Auftragsverarbeitungsvereinbarung (AVV)

Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO

Stand: 3. Juli 2026 · Diese Vereinbarung ist Bestandteil des Vertrags über die Nutzung der Rufona-Plattform (Ziffer 1.4 der AGB) und wird bei Registrierung bzw. Buchung in Textform akzeptiert.

zwischen

dem Kunden (Vertragspartner des Hauptvertrags über die Nutzung der Rufona-Plattform) — nachfolgend „Verantwortlicher" —

und

Louis Hall, Einzelunternehmen Kolonnenstraße 8, 10827 Berlin, Deutschland E-Mail: louis@rufona.com · Telefon: +49 30 82684597 — nachfolgend „Auftragsverarbeiter" oder „Rufona" —

— gemeinsam die „Parteien" —

1. Gegenstand und Dauer der Vereinbarung

1.1 Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der Rufona-Plattform (KI-Telefonassistent; nachfolgend „Hauptvertrag"). Sie regelt die Verarbeitung personenbezogener Daten durch Rufona im Auftrag und nach Weisung des Verantwortlichen gemäß Art. 28 DSGVO.

1.2 Gegenstand des Auftrags ist der Betrieb eines KI-gestützten Telefonassistenten für den Verantwortlichen: die Annahme (und künftig ggf. Durchführung) von Telefonanrufen auf den Leitungen des Verantwortlichen durch einen KI-Sprachassistenten sowie die damit verbundene Verarbeitung von Anrufer- und Gesprächsdaten (Ziffer 2).

1.3 Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags beendet zugleich diese Vereinbarung. Die Pflichten zur Löschung bzw. Rückgabe (Ziffer 10) sowie Vertraulichkeitspflichten (Ziffer 5) bestehen über das Vertragsende hinaus fort.

1.4 Ort der Verarbeitung ist grundsätzlich die Europäische Union (Hosting: Hetzner Online GmbH, Deutschland). Ausnahmen (Drittlandtransfers einzelner Sub-Auftragsverarbeiter, insbesondere der Sprachausgabe-Dienstleister/USA) sind in Anlage 2 transparent ausgewiesen; Ziffer 7.5 gilt.

2. Art und Zweck der Verarbeitung

2.1 Zweck der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

a) KI-Anrufannahme: Entgegennahme eingehender Anrufe auf den Rufnummern des Verantwortlichen durch einen KI-Sprachassistenten, Gesprächsführung nach der vom Verantwortlichen hinterlegten Konfiguration (Systemprompt, Wissensbasis, aktivierte Funktionen wie Weiterleitung an Mitarbeiter); b) Transkription: Umwandlung des Gesprächs-Audios in Text in Echtzeit (Speech-to-Text) sowie Erzeugung der gesprochenen Antworten (Text-to-Speech); das Audio wird ausschließlich transient verarbeitet und nicht aufgezeichnet oder gespeichert; c) Zusammenfassung und Extraktion: automatische Erstellung einer Gesprächszusammenfassung und strukturierter Felder (z. B. Anliegen, Rückrufnummer) nach Gesprächsende; d) Kontakte („Gedächtnis"): Führung eines mandantengetrennten Kontaktverzeichnisses des Verantwortlichen (Anlage automatisch beim Anruf, per Import oder manuell), einschließlich Wiedererkennung wiederkehrender Anrufer anhand der Rufnummer, Anrufhistorie, Notizen, eigener Felder, Tags und Einwilligungsstatus je Kanal; e) Bereitstellung der Ergebnisse im Dashboard des Verantwortlichen sowie — sofern vom Verantwortlichen konfiguriert — Übermittlung an vom Verantwortlichen benannte Endpunkte (Webhooks, Datenabruf-Integrationen).

2.2 Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Übermitteln (an vom Verantwortlichen konfigurierte Empfänger und die in Anlage 2 genannten Sub-Auftragsverarbeiter), Verknüpfen (Anruf ↔ Kontakt), Einschränken und Löschen — jeweils automatisiert.

