Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Auftragsverarbeitungsvertrag, AVV) gemäß Art. 28 DSGVO

Vorlagenstand: Version 3.2.1 vom 2026-07-29

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten im Auftrag im Sinne des Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO). Er gilt für alle Tätigkeiten, die die unten als Auftragsverarbeiter bezeichnete Partei für die unten als Verantwortlicher bezeichnete Partei im Rahmen der Phoneari-Plattform (Softphone-, Telefonbuch- und Telefonie-Dienste) erbringt und bei denen Beschäftigte des Auftragsverarbeiters mit personenbezogenen Daten in Berührung kommen können.

Zwischen dem Verantwortlichen

Firma / Name: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Rechtsform: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Straße / Hausnr.: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
PLZ / Ort: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt] [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Land: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Gesetzlich vertreten durch: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Registergericht / Registerstelle: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Registernummer: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
USt-IdNr. / VAT-Nr.: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Kontakt (E-Mail): [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Kontakt (Telefon): [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]

— nachfolgend „Verantwortlicher” genannt — und dem Auftragsverarbeiter

Firma / Name: TECHPOLE Limited
Rechtsform: Private Limited Company (nach dem Recht von England und Wales)
Straße / Hausnr.: 128 City Road
PLZ / Ort: EC1V 2NX London
Land: Vereinigtes Königreich
Gesetzlich vertreten durch: Nils Polatzek (Director)
Registergericht / Registerstelle: Companies House (England & Wales)
Registernummer: 17052860
USt-IdNr. / VAT-Nr.: [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]
Kontakt (E-Mail): info@phoneari.com
Kontakt (Telefon): [wird in der auf Ihr Unternehmen ausgefertigten Fassung eingesetzt]

Vertreter des Auftragsverarbeiters in der Union (Art. 27 DSGVO):

Name: Nils Polatzek
Anschrift: Unterwaldenstraße 18a, 16341 Panketal, Deutschland
Kontakt (E-Mail): info@phoneari.com

— nachfolgend „Auftragsverarbeiter” genannt — wird der nachstehende Vertrag geschlossen.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Phoneari-Plattform für den Verantwortlichen. Der Auftragsverarbeiter verarbeitet ausschließlich für den Verantwortlichen; dessen Nutzer und Endkunden sind lediglich betroffene Personen in der Sphäre des Verantwortlichen. Eine eigene datenschutzrechtliche Verantwortlichkeit des Auftragsverarbeiters gegenüber diesen Nutzern und Endkunden wird nicht begründet. Zum Gegenstand zählen insbesondere:

die Synchronisierung von Telefonbüchern und Kontakten,
die Bereitstellung von SIP-/Telefonie-Identitäten und die Anrufsteuerung,
die Vermittlung von Gesprächen über das WebRTC-/SIP-Gateway samt der hierfür erforderlichen Medienverarbeitung (Transcoding),
die Bereitstellung von Telefonbuch-/Verzeichnisdiensten (Directory-Feed),
der Versand transaktionaler E-Mails (z. B. Einladungs-, Bestätigungs- und Passwort-Token),
die Bereitstellung von Software-Aktualisierungen (Auto-Update-Releases),
die Führung von Anruf- und Verbindungsdaten sowie
die Verwaltung von Benutzerkonten, Nebenstellen/Geräten, Rollen und Einstellungen.

(2) Art der Verarbeitung sind das Erheben, Erfassen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln und Offenlegen (im Rahmen der Synchronisierung zum Client und zur Telefonie- Infrastruktur), Verknüpfen, Einschränken sowie das Löschen personenbezogener Daten mittels automatisierter Verfahren. Die Art der verarbeiteten Daten und die Kategorien betroffener Personen sind in § 2 festgelegt.

(3) Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich geschuldeten Plattform-Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des zugrunde liegenden Hauptvertrages (Nutzung der Phoneari-Plattform). Sie endet mit dessen Beendigung; § 8 sowie etwaige gesetzliche Aufbewahrungspflichten bleiben unberührt.

