fonio.aiAVV
DSGVO-Auftragsverarbeitung&EU-Server

Warum du für fonio.ai einen AVV brauchst

Wenn du fonio.ai einsetzt, hört der Voice Agent echte Kundengespräche. Namen, Anliegen, Telefonnummern: Das sind personenbezogene Daten im Sinne der DSGVO. Sobald ein externer Dienstleister solche Daten in deinem Auftrag verarbeitet, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Und eine Auftragsverarbeitung ohne schriftlichen Vertrag ist ein Datenschutzverstoß.

Das Bußgeldrisiko ist nicht theoretisch. Die DSGVO sieht Sanktionen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Auch wenn solche Höchstbeträge KMU selten treffen, bleibt ein fehlender AVV bei einer Prüfung ein vermeidbares Risiko.

Der AVV ist also keine Formalität, die man irgendwann nachholt. Er muss vorliegen, bevor der Voice Agent den ersten Anruf entgegennimmt.

Was der fonio.ai AVV regelt

Der fonio.ai Auftragsverarbeitungsvertrag ist automatisch Bestandteil der AGB. Du musst ihn nicht separat anfordern oder unterschreiben. Mit dem Vertragsabschluss wird der AVV rechtswirksam.

Der AVV regelt konkret:

• Verarbeitungsgegenstand: Audio-Sprachdaten aus Telefonaten, zugehörige Metadaten, Kontaktdaten der Anrufenden und Qualitätsdaten aus der Gesprächsanalyse
• EU-Datenresidenz: Das System-Hosting läuft über die Hetzner Online GmbH in deutschen Rechenzentren (u. a. Nürnberg und Falkenstein). Die Sprach- und KI-Dienste (Speech-to-Text, Text-to-Speech, LLM) verarbeiten in EU-Regionen, für Audiodaten gilt durchgehend Zero-Data-Retention — sie werden nicht dauerhaft gespeichert. Soweit US-Anbieter als Sub-Auftragsverarbeiter eingebunden sind, ist die Übermittlung über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln (SCC) abgesichert.
• Datenlöschfristen: Standardmäßig werden Daten sechs Monate nach Vertragsende gelöscht, sofern keine andere Anweisung vorliegt. Gesetzliche Aufbewahrungspflichten (z. B. sieben Jahre für Buchungsbelege) bleiben davon unberührt.
• Sub-Auftragsverarbeiter: fonio.ai setzt zur Leistungserbringung ausgewählte Subunternehmer ein (z. B. Hetzner fürs Hosting, Google, OpenAI und Microsoft für die Sprachverarbeitung). Die vollständige, genehmigte Liste mit Dienstleistung, Serverstandort und Transfer-Rechtsgrundlage ist in Anhang 3 des AVV dokumentiert.
• Keine KI-Trainingsnutzung: Laut Anhang 2 des AVV werden personenbezogene Daten weder von fonio.ai noch von dessen Sub-Auftragsverarbeitern zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen verwendet.
• Technische und organisatorische Maßnahmen (TOMs): fonio.ai ist vertraglich verpflichtet, angemessene Sicherheitsmaßnahmen zum Schutz von Verfügbarkeit, Vertraulichkeit und Integrität der Daten zu treffen. Die detaillierte TOM-Liste ist in Anhang 1 des AVV veröffentlicht — u. a. ISO-27001-zertifiziertes Rechenzentrum, Verschlüsselung at rest und in transit, Multi-Faktor-Authentifizierung und regelmäßige Penetrationstests.
• Betroffenenrechte: fonio.ai unterstützt dich bei der Beantwortung von Auskunfts-, Lösch- und Berichtigungsanfragen deiner Kunden.

Wo du den fonio.ai AVV findest

Der AVV ist ein eigenständiges Dokument und zugleich integraler Bestandteil der fonio.ai-AGB. Du findest ihn direkt unter fonio.ai/de/avv (öffnet in neuem Tab), die zugehörigen AGB unter fonio.ai/de/agbs (öffnet in neuem Tab). Da der AVV Bestandteil der AGB ist, gilt er automatisch für jeden aktiven fonio.ai-Account. Eine gesonderte Unterzeichnung ist nicht nötig. Kennen und in deinem Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO dokumentieren musst du ihn trotzdem.

Für dein internes Datenschutzdokument benötigst du mindestens:

• Name und Anschrift von fonio.ai als Auftragsverarbeiter
• Verweis auf den AVV (URL oder Datum der AGB-Version)
• Beschreibung der verarbeiteten Datenkategorien (Sprachdaten, Metadaten)
• Angabe des Serverstandorts (EU / Deutschland)

Für wen der AVV besonders wichtig ist

Der AVV ist für alle Unternehmen Pflicht, die einen Voice Agent betreiben. Für bestimmte Branchen gelten darüber hinaus erhöhte Anforderungen:

Arztpraxen und medizinische Einrichtungen: Gespräche mit Patienten können Gesundheitsdaten enthalten, die als besondere Kategorie nach Art. 9 DSGVO gelten und strengeren Schutzanforderungen unterliegen. Zusätzlich greift § 203 StGB (ärztliche Schweigepflicht). Ohne lückenloses Datenschutz-Konzept inklusive AVV riskieren Praxisinhaber strafrechtliche Konsequenzen.

