Datenschutzerklärung

Verantwortlicher

Markus Schlueter
Wiesenstrasse 19
16552 Schildow
markus@souveraene-systeme.de

Grundsatz

Diese Website ist eine statische Informationsseite. Sie bindet keine Inhalte von Drittanbietern ein und verwendet keine Analyse- oder Tracking-Werkzeuge. Schriften und alle weiteren Ressourcen werden von unserem eigenen Server ausgeliefert.

Darstellung. Ihre gewählte Darstellung (hell, gedimmt, dunkel oder hoher Kontrast) speichern wir unter ui_theme im lokalen Browser-Speicher und in einem Cookie. Das Cookie gilt für souveraene-systeme.de und seine Subdomains, damit die Auswahl beim Wechsel zwischen Website und Anwendung erhalten bleibt. Es enthält nur den Darstellungsmodus, keine Kennung und keine Inhalte, und läuft ein Jahr nach dem Speichern ab. Der lokale Browser-Speicher bleibt bis zur Löschung der Websitedaten erhalten. Eine bereits lokal gespeicherte Auswahl wird übernommen. Ohne gespeicherte Auswahl verwenden wir Ihre Systemeinstellung und speichern diese nicht als eigene Auswahl.

Hosting und Server-Logdateien

Diese Website wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben; mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Beim Aufruf der Website verarbeitet der Webserver technisch bedingt die IP-Adresse Ihres Anschlusses, Datum und Uhrzeit des Abrufs, die abgerufene Ressource und die von Ihrem Browser übermittelten Header. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Absicherung der Website). Speicherdauer der Server-Logs beträgt 7 Tage

Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren (etwa für eine Invite-Anfrage), verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b und f DSGVO). Unser E-Mail-Postfach wird bei der Kommunitas GmbH (All-Inkl.com, Deutschland) betrieben. Wir löschen Invite-Anfragen, sobald sie bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Anwendung selbst

Für die Nutzung der Anwendung unter app.souveraene-systeme.de gilt ergänzend:

Konto. Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, einen Passwort-Prüfwert (Argon2id) und den verwendeten Einladungscode (als Prüfsumme) zur Bereitstellung des Kontos (Art. 6 Abs. 1 lit. b DSGVO). Ihr Passwort selbst und der daraus abgeleitete Schlüssel verlassen Ihren Browser nicht; wir können sie nicht einsehen.

Inhalte. Chat-Verläufe und Konfigurationen werden in Ihrem Browser verschlüsselt, bevor sie gespeichert werden. Auf unseren Servern liegen nur verschlüsselte Datenblöcke, die wir nicht lesen können. Ein Passwort-Reset, der diese Daten wiederherstellt, existiert deshalb nicht; an seine Stelle treten Recovery-Codes. Zur Beantwortung von Chat-Anfragen wird der Nachrichtentext an unsere Verarbeitungsebene bei der netcup GmbH (Rechenzentrum Nürnberg, Auftragsverarbeitung nach Art. 28 DSGVO) übermittelt und von dort an die Modell-Schnittstelle der AKI.IO GmbH (Berlin, Rechenzentren ausschließlich in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO) weitergereicht, die die Antwort erzeugt; beide verarbeiten den Text ausschließlich im Arbeitsspeicher und speichern ihn nicht. AKI.IO setzt dafür die AIME GmbH (Berlin, Rechenhardware) und die ScaleUp Technologies GmbH & Co. KG (Hamburg, Rechenzentrumsbetrieb) als Unterauftragnehmer ein. Bis zum 21. September 2026 lag diese Schnittstelle bei der Scaleway SAS (Frankreich/Polen); der Wechsel hat den Auftragsverarbeiter getauscht, nicht die Datenkategorien. Ebenso werden hochgeladene Dokumente bei der netcup GmbH gelesen, bei Scans mit Texterkennung ausgewertet und auf Wunsch anonymisiert — im Arbeitsspeicher, ohne Ablage der Datei.

Bilderzeugung: Die Bildbeschreibung und, beim Bearbeiten, das Ausgangsbild gehen denselben Weg über die netcup GmbH an die AKI.IO GmbH, die das Bild erzeugt; beide halten es nur im Arbeitsspeicher. Wer die Hilfe für die Bildbeschreibung nutzt, dessen Idee geht als Chat-Anfrage an dasselbe Sprachmodell. Ein Bild, das Sie ablegen, wird in Ihrem Browser verschlüsselt, bevor es gespeichert wird. Für Konten mit gesetzlicher Schweigepflicht ist die Bilderzeugung gesperrt.

Bis zum 30. August 2026 lagen diese Dauerdienste bei der Scaleway SAS. Der Wechsel hat den Auftragsverarbeiter getauscht, nicht die Datenkategorien; der Auftragsverarbeitungsvertrag mit netcup wurde dafür am 30. August 2026 auf die Inhaltsverarbeitung erweitert.

