Rechtliche Dokumente

Auftragsverarbeitungsvertrag (AVV) - euroSIP

Stand: 20. August 2026 Dokumentversion: 2026-08-20.1

1. Parteien und Gegenstand

Der euroSIP-Kunde ist Verantwortlicher, soweit er Zwecke und Mittel der über euroSIP verarbeiteten personenbezogenen Daten bestimmt. Der Betreiber von euroSIP verarbeitet die in Anlage 1 beschriebenen Daten ausschließlich nach dokumentierter Weisung des Kunden und im Rahmen der gebuchten Leistungen.

Dieser Vertrag konkretisiert die Pflichten der Parteien nach Artikel 28 DSGVO. Er gilt ab elektronischer Annahme durch einen vertretungsberechtigten Tenant-Administrator und für die Dauer der jeweiligen Hauptleistung.

2. Art, Zweck und Dauer der Verarbeitung

Gegenstand sind Bereitstellung und Betrieb einer VoIP-Telefonanlage, insbesondere Verbindungssteuerung, Warteschlangen, Mailboxen, Gesprächsaufzeichnungen, verschlüsselte Speicherung, Wiedergabe, Abrechnung, Fehleranalyse und vertragsgemäße Löschung. Die Verarbeitung endet mit dem Hauptvertrag; gesetzliche Aufbewahrungspflichten und dokumentierte Löschprozesse bleiben unberührt.

3. Weisungen

euroSIP verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Konfigurationen im Admincenter gelten als Weisungen. Hält euroSIP eine Weisung für rechtswidrig, wird der Kunde unverzüglich informiert und die Ausführung bis zur Klärung ausgesetzt, soweit keine gesetzliche Pflicht entgegensteht.

4. Vertraulichkeit und Personal

Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet, nach dem Need-to-know-Prinzip berechtigt und regelmäßig zu Datenschutz und Informationssicherheit geschult. Berechtigungen werden protokolliert und regelmäßig überprüft.

5. Technische und organisatorische Maßnahmen

Die Maßnahmen umfassen insbesondere:

• rollen- und tenantgetrennte Zugriffssteuerung mit Audit-Protokollen;
• Transportverschlüsselung und verschlüsselte Ablage von Aufzeichnungen;
• Schlüsselrotation und getrennte Schlüsselkonfiguration;
• Wiederherstellungs-, Patch-, Backup- und Verfügbarkeitsprozesse;
• Datenminimierung, konfigurierbare Aufbewahrung und nachvollziehbare Löschung;
• Protokollierung administrativer Zugriffe und sicherheitsrelevanter Vorgänge;
• Schutz vor unbefugtem Export, Manipulation und tenantübergreifendem Zugriff;
• regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen.

Die produktiv eingesetzten Maßnahmen, Standorte, Wiederherstellungsziele und Prüfintervalle sind vor Produktivstart in einer freigegebenen TOM-Anlage zu konkretisieren.

6. Unterauftragsverarbeiter

Unterauftragsverarbeiter dürfen nur unter den Voraussetzungen des Artikels 28 DSGVO eingesetzt werden. Eine aktuelle Liste mit Firma, Leistung, Standort und Übermittlungsgrundlage wird dem Kunden elektronisch bereitgestellt. Beabsichtigte Änderungen werden rechtzeitig angekündigt; gesetzliche Widerspruchsrechte und vertragliche Folgen werden transparent beschrieben.

7. Unterstützung des Kunden

euroSIP unterstützt den Kunden im angemessenen Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen, Sicherheitsmaßnahmen und der Erfüllung von Meldepflichten. Anfragen betroffener Personen werden nicht eigenständig beantwortet, sondern unverzüglich an den Kunden weitergeleitet, soweit keine gesetzliche Verpflichtung besteht.

8. Datenschutzverletzungen

Verletzungen des Schutzes personenbezogener Daten werden dem Kunden nach Bekanntwerden unverzüglich mit den verfügbaren Angaben zu Art, Umfang, Betroffenen, wahrscheinlichen Folgen und Gegenmaßnahmen gemeldet. Ergänzende Informationen werden ohne unangemessene Verzögerung nachgereicht.

9. Nachweise und Kontrollen

euroSIP stellt erforderliche Nachweise zur Verfügung und ermöglicht angemessene Kontrollen nach Vorankündigung. Prüfungen müssen Vertraulichkeit, Sicherheit und Rechte anderer Kunden wahren. Zertifizierungen ersetzen nicht das gesetzliche Kontrollrecht, können aber als Nachweis berücksichtigt werden.

10. Rückgabe und Löschung

Nach Ende der Leistung werden personenbezogene Daten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Löschungen aus Sicherungen erfolgen im dokumentierten Backup-Zyklus. Metadaten, die zur Erfüllung gesetzlicher Nachweispflichten erforderlich sind, werden gesperrt und zweckgebunden aufbewahrt.

Anlage 1 – Datenkategorien und betroffene Personen

Mögliche Datenkategorien: Stamm- und Vertragsdaten, SIP- und Durchwahlinformationen, Rufnummern, Verbindungs- und Routingdaten, Geräte- und Registrierungsdaten, Audioaufzeichnungen, Einwilligungs- und Bedienereignisse, Nutzungs- und Abrechnungsdaten, Benutzer- und Auditdaten.

Betroffene Personen: Beschäftigte und Beauftragte des Kunden, Anrufer, Angerufene, Ansprechpartner, Portalbenutzer und sonstige Kommunikationspartner.

Anlage 2 – Besondere Weisung für Gesprächsaufzeichnungen

Der Kunde aktiviert Aufzeichnungen nur bei eigener rechtlicher Zulässigkeit. Er legt pro Nebenstelle das Zustimmungsverfahren, die Berechtigungen und die Aufbewahrungsdauer fest. euroSIP dokumentiert technische Zustimmungs- oder Start-/Stopp-Ereignisse; dies ersetzt weder die rechtliche Prüfung noch einen vom Kunden erforderlichen Nachweis der Gesprächsführung.

Elektronische Annahme

Gespeichert werden Tenant, annehmender Administrator, Dokumentversion, SHA-256-Dokumenthash, UTC-Zeitpunkt, Quell-IP und ein Hash des User-Agent. Die Gesprächsaufzeichnung bleibt bis zur nachweisbaren Annahme deaktiviert.