Auftragsverarbeitungsvertrag (AVV)

zwischen

Auftraggeber (Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO)

KlugBüro (Grigorii Sardarian)

Melsunger Straße 3

60389 Frankfurt am Main, Deutschland

und

Auftragnehmer (Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO)

KlugBüro (Grigorii Sardarian)

Melsunger Straße 3

60389 Frankfurt am Main, Deutschland

datenschutz@klugbuero.de (Übergangsadresse; info@klugbuero.de aktiv nach MX-Konfiguration)

1. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung der KlugBüro-Plattform für den Auftraggeber, im Einzelnen:

Hinweis: KlugBüro speichert Chat-Inhalte (Texte und Anhang-Metadaten) während der vereinbarten Aufbewahrungsfristen — siehe §5. Die KI-Inferenz selbst läuft plattformseitig zwischen dem Cabinet-Server und KI-Modellen europäischer Anbieter in EU-Rechenzentren (siehe §8); KlugBüro-Personal liest die Inhalte im Regelbetrieb nicht ein.

Die Vertragsdauer entspricht der Laufzeit des Hauptvertrags und endet mit dessen Beendigung.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers ausschließlich:

Die Inhalte verlassen nie die EU. Die KI-Inferenz läuft plattformseitig zwischen dem Cabinet-Server und KI-Modellen europäischer Anbieter in EU-Rechenzentren (siehe §8) — KlugBüro-Personal liest die Inhalte im Regelbetrieb nicht ein.

3. Art der personenbezogenen Daten

EU-Region eu-central-1 (Frankfurt am Main); Zugriff per Row Level

Security auf den jeweiligen Mandanten beschränkt

Lexware, Slack, SharePoint, RA-MICRO) zum Zugriff auf vom Auftraggeber

ausgewählte Mandantendaten — verschlüsselt gespeichert via pgsodium AEAD

(Migration 0010), Tenant-bindend, jederzeit widerrufbar

4. Kategorien betroffener Personen

Mitarbeiter des Auftraggebers mit Zugang zum KlugBüro-System.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

6. Technische und organisatorische Maßnahmen

- Plattform-DB, Authentifizierung, Vault: Supabase EU (Frankfurt)

- Cabinet/Landing-Hosting: Contabo Deutschland (Frankfurt)

- Datei-Speicherung (Datei-Bytes): Supabase Storage, EU-Region eu-central-1 (Frankfurt am Main)

- KI-Inferenz (primär): KI-Modelle europäischer Anbieter in EU-Rechenzentren, plattformseitig durch KlugBüro betrieben — Vertragspartner Mistral AI SAS (La Plateforme, EU-Hosting) mit Auftragsverarbeitung gemäß Art. 28 DSGVO

- KI-Inferenz (Failover) sowie Produkt-Assistent „Maja": EU-Subdienstleister OVHcloud und IONOS SE in EU-Rechenzentren (siehe §8) — Auftragsverarbeitung gemäß Art. 28 DSGVO

7. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Kerninfrastruktur (immer aktiv):

- KI-Inferenz: in EU-Rechenzentren von OVHcloud. Routing pro Modell, alle Standorte innerhalb der EU.

Indirekt über die Vertragskette:

Optionale Integrationen (nur nach ausdrücklicher Aktivierung durch den Auftraggeber):

Optionale Unterauftragsverarbeiter werden erst nach **expliziter Einwilligung

des Auftraggebers** in der Cabinet-Oberfläche („Verbinden"-Schritt mit

Consent-Bestätigung) eingebunden. Die Einwilligung ist freiwillig, jederzeit

widerrufbar und wird im Audit-Log dokumentiert.

Eine Änderung der Kern-Unterauftragnehmer bedarf der Information mit 30 Tagen

Vorlauf. Optionale Integrationen können vom Auftraggeber jederzeit aktiviert

oder deaktiviert werden — die Aktivierung weiterer optionaler Integrationen

unterliegt nicht der 30-Tage-Vorlauffrist, da sie individuell vom Auftraggeber

ausgelöst wird.

8. Drittlandsuebermittlung

Es findet keine Verarbeitung ausserhalb der EU/EWR statt. Die KI-Inferenz

laeuft primaer ueber KI-Modelle europaeischer Anbieter in EU-Rechen-

zentren — Vertragspartner Mistral AI SAS (La Plateforme, EU-Hosting),

Paris, Frankreich, mit Auftragsverarbeitung gemaess Art. 28 DSGVO. Als

Failover sowie fuer den Produkt-Assistenten „Maja" werden die EU-Sub-

dienstleister OVHcloud (OVH SAS, Roubaix, Frankreich) und IONOS SE

(Montabaur, Deutschland) in EU-Rechenzentren genutzt — jeweils mit

Auftragsverarbeitung gemaess Art. 28 DSGVO. Datei-Bytes werden in

Supabase Storage, EU-Region eu-central-1 (Frankfurt am Main),

gespeichert.

Die konkrete EU-Region wird serverseitig pro Modell gepinnt. Routing

zwischen den EU-Subdienstleistern (Mistral AI als primaerer Anbieter,

OVHcloud und IONOS als Failover) kann sich aufgrund von Modell-

Verfuegbarkeit, Kapazitaet oder Resilienz-Anforderungen dynamisch

anpassen — die Verarbeitung bleibt jedoch in jedem Fall innerhalb der EU.

Eine implizite Umleitung in eine Nicht-EU-Region findet nicht statt; bei

vollstaendiger EU-Erschoepfung wird der Aufruf abgelehnt, nicht in ein

Drittland umgeleitet.

Da die KI-Inferenz nunmehr vollstaendig plattformseitig durch KlugBüro

in EU-Regionen betrieben wird (kein Modell „eigene Cloud des

Auftraggebers" mehr), entfaellt eine Mitwirkungspflicht des Auftraggebers

zur Quota-Freischaltung; KlugBüro verantwortet die Region-Konfiguration.

Eine vollstaendige Liste der aktuell genutzten EU-Endpoints sowie der

verfuegbaren Modelle ist im Auftraggeber-Kabinett unter /status

einsehbar.

9. Kontrollrechte

Der Auftraggeber kann sich vom Einhalten der vereinbarten Massnahmen vor Ort oder durch Einsicht in Berichte unabhaengiger Stellen ueberzeugen.

10. Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers.

---

Stand: 23.6.2026 · Version 2026-05-29

Stand: 23.6.2026 · AVV-Anfragen / individueller Vertragsabschluss: datenschutz@klugbuero.de