KI-Transparenz & Sicherheit
Wir beraten KMU im Umgang mit KI — und halten uns selbst an dieselben Standards, die wir empfehlen. Diese Seite dokumentiert offen: welche KI-Tools wir einsetzen, wie Daten fließen, wo sie gespeichert werden und wie wir mit dem EU AI Act umgehen.
1. Hosting & Infrastruktur
EU-Hosting Deutschland
Alle Systeme von Vorpuls laufen auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland). Serverstandort: Deutschland (FSN / NBG). Das Deployment-Management erfolgt über Coolify (selbst gehostete Instanz auf Hetzner — kein externer Cloud-Dienst).
Server-Logfiles (IP-Adresse, Zeitstempel, aufgerufene Pfade) werden nach spätestens 7 Tagen automatisch gelöscht. Mit Hetzner wird ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO geschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
2. KI-Modelle & Drittanbieter
Wir unterscheiden zwischen dem Betrieb unserer eigenen Produkte und dem, was wir für Kundenprojekte einsetzen. Beide Listen sind unten aufgeführt.
Eigene Systeme (Hub, maler-board)
| Anbieter / Tool | Zweck | Serverstandort | AVV-Grundlage |
|---|---|---|---|
| Mistral AI | LLM-Inferenz (Kernmodell) | EU (Paris / Frankfurt) | GDPR DPA (Art. 28) des Anbieters |
| Hetzner Online | Hosting, Datenbank, Storage | Deutschland | AVV nach Art. 28 DSGVO |
| Coolify | Deployment (self-hosted) | Deutschland (Hetzner) | Entfällt (self-hosted) |
| Microsoft 365 / Graph | E-Mail-Versand (u. a. Kontaktformular vorpuls.de) | EU (Irland), ggf. USA | Microsoft DPA / EU-US DPF / SCC |
| Plausible (self-hosted) | Cookiefreie Reichweitenmessung | Deutschland (Hetzner) | Entfällt (self-hosted) |
Die Spalte „AVV-Grundlage" benennt das jeweils einschlägige Vertragsinstrument (Auftragsverarbeitungsvertrag bzw. Data Processing Addendum des Anbieters), auf dessen Grundlage die Verarbeitung erfolgt bzw. das vor produktivem Einsatz mit personenbezogenen Daten abgeschlossen wird.
Kundenprojekte — Standard-Stack
Außer bei expliziter schriftlicher Freigabe durch den Kunden werden ausschließlich EU-basierte Dienste eingesetzt. Der Defaultstack gilt für alle Projekte:
| Anbieter / Tool | Zweck | Serverstandort | Bedingung |
|---|---|---|---|
| Mistral AI | KI-Agenten, Text, Analyse | EU | Standard |
| Hetzner Online | Hosting, Datenbank | Deutschland | Standard |
| n8n (self-hosted) | Workflow-Automatisierung | Beim Kunden / Hetzner DE | Standard |
| OpenAI (GPT-4o) | Erweiterte Capabilities | USA | Nur mit schriftlicher Kundenfreigabe + AVV |
| Vapi (Voice AI) | Sprachagenten / Telefonbots | USA | Nur mit schriftlicher Kundenfreigabe + AVV |
| WhatsApp Business API (Meta) | Messaging-Kanal | USA (Meta-Infrastruktur) | Nur wenn Kunde WhatsApp als Kanal wählt + AVV |
Wird ein US-basierter Dienst eingesetzt, erfolgt dies ausschließlich auf Basis der EU-Standardvertragsklauseln (SCC) und mit dokumentierter Kundenentscheidung.
3. Datenfluss bei Kundenprojekten
Typischer Datenfluss beim Einsatz eines KI-Agenten für einen KMU-Kunden:
- Eingehende Daten (z. B. Kundennachricht, Formularinhalt) werden vom Agent empfangen.
- Der Agent ruft das LLM (i.d.R. Mistral AI, EU) auf — nur mit den für den Task relevanten Daten. Keine dauerhafte Speicherung beim LLM-Anbieter.
- Das Ergebnis (Antwort, Dokument, Aktion) wird auf dem Kundenserver oder Hetzner gespeichert.
- Kundendaten verlassen den EU-Raum nicht, sofern keine US-Tools vom Kunden freigegeben wurden.
- Alle Agenten arbeiten mit Human-in-the-Loop: kritische Aktionen (z. B. Versand, Buchung) benötigen eine Bestätigung durch den Kunden oder autorisiertes Personal.