(5) Ort der Verarbeitung ist die Europäische Union bzw. der Europäische Wirtschaftsraum (EU/EWR). Eine Verarbeitung in einem Drittland findet nur nach Maßgabe des § 6a statt.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Gegenstand der Verarbeitung sind folgende Arten personenbezogener Daten:

Stamm- und Kontaktdaten der Nutzer (Name, Anzeigename, E-Mail-Adresse, ggf. Telefonnummer, zugewiesene Nebenstelle/Geräte-Zuordnung und Rolle)
Telefonbuch- und Kontaktdaten (Namen, Rufnummern, ggf. Foto/Avatar, Organisations- und Adressangaben)
SIP- und Anmeldedaten (Benutzernamen, verschlüsselte Zugangsdaten, Nebenstellen-/Geräte-Zuordnung)
Anruf-, Verbindungs- und Verkehrsdaten im Sinne des § 9 TDDDG (Anrufliste, Rufnummern, Zeitpunkte, Richtung und Dauer), einschließlich Angaben zu erfolglosen Verbindungsversuchen
Login-, Sitzungs- und Protokolldaten (Authentifizierungs-, Audit- und technische Protokolldaten)
E-Mail- und Token-Daten (E-Mail-Adressen sowie zeitlich befristete Einladungs-, Bestätigungs- und Passwort-Zurücksetzungs-Token im Rahmen des transaktionalen E-Mail-Versands)
CTI-/Verzeichnis-Abodaten (Konfiguration externer Verzeichnis-/CTI-Abonnements einschließlich der bereitgestellten Kontakt-/Rufnummerndaten)
Sperrlisten (vom Kundenadmin gepflegte kundenweite Sperrlisten gespeicherter Rufnummern zur Abweisung eingehender Anrufe)
Rufumleitungs-Konfiguration (Ziel-Rufnummern sowie Aktivierungs-/Deaktivierungscodes und Status der Rufumleitung — einschließlich einer etwaigen Nichtstören-Einstellung — je Nebenstelle bzw. Nutzer)
Einstellungen und Konfigurationsdaten der Nutzer und Geräte

(2) Im Rahmen des WebRTC-/SIP-Gateways werden Mediendaten (Sprachdaten) ausschließlich flüchtig zur Vermittlung und zur erforderlichen Medienverarbeitung (Transcoding) verarbeitet. Eine Speicherung oder Aufzeichnung von Gesprächsinhalten findet nicht statt, es sei denn, der Verantwortliche weist dies ausdrücklich an.

(3) Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

(4) Kategorien betroffener Personen sind:

Nutzer und Mitarbeiter des Verantwortlichen bzw. seiner Endkunden
Kommunikationspartner (Anrufer und Angerufene), deren Rufnummern und Verbindungsdaten im Rahmen der Anrufliste verarbeitet werden — auch wenn sie nicht in einem Telefonbuch gespeichert sind
in Telefonbüchern/Kontakten gespeicherte Personen
Administratoren und sonstige Personen mit Zugang zur Plattform

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Eine von den Weisungen abweichende oder darüber hinausgehende Verarbeitung, insbesondere zu eigenen Zwecken, ist unzulässig.

(2) Weisungen sind alle vom Verantwortlichen veranlassten, auf die Verarbeitung bezogenen Anordnungen. Die Festlegungen dieses Vertrages sowie des Hauptvertrages gelten als anfängliche Weisung. Einzelweisungen erfolgen in Schrift- oder Textform; mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen. Weisungen werden von beiden Parteien dokumentiert; der Auftragsverarbeiter dokumentiert sie revisionssicher und bewahrt diese Dokumentation bis drei Jahre nach Beendigung dieses Vertrages auf.

(3) Die weisungsberechtigten Personen des Verantwortlichen und die weisungsempfangenden Personen des Auftragsverarbeiters sind in Anlage 3 benannt; Änderungen sind der jeweils anderen Partei unverzüglich in Textform mitzuteilen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Er darf die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen aussetzen; eine offensichtlich rechtswidrige Weisung darf er zurückweisen.

(5) Die mit der vertraglich geschuldeten Leistung abgegoltene Grundunterstützung umfasst die Befolgung im Rahmen des vereinbarten Leistungsumfangs. Über die vertraglichen Leistungen hinausgehende Einzelweisungen kann der Auftragsverarbeiter nach vorheriger Abstimmung mit angemessenem Mehraufwand gesondert berechnen.