2.3 Rufona verarbeitet die Auftragsdaten ausschließlich zur Vertragserfüllung. Eine Nutzung zu eigenen Zwecken, insbesondere das Training von KI-Modellen mit Auftragsdaten, findet nicht statt. Auch die eingesetzten KI-Sub-Auftragsverarbeiter nutzen die Auftragsdaten nicht zum Training: Der Anbieter des KI-Sprachmodells trainiert nach vertraglicher Zusage nicht auf Kundendaten; beim Sprachausgabe-Dienstleister ist die Trainingsnutzung kontoseitig deaktiviert; beim Spracherkennungs-Dienstleister ist der Trainings-Opt-out technisch gesetzt.

2.4 Nicht Gegenstand dieser Vereinbarung sind Daten, für die Rufona selbst Verantwortlicher ist: Kundenaccount-Daten (E-Mail, Passwort-Hash, Verifizierungscodes), Abrechnungs- und Zahlungsdaten sowie Betriebs- und Sicherheitsprotokolle. Hierüber informiert die Datenschutzerklärung von Rufona.

3. Kategorien betroffener Personen und Datenarten

3.1 Kategorien betroffener Personen:

a) Anrufer auf den Leitungen des Verantwortlichen (z. B. Kunden, Interessenten, Patienten, Mandanten, Lieferanten des Verantwortlichen); b) Mitarbeiter und sonstige Ansprechpartner des Verantwortlichen (z. B. als Weiterleitungsziele, in Gesprächsinhalten genannte Personen, Nutzer des Dashboards, soweit deren Handeln in Auftragsdaten abgebildet ist); c) sonstige Personen, deren Daten in Gesprächsinhalten, importierten Kontakten oder vom Verantwortlichen hinterlegten Wissensdokumenten enthalten sind.

3.2 Arten personenbezogener Daten:

a) Stammdaten / Kontaktdaten: Name, Firma, Telefonnummer (E.164 — zugleich Wiedererkennungsschlüssel), E-Mail-Adresse, vom Verantwortlichen definierte eigene Felder, Tags, Notizen, Einwilligungsstatus je Kanal (Anrufaufzeichnung/SMS/E-Mail/Werbeanrufe); b) Gesprächsinhalte: Transkripte der Telefongespräche, automatische Zusammenfassungen, extrahierte strukturierte Felder; das zugrunde liegende Audio wird nur transient verarbeitet und nicht gespeichert; c) Verbindungs- und Metadaten: Rufnummer des Anrufers, angerufene Nummer, Zeitpunkt, Dauer, Richtung, Gesprächsergebnis, Protokoll des eingesetzten Modellanbieters (Nachweis nach der KI-Verordnung); d) Inhalte vom Verantwortlichen bereitgestellter Wissensdokumente (PDF) und Import-Dateien (CSV/vCard), soweit personenbezogen.

3.3 Besondere Kategorien (Art. 9 DSGVO): Der Inhalt eines Telefongesprächs wird vom Anrufer bestimmt. Insbesondere bei Verantwortlichen aus dem Gesundheits-, Rechts- oder Sozialbereich (z. B. Arztpraxen, Kanzleien) können Gesprächsinhalte Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten enthalten (z. B. „Ich brauche einen Termin wegen …"). Der Verantwortliche ist dafür verantwortlich, dass für eine solche Verarbeitung eine geeignete Rechtsgrundlage (Art. 9 Abs. 2 DSGVO) besteht; Rufona verarbeitet diese Daten ausschließlich nach dieser Vereinbarung und den technischen und organisatorischen Maßnahmen der Anlage 1. Ziffer 5.3 (Berufsgeheimnis) gilt ergänzend.

