leistung betroffen ist. Die Maßnahmen werden dem Risiko entsprechend weiterentwickelt.

Für Reichweitenwerte setzt Fonavio Datenminimierung, feste Merkmalslisten, Mandantentrennung, rollenbasierte Dashboard-Zugriffe, Löschfristen und den Ausschluss von Freitexten, URL-Parametern und direkten Besucherkennungen ein.

9. Unterauftragsverarbeiter

Fonavio darf Unterauftragsverarbeiter einsetzen, soweit diese für Betrieb, Hosting, E-Mail-Versand, KI-/Sprachverarbeitung oder Support erforderlich sind. Maßgeblich ist die nachfolgende aktuelle Liste; optionale Sprach- und Modellanbieter werden nur eingesetzt, wenn die jeweilige Funktion für den Mandanten aktiviert ist.

9a. Information und Widerspruch bei Unterauftragsverarbeitern

Fonavio informiert Mandanten in geeigneter Weise über wesentliche Änderungen bei Unterauftragsverarbeitern. Erfolgt innerhalb einer Frist von 14 Tagen kein Widerspruch aus wichtigem datenschutzrechtlichem Grund, gilt die Änderung als akzeptiert. Kann bei berechtigtem Widerspruch keine Lösung gefunden werden, kann der betroffene Dienst oder Vertragsteil beendet werden.

10. Digitaler Telefonassistent

Der digitale Assistent ist standardmäßig auf Terminanfragen begrenzt. Je nach aktivierter Konfiguration werden Audiodaten, Sprachinhalte, Anrufmetadaten und strukturierte Anfrageangaben an den eingesetzten Sprach- oder Modellanbieter übertragen. Provider-Ereignisse können Transkripte enthalten; diese können zusammen mit der strukturierten Anfrage bis zur Anonymisierung des Vorgangs gespeichert werden. Eine lokale Audioaufzeichnung ist nicht generell aktiviert. Externe Anbieter können Audio- oder Transkriptdaten entsprechend der vertraglich konfigurierten Aufbewahrung verarbeiten. Der Standardstatus einer Anfrage bleibt „pending“ beziehungsweise „wartet auf Bestätigung“.

11. Löschung, Anonymisierung und Rückgabe

Nach Ablauf definierter Aufbewahrungsfristen werden personenbezogene Daten gelöscht oder anonymisiert, sofern keine vertraglichen oder gesetzlichen Aufbewahrungspflichten entgegenstehen. Anonymisierung entfernt Namen, Telefonnummern, E-Mail-Adressen und Freitexte, statistische Daten können ohne Personenbezug erhalten bleiben.

12. Kontrollrechte und Nachweise

Der Mandant kann angemessene Nachweise zur Verarbeitung, zu Vertragsversionen und zu ihn betreffenden DSGVO-Protokollen anfordern. Fonavio stellt dafür Plattformansichten, Exporte oder dokumentierte Nachweise bereit.

13. Datenschutzverletzungen

Fonavio informiert den Mandanten unverzüglich über bekannt gewordene Datenschutzverletzungen, soweit Daten des Mandanten betroffen sind, und unterstützt bei der Erfüllung gesetzlicher Meldepflichten.

14. Version und elektronischer Abschluss

AVV-Version: 2026-09-28.v2. Der Abschluss wird mit Zeitpunkt, IP-Adresse, User-Agent, Mandantenanfrage und Vertragsversion protokolliert.