Zusage
Datensouveränität heißt: Sie entscheiden. Wir zeigen, worüber.
"DSGVO-konform" steht auf jeder Website. Es sagt nichts darüber, welche Ihrer Daten bei welcher Arbeit mit künstlicher Intelligenz (KI) wohin fließen. Deshalb steht es hier: je Leistung, je Betriebsart, mit dem Satz, der in jedem Vertrag steht.
Vertragssatz
Steht so in jedem Vertrag mit uns
Keine Kundendaten verlassen Ihre Systeme ohne Ihre schriftliche Entscheidung, und keine Ihrer Daten trainiert je ein fremdes Modell.
Betriebsart
Drei Betriebsarten
Je Ablauf wählen Sie eine. Die Analyse empfiehlt, mit Begründung.
-
Im Haus
für Personendaten, Verträge, Gesundheitsdaten, alles mit Geheimhaltung
Offene Modelle wie Llama oder Mistral laufen auf Ihrer Hardware oder auf einem dedizierten Server in Deutschland, den nur Sie und wir erreichen. Keine Daten verlassen das Netz. Kosten: Einrichtung und Rechenleistung, keine Gebühren je Anfrage. Ein gemieteter Server mit Grafikkarte kostet je nach Modellgröße etwa 200 bis 1.500 Euro im Monat (Richtwert, Stand 2026). Die Einrichtung ist Teil des Umbaus. Grenze: Die Modelle sind für Sprache in Menge gut, für schwierige Einzelfälle schwächer als die großen Cloud-Modelle.
-
Europäisches Rechenzentrum
für Kundendaten, Anfragen, CRM-Inhalte
Große Modelle über Anbieter mit Verarbeitung in der EU: Google Vertex AI in Frankfurt oder Belgien, Microsoft Azure in Deutschland, Mistral in Frankreich. Auftragsverarbeitungsvertrag, keine Nutzung Ihrer Daten für Training, Speicherung nur zur Verarbeitung. Der Kompromiss für die meisten Abläufe mit Personendaten.
-
Cloud unter Vertrag
für Produkttexte, Übersetzungen, Datenbestände ohne Personenbezug
Modelle von Anthropic, OpenAI oder Google direkt über die Schnittstelle, mit Auftragsverarbeitungsvertrag und der vertraglichen Zusage, dass Eingaben nicht zum Training verwendet werden. Das stärkste Ergebnis für Sprache. Geeignet, wo keine Personendaten fließen, oder wo Sie es nach Abwägung schriftlich entscheiden.
Datenfluss
Datenfluss je Leistung
Was fließt, wohin, und was nie das Haus verlässt. Die Tabelle ist der Ausgangspunkt, die Analyse macht daraus Ihren Plan.
| Leistung | Welche Daten | Empfohlene Betriebsart | Verlässt nie das Haus |
|---|---|---|---|
| Texte und Inhalte in Menge | Produkttexte, Datenblätter, Glossar, bestehende Website-Texte | Cloud unter Vertrag, bei Kundendaten in Texten europäisches Rechenzentrum | Preise, Konditionen, Kundennamen in Texten (werden vor der Verarbeitung ersetzt) |
| Daten in Ordnung bringen | CRM-Kontakte, Produktstammdaten, Herstellerlisten | Regeln und Abgleich ohne Sprachmodell im System; wo ein Modell hilft, im Haus oder europäisches Rechenzentrum | Personendaten vollständig, sofern Sie nichts anderes entscheiden |
| Vertrieb und Kommunikation | Eingehende Anfragen, Mailtexte, Wissensdokumente, CRM-Vorgänge | Europäisches Rechenzentrum oder Cloud unter Vertrag nach Ihrer Entscheidung; Wissensdatenbank auf Ihrem Server | Die Wissensdatenbank selbst, Gesprächsverläufe, Kundendaten im CRM |
| Werkzeuge, die zu Ihnen passen | Personaldaten, Belege, Verträge, Vorgänge, je nachdem, was das Werkzeug verwaltet | Das Werkzeug läuft auf Ihrem Server, in einem deutschen Rechenzentrum oder Ihrer Cloud; KI-Anteile im Haus oder europäisches Rechenzentrum | Die Daten des Werkzeugs vollständig. Kein Hersteller, der sie sieht, kein Zusatzmodul, das sie in eine fremde Cloud schickt |
| Systemvernetzung | Datensätze, die zwischen Systemen übertragen werden | Kein Sprachmodell nötig; Übertragung direkt zwischen Ihren Systemen | Alles. Wir sehen Protokolle, keine Inhalte, sofern nicht vereinbart |
| Laufende Begleitung | Laufzeit-Protokolle, Fehlermeldungen, Zähler | Überwachung auf unseren Systemen in Deutschland | Inhalte der verarbeiteten Daten; Protokolle enthalten Kennungen, keine Texte |
Unterlagen
Was Ihr Datenschutzbeauftragter von uns bekommt
- Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit uns, vor dem ersten Zugriff auf Daten.
- Verzeichnis der eingesetzten Unterauftragsverarbeiter je Ablauf: welcher Modellanbieter, welches Rechenzentrum, welche Rechtsgrundlage für Drittlandtransfer, falls vorhanden.
- Datenfluss-Skizze je Ablauf als Teil der Analyse, als Grundlage für Ihr Verarbeitungsverzeichnis.
- Löschkonzept: Was wir zur Verarbeitung halten, wie lange, und der Nachweis der Löschung nach Projektende.
- Zugriffe nur über benannte Konten mit Zwei-Faktor-Anmeldung, protokolliert, jederzeit von Ihnen entziehbar.
