Diese Website arbeitet mit AI: Sie beantwortet Fragen, schreibt Abschnitte weiter und sammelt für das Kontaktformular, was Sie sich angesehen haben. Das funktioniert nur, wenn klar ist, wo dabei welche Daten landen. Hier steht es ohne Juristendeutsch.
Kurz gesagt
- Hosting in Frankfurt: Website, Serverfunktionen und Speicher liegen bei Amazon Web Services in Frankfurt am Main.
- Durchgehend verschlüsselt: nur HTTPS ab TLS 1.2, alle Speicher verschlüsselt und nicht öffentlich erreichbar.
- Keine Cookies, kein Tracking durch Dritte: kein Cookie-Banner, keine Analysewerkzeuge von Drittanbietern, keine Wiedererkennung beim nächsten Besuch. Wir zählen nur anonym, welche Themen gefragt werden.
- AI-Modelle nur in EU-Rechenzentren: Jede Anfrage an ein Sprachmodell wird in einem Rechenzentrum in der EU verarbeitet. Die Anbindung läuft über das Gateway unseres Partners Requesty in Frankfurt; Vertragspartner ist die Requesty Ltd mit Sitz in England, für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU.
- Beim Modellanbieter bleibt nichts: Zero Data Retention - Ihre Eingaben werden dort nicht gespeichert, nicht zum Training verwendet und nicht veröffentlicht oder weitergegeben.
- Ihr Besuch bleibt in Ihrem Browser-Tab: Was die Website sich für Sie merkt, liegt im Sitzungsspeicher Ihres Browsers und ist weg, wenn Sie den Tab schließen. Ausnahmen: drei Einstellungen, die Sie selbst ändern („sofort anzeigen“, „Keine Tipps mehr“, „Mitdenken“) - sie bleiben in Ihrem Browser, bis Sie sie zurückstellen. Fragen an den KI-Assistenten speichern wir 30 Tage lang, um erkennbare Kontaktdaten bereinigt, dazu technische Protokolle ohne Inhalte (siehe unten).
Wo die Website liegt
Die Seiten selbst sind fertig gebaute Dateien. Sie liegen bei Amazon Web Services in Frankfurt und werden über das Content Delivery Network Amazon CloudFront ausgeliefert, damit sie schnell laden. CloudFront nutzt dafür bei uns nur Standorte in Europa, Nordamerika und Israel; Besucher aus Europa werden in der Regel über europäische Standorte bedient. Zugriffsprotokolle werten wir nicht aus.
Alles, was rechnet - der AI-Assistent, das Weiterschreiben, das Kontaktformular - läuft als Serverfunktion ebenfalls in Frankfurt. Auch die Schriften laden wir von unserem eigenen Server, es gibt keine Verbindung zu Google oder anderen Schriftanbietern.
Welche AI-Modelle wir nutzen
Wir nutzen ausschließlich Sprachmodelle in Rechenzentren in der EU. Unser Vertragspartner dafür ist für diese Website allein Requesty; die Modellanbieter dahinter bindet Requesty in eigener Verantwortung an:
- Für Antworten und Texte: Sprachmodelle in Rechenzentren in der EU.
- Für Auswahl und Einordnung, etwa welche Inhalte als Nächstes passen, und für die Prüfung jeder Antwort des Assistenten vor der Anzeige: ein Entscheidungsmodell, ebenfalls in der EU. Es schreibt keinen Text, sondern gibt nur Wahrscheinlichkeiten zurück. Ist es nicht erreichbar, erscheint die Antwort ungeprüft und wird so vermerkt.
- Die Anbindung läuft über unseren Partner Requesty (Requesty Ltd, Sitz in England - für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU) und dessen EU-Gateway in Frankfurt. In unserer Organisation ist dort als Standard fest eingestellt: nur dieses EU-Gateway, Zero Data Retention, Zugangsschlüssel ohne Protokollierung und nur Modelle, die alle Bedingungen unten erfüllen - andere kann die Website gar nicht aufrufen. Requesty selbst speichert dabei keine Inhalte: Protokollierung ist aus, Zero Data Retention gilt auch dort. Das ist bewusst so gewählt: ein zentrales Gateway, an dem unsere Regeln für die ganze Organisation technisch durchgesetzt werden - EU-Gateway, Zero Data Retention, Freigabeliste -, statt vieler einzelner Verträge mit unterschiedlichen Bedingungen. Über Requesty nutzen wir unter anderem Microsoft Azure und Amazon Bedrock, aber auch europäische Anbieter wie Mistral AI. Die vollständige Liste nennen wir Ihnen gern auf Anfrage.
Für alle Modelle gilt: Zero Data Retention - der Anbieter speichert Ihre Eingaben und die Antworten nicht über die Verarbeitung hinaus. Kein Training - Ihre Eingaben werden nicht verwendet, um Modelle zu verbessern. Keine Weitergabe - Eingaben werden weder veröffentlicht noch an Dritte gegeben.
