KI-Denkraum

KI-Denkraum

Sicherheit und Datenschutz

Das Wichtigste für IT, Datenschutz und Einkauf auf einer Seite. Verbindlich sind die verlinkten Rechtstexte, vor allem der Auftragsverarbeitungsvertrag mit den technischen und organisatorischen Maßnahmen und der Liste der Dienstleister.

Wo deine Daten liegen

Wir betreiben keine eigenen Server. Datenbank und Anmeldung laufen bei Supabase in Rechenzentren von Amazon Web Services in Frankfurt am Main, die Serverfunktionen der Anwendung bei Vercel, ebenfalls in Frankfurt am Main.

Nicht alles bleibt in der EU: Postmark verschickt unsere Mails aus den USA, der Bot-Schutz Turnstile läuft im weltweiten Netz von Cloudflare, und Supabase kann für Betrieb und Support aus Singapur und den USA zugreifen. Die Grundlage, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln, nennt die Liste der Dienstleister je Dienst.

Kommt ein Unterauftragsverarbeiter hinzu oder wird einer ersetzt, informieren wir den Inhaber des Teams mindestens 30 Tage vorher per Mail. Ihr könnt aus einem sachlichen Grund widersprechen.

So setzen wir KI ein

Die Inhalte erschließen wir mit KI aus Podcastgesprächen. Die Redaktion prüft sie und gibt sie frei, bevor sie in einen Raum kommen.

Die Plattform übermittelt Konto-, Team- und Abrechnungsdaten an kein KI-Modell, und wir verwenden personenbezogene Daten nicht zum Training von KI-Modellen.

Für die Suche bekommt ein KI-Modell über Amazon Bedrock in der EU nur den Suchbegriff, ohne Bezug zu deinem Konto. AWS speichert ihn nicht.

Bei Support und Betrieb kann uns im Einzelfall ein KI-Modell helfen, nur über Amazon Bedrock in der EU, in einer getrennten Arbeitssitzung und ohne Speicherung bei AWS. Den Verlauf löschen wir beim Beenden.

Anmeldung und Zugriff

Jede Person hat ein eigenes Konto und meldet sich mit Passwort, einem Anmeldelink per Mail oder mit Google an. Hat euer Unternehmen einen Piloten oder Einzellizenzen auf Rechnung, könnt ihr euch auch über euer Firmenkonto anmelden, per Single Sign-On (SAML 2.0), etwa bei Microsoft Entra ID, Google Workspace oder Okta.

Zeilenrechte in der Datenbank trennen die Teams voneinander. Mitglieder und Einladungen ändern nur Inhaber und Admins eines Teams, und der Server prüft das bei jeder Aktion.

Test- und Produktivbetrieb nutzen getrennte Datenbanken. Administrative Zugänge zu den Diensten hat nur die Geschäftsführung, jeweils mit Zwei-Faktor-Anmeldung.

Verschlüsselung und Sicherungen

Alle Verbindungen laufen verschlüsselt über TLS, und HSTS hält Browser dauerhaft auf HTTPS. Supabase und Vercel verschlüsseln gespeicherte Daten mit AES-256.

Supabase sichert die Datenbank täglich und bewahrt die Sicherungen sieben Tage auf.

Keine Analyse, keine Werbung

Wir setzen keine Analyse-, Werbe- oder Trackingdienste ein, verfolgen in Mails keine Öffnungen und Klicks und setzen nur technisch nötige Cookies.

Was du speicherst und bewertest, siehst nur du. Zusammengefasst wird es nur zu Summen ohne Bezug zu einzelnen Personen.

Export, Löschung und Vertragsende

Jede Person kann ihre Daten jederzeit selbst herunterladen und ihr Konto löschen.

Nach dem Ende eines Abos oder Einzelvertrags löschen wir die Teamdaten innerhalb von 30 Tagen. Verlangt ihr es vor dem Ende in Textform, übergeben wir vorher die Liste der Mitglieder und Einladungen.

Protokolle bei den Diensten laufen automatisch aus, spätestens nach 45 Tagen.

Zertifikate und Nachweise

Weil wir keine eigenen Server betreiben, zählen die Zertifikate unserer Dienstleister: Supabase und Vercel nach SOC 2 Type 2, Amazon Web Services für die Region Frankfurt unter anderem nach ISO 27001 und BSI C5.

Nachweise stellen wir auf Anfrage bereit, vor allem als Unterlagen, etwa Antworten auf eure Fragebögen. Reichen sie im Einzelfall nicht aus, könnt ihr uns vor Ort prüfen. Unsere Maßnahmen überprüfen wir mindestens einmal im Jahr.

Sicherheitslücke oder Vorfall melden

Hast du eine Schwachstelle gefunden oder einen Vorfall bemerkt? Schreib an hallo@kidenkraum.com. Die Geschäftsführung bewertet jede Meldung.

Betrifft ein Vorfall Daten, die wir im Auftrag verarbeiten, melden wir ihn dem Inhaber des Teams unverzüglich, nach Möglichkeit innerhalb von 48 Stunden.

Ansprechpartner für Datenschutz ist die Geschäftsführung unter derselben Adresse. Einen Datenschutzbeauftragten haben wir nicht benannt, weil keine Pflicht dazu besteht.

Für automatische Werkzeuge steht die Adresse auch in der Datei security.txt.

Unterlagen