Anlage Dienstleister und Verarbeitungsorte
Version: 2026-10-14-entwurf-1
Stand: 14. Oktober 2026
Status: Entwurf – vor Verwendung juristisch und betrieblich zu prüfen.
Zielgruppe: Unternehmenskunden (B2B), Arbeitsannahme für den Pilot.

1. Verbindliches Register vor Einsatz

Für jeden tatsächlich eingesetzten weiteren Auftragsverarbeiter festzuhalten: vollständige juristische Person und Anschrift, Aufgabe, Datenkategorien, Verarbeitungs-/Zugriffsländer, beauftragte Region, Vertrags-/Genehmigungsstand, Logging-/Aufbewahrungsregeln und gegebenenfalls Übermittlungsgrundlage. Erst die ausgefüllte und genehmigte Liste benennt beauftragte Dienstleister.

Hosting, PostgreSQL, Redis, Upload-/Objektstorage und Backup-/Journal-Speicher: Betreiber, Standorte und Verträge sind vor dem Produktivstart einzutragen. Technische Komponenten sind keine eigenständigen Vertragspartner.

2. Chat und Embeddings

Der Code unterstützt Azure- und Bedrock-Modellanbindungen. Für die tatsächlich ausgewählten Bindungen sind Anbieter-Rechtsträger, Modell-/Deployment-/Profilreferenzen, Verarbeitungsländer, providerseitiges Logging, Speicherfristen und Vertragsgrundlagen einzutragen. Eine unterstützte Anbindung ist noch keine genehmigte Beauftragung.

MSA DataX verwendet Auftragsdaten ausschließlich für die vereinbarte Kundenleistung und nicht für eigene Trainingszwecke. Vor Einsatz sind Anbieterbedingungen und Einstellungen nachzuweisen, die eine Verwendung der Auftragsdaten für eigene Trainingszwecke des Anbieters ausschließen.

3. Anmeldung und übrige Dienstleister

Auth0 ist für die Dashboard-Identitätsprüfung eingerichtet; die lokale Konfiguration nutzt einen EU-Tenant. Vor Produktionsbeginn sind der konkrete Okta-/Auth0-Vertragspartner, Vertrag, Unterauftragnehmer, Datenresidenz und mögliche Zugriffsländer nachzuweisen.

Dashboard-Konto-/Sicherheitsverarbeitung und die Verarbeitung von Websitebesucherdaten sind anhand ihrer tatsächlichen Zwecke abzugrenzen. Auth0 wird nicht allein wegen einer bestehenden Anmeldung als Empfänger von Besuchergesprächen ausgewiesen. Weitere Support-, Kommunikations- oder Signaturdienste werden bei tatsächlichem Einsatz ergänzt.