Auftragsverarbeitungsvertrag RufNetz
Fassung vom 07.11.2026
Vorbemerkung
Dieser Vertrag regelt, wie die RufNetz GmbH die Daten verarbeitet, die ein Betrieb ihr anvertraut. Er ist an die Standardvertragsklauseln der EU-Kommission angelehnt (Durchführungsbeschluss (EU) 2021/915, eur-lex.europa.eu/eli/dec_impl/2021/915/oj) und an das Muster der Wirtschaftskammer (wko.at/datenschutz/eu-dsgvo-auftragsverarbeitung-mustervertrag).
§ 1 Parteien, Gegenstand und Dauer
Verantwortlicher: der Betrieb, der RufNetz nutzt (Name, Anschrift, Firmenbuchnummer laut Bestellung).
Auftragsverarbeiter: RufNetz GmbH, Am Sonnenhang 4, 4040 Linz, FN 684482 t (Landesgericht Linz), UID ATU83676639, vertreten durch die Geschäftsführer Elias Hemelrijk und Fabian Grabner, jeweils selbstständig. Kontakt für Datenschutz: team@rufnetz.at.
1. RufNetz stellt dem Betrieb eine digitale Assistentin bereit. Sie nimmt Anrufe an, liest und beantwortet Nachrichten, führt Kunden, Aufträge, Termine, Angebote und Rechnungen und erinnert den Chef an Offenes. Dabei verarbeitet RufNetz personenbezogene Daten im Auftrag des Betriebs. Einzelheiten stehen in Anlage 1.
2. Dieser Vertrag gilt, solange der Nutzungsvertrag läuft, einschließlich der Testzeit. Er endet mit ihm, die Pflichten aus § 4 zur Löschung gelten darüber hinaus.
3. Die Verarbeitung findet grundsätzlich in der EU statt. Wo ein Dienst Daten in ein Drittland übermittelt, gilt § 3.
§ 2 Pflichten von RufNetz
1. Weisung: RufNetz verarbeitet die Daten nur nach dokumentierter Weisung des Betriebs. Die Weisung ist dieser Vertrag samt Nutzungsvertrag; weitere Weisungen gibt der Betrieb im Dashboard, im Chat mit der Assistentin oder per Mail. Hält RufNetz eine Weisung für rechtswidrig, sagt RufNetz das sofort.
2. Eigene Zwecke: RufNetz nutzt die Daten nicht für eigene Zwecke und verkauft sie nicht. Die eingesetzten KI-Anbieter trainieren laut ihren Verträgen nicht mit den Daten (siehe Anlage 3).
3. Vertraulichkeit: Wer bei RufNetz Zugriff hat, ist zur Verschwiegenheit verpflichtet, auch über das Ende der Tätigkeit hinaus.
4. Sicherheit: RufNetz trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 stehen, und hält sie auf dem Stand der Technik. Änderungen dürfen das Schutzniveau nicht senken.
5. Unterstützung: RufNetz hilft dem Betrieb, seine Pflichten nach Art. 32 bis 36 DSGVO zu erfüllen, etwa bei einer Datenschutz-Folgenabschätzung.
6. Ansprechpartner: Einen Datenschutzbeauftragten hat RufNetz derzeit nicht bestellt. Ansprechpartner sind die Geschäftsführer über team@rufnetz.at.
§ 3 Unterauftragsverarbeiter und Drittländer
1. Der Betrieb genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Will RufNetz einen neuen Dienst einsetzen oder einen ersetzen, informiert RufNetz den Betrieb mindestens 14 Tage vorher per Mail. Der Betrieb kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Lösung zustande, kann er den Nutzungsvertrag zu diesem Zeitpunkt kündigen.
3. RufNetz verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Schutzpflichten wie in diesem Vertrag und haftet für ihn wie für sich selbst.
4. Übermittelt ein Dienst Daten in ein Land außerhalb des EWR, geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses (etwa EU-US Data Privacy Framework für zertifizierte Anbieter) oder der Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914. Welche Grundlage für welchen Dienst gilt, steht in Anlage 3.
§ 4 Betroffenenrechte, Datenpannen, Löschung, Kontrolle
1. Betroffenenrechte: Wendet sich ein Kunde des Betriebs mit einem Auskunfts-, Lösch- oder Berichtigungswunsch an RufNetz, leitet RufNetz ihn unverzüglich an den Betrieb weiter. RufNetz hilft bei der Erfüllung, etwa mit einem Datenexport oder einer Löschung einzelner Kunden.
