Vertrauen
Wer eure Daten verarbeitet, wo das geschieht, und was wir davon belegen können. Diese Liste steht öffentlich und nicht erst nach Vertragsschluss — wer vor der Entscheidung wissen will, wohin seine Daten fließen, soll es vor der Entscheidung lesen können.
Die Rechtsdokumente sind Entwürfe und anwaltlich noch nicht geprüft. Solange das so ist, sind sie im Produkt vollständig lesbar und herunterladbar, aber nicht abschließbar.
Wer verarbeitet was
Sechs Anbieter. Die Liste ist kurz, weil wir die üblichen Zusatzdienste nicht einsetzen — nicht, weil etwas fehlt.
| Anbieter | Sitz | Aufgabe | Verarbeitungsort |
|---|---|---|---|
| Mistral AI SAS | Frankreich | Modellantworten, Einbettungen, Texterkennung (OCR), Sprachtranskription | EU-Endpunkt api.eu.mistral.ai |
| Microsoft (Azure OpenAI) | US-Muttergesellschaft | Modellantworten | Sweden Central, Deployment-Typ „EU-Datenzone“ |
| Google (Vertex AI) | US-Muttergesellschaft | Modellantworten | europe-west4, Niederlande |
| Amazon Web Services (Bedrock) | US-Muttergesellschaft | Modellantworten mit Claude-Modellen | eu-central-1, Frankfurt |
| Hetzner Online GmbH | Deutschland | Server-Hosting und Objektspeicher für Dateien | Nürnberg und Falkenstein, Deutschland |
| Brevo (Sendinblue SAS) | Frankreich | Transaktionale E-Mails (Verifikation, Passwort, Einladungen) | EU |
Kein Anbieter verarbeitet außerhalb der EU. Microsoft, Google und Amazon haben Muttergesellschaften in den USA; die konfigurierten Verarbeitungsregionen liegen in der EU. Wir schreiben das so ausdrücklich hin, weil „keine US-Anbieter“ eine andere Aussage wäre als „keine Verarbeitung in den USA“ — und nur die zweite stimmt.
Was wir nicht einsetzen
Jede Zeile hier ist ein Empfänger, den es bei uns nicht gibt.
- Authentifizierung
- Better Auth, selbst betrieben — kein externer Dienst
- Zahlungen
- keine Abrechnungsfunktion vorhanden
- Websuche
- keine Websuche vorhanden
- CDN und WAF
- kein Dienstleister zwischengeschaltet
- Fehler-Monitoring
- kein externes Monitoring
- Hilfe-Center
- kein externer Dienst
- E-Signatur
- Unterzeichnung findet in der Anwendung selbst statt
- Analyse und Werbung
- kein Tracking, keine Werbenetzwerke
Was wir belegen können
- Die Mandantentrennung erzwingt PostgreSQL Row-Level Security. Jede Abfrage läuft organisationsgebunden; ein eigener Test prüft die Trennung bei jedem Lauf.
- Die Produktionskonfiguration bindet jede Modellroute an die oben genannte EU-Region. Das ist kein Versprechen, sondern der Aufrufpfad selbst.
- Mistral hat Zero Data Retention für unser Konto bestätigt. Alle drei Trainingsschalter im Konto stehen auf „kein Training“.
- In der Anwendung laufen keine Analyse- oder Trackingdienste und kein externer Monitoringdienst.
- Claude läuft über AWS Bedrock. Es gibt keine direkte Vertragsbeziehung zu Anthropic — deshalb steht Anthropic nicht in der Liste oben.
Was Herstellerangabe ist
Zusagen der Anbieter, die wir nicht selbst nachgeprüft haben. Wir geben sie als das weiter, was sie sind.
- Microsoft: keine Nutzung von Kundendaten zum Training (Produktbedingungen).
- Google: keine Nutzung von Kundendaten zum Training der Foundation-Modelle (Vertex-AI-Datennutzungsbedingungen).
- AWS: Bedrock speichert Prompts und Antworten nicht (Produktzusage). Wir haben das bei der Einrichtung nicht gesondert nachgeprüft.
Was offen ist
Der Teil, den Wettbewerber weglassen.
- Bei Azure OpenAI ist die Ausnahme vom Abuse-Monitoring beantragt, aber nicht genehmigt. Bis dahin kann Microsoft Ein- und Ausgaben bis zu 30 Tage innerhalb der EU-Datenzone speichern. Für Berufsgeheimnisträger ist das der Punkt, auf den es ankommt — deshalb steht er hier und nicht im Kleingedruckten.
- Die Auftragsverarbeitungsverträge mit den sechs Anbietern sind noch nicht als geschlossen nachgewiesen.
- Backup-Verfahren, Aufbewahrungsfristen und ein durchgeführter Wiederherstellungstest sind nicht belegt.
- Das Audit-Log erfasst sicherheitsrelevante Zugriffe. Dass es gegen nachträgliche Änderung geschützt ist, haben wir nicht nachgewiesen — deshalb nennen wir es nicht revisionssicher.
- Ob ein Datenschutzbeauftragter zu bestellen und ein EU-Vertreter nach Art. 27 DSGVO zu benennen ist, wird anwaltlich geprüft.
- Die Berufsgeheimnis-Vereinbarungen nach § 203 StGB und den Parallelnormen in Österreich, der Schweiz, Frankreich, Spanien und Italien sind in anwaltlicher Ausarbeitung und noch nicht abschließbar.
Vereinbarungen im Produkt
Der Auftragsverarbeitungsvertrag steht in der Anwendung unter Einstellungen › Vereinbarungen im Volltext — lesbar, bevor unterschrieben wird, und danach als Download.
Die Unterschrift hält Fassung und Prüfsumme des angezeigten Textes fest. Ändert sich der Vertrag später, bleibt nachweisbar, welche Fassung unterschrieben wurde. Ein Widerruf ist jederzeit möglich; der Nachweis der bisherigen Unterschrift bleibt erhalten.
Stand: 31. August 2026. Ändert sich die Anbieterkette, kündigen wir das den Kundinnen und Kunden mindestens 15 Tage vorher an und aktualisieren diese Seite. Fragen an hallo@sicherai.com.