MSA DataX · Agent-Plattform
Auftragsverarbeitungsvereinbarung
Version 2026-10-14-entwurf-1 · Stand 14. Oktober 2026 · Für Unternehmenskunden (B2B).
1. Parteien und Vertragsbestandteile
Verantwortlicher ist der im angenommenen Angebot eindeutig bezeichnete Kunde. Auftragsverarbeiter ist Moussa Sheikh Akriem, handelnd unter MSA DataX, Kuglerstraße 17, 10439 Berlin, Deutschland. Kontakt: info@msadatax.de, +49 30 21463310. Umsatzsteuer-ID: DE454331921.
Dieser AVV regelt ausschließlich personenbezogene Daten, die MSA DataX für den Kunden verarbeitet. Die ausgefüllten und vereinbarten Anlagen Verarbeitung und Fristen, Schutzmaßnahmen sowie Dienstleister und Verarbeitungsorte sind Bestandteil der Vereinbarung. Die eigenen Konto-, Kontakt- und Vertragsverarbeitungen von MSA DataX sind nach ihrem tatsächlichen Zweck gesondert abzugrenzen.
2. Gegenstand, Art, Zweck und Dauer
Gegenstand ist die Bereitstellung eines Informationsassistenten mit Verwaltung kundenseitig freigegebener Wissensquellen und Verarbeitung der zugeordneten Besuchergespräche. Vorgänge umfassen Erhebung, Übertragung, Speicherung, Strukturierung, Tokenisierung erkannter Datenmuster, Suche, Verarbeitung zur Antworterstellung, Anzeige, Auskunft, Berichtigung und Löschung.
Datenarten, betroffene Personen, Verarbeitungsorte, technische Empfänger und Speicherfristen werden in den Anlagen verbindlich konkretisiert. Die Verarbeitung dauert für die vereinbarte Leistung und endet mit ordnungsgemäßer Rückgabe oder Löschung; notwendige Sicherungs- und gesetzliche Aufbewahrungsphasen werden ausdrücklich beschrieben.
3. Weisungen und Rechte des Kunden
Der Kunde entscheidet über Zwecke und wesentliche Mittel der Auftragsverarbeitung. MSA DataX verarbeitet nur nach dokumentierten Weisungen, einschließlich Weisungen zu Übermittlungen. Weisungsberechtigte Personen und sichere Kontaktwege werden im Vertragsnachweis benannt; zusätzliche Weisungen werden nachvollziehbar dokumentiert.
Hält MSA DataX eine Weisung für datenschutzrechtswidrig, informiert MSA DataX den Kunden unverzüglich und klärt die weitere Bearbeitung. Verpflichtet ein Gesetz zu einer anderen Verarbeitung, wird der Kunde vorab informiert, soweit das Gesetz diese Information zulässt.
4. Vertraulichkeit und organisatorische Pflichten
Zugang erhalten nur hierfür befugte Personen, die zur Vertraulichkeit verpflichtet sind oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Berechtigungen werden nach Aufgaben vergeben und bei Entzug der Befugnis entfernt.
MSA DataX organisiert die Auftragsverarbeitung, führt die erforderlichen Nachweise und stellt die für die Durchführung des AVV notwendigen Informationen bereit. Ein für die konkrete Verarbeitung zuständiger Datenschutzkontakt wird in der Leistungsvereinbarung benannt.
5. Technische und organisatorische Maßnahmen
MSA DataX setzt für die vereinbarte Verarbeitung angemessene Schutzmaßnahmen nach Artikel 32 DSGVO um. Die vereinbarte TOM-Anlage beschreibt insbesondere Zugangs- und Berechtigungsschutz, Mandantentrennung, Verschlüsselung, Datenminimierung, Wiederherstellung und Überprüfung der Wirksamkeit.
Maßnahmen dürfen entsprechend dem technischen Stand fortentwickelt werden, ohne das vereinbarte Schutzniveau zu verringern. Wesentliche Änderungen werden nachvollziehbar dokumentiert. PII-Tokenisierung einzelner Muster ist eine zusätzliche Maßnahme und ersetzt weder Rechtsgrundlagen noch Schutzmaßnahmen für gespeicherte Originalinhalte.
