DSGVO-konforme KI für den Mittelstand: wo Ihre Daten liegen.
Wenn ich KI für Sie baue, wollen Sie wissen, wo Ihre Daten landen. Hier finden Sie jeden Anbieter mit seiner Serverregion und sehen, was an das KI-Modell geht und was nicht. Ihre IT kann es Zeile für Zeile prüfen.
Geprüft am 28. September 2026✦Ändert sich der Aufbau, passe ich diese Seite an, bevor die Änderung greift
Sicher und europäisch in Kürze
Diginesso ist das Einzelunternehmen von Wesley Beerendonk, der KI-Agenten und Automatisierung für kleine und mittlere Unternehmen in Deutschland, den Niederlanden und Italien entwickelt. In einem Standardprojekt liegen Ihre Datenbank und die Anwendung in Frankfurt, und E-Mails, die das System verschickt, gehen von Irland aus. Das KI-Modell wählen Sie selbst. Mit einem europäischen Modell bleiben Ihre Daten in Europa. Den Auftragsverarbeitungsvertrag unterschreiben Sie, bevor ich den ersten Datensatz verarbeite. Ich bin kein Rechtsanwalt: Diese Seite beschreibt, wie ich es technisch einrichte.
Welche Daten gehen an das KI-Modell?
Nur der Textausschnitt, den das Modell für eine Aufgabe lesen muss. Bei einer Rechnung ist das diese Rechnung, bei einer E-Mail diese eine E-Mail. Ihre Datenbank, Ihre Dateien und der Rest Ihrer Unterlagen bleiben, wo sie sind.
Bleibt, wo es ist
- Ihre Datenbank und Ihre Dateien. Sie liegen in Frankfurt und werden nicht zu einem KI-Dienst kopiert.
- Ihre Passwörter und Schlüssel. Sie liegen in einem abgeschotteten Tresor und tauchen weder im Code noch in einem Chat auf.
- Der Rest Ihrer Unterlagen. Ein Agent für Rechnungen bekommt Rechnungen zu sehen. Für alles andere bleibt Ihr System gesperrt.
- Eingaben Ihres Teams in einer Maske, die ich baue. Sie bleiben in Ihrer Umgebung.
Geht an das Modell
- Nur, was diese eine Aufgabe braucht. Ihr Kundenstamm geht nicht mit.
- An einen Anbieter, den wir vorher festlegen. Ich nenne ihn in Ihrem Auftragsverarbeitungsvertrag.
- Über ein Business-Konto. Dessen Bedingungen schließen aus, dass Ihr Text zum Training des Modells verwendet wird. Einen Anbieter, der das nicht zusagt, nutze ich nicht.
- Oder es geht gar nichts hinaus. Dann läuft das Modell auf Ihrem eigenen Server. Das geht, ist aber langsamer und teurer.
Pro Prozess halte ich fest, welcher Text an das Modell geht, wie lange er dort bleibt und wer ihn abrufen kann.
Welche Anbieter sehen Ihre Daten, und wo stehen ihre Server?
Das ist die vollständige Liste für ein Standardprojekt. Bevor ich in Ihrem Projekt einen weiteren Anbieter einbinde, erfahren Sie es von mir, und dieser Anbieter kommt in Ihren Auftragsverarbeitungsvertrag. Die Regionscodes stehen dabei, damit Sie sie selbst nachschlagen können.
eu-central-1fra1eu-west-1Der Name des Modellanbieters und das Land der Verarbeitung stehen in Ihrem Vertrag. Muss ich das Modell später wechseln, etwa weil ein Anbieter eine Version abschaltet, erfahren Sie das mindestens 30 Tage vorher, mit dem, was es für Qualität und Kosten bedeutet. Bei einer Störung, oder wenn ein Anbieter von heute auf morgen aufhört, schalte ich zuerst um und informiere Sie danach so schnell wie möglich.
Supabase, Vercel und Resend sind US-Unternehmen mit Servern in Europa. Wie es ohne US-Anbieter geht, lesen Sie weiter unten. Was diese Website selbst von Besuchern verarbeitet, steht in der Datenschutzerklärung.
Wie streng soll es sein
Geht es auch rein europäisch oder auf Ihrem eigenen Server?
Ja. Strenger heißt meist teurer oder langsamer, deshalb entscheiden Sie. Alle drei Varianten sind möglich, und Sie können später noch wechseln.
