Auftragsverarbeitungsvertrag (AVV)

Stand: 24. August 2026

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen:

Auftraggeber (Verantwortlicher):
Der Kunde von TerminTelefon (im Folgenden „Kunde")

Auftragnehmer (Verarbeiter):
TerminTelefon™
Einzelunternehmen Gunnar Mohr
Otto-Fischer-Str. 3
50674 Köln
E-Mail: support@termintelefon.de
Website: https://termintelefon.de
USt-IdNr.: nicht vorhanden

Präambel

Der Kunde nutzt TerminTelefon als KI-Telefonassistent für sein Unternehmen. Im Rahmen dieser Dienstleistung verarbeitet TerminTelefon personenbezogene Daten im Auftrag des Kunden. Dieser AVV regelt die Pflichten beider Parteien gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Kunden im Rahmen der Nutzung des TerminTelefon-Dienstes.

(2) Der AVV gilt für die Dauer der Vertragsbeziehung zwischen Kunde und Auftragnehmer sowie nach deren Beendigung, solange der Auftragnehmer personenbezogene Daten des Kunden verarbeitet.

(3) Die Datenverarbeitung beginnt mit der ersten Nutzung des Dienstes durch den Kunden.

§ 2 Umfang und Art der Verarbeitung

(1) Der Auftragnehmer verarbeitet im Auftrag des Kunden folgende personenbezogene Daten:

• Telefonnummern von Anrufern
• Aufnahme und Transkription von Telefongesprächen (KI-Spracherkennung)
• Kalenderdaten und Terminbuchungen
• Kundendaten des Gewerbebetriebs (Name, Adresse, Telefonnummer)

(2) Art der Verarbeitung:

• Erfassung von Anruferdaten
• Automatische Transkription von Sprachdaten
• Verarbeitung von Kalenderinformationen
• Speicherung und Übertragung von Daten

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich gemäß den Weisungen des Kunden, sofern er nicht nach geltendem Recht zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 DSGVO).

(2) Der Auftragnehmer gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragnehmer unterstützt den Kunden bei der Erfüllung dessen Pflichten nach Art. 32 bis 36 DSGVO durch geeignete technische und organisatorische Maßnahmen.

(4) Der Auftragnehmer ermöglicht die Durchführung von Audits und Inspektionen durch den Kunden oder von diesem beauftragte Dritte.

§ 4 Weisungsgebundenheit

(1) Der Auftragnehmer ist verpflichtet, personenbezogene Daten nur im Einklang mit den Weisungen des Kunden zu verarbeiten.

(2) Erteilt der Kunde keine Weisungen, ist der Auftragnehmer berechtigt, die Verarbeitung vorübergehend einzustellen.

(3) Der Auftragnehmer informiert den Kunde unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt.

§ 5 Unterauftragsverarbeiter

(1) Der Auftragnehmer bedient sich zur Erbringung der Dienstleistungen folgender Unterauftragsverarbeiter:

• Railway (EU): Hosting der Backend-Infrastruktur
• Cloudflare (EU): CDN und DNS-Dienste
• MongoDB Atlas (EU - Frankfurt): Datenbank-Hosting
• Telnyx (EU): Telefonei und Sprachdienste
• Ultravox / Cartesia.ai: KI-Sprachsynthese und -erkennung
• Stripe (EU): Zahlungsabwicklung
• Hostinger: E-Mail-Dienste

(2) Alle Unterauftragsverarbeiter verarbeiten Daten ausschließlich innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR).

(3) Der Auftragnehmer wählt die Unterauftragsverarbeiter mit der gebotenen Sorgfalt aus und schließt mit ihnen Verträge ab, die die in Art. 28 Abs. 3 DSGVO vorgesehenen Pflichten regeln.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragnehmer setzt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).

(2) Folgende Maßnahmen werden umgesetzt:

• Verschlüsselung: Alle Daten werden bei Übertragung (TLS 1.3) und im Ruhezustand (AES-256) verschlüsselt.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle mit Multi-Faktor-Authentifizierung für administrative Zugriffe.
• Protokollierung: Umfassende Logging aller Zugriffe und Verarbeitungsvorgänge.
• Regelmäßige Updates: Alle Systeme werden regelmäßig mit Sicherheitsupdates versehen.
• Penetrationstests: Regelmäßige Sicherheitsüberprüfungen durch externe Experten.
• Datenminimierung: Nur notwendige Daten werden verarbeitet.
• Löschkonzept: Automatische und manuelle Löschroutinen gemäß den Vorgaben des Kunden.

§ 7 Löschung und Rückgabe von Daten

(1) Nach Beendigung der Vertragsbeziehung löscht oder zurückgibt der Auftragnehmer alle personenbezogenen Daten des Kunden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Löschung erfolgt spätestens 30 Tage nach Vertragsende.

(3) Der Kunde wird über die Löschung informiert und erhält eine Bestätigung.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Kunde ist berechtigt, die Einhaltung der Vorschriften dieses AVV und der geltenden Datenschutzgesetze durch den Auftragnehmer zu kontrollieren.

(2) Der Auftragnehmer unterstützt den Kunden bei dieser Kontrolle durch:

• Überprüfung der TOMs
• Einblick in relevante Dokumentationen
• Beantwortung von Auskunftsersuchen

§ 9 Meldung von Verstößen

(1) Der Auftragnehmer meldet dem Kunden unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm bekannt geworden ist, dass ein Verstoß gegen die Sicherheit der personenbezogenen Daten vorliegt (Art. 33 DSGVO).

(2) Die Meldung enthält:

• Beschreibung der Art des Verstoßes
• Kategorien der betroffenen personenbezogenen Daten
• Mögliche Folgen
• Maßnahmen zur Behebung des Verstoßes

§ 10 Haftung

(1) Die Haftung des Auftragnehmers beschränkt sich auf vorsätzliche oder grob fahrlässige Verstöße gegen die Bestimmungen dieses AVV oder gegen geltendes Datenschutzrecht.

(2) Der Auftragnehmer haftet nicht für Schäden, die durch Handlungen oder Unterlassungen des Kunden verursacht wurden.

§ 11 Schlussbestimmungen

(1) Änderungen oder Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollte eine Bestimmung dieses AVV unwirksam sein, bleiben die übrigen Bestimmungen unberührt. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(4) Gerichtsstand ist Köln, soweit der Kunde Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist.

---

Kontakt bei Fragen zu diesem AVV:

TerminTelefon™
Einzelunternehmen Gunnar Mohr
Otto-Fischer-Str. 3
50674 Köln
E-Mail: support@termintelefon.de