Speicherung Ihrer Ergebnisse. Für die Ergebnisse der Anwendung — Chat-Verläufe, hochgeladene Dokumente samt Auswertung und Klangskript-Ergebnisse (Transkript, Übersetzung, Zusammenfassung) — können Sie je Kategorie in den Einstellungen unter „Datenspeicherung” zwischen drei Stufen wählen. Zero-Knowledge (Voreinstellung): Der Inhalt wird in Ihrem Browser verschlüsselt und liegt bei uns nur als Datenblock, den wir nicht lesen können. Klartext: Der Inhalt wird auf unseren Servern in lesbarer Form gespeichert; diese Stufe gilt ausschließlich, wenn Sie sie für die betreffende Kategorie ausdrücklich auswählen. Flüchtig: Es wird nichts gespeichert; der Inhalt ist nach Reload oder Sitzungsende verworfen. Live-Verarbeitung (Audio-Streams, Rohdaten) bleibt in jeder Stufe flüchtig — gespeichert werden nur Ergebnisse. Gespeicherte Einträge können Sie einzeln oder je Kategorie löschen; die Löschung entfernt den Eintrag dauerhaft.

Ohne Wahlmöglichkeit stets zero-knowledge verschlüsselt sind Ihre Wissensbasis, die Postvogt-Auszüge und die Eckdaten des Fristenwächters.

Wissensbasis. In der Wissensbasis liegt dauerhaftes eigenes Wissen, auf das mehrere Dienste zugreifen. Sie ist in jeder Speicherstufe verschlüsselt; ent- und verschlüsselt wird in Ihrem Browser. Angelegt werden Einträge von Ihnen selbst oder — auf Ihre Bitte hin und nach ausdrücklicher Rückfrage im jeweiligen Schritt — vom Assistenten im Chat, in einem Workflow oder im Matrix-Raum. Eine erteilte Zustimmung gilt genau diesem einen Schreibvorgang. Welche Dienste den Bestand lesen dürfen, entscheiden Sie je Dienst; Postvogt erhält ausschließlich die von Ihnen angehefteten Einträge und kann nicht schreiben.

Dateien in der Wissensbasis. Legen Sie eine Datei ab, verschlüsselt Ihr Browser sie, bevor sie unser Haus erreicht, und lädt sie über eine kurzlebige, einmalige Adresse unmittelbar in den Objektspeicher der Hetzner Online GmbH (Rechenzentrum Falkenstein, Auftragsverarbeitung nach Art. 28 DSGVO). Dort liegen ausschließlich der verschlüsselte Inhalt, eine Objektkennung ohne Dateinamen und ohne Endung, die Bytegröße und ein Zeitstempel. Dateiname, Inhaltstyp und Ordner stehen in der verschlüsselten Beschreibung des zugehörigen Eintrags auf unserem Kern-Server; lesbar sind sie nur in Ihrem Browser. Eine Klartext-Stufe gibt es für Dateien nicht — sie sind stets zero-knowledge verschlüsselt, weshalb auch Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) Dateien ablegen dürfen. Löschen Sie eine Datei, wird das Objekt entfernt; eine Versionierung führt der Speicher nicht (Art. 6 Abs. 1 lit. b DSGVO).

Zahlung und Guthaben. Die Nutzung wird über ein Guthaben abgerechnet, das Sie im Voraus aufladen; für Abonnements kommt das SEPA-Lastschriftverfahren hinzu. Die Zahlung selbst wickelt die Mollie B.V. (Amsterdam, Niederlande) ab. Mollie ist dabei eigenständig Verantwortlicher und nicht unser Auftragsverarbeiter: Als beaufsichtigtes Zahlungsinstitut verarbeitet das Unternehmen Ihre Zahlungsdaten zu eigenen gesetzlichen Zwecken — Zahlungsabwicklung, Geldwäscheprävention, Aufbewahrung, Betrugsabwehr — und nicht auf unsere Weisung. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gibt es dafür deshalb nicht; insoweit gilt die Datenschutzerklärung von Mollie.

Von uns erhält Mollie den Betrag, eine allgemein gehaltene Beschreibung ohne Bezug zu Ihren Inhalten und Ihre Kontokennung — nicht Ihren Namen und nicht Ihre E-Mail-Adresse; das Zahlungskonto bei Mollie wird bewusst ohne diese Angaben angelegt. Ihre Karten- oder Bankdaten geben Sie bei Mollie ein und nicht bei uns; sie liegen ausschließlich dort. Zurück erhalten wir die Zahlungs-Metadaten — Betrag, Zeitpunkt, Zahlungsart und Ausgang —, die wir zur Zuordnung der Aufladung und als Buchungsbeleg speichern. Rechtsgrundlage für unseren Teil ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Belege Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Fristen.

Mitarbeiterkonten. Als Inhaber eines Kontos können Sie Mitarbeitern eigene Konten anlegen lassen. Der Mitarbeiter registriert sich mit einer E-Mail-Adresse eigener Wahl und einem eigenen Passwort; daraus entsteht sein eigener Schlüssel. Als Inhaber sehen Sie den Anzeigenamen, den Sie selbst vergeben, den Status und den Verbrauch des laufenden Monats — nicht die E-Mail-Adresse und nicht die Inhalte, Wissensbestände oder Postfächer des Mitarbeiters; diese sind mit dessen Schlüssel verschlüsselt und für Sie wie für uns unlesbar. Abgerechnet wird über das Guthaben des Inhabers; jede Buchung trägt, wer sie verursacht hat (Art. 6 Abs. 1 lit. b DSGVO).

