Auftragsverarbeitungsvertrag
Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag gilt zwischen dem jeweiligen Mandanten als Auftraggeber und Fonavio als Auftragnehmer/Auftragsverarbeiter. Er wird im Rahmen der Registrierung für den Testzugang elektronisch abgeschlossen und protokolliert.
1. Rollen
- Mandant: Verantwortlicher gegenüber seinen Endkunden, Mitarbeitern und sonstigen betroffenen Personen.
- Fonavio: Auftragsverarbeiter für den Mandanten, soweit Fonavio personenbezogene Daten im Auftrag verarbeitet.
- Endkunden: Kunden oder Interessenten des Mandanten. Sie schließen keinen AVV mit Fonavio ab.
2. Gegenstand und Dauer
Gegenstand ist die Bereitstellung und der Betrieb der Fonavio-Plattform einschließlich Testzugang, Mandantenverwaltung, Online-Terminanfragen, optionalem digitalen Telefonassistenten, Benachrichtigungen, Support und technischer Protokollierung. Die Dauer richtet sich nach der Laufzeit des Testzugangs oder Vertragsverhältnisses und endet mit Löschung, Sperrung oder Vertragsbeendigung nach den vereinbarten Aufbewahrungs- und Nachweispflichten.
3. Art und Zweck der Verarbeitung
Fonavio verarbeitet Daten zur Erfassung, Strukturierung, Verwaltung und Weiterleitung von Terminanfragen, zur Administration von Mandantenkonten, zur Bereitstellung des digitalen Assistenten, zur Sicherheit der Plattform, zur E-Mail-Verifizierung, zur Fehleranalyse und zur Erfüllung gesetzlicher Nachweispflichten.
4. Kategorien personenbezogener Daten
- Mandantendaten: Unternehmensname, Ansprechpartner, E-Mail, Telefonnummer, Login- und Vertragsdaten, Freigabestatus.
- Endkundendaten: Name, Telefonnummer, E-Mail, gewünschte Leistung, Wunschdatum, Wunschuhrzeit, optional Mitarbeiterwunsch und kurze Notiz.
- Kommunikationsdaten: strukturierte Telefon- und Web-Terminanfragen, technische Metadaten, notwendige Systemmails.
- Protokolldaten: IP-Adresse, User-Agent, Zeitpunkt, Statusänderungen, Export-, Lösch- und Anonymisierungsvorgänge.
5. Besondere Kategorien personenbezogener Daten
Fonavio ist nicht für die aktive Erhebung besonderer Kategorien personenbezogener Daten ausgelegt. Der digitale Assistent darf insbesondere keine Gesundheitsdaten, Krankheiten, Allergien, Zahlungsdaten, Ausweisdaten oder private sensible Informationen aktiv abfragen. Werden solche Informationen unaufgefordert genannt, soll auf eine direkte Klärung mit dem Team vor Ort verwiesen und keine dauerhafte Speicherung in Freitexten erfolgen.
6. Weisungen des Mandanten
Fonavio verarbeitet personenbezogene Daten nur nach dokumentierter Weisung des Mandanten, soweit keine gesetzliche Pflicht entgegensteht. Die Nutzung der Plattform, Konfigurationen, Lösch-/Exportanforderungen und der Abschluss dieses AVV gelten als dokumentierte Weisungen.
7. Pflichten von Fonavio
- Verarbeitung nur im Rahmen dieses AVV und dokumentierter Weisungen.
- Vertraulichkeit der mit der Verarbeitung befassten Personen.
- Angemessene technische und organisatorische Maßnahmen.
- Unterstützung bei Betroffenenrechten, soweit technisch möglich.
- Unterstützung bei Sicherheitsvorfällen und Nachweispflichten.
- Protokollierung wesentlicher DSGVO-relevanter Admin-Aktionen.
8. Technische und organisatorische Maßnahmen
Fonavio setzt insbesondere Mandantentrennung, rollenbasierte Zugriffe, HTTPS, sichere Session-Cookies, Zugriffsbeschränkungen, Protokollierung, Backups, Eingabevalidierung, Rate-Limiting und Lösch-/Anonymisierungskonzepte ein. Für das Hosting stützt sich Fonavio auf die technischen und organisatorischen Maßnahmen der Hetzner Online GmbH, insbesondere Maßnahmen zu Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Rechenzentrumsbetrieb, Stromversorgung, Klimatisierung, Gebäudesicherheit, Netzwerk- und Betriebssicherheit, soweit die jeweilige Hetzner-Leistung betroffen ist. Die Maßnahmen werden dem Risiko entsprechend weiterentwickelt.
