Vertrauen
Wer Ihre Daten verarbeitet, wo das geschieht, und was wir davon belegen können. Diese Liste steht öffentlich und nicht erst nach Vertragsschluss — wer vor der Entscheidung wissen will, wohin seine Daten fließen, soll es vor der Entscheidung lesen können.
sicherAI speichert Konten, Chats und hochgeladene Dateien auf der von Hetzner in Deutschland betriebenen Infrastruktur. Für die jeweils angeforderte Funktion werden Inhalte an den gewählten Modellanbieter oder an Mistral für Texterkennung, Sprachtranskription und Einbettungen übermittelt. Die Produktionskonfiguration bindet diese Aufrufe an die unten genannten europäischen Regionen. sicherAI setzt keine externen Dienste für CDN, WAF oder Werbe-Tracking ein und bindet keinen externen Dienst für Fehler-Monitoring in die Anwendung ein; die Anmeldung ist wahlweise auch mit einem Google- oder Microsoft-Konto möglich, Zahlungen laufen über Stripe. Vereinbarungen werden direkt in der App abgeschlossen; wer abschließt, erhält eine Kopie als PDF per E-Mail. Aufbewahrung und Training werden nicht pauschal zugesichert, sondern nach Anbieter und Evidenzgrad offengelegt.
Wer verarbeitet was
Die technische Verarbeitungskette umfasst sieben Anbieter. Anlage 2 zum Auftragsverarbeitungsvertrag nennt zusätzlich Google Cloud EMEA Limited (Vertex AI); Modelle von Google bietet die App derzeit nicht an.
| Anbieter | Sitz | Aufgabe | Verarbeitungsort |
|---|---|---|---|
| Mistral AI SAS | Frankreich | Modellantworten, Einbettungen, Texterkennung (OCR) und Sprachtranskription | EU-Endpunkt api.eu.mistral.ai |
| Microsoft (Azure OpenAI) | Microsoft Ireland Operations Limited, Dublin (Irland) | Modellantworten | Sweden Central, Deployment-Typ DataZone EU |
| Cortecs, mit Amazon Web Services (Bedrock) | Cortecs GmbH, Wien; Amazon Web Services EMEA SARL, Luxemburg, als Unterauftragsverarbeiter von Cortecs | Modellantworten mit Claude-Modellen; keine direkte Beauftragung von Anthropic | laut Cortecs im EWR; Weiterleitung bei OVH SA, Frankreich |
| Hetzner Online GmbH | Deutschland | Server-Hosting und Objektspeicher für Dateien | Deutschland |
| Brevo (Sendinblue SAS) | Frankreich | Transaktionale E-Mails | EU (laut Anbieter Frankreich, Deutschland und Belgien) |
| Hostinger International Ltd. | Zypern | E-Mail-Postfächer für Support- und Datenschutzanfragen | laut Anbieterangabe in der EU (Litauen, Niederlande, Zypern) und im Vereinigten Königreich; Übermittlungen in Drittländer laut Anbieter über EU-Standardvertragsklauseln |
| Stripe Payments Europe, Limited | Irland | Zahlungsabwicklung | EU und USA (Stripe-Konzern), EU-Standardvertragsklauseln |
Die angebotenen Modellrouten verwenden die genannten europäischen Regionen.
Was wir nicht einsetzen
Diese zusätzlichen Dienste setzen wir nicht ein; die Umsetzung bei sicherAI steht jeweils dabei.
- Authentifizierung
- Better Auth, selbst betrieben — wahlweise Anmeldung mit Google- oder Microsoft-Konto
- CDN und WAF
- kein Dienstleister zwischengeschaltet
- Fehler-Monitoring
- kein externes Fehler-Monitoring
- Hilfe-Center
- kein externer Dienst
- E-Signatur
- kein externer Dienst — Abschluss direkt in der App
- Analyse und Werbung
- kein Tracking, keine Werbenetzwerke
- Direkter Modellzugang
- OpenAI ist nicht direkt angebunden
Was wir belegen können
- Die Trennung der Organisationen erzwingt PostgreSQL mit Row-Level Security. Die Policies und ein eigener Test für die Trennung sind vorhanden.
