{ "format": "msa-datax-vertragsunterlagen-v1", "version": "2026-10-14-entwurf-1", "status": "entwurf", "zielgruppe": "b2b", "hinweis": "Dieses Paket ist keine Vertragsannahme. Vor Verwendung Rechtsprüfung, ausgefüllte Betriebsanlagen und dokumentierten Vertragsabschluss ergänzen.", "dokumente": [ { "id": "agb", "titel": "Allgemeine Geschäftsbedingungen", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "52a4a45acdca2ebf47be8de71507ab3581e38a05e2d82c05411df170f14b9f45", "text": "Allgemeine Geschäftsbedingungen\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Anbieter und Geltungsbereich\n\nMoussa Sheikh Akriem, handelnd unter MSA DataX, Kuglerstraße 17, 10439 Berlin, Deutschland. Kontakt: info@msadatax.de, +49 30 21463310. Umsatzsteuer-ID: DE454331921.\n\nDiese Bedingungen sind für die Bereitstellung der MSA DataX Agent-Plattform an Unternehmer vorgesehen, die bei Vertragsschluss in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln. Der Entwurf richtet sich nicht an Verbraucher.\n\nDer Vertrag umfasst das individuelle Angebot beziehungsweise die Leistungsvereinbarung und die darin ausdrücklich einbezogene Fassung dieser AGB. Individuell vereinbarte Bestimmungen haben Vorrang. Für personenbezogene Daten, die MSA DataX im Auftrag des Kunden verarbeitet, gilt zusätzlich die vereinbarte Auftragsverarbeitungsvereinbarung mit ihren Anlagen.\n\n2. Angebot und Vertragsabschluss\n\nDas Angebot benennt den Vertragspartner, Leistungsumfang, Vergütung, Nutzungslimits, Laufzeit, Kündigungsfrist und den vorgesehenen Beginn. Vor Annahme erhält der Kunde die einbezogenen Vertragsunterlagen in einer speicherbaren Fassung. Ein Vertrag kommt durch die vereinbarte ausdrückliche Annahme des Angebots zustande.\n\nDer Kunde benennt einen vertretungsberechtigten Ansprechpartner. Eine Registrierung, Anmeldung, Produktvorschau oder ein Dokumentdownload bewirkt für sich allein keinen kostenpflichtigen Vertragsabschluss. Im aktuellen Pilot werden Angebote und Annahmen individuell dokumentiert.\n\n3. Leistungsumfang und KI-Unterstützung\n\nDie Agent-Plattform unterstützt die Verwaltung von Agenten, freigegebenen Wissensquellen und Gesprächen. Welche Funktionen, Sprachen, Datenquellen, Modelle, Kapazitäten und Supportleistungen bereitgestellt werden, bestimmt die Leistungsvereinbarung. Der erste Pilot ist auf Informationsassistenten begrenzt.\n\nKI-Ausgaben können fehlerhaft, unvollständig oder veraltet sein. Der Kunde prüft Inhalte und den vorgesehenen Einsatz angemessen, insbesondere vor Entscheidungen mit erheblichen Folgen. Eine bestimmte Antwort, wirtschaftlicher Erfolg oder die Eignung für medizinische, rechtliche oder sonstige besonders risikoreiche Entscheidungen ist nicht allein durch die Bereitstellung des Assistenten zugesagt. Gesetzliche Leistungs- und Haftungspflichten bleiben bestehen.\n\nVerfügbarkeitszusagen, Supportzeiten und Reaktionsfristen werden nur nach der tatsächlich vereinbarten Leistungsbeschreibung geschuldet. Geplante Wartung und wesentliche Einschränkungen werden dem Kunden soweit möglich vorab mitgeteilt.\n\n4. Mitwirkung und zulässige Nutzung\n\nDer Kunde stellt rechtmäßig nutzbare Quellen bereit, prüft deren Richtigkeit und Aktualität und besitzt die erforderlichen Nutzungsrechte. Er bestimmt die Zwecke und Rechtsgrundlagen seiner Datenverarbeitung, informiert betroffene Personen und erteilt dokumentierte Weisungen. Freigaben für die öffentliche Nutzung von Wissenseinträgen bleiben beim Kunden.\n\nZugänge dürfen nur berechtigten Personen zugewiesen werden. Der Kunde schützt seine Authentifizierungszugänge und meldet vermuteten Missbrauch unverzüglich. Angriffe, Umgehung von Zugangsbeschränkungen, rechtswidrige Inhalte sowie eine Nutzung außerhalb des vereinbarten Umfangs sind unzulässig.