§ 4 Vertraulichkeit und Fernmeldegeheimnis

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung erfolgt vor der erstmaligen Aufnahme der Verarbeitungstätigkeit und wird in Textform dokumentiert, soweit die Personen nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Soweit der Auftragsverarbeiter im Rahmen der Telefonie-/Gateway- Leistungen Telekommunikationsdienste erbringt oder an deren Erbringung mitwirkt, wahren er und alle an der Verarbeitung mitwirkenden Personen einschließlich der Unterauftragsverarbeiter das Fernmeldegeheimnis nach § 3 TDDDG. Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war, einschließlich der näheren Umstände erfolgloser Verbindungsversuche. Die Verpflichtung zur Wahrung des Fernmeldegeheimnisses besteht auch nach dem Ende der Tätigkeit zeitlich unbegrenzt fort (§ 3 Abs. 2 Satz 2 TDDDG).

(3) Beschäftigte werden vor Aufnahme der Tätigkeit auf die Wahrung der Vertraulichkeit und des Fernmeldegeheimnisses sowie die Beachtung der einschlägigen Datenschutzvorschriften verpflichtet und entsprechend geschult. Die Verpflichtungen bestehen zeitlich unbegrenzt auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieses Vertrages fort.

(4) Soweit die zu verarbeitenden Daten einer berufsrechtlichen Verschwiegenheitspflicht des Verantwortlichen oder seiner Endkunden unterliegen (§ 203 StGB), gewährleistet der Auftragsverarbeiter, dass die mit der Verarbeitung befassten Personen zur Geheimhaltung verpflichtet und über die Strafbarkeit einer Verletzung nach § 203 StGB belehrt sind. Diese Verpflichtung wird auch den gemäß § 6 eingesetzten Unterauftragsverarbeitern auferlegt (§ 203 Abs. 4 StGB).

(5) Der Auftragsverarbeiter stellt sicher, dass auch die gemäß § 6 eingesetzten Unterauftragsverarbeiter ihre befugten Personen in gleichem Umfang zur Vertraulichkeit und zur Wahrung des Fernmeldegeheimnisses verpflichten (Art. 28 Abs. 4 i. V. m. Abs. 3 lit. b DSGVO).

(6) Der Auftragsverarbeiter dokumentiert die Verpflichtung der befugten Personen auf die Vertraulichkeit und das Fernmeldegeheimnis und weist deren Erfolgen dem Verantwortlichen auf Verlangen in geeigneter Weise nach. § 9 gilt entsprechend.

§ 5 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 lit. c DSGVO). Die getroffenen Maßnahmen sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, alternative angemessene Maßnahmen umzusetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 Satz 1 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Der Auftragsverarbeiter hält die Identität der eingesetzten Unterauftragsverarbeiter jederzeit aktuell und teilt sie dem Verantwortlichen auf Anfrage mit.

(2) Der Auftragsverarbeiter wählt die Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Maßnahmen aus.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter mindestens vier Wochen vorab aktiv in Textform (Art. 28 Abs. 2 Satz 2 DSGVO); ein bloßes Bereithalten der Information (z. B. auf einer Webseite) genügt nicht. Der Verantwortliche kann einer solchen Änderung binnen zwei Wochen ab Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(4) Im Fall eines fristgerechten Widerspruchs darf der Auftragsverarbeiter den beanstandeten Unterauftragsverarbeiter nicht einsetzen bzw. die beabsichtigte Ersetzung nicht vornehmen. Ist die Fortführung der Leistung ohne den beanstandeten Unterauftragsverarbeiter für eine Partei unzumutbar, steht beiden Parteien ein außerordentliches Kündigungsrecht für die betroffene Leistung zu.