An die Modelle geht außerdem nur, was für die eine Antwort nötig ist: der Titel der Seite, Ihr Weg dorthin und was Sie bestätigt haben - bzw. im Assistenten Ihre Frage.
Was wir selbst speichern
Zero Data Retention gilt beim Modellanbieter. Wir selbst speichern wenig, und nur so lange wie nötig:
| Was | Wo | Wie lange |
|---|---|---|
| Gesprächsverläufe des Assistenten, um erkennbare Kontaktdaten bereinigt - E-Mail-Adressen und Telefonnummern werden vorher automatisch herausgefiltert, Namen im Freitext können stehen bleiben; keine Verknüpfung mit der IP-Adresse. Dazu das Ergebnis der Prüfung vor der Anzeige | Frankfurt, verschlüsselt | 30 Tage, zur Qualitätssicherung |
| Technische Protokolle ohne Gesprächs- oder Formularinhalte: Fehlercode, Vorgangsnummer, Dauer. Bei Störungen alarmiert das System unser Betriebsteam | Frankfurt | 30 Tage |
| Zähler für die Limits der AI-Funktionen: gehashte Sitzungsnummer bzw. gehashte IP-Adresse, Minute, Anzahl (mehr dazu) | Frankfurt | 2 Minuten |
| Anonyme Zählung von Themen und Wegmustern, ohne Wortlaut | Frankfurt | als Statistik |
| Ihre Anfrage über das Kontaktformular | als E-Mail an unser Team, versendet aus Frankfurt | bis zur Bearbeitung, danach nach unseren Löschregeln |
| Magazin-Ausgaben unserer eigenen Artikel und Referenzen | Frankfurt | bis zur nächsten Änderung - enthält nur öffentliche Inhalte |
Verschlüsselt unterwegs
Jede Verbindung ist verschlüsselt - vom Browser bis zum Sprachmodell:
- Nur HTTPS: Aufrufe über unverschlüsseltes HTTP werden auf HTTPS umgeleitet. Zugelassen sind nur aktuelle Verfahren ab TLS 1.2.
- HSTS: Ihr Browser merkt sich für ein Jahr, diese Website und ihre Subdomains nur verschlüsselt aufzurufen - auch wenn jemand einen HTTP-Link verschickt.
- Auch intern verschlüsselt: Zwischen Auslieferungsnetz und Serverfunktionen, zu den Speichern und zu den Sprachmodellen läuft ebenfalls alles über TLS. Unverschlüsselte Zugriffe auf die Speicher lehnen diese grundsätzlich ab.
- Schutz im Browser: Sicherheits-Header verhindern, dass die Website in fremde Seiten eingebettet wird, und geben beim Verlassen nur die Domain weiter, nicht die ganze Adresse.
Verschlüsselt und abgeschottet gespeichert
- Verschlüsselt im Ruhezustand: Alle Speicher bei AWS sind verschlüsselt - die Gesprächsverläufe und Magazin-Ausgaben mit Schlüsseln aus dem AWS Key Management Service, die Statistik-Tabellen und die Website-Dateien mit AWS-eigener Verschlüsselung.
- Nicht öffentlich erreichbar: Kein Speicher ist öffentlich. Die Website-Dateien liest nur das Auslieferungsnetz über signierte Anfragen; die Serverfunktionen nehmen nur Anfragen an, die nachweislich über dieses Netz kommen.
- Minimale Rechte: Jede Serverfunktion darf nur genau das lesen und schreiben, was sie braucht. Zugangsdaten, etwa für die Sprachmodelle, liegen verschlüsselt im AWS Parameter Store und stehen nicht im Code.
- Automatisch gelöscht: Gesprächsverläufe und Protokolle löscht AWS nach 30 Tagen von selbst - ohne dass jemand daran denken muss.
Was in Ihrem Browser bleibt
Damit die Website mitdenken kann, merkt sie sich ab Ihrer ersten Interaktion im Sitzungsspeicher Ihres Browsers, welche Seiten Sie lesen, was Sie fragen und was Sie antworten. Das gilt nur für diesen Tab, ist unter Ihr Fokus vollständig zu sehen, mit „Alles vergessen“ jederzeit gelöscht und verschwindet beim Schließen des Tabs - bis auf die drei Einstellungen oben, die Sie selbst ändern. Mit „Mitdenken“ aus merkt sie sich Ihren Weg gar nicht erst. Auch die Bausteine im Kontaktformular stammen von dort: Sie können jeden herausnehmen, und zu uns kommt die Zusammenstellung nur, wenn Sie absenden.