2. Datenpannen: Bemerkt RufNetz eine Verletzung des Schutzes personenbezogener Daten, meldet RufNetz das dem Betrieb unverzüglich, spätestens binnen 48 Stunden, mit allem, was er für seine Meldung an die Datenschutzbehörde binnen 72 Stunden braucht.
3. Löschung bei Vertragsende: Nach Vertragsende kann der Betrieb binnen 30 Tagen einen Export seiner Daten verlangen. Danach löscht RufNetz alle Daten des Betriebs, auch bei den Unterauftragsverarbeitern, außer eine gesetzliche Aufbewahrungspflicht verlangt etwas anderes. Sicherungskopien laufen nach ihrer festen Frist ab (Anlage 2). RufNetz bestätigt die Löschung auf Wunsch schriftlich.
4. Nachweis und Kontrolle: RufNetz stellt dem Betrieb auf Anfrage die Informationen zur Verfügung, die zeigen, dass dieser Vertrag eingehalten wird. Eine Prüfung vor Ort ist nach Vorankündigung von 14 Tagen zu den Geschäftszeiten möglich.
§ 5 Schluss
1. Bei Widersprüchen geht dieser Vertrag dem Nutzungsvertrag in Fragen des Datenschutzes vor.
2. Es gilt österreichisches Recht. Änderungen bedürfen der Textform; eine Mail genügt.
3. Ist eine Bestimmung unwirksam, bleibt der Rest gültig.
4. Der Vertrag kommt zustande, indem der Betrieb ihn bei der Bestellung bzw. im Onboarding annimmt. Für bestehende Betriebe gilt er ab Unterzeichnung durch beide Seiten.
| Ort, Datum | Unterschrift | |
|---|---|---|
| Betrieb | ||
| RufNetz GmbH, vertreten durch die Geschäftsführung |
Anlage 1: Beschreibung der Verarbeitung
Betroffene: Kunden und Interessenten des Betriebs, deren Ansprechpartner, Anrufer; Chef und Mitarbeiter des Betriebs als Nutzer.
| Kanal | Daten | Zweck | Aufbewahrung |
|---|---|---|---|
| Anruf | Telefonnummer, Name, Anliegen, Adresse, Gesprächstranskript, Zusammenfassung; keine Tonaufnahme | Anruf annehmen, Anliegen festhalten, Chef informieren | Transkript 30 Tage; bei ElevenLabs gemäß den Einstellungen des Anbieters, die Frist wird auf Anfrage mitgeteilt; Anrufzeile ohne Transkript 12 Monate |
| Absender, Inhalt, Anhänge, Antwortentwürfe | Anfragen zuordnen, Antworten zur Freigabe vorbereiten | bis Vertragsende | |
| WhatsApp (nach Aktivierung des Kanals) | Nummer, Name, Nachrichten | wie Mail | bis Vertragsende |
| Chat mit dem Chef | Anweisungen, Notizen, Sprachnachrichten (als Text) | Betriebsbuch führen, erinnern | Gesprächsverlauf 24 Stunden; erledigte Notizen 6 Monate |
| Betriebsbuch | Kunden, Aufträge, Termine, Angebote, Rechnungen | Aufträge führen, Rechnungen erstellen | für die Vertragsdauer; Kunden ohne Kontakt seit 12 Monaten werden anonymisiert |
| Kalender (optional) | Termine im verbundenen Google-Kalender | Termine abgleichen | solange verbunden |
Besondere Kategorien nach Art. 9 DSGVO werden nicht gezielt verarbeitet. Erwähnt ein Anrufer sie von sich aus, landen sie im Transkript.
Anlage 2: Technische und organisatorische Maßnahmen
Die Mandantentrennung gilt für alle Tabellen mit Kundendaten.
