Datenschutz, der im Code beginnt.
Acht architektonische Entscheidungen, eine vollständige Subprocessor-Liste und ein DSGVO-Vertrag im Standard. Hier finden Sie alles, was Ihr Datenschutzbeauftragter sehen will — vor dem Gespräch.
Acht Maßnahmen — heute aktiv
DSGVO Art. 28 — AVV-Vertrag
Standard-Vertrag bei jeder Buchung; Subprocessor-Liste transparent in /avv.
EU AI Act Art. 50 — KI-Kennzeichnung
Im Widget-Header und Footer sichtbar. Erste Antwort enthält explizite KI-Disclosure.
Nürnberg-Hosting
Datenbank, Vector-Store, App-Server bei Hetzner Nürnberg (NBG1). Keine US-Cloud-Hops.
Multi-Tenant Isolation
Strikte Mandanten-Trennung: jede Datenbank-Abfrage ist an den Mandanten gebunden, Vector-Namespaces getrennt nach Tenant, Rollen-basierte Zugriffe (RBAC).
2FA TOTP & Encryption
Mitarbeiter-Authentifizierung mit TOTP-Token, Fernet-verschlüsselt. TLS 1.3 in transit, AES-256 at rest.
Audit-Logs · 12 Monate Retention
Jede Konversation, jede Compliance-Entscheidung pseudonymisiert; Aufbewahrung konfigurierbar (90-730 Tage, Standard 12 Monate). CSV-Export für Personalrat / DSB.
Verschlüsselte Backups
Tägliche, GPG-verschlüsselte Backups — gespeichert bei Hetzner in Nürnberg. Kein unverschlüsseltes Backup verlässt den Server.
TOMs auf Anfrage
Technisch-organisatorische Maßnahmen als PDF nach Vertragsabschluss.
KI-Transparenz · EU AI Act Art. 50
Ab 2. August 2026 verpflichtet Art. 50 der EU-KI-Verordnung jeden Anbieter, der Personen mit KI-Systemen interagieren lässt, zur ausdrücklichen Offenlegung. AiSash erfüllt diese Pflicht heute schon — auf jeder Oberfläche, in jedem Modul.
- Modul A · Chat-Widget
- Sichtbarer „KI-Kennzeichnung"-Badge im Widget-Header. Erste Antwort enthält den Hinweis: „Sie sprechen mit einem KI-Assistenten. Bei wichtigen Anliegen bitte kontaktieren Sie unser Team."
- Modul B · Mitarbeiter-Tools
- Bei Login-Onboarding informieren wir Mitarbeitende über den KI-Einsatz, Audit-Log-Praxis und das Recht, eine menschliche Person einzuschalten (DSGVO Art. 22 Abs. 3).
- Modul D · Telefon-Assistent
- Pre-Call-Audio-Disclosure in jeder Verbindung: „Guten Tag, hier ist der digitale Assistent von [Mandant]. Sie sprechen mit einer KI." Gesprächsmitschnitte nur mit Einwilligung gemäß Bundesland-Recht (2-Parteien-Zustimmung in BY/BW).
- Webseite & Footer
- Persistenter KI-Kennzeichnung-Block im Footer dieser Seite. Im Impressum unter „KI-Kennzeichnung gemäß EU AI Act Art. 50" sind alle eingesetzten Systeme dokumentiert.
Modelle: Anthropic Claude (Reasoning, RAG, Voice-Intent) · ElevenLabs Multilingual v2 (TTS, über Famulor) · Voyage AI (Embeddings). Kein Training auf Kundeninhalten — abgesichert durch die Vertragsbedingungen der jeweiligen Anbieter.
Subprocessoren · DSGVO Art. 28
Vollständige Liste aller Drittanbieter, mit denen wir Daten teilen. Stand: regelmäßig aktualisiert. Bei Erweiterung informieren wir mindestens 30 Tage vor Wirksamkeit.
| Anbieter | Zweck | Region | Vertragsbasis |
|---|---|---|---|
| Hetzner Online GmbH | Hosting (App, DB, Object Storage) | Nürnberg (NBG1), Deutschland | AVV nach Art. 28 DSGVO |
| Stripe Payments Europe Ltd. | Abrechnung & Trial | Dublin, Irland | DPA — Bestandteil des Stripe Services Agreement |
| Anthropic PBC | LLM-API (Claude — Modul A, B, D) | USA — SCC 2021/914 | DPA — Bestandteil der Commercial Terms |
| Voyage AI, Inc. | Embeddings (Vector-Index, RAG) | USA — SCC 2021/914 | SCC 2021/914 |
| Brevo (Sendinblue SAS) | Transaktionale E-Mail | EU (Frankreich / Deutschland) | DPA — Bestandteil der Nutzungsbedingungen |
| Famulor | Voice-Orchestrierung (Modul D) | EU-Hosting (Deutschland) | AVV abgeschlossen |
| ElevenLabs | Sprachsynthese (TTS, Modul D) | USA — SCC 2021/914, No-Training-Klausel | Unterauftragsverarbeiter von Famulor (über deren AVV) |
| Cal.com, Inc. | Terminbuchung (Demo-Seite) | USA — SCC 2021/914 | Zwei-Klick-Einwilligung · Laden erst nach Klick |
US-basierte Anbieter (Anthropic, Voyage) werden ausschließlich auf Basis von EU-Standardvertragsklauseln (SCC 2021/914) eingesetzt. Keine Verwendung Ihrer Daten zu Training-Zwecken.
Brauchen Sie unsere TOMs oder den AVV-Entwurf?
Schreiben Sie uns — wir senden TOMs und AVV-Vertragsentwurf noch am gleichen Werktag.