Firmen, Vorgänge, Vorlagen und Kanban-Board. Mehrere Konten können gemeinsam an einer Akte arbeiten: ein Vorgang bündelt Schritte, Unterlagen und Fristen, eine Vorlage hält einen wiederkehrenden Ablauf fest, und ein Kanban-Board zeigt Aufgaben als Karten in Spalten. Alles liegt auf unserem Kern-Server; Vorlagen und Kanban-Board sind ohne Wahlmöglichkeit zero-knowledge verschlüsselt, für Vorgangsschritte und Vertragsdaten gilt die von Ihnen gewählte Stufe. Hier verarbeiten wir erstmals in nennenswertem Umfang Daten von Personen, die selbst kein Konto bei uns haben: die in einer Akte benannten Dritten — Mandanten, Kunden, Vertragspartner. Für diese Daten sind Sie verantwortlich; wir verarbeiten sie in Ihrem Auftrag (Art. 6 Abs. 1 lit. b DSGVO). Wer Zugriff hat, bestimmen Sie über die Mitgliedschaft im Vorgang.

Workflows und Aufgaben-Bots. Sie können wiederkehrende Abläufe als Workflow festhalten und benannte Assistenten (Aufgaben-Bots) mit eigener Anweisung und eigener Werkzeugauswahl einrichten. Ablaufdefinition und Anweisungen sind Ihr Inhalt und ohne Wahlmöglichkeit zero-knowledge verschlüsselt; ein Lauf benutzt genau die Dienste, die seine Schritte nennen, und für jeden gilt, was in dieser Erklärung dazu steht. Die Ergebnisse eines Laufs werden nach 30 Tagen gelöscht.

Eigene Instanz (dedizierte GPU-Sitzung). Statt der gemeinsam genutzten Inferenz-API können Sie eine einzelne GPU-Instanz starten, die für die Dauer der Sitzung ausschließlich Ihrem Konto zugeordnet ist. Sie läuft bei der Scaleway SAS (Auftragsverarbeitung nach Art. 28 DSGVO); die Modellgewichte werden aus dem Objektspeicher desselben Anbieters geladen. Ihre Eingaben und die Antworten werden dort ausschließlich im Arbeitsspeicher verarbeitet und nicht gespeichert. Für diese Sitzung führen wir keinen Unterhaltungsverlauf: Ein Neuladen der Seite verwirft das Gespräch. Die Instanz endet nach 15 Minuten ohne Anfrage, spätestens nach 2 Stunden, und wird danach zerstört; auf unserem Kern-Server verbleiben Laufzeit und Abrechnungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Funktion nicht freigegeben — sie läuft über den Standard-Pfad, dem die schriftlich vereinbarte Klausel mit dem Rechenzentrum fehlt.

Terminal. Die Anwendung kann eine Kommandozeile Ihres eigenen Rechners anzeigen. Sie wird von einem Hilfsprogramm bereitgestellt, das Sie selbst auf Ihrem Rechner starten; der Browser verbindet sich dafür mit 127.0.0.1. Tastenanschläge, Ausgaben, Dateinamen und Verzeichnisse nehmen diesen Weg und erreichen unsere Server nicht. Port und Sitzungs-Schlüssel stehen im Adressfragment hinter dem #, das Browser nicht an einen Server übertragen; sie stehen deshalb in keinem Zugriffsprotokoll. Bei uns fällt der Abruf der Seite und, beim Einrichten, der Abruf der Programmdatei an — beides wie bei jeder anderen Seite. Inhalte entstehen bei uns nicht, ein Modell liest nicht mit, und abgerechnet wird nichts.

Python-Sandbox. Damit der Assistent Zahlen ausrechnet statt sie zu erzeugen, kann er ein kleines Python-Programm schreiben und ausführen lassen. Das Programm läuft in Ihrem Browser (Pyodide, in einem abgeschotteten Rahmen), nicht auf unseren Servern. Aus diesem Rahmen heraus ist genau eine Adresse erreichbar — die Programmbausteine auf unserem eigenen Server —, sonst keine; es gibt keinen Zugriff auf Ihre Wissensbasis, Ihre Nextcloud oder unseren Objektspeicher, und Skripte werden nicht gespeichert. Die Datei, mit der gerechnet wird, verlässt Ihr Gerät dafür nicht. Was das Programm ausgibt, geht als Ergebnis an das Modell und nimmt damit denselben Weg wie der Text eines Anhangs; ein zusätzlicher Empfänger entsteht dadurch nicht. Zu nennen ist ein Unterschied: Die Sandbox liest die Originaldatei und kann deshalb Inhalte sichtbar machen, die die reine Textextraktion nicht erfasst hätte — weitere Tabellenblätter, Formeln, eingebettete Objekte. Bei uns fällt allein der Abruf der Programmbausteine an, wie bei jeder anderen Datei der Anwendung (Art. 6 Abs. 1 lit. b DSGVO).