Rechtsanwälte und Notare: Mandatsgespräche unterliegen der anwaltlichen Verschwiegenheitspflicht nach § 43a BRAO. Der Einsatz eines externen Voice Agents ohne AVV und nachgewiesene TOMs kann berufsrechtliche Verstöße begründen.

Steuerberater und Wirtschaftsprüfer: Sensible Finanz- und Einkommensdaten von Mandanten erfordern ein belastbares Datenschutz-Fundament. Berufsverbände empfehlen hier die AVV-Dokumentation vor jedem Einsatz externer KI-Dienste.

Banken und Versicherungen: Neben der DSGVO gelten hier zusätzlich BaFin-Anforderungen und das Bankgeheimnis. Ein AVV ist hier Mindestanforderung, nicht Kür.

fonio.ai vs. US-Anbieter: Der AVV-Unterschied

Nicht alle Voice-Agent-Plattformen bieten einen AVV zu vergleichbaren Konditionen an:

Für deutsche KMU bedeutet der Einsatz von US-Anbietern ohne angepassten Vertrag ein erhebliches Compliance-Risiko. Datentransfers in die USA sind seit dem EU-US Data Privacy Framework zwar unter bestimmten Voraussetzungen möglich, erfordern aber zusätzliche Prüfschritte und Standardvertragsklauseln. Diesen Aufwand vermeidet fonio.ai durch EU-Hosting von vornherein.

Mehr dazu auf unserer Vergleichsseite fonio.ai vs. VAPI und auf der Übersichtsseite zu DSGVO-konformen Voice Agents.

Was du selbst dokumentieren musst

Der AVV von fonio.ai existiert. Die Einbindung in deine eigene Datenschutzdokumentation liegt aber in deiner Verantwortung als verantwortliche Stelle. In der Praxis bedeutet das:

• Eintrag des fonio.ai AVV in dein Verzeichnis der Verarbeitungstätigkeiten
• Anpassung deiner Datenschutzerklärung auf der Website (Hinweis auf Voice Agent und Auftragsverarbeiter)
• Aufnahme des Voice-Agent-Betriebs in deine technischen und organisatorischen Maßnahmen (TOMs)
• Bei Berufsgeheimnisträgern: Prüfung branchenspezifischer Anforderungen durch deinen Datenschutzbeauftragten

Das sind Aufgaben für dich, deinen internen Datenschutzbeauftragten oder einen externen DSB. FoxifAI ist Implementierungspartner für den technischen Voice-Agent-Betrieb: Wir richten den Agenten ein, übernehmen Kalenderintegration und Konfiguration. Für die juristische Datenschutzdokumentation deines Unternehmens sind wir nicht der richtige Ansprechpartner.

Was wir liefern, ist ein technisch sauber aufgesetzter, DSGVO-konformer Voice Agent auf EU-Infrastruktur, die Grundlage, damit dein Datenschutz-Setup überhaupt funktionieren kann. Alle Details zum Angebot findest du auf der Voice Agent Seite. Wer das Abo selbst abschließt, kann über uns fonio.ai mit FoxifAI-Partnerrabatt starten (öffnet in neuem Tab) und 10 % auf das erste Abo sparen.

---

Häufige Fragen zum fonio.ai AVV

Schließt fonio.ai den AVV automatisch ab?

Ja. Der Auftragsverarbeitungsvertrag ist fester Bestandteil der AGB von fonio.ai und wird mit dem Vertragsabschluss rechtswirksam. Du musst nichts separat unterzeichnen. Du solltest den AVV jedoch kennen und in deinem internen Verzeichnis der Verarbeitungstätigkeiten dokumentieren.

Was passiert, wenn ich keinen AVV habe oder ihn nicht dokumentiere?

Fehlt der AVV oder ist er nicht dokumentiert, liegt ein Datenschutzverstoß vor. Aufsichtsbehörden können Bußgelder verhängen, im gewerblichen Bereich auch ohne vorangegangene Beschwerde. Für Arztpraxen und Kanzleien kommt zusätzlich das Risiko berufsrechtlicher Konsequenzen hinzu. Der AVV bei fonio.ai besteht zwar automatisch, aber ohne interne Dokumentation kannst du seine Existenz im Zweifelsfall nicht nachweisen.

Gelten für Arztpraxen besondere Anforderungen beim fonio.ai-Einsatz?

Ja. Patientengespräche können Gesundheitsdaten enthalten, die nach Art. 9 DSGVO als besonders schützenswert gelten. Zusätzlich greift die ärztliche Schweigepflicht nach § 203 StGB. Für Arztpraxen ist eine erweiterte Datenschutz-Dokumentation üblich, die über den Standard-AVV hinausgeht: Risikoabwägung für die Datenverarbeitung, ggf. eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO und eine klare Regelung welche Gesprächsinhalte gespeichert werden dürfen. Diese Dokumentation erstellt dein Datenschutzbeauftragter — FoxifAI liefert dafür die technischen Informationen zum Voice-Agent-Setup, die er für die Bewertung braucht.

---

Bereit für einen DSGVO-konformen Voice Agent in deinem Unternehmen? Jetzt kostenloses Erstgespräch buchen (öffnet in neuem Tab). Wir besprechen technisches Setup und Integration in einem Termin. FoxifAI, Leibnizstraße 9a, 44793 Bochum.