Europäische Server
- Wo es läuft
- Bei den Anbietern aus der Liste, in Frankfurt und Irland.
- Das KI-Modell
- Ein europäisches Modell oder ein großes US-Modell über ein Business-Konto, wo möglich mit Verarbeitung in Europa. Das US-Modell nur mit Ihrer Zustimmung.
- Der Haken
- Drei Anbieter haben eine US-Muttergesellschaft.
Auch die Firmen selbst
- Wo es läuft
- Für jeden Baustein suche ich ein europäisches Unternehmen, ohne US-Muttergesellschaft in der Kette.
- Das KI-Modell
- Ein Anbieter etwa aus Frankreich oder Deutschland, mit Verarbeitung in der EU. Zum Lesen, Zusammenfassen und Sortieren reicht das völlig aus.
- Der Haken
- Mehr Einrichtungsaufwand, und ein paar praktische Dienste fallen weg. Bei der schwersten Denkarbeit liegen solche Modelle noch etwas hinter der Spitze.
Auf einem Server Ihrer Wahl
- Wo es läuft
- In Ihrem eigenen Serverraum oder bei einem Hoster, den Sie bestimmen. Ein System auf Ihrem eigenen Server baue ich als Individualsoftware.
- Das KI-Modell
- Läuft auf derselben Maschine, also bleibt auch der Text für das Modell auf diesem Server.
- Der Haken
- Sie zahlen die Maschine und ihre Wartung, und so ein Modell ist langsamer als die besten Online-Modelle.
Unsicher? In der Prozessdiagnose rechne ich Ihnen den Unterschied in Euro pro Monat vor und zeige, welches Risiko Ihnen die teurere Variante abnimmt.
Der EU AI Act
Wann gelten die Regeln des EU AI Act? Das sind die Termine nach dem Digital-Omnibus.
Die KI-Verordnung ist seit dem 1. August 2024 in Kraft und gilt schrittweise. Der Digital-Omnibus, Verordnung (EU) 2026/1744, gilt seit dem 27. Juli 2026 und hat die strengen Anforderungen an Hochrisiko-Systeme nach hinten verschoben.
Was das für den Mittelstand bedeutet
Ein Agent, der Rechnungen verarbeitet oder Kundenanfragen beantwortet, fällt meist nicht unter hohes Risiko. Hohes Risiko betrifft Anwendungen wie Personalauswahl oder Kreditwürdigkeitsprüfung. Ein Kunde, der mit einem Agenten spricht, muss allerdings erkennen können, dass es eine KI ist.
Was ich immer tue
Pro System halte ich fest, was es tut und wer dafür verantwortlich ist, damit Sie eine Dokumentation haben, bevor jemand danach fragt. Bei Entscheidungen, die Geld oder Menschen betreffen, gibt ein Mensch frei, und jede Aktion des Systems landet in einem Protokoll. Spricht einer Ihrer Kunden mit einem Agenten, sieht er auf dem Bildschirm, dass es eine KI ist.
Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex und der Digital-Omnibus, Verordnung (EU) 2026/1744. Geprüft am 28. September 2026.
Ich bin kein Rechtsanwalt. Lassen Sie von einem Juristen prüfen, was das Gesetz für Ihr System bedeutet.
- seit 2. Februar 2025
Verbotene Praktiken
Einige Anwendungen sind nicht mehr erlaubt, etwa Menschen nach ihrem sozialen Verhalten zu bewerten. Außerdem mussten Sie für ausreichende KI-Kompetenz Ihrer Mitarbeiter sorgen. Der Omnibus hat das abgeschwächt: Sie ergreifen Maßnahmen, um diese Kompetenz aufzubauen, ohne ein bestimmtes Niveau garantieren zu müssen.
- seit 2. August 2025
Regeln für die Modellanbieter
Die Unternehmen hinter den großen KI-Modellen müssen beschreiben, wie ihr Modell funktioniert und womit es trainiert wurde. Diese Angaben helfen bei Ihrer eigenen Dokumentation.
- seit 2. August 2026
Zeigen, dass es eine KI ist
Wer mit einem KI-System spricht, muss das wissen können. Für einen Agenten im Kundenservice ist das die Regel, auf die es am meisten ankommt.
- ab 2. Dezember 2027
Hohes Risiko, Anhang III
Strenge Anforderungen an Systeme unter anderem in der Personalauswahl oder der Kreditwürdigkeitsprüfung. Vor dem Omnibus war dafür der 2. August 2026 vorgesehen.
