Zuletzt aktualisiert: Juli 2026

Kurz gefasst

Sie sind Verantwortlicher für die Daten Ihrer Kunden; wir verarbeiten sie nur nach Ihren Weisungen und zur Erbringung des Dienstes.
Die Subprozessoren-Liste ist öffentlich; jede Aufnahme oder Änderung wird 30 Tage im Voraus angekündigt, und Sie können widersprechen.
Bei einer Sicherheitsverletzung mit personenbezogenen Daten benachrichtigen wir Sie innerhalb von 48 Stunden nach Kenntnisnahme.
Bei Vertragsende können Sie eine Kopie Ihrer Daten und deren Löschung verlangen; sie erfolgt innerhalb von 90 Tagen.

Diese Zusammenfassung hilft beim Lesen, ersetzt das Dokument aber nicht: Maßgeblich ist der vollständige Text.

Dieser Auftragsverarbeitungsvertrag (DPA) ist Bestandteil der Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten, die Phoenix IA im Auftrag des Kunden bei der Bereitstellung des Noe-Dienstes vornimmt. Bei Widersprüchen zu den Nutzungsbedingungen hinsichtlich der Datenverarbeitung hat dieser DPA Vorrang.

1. Begriffsbestimmungen

„Verantwortlicher“ ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; „Auftragsverarbeiter“ wer Daten im Auftrag des Verantwortlichen verarbeitet; „Kundendaten“ die personenbezogenen Daten, die der Kunde oder seine Endkunden dem Dienst zur Verfügung stellen; „Unterauftragsverarbeiter“ ein Dritter, den Phoenix zur Verarbeitung von Kundendaten beauftragt; „Anwendbares Recht“ umfasst das Gesetz 25.326 (Argentinien), die DSGVO (EU), die UK GDPR, das schweizerische Datenschutzrecht und den CCPA (Kalifornien), je nach Anwendbarkeit; „SCC“ sind die Standardvertragsklauseln der Europäischen Kommission.

2. Rollen der Parteien

In Bezug auf Kundendaten handelt der Kunde als Verantwortlicher und Phoenix IA als Auftragsverarbeiter. Phoenix verarbeitet Daten ausschließlich nach dokumentierten Anweisungen des Kunden und um den Dienst bereitzustellen, zu warten und abzusichern. Für Zwecke des CCPA handelt Phoenix als „Dienstleister“ („service provider“): Sie verkauft oder „teilt“ keine personenbezogenen Daten und nutzt sie nicht außerhalb der Vertragsbeziehung.

3. Datenkategorien und betroffene Personen

Verarbeitete Daten: Identifikations- und Kontaktdaten (Name, E-Mail, Telefon/WhatsApp), vom Kunden und seinen Endkunden bereitgestellte Inhalte (Nachrichten, Dateien, Katalog), Konversationsmetadaten und Nutzungsdaten. Betroffene Personen: die Endkunden des Kunden, das autorisierte Personal des Kunden und jede Person, deren Daten der Kunde in den Dienst einbringt.

4. Pflichten von Phoenix als Auftragsverarbeiter

Phoenix: verarbeitet Daten nur nach dokumentierten Anweisungen; beschränkt den Zugriff auf zur Vertraulichkeit verpflichtetes Personal; wendet technische und organisatorische Maßnahmen an (siehe die Sicherheitsseite); unterstützt den Kunden bei Anfragen betroffener Personen; verkauft oder teilt die Daten nicht; und benachrichtigt den Kunden, falls eine Anweisung gegen anwendbares Recht verstoßen könnte.

5. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Nutzung von Unterauftragsverarbeitern. Die aktuelle Liste wird auf der Seite der Unterauftragsverarbeiter veröffentlicht. Phoenix wird jede Hinzufügung oder jeden Austausch mindestens 30 Tage im Voraus ankündigen; der Kunde kann aus Datenschutzgründen widersprechen und, falls keine Lösung erzielt wird, die Nutzung des Dienstes beenden. Phoenix bleibt für die Leistung seiner Unterauftragsverarbeiter verantwortlich.

6. Internationale Datenübermittlungen

Die Verarbeitung erfolgt hauptsächlich auf der Infrastruktur von Supabase und den gelisteten Anbietern. Für Übermittlungen aus der EU/dem EWR, dem Vereinigten Königreich und der Schweiz stützen sich die Parteien auf die EU-Standardvertragsklauseln (Modul 2, Verantwortlicher zu Auftragsverarbeiter), das UK Addendum (IDTA) und die schweizerischen Anpassungen, die durch Bezugnahme einbezogen und auf Anfrage verfügbar sind. Einige Unterauftragsverarbeiter (darunter DeepSeek) verarbeiten Daten außerhalb Argentiniens und der EU.

7. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird Phoenix den Kunden unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung benachrichtigen, unter Angabe der Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe.

8. Rechte betroffener Personen und Folgenabschätzungen

Phoenix unterstützt den Kunden angemessen bei der Beantwortung von Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch oder Einschränkung sowie bei der Durchführung von Datenschutz-Folgenabschätzungen (DPIA), sofern erforderlich. Erhält Phoenix eine Anfrage direkt, leitet sie diese an den Kunden weiter und beantwortet sie nicht, außer wenn dazu befugt oder gesetzlich verpflichtet.

9. Von Phoenix als Verantwortlicher verarbeitete Daten

In Bezug auf die Konto- und Nutzungsdaten des Kunden (Abrechnung, Support, Sicherheit, Betrugsprävention und Rechtskonformität) handelt Phoenix als unabhängiger Verantwortlicher gemäß ihrer Datenschutzerklärung.

10. Dauer, Rückgabe und Löschung

Dieser DPA gilt, solange Phoenix Kundendaten verarbeitet. Bei Beendigung kann der Kunde eine Kopie der Kundendaten und/oder deren Löschung verlangen, die Phoenix innerhalb von 90 Tagen vornimmt, sofern keine gesetzliche Aufbewahrungspflicht besteht. Phoenix kann aggregierte, nicht identifizierbare Daten aufbewahren.

11. Anwendbares Recht und Gerichtsstand

Dieser DPA unterliegt den Gesetzen der Argentinischen Republik und untersteht den ordentlichen Gerichten der Stadt Dolores, Provinz Buenos Aires, außer soweit die SCC oder das UK Addendum für internationale Übermittlungen gelten.

12. Kontakt

Auftragsverarbeiter: Inti Sol Rodríguez Roncoroni (Phoenix IA) (Steuernummer 20-93904108-8), mit Sitz in Villa Gesell, Provinz Buenos Aires, Argentinien. Anfragen zum Datenschutz: admin@phx-ia.com.