\n\nDer Informationspilot ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, oder strafrechtlicher Daten eingerichtet. Ein solcher Einsatz benötigt zuvor eine gesonderte fachliche, technische und vertragliche Freigabe.\n\n5. Vergütung und Nutzungslimits\n\nEntgelte, Abrechnungszeitraum, Umsatzsteuer, Fälligkeit und gegebenenfalls nutzungsabhängige Preise werden im individuellen Angebot festgelegt. Für zusätzliche KI-Nutzung oder Mehrverbrauch müssen Berechnungsmaßstab und Preise vorab vereinbart sein.\n\nTechnische Budget- und Kapazitätsgrenzen erweitern den vereinbarten Leistungsumfang nicht. Eine Erhöhung des Kundenbudgets oder kostenpflichtiger Leistungen erfordert die vereinbarte ausdrückliche Beauftragung. Es gibt keine automatische Preisanpassung allein durch eine geänderte Vertragsseite.\n\n6. Inhalte, Nutzungsrechte und Datenschutz\n\nDer Kunde behält die Rechte an seinen bereitgestellten Inhalten. Er gestattet MSA DataX die für Erbringung, Speicherung, Suche und Ausgabe der vereinbarten Leistungen erforderliche Nutzung für die Vertragsdauer. Die Verwendung darf den vereinbarten Zweck nicht überschreiten. Rechte Dritter an Quellen oder Ausgaben werden durch den Vertrag nicht aufgehoben.\n\nMSA DataX und der Kunde behandeln vertrauliche Informationen angemessen geschützt. Für Verarbeitung im Auftrag gelten die Weisungs-, Vertraulichkeits- und Schutzpflichten des AVV. Informationen zur eigenen Verarbeitung von Konto-, Kontakt- und Vertragsdaten stehen in den Datenschutzhinweisen.\n\n7. Mängel und Haftung\n\nDer Kunde meldet erkennbare Funktionsstörungen mit den zur Prüfung erforderlichen Angaben. MSA DataX prüft die Meldung und erbringt die geschuldete Abhilfe. Gesetzliche Mängelrechte bleiben bestehen.\n\nFür Schäden gelten die gesetzlichen Haftungsregeln. Dieser Entwurf enthält keine pauschale Haftungsfreistellung für KI-Fehler, Datenschutzverletzungen oder den Einsatz von Dienstleistern. Weitergehende zulässige Haftungsvereinbarungen müssen vor Vertragsabschluss gesondert rechtlich geprüft werden.\n\n8. Schutzmaßnahmen und Einschränkungen\n\nBei konkretem Missbrauch oder einer erheblichen Gefahr für Daten oder Systeme darf MSA DataX die betroffene Nutzung im erforderlichen Umfang vorübergehend beschränken. Soweit der Schutzzweck nicht gefährdet wird, wird der Kunde über Grund, Umfang und mögliche Abhilfe informiert. Eine Einschränkung wird aufgehoben, sobald ihr Grund entfällt.\n\nBei Zahlungsstörungen richten sich Maßnahmen nach der Leistungsvereinbarung und den gesetzlichen Voraussetzungen. Ein vereinbartes Datenexport- oder Betroffenenverfahren darf nicht durch undokumentierte Sperren ersetzt werden.\n\n9. Laufzeit, Kündigung und Daten bei Vertragsende\n\nBeginn, Laufzeit und ordentliche Kündigungsfrist ergeben sich aus dem angenommenen Angebot. Das Recht zur Kündigung aus wichtigem Grund bleibt bestehen. Kündigungen erfolgen über den vereinbarten Kontaktweg in Textform.\n\nVor Vertragsende stimmen die Parteien die Rückgabe beziehungsweise Löschung der Auftragsdaten und einen geeigneten Export ab. Format, Zeitraum und etwaige vereinbarte Zusatzleistungen gehören in die Leistungsvereinbarung. Löschung, zulässige Aufbewahrung und die Behandlung von Sicherungen richten sich nach dem AVV und seiner ausgefüllten Fristenanlage. Gesetzlich aufzubewahrende eigene Vertrags- und Abrechnungsnachweise werden gesondert behandelt.\n\n10. Änderungen und Schlussbestimmungen\n\nWesentliche Leistungs- oder Vertragsänderungen werden ausdrücklich vereinbart. Eine neue veröffentlichte Textfassung ersetzt die bereits vereinbarte Fassung nicht automatisch. Zum Nachweis werden das angenommene Angebot und die einbezogenen Dokumentversionen gemeinsam archiviert.