- ab 2. August 2028
KI in geprüften Produkten, Anhang I
KI in Produkten, die bereits eine eigene EU-Konformitätsbewertung durchlaufen, etwa Medizinprodukte, kommt als Letztes.
Wie setzen Sie KI DSGVO-konform ein?
Sie sind der Verantwortliche, denn es sind Ihre Daten, und Sie bestimmen, wofür sie verwendet werden. Diginesso ist Auftragsverarbeiter, und die Anbieter aus der Liste sind Unterauftragsverarbeiter (Dienstleister, die ich einsetze). So setze ich die DSGVO in einem Projekt um, und Sie können alles nachprüfen.
Der AVV kommt zuerst
Sie unterschreiben den Auftragsverarbeitungsvertrag mit allen Anbietern aus der Liste, bevor ich den ersten Datensatz verarbeite. Einen eigenen AVV Ihres Unternehmens unterschreibe ich auch, solange nichts darin steht, was ich nicht einhalten kann.
So wenig Daten wie möglich
Ich verarbeite nur, was der Prozess braucht. Jeder Agent und jede Integration bekommt nur die Zugriffsrechte, die für die Arbeit nötig sind.
Wie ein KI-Agent genau eine Aufgabe übernimmtAufbewahrung nach Ihren Vorgaben
Standardmäßig bleiben verarbeitete Dokumente 90 Tage gespeichert, damit Sie nachprüfen können, was passiert ist. Sie möchten 7 Tage, oder so viele Jahre, wie Ihre Aufbewahrungspflicht verlangt? Auch das stelle ich ein.
Jeder Zugriff wird protokolliert
Zugang zum Live-System haben nur ich, mit Zwei-Faktor-Authentifizierung, und die Systeme, die die Arbeit erledigen. Es schaut kein Team mit. Jeder Zugriff durch eine Person oder ein System wird festgehalten.
So überwache ich ein System im BetriebAuskunft und Löschung
Wo personenbezogene Daten in einem System liegen, baue ich gleich einen Weg ein, sie zu finden und zu löschen. Eine Anfrage eines Ihrer Kunden erledigen Sie damit selbst.
Wenn doch etwas passiert
Bei einer Datenpanne erfahren Sie es innerhalb von 24 Stunden von mir, mit dem, was passiert ist und welche Daten betroffen sind. Sie melden die Panne der zuständigen Aufsichtsbehörde, und ich liefere Ihnen, was Sie dafür brauchen.
Was passiert mit Ihren Daten bei Kündigung?
Das ist vorab in den AGB geregelt. Sie müssen mich um keine Erlaubnis bitten, und auch bei einer offenen Rechnung halte ich den Export nicht zurück. Ihre Daten sind kein Pfand.
Was die AGB zum Vertragsende sagen- Die Konten
- Laufen schon auf Ihren NamenSie entziehen mir die Administratorrechte, und alles läuft weiter.
- Der Export
- Innerhalb von zehn ArbeitstagenDie Tabellen als CSV (lässt sich in Excel öffnen) und die Datenbank als SQL-Dump (für einen Entwickler). Code, Workflows und Prompts in einem Git-Repository oder im Exportformat des Systems. Die Dokumentation als PDF und als reiner Text.
- Löschung
- Innerhalb von 30 Tagen bei mirDie automatischen Sicherungen laufen danach von selbst aus, spätestens nach 90 Tagen.
- Die Bestätigung
- Schriftlich, mit DatumExport und Löschung kosten Sie nichts.
Auch zwischendurch können Sie fragen, welche Daten ich von Ihnen habe und wo sie liegen. Diese Liste bekommen Sie innerhalb von fünf Arbeitstagen.
Wer es baut
Ich kann Sie an keine Sicherheitsabteilung verweisen.
Sie haben diese Seite und meine E-Mail-Adresse. Ich baue das System und betreue es auch. Wenn etwas schiefgeht, kümmere ich mich selbst darum.
Stimmt hier etwas nicht? Schreiben Sie es mir an info@diginesso.com. Dann korrigiere ich es oder erkläre Ihnen, warum es so dasteht.
Mehr über Wesley und DiginessoWas ich nicht habe
Einiges habe ich derzeit noch nicht. Das schreibe ich lieber hierhin, als dass Sie es später selbst herausfinden.
- ISO 27001 oder SOC 2Diese Zertifikate kosten ein Einzelunternehmen viel Geld und Zeit. Brauchen Sie wirklich ein Zertifikat, erfahren Sie vorher, wie lange es dauert und was es kostet.
