Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

LAARS

Anbieter von LAARS ist CONTENTHÜTTE, Inhaber Leif Dunkelmann (Einzelunternehmen).

zwischen

dem Kunden laut Kundenkonto in LAARS (Name des Betriebs, Anschrift, vertreten durch den Inhaber bzw. Geschäftsführer) – „Verantwortlicher“ oder „Kunde“ –

und

CONTENTHÜTTE, Inhaber Leif Dunkelmann, Werderstraße 135, 19055 Schwerin, Telefon +49 173 4506873, E-Mail info@contenthuette.de – „Auftragsverarbeiter“ oder „CONTENTHÜTTE“ –

---

Präambel

CONTENTHÜTTE stellt dem Kunden die Software „LAARS“ bereit und erbringt – je nach gebuchtem Paket – begleitende Leistungen (Einrichtung, Support, Social-Media-Betreuung). Dabei verarbeitet CONTENTHÜTTE personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Pflichten beider Seiten. Er ergänzt den Hauptvertrag (Nutzungsvertrag/AGB). Bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.

---

§ 1 Gegenstand und Dauer

1. Gegenstand: Bereitstellung und Betrieb von LAARS als Software im Browser (Software as a Service) mit KI-Assistent, Agenten, Postfach- und Kalenderanbindung, Dateiablage, Buchhaltungsanbindung, WhatsApp-Kanal, Telefonie-Anbindung sowie die nach Paket gebuchten Leistungen von CONTENTHÜTTE-Mitarbeitern (Support, Social Media).
2. Dauer: Dieser Vertrag gilt, solange der Hauptvertrag läuft und darüber hinaus, solange CONTENTHÜTTE Daten des Kunden verarbeitet (insbesondere bis zur Löschung nach § 10).

§ 2 Art, Zweck, Datenarten, Betroffene

1. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen (auch von Dateien und Mail-Anhängen, inkl. Texterkennung), Zusammenfassen und Einordnen mit KI, Erstellen von Entwürfen (Mails, Angebote, Rechnungsentwürfe, Dokumente, Zeichnungen), Übermitteln an verbundene Dienste nach Freigabe des Kunden, Verschriftlichen von Sprachnachrichten und Mailbox-Ansagen, Löschen.
2. Zweck: Entlastung des Kunden in Büro und Kommunikation: Anfragen und Mails vorsortieren, Antworten/Angebote/Erinnerungen vorbereiten, Termine abstimmen, Belege ablegen, Wissen des Betriebs nutzbar machen. Lädt der Kunde sein Baustellen-Team ein (Gesellen, Helfer, Poliere, Azubis per WhatsApp), kommen Zeiterfassung, Abwesenheitsmeldungen, Tagesberichte und die Organisation von Baustellen, Material und Werkzeug hinzu; Beschäftigtendaten werden nur dafür verarbeitet – nicht zur Leistungs- oder Verhaltenskontrolle durch CONTENTHÜTTE. CONTENTHÜTTE verarbeitet die Daten nur für diesen Zweck, nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen.
3. Datenarten (je nach Nutzung und Verbindungen):
   • Stamm- und Kontaktdaten (Name, Anschrift, Telefon, E-Mail) von Kunden, Interessenten, Lieferanten, Mitarbeitern, Bewerbern des Kunden;
   • Kommunikationsdaten: E-Mails (Kopfzeilen, Auszüge, Inhalte beim Lesen), Mail-Anhänge, WhatsApp-Nachrichten und Sprachnachrichten, Anruflisten, Mailbox-Texte, Chat-Verläufe mit dem Assistenten;
   • Vertrags- und Abrechnungsdaten: Anfragen, Angebote, Rechnungen, offene Posten, Belege, Bankverbindung des Betriebs, Preise;
   • Termin- und Projektdaten (Kalender, Baustellen, Aufmaße, Fotos, Pläne);
   • Bewerberdaten (Name, Stelle, Kontakt, Notizen, Unterlagen aus Mails);
   • Nutzerdaten der Mitarbeiter des Kunden (Name, E-Mail, Rolle, Protokoll der Freigaben);
   • Beschäftigtendaten des Baustellen-Teams (nur wenn der Kunde es nutzt): Name, Handynummer, Rolle, Einwilligungstext mit Zeitpunkt, Zuteilung zu Baustellen, Arbeitszeiten (Beginn, Ende, Pause, Baustelle), Abwesenheiten nur als Status (krank bzw. Urlaub mit Zeitraum – nie ein Grund), Tagesberichte, Fotos, Material- und Werkzeugbuchungen;
   • technische Daten (Zeitstempel, Zugangsschlüssel zu verbundenen Diensten – verschlüsselt).
   • Besondere Kategorien (Art. 9 DSGVO) werden nicht gezielt verarbeitet. Sie können aber in Mails, Dateien oder Bewerbungen enthalten sein (z. B. Krankmeldung, Schwerbehinderung). Der Kunde entscheidet, ob er solche Inhalte in LAARS verarbeitet.
4. Betroffene: Kunden und Interessenten des Kunden (Endkunden), Lieferanten und Geschäftspartner, Mitarbeiter und Bewerber des Kunden, Absender von Mails und Anrufer, Nutzer von LAARS beim Kunden.
5. Ort der Verarbeitung: Die Datenbank und Dateien liegen in der EU (AWS-Rechenzentrum Irland, Anbieter Convex, Inc.). KI-Verarbeitung standardmäßig in der EU (Mistral AI, Frankreich). Einzelheiten und Ausnahmen in Anlage 2. Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur nach § 8.