\n\nEs gilt deutsches Recht. Zwingende gesetzliche Vorschriften bleiben unberührt. Eine unwirksame Klausel wird nach den gesetzlichen Regeln behandelt; der Vertrag soll dadurch nicht pauschal entfallen.\n" }, { "id": "avv", "titel": "Auftragsverarbeitungsvereinbarung", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "ee62ad8c6424ea88ba985994cb72e478ed464586675149b97654223b552482e9", "text": "Auftragsverarbeitungsvereinbarung\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Parteien und Vertragsbestandteile\n\nVerantwortlicher ist der im angenommenen Angebot eindeutig bezeichnete Kunde. Auftragsverarbeiter ist Moussa Sheikh Akriem, handelnd unter MSA DataX, Kuglerstraße 17, 10439 Berlin, Deutschland. Kontakt: info@msadatax.de, +49 30 21463310. Umsatzsteuer-ID: DE454331921.\n\nDieser AVV regelt ausschließlich personenbezogene Daten, die MSA DataX für den Kunden verarbeitet. Die ausgefüllten und vereinbarten Anlagen Verarbeitung und Fristen, Schutzmaßnahmen sowie Dienstleister und Verarbeitungsorte sind Bestandteil der Vereinbarung. Die eigenen Konto-, Kontakt- und Vertragsverarbeitungen von MSA DataX sind nach ihrem tatsächlichen Zweck gesondert abzugrenzen.\n\n2. Gegenstand, Art, Zweck und Dauer\n\nGegenstand ist die Bereitstellung eines Informationsassistenten mit Verwaltung kundenseitig freigegebener Wissensquellen und Verarbeitung der zugeordneten Besuchergespräche. Vorgänge umfassen Erhebung, Übertragung, Speicherung, Strukturierung, Tokenisierung erkannter Datenmuster, Suche, Verarbeitung zur Antworterstellung, Anzeige, Auskunft, Berichtigung und Löschung.\n\nDatenarten, betroffene Personen, Verarbeitungsorte, technische Empfänger und Speicherfristen werden in den Anlagen verbindlich konkretisiert. Die Verarbeitung dauert für die vereinbarte Leistung und endet mit ordnungsgemäßer Rückgabe oder Löschung; notwendige Sicherungs- und gesetzliche Aufbewahrungsphasen werden ausdrücklich beschrieben.\n\n3. Weisungen und Rechte des Kunden\n\nDer Kunde entscheidet über Zwecke und wesentliche Mittel der Auftragsverarbeitung. MSA DataX verarbeitet nur nach dokumentierten Weisungen, einschließlich Weisungen zu Übermittlungen. Weisungsberechtigte Personen und sichere Kontaktwege werden im Vertragsnachweis benannt; zusätzliche Weisungen werden nachvollziehbar dokumentiert.\n\nHält MSA DataX eine Weisung für datenschutzrechtswidrig, informiert MSA DataX den Kunden unverzüglich und klärt die weitere Bearbeitung. Verpflichtet ein Gesetz zu einer anderen Verarbeitung, wird der Kunde vorab informiert, soweit das Gesetz diese Information zulässt.\n\n4. Vertraulichkeit und organisatorische Pflichten\n\nZugang erhalten nur hierfür befugte Personen, die zur Vertraulichkeit verpflichtet sind oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Berechtigungen werden nach Aufgaben vergeben und bei Entzug der Befugnis entfernt.\n\nMSA DataX organisiert die Auftragsverarbeitung, führt die erforderlichen Nachweise und stellt die für die Durchführung des AVV notwendigen Informationen bereit. Ein für die konkrete Verarbeitung zuständiger Datenschutzkontakt wird in der Leistungsvereinbarung benannt.\n\n5. Technische und organisatorische Maßnahmen\n\nMSA DataX setzt für die vereinbarte Verarbeitung angemessene Schutzmaßnahmen nach Artikel 32 DSGVO um. Die vereinbarte TOM-Anlage beschreibt insbesondere Zugangs- und Berechtigungsschutz, Mandantentrennung, Verschlüsselung, Datenminimierung, Wiederherstellung und Überprüfung der Wirksamkeit.