Datenschutz und Hosting
DSGVO-konforme KI: Ihre Instanz, Ihr Server, Modelle in Deutschland oder der EU
Die meisten KI-Werkzeuge schicken Unternehmensdaten an Server in den USA. IntegrationBuddy ist anders gebaut: Jeder Kunde bekommt eine vollständig getrennte Instanz auf dem eigenen Server oder auf einem Server in Deutschland, den wir betreiben, die Sprachmodelle werden in Deutschland oder der EU gehostet, und wir zeigen offen, an welchen Stellen Daten Ihre Infrastruktur verlassen.
Grundprinzip
Eine Instanz pro Kunde. Nichts wird geteilt.
Kunden teilen sich bei uns weder Datenbank noch Verarbeitungsserver. Jede Instanz besteht aus eigenem Server, eigener Datenbank und eigenen Workflows.
Auf Ihrem Server oder im Haus
Wir richten die Instanz auf Ihrem Server im Rechenzentrum oder auf Hardware bei Ihnen ein, per VPN oder SSH. Die Einrichtung folgt einem dokumentierten, am Testsystem durchgespielten Ablauf.
Oder auf einem Server, den wir betreiben
Für Piloten und kleine Teams richten wir einen eigenen virtuellen Server für Sie ein und betreiben ihn. Auch dann: eigene Datenbank, eigene Workflows, keine Nachbarn. Der Server steht in Deutschland.
KI-Modelle in Deutschland oder der EU
Zwei Optionen, die wir vorher mit Ihrem Datenschutzbeauftragten festlegen. Mit IONOS laufen Sprachmodell und Suchmodell über den AI Model Hub der IONOS SE, eines deutschen Anbieters, in Rechenzentren in Deutschland: offene Modelle, kein US-Anbieter in der Verarbeitungskette. Der Auftragsverarbeitungsvertrag mit IONOS besteht. Mit Langdock nutzen Sie Modelle wie GPT oder Claude über die Langdock GmbH aus Berlin, mit Hosting in der EU und Auftragsverarbeitungsvertrag. Die Modelle stammen dann von US-Anbietern.
Der Datenfluss, offen gelegt
An diesen sechs Stellen verlassen Daten Ihre Infrastruktur
Alles andere bleibt auf Ihrem Server: das Hochladen und Prüfen im Portal, das Zerlegen der Dokumente, die Datenbank, die Suche, die Erzeugung von PDF-Dokumenten. Jede Übertragung läuft verschlüsselt über HTTPS.
| Zeitpunkt | Welche Daten | Wohin |
|---|---|---|
| Dokument einbetten | Textabschnitte des freigegebenen Dokuments | KI-Anbieter, Suchmodell |
| Frage verbessern | Die Chat-Nachricht des Nutzers | KI-Anbieter, Sprachmodell |
| Frage einbetten | Die Chat-Nachricht des Nutzers | KI-Anbieter, Suchmodell |
| Antwort erzeugen | Chat-Nachricht und die passenden Textabschnitte | KI-Anbieter, Sprachmodell |
| Gelöstes Problem zusammenfassen | Der Chat-Verlauf, wenn ein Nutzer „Problem gelöst“ wählt | KI-Anbieter, Sprachmodell |
| Gesprächsgedächtnis aktualisieren | Der Chat-Verlauf der Sitzung | KI-Anbieter, Sprachmodell |
KI-Anbieter heißt Langdock oder IONOS, je nachdem, welche Modelle Ihre Instanz nutzt. Diese Tabelle stammt aus unserer Datenflussdokumentation, die wir vor jedem Projekt mit dem Datenschutzbeauftragten des Kunden durchgehen. Sie ist so geschrieben, dass man sie ohne uns lesen kann.
Speicherung und Löschung
Was wie lange bleibt
| Daten | Ort | Dauer |
|---|---|---|
| Originaldokumente | Ihr Server | Nur während Hochladen und Freigabe, danach gelöscht |
| Als Bild abgelegte Bilder | Ihre Instanz | Dauerhaft, damit der Chat sie zur Antwort anzeigen kann, bis Sie das Bild entfernen |
| Textabschnitte und Vektoren | Ihre Datenbank | Dauerhaft, bis Sie das Dokument entfernen oder ersetzen |
| Chat-Verläufe | Ihre Datenbank | 30 Tage, dann automatische Löschung; für den Kontext höchstens die letzten zehn Nachrichten |
| Zugriffsprotokoll (welcher Nutzer welche Abschnitte erhalten hat) | Ihre Datenbank | 7 Tage |
| Protokoll der Berechtigungsänderungen | Ihre Datenbank | Dauerhaft, als Nachweis der Rechenschaftspflicht |
| Datenbank-Sicherung | Ihr Server | Täglich, 14 Tage Aufbewahrung |
Zugriff und Sicherheit
Wer was sieht, und wie das durchgesetzt wird
Berechtigungen nach Gruppen
Dokumente gehören zu Gruppen, Nutzer auch. Der Filter wird auf dem Server durchgesetzt, nicht in der App des Nutzers, und lässt sich dort nicht umgehen. Vorgesetzte können Vollzugriff erhalten.