4. Weisungsrecht des Verantwortlichen

4.1 Rufona verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern nicht eine Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten erforderlich ist; in einem solchen Fall teilt Rufona dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

4.2 Der Hauptvertrag, diese Vereinbarung und die vom Verantwortlichen im Dashboard vorgenommene Konfiguration (u. a. Systemprompt, aktivierte Funktionen, Webhook-Ziele, Kontakte-Einstellungen, Import- und Löschaktionen) gelten als dokumentierte Weisungen. Ergänzende Einzelweisungen bedürfen der Textform (E-Mail an louis@rufona.com genügt).

4.3 Rufona informiert den Verantwortlichen unverzüglich, wenn Rufona der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO). Rufona ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

4.4 Weisungsberechtigt sind die im Kundenkonto hinterlegten Nutzer des Verantwortlichen; empfangsberechtigt bei Rufona ist der Inhaber (louis@rufona.com).

5. Vertraulichkeit und Berufsgeheimnisschutz

5.1 Rufona stellt sicher, dass sich alle zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Vertraulichkeitspflicht besteht nach Beendigung der Tätigkeit und nach Vertragsende fort. (Zum Zeitpunkt dieses Entwurfs beschäftigt Rufona kein Personal; verarbeitungsbefugt ist ausschließlich der Inhaber. Werden künftig Personen einbezogen, werden diese vor Aufnahme der Tätigkeit schriftlich verpflichtet.)

5.2 Zugriffe von Rufona auf Auftragsdaten erfolgen nur, soweit dies zur Vertragserfüllung, zur Fehleranalyse oder auf Weisung des Verantwortlichen (z. B. Support) erforderlich ist. Jede Support-Anmeldung im Kundenkonto („Login als Kunde") wird protokolliert.

5.3 Berufsgeheimnisschutz (§ 203 StGB): Ist der Verantwortliche Berufsgeheimnisträger im Sinne des § 203 StGB (z. B. Arzt, Zahnarzt, Psychotherapeut, Apotheker, Rechtsanwalt, Steuerberater) oder deren berufsmäßig tätiger Gehilfe, gilt ergänzend:

a) Rufona und alle von Rufona zur Verarbeitung befugten Personen werden als mitwirkende Personen im Sinne des § 203 Abs. 3 Satz 2 und Abs. 4 StGB tätig. Rufona verpflichtet sich und diese Personen zur Geheimhaltung aller fremden Geheimnisse (insbesondere Patienten-, Mandats- und Betriebsgeheimnisse), die Rufona im Rahmen des Auftrags bekannt werden — zeitlich unbegrenzt, auch über das Vertragsende hinaus; b) Rufona wird solche Geheimnisse nur offenbaren, soweit dies zur ordnungsgemäßen Vertragserfüllung erforderlich ist (insbesondere gegenüber den in Anlage 2 genannten Sub-Auftragsverarbeitern) oder eine gesetzliche Pflicht zur Offenbarung besteht; c) Rufona ist bekannt, dass eine unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbewehrt ist; d) zieht Rufona weitere mitwirkende Personen oder Sub-Auftragsverarbeiter hinzu, verpflichtet Rufona diese entsprechend zur Geheimhaltung und weist sie auf die Strafbarkeit nach § 203 StGB hin (§ 203 Abs. 4 Satz 2 Nr. 1 StGB); e) der Verantwortliche bleibt verpflichtet, die berufsrechtlichen Anforderungen an die Einschaltung externer Dienstleister (z. B. § 43e BRAO für Rechtsanwälte, berufsrechtliche Vorgaben der Heilberufe) eigenverantwortlich zu prüfen und einzuhalten.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

6.1 Rufona trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) und hält sie während der Vertragslaufzeit auf dem Stand der Technik. Die Maßnahmen dürfen weiterentwickelt und durch mindestens gleichwertige Maßnahmen ersetzt werden; wesentliche Änderungen werden dokumentiert.