§ 3 Weisungen

1. CONTENTHÜTTE verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind: dieser Vertrag, der Hauptvertrag, die Einstellungen in LAARS (z. B. gebuchte Module, verbundene Dienste, „Was dein Agent allein darf“, „US-Modelle im Chat“, WhatsApp-Datenschutz-Einstellung) und jede Freigabe („Ja“) in LAARS oder per WhatsApp-Knopf. Übermittlungen in Drittländer erfolgen nur auf dokumentierte Weisung (insbesondere das Einschalten von US-Modellen und deren Bestätigung im Gespräch) und nach § 8.
2. Weitere Weisungen erteilt der Kunde in Textform an info@contenthuette.de. Weisungsberechtigt sind der Inhaber/Geschäftsführer und die in LAARS als „Chef“ eingetragenen Personen.
3. Hält CONTENTHÜTTE eine Weisung für rechtswidrig, sagt sie das dem Kunden unverzüglich und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Ist CONTENTHÜTTE gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt sie das dem Kunden vorher mit, sofern das Gesetz es nicht verbietet.

§ 4 Vertraulichkeit und Personal

1. CONTENTHÜTTE setzt nur Personen ein, die schriftlich auf Vertraulichkeit verpflichtet sind und im Datenschutz unterwiesen wurden.
2. Zugriff durch CONTENTHÜTTE-Mitarbeiter (LAARS-Support): Mitarbeiter von CONTENTHÜTTE mit den Rollen „Admin“ und „Team“ sehen Stammdaten der Betriebe (z. B. Anfragen, Bewerber, Anrufe, Vorgänge, Termine), soweit das für Einrichtung und Support nötig ist. Inhalte aus Postfach, Dateien, Firmenwissen, Preisen, Freigaben, WhatsApp-Verläufen und dem Assistenten sehen sie nur in einer Support-Sitzung, die mit Grund geöffnet wird, höchstens 2 Stunden dauert und dem Kunden unter Einstellungen → Support-Zugriffe angezeigt wird. Der Kunde kann den Support-Zugriff jederzeit abschalten; offene Sitzungen enden dann sofort. Jede Sitzung wird protokolliert. Einen Datenexport für den Kunden erstellt der LAARS-Support nur in einer offenen Support-Sitzung; er wird protokolliert und enthält keine Gespräche mit dem Assistenten. Web-Chats einzelner Nutzer sind für CONTENTHÜTTE nicht einsehbar.
3. Die Vertraulichkeitspflicht gilt auch nach Ende dieses Vertrags.

§ 5 Technische und organisatorische Maßnahmen

1. CONTENTHÜTTE trifft die Maßnahmen nach Art. 32 DSGVO aus Anlage 1 (TOMs). Sie sind Teil dieses Vertrags.
2. CONTENTHÜTTE darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dokumentiert und dem Kunden auf Anfrage mitgeteilt.

