Auftragsverarbeitung
AVV nach Art. 28 DSGVO mit Anlagen zu Verarbeitung, Anbietern und Schutzmaßnahmen.
AVV lesenSicherheit bei sicherAI
Ihre Datenwege. Offen nachvollziehbar.
Speicher bei Hetzner in Deutschland, Modellverarbeitung in europäischen Regionen. Hier finden Sie die Maßnahmen, Verträge und Grenzen für Ihre Prüfung als Praxis in Deutschland.
Nachweise
Unterlagen für Ihre Prüfung. Die Herkunft steht dabei.
Testat des Hosters
Hetzner hat ein BSI-C5-Testat Typ 2. Es ist ein Nachweis zur Infrastruktur von Hetzner.
C5 bei HetznerRechenzentren von Hetzner
Hetzner ist nach ISO/IEC 27001:2022 zertifiziert, für die Rechenzentren Nürnberg und Falkenstein.
ISO-Zertifikat von HetznerVerschwiegenheit
Verschwiegenheitsvereinbarung für Deutschland, öffentlich lesbar.
Zur Fassung für DeutschlandDatenweg
Von Ihrer Eingabe zur Antwort.
Sie übermitteln
Die Übertragung an unseren Server ist verschlüsselt.
sicherAI speichert
Konten, Chats und hochgeladene Dateien liegen bei Hetzner in Deutschland.
Das Modell verarbeitet
Für die gewählte Funktion gehen Inhalte an den jeweiligen Modellanbieter in europäischen Regionen.
Sie erhalten die Antwort
Die Antwort erscheint in Ihrem Arbeitsbereich. Training mit Ihren Daten ist vertraglich ausgeschlossen.
Im Detail
Was mit Ihren Daten geschieht. Und wo Grenzen bleiben.
Speicher und Sicherung
Konten, Chats, Dateien und Datenbankkopien.
- Speicherung
- Konten, Chats und Dateien liegen auf der Infrastruktur von Hetzner in Deutschland.
- Datenbank
- Die Produktionsdatenbank wird täglich gesichert. Lokale Sicherungen werden regulär 14 Tage aufbewahrt; ältere Stände werden nach erfolgreicher neuer Sicherung bereinigt.
- Getrennte Sicherungskopie
- Zusätzlich gibt es täglich eine verschlüsselte Off-Site-Kopie auf einem getrennten Speicher bei Hetzner in Deutschland. Regulär 14 Tage; mindestens die drei jüngsten Stände bleiben unabhängig vom Alter erhalten.
Modelle und Training
Vertragliche Zusagen und Angaben der Anbieter.
- Verarbeitungsorte
- Microsoft nutzt die EU-Datenzone, die laut Microsoft auch EFTA-Staaten umfasst. Cortecs leitet Anfragen an die Claude-Modelle an AWS Bedrock weiter; verarbeitet wird laut Cortecs im EWR. Mistral nutzt den EU-Endpunkt.
- Trainingsausschluss
- Training mit Ihren Daten ist vertraglich ausgeschlossen (AVV Ziffer 4.4 und Anlage 2). Bei Microsoft stützt sich der Ausschluss zusätzlich auf dessen Angaben, bei Cortecs und AWS auf das Data Processing Agreement von Cortecs.
- Aufbewahrung beim Anbieter
- Microsoft kann Ein- und Ausgaben zur Missbrauchserkennung speichern. Cortecs verarbeitet Inhalte laut seinem Data Processing Agreement nur im Arbeitsspeicher und bewahrt Betriebsdaten wie Zeitpunkt und Tokenzahl bis zu zwölf Monate auf; bei AWS ist eine Speicherung zur Missbrauchserkennung je nach Modell nicht ausgeschlossen.
Zugriff und Anmeldung
So sind Konten und Organisationen getrennt.
- Individuelle Anmeldung
- Die App unterstützt E-Mail und Passwort mit E-Mail-Bestätigung. Sie können einen Passkey oder eine Authenticator-App einrichten. Optional ist die Anmeldung mit einem Google- oder Microsoft-Konto möglich.