6.2 Der Verantwortliche hat die Anlage 1 geprüft und erkennt sie als angemessenes Schutzniveau im Sinne des Art. 32 DSGVO für die in Ziffer 2 und 3 beschriebene Verarbeitung an — vorbehaltlich seiner eigenen Risikobeurteilung, insbesondere bei besonderen Kategorien nach Ziffer 3.3.

7. Sub-Auftragsverarbeiter

7.1 Der Verantwortliche erteilt hiermit die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der in Anlage 2 nach Kategorien beschriebenen Sub-Auftragsverarbeiter; die konkrete Namensliste stellt Rufona nach Maßgabe der Anlage 2 bereit.

7.2 Selbst betriebene Software auf eigener Infrastruktur von Rufona (u. a. LiveKit-Anrufinfrastruktur, Postgres-Datenbank, Embeddings/RAG, SearXNG-Websuche, Crawler) begründet keine Sub-Auftragsverarbeitung; insoweit ist allein der Hosting-Anbieter (Hetzner) Sub-Auftragsverarbeiter.

7.3 Änderungen: Rufona informiert den Verantwortlichen vorab über die beabsichtigte Hinzuziehung oder Ersetzung eines Sub-Auftragsverarbeiters (Mitteilung im Dashboard-Mitteilungszentrum und/oder per E-Mail). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen ab der Mitteilung widersprechen. Im Fall eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt diese nicht, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.

7.4 Rufona erlegt jedem Sub-Auftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt dem Verantwortlichen gegenüber für die Leistungen des Sub-Auftragsverarbeiters verantwortlich.

7.5 Drittlandtransfers: Übermittlungen in Drittländer erfolgen nur auf Grundlage geeigneter Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss/EU-U.S. Data Privacy Framework und/oder EU-Standardvertragsklauseln), wie in Anlage 2 je Kategorie ausgewiesen. Der wesentliche Drittlandtransfer im Anrufpfad ist der Sprachausgabe-Dienstleister (USA) für die Sprachausgabe (TTS) sowie — nur im Rückfall — die Spracherkennung (STT); die Standard-Spracherkennung erfolgt über einen EU-Endpunkt. Für diese Übermittlungen sind EU-Standardvertragsklauseln als Absicherung vorgesehen; eine Kopie stellt Rufona auf Anfrage (louis@rufona.com) bereit.

8. Unterstützung des Verantwortlichen; Betroffenenrechte

8.1 Rufona unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Das Produkt stellt hierfür insbesondere bereit:

a) Auskunft (Art. 15): JSON-Export je Kontakt im Dashboard (Export-Button); b) Löschung (Art. 17): echte Löschung einzelner Kontakte im Dashboard (Kontakt samt eigener Felder, Tags, Notizen und Einwilligungen; die Anrufhistorie bleibt erhalten und wird vom Kontakt entkoppelt); zugehörige Transkripte und Anrufzusammenfassungen löscht Rufona auf Anfrage; c) Einwilligungsverwaltung je Kontakt und Kanal (Anrufaufzeichnung/SMS/E-Mail/Werbeanrufe) mit Status erteilt/offen/verweigert.

8.2 Wendet sich eine betroffene Person (z. B. ein Anrufer) unmittelbar an Rufona, leitet Rufona den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche weist Rufona hierzu an.

8.3 Rufona unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der Rufona zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO). Für die vom Verantwortlichen ggf. durchzuführende Datenschutz-Folgenabschätzung stellt Rufona auf Anfrage die erforderlichen Informationen über die Verarbeitung (Anlagen 1 und 2, Datenflüsse) bereit.

9. Meldepflichten bei Datenschutzverletzungen

9.1 Rufona meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) — an die im Kundenkonto hinterlegte E-Mail-Adresse.

9.2 Die Meldung enthält, soweit bereits bekannt, mindestens: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen sowie einen Ansprechpartner. Informationen, die noch nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht.