§ 6 KI-Verarbeitung

1. LAARS nutzt KI-Modelle externer Anbieter (Anlage 2). Die Anbieter erhalten pro Aufruf nur die für die jeweilige Aufgabe nötigen Daten des Kunden.
2. Standard ist EU-Verarbeitung. Modelle mit Verarbeitung in den USA (OpenAI, Anthropic, Venice) werden nur genutzt, wenn der Kunde dies in den Einstellungen ausdrücklich erlaubt und ein Nutzer im Chat ein solches Modell wählt und für das Gespräch bestätigt. Venice wird nur nach ausdrücklicher Aktivierung durch den Betrieb und Bestätigung je Gespräch genutzt (Anlage 2, Teil B). Hintergrund-Abläufe, Sprachnachrichten, WhatsApp und der Haupt-Agent laufen immer über EU-Anbieter.
3. CONTENTHÜTTE nutzt die Daten des Kunden nicht zum Training eigener oder fremder Modelle und stellt bei den KI-Anbietern die Abwahl der Trainingsnutzung ein, soweit der Anbieter sie anbietet. Die KI-Anbieter speichern Eingaben je nach Anbieter bis zu 30 Tage zur Missbrauchskontrolle (Anlage 2).
4. Daten zwischen Betrieben werden nicht vermischt: Jede KI-Anfrage enthält nur Daten des Betriebs, aus dem sie kommt.
5. KI-Ergebnisse sind Vorschläge. Was nach außen geht (Mails, Buchungen, Einträge in fremden Systemen), passiert erst nach Freigabe durch den Kunden oder nach einer vom Kunden selbst eingestellten Erlaubnis („allein“).

§ 7 Unterauftragsverarbeiter

1. Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. CONTENTHÜTTE informiert den Kunden mindestens 30 Tage vorher in Textform (E-Mail an die Chef-Adresse und Hinweis in LAARS), wenn ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Wirksamwerden der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden erstattet.
3. CONTENTHÜTTE schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der mindestens das Schutzniveau dieses Vertrags sicherstellt, und bleibt dem Kunden gegenüber verantwortlich.
4. Keine Unterauftragsverarbeiter sind Dienste, die der Kunde selbst beauftragt und mit LAARS verbindet (Anlage 3: z. B. Google, Microsoft, sevDesk, Lexware Office, DATEV, HERO, sipgate, placetel). Für diese Dienste ist der Kunde selbst verantwortlich und schließt dort die nötigen Verträge. CONTENTHÜTTE überträgt Daten an sie nur nach Weisung (Verbindung + Freigabe).
5. Unterauftragsverarbeiter, die nur bei Einschalten durch den Kunden tätig werden (Anlage 2, Teil B), werden erst mit dem Einschalten tätig. Reserve-Anbieter (Anlage 2, Teil C) sind derzeit nicht aktiv; CONTENTHÜTTE setzt sie erst nach Ankündigung nach Abs. 2 ein.

§ 8 Übermittlung in Drittländer

1. Eine Übermittlung in Länder außerhalb von EU/EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss inkl. EU-US Data Privacy Framework oder EU-Standardvertragsklauseln mit ggf. zusätzlichen Maßnahmen).
2. Einige Unterauftragsverarbeiter sind Unternehmen mit Sitz oder Muttergesellschaft in den USA, auch wenn die Daten in der EU gespeichert werden (Anlage 2). Ein Zugriff von US-Behörden auf diese Anbieter ist rechtlich nicht ausgeschlossen. Die Grundlage ist je Anbieter in Anlage 2 genannt.

§ 9 Unterstützung des Kunden

1. Betroffenenrechte: CONTENTHÜTTE unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Anfragen, die direkt bei CONTENTHÜTTE eingehen, leitet sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Der Kunde (Rolle „Chef“) kann alle Daten des Betriebs jederzeit unter Einstellungen → Daten als ZIP exportieren (JSON und CSV, Dateien im Original, Gespräche mit dem Assistenten).
2. Sicherheit, Datenpannen: CONTENTHÜTTE meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. CONTENTHÜTTE meldet nicht selbst an die Aufsichtsbehörde oder Betroffene, es sei denn, der Kunde weist es an.
3. Datenschutz-Folgenabschätzung: CONTENTHÜTTE stellt dem Kunden die nötigen Informationen bereit (TOMs in Anlage 1, Unterauftragsverarbeiter in Anlage 2, weitere Angaben auf Anfrage) und unterstützt bei einer Konsultation der Aufsichtsbehörde.
4. Für Unterstützung, die über das Übliche hinausgeht oder auf einem Fehlverhalten des Kunden beruht, kann CONTENTHÜTTE eine angemessene Vergütung nach Aufwand verlangen [Stundensatz]. Für Unterstützung wegen eines Fehlers von CONTENTHÜTTE gibt es keine Vergütung.