(5) Der Auftragsverarbeiter legt dem Unterauftragsverarbeiter durch einen Vertrag (in Schrift- oder Textform) dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Dies umfasst namentlich die Verpflichtung der beim Unterauftragsverarbeiter befugten Personen auf die Vertraulichkeit und das Fernmeldegeheimnis (vgl. § 4) sowie die Löschung/Rückgabe nach § 8. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(6) Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt (z. B. Telekommunikations-, Wartungs- oder Reinigungsdienste), stellen keine Unterauftragsverarbeitung im Sinne dieses Paragraphen dar. Der Auftragsverarbeiter trifft auch insoweit angemessene Maßnahmen zur Sicherung des Schutzes personenbezogener Daten.

§ 6a Datenübermittlung in Drittländer

(1) Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation findet nur statt, soweit die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(2) Liegt für das betreffende Drittland kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor, erfolgt die Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 (Modul Auftragsverarbeiter-zu-Unterauftragsverarbeiter). Der Auftragsverarbeiter trifft erforderlichenfalls zusätzliche Garantien (ergänzende technische, organisatorische und vertragliche Maßnahmen) und weist die getroffenen Garantien dem Verantwortlichen auf Verlangen nach.

(3) Vor einer Übermittlung in ein Drittland ohne Angemessenheitsbeschluss führt der Auftragsverarbeiter eine Übermittlungs-Folgenabschätzung (Transfer-Impact-Assessment) durch und stellt deren Ergebnisse dem Verantwortlichen auf Anfrage zur Verfügung.

(4) Der Auftragsverarbeiter bzw. der Betreiber der Phoneari-Plattform ist eine im Vereinigten Königreich ansässige Gesellschaft (UK Limited); das Vereinigte Königreich ist seit dem Austritt aus der Europäischen Union ein Drittland im Sinne der DSGVO. Übermittlungen in das Vereinigte Königreich beruhen auf dem Angemessenheitsbeschluss der Europäischen Kommission in Gestalt des Durchführungsbeschlusses (EU) 2025/2574 der Kommission vom 19. Dezember 2025 (notifiziert C(2025) 8771), der den ursprünglichen Durchführungsbeschluss (EU) 2021/1772 der Kommission vom 28. Juni 2021 erneuert. Die Geltungsdauer dieses Angemessenheitsbeschlusses endet am 27. Dezember 2031, vorbehaltlich einer Aufhebung, Änderung oder Verlängerung durch die Kommission nach Art. 93 Abs. 2 DSGVO.

(5) Läuft der vorgenannte Angemessenheitsbeschluss aus, wird er aufgehoben oder verliert er aus sonstigen Gründen seine Wirksamkeit, gelten als Fallback automatisch die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 nach Maßgabe der Absätze 2 und 3.

(6) Die jeweils einschlägige Transfergrundlage je Unterauftragsverarbeiter ist in Anlage 2 ausgewiesen.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (z. B. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Rechte im Zusammenhang mit automatisierten Entscheidungen nach Art. 22 DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Die Unterstützung (Bereitstellung gespeicherter Daten, Umsetzung von Berichtigung/Löschung/Einschränkung) erfolgt unverzüglich, in der Regel binnen zehn Werktagen nach dokumentierter Weisung, damit der Verantwortliche die Frist des Art. 12 Abs. 3 DSGVO einhalten kann.

(2) Wendet sich eine betroffene Person mit einem Antrag nach Kapitel III der DSGVO unmittelbar an den Auftragsverarbeiter, beantwortet dieser den Antrag nicht selbst, sondern leitet ihn unverzüglich, spätestens binnen zwei Werktagen, an den Verantwortlichen weiter und verweist die betroffene Person auf dessen Zuständigkeit. Eigenständige Maßnahmen ergreift der Auftragsverarbeiter nur auf dokumentierte Weisung des Verantwortlichen. Grundunterstützung ist mit der Vergütung abgegolten; außergewöhnlicher, darüber hinausgehender Aufwand ist nach vorheriger Abstimmung angemessen gesondert berechenbar.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung sowie vorherige Konsultation), Art. 28 Abs. 3 lit. f DSGVO. Die Unterstützung umfasst die Bereitstellung der für eine Benachrichtigung betroffener Personen nach Art. 34 DSGVO erforderlichen Informationen einschließlich erforderlicher technischer Mitwirkung.