Postvogt (E-Mail-Triage). Wenn Sie den Dienst Postvogt nutzen, verbinden Sie eines oder mehrere Postfächer über ein App-Passwort (nie Ihr Hauptpasswort). Ihre Konfiguration einschließlich der Postfach-Zugangsdaten wird in Ihrem Browser verschlüsselt und liegt auf unserem Kern-Server nur in Form von Datenblöcken, die dieser nicht lesen kann. Damit Läufe auch ohne Ihr Zutun stattfinden können, ist die Konfiguration zusätzlich so verschlüsselt, dass unser Verarbeitungssystem bei der Scaleway SAS (Auftragsverarbeitung nach Art. 28 DSGVO) sie öffnen kann — das heißt ehrlich gesagt: Für Hintergrundläufe kann unsere Verarbeitungsebene Ihre Postfach-Zugangsdaten entschlüsseln; unser Kern-Server kann es nicht. Die Verarbeitungsebene ruft Ihre E-Mails direkt bei Ihrem Mail-Anbieter ab, sortiert sie und legt Antwortentwürfe in Ihrem Entwurfsordner ab — gesendet wird ausschließlich von Ihnen. E-Mail-Inhalte werden dabei ausschließlich im Arbeitsspeicher verarbeitet und zur Einstufung und Kurzfassung an die Modell-Schnittstelle der AKI.IO GmbH (Berlin, Rechenzentren ausschließlich in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO) übermittelt, dieselbe, die auch die Antworten des Chats erzeugt (vertraglich zugesicherte Nicht-Speicherung); den Mailtext speichern wir außerhalb Ihres Postfachs nicht, gelöscht wird nie.

Je Lauf legt die Verarbeitungsebene zusätzlich einen Mail-Auszug an: je Mail Absender, Betreff, Kategorie, eine Kurzfassung von zwei bis vier Sätzen und der Hinweis, ob ein Antwortentwurf entstanden ist — nie der Mailtext. Dieser Auszug wird noch in der Verarbeitungsebene auf einen öffentlichen Schlüssel Ihres Kontos verschlüsselt; unser Kern-Server speichert ihn, kann ihn aber nicht lesen. Lesbar wird er ausschließlich in Ihrem Browser. Auszüge werden nach 30 Tagen automatisch gelöscht, und Sie können jeden einzelnen Lauf schon vorher entfernen. Auf unserem Kern-Server fallen darüber hinaus nur Zeitpläne und Zähler je Lauf an sowie, bei verbundenem Matrix-Bot, die im nächsten Absatz beschriebene Meldung (Art. 6 Abs. 1 lit. b DSGVO).

Ist zusätzlich der Matrix-Bot verbunden, meldet er neue Mails der von Ihnen gewählten Kategorien in Ihrem Raum. Gemeldet wird nur in Räumen, in denen jedes Mitglied auf Ihrer Freigabeliste steht. Für diese Meldung verschlüsselt die Verarbeitungsebene Absender, Betreff, Sprache und Kurzfassung, zusammen mit dem Namen des Postfachs und der Kennung der Mail, so, dass unser Bot-Dienst bei der netcup GmbH (Auftragsverarbeitung nach Art. 28 DSGVO) sie öffnen kann. Unser Kern-Server hält die Meldung bis zur Zustellung, höchstens sieben Tage; er kann sie nicht lesen und nimmt sie nicht in die nächtliche Sicherung der Datenbank auf.

Schreiben Sie im Thread einer Mail und braucht der Bot deren Text, etwa für eine Übersetzung oder einen Antwortentwurf, liest die Verarbeitungsebene diese eine Mail aus Ihrem Postfach. Der Bot-Dienst übergibt den Verlauf des Threads und, soweit nötig, den vollständigen Mailtext an das Sprachmodell des Chats (derzeit bei der AKI.IO GmbH, Berlin, Auftragsverarbeitung nach Art. 28 DSGVO). Außerhalb eines Threads bereitet der Bot auf Ihre Bitte ein erstes Anschreiben an eine Adresse vor, die Sie nennen. Einen Antwortentwurf oder ein Anschreiben legt die Verarbeitungsebene erst auf Ihr ausdrückliches „ja” in Ihrem Postfach ab; gesendet wird ausschließlich von Ihnen. Bei uns wird der Mailtext dabei nur im Arbeitsspeicher verarbeitet und nicht gespeichert. Was der Bot meldet, übersetzt oder entwirft, steht als Nachricht in Ihrem Raum und liegt damit auf Ihrem Homeserver (Art. 6 Abs. 1 lit. b DSGVO).

Kalender (optional). Sie können Ihren eigenen Kalender anbinden — jeden Server, der CalDAV spricht (etwa Nextcloud, mailbox.org oder SOGo). Einen Kalender betreiben wir nicht, und wir speichern keine Termine: Ihr Kalender bleibt die einzige Ablage, wir lesen und schreiben nur darin. Der Betreiber dieses Servers ist kein Auftragsverarbeiter von uns — Sie wählen und betreiben ihn, wir übermitteln auf Ihre Weisung dorthin. Betreiben Sie ihn nicht selbst, verantworten Sie diese Strecke wie beim Homeserver in Ihrem Verhältnis zum Anbieter.