§ 10 Löschung und Rückgabe

1. Laufende Löschung: CONTENTHÜTTE löscht Daten nach den Fristen in Anlage 1, Abschnitt 9 (Löschfristen), oder wenn der Kunde sie in LAARS löscht.
2. Vertragsende: Nach Ende des Hauptvertrags stellt CONTENTHÜTTE dem Kunden auf Wunsch innerhalb von 30 Tagen einen Export seiner Daten in einem gängigen, maschinenlesbaren Format bereit (Daten als JSON/CSV, Dateien im Original). Danach – spätestens [60] Tage nach Vertragsende – löscht CONTENTHÜTTE alle Daten des Kunden, trennt alle Verbindungen (Zugangsschlüssel werden gelöscht; Zugriffsrechte bei Google werden widerrufen, bei Microsoft entfernt der Kunde die App-Berechtigung selbst – LAARS weist darauf hin) und bestätigt die Löschung in Textform.
3. Kopien in Sicherungen der Unterauftragsverarbeiter werden nach deren Löschzyklus entfernt und bis dahin nicht genutzt.
4. Gesetzliche Aufbewahrungspflichten des Kunden (z. B. GoBD, § 147 AO, § 257 HGB) erfüllt der Kunde selbst; LAARS ist kein revisionssicheres Archiv.
5. Daten in vom Kunden beauftragten Diensten (Anlage 3) bleiben dort und werden nicht gelöscht.

§ 11 Nachweise und Kontrolle

1. CONTENTHÜTTE stellt dem Kunden alle nötigen Informationen zum Nachweis der Pflichten zur Verfügung, insbesondere diesen Vertrag mit Anlagen und die Verträge/Nachweise der Unterauftragsverarbeiter (soweit diese die Weitergabe erlauben).
2. Der Kunde (oder ein zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber ist) kann nach Anmeldung mit 14 Tagen Vorlauf während der Geschäftszeiten prüfen, höchstens einmal im Jahr, außer bei konkretem Anlass (z. B. Datenpanne). Prüfungen bei Unterauftragsverarbeitern richten sich nach deren Verträgen.
3. Die Kosten einer Vor-Ort-Prüfung trägt der Kunde, außer die Prüfung deckt einen wesentlichen Verstoß von CONTENTHÜTTE auf.

§ 12 Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für
   • eine Rechtsgrundlage für die Daten, die er verarbeitet oder verbindet;
   • die Information seiner Kunden, Bewerber, Mitarbeiter und Anrufer (Art. 13/14 DSGVO) über den Einsatz von LAARS und der KI – CONTENTHÜTTE unterstützt auf Anfrage mit Formulierungshilfen;
   • einen Hinweis in der Mailbox-Ansage, wenn Mailbox-Nachrichten automatisch verschriftlicht werden;
   • die Entscheidung, ob er US-Modelle erlaubt,
   • beim Baustellen-Team: die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten (insbesondere § 26 BDSG bzw. Art. 88 DSGVO, Art. 6 Abs. 1 lit. c DSGVO für Arbeitszeitnachweise), die Information der Beschäftigten (Art. 13 DSGVO), die Beteiligung eines Betriebsrats, falls vorhanden (§ 87 Abs. 1 Nr. 6 BetrVG), und dass Krankmeldungen ohne Grund erfolgen – LAARS fragt nie nach einem Grund und speichert keinen, und
   • eine eigene Datenschutz-Folgenabschätzung, falls nötig.
2. Der Kunde setzt LAARS nicht zur automatischen Auswahl, Bewertung oder Ablehnung von Bewerbern ein.
3. Der Kunde informiert CONTENTHÜTTE unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
4. Ist der Kunde selbst Auftragsverarbeiter eines Dritten (z. B. einer Hausverwaltung), gibt er dessen Weisungen weiter; CONTENTHÜTTE ist dann weiterer Auftragsverarbeiter und dieser Vertrag gilt entsprechend.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregel des Hauptvertrags. [Haftungsregel anwaltlich formulieren lassen.]