\n\nMaßnahmen dürfen entsprechend dem technischen Stand fortentwickelt werden, ohne das vereinbarte Schutzniveau zu verringern. Wesentliche Änderungen werden nachvollziehbar dokumentiert. PII-Tokenisierung einzelner Muster ist eine zusätzliche Maßnahme und ersetzt weder Rechtsgrundlagen noch Schutzmaßnahmen für gespeicherte Originalinhalte.\n\n6. Weitere Auftragsverarbeiter und Verarbeitungsorte\n\nWeitere Auftragsverarbeiter werden nur auf Grundlage der dokumentierten vorherigen Genehmigung des Kunden eingesetzt. Die Dienstleisteranlage nennt die tatsächlich beauftragten juristischen Personen, Aufgabe, Datenkategorien, Verarbeitungsländer, mögliche Zugriffe und Vertragsgrundlagen. Eine Liste technischer Produktnamen allein genügt nicht.\n\nMSA DataX auferlegt weiteren Auftragsverarbeitern die einschlägigen Datenschutzpflichten und bleibt gegenüber dem Kunden für die Erfüllung ihrer Pflichten verantwortlich. Ein geplanter Wechsel wird vor Einsatz zur Genehmigung vorgelegt. Ohne erforderliche Genehmigung wird die betreffende neue Verarbeitung nicht begonnen.\n\nVerarbeitung und mögliche Zugriffe außerhalb des vereinbarten Raums benötigen dokumentierte Weisungen und, soweit erforderlich, geeignete Voraussetzungen nach Artikel 44 ff. DSGVO. Die Einstellung einer EU-Region allein beweist nicht, dass sämtliche Support- und Folgeverarbeitung innerhalb der EU erfolgt.\n\n7. Unterstützung bei Betroffenenrechten\n\nMSA DataX unterstützt den Kunden im vereinbarten Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Direkt an MSA DataX gerichtete Anfragen zu Auftragsdaten werden dem Kunden zugeleitet; Daten werden nicht allein aufgrund einer unbestätigten Anfrage an Dritte herausgegeben.\n\nDer Kunde prüft die Berechtigung und Zuordnung der anfragenden Person. Der lokale Dashboard-Pilot bearbeitet zugeordnete Besucher-Sitzungen ohne CRM- oder Terminverknüpfungen. Andere Sitzungen derselben Person, Kundenquellen und weitere Datenkategorien benötigen ergänzende Bearbeitung; die Aktion für einen Gesprächsbestand erklärt diese nicht für erledigt.\n\n8. Datenschutzvorfälle und weitere Unterstützung\n\nMSA DataX informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten. Die Meldung enthält die zu diesem Zeitpunkt verfügbaren Angaben zu Art des Vorfalls, betroffenen Daten und Personen, möglichen Folgen, Ansprechpartner und ergriffenen oder geplanten Maßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.\n\nMSA DataX unterstützt unter Berücksichtigung der Verarbeitungsart und verfügbaren Informationen bei Sicherheitspflichten, Meldungen und Benachrichtigungen, Datenschutz-Folgenabschätzungen und gegebenenfalls vorherigen Konsultationen. Der Kunde entscheidet über seine eigenen Meldepflichten. Kontaktwege und operative Erreichbarkeit sind vor Produktionsbeginn zu vereinbaren.\n\n9. Nachweise und Kontrollen\n\nMSA DataX stellt die erforderlichen Informationen zum Nachweis der Einhaltung des AVV bereit und ermöglicht entsprechende Kontrollen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Die Durchführung wird so abgestimmt, dass Rechte anderer Kunden und notwendige Systemsicherheit geschützt bleiben; diese Abstimmung hebt das Kontrollrecht nicht auf.\n\nRegelmäßige Prüfungen, technische Nachweise und erforderliche Abhilfen werden dokumentiert. Ein lokaler Testbericht ersetzt keinen Nachweis der tatsächlich eingesetzten Produktionsumgebung.\n\n10. Rückgabe, Löschung und Sicherungen\n\nNach Ende der Leistung werden die Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht; vorhandene Kopien werden entsprechend behandelt, soweit keine rechtliche Aufbewahrungspflicht besteht. Export, Freigabeverfahren und Fristen werden in der ausgefüllten Anlage festgelegt. Erforderliche Aufbewahrung wird nach Zweck und Datenkategorie getrennt dokumentiert.