Zugangsdaten und Kalenderadresse werden in Ihrem Browser verschlüsselt; auf unserem Kern-Server liegen sie ausschließlich als Datenblöcke, die dieser nicht lesen kann. Für eine Anfrage aus dem Chat entschlüsselt Ihr Browser sie und übergibt sie mit der Anfrage an unsere Verarbeitungsebene bei der netcup GmbH (Auftragsverarbeitung nach Art. 28 DSGVO); dort bestehen sie nur für die Dauer des einzelnen Aufrufs im Arbeitsspeicher und werden nicht gespeichert, nicht protokolliert und nicht auf Datenträger geschrieben. Termininhalte, die zur Beantwortung nötig sind, werden wie Ihre übrigen Chat-Nachrichten verarbeitet.

Jede Änderung bestätigen Sie vorher. Der Assistent schlägt vor, was er anlegen, ändern oder löschen würde; geschrieben wird erst nach Ihrer Freigabe. Auf Wunsch trägt er eine Erinnerung in den Termin ein — verschickt wird sie dann von Ihrem eigenen Kalenderserver, nicht von uns. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Funktion gesperrt (Art. 6 Abs. 1 lit. b DSGVO).

Nextcloud-Anbindung (optional). Sie können Ihre eigene Nextcloud anbinden. Der Assistent findet und liest dann Dateien darin, legt Ergebnisse nach Ihrer Bestätigung dort ab und kann — je nach Zugangsart — Adressbuch und Deck nutzen. Ihre Unterlagen ziehen dabei nicht zu uns um. Ihre Nextcloud ist kein Auftragsverarbeiter von uns, sondern Empfängerin: Sie ist Ihr System, Sie bestimmen es, wir übermitteln auf Ihre Weisung dorthin.

Zwei Zugangsarten stehen zur Wahl. Ein App-Passwort des Kontos reicht über das gesamte Laufwerk; ein passwortgeschützter Freigabe-Link reicht über genau einen Ordner, dafür entfallen dort Kontakte, Deck, Dateisuche und Kalender. Freigaben ohne Passwort nehmen wir nicht an. Beide Geheimnisse liegen in Ihrem Browser verschlüsselt und auf unserem Kern-Server nur als Datenblöcke, die dieser nicht lesen kann; entschlüsselt werden sie in Ihrem Browser für den einzelnen Aufruf und an unsere Verarbeitungsebene bei der netcup GmbH (Auftragsverarbeitung nach Art. 28 DSGVO) weitergereicht, die für die Dauer dieses Aufrufs mit Ihrem Server spricht. Pfade, Dateinamen und Zugangsdaten erscheinen dabei in keinem Protokoll, keiner Fehlermeldung und keiner Antwort — ein Pfad benennt Ihren Mandanten. Es werden nur https-Adressen angenommen, Weiterleitungen nicht verfolgt und jede aufgelöste Adresse geprüft. Den Zugang ziehen Sie ohne uns zurück, indem Sie in Ihrer Nextcloud das App-Passwort widerrufen oder die Freigabe löschen. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Anbindung gesperrt (Art. 6 Abs. 1 lit. b DSGVO).

Matrix-Bot (optional). Wenn Sie den Dienst Matrix nutzen, hinterlegen Sie die Adresse des von Ihnen gewählten Matrix-Homeservers sowie Benutzer-ID und Passwort eines von Ihnen angelegten Bot-Benutzers. Einen Messenger betreiben wir nicht. Betreiben Sie den Homeserver nicht selbst, sondern nutzen einen öffentlichen oder gemieteten Server, ist dessen Betreiber kein Auftragsverarbeiter von uns: Er verarbeitet die dort anfallenden Daten in Ihrem Verhältnis zu ihm, und die Rechtsgrundlage dafür verantworten Sie. Beachten Sie dabei, dass die Ende-zu-Ende-Verschlüsselung zwar den Nachrichtentext schützt, dem Homeserver aber Verkehrs- und Bestandsdaten sichtbar bleiben — Mitgliedschaften, Zeitpunkte, IP-Adressen, Geräte sowie Raumnamen und -themen, die in Matrix unverschlüsselt sind. Wir empfehlen daher einen eigenen Homeserver. Diese Angaben werden in Ihrem Browser verschlüsselt; auf unserem Kern-Server liegen sie ausschließlich als Datenblöcke, die dieser nicht lesen kann. Der Bot-Dienst läuft als Dauerprozess auf unserer Verarbeitungsebene bei der netcup GmbH (Auftragsverarbeitung nach Art. 28 DSGVO), meldet sich mit diesen Zugangsdaten an Ihrem Homeserver an und verarbeitet Raum-Inhalte ausschließlich im Arbeitsspeicher; sie werden nicht auf Datenträger geschrieben und nicht protokolliert. Antworten erhalten nur die Benutzer, die Sie freigegeben haben. Auf unserem Kern-Server fallen Status und Zähler an; bei gebuchtem Postvogt zusätzlich die oben bei Postvogt beschriebenen Meldungen, die er nicht lesen kann.

Der Bot verarbeitet auch Dateianhänge aus dem Raum und Sprachnachrichten: Im Zweiergespräch transkribiert er eine Sprachnachricht unmittelbar, in einem Gruppenraum nur, wenn jemand auf sie antwortet und den Bot dabei nennt. Das Roh-Audio — und damit die Stimme des Sprechers — besteht ausschließlich im Arbeitsspeicher unserer Verarbeitungsebene und wird nach der Transkription überschrieben; auf Datenträger wird es nicht geschrieben, nicht protokolliert und unserem Kern-Server nicht übergeben. Das Transkript erscheint in demselben Raum, in dem die Sprachnachricht ohnehin liegt. Aufnahmen über 120 Sekunden werden abgelehnt.

