Auftragsverarbeitungsvertrag (DPA)

Data Processing Agreement gemäss Art. 9 des Bundesgesetzes über den Datenschutz (DSG)

Stand: 30. März 2026

1. Gegenstand und Geltungsbereich

1.1 Parteien

• Verantwortlicher (Controller): Der Kunde, der den KI-Telefonassistenten-Dienst von fonea nutzt (nachfolgend «Kunde»)
• Auftragsbearbeiterin (Processor): kraftscale GmbH, Aastrasse 8, 8853 Lachen SZ, CHE-155.650.863 (nachfolgend «fonea»)

1.2 Gegenstand

Dieser Auftragsverarbeitungsvertrag (nachfolgend «DPA») regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Bearbeitung personenbezogener Daten durch fonea im Auftrag des Kunden im Rahmen des KI-Telefonassistenten-Dienstes.

1.3 Rangordnung

Bei Widersprüchen zwischen diesem DPA und den AGB gehen die Bestimmungen dieses DPA vor, soweit sie den Schutz personenbezogener Daten betreffen.

1.4 Dauer

Dieser DPA gilt für die gesamte Dauer des Vertragsverhältnisses sowie darüber hinaus, solange fonea personenbezogene Daten des Kunden bearbeitet.

2. Art und Zweck der Bearbeitung

fonea bearbeitet personenbezogene Daten ausschliesslich zum Zweck der Erbringung des KI-Telefonassistenten-Dienstes:

• Entgegennahme eingehender Telefonanrufe
• Echtzeit-Spracherkennung (Speech-to-Text) und Sprachsynthese (Text-to-Speech)
• KI-gestützte Gesprächsführung
• Erstellung von Gesprächstranskriptionen und -zusammenfassungen
• Speicherung und Bereitstellung der Gesprächsdaten an den Kunden
• Weiterleitung von Nachrichten und Anrufen
• Optionale Gesprächsaufnahme (nur bei expliziter Aktivierung durch den Kunden und Einwilligung des Anrufers)

3. Kategorien betroffener Personen

• Anrufer, die bei einem Kunden anrufen, der fonea nutzt
• Mitarbeitende des Kunden (soweit Kontaktdaten für Weiterleitung hinterlegt)

4. Kategorien bearbeiteter Daten

4.1 Standardmässig bearbeitete Daten

4.2 Optional bearbeitete Daten

4.3 Nicht bearbeitete Daten

fonea erstellt keine Stimmabdrücke (Voiceprints) und verwendet keine biometrische Stimmerkennung zur Identifizierung von Anrufern.

5. Besonders schützenswerte Personendaten

Das Audiosignal wird transient verarbeitet (Speech-to-Text) und unmittelbar verworfen. Es erfolgt keine dauerhafte Speicherung von Audiodaten im Standardbetrieb.

Je nach Branche des Kunden können Gesprächsinhalte besonders schützenswerte Personendaten enthalten (Gesundheitsdaten, Daten über rechtliche Verfahren, Finanzdaten). Der Kunde als Verantwortlicher ist dafür zuständig, die Rechtmässigkeit der Bearbeitung sicherzustellen und die Vereinbarkeit mit allfälligen Berufsgeheimnispflichten zu prüfen.

6. Pflichten von fonea

6.1 Weisungsgebundenheit

fonea bearbeitet personenbezogene Daten ausschliesslich gemäss den dokumentierten Weisungen des Kunden. Die Weisungen ergeben sich aus diesem DPA, den AGB und der Konfiguration des KI-Assistenten durch den Kunden im Dashboard.

Ist fonea der Ansicht, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstösst, informiert fonea den Kunden unverzüglich.

6.2 Vertraulichkeit

Alle Personen, die bei fonea Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet. fonea stellt sicher, dass nur autorisierte Personen Zugang zu den Daten haben.

6.3 Technische und organisatorische Massnahmen

fonea trifft angemessene technische und organisatorische Massnahmen zum Schutz der personenbezogenen Daten gemäss Anhang A dieses DPA.