| Bereich | Maßnahme |
|---|---|
| Mandantentrennung | Jeder Datensatz trägt die Kennung seines Betriebs; die Datenbank lässt nur Zugriff auf die eigenen Zeilen zu (Row-Level-Security). |
| Zugang | Anmeldung am Dashboard über persönliche Konten; Passwörter nur gehasht gespeichert. Server-Schlüssel liegen nur im Backend, nie im Browser. |
| Übertragung | Alle Verbindungen verschlüsselt (TLS). Eingehende Webhooks werden vor jeder Verarbeitung per Signatur geprüft. |
| Speicherung | Datenbank in Frankfurt (EU), im Ruhezustand verschlüsselt (AES-256 laut Anbieter). Server-Protokolle 30 Tage, Zustellprotokolle 90 Tage. |
| Geheimnisse | Zugangsschlüssel zentral verwaltet, nicht im Code; Rotation nach festem Ablauf. |
| Sicherung | Tägliche Sicherung beim Datenbankanbieter (8 Tage); zusätzliche verschlüsselte Sicherung, 14 Tage vorgehalten. Die Zusatzsicherung liegt GPG-verschlüsselt auf einem eigenen Server in Nürnberg (Deutschland). |
| Löschung | Automatische Löschfristen (Anlage 1); vollständige Löschung und Export je Betrieb, mit Löschprotokoll ohne personenbezogene Daten. |
| Ausgang | Nichts geht ohne Freigabe des Chefs an einen Kunden. |
| Organisation | Zugriff nur für die Geschäftsführer; Verschwiegenheitspflicht; Prüfung jeder Code-Änderung vor dem Einspielen. |
Anlage 3: Unterauftragsverarbeiter
Regionen gemessen am 15./16.10.2026, soweit angegeben. Drittland-Grundlage aus den Verträgen (DPA) der Anbieter und dem Register des EU-US Data Privacy Framework (DPF, dataprivacyframework.gov).
| Dienst | Zweck | Standort | Drittland-Grundlage |
|---|---|---|---|
| Supabase | Datenbank, Anmeldung, Server-Funktionen | Frankfurt (EU), gemessen | Standardvertragsklauseln (SCC) laut DPA des Anbieters; nicht im DPF |
| Anthropic | KI-Modell der Assistentin (Anruf-, Chat-, Mail-Inhalte) | USA (die direkte API hat keine EU-Option) | SCC 2021/914 Modul 2/3 laut DPA; nicht im DPF |
| ElevenLabs | Sprach-KI am Telefon, Transkript; Umschrift der Sprachnachrichten des Chefs (Telegram) in Text | USA (US-Region, gemessen 16.10.; EU nur im Enterprise-Tarif) | DPF (Eleven Labs Inc., aktiv bis 09.02.2027) und SCC laut DPA |
| Twilio | Telefonie, SMS, Rufnummern | USA (Region US1, gemessen 16.10.) | DPF (Twilio Inc., aktiv), BCR, SCC laut DPA |
| Vercel | Dashboard | Frankfurt (laut Konfiguration); Konto-Daten USA | SCC 2021/914 laut DPA; zusätzlich DPF (Vercel Inc., aktiv) |
| Railway | Chat-Backend der Assistentin | EU West, Amsterdam (NL), gemessen 16.10. | DPF (Railway Corporation, aktiv) oder SCC laut DPA |
| Resend | Mailversand | USA (Konto- und Protokolldaten immer USA) | SCC laut DPA; DPF unter Rechtsname „PLUS FIVE FIVE“, Rezertifizierung in Prüfung |
| Upstash | Zeitgesteuerte Aufgaben | EU-Region (nur QStash, laut Code und Anbieter-Doku) | DPF (Upstash, Inc., aktiv), ersatzweise SCC |
| Hetzner | Verschlüsselte Zusatzsicherung | Nürnberg (EU), gemessen | nicht nötig |
| Meta (WhatsApp), nur bei aktiviertem WhatsApp-Kanal | WhatsApp-Kanal | WhatsApp Ireland, Weitergabe an WhatsApp LLC (USA) | DPF (WhatsApp LLC, aktiv), ersatzweise SCC Modul 3 |
| Telegram | Meldungen an den Chef | Niederlande für EWR-Nutzer; Firma auf den Britischen Jungferninseln | wird auf Anfrage mitgeteilt |
| Open-Meteo | Wetter am Ort des Betriebs (nur Ort, keine Kundendaten) | Schweiz | Angemessenheitsbeschluss Schweiz |
Nicht in dieser Liste, weil eigene Rolle: Stripe (Zahlung des RufNetz-Abos, teils eigener Verantwortlicher) und Google (Gmail und Kalender, vom Betrieb mit seinem eigenen Konto verbunden).
Quellen
- Durchführungsbeschluss (EU) 2021/915: eur-lex.europa.eu/eli/dec_impl/2021/915/oj
- WKO-Mustervertrag Art. 28 DSGVO: wko.at/datenschutz/eu-dsgvo-auftragsverarbeitung-mustervertrag
- Firmenangaben: Impressum rufnetz.at