6. Weitere Auftragsverarbeiter und Verarbeitungsorte
Weitere Auftragsverarbeiter werden nur auf Grundlage der dokumentierten vorherigen Genehmigung des Kunden eingesetzt. Die Dienstleisteranlage nennt die tatsächlich beauftragten juristischen Personen, Aufgabe, Datenkategorien, Verarbeitungsländer, mögliche Zugriffe und Vertragsgrundlagen. Eine Liste technischer Produktnamen allein genügt nicht.
MSA DataX auferlegt weiteren Auftragsverarbeitern die einschlägigen Datenschutzpflichten und bleibt gegenüber dem Kunden für die Erfüllung ihrer Pflichten verantwortlich. Ein geplanter Wechsel wird vor Einsatz zur Genehmigung vorgelegt. Ohne erforderliche Genehmigung wird die betreffende neue Verarbeitung nicht begonnen.
Verarbeitung und mögliche Zugriffe außerhalb des vereinbarten Raums benötigen dokumentierte Weisungen und, soweit erforderlich, geeignete Voraussetzungen nach Artikel 44 ff. DSGVO. Die Einstellung einer EU-Region allein beweist nicht, dass sämtliche Support- und Folgeverarbeitung innerhalb der EU erfolgt.
7. Unterstützung bei Betroffenenrechten
MSA DataX unterstützt den Kunden im vereinbarten Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Direkt an MSA DataX gerichtete Anfragen zu Auftragsdaten werden dem Kunden zugeleitet; Daten werden nicht allein aufgrund einer unbestätigten Anfrage an Dritte herausgegeben.
Der Kunde prüft die Berechtigung und Zuordnung der anfragenden Person. Der lokale Dashboard-Pilot bearbeitet zugeordnete Besucher-Sitzungen ohne CRM- oder Terminverknüpfungen. Andere Sitzungen derselben Person, Kundenquellen und weitere Datenkategorien benötigen ergänzende Bearbeitung; die Aktion für einen Gesprächsbestand erklärt diese nicht für erledigt.
8. Datenschutzvorfälle und weitere Unterstützung
MSA DataX informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten. Die Meldung enthält die zu diesem Zeitpunkt verfügbaren Angaben zu Art des Vorfalls, betroffenen Daten und Personen, möglichen Folgen, Ansprechpartner und ergriffenen oder geplanten Maßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
MSA DataX unterstützt unter Berücksichtigung der Verarbeitungsart und verfügbaren Informationen bei Sicherheitspflichten, Meldungen und Benachrichtigungen, Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen. Der Kunde entscheidet über seine eigenen Meldepflichten. Kontaktwege und operative Erreichbarkeit sind vor Produktionsbeginn zu vereinbaren.
9. Nachweise und Kontrollen
MSA DataX stellt die erforderlichen Informationen zum Nachweis der Einhaltung des AVV bereit und ermöglicht entsprechende Kontrollen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Die Durchführung wird so abgestimmt, dass Rechte anderer Kunden und notwendige Systemsicherheit geschützt bleiben; diese Abstimmung hebt das Kontrollrecht nicht auf.
Regelmäßige Prüfungen, technische Nachweise und erforderliche Abhilfen werden dokumentiert. Ein lokaler Testbericht ersetzt keinen Nachweis der tatsächlich eingesetzten Produktionsumgebung.
10. Rückgabe, Löschung und Sicherungen
Nach Ende der Leistung werden die Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht; vorhandene Kopien werden entsprechend behandelt, soweit keine rechtliche Aufbewahrungspflicht besteht. Export, Freigabeverfahren und Fristen werden in der ausgefüllten Anlage festgelegt. Erforderliche Aufbewahrung wird nach Zweck und Datenkategorie getrennt dokumentiert.
Sicherungen haben definierte Aufbewahrungs- und Zugriffsbeschränkungen. Eine Live-Löschung entfernt nicht rückwirkend alte Sicherungen. Ein Restore bleibt isoliert, bis aktuelle Fristen und unabhängig erhaltene Löschvermerke erneut angewendet und weitere erforderliche Berichtigungen geprüft sind. Der Abschluss der vereinbarten Rückgabe oder Löschung wird dem Kunden dokumentiert.
Anlagen zu dieser Vereinbarung
Die folgenden Anlagen werden vor dem Vertragsabschluss kundenspezifisch ergänzt und gemeinsam mit dem AVV vereinbart.