\n\nSicherungen haben definierte Aufbewahrungs- und Zugriffsbeschränkungen. Eine Live-Löschung entfernt nicht rückwirkend alte Sicherungen. Ein Restore bleibt isoliert, bis aktuelle Fristen und unabhängig erhaltene Löschvermerke erneut angewendet und weitere erforderliche Berichtigungen geprüft sind. Der Abschluss der vereinbarten Rückgabe oder Löschung wird dem Kunden dokumentiert.\n" }, { "id": "verarbeitung", "titel": "Anlage Verarbeitung und Fristen", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "afad36b200c2c85163204f647129d86316dce97288db9cf607f278d65b7348c7", "text": "Anlage Verarbeitung und Fristen\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Freigegebener Informationspilot\n\nVerantwortlicher, Kunden-/Angebotsreferenz, freigegebene Websites, Agenten und Wissensquellen sind im individuellen Vertrag zu benennen. Zweck ist die Beantwortung von Unternehmensfragen aus freigegebenem Wissen und die vereinbarte Verwaltung der Gespräche.\n\nBetroffene Personen können Websitebesucher, Interessenten sowie Personen sein, deren Angaben rechtmäßig in den freigegebenen Quellen stehen. Daten umfassen Fragen und Antworten, erkannte Kontakt-/Adressmuster, bereitgestellte Quellenauszüge, Sitzungskennungen, tokenisierte Ablaufdaten und notwendige technische Metadaten. Nicht erkannte Namen oder andere Angaben können in Freitext enthalten bleiben.\n\nGesundheitsdaten, strafrechtliche Daten, aktive Termin-/Lead-Prozesse und weitere besondere Verarbeitung sind im Informationspilot nicht freigegeben. Eine Erweiterung benötigt einen ausdrücklich geprüften Auftragsumfang.\n\n2. Kundenspezifische Fristen festlegen\n\nDie wirksamen Kundenfristen müssen vor Produktionsbeginn in Vertrag und Retention-Policy übereinstimmen. Entwicklungswerte sind keine Kundenvereinbarung. Im aktuellen Schema beträgt die Gesprächsvorgabe 90 Tage; der Kunde kann im vorgesehenen Bereich von 30 bis 365 Tagen eine tatsächlich vereinbarte Frist festlegen.\n\nPII-Mappings werden spätestens mit den zugehörigen Gesprächsinhalten bereinigt. Die Feldmatrix umfasst auch Zustände, Zusammenfassungen, Nachrichtenteile, Zitate, Trace-Freitexte und Feedbackkommentare. Verbleibende Kennungen und Kennzahlen sind nicht automatisch anonyme Daten.\n\nFür Wissensquellen und Originaldateien, Kundendokumente, verbleibende Kennzahlen, Vorgangs-/Auditdaten und nutzungsbezogene Nachweise sind Zweck, Löschereignis und erforderliche Frist gesondert festzulegen. Das Schema enthält Audit-Vorgaben von 12 Monaten und Usage-Vorgaben von 36 Monaten; ihre Anwendung benötigt den überprüften Vertrags- und Betriebsstand.\n\nWissensquellenlöschung umfasst ihre Textabschnitte, Embeddings, Suchprojektionen und zugehörigen Caches. Die Gesprächsbereinigung ist ein gesonderter Vorgang. Nicht zugeordnete weitere Besuche und CRM-/Terminbestände dürfen bei einer Betroffenenanfrage nicht still übergangen werden.\n\n3. Rückgabe und Sicherungsfristen\n\nVor Freigabe auszufüllen: Exportformat und Kontaktweg, Rückgabe-/Löschfrist bei Vertragsende, Backup- und WAL-Aufbewahrung, Objektversionen, Zugriffsschutz, Standorte sowie Ablauf der letzten betroffenen Sicherung. Der tatsächliche Betriebsablauf muss diese Angaben erfüllen.\n\nUnabhängige Löschvermerke werden solange geschützt aufbewahrt, wie ein älteres einschlägiges Backup noch wiederhergestellt werden könnte. Aufbewahrung und spätere Löschung dieser Vermerke sind ebenfalls festzulegen. Eine mit dem Mapping gesicherte Schlüsselhülle erlaubt weiterhin die Entschlüsselung; ein Live-DELETE allein beweist keine Krypto-Löschung.