Was wir belegen können – und was nicht.

Wo Ihr System läuft

Ihr Arbeitsplatz und Ihr Firmengehirn laufen auf einem eigenen Server. Unsere eigenen Systeme betreiben wir auf drei Servern in Deutschland – bei Hetzner, einem nach ISO 27001 zertifizierten Rechenzentrumsbetreiber – mit einer zusätzlichen Sicherung an einem zweiten Ort innerhalb der Europäischen Union. Denselben Aufbau richten wir für Kundensysteme ein.

Das Firmenwissen bleibt bei Ihnen. Was Ihre KI-Mitarbeiter in Ihrem Betrieb lernen, fließt nicht in unser Haus zurück und nicht in das System eines anderen Kunden. Getrennte Systeme sind bei diesem Aufbau keine Einstellung, sondern die Bauweise: Jeder Betrieb bekommt sein eigenes.

Wer hineinkommt

• Der Zugang zum Arbeitsplatz ist mit Zwei-Faktor-Anmeldung geschützt.
• Rechte hängen an der Stelle, nicht an der Person: Eine KI-Stelle sieht nur, was ihre Aufgabe verlangt.
• Wer von uns für Wartung oder Störungsbeseitigung auf Ihr System zugreift, wird im Vertrag benannt.
• Zugriffe auf Ihr System werden protokolliert, damit im Zweifel nachvollziehbar ist, wer wann was getan hat.

Wie gesichert wird

Von Ihrem System werden täglich Sicherungen erstellt. Jede Sicherung bekommt einen Integritätsnachweis, mit dem sich prüfen lässt, ob sie vollständig und unverändert ist – eine Sicherung, die man nicht zurückspielen kann, ist keine Sicherung. Die Zweitablage liegt an einem anderen Ort als das laufende System.

Sie sehen, wenn eine KI geschrieben hat

Jede Nachricht, die eine KI-Stelle verfasst, ist als solche gekennzeichnet – im Absender und im System. Niemand bei Ihnen und niemand auf der Gegenseite soll raten müssen, ob gerade ein Mensch oder eine Stelle geantwortet hat. Und in der Sache gilt ohnehin: Nichts wird ohne die Freigabe eines Menschen aktiv. Kein Angebot, keine Buchung, keine Mail.

Die KI-Verordnung: wo wir stehen

Wir sind Betreiber von KI-Systemen, nicht Hersteller von Modellen. Für unseren Einsatz und den unserer Kunden sehen wir keinen Hochrisiko-Fall im Sinne der Verordnung: Es geht um Verwaltung, Buchhaltung, Vertrieb und Kommunikation – nicht um Auswahl oder Bewertung von Beschäftigten, nicht um Bonität, nicht um kritische Infrastruktur.

Deshalb ist die Stelle „Personal und Bewerbung“ bei uns ausdrücklich so geschnitten, dass sie Bewerbungen aufnimmt und beauskunftet, aber keine Vorauswahl trifft und keine Bewerber bewertet. Das bleibt Führungsaufgabe. Wo ein Einsatz bei Ihnen näher an einen Hochrisiko-Fall heranreicht, sagen wir das vor der Umsetzung – und setzen ihn gegebenenfalls nicht um.

Pflichten, die uns als Betreiber treffen, erfüllen wir: die Kennzeichnung KI-erzeugter Inhalte, die Unterrichtung der Beschäftigten, die im System arbeiten, und die Schulung der Menschen, die KI-Stellen führen. Letzteres ist bei uns ohnehin Teil der Einführung – ohne Führung funktioniert der ganze Aufbau nicht.

Datenschutz ist eine Anforderung, kein Siegel

Datenschutz behandeln wir wie jede andere Anforderung an ein System: Sie wird beschrieben, umgesetzt und überprüft. Was das System technisch tut, steht oben – getrennte Systeme, Zwei-Faktor-Anmeldung, Rechte an der Stelle, protokollierte Zugriffe, tägliche Sicherungen mit Integritätsnachweis.

Was daraus für Ihren Betrieb rechtlich folgt, hängt von Ihren Verarbeitungen ab, nicht von unserem Produkt. Welche Verarbeitungsschritte innerhalb Ihres Systems ablaufen und welche außerhalb, legen wir vor der Umsetzung offen und halten es schriftlich fest. Ihr Datenschutzbeauftragter bekommt von uns die Unterlagen, die er für seine eigene Bewertung braucht – und keine Bewertung von uns, die er ungeprüft übernehmen soll.

Was wir NICHT behaupten

Dieser Abschnitt ist uns wichtiger als alle anderen. Ein Anbieter, der auf jede Frage eine beruhigende Antwort hat, hat die Fragen nicht ernst genommen.

• Kein Siegel. Wir verkaufen keinen Zustand der Rechtskonformität. Konformität ist Ihre Verarbeitung, nicht unser Produkt – wir liefern die technischen Voraussetzungen und die Unterlagen dazu.
• Keine Aussage über Landesgrenzen. Wir sagen Ihnen, wo Ihr Server steht und wo die Sicherung liegt. Ein pauschales Versprechen, dass niemals ein Verarbeitungsschritt außerhalb Deutschlands stattfindet, geben wir nicht.
• Keine Aussage zur Verschlüsselung ruhender Datenbanken. Dazu haben wir derzeit keinen Nachweis, den wir Ihnen vorlegen könnten. Also behaupten wir es nicht. Es steht auf der Liste unten.
• Keine Löschfristen. Wir nennen keine Fristen, die wir nicht belegen und nicht einhalten können. Was mit Ihren Daten nach dem Ende der Zusammenarbeit geschieht, wird im Vertrag geregelt, nicht auf einer Website versprochen.
• Keine Entscheidungen durch die KI. Eine KI-Stelle bereitet vor, prüft und schlägt vor. Entschieden und freigegeben wird von einem Menschen. Wer Ihnen das Gegenteil anbietet, verkauft Ihnen ein Haftungsproblem.
• Kein Ersatz für Fachberufe. Unser Justiziar ersetzt keinen Anwalt, unsere Steuer-Fachinstanz keinen Steuerberater. Beide bereiten vor und erkennen Risiken früh – die Verantwortung bleibt, wo sie hingehört.
• Keine Zeitersparnis in Prozent. Wir nennen keine Kennzahlen, die wir nicht in Ihrem Betrieb gemessen haben. Was wir nennen, stammt aus unserem eigenen Haus und ist als solches gekennzeichnet.

Was wir gerade aufbauen

Dies ist der Stand vom 23. September 2026, und er ist unvollständig. Diese Punkte sind begonnen, aber noch nicht so belegt, dass wir sie oben aufführen würden:

• Ein prüfbarer Nachweis über die Verschlüsselung ruhender Datenbanken.
• Ein vollständiges Verzeichnis der Verarbeitungstätigkeiten für den Produktbetrieb, das wir Kunden vorlegen können.
• Eine regelmäßige Wiederherstellungsprobe aus der Off-Site-Sicherung mit Protokoll.
• Eine schriftliche Betreiber-Dokumentation zur KI-Verordnung, die über diese Seite hinausgeht.

Wenn einer dieser Punkte für Ihre Entscheidung wesentlich ist, sagen Sie es im Erstgespräch. Dann bekommen Sie den tatsächlichen Stand – und nicht die Fassung, die sich besser liest.