§ 14 Schlussbestimmungen

1. Änderungen dieses Vertrags bedürfen der Textform. CONTENTHÜTTE kann Anlage 1 und 2 nach § 5 und § 7 anpassen.
2. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
3. Es gilt deutsches Recht. Gerichtsstand ist [Schwerin], soweit gesetzlich zulässig.

---

Abschluss (online, Textform)

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Der Kunde nimmt ihn in LAARS an:

☐ Ich schließe für [Name des Betriebs] den Vertrag zur Auftragsverarbeitung (Version 1.7 vom 06.11.2026) mit CONTENTHÜTTE, Inhaber Leif Dunkelmann, ab. Ich bin berechtigt, den Betrieb zu vertreten. [Vertrag als PDF ansehen] [Verbindlich abschließen]

CONTENTHÜTTE speichert dazu: Betrieb, Name und E-Mail der annehmenden Person, Zeitpunkt, Versionsnummer und Prüfsumme des Textes. Der Kunde kann den Vertrag mit Annahmebestätigung jederzeit unter Einstellungen → Verträge als PDF herunterladen; zusätzlich sendet CONTENTHÜTTE eine Bestätigung per E-Mail, sofern verfügbar. Bei einer neuen Version bittet LAARS den Chef, die neue Fassung zu bestätigen; die Arbeit in LAARS bleibt dabei möglich.

Für CONTENTHÜTTE: Leif Dunkelmann (Inhaber), Schwerin – durch Bereitstellung des Vertrags in LAARS.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 06.11.2026 (Teil der Version 1.7). Diese Anlage beschreibt, was in LAARS tatsächlich umgesetzt ist. Was noch offen ist, steht in Abschnitt 11.

1. Hosting und Zutritt

• CONTENTHÜTTE betreibt keine eigenen Server. Datenbank, Dateien und Server-Funktionen laufen bei Convex, Inc. im AWS-Rechenzentrum Irland (eu-west-1); die Oberfläche wird von Vercel aus Frankfurt ausgeliefert (beides bereitgestellt über Macaly, Anlage 2).
• Zutritt zu den Rechenzentren, Strom, Klima und Brandschutz regeln diese Anbieter nach ihren eigenen Sicherheitsnachweisen.

2. Zugang (Anmeldung)

• Konten entstehen nur über eine Einladung (Einladungs-Code, 14 Tage gültig).
• Anmeldung mit E-Mail-Adresse und Passwort (gespeichert nur als Hash); Bestätigung und Zurücksetzen per 6-stelligem Code an die E-Mail-Adresse.
• Zwei-Faktor-Anmeldung (Authenticator-App) ist für alle Nutzer verfügbar. Gespeichert wird dafür nur ein verschlüsselter Schlüssel.
• Sitzungen laufen spätestens nach 30 Tagen ab.

3. Zugriff (Rollen und Mandantentrennung)

• Jeder Datensatz gehört genau einem Betrieb. Jede Server-Funktion prüft vor dem Lesen oder Schreiben, ob der angemeldete Nutzer Mitglied dieses Betriebs ist und welche Rolle er hat (z. B. Chef, Büro).
• Jede KI-Anfrage enthält nur Daten des Betriebs, aus dem sie kommt.
• Web-Chats mit dem Assistenten gehören dem jeweiligen Nutzer; andere Nutzer sehen sie in LAARS nicht, CONTENTHÜTTE sieht sie gar nicht. Im Datenexport des Betriebs, den nur der Chef erstellen kann, sind sie enthalten.

4. Zugriff durch CONTENTHÜTTE (LAARS-Support)

• Mitarbeiter mit den Rollen „Admin“ und „Team“ sehen Stammdaten der Betriebe, soweit das für Einrichtung und Support nötig ist.
• Inhalte (Postfach, Dateien, Firmenwissen, Preise, Freigaben, WhatsApp-Verläufe, Assistent im Betrieb) nur in einer Support-Sitzung: mit Grund geöffnet, höchstens 2 Stunden, für den Kunden unter Einstellungen → Support-Zugriffe sichtbar und protokolliert.
• Der Kunde kann den Support-Zugriff abschalten; offene Sitzungen enden dann sofort.
• Ein Datenexport durch den Support ist nur in einer offenen Support-Sitzung möglich, wird protokolliert und enthält keine Gespräche mit dem Assistenten.
• Alle Mitarbeiter sind auf Vertraulichkeit verpflichtet (§ 4).