4. Löschfristen
| Datenkategorie | Aufbewahrung | Löschung |
|---|---|---|
| Website-Logfiles (Hetzner) | Max. 7 Tage | Automatisch |
| Kontaktformular-Daten | Bis Abschluss der Anfrage | Auf Anfrage sofort, spätestens nach 6 Monaten ohne Projektbeginn |
| Kundenprojekt-Daten | Dauer des Projekts + gesetzliche Aufbewahrungspflicht | Nach Projektabschluss + Ablauf Aufbewahrungsfrist (i.d.R. 10 Jahre HGB) |
| LLM-Anfragen (Mistral AI) | Keine dauerhafte Speicherung laut Mistral-Datenschutzrichtlinie | Kein Training mit Kundendaten (opt-out ist Standard) |
5. Auftragsverarbeitungsvertrag (AVV)
Für alle Projekte, bei denen personenbezogene Daten im Auftrag des Kunden verarbeitet werden, schließen wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.
- AVV-Vorlage wird auf Anfrage bereitgestellt: ihsan.dogan@vorpuls.de
- Eingesetzte Subauftragsverarbeiter (Hetzner, ggf. Mistral AI) werden ebenfalls per AVV nach Art. 28 DSGVO verpflichtet.
- Eine aktualisierte Sub-Processor-Liste ist in Abschnitt 2 dieser Seite dokumentiert.
6. Sicherheitsmaßnahmen (TOM)
Technische und organisatorische Maßnahmen (Art. 32 DSGVO):
- Verschlüsselung: HTTPS/TLS auf allen öffentlich erreichbaren Systemen. Datenbanken verschlüsselt at rest.
- Zugriffskontrolle: Minimalprinzip — jeder Dienst erhält nur die Rechte, die er benötigt. Keine gemeinsamen Passwörter.
- Keine Tracking-Cookies: Diese Website und alle von uns betriebenen Systeme setzen keine Werbe- oder Tracking-Cookies ein. Die Reichweitenmessung erfolgt cookiefrei und ohne personenbezogene Profile (selbst gehostetes Plausible, siehe Datenschutzerklärung).
- Lokale Schriftarten: Webfonts werden von unseren Servern ausgeliefert — kein Google Fonts CDN, keine externen Font-Requests.
- Dependency-Updates: Regelmäßige Updates aller eingesetzten Libraries und Systeme.
- Incident Response: Bei einem Datenschutzvorfall wird die Aufsichtsbehörde innerhalb von 72 Stunden informiert (Art. 33 DSGVO).
7. EU AI Act
EU AI Act Keine Hochrisiko-KI
Der EU AI Act (in Kraft seit August 2024, vollständig anwendbar ab August 2026) klassifiziert KI-Systeme nach Risikoklassen. Unsere Einschätzung:
- Kein Hochrisiko-System: Wir entwickeln keine KI-Systeme in den Bereichen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung oder Sozialscoring.
- Transparenzpflicht erfüllt: Endnutzer werden informiert, wenn sie mit einem KI-System interagieren (z. B. Chatbot, Voice Agent).
- Human-in-the-Loop: Alle KI-Agenten, die wir für Kunden entwickeln, sind so gestaltet, dass Menschen kritische Entscheidungen kontrollieren oder übersteuern können.
- EU-Anbieter bevorzugt: Mistral AI (Paris) als Standard-LLM — EU-Recht gilt direkt, kein Drittland-Transfer notwendig.
- Dokumentation: Für jedes Kundenprojekt wird eine kurze technische Dokumentation des KI-Systems erstellt und dem Kunden übergeben.
Bei Fragen zum EU AI Act in Ihrem Betrieb: Wir beraten im Rahmen unseres KI-Check (€ 200) auch zur regulatorischen Einordnung.
8. Keine Weitergabe an Dritte
Kundendaten und Projektinhalte werden nicht an Dritte weitergegeben — außer an die in Abschnitt 2 genannten Auftragsverarbeiter und nur im notwendigen Umfang. Kein Verkauf, kein Marketing-Tracking, kein Training unserer Modelle mit Kundendaten.
9. Kontakt & Auskunft
Für Fragen zu Datenschutz, AVV, EU AI Act oder technischen Sicherheitsmaßnahmen:
Ihsan Dogan (vorpuls)
ihsan.dogan@vorpuls.de
Langbürgener Straße 15, 81549 München
Anfragen werden innerhalb von 5 Werktagen beantwortet.