Compliance & Zertifizierungen
Sind Sie SOC 2 / ISO 27001 / TISAX zertifiziert?
Sind Sie SOC 2 / ISO 27001 / TISAX zertifiziert?
Nein. Als kleines deutsches Unternehmen unterliegen wir direkt der DSGVO und dem BDSG und veröffentlichen unsere Kontrollen offen, statt auf Dritt-Attestierungen zu verweisen. Eine formale Zertifizierung bewerten wir neu, sobald Kundennachfrage oder Unternehmensgröße sie rechtfertigen. Falls Ihr Einkaufsprozess zwingend eine Attestierung verlangt, sprechen Sie uns an — Alternativen wie ein kundenfinanziertes Audit sind möglich.
Sind Sie DSGVO-konform?
Sind Sie DSGVO-konform?
Wir betreiben ein kontinuierliches DSGVO-Programm. Eine allgemein verfügbare DSGVO-Zertifizierung nach Art. 42 existiert derzeit nicht — wer mit „DSGVO-zertifiziert” wirbt, überzeichnet die regulatorische Realität. Unsere Kontrollen (Datenresidenz, Unterauftragsverarbeiter-Transparenz, Betroffenenrechte, Meldepflichten, Löschung) sind in diesem Trust Center dokumentiert und unter jedem unterzeichneten AVV verbindlich.
Können wir Ihren AVV unterzeichnen?
Können wir Ihren AVV unterzeichnen?
Ja. Unser AVV enthält EU-Standardvertragsklauseln (Modul 2) für alle Unterauftragsverarbeiter mit US-Mutterkonzern. Anfrage an datenschutz@klugdigital.de — Unterzeichnung wie vorliegend oder mit Redlines.
Haben Sie einen Datenschutzbeauftragten (DSB)?
Haben Sie einen Datenschutzbeauftragten (DSB)?
Wir haben keinen externen DSB benannt — unsere Unternehmensgröße löst die Benennungspflicht nach § 38 BDSG derzeit nicht aus. Datenschutzfragen gehen an datenschutz@klugdigital.de und werden direkt von der Geschäftsführung bearbeitet.
Infrastruktur & Daten
Wie sind Kundenumgebungen voneinander getrennt?
Wie sind Kundenumgebungen voneinander getrennt?
Jeder Kunde erhält einen dedizierten VPS in einem deutschen Rechenzentrum mit eigenem Stack, eigener Datenbank, eigenem Dateisystem und eigener Laufzeitumgebung. Anwendung und Daten sind pro Kunde getrennt — es gibt kein geteiltes Mehrmandantensystem, das verteidigt werden müsste.
Wo werden meine Daten gehostet?
Wo werden meine Daten gehostet?
Auf Ihrem eigenen dedizierten VPS in Deutschland. Alle Anwendungsdaten — Dokumente, Embeddings, Chat-Verläufe, Workflow-Zustände — liegen dort. Verschlüsselte Backups werden in AWS S3 Frankfurt (eu-central-1) gespeichert. Alle KI-Modelle, auch für Bildgenerierung und Spracheingabe, laufen in Microsoft Azure ausschließlich in EU-Rechenzentren.
Was speichert KLUG Digital zentral über unser Unternehmen?
Was speichert KLUG Digital zentral über unser Unternehmen?
Außerhalb Ihres VPS und der verschlüsselten Backups nur die Metadaten der Geschäftsbeziehung: Vertrag, Rechnungsstellung, Support-Tickets, Nutzungsdaten für die Abrechnung (z. B. Token-Verbrauch je Modell) und das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Keine Anwendungsinhalte.
Nutzen Sie US-basierte Dienste?
Nutzen Sie US-basierte Dienste?
AWS und Microsoft haben US-Mutterkonzerne. Backups und KI-Modelle verarbeiten sie ausschließlich in EU-Regionen. Wir stützen uns auf EU-Standardvertragsklauseln (Modul 2 und 3) und die ergänzenden Maßnahmen der Anbieter. Wenn Nutzende die optionale Websuche verwenden, gehen Suchanfragen an Perplexity in den USA. Im Produkt kommen keine Google-Dienste, kein Cloudflare und keine US-Analytics zum Einsatz.
Trainieren Sie KI-Modelle mit unseren Daten?
Trainieren Sie KI-Modelle mit unseren Daten?
Nein. Kundeninhalte werden weder für KLUG-eigene Modelle noch für das Fine-Tuning von Drittmodellen verwendet. Unser KI-Anbieter (Microsoft Azure) trainiert unter den Standard-Servicebedingungen keine Basismodelle mit Prompts und Antworten von Kunden.
Können wir die Plattform selbst hosten?
Können wir die Plattform selbst hosten?
Ja. Da jede Kundenumgebung ohnehin ein dediziertes System ist, sind „von KLUG betrieben” und „selbst gehostet” dieselbe Architektur — der Unterschied ist, wer den SSH-Schlüssel hält. Beim Selbst-Hosting erreichen keine Anwendungsdaten KLUG Digital.
Können wir unsere Umgebung auditieren?
Können wir unsere Umgebung auditieren?
Ja — weil der VPS Ihnen dediziert ist. Unter unterzeichnetem AVV vereinbaren wir lesenden Audit-Zugriff oder einen dokumentierten Walkthrough Ihrer Umgebung. Diese Option gibt es bei geteilten SaaS-Plattformen nicht.
Sicherheitsbetrieb & EU AI Act
Wie gehen Sie mit Sicherheitsvorfällen um?
Wie gehen Sie mit Sicherheitsvorfällen um?
Betroffene Kunden werden innerhalb von 72 Stunden nach Bestätigung eines Vorfalls informiert (Art. 33 DSGVO). Die Meldung geht an Ihren benannten Datenschutzkontakt und enthält Umfang, betroffene Datenkategorien, Gegenmaßnahmen und den Zeitplan zur Behebung.
Führen Sie Penetrationstests durch?
Führen Sie Penetrationstests durch?
Noch nicht. Ein externer Penetrationstest steht auf unserer Roadmap; die Management-Summary veröffentlichen wir nach Abschluss in diesem Trust Center.
Wie melde ich eine Sicherheitslücke?
Wie melde ich eine Sicherheitslücke?
Per E-Mail an security@klugdigital.de. Wir bestätigen den Eingang innerhalb von 2 Werktagen und liefern eine Triage-Entscheidung innerhalb von 5 Werktagen. Ein Bug-Bounty-Programm bieten wir derzeit nicht an.
Wie bereiten Sie sich auf den EU AI Act vor?
Wie bereiten Sie sich auf den EU AI Act vor?
Wir sind nachgelagerter Betreiber (Deployer) von General-Purpose-AI-Systemen (Azure OpenAI), kein GPAI-Anbieter. Unsere Pflichten konzentrieren sich auf Art. 50 (Transparenz bei KI-generierten Inhalten) und die Betreiberpflichten bei Hochrisiko-Anwendungsfällen. Setzen Kunden KLUG für Hochrisiko-Anwendungen ein, stellen wir die technische Dokumentation für deren Konformitätsbewertung bereit.
Nächste Schritte
Infrastruktur & Datenhaltung
Das Betriebsmodell im Detail: dedizierte VPS, KI-Modelle, Backups und Verschlüsselung.
Kontakt aufnehmen
Ihre Frage war nicht dabei? Wir antworten innerhalb von 2 Werktagen.