(4) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er diese dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung erfolgt in Textform an die vom Verantwortlichen benannte Melde-/Datenschutzkontaktstelle (Anlage 3); der Auftragsverarbeiter dokumentiert den Zeitpunkt der Kenntniserlangung und der Meldung. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben. Können einzelne Angaben nach Art. 33 Abs. 3 DSGVO nicht zugleich mit der Erstmeldung bereitgestellt werden, darf die Erstmeldung dadurch nicht verzögert werden; fehlende Angaben sind unverzüglich schrittweise nachzureichen (Art. 33 Abs. 4 DSGVO). Der Auftragsverarbeiter stellt zudem die zur Erfüllung der Dokumentationspflicht des Verantwortlichen nach Art. 33 Abs. 5 DSGVO erforderlichen Angaben (Fakten, Auswirkungen, Abhilfemaßnahmen) bereit. Der Verantwortliche bleibt für die fristgerechte Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO: 72 Stunden) verantwortlich. Eine eigene Meldung des Auftragsverarbeiters an eine Aufsichtsbehörde erfolgt nur auf Weisung des Verantwortlichen oder aufgrund einer eigenen gesetzlichen Verpflichtung.

§ 8 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung bzw. Rückgabe erfolgt unverzüglich, spätestens 30 Tage nach Beendigung der Leistung bzw. nach Ausübung des Wahlrechts. Trifft der Verantwortliche trotz angemessener Fristsetzung keine Wahl, ist die Löschung Default. Die Rückgabe erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format; Mehraufwand für ein hiervon abweichend gewünschtes Format ist nach vorheriger Abstimmung angemessen abrechenbar.

(2) Soweit eine Einzellöschung in Datensicherungen (Backups) technisch nicht möglich ist, werden die betroffenen Daten gegen eine weitere Verarbeitung eingeschränkt und im regulären Rotationszyklus endgültig gelöscht, spätestens binnen 90 Tagen. Werden Daten zwischenzeitlich aus einer Sicherung zurückgespielt (Re-Import), wird die Einschränkung bzw. Löschung unverzüglich erneut umgesetzt.

(3) Die Löschung erfolgt nach dem Stand der Technik datenschutzkonform. Der Auftragsverarbeiter bestätigt die Löschung unaufgefordert nach Vollzug in Schrift- oder Textform (Löschprotokoll mit Datum, Datenkategorien und angewandtem Verfahren); eine Kopie der gelöschten Daten zu Nachweiszwecken wird nicht zurückbehalten. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden für die Dauer der Aufbewahrung in ihrer Verarbeitung eingeschränkt (Art. 18 DSGVO).

(4) Bis zum vollständigen Vollzug der Löschung oder Rückgabe bleibt der Auftragsverarbeiter an die Vertraulichkeits- und Sicherheitspflichten dieses Vertrages gebunden.

(5) Der Auftragsverarbeiter stellt sicher, dass auch die gemäß § 6 eingesetzten Unterauftragsverarbeiter nach Maßgabe dieses Paragraphen löschen oder zurückgeben, und weist dies dem Verantwortlichen auf Verlangen nach.

§ 9 Nachweise, Kontrollen und Audits

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO). Nachweise werden auf schriftliche Anforderung binnen angemessener Frist (in der Regel zwei Wochen) erbracht. Vorrangig erfolgt der Nachweis durch Dokumentation bzw. einen Auditfragebogen (Selbstauskunft); eine Vor-Ort-Inspektion kommt erst bei Unzulänglichkeit dieser Nachweise oder bei konkretem Anlass in Betracht.

(2) Kontrollen sind mit angemessener Vorankündigung (in der Regel mindestens zwei Wochen nach Abstimmung), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Der Nachweis kann auch durch geeignete Zertifizierungen, genehmigte Verhaltensregeln oder aktuelle Testate sachverständiger Dritter erbracht werden. Jede Partei trägt die eigenen Kosten der Kontrolle; anlassbezogene (z. B. nach einer Datenschutzverletzung) sowie behördlich angeordnete Prüfungen sind unentgeltlich, darüber hinausgehende aufwändige oder anlasslose Audits kann der Auftragsverarbeiter nach vorheriger Abstimmung mit angemessenem Aufwand berechnen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden sowie über verbindliche Auskunftsersuchen oder Herausgabeanordnungen von Behörden oder Gerichten (auch aus Drittländern), die sich auf die im Auftrag verarbeiteten Daten des Verantwortlichen beziehen, soweit dies gesetzlich zulässig ist. Eine Herausgabe von Daten an Dritte erfolgt nur bei einer rechtlichen Verpflichtung und nach vorheriger Prüfung der Zulässigkeit; der Auftragsverarbeiter unterrichtet den Verantwortlichen so rechtzeitig, dass dieser Rechtsschutz suchen kann.