Aktivieren Sie zusätzlich den Wissenszugriff, erhält der Bot-Dienst einen Schlüssel zu Ihrer Wissensbasis. Das heißt ehrlich gesagt: Der Bot-Dienst kann Ihre Wissensbasis lesen, solange die Verbindung besteht; unser Kern-Server kann es nicht. Die Funktion ist standardmäßig aus. Wissensgestützte Antworten gibt der Bot nur in Räumen, in denen jedes anwesende Mitglied auf Ihrer Freigabeliste steht. Schalten Sie den Zugriff ab, verliert der Dienst den Schlüssel mit dem nächsten Abgleich, spätestens nach einer Minute.

Ebenso getrennt: der Kanban-Zugriff. Er ist eine eigene Einwilligung mit einem eigenen Schlüssel, der ausschließlich Ihr Kanban-Board öffnet — der Wissenszugriff schließt ihn nicht ein und er nicht den Wissenszugriff. Ist er an, kann der Bot-Dienst Kartentitel und Notizen lesen und, nach Ihrer ausdrücklichen Bestätigung im Raum, Karten anlegen, ändern, verschieben und löschen; unser Kern-Server kann davon nichts lesen. Auch diese Funktion ist standardmäßig aus und wird auf demselben Weg wieder entzogen.

Den Zugang insgesamt entziehen Sie jederzeit selbst, indem Sie das Passwort des Bot-Benutzers ändern oder sein Gerät auf Ihrem Homeserver abmelden. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist der Dienst gesperrt (Art. 6 Abs. 1 lit. b DSGVO).

Haben Sie einen Kalender angebunden, kann der Bot auch darin nachsehen, nach Ihrer Bestätigung im Raum Termine anlegen, ändern und löschen und von sich aus an Bevorstehendes erinnern. Damit das ohne Ihr Zutun geschieht, ist die Kalender-Konfiguration — wie bei Postvogt — zusätzlich so verschlüsselt, dass der Bot-Dienst sie öffnen kann. Das heißt ehrlich gesagt: Der Bot-Dienst kann Ihre Kalender-Zugangsdaten entschlüsseln und behält sie, solange der Bot läuft; unser Kern-Server kann es nicht. Termininhalte erscheinen dabei in Ihren Matrix-Räumen und liegen damit auf Ihrem Homeserver — dorthin gilt, was oben zu dessen Betreiber steht. Erinnerungen und Terminvorschläge schickt der Bot ausschließlich in Räume, in denen jedes anwesende Mitglied auf Ihrer Freigabeliste steht, und schreiben darf nur, wer selbst auf dieser Liste steht.

Diktat. Nehmen Sie eine Spracheingabe auf, wird die Aufnahme an unsere Verarbeitungsebene bei der Scaleway SAS übermittelt, dort im Arbeitsspeicher transkribiert und nicht gespeichert; der erkannte Text erscheint im Eingabefeld Ihres Browsers. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) steht die Funktion nicht zur Verfügung.

Klangskript ohne GPU-Sitzung. Laden Sie eine Aufnahme hoch, ohne eine GPU-Sitzung zu starten, wird sie auf demselben Weg wie das Diktat bei der Scaleway SAS transkribiert. Stoßen Sie danach eine Übersetzung oder Zusammenfassung an, geht der Transkripttext — nicht das Audio — an die Modell-Schnittstelle der AKI.IO GmbH (Berlin, Rechenzentren ausschließlich in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO), dieselbe, die auch die Antworten des Chats erzeugt; bis zur Umstellung erledigt diesen Schritt ebenfalls die Scaleway SAS. Beide verarbeiten den Inhalt ausschließlich im Arbeitsspeicher und speichern ihn nicht; unsere Verarbeitungsebene verwirft Aufnahme und Ergebnis etwa 15 Minuten nach Abschluss. Was Sie davon aufbewahren, bestimmt Ihre Wahl unter „Speicherung Ihrer Ergebnisse”. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) steht die Funktion nicht zur Verfügung.

Web-Recherche (optional, standardmäßig aus). Neben dem Schalter im Chat gibt es dafür den eigenen Dienst Recherche: Sie erteilen einen Auftrag, wir formulieren dazu Suchanfragen, legen sie Ihnen vor und erstellen aus den gelesenen Seiten einen Bericht mit nummerierten Quellen. Für beide Wege gilt, was in diesem Abschnitt steht; ohne einen von Ihnen gewählten Suchanbieter findet keine Suche statt. Im Chat können Sie je Unterhaltung die Web-Recherche einschalten. Ist sie an, formuliert das Modell aus Ihrer Frage kurze Suchbegriffe, die Ihnen im Wortlaut angezeigt werden und erst nach Ihrer ausdrücklichen Freigabe abgeschickt werden; erkannte personenbezogene Angaben werden vorher automatisiert durch Platzhalter ersetzt. Die Suchanfrage wird über unseren eigenen Suchserver bei der netcup GmbH (Rechenzentrum Nürnberg, Auftragsverarbeitung nach Art. 28 DSGVO) an öffentliche Suchmaschinen weitergeleitet. Ebenso rufen wir über diesen Server Webseiten ab, deren Adresse aus dem Gespräch stammt — auch dieser Abruf erfolgt erst nach Ihrer Freigabe.