9. Unterauftragsverarbeiter
Fonavio darf Unterauftragsverarbeiter einsetzen, soweit diese für Betrieb, Hosting, E-Mail-Versand, KI-/Sprachverarbeitung oder Support erforderlich sind. Aktuell beziehungsweise mandantenabhängig vorgesehen sind insbesondere Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, für Hosting/Serverbetrieb, ElevenLabs für digitale Telefonassistenz/Sprache, OpenAI oder Qwen für KI-Modellverarbeitung falls aktiv genutzt sowie ein Mailanbieter für System- und Verifizierungs-E-Mails. Die jeweils aktuelle Liste ist in der Datenschutzerklärung unter „Unterauftragsverarbeiter“ einsehbar. Für Hetzner liegt Fonavio ein AV-Vertrag Version 1.2, Stand 16. Februar 2026, vor; die darin vorgesehenen TOMs sind unter https://www.hetzner.com/de/AV/TOM.pdf dokumentiert.
| Anbieter | Zweck | Standort | AVV/DPA | Drittland | ||
|---|---|---|---|---|---|---|
| ElevenLabs | KI-Telefonassistent / Sprache | USA / EU-Region nach Anbieter-Einstellung | Ja | Ja | 2026-06-25T13:38:32Z | Datenschutz DPA/AVV |
| Hetzner Online GmbH | Hosting / Serverbetrieb / Infrastruktur für Fonavio | Deutschland / EU (Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen) | Ja | Nein | 2026-06-24 | Datenschutz DPA/AVV |
| Mailanbieter | System- und Verifizierungs-E-Mails | anbieterabhängig | in Prüfung/mandantenabhängig | Nein | 2026-06-25T13:38:32Z | — |
| OpenAI oder Qwen | KI-Modell, falls aktiv genutzt | anbieterabhängig | in Prüfung/mandantenabhängig | Ja | 2026-06-25T13:38:32Z | — |
9a. Information und Widerspruch bei Unterauftragsverarbeitern
Fonavio informiert Mandanten in geeigneter Weise über wesentliche Änderungen bei Unterauftragsverarbeitern. Erfolgt innerhalb einer Frist von 14 Tagen kein Widerspruch aus wichtigem datenschutzrechtlichem Grund, gilt die Änderung als akzeptiert. Kann bei berechtigtem Widerspruch keine Lösung gefunden werden, kann der betroffene Dienst oder Vertragsteil beendet werden.
10. Digitaler Telefonassistent
Der digitale Assistent ist standardmäßig auf Terminanfragen begrenzt. Audioaufnahmen sind standardmäßig deaktiviert. Vollständige Transkripte sollen nicht dauerhaft gespeichert werden; gespeichert werden strukturierte Terminanfragen und erforderliche Nachweise. Der Standardstatus einer Anfrage bleibt „pending“ beziehungsweise „wartet auf Bestätigung“.
11. Löschung, Anonymisierung und Rückgabe
Nach Ablauf definierter Aufbewahrungsfristen werden personenbezogene Daten gelöscht oder anonymisiert, sofern keine vertraglichen oder gesetzlichen Aufbewahrungspflichten entgegenstehen. Anonymisierung entfernt Namen, Telefonnummern, E-Mail-Adressen und Freitexte, statistische Daten können ohne Personenbezug erhalten bleiben.
12. Kontrollrechte und Nachweise
Der Mandant kann angemessene Nachweise zur Verarbeitung, zu Vertragsversionen und zu ihn betreffenden DSGVO-Protokollen anfordern. Fonavio stellt dafür Plattformansichten, Exporte oder dokumentierte Nachweise bereit.
13. Datenschutzverletzungen
Fonavio informiert den Mandanten unverzüglich über bekannt gewordene Datenschutzverletzungen, soweit Daten des Mandanten betroffen sind, und unterstützt bei der Erfüllung gesetzlicher Meldepflichten.
14. Version und elektronischer Abschluss
AVV-Version: 2026-06-20. Der Abschluss wird mit Zeitpunkt, IP-Adresse, User-Agent, Mandantenanfrage und Vertragsversion protokolliert.