Ehrlich zum CLOUD Act
Die Website läuft bei Amazon Web Services, einem US-Unternehmen, und auch Modellanbieter hinter Requesty können US-Unternehmen sein. Auch wenn alle Rechenzentren in der EU stehen, können US-Behörden nach dem CLOUD Act grundsätzlich Daten von US-Anbietern anfordern. Das schreiben wir offen hin: Es ist heute der Stand, mit dem fast alle europäischen Unternehmen arbeiten, die Cloud und AI nutzen. Wir arbeiten daran, mehr unserer Infrastruktur auf Anbieter zu verlagern, die ausschließlich in der EU sitzen. In Projekten lassen sich über Requesty schon heute auch Modelle europäischer Anbieter einsetzen. Bis dahin halten wir die Menge der Daten, die überhaupt dort ankommt, so klein wie möglich - siehe oben.
Und in Ihrem Projekt?
Diese Seite beschreibt unsere Website. In Kundenprojekten richten wir uns nach Ihnen:
- Ihre Umgebung oder unsere: Je nach Projekt arbeiten wir in Ihrer Infrastruktur - Ihre Cloud, Ihre Modelle, auch on-premises bis hin zu Umgebungen ohne Internetanbindung (Air-Gap) - oder in unserer eigenen Umgebung. Lokale Modelle liegen einige Monate hinter der Cloud, reichen für viele gut abgegrenzte Aufgaben aber schon aus (der Abstand in Zahlen). Bei Geheimschutz-Anforderungen arbeiten sicherheitsüberprüfte Mitarbeitende im Projekt. Bei eingestuften oder exportkontrollierten Daten gilt ausschließlich Ihre Umgebung. Haben Sie bereits einen eigenen Cloud-Tenant, etwa bei Microsoft Azure, nutzen wir gern diesen.
- Modelle und Werkzeuge: Welche Modelle und Werkzeuge zum Einsatz kommen und wo sie laufen, legen wir Projekt für Projekt mit Ihnen fest. Die Regeln oben gelten für diese Website - für Ihr Projekt empfehlen wir dieselben und setzen sie als Standard an, solange Sie nichts anderes wünschen.
- Informationssicherheit: SII Germany hält das TISAX-Label auf dem höchsten Level AL3, inklusive Prototypenschutz und der dafür nötigen gesicherten Räumlichkeiten.
- Verträge: Standardmäßig schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab, auf Wunsch zusätzlich eine Geheimhaltungsvereinbarung. Welche Unterauftragsverarbeiter beteiligt sind, hängt vom Projekt ab und stimmen wir mit Ihnen ab; fest gesetzt ist nur Microsoft 365 für unsere eigene Zusammenarbeit, außer bei eingestuften Daten.
- Teams außerhalb der EU: setzen wir nur nach Ihrer Zustimmung ein, auf Grundlage der EU-Standardvertragsklauseln.
- Sicherheitsvorfälle: Vorfälle, die Ihre Daten betreffen, melden wir innerhalb von 24 Stunden an Ihre benannte Stelle.
- Optionen, die wir kennen und nutzen: siehe Übersicht unten - Optionen, keine Vorgaben.
| Werkzeug | Wofür | Ihre Daten | Vertrag mit |
|---|---|---|---|
| Sprachmodelle über Requesty | Entwicklung und Lösungen | EU-Rechenzentren, Zero Data Retention, nur Modelle unserer Freigabeliste | Requesty - unsere Empfehlung |
| GitHub Copilot | Entwicklung in Projekten | Business-Lizenz, kein Training mit Ihrem Code | GitHub (Microsoft) |
| Microsoft Copilot | Zusammenarbeit im Team | im Microsoft-365-Mandanten des Unternehmens, kein Training mit Ihren Daten | Microsoft |
Requesty bündelt zahlreiche Modellanbieter mit Rechenzentren in der EU, darunter auch europäische Anbieter; Vertragspartner ist dabei Requesty, nicht die einzelnen Modellanbieter. GitHub Copilot setzen wir wegen seiner großen Verbreitung und Akzeptanz ein, auch durch Microsoft im Rücken. Wir empfehlen trotzdem Requesty, weil dort die Datensouveränität in der EU noch weiter reicht. Mit Microsoft, OpenAI und Anthropic arbeiten wir als Technologiepartner zusammen.
Was davon für Ihr Vorhaben gilt, klären wir im Erstgespräch.
Was wir bewusst nicht tun
- keine Cookies und kein Cookie-Banner
- keine Analyse-, Tracking- oder Marketingwerkzeuge von Drittanbietern - nur eine eigene, anonyme Zählung ohne Kennung
- keine Kennung, kein Konto, keine Wiedererkennung beim nächsten Besuch
- kein Profil über Sie, das über den aktuellen Tab hinausgeht
Wie die Website mit diesen Daten mitdenkt, beschreiben wir in Wie diese Website mitdenkt. Die rechtlichen Details stehen in der Datenschutzerklärung.
Sicherheitslücke gefunden?
Wenn Sie eine Schwachstelle auf dieser Website entdecken, schreiben Sie bitte an informationssicherheit@sii-germany.com. Wir bestätigen den Eingang, prüfen den Hinweis und melden uns mit dem Ergebnis. Die Adresse steht auch maschinenlesbar in der Datei security.txt.
