Sicher und europäisch
Viele Agenturen setzen ein Schloss auf ihre Website und nennen das sicher. Auf dieser Seite steht, welche Dienstleister beteiligt sind, in welchem Land deren Server stehen, was sie von Ihren Daten sehen und wie lange etwas aufbewahrt wird. Der Auftragsverarbeitungsvertrag liegt vor dem ersten Datensatz auf dem Tisch, und wenn nichts Ihr Haus verlassen soll, läuft das Modell auf Ihrem eigenen Server. Ihre IT kann jede Zeile prüfen.
Alles auf dieser Seite ist prüfbar. Ändert sich etwas am Aufbau, passe ich diese Seite an, bevor die Änderung greift.
So richte ich es in einem Projekt ein, mit den Regionen fest in den Einstellungen. Das sind keine Zahlen über Systeme, die schon bei Kunden laufen, denn die gibt es noch nicht.
Bei KI hängt die wichtigste Frage an einer Sache: welcher Text verlässt Ihr Unternehmen, und wo landet er dann. Hier steht es pro Datenart, ohne schöne Worte drumherum.
Warum diese Trennung zählt. Die Sorge bei KI liegt fast nie bei der Datenbank. Die steht in Deutschland, so wie Ihre Buchhaltungssoftware. Die Sorge liegt bei diesem einen Moment, in dem Text an ein Modell geht. Deshalb schreibe ich pro Prozess auf, welcher Text das ist, wie lange er dort liegt und wer ihn anfordern kann.
Das ist die vollständige Liste für ein Standardprojekt. Kommt bei Ihnen etwas dazu, hören Sie das, bevor ich es einschalte, und es kommt in Ihren Auftragsverarbeitungsvertrag. Die Regionscodes stehen dabei, damit Ihre IT selbst nachsehen kann.
fra1 ams1eu-central-1eu-west-1Was Ihnen hier auffallen soll. Drei dieser Partner sind US-Unternehmen mit Servern in Europa. Für die meisten Unternehmen ist das in Ordnung und in deren europäischen Verträgen sauber geregelt. Wollen Sie auch kein US-Mutterunternehmen in der Kette, steht die EU-only Variante weiter unten auf dieser Seite. Ich tue nicht so, als gäbe es diese Frage nicht.
Es gibt nicht eine Antwort, die für alle passt. Es hängt davon ab, wie sensibel Ihre Daten sind und was Sie ausgeben wollen. Das sind die drei Wege, mit den Nachteilen direkt dabei.
In Ihrem eigenen Serverraum oder bei einem Hoster, den Sie bestimmen. Nichts verlässt Ihr Haus, auch das Modell nicht. Sie zahlen die Maschine und die Wartung, und so ein Modell ist langsamer als die besten Onlinemodelle. Bei sensiblen Akten ist das meist den Preis wert.
Ein Anbieter etwa aus Frankreich oder Deutschland, mit Verarbeitung innerhalb der EU. Ihr Text verlässt Europa von Anfang bis Ende nicht. Für Lesen, Zusammenfassen und Sortieren reicht das gut. Beim schwersten Denkarbeitsanteil liegt es noch etwas hinter der Spitze.
Die bekanntesten Modelle kommen aus den USA. Ich setze sie nur über ein Geschäftskonto ein, in dem steht, dass Ihr Text nicht zum Training gespeichert wird, und wo möglich mit Verarbeitung in Europa. Sagen Sie zu diesem Weg nein, nutze ich ihn nicht.
Was wir auch wählen, es kommt auf Papier. Der Name des Anbieters, das Land der Verarbeitung und die Bedingungen stehen in Ihrem Vertrag. Will ich daran später etwas ändern, etwa weil es ein besseres Modell gibt, frage ich Sie vorher. Sie erfahren es nicht hinterher.
Die E-Rechnungs-Pflicht bringt seit 2025 mehr Belege in digitale Form, 2027 und 2028 folgen die Pflichten beim Versand. Diese Belege liegen dann in Frankfurt, mit Fristen, die zur GoBD passen. So sieht die DSGVO in einem Projekt von mir aus, in Schritten, die Sie prüfen können.