6.4 Unterstützung des Kunden

fonea unterstützt den Kunden bei der Beantwortung von Auskunftsbegehren (Art. 25 DSG), bei Berichtigung, Löschung oder Einschränkung der Bearbeitung (Art. 32 DSG), bei Datenschutz-Folgenabschätzungen (Art. 22 DSG) und bei der Meldung von Datenschutzverletzungen (Art. 24 DSG).

6.5 Löschung und Rückgabe

Nach Beendigung des Vertragsverhältnisses löscht fonea alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt fonea vor der Löschung einen Export in maschinenlesbarem Format (JSON/CSV) bereit.

7. Pflichten des Kunden

7.1 Rechtmässigkeit

Der Kunde ist als Verantwortlicher dafür zuständig, dass die Bearbeitung auf einer gültigen Rechtsgrundlage beruht, betroffene Personen informiert werden und allfällige Einwilligungen eingeholt werden.

7.2 Informationspflicht gegenüber Anrufern

Der Kunde verpflichtet sich, seine Anrufer in geeigneter Weise über den Einsatz des KI-Telefonassistenten zu informieren. fonea unterstützt den Kunden durch eine automatische KI-Offenlegung zu Beginn jedes Gesprächs.

7.3 Branchenspezifische Pflichten

Kunden in regulierten Branchen sind selbst verantwortlich für die Vereinbarkeit mit Art. 321 StGB (Arztgeheimnis), BGFA und Standesregeln SAV (Anwaltsgeheimnis) sowie weiteren branchenspezifischen Geheimhaltungspflichten.

8. Unterauftragsbearbeiter

8.1 Genehmigte Unterauftragsbearbeiter

Der Kunde genehmigt die unter fonea.ch/subprocessors aufgeführten Unterauftragsbearbeiter. fonea stellt sicher, dass alle Unterauftragsbearbeiter vertraglichen Datenschutzpflichten unterliegen, die mindestens dem Schutzniveau dieses DPA entsprechen.

8.2 Änderungen

fonea informiert den Kunden mindestens 30 Tage im Voraus über geplante Änderungen an der Liste der Unterauftragsbearbeiter. Der Kunde kann innerhalb von 14 Tagen Einspruch erheben. Können die Parteien keine Einigung erzielen, hat der Kunde das Recht, den Vertrag fristlos zu kündigen.

8.3 Haftung

fonea haftet für das Verhalten ihrer Unterauftragsbearbeiter wie für ihr eigenes.

9. Datenbekanntgabe ins Ausland

9.1 Speicherung in der Schweiz

Alle dauerhaft gespeicherten Daten werden ausschliesslich in der Schweiz gespeichert (Supabase, gehostet auf Infrastruktur der Infomaniak Network SA, Genf).

9.2 Transiente Verarbeitung

Für die Echtzeit-Anrufverarbeitung werden Daten transient auf Servern in Deutschland verarbeitet. Details unter fonea.ch/subprocessors.

9.3 Rechtsgrundlage

Die Bekanntgabe ins Ausland erfolgt gestützt auf Art. 16 DSG. Deutschland und das Vereinigte Königreich verfügen über ein angemessenes Datenschutzniveau gemäss Bundesratsbeschluss. Für US-Anbieter gilt — sofern unter dem Swiss-U.S. Data Privacy Framework (DPF) zertifiziert — ebenfalls ein angemessenes Datenschutzniveau. Ergänzend sind mit allen Anbietern Auftragsverarbeitungsverträge vereinbart. Die Datenverarbeitung erfolgt ausschliesslich in der Schweiz oder der EU.