\n" }, { "id": "toms", "titel": "Anlage Technische und organisatorische Maßnahmen", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "f3f92e44b426fea169841149d9f619ebb52b9983760b61deb6baf5f56671e5cf", "text": "Anlage Technische und organisatorische Maßnahmen\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Zugang und Mandantentrennung\n\nLokaler Prüfstand: Dashboard-Anmeldung über Auth0, serverseitige Sitzungsprüfung, Owner-/Staff-Berechtigungen, Origin-Prüfung bei Änderungen und Entzug widerrufener Sitzungen. Tenant-Zuordnung stammt aus geprüfter Sitzung oder Widget-Token; Geschäftsdatenzugriffe verwenden Transaktionen mit FORCE Row Level Security.\n\nVor Produktionsbeginn nachzuweisen: tatsächliche produktive Auth0-Anwendung, MFA-/Betreiberverfahren, Benutzerzuordnungen, getrennte Laufzeit-/Migrationsrollen, Netzwerk-/Storage-Isolation, Secret-Verwaltung und Notfallzugang. Die lokale Superuser-Migrationsrolle ist kein produktives Rollenmodell.\n\n2. Verschlüsselung und Datenminimierung\n\nLokaler Prüfstand: erkannte E-Mail-, Telefon-, IBAN- und bestimmte Adressmuster werden vor Modellaufrufen tokenisiert; Mappings liegen im AES-256-GCM-Umschlagverfahren. Schlüssel gelangen nicht in Agent-Konfiguration, Export oder Protokoll. Originalfragen und Antworten werden serverseitig gespeichert; die Mustererkennung erfasst nicht jeden Personenbezug.\n\nVor Produktionsbeginn nachzuweisen: TLS, Daten-/Backup-Verschlüsselung im eingesetzten Hosting, Schlüsselzugriff und Rotation, Modell-/Logging-Einstellungen und tatsächliche Datenwege. Ein EU-Endpunkt oder lokale Tokenisierung beweist für sich keine vollständige Datenschutzkonformität.\n\n3. Aufbewahrung, Rechtebearbeitung und Wiederherstellung\n\nLokaler Prüfstand: Quellenvollständigkeits-Gegenproben, Gesprächsfristen mit Schutz gegen verspätete Schreibvorgänge sowie Owner-Verfahren für Auskunft, gezielte Berichtigung und bestätigte Besucherlöschungen. Unabhängiges lokales Löschjournal und echte Dump-/Restore-Gegenproben sind vorhanden.\n\nVor Produktionsbeginn nachzuweisen: aktivierte vollständige Fristenjobs, Alarmierung, übrige Datenkategorien, externer unabhängiger Journal-Speicher, tatsächliche Backup-/WAL-/Objektfristen, getrennte Sollstand-/Schlüssel-Aufbewahrung und kontrollierte Restore-Freigabe. Die lokale Implementierung ist keine Abnahme dieses Betriebs.\n\n4. Kontrolle und Verfügbarkeit\n\nLokaler Prüfstand: automatisierte Rollen-/RLS-/Origin-/Widerrufsprüfungen, eingeschränkte Protokollierung, Eval-/Veröffentlichungsriegel und geprüfte Artefakte. Produktive Provisorien und ungeprüfte Modellbindungen bleiben gesperrt.\n\nVor Produktionsbeginn nachzuweisen: tatsächliche Wartungs-/Updateverfahren, Zuständigkeiten, Erreichbarkeit bei Vorfällen, Schwachstellenbearbeitung, regelmäßige Restore-Übung mit RPO/RTO, Kosten- und Sicherheitsalarme sowie belastbare Budgetreservierung und Anbieterabbruch.\n" }, { "id": "dienstleister", "titel": "Anlage Dienstleister und Verarbeitungsorte", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "00f9f2c44ac822b0bcbb92bfeaa64b9e3ea4f1306a6e1fd70b7ecbb50e28ab38", "text": "Anlage Dienstleister und Verarbeitungsorte\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Verbindliches Register vor Einsatz\n\nFür jeden tatsächlich eingesetzten weiteren Auftragsverarbeiter festzuhalten: vollständige juristische Person und Anschrift, Aufgabe, Datenkategorien, Verarbeitungs-/Zugriffsländer, beauftragte Region, Vertrags-/Genehmigungsstand, Logging-/Aufbewahrungsregeln und gegebenenfalls Übermittlungsgrundlage. Erst die ausgefüllte und genehmigte Liste benennt beauftragte Dienstleister.\n\nHosting, PostgreSQL, Redis, Upload-/Objektstorage und Backup-/Journal-Speicher: Betreiber, Standorte und Verträge sind vor dem Produktivstart einzutragen. Technische Komponenten sind keine eigenständigen Vertragspartner.