Die ehrlichen Antworten auf eure Compliance-Fragen.

Deine Daten bleiben in Europa — und sichtbar.

Alles, was du uns gibst — Briefing-Inhalte, Projektdaten, Dokumente — liegt auf EU-Servern in Deutschland (Netcup GmbH, Nürnberg/Karlsruhe). Läuft in deinem Auftrag ein KI-Agent, gilt dasselbe für ihn. Keine Inhalte werden an US-Cloud-Anbieter weitergereicht, außer ihr entscheidet das explizit — z. B. wenn ihr bewusst OpenAI- oder Claude-Modelle über US-Endpunkte nutzen wollt. Selbst dann läuft das über unsere auftragsverarbeitungskonforme Schicht.

Standard-Setup:

• Hosting in Deutschland (Netcup GmbH, Nürnberg/Karlsruhe)
• Modell-Inferenz standardmäßig auf EU-Instanzen, mit europäischen Sub-Auftragnehmern
• AVV nach Art. 28 DSGVO — unsere Standard-Vorlage liegt bereit
• TOMs (Technische und organisatorische Maßnahmen) dokumentiert, auf Anfrage als PDF

Fragt euer DSB nach Art. 44–49 (Drittlandübermittlung)? Wir haben die Antwort pro Bot dokumentiert — nicht generisch, sondern pro Fall.

Werkvertrag in der Bauphase, Betreiber-Verantwortung danach.

Eine mangelhafte Werkleistung — oder ein KI-Agent, der falsch antwortet — kann Schaden verursachen. Andere Anbieter schieben das in die AGB-Tiefen („keinerlei Haftung für Outputs"). Wir machen das nicht — aber wir bauen die Verantwortung auch nicht künstlich groß, sondern teilen sie klar auf:

• Bauphase = Werkvertrag. Wir liefern das Werk — Workflow, Konzept oder KI-Agent — als Werkleistung nach §§ 631 ff. BGB. Du hast die Werkvertrags-Mängelrechte (Nachbesserung, im Misserfolgsfall Rücktritt) inklusive Abnahme nach § 640 BGB. Standard, jeder Mittelstands-Anwalt kennt das.
• Haftung in der Bauphase: Standard-BGB. Vorsatz und grobe Fahrlässigkeit unbegrenzt, ProdHaftG und Leib+Leben unbegrenzt, einfache Fahrlässigkeit bei Kardinalpflichten gedeckelt auf das Projekt-Honorar (in der laufenden Begleitung: zwölf Monats-Retainer). Volle Klausel: AGB § 7.
• Betriebsphase = du als Betreiber. Mit der Abnahme übernimmst du den Bot. Du wirst Anbieter und Betreiber im Sinne des AI-Acts (Art. 26). Drittansprüche aus dem Bot-Betrieb stellen wir uns wechselseitig frei: du stellst half-work frei, soweit wir nicht selbst pflichtverletzt haben (AGB § 8). Das ist im B2B-SaaS- und Dev-Tool-Markt Standard und sauber.
• Freelancer:in als Sub-Auftragnehmer:in. Sie steht fachlich hinter der Leistung und unterhält eine eigene marktübliche Beratungs-Berufshaftpflicht, die ihre eigene Beratungs- und Audit-Leistung abdeckt — nicht KI-Outputs als solche. Ein Direktanspruch zwischen dir und der Freelancer:in entsteht nicht; alle Ansprüche laufen über half-work.
• Compliance-Doku-Paket im Werkvertrag. Bei der Übergabe bekommst du ein PDF-Bundle (DSFA-Vorlage, AVV-Entwurf, TOM-Auszug, AI-Act-Klassifikation, Audit-Trail-Sample). Was du damit machst — selbst archivieren, deinem Versicherer/Makler vorlegen, in dein Compliance-System einfließen lassen — entscheidest du. Wir liefern es neutral, ohne Versicherungs-Aussagen.
• Audit-Trail + Hybrid-Signatur. Jede Bot-Antwort wird mit Ed25519 + ML-DSA-65 (post-quantum-konform) signiert protokolliert. In der laufenden Begleitung gibt es einen quartalsweisen Compliance-Report, strukturanalog zu IDW PS 951 (kein WP-Testat, aber WP-tauglicher Aufbau).
• Bot eskaliert, statt zu raten. Jeder Bot hat dokumentierte Grenzen, an denen er „frag lieber einen Menschen" sagt. Bei Hochrisiko-Tasks (AI-Act Anhang III) ist Human-in-the-Loop technisch erzwungen.

Wir sind ehrlich zu den Grenzen: KI ersetzt kein gerichtliches Gutachten und keinen fachlichen Letztentscheid. Eine Plattform-Cyber-Police betreiben wir nicht, eine Vermittlung von Versicherungen findet nicht statt. Volldetails: So arbeiten wir.

Keine Blackbox. Nicht bei Menschen, nicht bei KI.

Du weißt bei jedem Auftrag, wer was macht: Scope, Verantwortliche:r und Abnahme-Kriterien stehen im Werkvertrag. Und wenn ein KI-Agent Teil des Auftrags ist, gilt zusätzlich:

• Log-Zugriff auf Anfrage — Konversationen, Entscheidungen, Eskalationen, jederzeit exportierbar
• Monatlicher Report — was hat der Agent bearbeitet, wo eskaliert, welche Muster zeigen sich
• Modell- und Prompt-Dokumentation — welches Sprachmodell, welche System-Prompts, welche Tools
• Kenntlichmachung im Gespräch — wo ein Bot antwortet, steht das lesbar dran

Alle Verträge und Policies — in einer Liste.