10. Technische und organisatorische Massnahmen (Anhang A)

10.1 Verschlüsselung

• In Transit: TLS 1.3 für alle Datenübertragungen
• At Rest: AES-256 für alle gespeicherten Daten
• Sprachaufnahmen (falls aktiviert): Zusätzlich verschlüsselt mit kundenbezogenem Schlüssel

10.2 Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle (RBAC) für das Kunden-Dashboard
• Multi-Faktor-Authentifizierung (MFA) für alle Konten
• Strikte logische Datentrennung zwischen Kunden (Mandantentrennung)
• Minimalprinzip: Zugriff nur auf die für die jeweilige Funktion erforderlichen Daten

10.3 Audit-Logging

• Protokollierung aller Zugriffe auf personenbezogene Daten
• Protokollierung aller administrativen Aktionen
• Protokollierung der KI-Offenlegung bei jedem Gespräch
• Aufbewahrung der Logs für 90 Tage

10.4 Backup und Wiederherstellung

• Regelmässige verschlüsselte Backups
• Backups ausschliesslich auf Schweizer Infrastruktur
• Dokumentiertes Wiederherstellungsverfahren

10.5 Löschkonzept

• Automatische Löschung nach Ablauf der konfigurierten Aufbewahrungsfrist
• Löschung auf Anfrage des Kunden innerhalb von 30 Tagen
• Unwiderrufliche Datenlöschung nach Vertragsende innerhalb von 30 Tagen

11. Meldung von Datenschutzverletzungen

fonea informiert den Kunden unverzüglich nach Kenntnisnahme einer Verletzung der Sicherheit personenbezogener Daten. Die Meldung enthält mindestens: Art der Verletzung und betroffene Datenkategorien, Anzahl der voraussichtlich betroffenen Personen, voraussichtliche Folgen sowie ergriffene und vorgeschlagene Massnahmen. fonea unterstützt den Kunden bei der Erfüllung seiner Meldepflichten gegenüber dem EDÖB (Art. 24 DSG) und gegenüber betroffenen Personen.

12. Löschung und Rückgabe bei Vertragsende

Der Kunde kann jederzeit einen Export seiner Daten in maschinenlesbarem Format (JSON/CSV) anfordern. Innerhalb von 30 Tagen nach Vertragsende löscht fonea sämtliche personenbezogenen Daten unwiderruflich. Ausgenommen sind Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (z.B. Rechnungsdaten gemäss Art. 958f OR). fonea bestätigt die vollständige Löschung auf Verlangen schriftlich.

13. Audit-Rechte

Der Kunde hat das Recht, von fonea alle Informationen zu verlangen, die zum Nachweis der Einhaltung dieses DPA erforderlich sind. Der Kunde oder ein beauftragter unabhängiger Prüfer kann Audits durchführen, die mit mindestens 30 Tagen Vorlaufzeit anzukündigen sind. Die Kosten trägt der Kunde, sofern das Audit keine Verstösse ergibt.

14. Haftung

Die Haftung richtet sich nach den AGB und den anwendbaren gesetzlichen Vorschriften. fonea haftet für Datenschutzverstösse ihrer Unterauftragsbearbeiter wie für eigenes Verschulden.

15. Branchenspezifische Zusatzklauseln

15.1 Gesundheitswesen

Soweit der Kunde dem Arztgeheimnis (Art. 321 StGB) unterliegt: fonea anerkennt, dass Gesprächsinhalte dem Arztgeheimnis unterliegende Informationen enthalten können, und verpflichtet sich, diese mit besonderer Sorgfalt zu behandeln. Der Kunde ist dafür verantwortlich, die Konfiguration so zu gestalten, dass keine medizinischen Diagnosen oder Behandlungsempfehlungen gegeben werden. Der Kunde bestätigt, dass er die Vereinbarkeit mit Art. 321 StGB geprüft hat.

15.2 Anwaltskanzleien

Soweit der Kunde dem Anwaltsgeheimnis unterliegt: fonea anerkennt, dass Gesprächsinhalte dem Anwaltsgeheimnis unterliegende Informationen enthalten können, und verpflichtet sich, diese mit besonderer Sorgfalt zu behandeln. Der Kunde bestätigt, dass er die Vereinbarkeit mit den Standesregeln des SAV und dem BGFA geprüft hat.

Dieser DPA tritt mit der Registrierung des Kunden und Annahme der AGB in Kraft.

kraftscale GmbH, Aastrasse 8, 8853 Lachen SZ, CHE-155.650.863