- Rollen
- Inhaber, Admins und Mitglieder haben unterschiedliche Rechte. Mitarbeitende können per Einladung zur Organisation hinzukommen.
- Jede Praxis getrennt
- Datenbank-Zugriffsregeln (Row-Level Security) trennen die Organisationen. Wissensräume können zusätzlich auf Gruppen beschränkt werden; Inhaber und Admins behalten den Verwaltungszugriff.
Maßnahmen
Schutz im Arbeitsbereich. Konkret beschrieben.
Passkey und zweiter Faktor
Richten Sie für Ihr Konto einen Passkey oder einen zweiten Faktor per Authenticator-App ein.
Rollen und Einladungen
Verwalten Sie Ihr Team über die Rollen Inhaber, Admin und Mitglied.
Wissensräume für Gruppen
Begrenzen Sie den lesenden Zugriff auf einen Wissensraum auf eine Gruppe. Inhaber und Admins behalten den Verwaltungszugriff.
Chat-Anbieter sperren
Die Sperre gilt für Chatmodelle. Einbettungen, Texterkennung und Diktat laufen weiter über Mistral, Bildgenerierung über Microsoft.
Organisationsprotokoll
Einladungen, Rollenänderungen und gelöschte Brain-Dokumente stehen im Protokoll. Inhaber und Admins können es als CSV exportieren.
Zustimmungsnachweis
Beim Vertragsabschluss in der App dokumentiert ein Zustimmungsnachweis den Abschluss. Den Vertragstext erhalten Sie mit dem Nachweis als PDF per E-Mail.
Beteiligte Anbieter
Wer welche Aufgabe übernimmt. Mit Ort der Verarbeitung.
| Anbieter | Aufgabe | Ort laut Vertragsunterlagen |
|---|---|---|
| Hetzner | Hosting, Datenbank und Dateien | Deutschland |
| Mistral | Modelle, Einbettungen, Texterkennung und Diktat | EU-Endpunkt (Frankreich/EU) |
| Microsoft Azure | Modelle und Bildgenerierung | EU-Datenzone, Ressource Sweden Central; laut Anbieter einschließlich EFTA |
| Cortecs mit AWS Bedrock | Modelle | Laut Cortecs im EWR; Weiterleitung bei OVH SA, Frankreich |
| Brevo | Transaktionale E-Mails | Laut Anbieter Frankreich, Deutschland und Belgien |
| Hostinger | Support- und Datenschutzpostfächer | Laut Anbieter EU und Vereinigtes Königreich |
| Stripe | Zahlungsabwicklung | EU und USA; EU-Standardvertragsklauseln |
Die vollständige Liste mit Vertragspartnern und Transfergrundlagen steht in Anlage 2. Änderungen werden 30 Tage vorher angekündigt.
Anlage 2: vollständige AnbieterlisteVerschwiegenheit
Vertragliche Pflichten. Für Ihren Berufsalltag.
AVV und Verschwiegenheitsvereinbarung gehören zu jedem Tarif.
Die Verschwiegenheitsvereinbarung für Deutschland und die Schweiz regelt das Stillschweigen, die Verarbeitung nur im erforderlichen Umfang oder auf Ihre ausdrückliche Weisung und die Verpflichtung weiterer Personen in Textform, bevor sie Zugang erhalten.
Sie können die Texte vor der Registrierung lesen. Inhaber und Admins schließen die Vereinbarungen in der App ab und erhalten den Vertragstext mit Zustimmungsnachweis als PDF per E-Mail.
Vereinbarung lesenUnterlagen
Vor Ihrer Entscheidung lesbar. Ohne Registrierung.
Prüfen Sie die Verträge und die offengelegten Nachweise. Auf der Vertrauensseite ist erkennbar, welche Angaben belegt sind, vom Hersteller stammen oder offen bleiben.