Das heißt ehrlich gesagt: Suchanfragen verlassen unsere Infrastruktur. Was dabei nicht übermittelt wird: Ihre IP-Adresse (die Anfrage kommt von unserem Server, nicht von Ihrem Gerät), Ihre Kontokennung, ein Sitzungsbezug, Inhalte aus Ihren Dokumenten oder Chat-Verläufen. Wir protokollieren die Anfragen nicht. Suchmaschinen sehen die Suchbegriffe und die IP-Adresse unseres Servers. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Funktion gesperrt (Art. 6 Abs. 1 lit. b DSGVO).

Adressen unterhalb einer genannten Startadresse. Nennen Sie im Themenaufbau eine Startadresse, ermitteln wir über denselben Server die Adressen, die unterhalb dieser Seite liegen. Grundlage sind ausschließlich die von der Zielseite selbst veröffentlichten Verzeichnisse (robots.txt, sitemap.xml; führt sie keines, die Links der Startseite, genau eine Ebene). Seiteninhalt wird dabei nicht gelesen und nicht gespeichert. Eine in der robots.txt gesperrte Adresse erscheint nicht in der Liste; antwortet der Server auf die robots.txt nicht, unterbleibt die Ermittlung. Die gefundene Liste legen wir Ihnen vor dem Abruf zur Auswahl vor — abgerufen wird nur, was Sie angehakt haben, und es gilt ein fester Mengendeckel. Ein rekursiver Abruf findet nicht statt.

Wahl des Suchanbieters und Aufbewahrung dort. Den Suchanbieter wählen Sie in den Einstellungen; ohne Wahl findet keine Websuche statt. Zur Wahl steht die European Search Perspective SAS (Paris, Gemeinschaftsunternehmen von Qwant und Ecosia; Infrastruktur bei OVH, Frankreich). Dieser Anbieter bewahrt nach eigener Auskunft Suchanfrage, Zeitpunkt und Marktkennung 25 Monate auf und verwendet sie zur Verbesserung seines eigenen Suchindex. Insoweit handelt er zu eigenen Zwecken und nicht auf unsere Weisung. Seinen Auftragsverarbeitungsvertrag haben wir am 20. September 2026 angenommen. Dessen Ziffer 2 vertritt die Auffassung, Suchanfragen seien keine personenbezogenen Daten; wir teilen diese Auffassung nicht. Wir haben dem Anbieter deshalb zugleich schriftlich erklärt, dass für uns Anhang 1 desselben Vertrags gilt — dort ist die Suchanfrage als verarbeitete Datenkategorie aufgeführt. Eine Antwort darauf steht aus. Wir weisen darauf hin, damit Sie Ihre Wahl in Kenntnis dieses Umstands treffen können.

Eigener Suchanbieter (optional, standardmäßig aus). Sie können die Websuche stattdessen an einen Anbieter richten, mit dem Sie den Vertrag haben und für den Sie Ihren eigenen API-Schlüssel hinterlegen. Zur Wahl stehen Brave Search (Brave Software, Inc., San Francisco, USA) und Perplexity Search (Perplexity AI, Inc., San Francisco, USA).

Diese Anbieter sind keine Auftragsverarbeiter von uns. Wir haben mit ihnen keinen Vertrag und beabsichtigen keinen; Sie schließen ihn ab und bezahlen ihn. Ihr Opt-in je Anbieter ist die dokumentierte Weisung, auf die hin wir die Suchanfrage dorthin übermitteln (Art. 28 Abs. 3 lit. a DSGVO). Es handelt sich um eine Übermittlung in ein Drittland; die Rechtsgrundlage dafür ergibt sich aus dem Vertrag, den Sie mit dem Anbieter geschlossen haben.

Ihr Schlüssel wird in Ihrem Browser verschlüsselt und liegt auf unserem Kern-Server nur als Datenblock, den dieser nicht lesen kann. Für den einzelnen Aufruf entschlüsselt ihn Ihr Browser; er wird über unseren Suchserver in Nürnberg durchgereicht und nicht gehalten. Übermittelt werden die abgeleitete Suchanfrage und die Adresse unseres Servers — nicht Ihre IP-Adresse, nicht Ihre Kontokennung, kein Sitzungsbezug. Es gelten dieselben Bedingungen wie sonst: sichtbare Anfragen, Freigabe vor dem Absenden, Ersetzung erkannter personenbezogener Angaben.

Das heißt ehrlich gesagt: Ihr Schlüssel ist gegenüber dem Anbieter eine gleichbleibende Kennung. Anders als bei unserem eigenen Anbieter kann er Anfragen, die unter Ihrem Schlüssel eintreffen, einander zuordnen — was er sonst tut und wie lange er speichert, richtet sich nach seinen Bedingungen, nicht nach unseren. Deshalb ist die Funktion aus, bis Sie sie je Anbieter ausdrücklich einschalten. Ein solcher Anbieter ist nie voreingestellt, läuft nie ohne Ihren Schlüssel, und bei einer Störung fällt die Suche nicht stillschweigend auf unseren Anbieter zurück. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Funktion gesperrt — auch mit eigenem Schlüssel.

