Datenverarbeitungsvereinbarung (DPA)

Zuletzt aktualisiert: 11. August 2026

1. Übersicht

Diese Datenverarbeitungsvereinbarung (DPA) ist Teil der MsOVO-Nutzungsbedingungen und gilt für Kunden, die personenbezogene Daten über die MsOVO-Plattform verarbeiten. Sie spiegelt die Anforderungen von Artikel 28 der EU-Datenschutz-Grundverordnung (GDPR) und ähnlicher Datenschutzgesetze wider.

Mit Abschluss dieser DPA handelt MsOVO als Auftragsverarbeiter im Namen des Kunden (der verantwortlichen Stelle). Die Nutzung der MsOVO-Dienste durch den Kunden zur Verarbeitung personenbezogener Daten unterliegt dieser DPA neben den Nutzungsbedingungen und der Datenschutzerklärung.

2. Pflichten des Auftragsverarbeiters

MsOVO verpflichtet sich als Auftragsverarbeiter zu Folgendem:

• Personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten, einschließlich hinsichtlich der Übermittlung personenbezogener Daten in ein Drittland, sofern gesetzlich nicht vorgeschrieben.
• Sicherstellen, dass die zur Verarbeitung personenbezogener Daten autorisierten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Geeignete technische und organisatorische Maßnahmen umsetzen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, einschließlich Verschlüsselung, Zugriffssteuerung und regelmäßigen Sicherheitstests.
• Die Bedingungen für die Hinzuziehung eines weiteren Auftragsverarbeiters (Unterauftragsverarbeiter) gemäß Abschnitt 5 einhalten.
• Den Kunden bei der Beantwortung von Anfragen zur Ausübung der Rechte der betroffenen Person nach der GDPR unterstützen.
• Den Kunden bei der Einhaltung von Pflichten hinsichtlich der Sicherheit der Verarbeitung, der Verletzungsmitteilung, der Datenschutz-Folgenabschätzungen und der vorherigen Konsultation unterstützen.
• Nach Wahl des Kunden alle personenbezogenen Daten nach Ende der Dienste löschen oder zurückgeben und bestehende Kopien löschen, sofern das anwendbarerecht keine Aufbewahrung vorschreibt.

3. Pflichten des Kunden

Der Kunde als verantwortliche Stelle ist verantwortlich für:

• Sicherstellen, dass die Verarbeitung personenbezogener Daten über MsOVO rechtmäßig ist und auf einer gültigen Rechtsgrundlage nach dem anwendbaren Datenschutzrecht beruht.
• Einholen der erforderlichen Einwilligungen der betroffenen Personen (einschließlich Anrufer), bevor ihre Daten über MsOVO verarbeitet werden.
• Einhaltung der Gesetze zur Einwilligung in die Anrufaufzeichnung, die in der Rechtsordnung des Kunden und des Anrufers gelten.
• Erteilen genauer Weisungen an MsOVO hinsichtlich der Verarbeitung personenbezogener Daten.
• Sicherstellen, dass die MsOVO bereitgestellten personenbezogenen Daten korrekt und aktuell sind.

4. Sicherheitsmaßnahmen

MsOVO implementiert die folgenden technischen und organisatorischen Sicherheitsmaßnahmen:

• Verschlüsselung von Daten in Transit mit TLS 1.2+ und von Daten im Ruhezustand in der Datenbank und im Objektspeicher.
• Rollenbasierte Zugriffssteuerung (RBAC) mit Prinzip der geringsten Privilegien für alle internen Zugriffe.
• Regelmäßige Sicherheitsaudits und Penetrationstests.
• Umfassliche Audit-Protokollierung aller Datenzugriffe und administrativen Aktionen.
• Automatisierte Datenaufbewahrungs- und Löschprozesse mit dokumentierten Aufbewahrungsplänen.
• Vorfallsreaktionsverfahren mit Meldefunktionen für Verletzungen innerhalb von 72 Stunden.

5. Unterauftragsverarbeiter

MsOVO bezieht Unterauftragsverarbeiter ein, um seine Dienste zu erbringen. Eine aktuelle Liste der Unterauftragsverarbeiter ist auf unserer Unterauftragsverarbeiter-Seite verfügbar. MsOVO wird Kunden über beabsichtigte Änderungen bezüglich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern informieren und den Kunden die Möglichkeit geben, solchen Änderungen zu widersprechen.

6. Internationale Datenübermittlungen

Für Übermittlungen personenbezogener Daten aus der EU/EWR/Großbritannien in die Vereinigten Staaten stützt sich MsOVO auf den EU-US Data Privacy Framework (wo anwendbar) und auf Standard Contractual Clauses (SCCs) mit seinen Unterauftragsverarbeitern. Eine Übermittlungs-Folgenabschätzung wird für Länder ohne Angemessenheitsbeschluss durchgeführt.

7. Audit-Rechte

Der Kunde darf die Einhaltung dieser DPA durch MsOVO auditieren, vorbehaltlich einer angemessenen Vorankündigung und Vertraulichkeitspflichten. Alternativ kann MsOVO einen Audit-Bericht eines Dritten (z. B. SOC 2) vorlegen, um die Einhaltung nachzuweisen.

8. Kontakt

Bei Fragen zu dieser DPA oder um eine unterzeichnete Kopie anzufordern, kontaktieren Sie uns unter privacy@msovo.com.