- RechtsberatungIch bin kein Rechtsanwalt. Ich weiß, wie man das technisch einrichtet und welche Anforderungen das Gesetz an so ein System stellt. Ob Ihre Situation rechtlich passt, beurteilt jemand, der Rechtsberatung geben darf.
- Eine Garantie auf völlige SicherheitVöllige Sicherheit kann ich nicht versprechen. Ich schreibe auf, wo Ihre Daten liegen und wer darauf zugreifen kann, damit Sie das Risiko selbst abwägen können.
Fragen
Häufige Fragen zu KI und DSGVO
Kann KI DSGVO-konform sein?
Ja, wenn feststeht, welche Daten an das KI-Modell gehen und wo sie liegen. Bei mir liest das Modell nur, was es für eine Aufgabe braucht, und für jeden Anbieter ist festgelegt, in welcher Region er arbeitet. Ob Ihre gesamte Verarbeitung passt, hängt auch davon ab, was Sie selbst mit den Daten tun.
Bleiben meine Daten in der EU?
Ja, wenn Sie ein europäisches KI-Modell wählen. Im Standardaufbau liegen Ihre Datenbank, Ihre Dateien und die Anwendung in Frankfurt, und E-Mails des Systems gehen von Irland aus. Wählen Sie ein Modell von außerhalb Europas, kann nur der Text, der an dieses Modell geht, die EU verlassen. Supabase, Vercel und Resend sind allerdings US-Unternehmen mit Servern in Europa.
Werden meine Daten zum Training von KI-Modellen genutzt?
Nein. Ich nutze nur Business-Konten, deren Bedingungen ausschließen, dass Eingaben für das Training verwendet werden. Ein Anbieter, der das nicht schriftlich zusagt, kommt bei mir nicht zum Einsatz.
Bekomme ich einen Auftragsverarbeitungsvertrag?
Ja, und Sie unterschreiben ihn, bevor ich den ersten Datensatz verarbeite. Ich arbeite mit einem Standardtext, in dem alle Unterauftragsverarbeiter (Dienstleister, die ich einsetze) namentlich genannt sind. Nutzt Ihr Unternehmen einen eigenen AVV, schicken Sie ihn gern: Den unterschreibe ich auch. Steht darin etwas, das ich in der Praxis nicht einhalten kann, sage ich Ihnen das vorher.
Was, wenn doch etwas außerhalb der EU verarbeitet werden muss?
Dann frage ich Sie vorher und erkläre, warum es nötig ist. Sagen Sie nein, suche ich einen anderen Weg oder lasse die Funktion weg.
Wie steht es um den US CLOUD Act?
Es bleibt ein Restrisiko, das unter Juristen umstritten ist: Drei meiner Anbieter sind US-Unternehmen mit Servern in Europa, und ob eine US-Behörde dort Daten anfordern kann, ist offen. Wer dieses Risiko nicht will, wählt die Variante nur mit europäischen Anbietern oder einen eigenen Server.
Gilt mein KI-System im EU AI Act als Hochrisiko-System?
Meistens nicht. Hohes Risiko betrifft die Anwendungen in Anhang III des AI Act, etwa Personalauswahl oder Kreditwürdigkeitsprüfung. Ein Agent, der Rechnungen verarbeitet oder Kundenanfragen beantwortet, fällt in der Regel nicht darunter, auch wenn ein Kunde erkennen können muss, dass er mit einer KI spricht. Durch den Digital-Omnibus gelten die strengen Anforderungen erst ab dem 2. Dezember 2027.
Darf ich selbst einen Pentest oder ein Audit durchführen lassen?
Ja. Sie beauftragen einen eigenen Prüfer, ich stelle Zugang und Dokumentation bereit und richte eine Testumgebung ein. Die Berichte gehen direkt an Sie. Was dabei herauskommt, behebe ich. Haben Sie einen Wartungsvertrag, ist das im festen Monatsbetrag enthalten, und im Protokoll sehen Sie, wann es passiert ist.
Möchten Sie das von Ihrer IT prüfen lassen?
Leiten Sie diese Seite gern weiter. Haben Sie selbst eine Frage zum Aufbau, oder möchten Sie wissen, welche Arbeit sich in Ihrem Unternehmen automatisieren lässt? Innerhalb eines Werktags bekommen Sie eine persönliche Antwort von mir.