Verifizierte Identität
Wer eine Frage stellt, ist serverseitig angemeldet und geprüft. Die Zugangsdaten werden auf dem Gerät im geschützten Speicher des Betriebssystems abgelegt, nicht in einer Datei.
Zwei Faktoren für Admins
Der Admin-Bereich des Kundenportals ist mit einem zweiten Faktor per Authenticator-App gesichert.
Schutz vor Missbrauch
Anfragen an den Chat sind pro Nutzer begrenzt, alle Verbindungen laufen über HTTPS, und die eingesetzte Software wird regelmäßig aktualisiert.
Für Ihren Datenschutzbeauftragten
Unterlagen, die wir vor dem Start liefern
Datenflussdokumentation
Alle Systeme, Betreiber, Standorte und die sechs Übertragungen oben, inklusive offener Punkte. Wir schönen nichts.
Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO, mit Varianten für Betrieb auf Ihrem Server und für Betrieb durch uns.
Vertraulichkeitsvereinbarung
Bevor wir ein einziges Dokument von Ihnen sehen.
TDD
Architektur, Schnittstellen und Betrieb für Ihre IT und Ihre ISMS-Prüfung.
Häufige Fragen
Was Datenschutzbeauftragte und IT-Leitungen uns fragen
Wird ein Sprachmodell mit unseren Daten trainiert?
Nein. Wir trainieren kein Modell mit Ihren Daten. Ihre Dokumente liegen in Ihrer eigenen Datenbank. Für eine Antwort erhält das Sprachmodell nur die Abschnitte, die zur Frage passen, zusammen mit der Frage selbst.
Kann IntegrationBuddy komplett ohne Internet laufen?
Derzeit nicht. Datenbank, Workflows und Zerlegung der Dokumente laufen auf Ihrem Server. Die KI-Modelle laufen je nach gewählter Option bei IONOS in Rechenzentren in Deutschland oder über Langdock in der EU und werden über eine verschlüsselte Verbindung angesprochen. Ein vollständig lokales Sprachmodell bieten wir aktuell nicht an.
Wer von IntegrationBuddy hat Zugriff auf unseren Server?
Malik Kacar und Phil Schulz für Einrichtung, Wartung und Freigabe von Dokumenten, per VPN oder SSH. Änderungen an Berechtigungen werden in der Datenbank protokolliert, auch wenn sie von uns kommen.
Was passiert mit den Originaldokumenten?
Während Hochladen und Prüfung liegen sie vorübergehend im Portal auf Ihrem Server. Nach der Freigabe wird die Originaldatei dort gelöscht. In Ihrer Datenbank bleiben die Textabschnitte und ihre Vektoren. Ausnahme: Bilder wie Typenschilder oder Zeichnungen, die Sie bei der Freigabe bewusst als Bild ablegen, bleiben in Ihrer Instanz gespeichert, damit der Chat sie zur Antwort anzeigen kann.
Wie lange werden Chat-Verläufe gespeichert?
Nachrichten werden für den Gesprächskontext gespeichert und nach 30 Tagen automatisch gelöscht, täglich durch einen Aufräum-Workflow. Für den Kontext einer Antwort werden höchstens die letzten zehn Nachrichten einer Sitzung geladen.
Was bekommt unser Datenschutzbeauftragter von Ihnen?
Die vollständige Datenflussdokumentation mit allen Stellen, an denen Daten Ihre Infrastruktur verlassen, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Vertraulichkeitsvereinbarung und auf Wunsch ein technisches Design-Dokument (TDD). Fragen aus einer ISMS-Prüfung beantworten wir schriftlich.
Können wir auch Modelle von OpenAI oder Anthropic nutzen?
Ja. Modelle wie GPT oder Claude binden wir über Langdock an, eine Plattform der Langdock GmbH aus Berlin mit Hosting in der EU und Auftragsverarbeitungsvertrag. Die Modelle selbst stammen dann von US-Anbietern. Wer keinen US-Anbieter in der Verarbeitungskette möchte, nutzt offene Modelle bei IONOS in Rechenzentren in Deutschland. Welche Modelle Ihre Instanz nutzt, legen wir vorher mit Ihrem Datenschutzbeauftragten fest.
Was passiert bei Vertragsende?
Die Datenbank liegt auf Ihrer Infrastruktur und gehört Ihnen. Betreiben wir den Server für Sie, übergeben oder löschen wir die Daten nach Ihrer Vorgabe.
Bringen Sie Ihren Datenschutzbeauftragten mit.
30 Minuten Gespräch. Wir gehen den Datenfluss gemeinsam durch und beantworten jede Frage, auch die unbequemen.
Kostenlosen Termin vereinbaren