Auftragsverarbeitungsvertrag (AVV)
AVV nach Art. 28 DSGVO mit Anlagen zu Verarbeitung, Anbietern und Schutzmaßnahmen.
Stand: 4. November 2026
Technische und organisatorische Maßnahmen
Anlage 3 zum AVV: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, regelmäßige Überprüfung.
Stand: 4. November 2026
Verschwiegenheitsvereinbarung
Wir verpflichten uns vertraglich zur Verschwiegenheit.
Stand: 2. November 2026
Datenschutzerklärung
Wie sicherAI personenbezogene Daten verarbeitet, soweit sicherAI Verantwortlicher ist.
Stand: 4. November 2026
Allgemeine Geschäftsbedingungen
Die Bedingungen für die Nutzung der Dienstleistungen von sicherAI.
Stand: 3. November 2026
Nachweise des Hosters
Unser Hoster Hetzner, nicht sicherAI, ist nach ISO/IEC 27001:2022 zertifiziert (Rechenzentren Nürnberg und Falkenstein, gültig bis 26.09.2028) und hat ein BSI-C5-Testat Typ 2.
Nach Land
Ihre Schweigepflicht. Unterlagen zur Unterstützung.
Die Prüfung des konkreten Einsatzes bleibt bei Ihrer Praxis. Die Unterlagen unterstützen Sie dabei; offene Rechtsfragen werden durch die Vereinbarungen nicht abschließend beantwortet.
Deutschland
Unterlagen für Ihre Prüfung
Die Verschwiegenheitsvereinbarung für Deutschland und die Schweiz regelt das Stillschweigen, die Verarbeitung nur im erforderlichen Umfang oder auf Ihre ausdrückliche Weisung und die Verpflichtung weiterer Personen in Textform, bevor sie Zugang erhalten. AVV und Anlagen legen Datenwege und Maßnahmen offen.
Verschwiegenheitsvereinbarung DEIhre Fragen
Sicherheit verstehen. Auch an den Grenzen.
Was ist verschlüsselt?
Verschlüsselt sind die Übertragung, die Zugangsdaten verbundener Ablagen und die zusätzliche Sicherungskopie der Datenbank. Eine Verschlüsselung der gespeicherten Daten auf dem Server sichern wir nicht zu. sicherAI hat keine eigenen Zertifikate und gibt keine Verfügbarkeitszusage.
Wo liegen die Grenzen der Sicherung?
Hochgeladene Dateien werden derzeit nicht gesondert gesichert. Der wöchentliche Restore-Check prüft die Archivlesbarkeit, keinen vollständigen Datenbank-Restore.
Darf ich Patientendaten eingeben?
Ja, mit Einwilligung der Patientin oder des Patienten und einer Entbindung von der Schweigepflicht. Geben Sie, wo es geht, keine Namen ein. Gespräche mit Patienten nehmen Sie nur mit deren Einwilligung auf.
Werden meine Daten für Training verwendet?
Training mit Ihren Daten ist vertraglich ausgeschlossen (AVV Ziffer 4.4 und Anlage 2). Bei Microsoft stützt sich der Ausschluss zusätzlich auf dessen Angaben, bei Cortecs und AWS auf das Data Processing Agreement von Cortecs. Die mögliche Speicherung zur Missbrauchserkennung bleibt davon getrennt.
Vertrags- und Zusicherungsstatus lesenKann ich einzelne Anbieter sperren?
Ja, für Chatmodelle. Die Sperre betrifft keine Einbettungen, Texterkennung, Diktate oder Bildgenerierung: Diese Funktionen laufen weiter über Mistral beziehungsweise Microsoft.
Wo finde ich die Nachweise und offenen Punkte?
Auf der Vertrauensseite finden Sie die Verarbeitungskette, Herstellerangaben und den Stand der Nachweise. Verträge und Schutzmaßnahmen stehen in den öffentlich lesbaren Rechtsunterlagen.
Zur Vertrauensseite