Entwurf. Dieser Text ist noch nicht anwaltlich geprüft. Gelb markierte Stellen werden vor dem Start ergänzt.

Vertrag zur Auftragsverarbeitung

Stand: Entwurf vom 13.10.2026

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Betrieb als Verantwortlichem („Auftraggeber“) und

[Firmenname, Rechtsform], [Straße], [PLZ Ort] als Auftragsverarbeiter („Fonavio“).

Der Vertrag wird mit der Registrierung abgeschlossen und ergänzt die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.

1. Gegenstand und Dauer

(1) Fonavio verarbeitet personenbezogene Daten im Auftrag des Betriebs, um die vereinbarten Leistungen zu erbringen: Online-Buchung, Kalender, Kundenstamm, Benachrichtigungen, Telefonassistent, Bestellungen und je nach Paket weitere Funktionen.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der Frist zur Rückgabe und Löschung nach Ziffer 10.

2. Art der Daten und betroffene Personen

Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sind nicht vorgesehen. Der Betrieb sorgt dafür, dass solche Daten nicht in Notizfelder eingetragen werden, oder stimmt das gesondert mit Fonavio ab.

3. Weisungen

(1) Fonavio verarbeitet die Daten nur auf dokumentierte Weisung des Betriebs, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, Fonavio ist gesetzlich zur Verarbeitung verpflichtet; dann teilt Fonavio dies vorher mit, soweit das Gesetz es nicht verbietet.

(2) Weisungen sind dieser Vertrag, die Einstellungen des Betriebs in der Software und Weisungen in Textform. Hält Fonavio eine Weisung für rechtswidrig, weist Fonavio den Betrieb unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten von Fonavio

• Personen, die Daten verarbeiten, sind zur Vertraulichkeit verpflichtet.
• Fonavio trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Mitarbeiter von Fonavio sehen Daten der Endkunden nur, wenn der Betrieb einen Support-Zugriff mit Grund und Dauer freigegeben hat. Jeder solche Zugriff wird protokolliert und ist für den Betrieb sichtbar.
• Fonavio nutzt die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen und nicht für Werbung.
• Fonavio benennt eine Ansprechperson für den Datenschutz: [E-Mail Datenschutz]. [Prüfen, ob ein Datenschutzbeauftragter benannt werden muss (§ 38 BDSG)]

5. Unterstützung des Betriebs

(1) Fonavio unterstützt den Betrieb bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Viele davon kann der Betrieb im Admin-Bereich selbst erledigen (z. B. „Daten löschen“ im Kundenstamm). Geht eine Anfrage direkt bei Fonavio ein, leitet Fonavio sie unverzüglich weiter.

(2) Fonavio unterstützt den Betrieb bei der Datenschutz-Folgenabschätzung und bei der Meldung von Datenschutzverletzungen.

(3) Fonavio meldet dem Betrieb Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

6. Unterauftragsverarbeiter

(1) Der Betrieb genehmigt die folgenden Unterauftragsverarbeiter. Fonavio verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau.

(2) Hinterlegt der Betrieb ein eigenes E-Mail-Postfach (SMTP), versendet Fonavio darüber; dieser Anbieter ist dann ein Dienstleister des Betriebs, nicht von Fonavio.

(3) Nicht Unterauftragsverarbeiter von Fonavio sind Dienste, mit denen der Betrieb selbst einen Vertrag schließt, insbesondere Stripe für Online-Zahlungen (eigenes Stripe-Konto des Betriebs) und Meta für WhatsApp (eigenes WhatsApp-Business-Konto des Betriebs).

(4) Fonavio informiert den Betrieb mindestens 4 Wochen vorher in Textform über neue oder ersetzte Unterauftragsverarbeiter. Der Betrieb kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Betrieb die betroffene Funktion abbestellen oder den Vertrag zum Zeitpunkt der Änderung kündigen.

7. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere bei einem Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen) oder mit Standardvertragsklauseln der EU-Kommission samt ergänzender Maßnahmen.

8. Kontrollen

Fonavio weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach (z. B. Beschreibung der Maßnahmen, Zertifikate der Rechenzentren). Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung (in der Regel 4 Wochen) während der Geschäftszeiten möglich, ohne den Betrieb von Fonavio zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Fonavio kann für Kontrollen, die über eine pro Jahr hinausgehen, den Aufwand angemessen berechnen.

9. Pflichten des Betriebs

Der Betrieb ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Endkunden und Anrufer (z. B. Hinweis auf den KI-Telefonassistenten und die Mitschrift), für die Rechtsgrundlage und für die Festlegung von Löschfristen, soweit er sie in der Software selbst einstellt.

10. Rückgabe und Löschung

Nach Vertragsende kann der Betrieb seine Daten 30 Tage lang exportieren. Danach löscht Fonavio sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. In Datensicherungen werden gelöschte Daten mit dem regulären Ablauf der Sicherungen entfernt, spätestens nach [Aufbewahrungsdauer der Backups, z. B. 30 Tage]. Mitschriften und Aufnahmen von Anrufen löscht Fonavio standardmäßig nach [Frist, z. B. 90 Tage], sofern der Betrieb nichts anderes einstellt.

11. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server in einem Rechenzentrum mit Zutrittskontrolle, Videoüberwachung und Zertifizierung nach [z. B. ISO 27001].
• Zugriff auf Server nur per SSH-Schlüssel durch benannte Administratoren; die Datenbank ist nur lokal erreichbar, nicht aus dem Internet.
• Strikte Trennung der Mandanten: Jede Tabelle mit Kundendaten ist einem Betrieb zugeordnet, jeder Zugriff wird auf diesen Betrieb eingeschränkt.
• Rollen im Betrieb (Inhaber, Leitung, Mitarbeiter) und bei Fonavio (Admin, Support, Vertrieb, Buchhaltung) mit unterschiedlichen Rechten; das Fonavio-Team sieht ohne Freigabe nur Kennzahlen, keine Endkunden-Daten.
• Passwörter nur als Argon2id-Hash; Sitzungen mit zufälligen Tokens, die nur gehasht gespeichert werden; Sperre nach 5 Fehlversuchen für 15 Minuten.
• Zugangsdaten zu Drittdiensten (z. B. E-Mail-Postfächer, API-Schlüssel) verschlüsselt mit AES-256-GCM; nach dem Speichern nur die letzten 4 Zeichen sichtbar.
• Hochgeladene Nachweise liegen nicht öffentlich und werden nach der Prüfung gelöscht.

Integrität

• Verschlüsselte Übertragung (TLS) zwischen Browser, Server und Dienstleistern.
• Protokoll aller Änderungen durch das Fonavio-Team und der Anmeldungen; das Protokoll kann nur ergänzt, nicht geändert oder gelöscht werden.
• Prüfung aller Eingaben auf dem Server; Schutz gegen doppelte Buchungen in der Datenbank.

Verfügbarkeit und Belastbarkeit

• Tägliche, verschlüsselte Datensicherung an einem getrennten Ort [Ort und Aufbewahrungsdauer der Backups]; regelmäßiger Test der Wiederherstellung.
• Überwachung von Server und Diensten mit Alarmierung; automatische Wiederholung beim E-Mail-Versand.

Verfahren zur regelmäßigen Überprüfung

• Automatische Tests vor jeder Änderung der Software, regelmäßige Sicherheitsupdates von Betriebssystem und Bibliotheken.
• Überprüfung dieser Maßnahmen mindestens einmal im Jahr.