5. Weitergabe und Übertragung

• Alle Verbindungen laufen verschlüsselt (HTTPS/TLS).
• Zugangsschlüssel zu verbundenen Diensten (z. B. Postfach-, Kalender- und Buchhaltungs-Zugänge) werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert.
• Erkannte Geheimnisse (Passwörter, API-Schlüssel) in Mails und Dateien werden verdeckt.
• Was nach außen wirkt (Mails senden, Einträge in fremden Systemen), geschieht nur nach Freigabe durch den Kunden oder nach einer vom Kunden selbst eingestellten Erlaubnis.

6. Schutz der Oberfläche

• Sicherheits-Header auf allen Seiten: Content-Security-Policy (nur erlaubte Quellen für Skripte und Verbindungen), Referrer-Policy, Permissions-Policy (Mikrofon und Kamera nur für LAARS selbst, Standort nie), X-Content-Type-Options.
• Keine Werbe- oder Analyse-Cookies, kein Tracking; Schriften werden selbst ausgeliefert.

7. Eingabekontrolle (Protokolle)

• Protokoll der Freigaben (wer hat was wann freigegeben).
• Protokoll der Support-Sitzungen und der Kontoaktionen (z. B. Datenexport).
• Je KI-Aufruf werden Funktion, Modell, Menge und Kosten gespeichert – ohne Inhalte.

8. KI-Verarbeitung

• Standard ist Mistral AI (EU). US-Modelle nur nach Erlaubnis in den Einstellungen und Bestätigung im Gespräch (§ 6).
• Die Nutzung zum Training ist im Konto bei Mistral abgeschaltet.
• Reserve-Anbieter (Anlage 2, Teil C) werden nicht automatisch zum Standard.

9. Löschfristen

10. Export und Löschung

• Der Kunde (Rolle „Chef“) exportiert alle Daten des Betriebs selbst unter Einstellungen → Daten (ZIP mit JSON und CSV, Dateien im Original, Gespräche mit dem Assistenten).
• Die Löschung des Betriebs beantragt der Kunde dort ebenfalls; nach einer Wartezeit von 30 Tagen werden die Daten gelöscht, Verbindungen getrennt und die Zugriffsrechte bei Google widerrufen. Ein Löschnachweis ohne Inhalte bleibt erhalten (Abschnitt 9).

11. Offene Punkte (ehrlicher Stand)

• Test- und Live-Betrieb nutzen derzeit dieselbe Datenbank. Testbetriebe sind eigene Betriebe und durch die Mandantentrennung (Abschnitt 3) getrennt; eine eigene Testumgebung ist geplant.
• Datensicherungen (Backups) erfolgen beim Hoster; Umfang, Aufbewahrung und Wiederherstellung sind von CONTENTHÜTTE noch nicht dokumentiert.
• Ein regelmäßiger Wechsel des Signaturschlüssels für Anmeldungen ist noch nicht eingerichtet.
• Zugriffsregeln werden bei jeder Änderung von LAARS durch automatische Tests geprüft; eine externe Sicherheitsprüfung hat noch nicht stattgefunden.

Anlage 2 – Unterauftragsverarbeiter

Die aktuelle Liste steht auch öffentlich in LAARS unter /dienstleister.

Teil A – immer aktiv

Teil B – nur wenn der Kunde es einschaltet

Teil C – Reserve-Anbieter (derzeit nicht aktiv)

Werden erst nach Ankündigung 30 Tage vorher (§ 7 Abs. 2) eingesetzt; der Standard bleibt Mistral AI.

Anlage 3 – Vom Kunden beauftragte Dienste (keine Unterauftragsverarbeiter)

Google (Gmail, Kalender, Drive) · Microsoft (Outlook/M365, OneDrive) · sevdesk GmbH · Haufe-Lexware (Lexware Office) · DATEV eG · HERO Software GmbH · sipgate GmbH · Placetel – jeweils nur, wenn der Kunde den Dienst verbindet. Was dabei in LAARS geschieht, steht unter /dienstleister.