9.3 Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) und die Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen; Rufona unterstützt hierbei nach Ziffer 8.3. Rufona dokumentiert Verletzungen einschließlich der Umstände, Auswirkungen und Abhilfemaßnahmen.

9.4 Rufona informiert den Verantwortlichen außerdem unverzüglich über behördliche Anfragen oder Kontrollhandlungen, die Auftragsdaten betreffen, soweit eine solche Information rechtlich zulässig ist.

10. Löschung und Rückgabe nach Vertragsende

10.1 Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht Rufona nach Wahl des Verantwortlichen alle Auftragsdaten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht Unions- oder mitgliedstaatliches Recht eine weitere Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO).

10.2 Rückgabe: Der Verantwortliche kann seine Kontaktdaten bis zum Vertragsende selbst exportieren (JSON-Export je Kontakt); auf Anfrage stellt Rufona einen Gesamtexport der Auftragsdaten in einem gängigen maschinenlesbaren Format bereit. Diesen Gesamtexport stellt Rufona derzeit auf Anfrage bereit.

10.3 Transparenzhinweis zum Ist-Stand (ehrlich): Die Kontolöschung ist derzeit technisch als Markierung umgesetzt; eine automatische physische Löschung aller Auftragsdaten bei Vertragsende erfolgt noch nicht. Die endgültige Löschung wird derzeit auf Verlangen des Verantwortlichen manuell durchgeführt und in Textform bestätigt. Rufona sagt daher zu: Löschung auf Verlangen innerhalb einer angemessenen Frist nach Vertragsende, nicht eine automatische Löschung.

10.4 Von der Löschung ausgenommen sind Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (insbesondere handels- und steuerrechtliche Aufbewahrung von Abrechnungsdaten, § 147 AO); diese werden für die weitere Verarbeitung gesperrt und nach Fristablauf gelöscht. Gelöschte Daten können bis zum Ablauf der Backup-Aufbewahrung fortbestehen; Sicherungen werden spätestens nach 30 Tagen durch Rotation überschrieben.

11. Nachweise und Kontrollrechte

11.1 Rufona stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

11.2 Nachweise werden vorrangig erbracht durch: diese Vereinbarung mit Anlagen, Selbstauskünfte/Dokumentation von Rufona sowie vorhandene Nachweise der Sub-Auftragsverarbeiter (z. B. Zertifizierungen und Auditberichte des Hosting-Anbieters und der eingesetzten Cloud- und Zahlungsdienstleister). Eine eigene Zertifizierung (z. B. ISO 27001) hält Rufona derzeit nicht vor.

11.3 Vor-Ort-Inspektionen erfolgen nach vorheriger Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und unter Wahrung der Vertraulichkeit der Daten anderer Kunden (Mandantentrennung). Höchstens einmal jährlich, außer bei konkretem Anlass (z. B. Datenschutzverletzung). Über eine solche Prüfung hinausgehenden angemessenen Aufwand kann Rufona dem Verantwortlichen nach Aufwand in Rechnung stellen.

12. Haftung

12.1 Für die Haftung der Parteien im Zusammenhang mit dieser Vereinbarung gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei entsprechend ihrem Anteil an der Verantwortung für den durch eine Verarbeitung verursachten Schaden (Art. 82 Abs. 5 DSGVO).

12.2 Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (einschließlich dort vereinbarter Haftungsbeschränkungen) auch für diese Vereinbarung, soweit dem nicht zwingendes Recht — insbesondere die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO — entgegensteht. Insbesondere gelten die Haftungshöchstgrenzen aus Ziffer 11 der AGB (Höchstsumme die in den letzten zwölf Monaten gezahlte Vergütung, mindestens 5.000 €) entsprechend.