- Die Produktionskonfiguration bindet die angebotenen Modellrouten an die in Ziffer 1 genannten europäischen Regionen. Bei den Claude-Modellen legt unser Cortecs-Konto die zugelassenen Wege fest; den Ort im EWR nennt Cortecs.
- Mistral hat Zero Data Retention für das verwendete Konto bestätigt.
- In der Anwendung laufen keine Analyse-, Tracking- oder externen Fehler-Monitoringdienste.
Was Herstellerangabe ist
Zusagen der Anbieter, die wir nicht selbst nachgeprüft haben. Wir geben sie als das weiter, was sie sind.
- Nach Angabe von Microsoft werden Kundendaten nicht zum Training verwendet.
- Nach dem Data Processing Agreement von Cortecs, abgerufen am 04.11.2026, verarbeitet Cortecs den Inhalt von Anfragen und Antworten nur im Arbeitsspeicher und bewahrt Betriebsdaten bis zu zwölf Monate auf.
- Nach den AWS Service Terms (Ziffer 50.12.2) und dem Benutzerhandbuch von Amazon Bedrock, abgerufen am 03.11.2026, kann AWS bei bestimmten Modellen Ein- und Ausgaben zur Missbrauchserkennung speichern und prüfen, in der Regel bis zu 30 Tage; eine Speicherung bei AWS ist deshalb nicht ausgeschlossen.
Stand der Nachweise (2026-11-04)
- Microsoft kann Ein- und Ausgaben zur Missbrauchserkennung vorübergehend innerhalb der EU-Datenzone speichern; eine feste Frist nennt Microsoft dafür nicht (Microsoft Learn, „Data, privacy, and security for Foundry Models sold by Azure“, Stand 18.05.2026, abgerufen am 03.11.2026). Eine Ausnahme ist nicht beantragt.
- Auftragsverarbeitungsverträge mit Mistral, Microsoft, Cortecs, Brevo und Stripe gelten über die jeweiligen Standardverträge, die mit den Nutzungsbedingungen angenommen wurden. Mit Hetzner besteht seit dem 02.11.2026 ein ausdrücklich abgeschlossener Auftragsverarbeitungsvertrag (Fassung 1.2 vom 16.02.2026), der auch Gesundheitsdaten nach Art. 9 DSGVO erfasst.
- Tägliche Sicherung der Produktionsdatenbank, lokal regulär 14 Tage; ältere lokale Stände werden nach erfolgreicher neuer Sicherung bereinigt. Seit dem 16.9.2026 zusätzlich täglich eine verschlüsselte Off-Site-Kopie bei Hetzner, regulär 14 Tage; mindestens die drei jüngsten Stände bleiben unabhängig vom Alter erhalten. Hochgeladene Dateien im Hetzner-Objektspeicher in Deutschland werden derzeit nicht gesondert gesichert; die im Repository geführten Konfigurationen sind versioniert. Ein Wiederherstellungstest wurde am 14.9.2026 durchgeführt, die Kopie wurde am 16.9.2026 auf Lesbarkeit geprüft. Der wöchentliche Restore-Check prüft die Archivlesbarkeit, keinen vollständigen Datenbank-Restore; die Sicherungsläufe werden in einer Logdatei protokolliert.
- Organisationsbezogene Audit-Protokolle werden mit der Löschung der Organisation entfernt.
Vereinbarungen im Produkt
Der Auftragsverarbeitungsvertrag, die Datenschutzerklärung, die AGB und die Verschwiegenheitsvereinbarungen für Deutschland und die Schweiz sind in der Anwendung unter Einstellungen → Vereinbarungen einsehbar; der vollständige Text wird vor dem Abschluss angezeigt. Inhaber und Administratoren schließen Vereinbarungen direkt in der App ab; wer abschließt, erhält eine Kopie mit Zustimmungsnachweis als PDF per E-Mail.
Stand: 2026-11-04.