(4) Da die Plattform mehrere Verantwortliche auf gemeinsamer Infrastruktur betreibt, sind bei Inspektionen die Vertraulichkeits- und Geheimhaltungspflichten sowie der Schutz personenbezogener Daten Dritter (anderer Mandanten) zu wahren. Der Auftragsverarbeiter darf die Einsicht verweigern oder einschränken, soweit dies zum Schutz Dritter, von Geschäftsgeheimnissen oder gesetzlicher Geheimhaltungspflichten erforderlich ist, und erbringt den Nachweis in diesem Fall auf andere geeignete Weise. Ein vom Verantwortlichen beauftragter Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist vorab zur Verschwiegenheit zu verpflichten.

(5) Die Kontroll-, Nachweis- und Inspektionsrechte bestehen auch in Bezug auf die gemäß § 6 eingesetzten Unterauftragsverarbeiter; sie werden mittelbar durch den Auftragsverarbeiter ausgeübt. Der Auftragsverarbeiter legt Nachweise (z. B. Zertifikate/Testate) der Unterauftragsverarbeiter auf Verlangen vor.

§ 10 Verzeichnis von Verarbeitungstätigkeiten und Datenschutzbeauftragter

(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen sowie auf deren Anfrage der zuständigen Aufsichtsbehörde zur Verfügung.

(2) Der Auftragsverarbeiter benennt einen Datenschutzbeauftragten, soweit er hierzu nach Art. 37 DSGVO oder nach nationalem Recht verpflichtet ist. Die Kontaktdaten des Datenschutzbeauftragten sowie der Datenschutzkontaktstellen beider Parteien sind in Anlage 3 benannt.

§ 11 Haftung, Laufzeit, Kündigung und Schlussbestimmungen

(1) Die Haftung gegenüber betroffenen Personen richtet sich zwingend nach Art. 82 DSGVO und ist durch diesen Vertrag oder den Hauptvertrag nicht beschränkbar. Im Innenverhältnis haften die Parteien entsprechend ihrem jeweiligen Verantwortungsbeitrag (Art. 82 Abs. 5 DSGVO). Die Haftungsregelungen des Hauptvertrages gelten ergänzend, jedoch nur, soweit sie die zwingende Haftung nach der DSGVO unberührt lassen.

(2) Verletzt der Auftragsverarbeiter oder ein von ihm eingesetzter Unterauftragsverarbeiter Pflichten aus diesem Vertrag oder der DSGVO, stellt der Auftragsverarbeiter den Verantwortlichen von Ansprüchen Dritter, von Schadenersatzforderungen betroffener Personen (Art. 82 DSGVO) sowie von gegen den Verantwortlichen verhängten Geldbußen frei, soweit der Auftragsverarbeiter für den zugrunde liegenden Verstoß verantwortlich ist.

(3) Dieser Vertrag tritt mit Unterzeichnung in Kraft und gilt für die Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Pflichten, die ihrer Natur nach fortbestehen (insbesondere § 4 Vertraulichkeit und § 8 Löschung/Rückgabe), gelten über das Vertragsende hinaus fort. Erfolgt nach Beendigung des Hauptvertrages noch eine Verarbeitung (insbesondere zur Rückgabe oder Löschung nach § 8), gelten die Regelungen dieses Vertrages hierfür fort.

(4) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schrift- oder Textform; dies gilt auch für die Aufhebung dieses Formerfordernisses. Das elektronische Format im Sinne des Art. 28 Abs. 9 DSGVO genügt. Die Aktualisierung der Anlage 2 nach Maßgabe des § 6 stellt keine zustimmungsbedürftige Vertragsänderung dar und wird vom Auftragsverarbeiter dokumentiert.

