Ihre Daten, souverän durch Design.
KS-Agents verarbeitet HR-Daten, die per Definition sensibel sind: Persönlichkeitswerte, Exit-Interviews, Peer-Feedback, Kompetenzlücken. Wir behandeln sie als solche. Auf dieser Seite werden alle architektonischen Entscheidungen, alle rechtlichen Rahmenbedingungen, die wir einhalten, und die Grenzen, die wir noch nicht einhalten, dokumentiert – so können Sie vor der Unterzeichnung die Eignung beurteilen.
Sechs Verpflichtungen, denen wir uns nicht beugen.
Das sind keine Marketingslogans. Jedes der unten aufgeführten Prinzipien entspricht einer bestimmten architektonischen oder vertraglichen Entscheidung. Wo wir noch kein Prinzip erfüllen können, finden Sie es im Abschnitt „Ehrlichkeitsgrenzen“ am Ende.
Datensouveränität zuerst
Ihre proprietären Inhalte – Interviewprotokolle, Umfrageantworten, Wissensbestände – sind logisch pro App und Mandant isoliert. Wir bündeln Kundendaten nicht in gemeinsamen Korpora.
Kein Training mit privaten Daten
Wir trainieren unsere öffentlichen Modelle nicht mit Ihrem privaten Workspace. Die LLM-Anbieter (OpenAI, Google Gemini, OpenRouter) arbeiten unter den No-Training-Richtlinien ihrer Enterprise-Pläne.
Verschlüsselung im Ruhezustand und während der Übertragung
AES-256 im Ruhezustand für alle sensiblen Speicher. TLS 1.2+ bei der Übertragung. Object-Storage-Anmeldedaten werden rotiert; Secrets werden niemals ins Versionskontrollsystem committet.
Recht auf Löschung & Export
DSGVO Artikel 15 (Zugriff), 17 (Löschung), 20 (Portabilität), unterstützt über Self-Service in der App sowie einen dokumentierten Eskalationspfad durch unseren Datenschutzbeauftragten.
Überprüfbare Unterauftragsverarbeiter
Eine öffentliche, versionierte Liste aller von uns verwendeten Unterauftragsverarbeiter, wo sie Daten speichern und was sie tun. Benachrichtigungen, wenn sich die Liste ändert.
Nur EU-Verarbeitung auf Anfrage
Für europäische Kunden, die einen vollständigen Wohnsitz in der EU benötigen, leiten wir KI-Workloads durch EU-Regionen. Pro App konfiguriert.
Wo wir stehen. Wohin wir gehen.
Wir unterteilen Zertifizierungen in drei Status: live (heute in Produktion, intern geprüft), verfügbar (Papierkram auf Anfrage – DPA, SCC usw.) und Roadmap (verbindlich, mit Zieldatum).
| Rahmenwerk | Status | Notizen |
|---|---|---|
| GDPR (EU 2016/679) | Live | Vollständige Zuordnung der Rechtsgrundlagen pro Verarbeitungsaktivität. Datenschutzbeauftragter ernannt. Betreffrechte-Endpunkte im Produkt. Aufzeichnungen über die Verarbeitung werden geführt. |
| EU AI Act | Live | Unsere HR-Anwendungsfälle sind gemäß Anhang III als hochriskant eingestuft. Risikomanagementsystem, menschliche Aufsichtskontrollen, Datenverwaltung, technische Dokumentation gemäß Titel III, Kapitel 2. |
| AES-256 at rest | Live | Datenbankverschlüsselung im Ruhezustand. Objektspeicher (Cloudflare R2) verschlüsselt ruhende Daten mit vom Anbieter verwalteten Schlüsseln. Anwendungsgeheimnisse werden während der Übertragung verschlüsselt und in einem Geheimnisse-Manager gespeichert. |
| DPA (Datenverarbeitungsvereinbarung) | Verfügbar | Standard-DPA vor Vertragsabschluss verfügbar. SCCs (Standardvertragsklauseln)sind für alle von Ihnen ausdrücklich genehmigten Nicht-EU-Übertragungen enthalten. |
| EU-Datenresidenz | Verfügbar | Hetzner Falkenstein (Deutschland) für Primärinfrastruktur. Nur EU-LLM-Routing auf Anfrage. Vollständige Architektur → |
| ISO 27001 | Roadmap | Das Informationssicherheits-Managementsystem (ISMS) wird formalisiert. Zielzertifizierung: 2027. Lückenbewertung in Bearbeitung. Bis dahin folgen die Kontrollen intern dem ISO 27001-Rahmenwerk ohne Prüfung durch Dritte. |
| SOC 2 Type II | Roadmap | Nach der ISO 27001 vorgesehen: US-Kunden können in der Zwischenzeit einen Sicherheitsfragebogen (Cyber Essentials Plus / HECVAT) anfordern. |
Fünf Schichten, eine Grenze.
Eine vereinfachte Karte, wo Ihre Daten gespeichert sind und was sie schützt. Vollständige Architekturdiagramme werden auf Anfrage im Rahmen der NDA zur Verfügung gestellt.
openai_eu, azure_sweden, google_vertex (europe-west4). Keine Kundendaten werden von Anbietern unter Unternehmensbedingungen gespeichert.Wer greift sonst noch auf Ihre Daten zu – und wo?
Nachfolgend eine Untergruppe unserer aktiven Unterauftragsverarbeiter; Die vollständige Versionsliste wird auf der entsprechenden Seite verwaltet. Über Ergänzungen informieren wir den Kunden vorab mit Widerspruchsrecht.
Hetzner
Cloudflare R2
OpenAI
Google Vertex AI
Azure OpenAI
Stripe
→ Sehen Sie sich die vollständige Versionsliste der Unterprozessoren an
Die ehrliche Liste der Grenzen und Zeitpläne.
Auf der Vertrauensseite jedes Anbieters ist aufgeführt, was er hat. Wir listen auch auf, was wir nicht haben – mit einem Ziel, wo wir daran arbeiten. So sollten Beschaffungsteams Lieferanten ohnehin bewerten.
Lesen Sie den Gesetzestext. Überspringen Sie die juristische Sprache.
Jedes Dokument ist oben in einfachem Englisch gehalten, die vollständige Rechtsversion befindet sich unten. Senden Sie Ihr Sicherheits- oder Beschaffungsteam direkt hierher.
Geben Sie diese Seite an Ihr Sicherheitsteam weiter. Dann vereinbaren Sie einen Anruf.
Wenn Ihr CISO oder Ihr Beschaffungsteam Fragen hat, die unsere öffentliche Dokumentation nicht beantworten kann – Ergebnisse von Pentests, ISMS-Kontrollen, benutzerdefinierte DPA-Ergänzungen – gehen wir diese in einem 30-minütigen Gespräch unter NDA durch.