12.3 Geldbußen nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt werden.

13. Schlussbestimmungen

13.1 Diese Vereinbarung geht bei Widersprüchen zu den Regelungen des Hauptvertrags in datenschutzrechtlichen Fragen vor.

13.2 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

13.3 Es gilt das Recht der Bundesrepublik Deutschland; Gerichtsstand ist Berlin nach Maßgabe von Ziffer 15.2 der AGB.

13.4 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs)

Stand: Juli 2026. Alle Angaben beschreiben den tatsächlichen Ist-Stand der Plattform.

1. Hosting und Infrastruktur

Betrieb der gesamten Plattform (App, API, Datenbank, Anruf-Infrastruktur, RAG/Embeddings, Websuche, Crawler) auf eigenen Servern bei Hetzner Online GmbH (Deutschland/EU), containerisiert (Docker).
Medien-/Anrufinfrastruktur (LiveKit, SIP) self-hosted — kein externer Media-Cloud-Dienst.
Interne Dienste (Embeddings, Websuche, Crawler) kommunizieren über ein privates Netz zwischen den eigenen Servern.

2. Verschlüsselung

Transportverschlüsselung: TLS für alle öffentlichen Endpunkte (automatisch via Let's Encrypt/Caddy).
Zugangsdaten der Kunden zu Drittsystemen (Integrationen) werden AES-256-GCM-verschlüsselt gespeichert.
Passwörter nur als Hash; E-Mail-Verifizierungscodes sha256-gehasht, 10 Minuten gültig, Sperre nach 5 Fehlversuchen.

3. Mandantentrennung (Tenant-Isolation)

Strikte logische Trennung aller Kundendaten auf Abfrageebene: jede Datenbankabfrage ist auf den jeweiligen Mandanten beschränkt (tenant-scoped); Mandanten-ID stammt ausschließlich aus der authentifizierten Session, nie aus der URL.
Tenant-Isolation zuletzt auditiert 2026-06-29 (kein mandantenübergreifender Lese- oder Schreibzugriff).

4. Zugriffs- und Zugangskontrolle

Kundenzugang: Login mit E-Mail/Passwort + E-Mail-Verifizierung; API-Zugriff über mandantenbezogene API-Schlüssel (rotierbar).
Operator-/Administrationszugang: nur über WireGuard-VPN erreichbare Admin-Konsole, zusätzlich TOTP-Zwei-Faktor bei Anmeldung und bei jedem Support-Zugriff auf ein Kundenkonto.
Jeder Support-Zugriff („Login als Kunde") wird protokolliert (Audit-Log); optionale Kunden-Zustimmungsschaltung.
Server-Zugang: SSH ausschließlich per Schlüssel (Passwort-Authentifizierung deaktiviert).
Interne Dienst-zu-Dienst-Aufrufe (Agent ↔ API) über geheime Token.

5. Datenminimierung im Anrufpfad

Keine Audio-Aufzeichnung: Gesprächs-Audio wird ausschließlich transient verarbeitet; gespeichert werden nur Transkript, Zusammenfassung, extrahierte Felder und Metadaten.
KI-Verarbeitung in der EU, soweit verfügbar: das KI-Sprachmodell wird ausschließlich in der EU verarbeitet (Rechenzentrumsregion Deutschland, EU-Datengrenze); die Spracherkennung (STT) erfolgt standardmäßig über einen EU-Endpunkt; Ausnahme ist der Sprachausgabe-Dienstleister (USA, Sprachausgabe + Rückfall-STT) gemäß Anlage 2.
Wissensdokumente (PDF) werden ausschließlich auf eigener Infrastruktur eingebettet und durchsucht (kein externer Embedding-Dienst).

6. Verfügbarkeit und Wiederherstellbarkeit

Datenbank-Backup (pg_dump) vor jedem Deployment; Deployments mit Healthcheck und automatischem Rollback.
Externes Uptime-Monitoring von separater Infrastruktur.

