Datenfluss-Übersicht
Welche Daten fließen wohin, wozu, und wo werden sie verarbeitet. Eine Seite, die Ihr Verarbeitungsverzeichnis ergänzt und die Sie Ihrem Datenschutzbeauftragten geben können.
( Datenschutz · DSGVO · AI-Act · Chiemgau · Rosenheim · München )
KI einsetzen, ohne dass Kundendaten auswandern.
Datenschutz ist bei uns kein Anhang, sondern der Bauplan: Verarbeitung im eigenen Netzwerk als Standard, Cloud nur mit Freigabe, jede Aktion nachvollziehbar. Wir richten das so ein, dass Sie es Ihrem Datenschutzbeauftragten, Ihrem Steuerberater und Ihren Kunden in einem Satz erklären können.
Vier Regeln, die in jedem Projekt gelten.
Nicht verhandelbar, nicht aufpreispflichtig. So bauen wir — auch dann, wenn niemand danach fragt.
- 1
Lokal ist der Standard
Personenbezogene und geschäftskritische Daten werden im Haus verarbeitet — auf Ihrer Hardware, in Ihrem Netzwerk. Ein externer Dienst wird nur eingebunden, wenn Sie ihn für einen bestimmten Zweck freigeben. Und dann steht es im Protokoll. - 2
Menschen geben frei
Die KI entwirft, Ihre Leute entscheiden. Angebote, Antworten, Buchungen und Löschungen gehen nicht ungeprüft raus. Das ist keine Vorsicht aus Prinzip — es ist die Voraussetzung dafür, dass Verantwortung zuordenbar bleibt. - 3
Alles nachvollziehbar
Was die KI wann mit welchen Daten getan hat, ist protokolliert. Von KI erzeugte Inhalte sind als solche gekennzeichnet. Wenn ein Kunde, ein Prüfer oder Ihr Datenschutzbeauftragter fragt, gibt es eine Antwort — keine Vermutung. - 4
Löschen funktioniert
Daten, die weg sollen, sind weg — auch in Sicherungen. Wir bauen Systeme so, dass Löschen technisch greift, statt nur ein Häkchen zu setzen.
Was Sie konkret in der Hand haben.
Datenschutz, den man vorzeigen kann: Dokumente, Einstellungen und Regeln — kein Versprechen auf einer Folie.
Rollen und Zugriffe
Wer sieht was. Trennung von Kunden-, Personal- und Finanzdaten. Die KI bekommt für jeden Ablauf genau die Zugänge, die er braucht — nicht mehr.
Verträge und Hosting
Wo ein externer Dienst doch nötig ist: Auftragsverarbeitungsvertrag, Anbieter mit Sitz und Rechenzentrum in der EU, dokumentierter Zweck. Hosting, das wir selbst stellen, läuft in Deutschland.
Kennzeichnung und Protokoll
KI-erzeugte Texte und Entscheidungen sind erkennbar und nachvollziehbar — die Grundlage für die Transparenzpflichten des AI-Act und für Ihre interne Sicherheit.
Spielregeln fürs Team
Schriftlich: welche Daten in welche KI dürfen, welche im Haus bleiben, wer freigibt. Kurz genug, dass es gelesen wird. Passend dazu die Schulung, die Art. 4 AI-Act verlangt.
Zuarbeit für Ihre Prüfungen
Technische Beschreibung für Datenschutz-Folgenabschätzung, Verarbeitungsverzeichnis oder Auditfragen — so, dass Ihr Datenschutzbeauftragter oder Anwalt damit arbeiten kann.
Nichts geht ungefragt nach draußen.
Das ist der Satz, an dem wir uns messen lassen. Nicht „vollständig offline“ — das wäre bei Updates und Modellen nicht ehrlich. Sondern: Kein Byte Ihrer Daten verlässt das Haus, ohne dass Sie es entschieden haben und es im Protokoll steht.
Die üblichen Fragen, ehrlich beantwortet.
- Dürfen unsere Mitarbeiter ChatGPT nutzen?
- Mit klaren Regeln: keine Kunden-, Personal- oder Vertragsdaten in private Konten; wenn überhaupt, dann über einen Business-Vertrag mit Auftragsverarbeitung. Der bessere Weg ist meist, den gleichen Nutzen im Haus zu haben — dann stellt sich die Frage nicht. Die Regeln schreiben wir mit Ihnen auf.
- Was verlangt der AI-Act von einem normalen Betrieb?
- Seit Februar 2025 vor allem eines: ausreichende KI-Kompetenz der Mitarbeiter, die KI einsetzen (Art. 4). Weitere Pflichten — etwa Transparenz bei KI-erzeugten Inhalten und Regeln für Hochrisiko-Systeme — greifen gestaffelt. Die üblichen Anwendungen im Mittelstand, also Angebote, Posteingang, Dokumente, fallen nicht unter Hochrisiko. Was auf Sie zutrifft, sagen wir Ihnen; Rechtsberatung ersetzen wir nicht. Die Schulung dazu finden Sie unter Schulungen.
- Brauchen wir einen Datenschutzbeauftragten?
- In Deutschland in der Regel ab zwanzig Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind — die genaue Einordnung trifft Ihr Anwalt oder Ihr Datenschutzbeauftragter. Wir liefern die technische Beschreibung, mit der diese Einordnung leicht fällt.
- Wo genau liegen die Daten bei „lokal“?
- Auf einem Server bei Ihnen im Haus, in Ihrem Netzwerk. Wer keinen Platz hat, bekommt eine eigene Instanz in einem Rechenzentrum in Deutschland mit Auftragsverarbeitungsvertrag — Ihre Maschine, nicht ein geteilter Dienst. Mehr dazu unter KI-Infrastruktur.
- Was ist mit Mitarbeiterdaten und Betriebsrat?
- KI, die Mails sortiert oder Angebote schreibt, verarbeitet auch Daten von Mitarbeitern. Wir gestalten Abläufe so, dass keine Leistungs- oder Verhaltenskontrolle entsteht, und dokumentieren das. Wo ein Betriebsrat mitbestimmt, liefern wir die Unterlagen für das Gespräch.
- Ist „lokal“ automatisch datenschutzkonform?
- Nein. Lokal löst das Problem der Übermittlung an Dritte — nicht die Fragen nach Zweck, Zugriff, Löschung und Information. Deshalb gehören Rollen, Protokoll und Spielregeln bei uns immer dazu. Datenschutz ist eine Bauweise, kein Serverstandort.
Datenschutz ist eine Bauweise. Kein Anhang.
Antwort werktags. Rechtsberatung ersetzen wir nicht — wir liefern die Technik, die sie einfach macht.