Unterauftragsverarbeiter

Unterauftragsverarbeiter Noveu Solutions

Version: 1.8.3 Zuletzt aktualisiert: 23. Oktober 2026 Kontext: Diese Übersicht gehört zu Anlage 2 des Auftragsverarbeitungsvertrags (AVV) und ist eine verpflichtende Transparenzveröffentlichung nach der DSGVO (Art. 28 Abs. 2 DSGVO).

Noveu Solutions setzt zur Erbringung ihrer Dienste eine begrenzte Anzahl von Unterauftragsverarbeitern ein. Änderungen werden mindestens 30 Tage im Voraus angekündigt, damit Auftraggeber gemäß Artikel 6 des AVV begründet Einspruch erheben können. Diese Seite ist die aktuelle, öffentlich einsehbare Übersicht.

Ankündigung einer Änderung eines Unterauftragsverarbeiters (AVV Art. 6.3)

Angekündigt am: 31. August 2026 Ende der Einspruchsfrist: 31. Oktober 2026 (verlängert; zuvor 30. September 2026)

Was sich ändert. Der KI-Unterauftragsverarbeiter für die Generierung durch Sprachmodelle ist Mistral AI SAS (Paris, Frankreich), mit Verarbeitung innerhalb der EU. Damit entfällt Google LLC (Gemini API, Vereinigte Staaten) als KI-Unterauftragsverarbeiter.

Warum diese Ankündigung rückwirkend erfolgt. Die technische Umstellung auf Mistral fand am 29. August 2026 statt; Google wird seitdem nicht mehr als KI-Verarbeiter eingesetzt. Die Ankündigung nach Artikel 6.3 hätte dem vorausgehen müssen und ist das nicht. Wir korrigieren das hier ausdrücklich, statt es stillschweigend zu berichtigen: Die Umstellung war am 29. August 2026, und die Ankündigung folgte erst am 31. August 2026. Die Einspruchsfrist lief zunächst bis einschließlich 30. September 2026 und wurde bis einschließlich 31. Oktober 2026 verlängert.

Was das für Sie bedeutet.

• Es handelt sich um einen Ersatz, keine Erweiterung: Mistral übernimmt die Rolle von Google, und die Gesamtzahl blieb damals bei fünf Unterauftragsverarbeitern. Die KI-Verarbeitung wechselt damit von außerhalb in den EWR. Seit dem 21. Oktober 2026 sind es vier (siehe die Änderung in Version 1.8.1).
• Wenn Sie Einspruch erheben möchten, ist das bis einschließlich 31. Oktober 2026 über privacy@noveu.eu möglich. Das Verfahren steht in Artikel 6.4 des AVV und weiter unten auf dieser Seite.

Übersicht der aktuellen Unterauftragsverarbeiter

Erläuterung je Unterauftragsverarbeiter

1. Hetzner Online GmbH (primäres Hosting)

• Rolle: zentraler Lieferant von Rechen-, Speicher- und Netzwerkkapazität.
• Standort: Produktion und Backups befinden sich im Hetzner-Rechenzentrum in Falkenstein (Deutschland). Backups werden seit dem 30. September 2026 verschlüsselt gespeichert. Die Festplatten selbst sind noch nicht verschlüsselt; ein Datum dafür nennen wir noch nicht.
• Architektur: eigene dedizierte Hardware unter Proxmox VE; kein mandantenfähiger Hyperscaler.
• Garantien: deutsche DSGVO-Zuständigkeit, nach ISO 27001 zertifiziertes Rechenzentrum, Hetzner-AVV angewandt.

2. Cloudflare, Inc.

• Rolle: Edge-Netzwerk vor der Plattform: CDN, DDoS-Abwehr, WAF, DNS und Cloudflare Tunnel.
• Eingehende Architektur: Der HTTP/HTTPS-Verkehr der Plattform läuft über Cloudflare Tunnel, wodurch die Origin-IPs der Webdienste abgeschirmt bleiben. Mailverkehr (die Protokolle SMTP, IMAP und JMAP) und Echtzeitkommunikation (STUN und TURN) laufen nicht über Cloudflare, sondern direkt zum eigenen Server bei Hetzner in Falkenstein; Cloudflare stellt für diese Dienste nur das DNS bereit.
• Garantien: EU-U.S. Data Privacy Framework, Standardvertragsklauseln (Standard Contractual Clauses, SCC) und das Cloudflare Data Processing Addendum.

3. Stripe Payments Europe Ltd.

• Rolle: Zahlungsabwicklung für geschäftliche Abonnements (Karten, iDEAL, SEPA).
• Standort: EU, Verarbeitung über die irische Gesellschaft von Stripe innerhalb des EWR.
• Garantien: Stripe DPA, PCI-DSS Level 1, DSGVO-konforme Verarbeitung.