7. Auftragskontrolle und Organisation

Verarbeitung nur nach dokumentierter Weisung (Ziffer 4 der Vereinbarung); Konfigurationsänderungen durch den Kunden wirken unmittelbar als Weisung.
Protokollierung jedes Anrufs einschließlich des eingesetzten Modellanbieters (Provider-Log).
Sub-Auftragsverarbeiter nur gemäß Anlage 2; keine Nutzung von Auftragsdaten zum KI-Training durch Rufona.

Anlage 2 — Kategorien der genehmigten Sub-Auftragsverarbeiter

Stand: Juli 2026. Selbst betriebene Software auf eigener Hetzner-Infrastruktur (LiveKit, Embeddings/TEI, SearXNG, Crawler, Postgres, Monitoring) ist kein Sub-Auftragsverarbeiter.

Rufona setzt Sub-Auftragsverarbeiter der folgenden Kategorien ein. Die konkrete, jeweils aktuelle Liste mit Namen und Sitz stellt Rufona dem Verantwortlichen auf Anfrage sowie bei Vertragsschluss bereit und hält sie aktuell; Änderungen werden nach Ziffer 7.3 (mit Widerspruchsrecht) angekündigt.

Hosting-Anbieter — Hetzner Online GmbH, Deutschland/EU: Betrieb der gesamten Plattform (App, API, Datenbank inkl. Transkripte und Kontakte, Anruf-Infrastruktur, RAG, Crawler); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Anbieter des KI-Sprachmodells — EU (Rechenzentrumsregion Deutschland, EU-Datengrenze): Live-Gesprächsführung, Zusammenfassungen, Unternehmensinfo-Generierung, Kontakt-Import; Datenschutznachtrag (DPA); Ein-/Ausgaben können zur Missbrauchskontrolle vorübergehend (bis zu 30 Tage) innerhalb der EU gespeichert werden; kein Training auf Kundendaten.
Sprachausgabe-Dienstleister (TTS), zugleich Rückfall-Spracherkennung — USA: verarbeitet Antworttexte und — nur im Rückfall der Spracherkennung — ggf. Anrufer-Audio; EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln; Trainingsnutzung kontoseitig deaktiviert.
Spracherkennungs-Dienstleister (STT, Standard) — EU-Endpunkt (Anbieter mit US-Sitz): standardmäßige Spracherkennung; DPA mit Standardvertragsklauseln; Trainings-Opt-out technisch gesetzt.
Telekommunikations-Carrier — Inbound-Verarbeitung Region Irland/EU (Anbieter mit US-Konzern): SIP-Trunking und deutsche Rufnummern; DPF und Standardvertragsklauseln im Carrier-DPA; Audio nur transient, keine Aufzeichnung.
Dienstleister für Transaktions-E-Mails — Frankreich/EU: Benachrichtigungen im Kundenauftrag sowie Kontoverifizierung für Rufona-eigene Zwecke; Standard-DPA.

Hinweis: Der Zahlungsdienstleister (Zahlungsabwicklung) verarbeitet ausschließlich Daten der Kunden Rufonas (nie Anruferdaten) und handelt überwiegend als eigenständig Verantwortlicher — er ist daher kein Sub-Auftragsverarbeiter der Auftragsdaten und wird in der Datenschutzerklärung ausgewiesen.

Hinweis zu Drittlandtransfers: Das EU-U.S. Data Privacy Framework wurde 09/2025 vom EuG bestätigt; eine EuGH-Revision ist anhängig. EU-Standardvertragsklauseln sind als Fallback vorgesehen; eine Kopie stellt Rufona auf Anfrage (louis@rufona.com) bereit.

Unterschriften entfallen bei elektronischem Abschluss: Die Zustimmung zu dieser Vereinbarung erfolgt bei der Registrierung bzw. Buchung über die Rufona-Plattform in Textform (Bestätigung per Checkbox). Auf Wunsch stellt Rufona zusätzlich ein gegengezeichnetes Exemplar bereit (Anfrage an louis@rufona.com).