\n\n2. Chat und Embeddings\n\nDer Code unterstützt Azure- und Bedrock-Modellanbindungen. Für die tatsächlich ausgewählten Bindungen sind Anbieter-Rechtsträger, Modell-/Deployment-/Profilreferenzen, Verarbeitungsländer, providerseitiges Logging, Speicherfristen und Vertragsgrundlagen einzutragen. Eine unterstützte Anbindung ist noch keine genehmigte Beauftragung.\n\nMSA DataX verwendet Auftragsdaten ausschließlich für die vereinbarte Kundenleistung und nicht für eigene Trainingszwecke. Vor Einsatz sind Anbieterbedingungen und Einstellungen nachzuweisen, die eine Verwendung der Auftragsdaten für eigene Trainingszwecke des Anbieters ausschließen.\n\n3. Anmeldung und übrige Dienstleister\n\nAuth0 ist für die Dashboard-Identitätsprüfung eingerichtet; die lokale Konfiguration nutzt einen EU-Tenant. Vor Produktionsbeginn sind der konkrete Okta-/Auth0-Vertragspartner, Vertrag, Unterauftragnehmer, Datenresidenz und mögliche Zugriffsländer nachzuweisen.\n\nDashboard-Konto-/Sicherheitsverarbeitung und die Verarbeitung von Websitebesucherdaten sind anhand ihrer tatsächlichen Zwecke abzugrenzen. Auth0 wird nicht allein wegen einer bestehenden Anmeldung als Empfänger von Besuchergesprächen ausgewiesen. Weitere Support-, Kommunikations- oder Signaturdienste werden bei tatsächlichem Einsatz ergänzt.\n" }, { "id": "vertragsnachweis", "titel": "Vorlage Angebot und Vertragsnachweis", "version": "2026-10-14-entwurf-1", "stand": "14. Oktober 2026", "status": "entwurf", "sha256": "85ab7ba195a3b20130a70dee0f6c299aa09439c1d5e520575be68010492831d3", "text": "Vorlage Angebot und Vertragsnachweis\nVersion: 2026-10-14-entwurf-1\nStand: 14. Oktober 2026\nStatus: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.\nZielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.\n\n1. Individuelles Angebot ergänzen\n\nAngebots-/Vertragsreferenz: ____________________. Vollständiger Kunden-Vertragspartner und Anschrift: ____________________. Vertretungsberechtigte Person und Funktion: ____________________. Status als Unternehmer: ____________________.\n\nVereinbarter Leistungsumfang, Websites und Datenquellen: ____________________. Beginn, Laufzeit und Kündigungsfrist: ____________________. Vergütung, Umsatzsteuer, Abrechnung und Fälligkeit: ____________________. Nutzungslimits, Mehrverbrauch und dessen Preise: ____________________. Support-/Kontaktweg und vereinbarte Verfügbarkeit: ____________________.\n\n2. Dokumente und Betriebsanlagen\n\nDie tatsächlich vereinbarten Dokumente mit Kennung, Version und SHA-256 aus dem beiliegenden Manifest aufführen. Vollständige Textfassungen gemeinsam mit dem Angebot archivieren; eine aktuelle URL allein ist kein unveränderlicher Nachweis.\n\nDie kundenspezifische Verarbeitung-/Fristenanlage, genehmigte Dienstleister/Orte, TOM-Betriebsnachweise und Weisungskontakte ausfüllen. Das vorliegende Entwurfspaket darf nicht als bereits freigegebener Vertragsbestand übernommen werden.\n\n3. Bewusste Vereinbarung dokumentieren\n\nArt und Datum der Annahme, Identität/Funktion des vertretungsberechtigten Kundenvertreters und dessen ausdrückliche Erklärung dokumentieren: ____________________. Betreiber-Bestätigung und Referenz auf den gespeicherten Nachweis: ____________________. Gegebenenfalls dokumentierte abweichende Individualvereinbarungen: ____________________.\n\nAngebot, vereinbarte Dokumentfassungen, ausgefüllte Anlagen und tatsächlichen Annahmenachweis zusammen geschützt aufbewahren. Auftrag und Kundenfreigabe werden vom Betreiber getrennt abgeglichen. Download oder Dashboard-Login füllen diese Nachweise nicht automatisch aus.\n" } ] }