Vertrauen
Wer eure Daten verarbeitet, wo das geschieht, und was wir davon belegen können. Diese Liste steht öffentlich und nicht erst nach Vertragsschluss — wer vor der Entscheidung wissen will, wohin seine Daten fließen, soll es vor der Entscheidung lesen können.
Die Rechtsdokumente sind Entwürfe und anwaltlich noch nicht geprüft. Solange das so ist, sind sie im Produkt vollständig lesbar und herunterladbar, aber nicht abschließbar.
Wer verarbeitet was
Die Modell- und Infrastruktur-Anbieter sowie Brave für die optionale Websuche.
| Anbieter | Sitz | Aufgabe | Verarbeitungsort |
|---|---|---|---|
| Mistral AI SAS | Frankreich | Modellantworten, Einbettungen, Texterkennung (OCR), Sprachtranskription | EU-Endpunkt api.eu.mistral.ai |
| Microsoft (Azure OpenAI) | US-Muttergesellschaft | Modellantworten | Sweden Central, Deployment-Typ „EU-Datenzone“ |
| Google (Vertex AI) | US-Muttergesellschaft | Modellantworten | europe-west4 (Niederlande) und europe-west3 (Frankfurt) |
| Amazon Web Services (Bedrock) | US-Muttergesellschaft | Modellantworten mit Claude-Modellen | eu-central-1, Frankfurt |
| Hetzner Online GmbH | Deutschland | Server-Hosting und Objektspeicher für Dateien | Nürnberg und Falkenstein, Deutschland |
| Brevo (Sendinblue SAS) | Frankreich | Transaktionale E-Mails (Verifikation, Passwort, Einladungen) | EU |
| Brave Search API (Brave Software Inc.) | San Francisco, USA | Optionale Websuche nach ausdrücklicher Auswahl je Nachricht; Suchanfrage vorher automatisiert von Personen- und Mandatsbezügen bereinigt | USA; Key noch nicht hinterlegt. ZDR angefragt, ausstehend; standardmäßig bis zu 90 Tage Retention. |
Die Modellrouten verwenden die genannten EU-Regionen. Die optionale Websuche über Brave ist eine Ausnahme: Anfragen verlassen die EU, nur auf Wunsch, ohne Mandantendaten. Die automatisierte Bereinigung kann im Einzelfall unvollständig sein. EU-Standardvertragsklauseln (Modul 2) sind als Transfergrundlage vorgesehen; ihre Abdeckung der Suchdaten und der angefragte ZDR-Vertrag sind vor Aktivierung noch nachzuweisen. Brave nimmt Suchdaten laut seiner Privacy Notice vom Standard-DPA aus.
Was wir nicht einsetzen
Jede Zeile hier ist ein Empfänger, den es bei uns nicht gibt.
- Authentifizierung
- Better Auth, selbst betrieben — kein externer Dienst
- Zahlungen
- keine Abrechnungsfunktion vorhanden
- CDN und WAF
- kein Dienstleister zwischengeschaltet
- Fehler-Monitoring
- kein externes Monitoring
- Hilfe-Center
- kein externer Dienst
- E-Signatur
- Unterzeichnung findet in der Anwendung selbst statt
- Analyse und Werbung
- kein Tracking, keine Werbenetzwerke
Was wir belegen können
- Die Mandantentrennung erzwingt PostgreSQL Row-Level Security. Jede Abfrage läuft organisationsgebunden; ein eigener Test prüft die Trennung bei jedem Lauf.
- Die Produktionskonfiguration bindet jede Modellroute an die oben genannte EU-Region. Das ist kein Versprechen, sondern der Aufrufpfad selbst.
- Mistral hat Zero Data Retention für unser Konto bestätigt. Alle drei Trainingsschalter im Konto stehen auf „kein Training“.
- In der Anwendung laufen keine Analyse- oder Trackingdienste und kein externer Monitoringdienst.
- Claude läuft über AWS Bedrock. Es gibt keine direkte Vertragsbeziehung zu Anthropic — deshalb steht Anthropic nicht in der Liste oben.
Was Herstellerangabe ist
Zusagen der Anbieter, die wir nicht selbst nachgeprüft haben. Wir geben sie als das weiter, was sie sind.
- Microsoft: keine Nutzung von Kundendaten zum Training (Produktbedingungen).
- Google: keine Nutzung von Kundendaten zum Training der Foundation-Modelle (Vertex-AI-Datennutzungsbedingungen).
- AWS: Bedrock speichert Prompts und Antworten nicht (Produktzusage). Wir haben das bei der Einrichtung nicht gesondert nachgeprüft.
Was offen ist
Der Teil, den Wettbewerber weglassen.
- Bei Azure OpenAI ist die Ausnahme vom Abuse-Monitoring beantragt, aber nicht genehmigt. Bis dahin kann Microsoft Ein- und Ausgaben bis zu 30 Tage innerhalb der EU-Datenzone speichern. Für Berufsgeheimnisträger ist das der Punkt, auf den es ankommt — deshalb steht er hier und nicht im Kleingedruckten.
- Die Auftragsverarbeitungsverträge mit den aufgeführten Anbietern sind noch nicht als geschlossen nachgewiesen.
- Backup-Verfahren, Aufbewahrungsfristen und ein durchgeführter Wiederherstellungstest sind nicht belegt.
- Das Audit-Log erfasst sicherheitsrelevante Zugriffe. Dass es gegen nachträgliche Änderung geschützt ist, haben wir nicht nachgewiesen — deshalb nennen wir es nicht revisionssicher.
- Ob ein Datenschutzbeauftragter zu bestellen und ein EU-Vertreter nach Art. 27 DSGVO zu benennen ist, wird anwaltlich geprüft.
- Die Berufsgeheimnis-Vereinbarungen nach § 203 StGB und den Parallelnormen in Österreich, der Schweiz, Frankreich, Spanien und Italien sind in anwaltlicher Ausarbeitung und noch nicht abschließbar.
Vereinbarungen im Produkt
Der Auftragsverarbeitungsvertrag steht in der Anwendung unter Einstellungen › Vereinbarungen im Volltext — lesbar, bevor unterschrieben wird, und danach als Download.
Die Unterschrift hält Fassung und Prüfsumme des angezeigten Textes fest. Ändert sich der Vertrag später, bleibt nachweisbar, welche Fassung unterschrieben wurde. Ein Widerruf ist jederzeit möglich; der Nachweis der bisherigen Unterschrift bleibt erhalten.
Stand: 13. September 2026. Ändert sich die Anbieterkette, kündigen wir das den Kundinnen und Kunden mindestens 15 Tage vorher an und aktualisieren diese Seite. Fragen an hallo@sicherai.com.