Sie unterschreiben ihn, bevor ein einziger Datensatz angefasst wird. Die Partner aus der Liste oben stehen mit Namen darin. Nehmen Sie lieber Ihre eigene Vorlage, unterschreibe ich die, solange nichts darin steht, was ich nicht halten kann.
Ich hole nur, was der Prozess braucht. Ein Agent für Ihre Eingangsrechnungen hat in Ihren Personalakten nichts zu suchen. Jede Verbindung bekommt den engsten Zugriff, mit dem die Arbeit noch gelingt.
Standardmäßig bleiben verarbeitete Dokumente 90 Tage liegen, damit Sie nachvollziehen können, was passiert ist. Danach werden sie gelöscht. Buchungsrelevante Belege fallen unter die GoBD und müssen 8 Jahre aufbewahrt werden. Dafür richte ich einen getrennten Ablageort mit eigener Frist ein.
Ich, mit Zwei-Faktor-Anmeldung, und die Systeme, die die Arbeit machen. Hinter mir sitzt kein Team, das mitschaut. Jedes Mal, wenn jemand oder etwas an die Produktionsumgebung kommt, steht das im Protokoll.
Stecken in dem, was ich baue, personenbezogene Daten, baue ich den Knopf zum Finden und Löschen von Anfang an mit ein. Fragt einer Ihrer Kunden danach, erledigen Sie das selbst, ohne mich anzurufen.
Bei einer Datenschutzverletzung hören Sie innerhalb von 24 Stunden von mir, mit dem, was passiert ist, und den betroffenen Daten. Die Meldung an die zuständige Landesdatenschutzbehörde innerhalb von 72 Stunden machen Sie, ich liefere alles, was Sie dafür brauchen.
Die Verordnung gilt seit August 2024 und wird in Stücken eingeführt. Für den Mittelstand ist es meist milder als die Schlagzeilen sagen. Was ich baue, fällt fast immer in die leichte Kategorie, mit ein paar Dingen, die Sie einfach regeln müssen.
Eine Handvoll Anwendungen ist nicht mehr erlaubt, etwa Menschen nach ihrem Sozialverhalten zu bewerten. Zusätzlich muss Personal, das mit KI arbeitet, genug davon verstehen. Das Letzte ist in den meisten Betrieben eine Erklärung von einer halben Stunde.
Die Unternehmen hinter den großen Modellen müssen dokumentieren, wie ihr Modell aufgebaut ist und womit es trainiert wurde. Für Sie ist das praktisch: diese Angaben werden abrufbar und helfen bei Ihrer eigenen Dokumentation.
Systeme mit hohem Risiko, etwa in der Personalauswahl oder bei Kreditentscheidungen, bekommen schwere Anforderungen. Außerdem muss erkennbar sein, wenn man mit einer KI spricht. Sitzen Sie in so einer Ecke, fangen wir damit an.
KI, die in einem Produkt steckt, das schon anderweitig geprüft wird, etwa Maschinen oder Medizinprodukte, folgt zuletzt. Bauen Sie solche Produkte, gehört das ab jetzt in Ihre Konstruktion.
Was ich standardmäßig tue, in welche Kategorie Sie auch fallen. Ich schreibe pro System auf, was es tut, was hineingeht und wer verantwortlich ist, damit Sie eine Dokumentation haben, bevor jemand danach fragt. Wo eine Entscheidung Geld oder Menschen betrifft, zeichnet ein Mensch ab. Jede Aktion landet in einem Protokoll, damit Sie hinterher sehen, warum etwas passiert ist. Und spricht einer Ihrer Kunden mit einem Agenten, steht dabei, dass es ein Agent ist.
Strenger ist fast immer teurer oder langsamer. Deshalb entscheiden Sie, und ich sage dazu, was es kostet. Alle drei gehen, auch wenn Sie später wechseln wollen.