Seitenwächter (optional, standardmäßig aus). Sie können Seiten benennen, die nach einem Zeitplan auf Änderungen geprüft werden. Anders als bei allen übrigen Abrufen sitzt dabei niemand davor: Der Abruf geschieht unbeaufsichtigt, über dieselbe Abrufstelle in Nürnberg wie die Web-Recherche. Verarbeitet werden die Adresse, der Seiteninhalt im Durchgang, ein verschlüsselter Schnappschuss zum Vergleich und der Fund — der Unterschied zum letzten Stand oder dessen Zusammenfassung durch ein Modell. Wählen Sie die Prüfung nach Bedeutung, entscheidet ein Sprachmodell, ob eine Änderung Ihre Beobachtungsanweisung betrifft: dafür gehen der Unterschied zum letzten Stand und Ihre Anweisung an die Modell-Schnittstelle der AKI.IO GmbH (Berlin, Rechenzentren ausschließlich in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO), dieselbe, die auch die Antworten des Chats erzeugt — ohne die Adresse der Seite und ohne Ihre Identität, nur im Arbeitsspeicher. Funde werden nach 30 Tagen automatisch gelöscht und sind ohne Wahlmöglichkeit zero-knowledge verschlüsselt, weil der zitierte Text einem Dritten gehört. Betroffen sind deshalb nicht nur Sie, sondern auch Betreiber und Autoren der beobachteten Seiten. Diese Abrufe treten unter einem eigenen Erkennungsmerkmal auf (SouveraeneSystemeWatch), damit ein Seitenbetreiber genau sie aussperren kann, ohne die von Hand ausgelösten Abrufe zu verlieren; die robots.txt der Zielseite wird bei jedem Lauf geprüft, und eine Sperre hält den Wächter an. Für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) ist die Funktion gesperrt (Art. 6 Abs. 1 lit. b DSGVO).

Angemeldet bleiben. Wenn Sie beim Login „Angemeldet bleiben” wählen, hinterlegen wir in Ihrem Browser (IndexedDB) Ihre E-Mail-Adresse und Ihren Schlüssel in umschlossener Form. Der Schlüssel ist so hinterlegt, dass er sich nicht aus dem Browser auslesen lässt, und verlässt Ihr Gerät nicht; wir können ihn nicht einsehen. Diese Ablage bleibt an das genutzte Gerät gebunden. Sie entfernen sie, indem Sie sich abmelden; auch eine Anmeldung ohne „Angemeldet bleiben” löscht sie.

Support-Chat und Tickets. Der Support-Chat beantwortet Fragen ausschließlich aus unserem Handbuch. Er sieht weder Ihre Kontodaten noch Ihre Dokumente oder Ihre Wissensbasis, und das Gespräch wird nicht gespeichert — es besteht in der geöffneten Seite und ist beim Verlassen verworfen. Er läuft über dieselbe Verarbeitungsebene wie der Chat und ist deshalb für Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) gesperrt; diese Konten sehen direkt das Ticket-Formular. Ein Ticket erreicht ausschließlich unseren Kern-Server — keine Verarbeitungsebene, kein Modell. Wir verarbeiten Betreff, Beschreibung und den Verlauf der Bearbeitung, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Ein Ticket ist für uns lesbar; geben Sie darin keine Inhalte an, die der Schweigepflicht unterliegen.

Fehler & Wünsche. Über die Seite „Fehler & Wünsche” können Sie uns Fehler und Änderungswünsche melden. Verarbeitet werden Titel und Beschreibung Ihrer Meldung, deren Art (Fehler, Änderung, Wunsch), Ihre Kontokennung und der Zeitpunkt — nicht Ihr Name, nicht Ihre E-Mail-Adresse und keine Inhalte aus den Modulen; Anhänge sind nicht vorgesehen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Meldung wird auf unserem Kern-Server geführt und für die Bearbeitung an einen Entwicklungs-Tracker übergeben, der auf eigener Hardware des Verantwortlichen in dessen Wohnung läuft und nur über ein privates Netz erreichbar ist; es handelt sich deshalb nicht um einen Auftragsverarbeiter. Zurück gelangt der Bearbeitungsstand und, sofern wir einen Kommentar ausdrücklich für Sie freigeben, dessen Text. Konten mit gesetzlicher Schweigepflicht (§ 203 StGB) dürfen melden — aus demselben Grund. Bitte geben Sie in einer Meldung keine Mandanten- oder Kundendaten an. Eine Löschung Ihres Kontos entfernt die Meldung bei uns; der Eintrag im Tracker bleibt bestehen und trägt danach eine Kennung ohne Personenbezug.

Protokolle. Zum Betrieb und zur Missbrauchsabwehr führen wir ein Ereignisprotokoll ausschließlich mit Metadaten (Zeitpunkt, Ereignistyp, Kontobezug) und verarbeiten die IP-Adresse zur Begrenzung von Anmeldeversuchen (Art. 6 Abs. 1 lit. f DSGVO). Inhalte Ihrer Unterhaltungen werden nicht protokolliert. Einträge im Ereignisprotokoll löschen wir nach zwölf Monaten.

Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Sie können sich zudem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).