(5) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem wirtschaftlichen Zweck am nächsten kommt. Entsprechendes gilt für etwaige Regelungslücken.

(6) Soweit Regelungen dieses Vertrages von denen des Hauptvertrages oder zugrunde liegender Allgemeiner Geschäftsbedingungen abweichen, gehen in Bezug auf die Verarbeitung personenbezogener Daten die Regelungen dieses Vertrages vor.

(7) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist der Sitz des Verantwortlichen, sofern der Verantwortliche Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich- rechtliches Sondervermögen ist; im Übrigen gelten die gesetzlichen Gerichtsstände. Die Zuständigkeit der Aufsichtsbehörden sowie die Rechte betroffener Personen auf einen gerichtlichen Rechtsbehelf nach Art. 79 DSGVO bleiben unberührt.

Anlage 1 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt zur Gewährleistung eines angemessenen Schutzniveaus die nachfolgenden technischen und organisatorischen Maßnahmen um. Maßstab ist Art. 32 Abs. 1 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen. Die Maßnahmen dienen den Schutzzielen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste:

Zutrittskontrolle: Schutz der Rechenzentren/Server-Standorte vor unbefugtem physischem Zutritt durch den Hosting-Dienstleister (Zugangssicherung, Bewachung, Protokollierung).
Zugangskontrolle: Schutz der Systeme vor unbefugter Nutzung durch Authentifizierung (Passwort-Hashing mit Argon2), rollenbasierte Zugriffssteuerung und kurzlebige Zugriffstoken.
Zugriffskontrolle: Berechtigungskonzept mit Rollen (Super-Admin, Reseller-Admin, Kunden-Admin, Nutzer) und Mandantentrennung; Zugriff nur auf erforderliche Daten („need to know”).
Weitergabekontrolle: Verschlüsselte Übertragung (TLS in-transit) zwischen Client, Plattform und Telefonie-Infrastruktur; kontrollierte, SSRF-gehärtete externe Datenabrufe.
Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge in einem manipulationsarmen Audit-Log (ohne Klartext-Geheimnisse).
Auftragskontrolle: Verpflichtung der Unterauftragsverarbeiter auf dieselben Datenschutzpflichten (siehe § 6 und Anlage 2).
Integritätskontrolle: Schutz vor unbeabsichtigter oder unbefugter Veränderung durch Prüfsummen-/Hashverfahren (z. B. SHA-512 bei Uploads), referenzielle Integrität, transaktionale Verarbeitung und Authentizitätsprüfung (Art. 32 Abs. 1 lit. b DSGVO).
Verfügbarkeitskontrolle: Regelmäßige, getestete Datensicherungen (Backups) mit definiertem Wiederherstellungsverfahren, das die rasche Wiederherstellung der Verfügbarkeit und des Zugangs nach einem physischen oder technischen Zwischenfall sicherstellt (Art. 32 Abs. 1 lit. c DSGVO), sowie Schutz vor Verlust und Zerstörung.
Belastbarkeit/Resilienz: Maßnahmen zur dauerhaften Belastbarkeit der Systeme und Dienste (Rate-Limiting, Überlastschutz, Monitoring, containerisierter Betrieb mit Neustartfähigkeit) (Art. 32 Abs. 1 lit. b DSGVO).
Trennungskontrolle: Logische Mandantentrennung der Daten verschiedener Verantwortlicher/Kunden sowie Trennung von Produktiv-, Test- und Entwicklungsumgebungen (keine Verarbeitung echter personenbezogener Produktivdaten in Test-/Entwicklungssystemen).
Verschlüsselung at-rest: Sensible Geheimnisse (insbesondere SIP-/Telefonie-Zugangsdaten) werden mit AES-256-GCM verschlüsselt gespeichert; Klartext verlässt das System nur an die berechtigten Endpunkte.
Datenminimierung/Pseudonymisierung: Beschränkung auf das für den Zweck erforderliche Maß; Pseudonymisierung, soweit mit dem Verarbeitungszweck (z. B. Telefonie-/Synchronisationsfunktion) vereinbar.
Vorfallsmanagement: Prozess zur Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen einschließlich der unverzüglichen Meldung an den Verantwortlichen (vgl. § 7 Abs. 4).
Regelmäßige Überprüfung: Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).