Alles läuft bei den Partnern aus der Liste, mit Servern in Frankfurt, Amsterdam und Dublin. Schnell aufgesetzt und gut bezahlbar. Für die meisten Unternehmen ist das die richtige Wahl, und Sie kommen jederzeit davon weg.
Dann suche ich für jeden Baustein ein europäisches Unternehmen, also ohne US-Mutter in der Kette. Das kostet mehr Aufsetzarbeit und ein paar bequeme Dienste fallen weg. Bei Behörden und im Gesundheitswesen kommt das oft besser durch die Prüfung.
In Ihrem eigenen Serverraum oder bei einem Hoster Ihrer Wahl. Es geht nichts nach draußen, auch das Modell nicht. Sie zahlen die Maschine und die Wartung und geben etwas Geschwindigkeit ab. Bei wirklich sensiblen Akten ist das der Weg.
Unsicher zwischen diesen drei? In der Prozessdiagnose rechne ich Ihnen den Unterschied in Euro pro Monat aus und schreibe dazu, welches Risiko die teurere Variante tatsächlich abkauft. Dann entscheiden Sie selbst, ob es das wert ist.
Hier bleiben Zusammenarbeiten hängen. Deshalb steht es vorher fest und nicht erst in dem Moment, in dem Sie weg wollen. Sie müssen mich um nichts davon bitten.
Sie zahlen das Hosting und die Datenbank selbst, auf Konten, die Ihnen gehören. Ich arbeite darin als Administrator, solange wir zusammenarbeiten. Endet das, nehmen Sie meinen Zugang weg und alles läuft weiter.
Innerhalb von zehn Arbeitstagen liefere ich einen Export Ihrer Datenbank in einem gut lesbaren Format, dazu den Quellcode und die Erklärung, wie es läuft. Genug, um selbst weiterzumachen oder es jemand anderem zu übergeben.
Innerhalb von 30 Tagen nach dem Ende ist auf meiner Seite alles weg. Die automatischen Sicherungen laufen danach von selbst aus, spätestens nach 90 Tagen. Sie bekommen eine schriftliche Bestätigung mit Datum.
Auch zwischendurch. Sie können jederzeit fragen, was ich von Ihnen habe und wo es liegt. Diese Liste bekommen Sie innerhalb von fünf Arbeitstagen. Das Recht steht im Auftragsverarbeitungsvertrag, es hängt also nicht an meinem Kalender.
Eine Seite über Sicherheit, auf der nur gute Nachrichten stehen, stimmt nicht. Das sind die Dinge, die Sie bei einer großen Agentur bekommen und bei mir noch nicht.
Was Sie auch bauen lassen und wie streng Sie es einrichten, das steht fest.
Leiten Sie diese Seite gern weiter. Die Antworten unten sind für jemanden geschrieben, der das beruflich beurteilen muss.
Bei einer großen Agentur bekommen Sie ein Zertifikat und eine Abteilung, die dafür zuständig ist. Bei mir bekommen Sie diese Seite und meine Mailadresse. Ich baue es, ich betreibe es, und wenn etwas schiefgeht, bin ich derjenige, den Sie erreichen.
Ich bin streng darin, dass Ihre Daten in Europa bleiben und dass die Sache nach einem halben Jahr noch läuft. Steht hier etwas, das aus Ihrer Sicht nicht stimmt, schreiben Sie mir an info@diginesso.com. Dann ändere ich es oder erkläre, warum es so dasteht.
Wesley Beerendonk · Diginesso
Soll Ihre eigene IT das durchgehen? Schicken Sie ihr diese Seite, sie ist für sie geschrieben.
Digi, mein KI-Kollege, geht in ein paar Minuten mit Ihnen durch, wo es klemmt. Danach lese ich es selbst und melde mich persönlich.
Sprechen Sie mit Digi über Ihren Prozess. Ein paar Fragen, und Sie wissen, wo der Gewinn liegt und wie es sicher aufgesetzt wird.
Mit Digi sprechenKostenlos und unverbindlich. Ihre Angaben nutze ich nur, um Ihnen zu antworten.