4. Mistral AI SAS (KI, nur nach Aktivierung, nur LLM)

• Rolle: LLM-Anbieter für die Noveu AI-Funktionalität. Die Produktions-KI nutzt seit dem 29. August 2026 die Mistral-API ausschließlich für die Textgenerierung.
• Sitz und Verarbeitungsort: Mistral AI SAS ist eine französische Gesellschaft. Noveu ruft die EU-API von Mistral auf (api.mistral.ai), womit die Verarbeitung innerhalb der EU bleibt. Für diesen Unterauftragsverarbeiter beruht die Übermittlung daher nicht auf dem EU-U.S. Data Privacy Framework oder auf Standardvertragsklauseln, wie es beim vorherigen KI-Verarbeiter der Fall war.
• Embeddings on-premise: Die Embeddings (Vektorisierung) für den KI-Wissensabruf gehen nicht an Mistral. Sie laufen seit Juni 2026 auf unserer eigenen Infrastruktur (BAAI bge-m3 über selbst gehostete Text-Embeddings-Inference auf vm-platform). Der (pseudonymisierte) Text verlässt unsere Infrastruktur nicht.
• Aktivierung: ausschließlich eingesetzt, wenn der Auftraggeber KI-Funktionen ausdrücklich pro Funktion oder Nutzer aktiviert. Ohne Aktivierung werden keine Inhalte an Mistral gesendet.
• Verarbeitung: Nur die Inhalte, die der Nutzer der KI-Funktion bereitstellt, werden an die Mistral-API gesendet. Diese kostenpflichtige API-Ebene wird nicht zum Training von Mistral-Modellen verwendet.
• Garantien: DSGVO-Verarbeitung innerhalb der EU, Mistral Data Processing Agreement, zusätzliche Datenminimierung und Pseudonymisierung im Noveu AI-Gateway.

Selbst gehostete Infrastruktur (kein eigener Unterauftragsverarbeiter)

Die folgenden Komponenten laufen auf unserer eigenen Infrastruktur (Hetzner Dedicated, EU). Sie sind keine eigenständigen Unterauftragsverarbeiter; die Verarbeitung fällt unter Hetzner (Nr. 1 oben).

• pgvector (Vektorspeicher für den KI-Wissensabruf / Embeddings), eine selbst gehostete PostgreSQL-Erweiterung auf unserer eigenen Infrastruktur; es gibt keine externe Vektordatenbank eines Drittanbieters.
• KI-Embeddings, on-premise (BAAI bge-m3 über selbst gehostete Text-Embeddings-Inference auf vm-platform), die Vektoren für den KI-Wissensabruf werden lokal erzeugt; der (pseudonymisierte) Text verlässt unsere Infrastruktur nicht, und es wird keine externe Embedding-API verwendet.
• LiveKit (Bild und Ton für Besprechungen in Noveu Meet), ein selbst gehosteter Server auf unserem eigenen Server bei Hetzner in Falkenstein; Bild und Ton werden nur live zwischen den Teilnehmern übertragen, und es wird nichts aufgezeichnet.
• coturn (STUN/TURN), ein selbst gehosteter Relay-Server auf derselben Infrastruktur. Er hilft beim Aufbau der Verbindung der Teilnehmer und kann Bild und Ton weitergeben; er speichert Bild und Ton nicht. Seine Fehlerzeilen können die IP-Adresse und den Port eines Teilnehmers enthalten. Diese bewahren wir höchstens 15 Tage auf; ein Archiv mit den Fehlerzeilen bis einschließlich 22. Oktober 2026 bewahren wir bis spätestens 19. November 2026 auf.

Ausgeschiedene Unterauftragsverarbeiter

Die Gemini-Anbindung ist als ungenutzter Codepfad noch im KI-Dienst enthalten und wird in einer separaten Änderung entfernt. Es gibt keine Konfiguration, in der dieser Pfad in der Produktion aufgerufen wird; er wird hier erwähnt, weil "aus der Konfiguration entfernt" und "aus dem Quellcode entfernt" nicht dasselbe sind und wir diesen Unterschied nicht verschweigen wollen.

Geplante Änderungen

Derzeit sind keine weiteren Änderungen an der Liste der Unterauftragsverarbeiter geplant. Die laufende Änderung (Google zu Mistral) steht oben auf dieser Seite.

Geplante Hinzufügungen oder Ersetzungen werden hier veröffentlicht, jeweils mit:

• Name, Sitz und Verarbeitungsort des (neuen) Unterauftragsverarbeiters;
• Zweck und Kategorien personenbezogener Daten;
• dem vorgesehenen Beginn (mindestens 30 Tage nach der Ankündigung);
• den Garantien (AVV, SCC, Zertifizierungen).

Einspruch gegen einen Unterauftragsverarbeiter

Auftraggeber können innerhalb von 30 Tagen nach der Ankündigung begründet Einspruch gegen eine geplante Änderung erheben. Führen Gespräche nicht innerhalb von 14 Tagen zu einer Einigung, darf der Auftraggeber den Hauptvertrag mit einer Frist von 30 Tagen kündigen, ohne Schadensersatz (AVV Art. 6.4).

Einspruch einlegen: privacy@noveu.eu oder über das Kundenportal.

Änderungsprotokoll

Kontakt

• Datenschutz / DSGVO: privacy@noveu.eu
• Recht: legal@noveu.eu
• Allgemeiner AVV: /juridisch/verwerkersovereenkomst
• Allgemeine Geschäftsbedingungen: /juridisch/algemene-voorwaarden