- Keine Übertragung von Zugangsdaten per Mail. Zugänge über Ihr System oder einen gemeinsamen Passwortsafe.
Betriebsrat
Mitarbeiter und Betriebsrat
Wir bauen Abläufe, keine Überwachung. Was ein Ablauf protokolliert, steht fest, bevor er läuft.
Die Arbeit, die niemand gern macht
Die zweite Schicht übernimmt das Kopieren, Prüfen und Übertragen. Die Entscheidungen bleiben bei den Menschen, und sie bekommen mehr Zeit dafür. Mitarbeiterdaten sind kein Steuerungsziel: Kein Ablauf wertet aus, wer wie schnell oder wie fehlerfrei arbeitet.
Protokolliert werden Vorgänge, nicht Menschen
Ins Protokoll kommen Vorgangskennung, Zeitpunkt, angewendete Regel und das Ergebnis des Prüfschritts. Wer einen Vorgang freigegeben hat, steht nur dort darin, wo es für die Nachvollziehbarkeit nötig ist, zweckgebunden und mit fester Löschfrist. Unser Vorschlag für die Betriebsvereinbarung: zwölf Monate, kürzer auf Wunsch. Bearbeitungszeiten oder Korrekturquoten je Mitarbeiter erzeugt der Ablauf gar nicht erst. Was nicht erfasst wird, kann auch niemand auswerten.
Unterlagen für die Betriebsvereinbarung
Fast jeder KI-Ablauf ist nach § 87 Absatz 1 Nr. 6 Betriebsverfassungsgesetz mitbestimmungspflichtig. Deshalb liegen für jeden Ablauf die Unterlagen vor, die ein Betriebsrat für seine Prüfung braucht. Dazu gehören die Beschreibung des Ablaufs, die Datenfluss-Skizze, die Liste der Protokollinhalte, das Rollen- und Rechtekonzept und die Angabe, wo welches Modell läuft. Das ist dieselbe Dokumentation, die Ihre IT bei der Übergabe bekommt, und sie passt als Anlage in eine Betriebsvereinbarung.
Eingeführt mit den Betroffenen
Jede Analyse beginnt mit Gesprächen mit den Menschen, die die Arbeit heute machen. Im Probelauf prüfen sie die Ausgaben, und aus ihren Korrekturen werden Regeln. Wer die Regeln mitgeschrieben hat, weiß, was der Ablauf tut und was nicht.
Wie Mitbestimmung, Rahmenvereinbarung und Protokoll-Positivliste zusammenpassen, steht im Artikel KI einführen mit dem Betriebsrat. Was vor dem Start sonst geklärt sein sollte, zeigt die Checkliste KI rechtssicher einführen. Stand Oktober 2026, keine Rechtsberatung.
AI Act
Der EU AI Act in fünf Punkten
Die KI-Verordnung fragt nicht nach der Technik, sondern nach dem Einsatz. Für die meisten Abläufe im Mittelstand entstehen daraus wenige Pflichten.
- Die KI-Verordnung der EU, Verordnung (EU) 2024/1689, teilt KI-Systeme nach ihrem Einsatz in Risikoklassen ein. Es gibt verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und alle übrigen mit minimalem Risiko.
- Unsere Abläufe arbeiten meist mit Sachdaten: Texten, Produktdaten und Anfragen. Damit liegen sie in der Stufe mit minimalem Risiko. Dort gilt vor allem die KI-Kompetenz der Beteiligten nach Artikel 4.
- Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50, etwa der Hinweis im Chatfenster, dass ein Besucher mit einer KI spricht.
- Der Digital Omnibus, Verordnung (EU) 2026/1744, hat die Pflichten für Hochrisiko-Systeme verschoben, etwa für die Auswahl von Bewerbern. Sie gelten ab dem 2. Dezember 2027, für KI in bereits regulierten Produkten ab dem 2. August 2028.
- Wo Pflichten zu Dokumentation und menschlicher Aufsicht entstehen, erfüllt der Ablauf sie mit dem, was er ohnehin hat: Regeln, ein Protokoll je Vorgang und die Freigabe durch einen Menschen bei Ihnen.
Bewerbungen strukturiert erfassen und der Fachabteilung vorlegen ist keine Auswahl; filtern oder bewerten bauen wir nicht.
Stand Oktober 2026, keine Rechtsberatung. Welcher typische Ablauf in welche Risikoklasse fällt, zeigt eine Tabelle im Artikel EU AI Act für den Mittelstand.
Grenzen
Was wir nicht versprechen
Wir versprechen keine "lokale KI" für alles. Die stärksten Sprachmodelle laufen heute in der Cloud, und für manche Aufgaben ist ihr Ergebnis deutlich besser. Wir sagen Ihnen, wo das der Fall ist, und Sie entscheiden, ob der Unterschied die Betriebsart rechtfertigt.
Wir versprechen auch keine Fehlerfreiheit von Sprachmodellen. Deshalb hat jeder Ablauf Regeln, Prüfschritte und ein Protokoll, und die Freigabe von Texten, Daten und Kundenkontakten bleibt bei Ihnen. Die Einzelheiten dazu stehen in unseren Geschäftsbedingungen.
Übergabe
Der erste Schritt ist ein Gespräch von 30 Minuten.
Sie erzählen uns von dem Ablauf, der Sie am meisten Zeit kostet. Wir sagen Ihnen ehrlich, ob sich KI dort lohnt und was der nächste Schritt wäre. Ob danach eine Ablaufanalyse folgt, entscheiden Sie.