Anlage zu den Firmendaten-Hinweisen · 26. September 2026
Dienstleister und Verarbeitungsorte
Betrieb und Speicherung
Frey & Graf GmbH und Co. KG betreibt die Klarvexo-Anwendung, PostgreSQL-Datenbank und den zentralen Dateispeicher auf einer gemeinsam genutzten, logisch nach Firmen getrennten Serverinstallation. Dokumente werden im geprüften zentralen Betrieb auf dem Server gespeichert; ein externer Dokumenten-SFTP-Speicher ist dort nicht zentral eingerichtet. Individuelle Firmenanbindungen können davon abweichen.
Die getrennte verschlüsselte Notfallsicherung verwendet ein als STRATO VPS bezeichnetes Sicherungsziel. Anbieter ist nach dieser Betriebskonfiguration STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Der konkrete Hauptserver-Vertrag, die zugehörigen Rechenzentrumsstandorte und die Zuordnung beider Server zum Vertragskonto sind noch nicht abschließend dokumentiert. Aus einem Servernamen, einer IP-Adresse oder dem Sitz des Anbieters lässt sich kein verbindlicher Verarbeitungsort ableiten. Eine ausschließliche Deutschland- oder EU-Verarbeitung wird deshalb nicht zugesichert.
System-E-Mails
Zugangs-, Bestätigungs- und Systemnachrichten werden zentral über STRATO per verschlüsselter SMTP-Verbindung versendet. Dabei werden die benötigten Empfängeradressen und Nachrichteninhalte verarbeitet. Für die von deiner Firma verbundenen Postfächer gilt dagegen der jeweils von euch eingerichtete Mailanbieter; STRATO ist nicht automatisch Anbieter sämtlicher Kundenpostfächer.
Für einen mit der Klarvexo-Domain verbundenen Serverauftrag liegen Bestell- und Aktivierungsnachweise aus Juli 2026 sowie mitgelieferte Vereinbarungen zur Auftragsverarbeitung vor. Laut STRATO zu Vertragsfragen wird die AVV bei Verträgen ab dem 18. Juli 2022 automatisch einbezogen. Die zugehörigen Originalfassungen bleiben maßgeblich für den Abgleich; eine öffentliche Webseite ersetzt sie nicht. Die genaue Zuordnung beider laufenden Server und des System-Mailkontos zu den Einzelverträgen wird dadurch noch nicht vollständig belegt. STRATO veröffentlicht außerdem seine Schutzmaßnahmen.
KI und Dokumenterkennung
Die zentrale KI-Anbindung verwendet die OpenAI-API. Abhängig vom freigeschalteten Ablauf können erforderliche Mail-, Kontakt-, Projekt- und Dokumentinhalte einschließlich Bildern sowie die daraus erzeugten Ergebnisse verarbeitet werden. Die Verbindung verwendet den allgemeinen API-Endpunkt, nicht einen nachgewiesenen EU-exklusiven Endpunkt.
Nach OpenAIs veröffentlichtem Data Processing Addendum ist bei Kunden im EWR grundsätzlich OpenAI Ireland Ltd. Vertragspartner. Übermittlungen außerhalb des EWR sind möglich; das DPA beschreibt hierfür Angemessenheitsbeschlüsse beziehungsweise Standardvertragsklauseln. Die konkrete Vertragszuordnung und die Einstellungen des eingesetzten API-Kontos sind nicht allein durch einen funktionierenden API-Schlüssel bewiesen.
OpenAI beschreibt in seinen API-Datenkontrollen eine standardmäßige Missbrauchsprotokollierung von bis zu 30 Tagen mit Ausnahmen. API-Inhalte werden laut Anbieter standardmäßig nicht zum Modelltraining verwendet; eine freiwillige Datenfreigabe kann dies ändern. Für Klarvexo ist weder eine Nullspeichervereinbarung noch eine EU-exklusive Verarbeitung oder der kontospezifische Freigabestatus nachgewiesen. Entsprechende Zusicherungen werden nicht erteilt.
Push und optionale Gerätefunktionen
Für iOS ist Apple Push Notification service (APNs) zentral eingerichtet. Apple erhält bei der Zustellung gerätebezogene Push-Kennungen und die jeweilige Benachrichtigung. Der Mail-Push enthält im geprüften Serverablauf einen allgemeinen Hinweis statt Betreff oder Nachrichtentext sowie technische Verweise zum Öffnen des Vorgangs. Andere Benachrichtigungsarten können abweichende Inhalte enthalten. Für die genaue rechtliche Rolle und internationale Verarbeitung gelten die Apple-Vertragsunterlagen des eingesetzten Entwicklerkontos; eine Prüfung dieser Kontounterlagen ist damit nicht ersetzt.
Firebase Cloud Messaging für Android ist im am 26.09.2026 geprüften zentralen Serverstand nicht eingerichtet. Der optionale Android-Dokumentenscanner verwendet unabhängig davon Google ML Kit über Google Play-Dienste. Bildverarbeitung auf dem Gerät bedeutet nicht, dass keine technischen Nutzungsdaten an Google gehen. Die Details und die Alternative ohne ML Kit stehen in der Datenschutzerklärung.
Von deiner Firma gewählte Dienste
Eigene Postfächer, Kalender, SFTP-Speicher, Banking, WhatsApp, Webhooks und freigegebene Portale können weitere Empfänger einbeziehen. Eine verfügbare Funktion beweist keine eingerichtete Verbindung. Vor der Anbindung müssen Empfänger, Datenumfang, Berechtigungen, Vertragsbeziehungen und gegebenenfalls Drittlandgrundlagen geklärt werden. Diese Übersicht erklärt solche Dienste nicht pauschal zu Unterauftragnehmern von Klarvexo.
Vertragsbezogene Liste
Eine verbindliche Unterauftragnehmerliste muss die tatsächlich genutzten Rechtsträger, Aufgaben, Orte und Übermittlungsgrundlagen des konkreten Vertrags enthalten. Ungeklärte Angaben werden nicht durch diese Kenntnisnahme genehmigt. Kontakt für den dokumentierten Vertragsstand und Schutzgarantien: info@sc-v.de.