Anlage 2 — Unterauftragsverarbeiter

Stand der Liste: 2026-07-29. Zum Zeitpunkt des Vertragsschlusses sind die nachfolgenden Unterauftragsverarbeiter eingesetzt. Die Liste wird vom Auftragsverarbeiter aktuell gehalten und nach Maßgabe des § 6 fortgeschrieben. Die Spalte „Transfergrundlage (Art. 45/46 DSGVO)” weist die jeweilige Grundlage einer etwaigen Drittlandübermittlung aus (vgl. § 6a):

OVH — Zweck: Hosting und Betrieb der Server-Infrastruktur — Ort der Verarbeitung: Rechenzentren in Deutschland (EU) — Transfergrundlage (Art. 45/46 DSGVO): entfällt (Verarbeitung in der EU/EWR)
Infomaniak Network SA (transaktionaler E-Mail-Versand und E-Mail-Postfach) — Zweck: Versand transaktionaler E-Mails (Einladungs-, Bestätigungs- und Passwort-Zurücksetzungs-Token, Benachrichtigungen); verarbeitet E-Mail-Adressen und Namen der Nutzer — Ort der Verarbeitung: Rechenzentren in der Schweiz — Transfergrundlage (Art. 45/46 DSGVO): Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (Art. 45 DSGVO) — angemessenes Datenschutzniveau gewährleistet

Keine Auftragsverarbeitung — Ziel-Telefonanlage (PBX): Die Telefonanlage, an die Signalisierung und Medienströme vermittelt werden (z. B. eine kundeneigene Anlage oder ein vom Kunden gewählter PBX-/SIP-Trunk-Anbieter), wird vom Verantwortlichen (Firmenkunden) selbst ausgewählt und konfiguriert. Sie bzw. deren Betreiber ist ein vom Kunden verantworteter Empfänger und KEIN vom Betreiber beauftragter Subprozessor; für Betrieb, Rechtsgrundlage und etwaige Weiterverarbeitung ist der Verantwortliche zuständig.

Anlage 3 — Ansprechpartner, Kontaktstellen und EU-Vertreter

Die nachfolgenden Angaben benennen die für die Durchführung dieses Vertrages maßgeblichen Personen und Stellen. Mit „________________” markierte Felder sind vor Unterzeichnung von den Parteien auszufüllen; Änderungen sind der jeweils anderen Partei unverzüglich in Textform mitzuteilen.

Weisungsberechtigte Personen des Verantwortlichen (§ 3 Abs. 3):

Name / Funktion: ________________
E-Mail: ________________
Telefon: ________________

Weisungsempfangsberechtigte Personen des Auftragsverarbeiters (§ 3 Abs. 3):

Name / Funktion: ________________
E-Mail: ________________
Telefon: ________________

Datenschutz-Kontaktstellen / Datenschutzbeauftragte beider Parteien sowie Melde-/Datenschutzkontaktstelle für Verletzungen des Schutzes personenbezogener Daten (§ 7 Abs. 4, § 10 Abs. 2):

Datenschutzkontaktstelle des Verantwortlichen: ________________
Datenschutzbeauftragter des Verantwortlichen (falls benannt): ________________
Datenschutzkontaktstelle des Auftragsverarbeiters: ________________
Datenschutzbeauftragter des Auftragsverarbeiters (falls benannt): ________________
Melde-/Datenschutzkontaktstelle für Datenschutzverletzungen (§ 7): ________________

Vertreter des Auftragsverarbeiters in der Union (Art. 27 DSGVO / EU-Vertreter):

Name: Nils Polatzek
Anschrift: Unterwaldenstraße 18a, 16341 Panketal, Deutschland
Kontakt (E-Mail): info@phoneari.com

Entwurf — vor Verwendung rechtlich (anwaltlich) prüfen lassen. Mit „______________” markierte Felder kennzeichnen fehlende Pflichtangaben und sind vor Unterzeichnung vollständig auszufüllen. Vorlagenstand: Version 3.2.1 vom 2026-07-29.