Transparenz ist die Grundlage von Vertrauen
Plattform und Datenspeicherung liegen auf C5-zertifizierten Telekom-Servern in Deutschland; im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung.
- Open-Source- & EU-Modelle
- Deutsche Telekom-Server
- DSGVO-konform
Wie wir mit Daten grundsätzlich umgehen
KanzleiAI ist auf den Einsatz in Organisationen mit erhöhten Anforderungen an Datenschutz und Vertraulichkeit ausgerichtet.
Zweckbindung
Daten werden ausschließlich für die mit der Kanzlei vereinbarten Zwecke verarbeitet – nicht darüber hinaus.
Datensparsamkeit
Es wird nur verarbeitet, was für die jeweilige Aufgabe tatsächlich erforderlich ist.
Trainingsnutzung im Blick
Je nach Aufgabe kommen Open-Source-Modelle auf Telekom-Servern oder externe Modelle in EU-Rechenzentren zum Einsatz. Mit den Modellanbietern ist Zero-Data-Retention vereinbart; Daten werden nicht zum Training genutzt. Im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung.
Wie eine Anfrage technisch verarbeitet wird
Vereinfacht dargestellt durchläuft eine Anfrage in der von uns eingesetzten KI-Lösung die folgenden Schritte.
Verschlüsselte Übertragung
Ihre Eingabe verlässt Ihr Gerät ausschließlich verschlüsselt (TLS) und wird an die von uns eingesetzte Plattform übermittelt.
Speicherung in Deutschland
Nutzerverwaltung, Dokumentenablage und Verlauf laufen auf Servern der Deutschen Telekom in deutschen Rechenzentren.
Verarbeitung durch KI-Modelle
Die Sprachverarbeitung erfolgt je nach Modell auf C5-testierten Servern der Deutschen Telekom oder bei Modellanbietern in EU-Rechenzentren.
Keine Trainingsnutzung
Eingaben werden nicht zum Training verwendet und auch nicht vom KI-Modell gespeichert (Zero-Data-Retention). Nachweise stellen wir auf Anfrage zur Verfügung.
Konkrete Umsetzung statt allgemeiner Aussagen
Die KI-Lösungen werden gemeinsam mit Partnern ausgewählt und unter der Marke KanzleiAI bereitgestellt; die KanzleiAI MCP API entwickelt iDATEC selbst. Die folgenden Punkte beschreiben, wie wir in unserer eigenen Beratungs- und Integrationsarbeit mit Unterlagen umgehen – und wobei wir Sie bei der Prüfung der von Ihnen gewählten KI-Lösung unterstützen.
Umgang mit Projektunterlagen
- Vertrauliche Behandlung von Unterlagen, die wir im Rahmen der Beratung einsehen
- Verschlüsselte Übertragung bei digitalem Austausch mit Ihrer Kanzlei
- Zugriff nur durch das jeweils zuständige Projektteam
Zugriff innerhalb unserer Projektarbeit
- Rollenbasierter Zugriff innerhalb unseres Beraterteams
- Zwei-Faktor-Authentifizierung für eigene Systeme und Zugänge
- Regelmäßige Überprüfung interner Berechtigungen
Nachvollziehbarkeit unserer Arbeit
- Projektschritte und Freigaben werden dokumentiert
- Nachvollziehbar, wer im Projekt welche Änderungen vorgenommen hat
- Keine anonyme Bearbeitung sensibler Unterlagen
Vorfallmanagement
- Definierter Prozess bei Sicherheitsvorfällen im Rahmen unserer Projekte
- Festgelegte Meldewege gegenüber der Kanzlei
- Regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen
Worauf wir bei der ausgewählten KI-Lösung achten
Zugriffskontrollen und Protokollierung innerhalb der eigentlichen KI-Verarbeitung hängen von der jeweils eingesetzten Lösung ab und liegen nicht in unserer Kontrolle als Beratungs- und Integrationsdienstleister. Zu Rechenzentrumsstandort, Zertifizierungen und Verschlüsselung der von uns eingesetzten Lösung finden Sie konkrete Angaben im Abschnitt „Infrastruktur & Zertifizierungen". Wir unterstützen Sie dabei, weitere Punkte anhand der Vertrags- und TOM-Unterlagen zu prüfen und in Ihre eigene Dokumentation zu übernehmen.
Prozesse, die den Rahmen absichern
Rollen & Rechte
Zugriffsrechte werden zentral von der Kanzleileitung vergeben und regelmäßig überprüft.
Schulung
Nutzende erhalten von uns eine Orientierung zu Möglichkeiten und Grenzen der eingesetzten Lösung vor dem produktiven Einsatz.
Vorfallmanagement
Klare interne Zuständigkeiten und Meldewege für den Fall eines Sicherheitsvorfalls.
Gehostet in Deutschland, geprüft nach anerkannten Standards
Die von uns eingesetzte KI-Lösung läuft auf Infrastruktur der Deutschen Telekom. Die zugehörigen Nachweise stellen wir Ihnen und Ihrer Datenschutzbeauftragten auf Anfrage zur Verfügung.
Rechenzentrumsstandort
Plattform, Verlauf und Dateien werden auf Servern der Deutschen Telekom in deutschen Rechenzentren gespeichert – innerhalb der EU und im Geltungsbereich der DSGVO. Das gilt auch für DATEV-Daten. Die KI-Verarbeitung erfolgt je nach Modell auf Telekom-Servern oder bei Modellanbietern in EU-Rechenzentren.
Zertifizierte Infrastruktur
Die genutzte Cloud-Infrastruktur ist nach ISO/IEC 27001 (Informationssicherheit) und ISO 9001 (Qualitätsmanagement) zertifiziert sowie nach dem BSI-Kriterienkatalog C5 testiert.
Verschlüsselung
Daten werden bei der Übertragung per TLS und im Ruhezustand durch AES-Verschlüsselung geschützt.
Open-Source- und EU-Modelle
Es kommen quelloffene Modelle auf der C5-testierten Telekom-Infrastruktur sowie externe Modelle über Unternehmenszugänge in EU-Rechenzentren zum Einsatz. Mit den Modellanbietern ist Zero-Data-Retention vereinbart. Im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung.
Zugriffs- & Protokollierungskonzept
Die BSI-C5-Testierung der Infrastruktur deckt u. a. Identitäts- und Zugriffsmanagement, Kryptografie sowie Protokollierung und Überwachung ab.
Notfall- & Schwachstellenmanagement
Ebenso umfasst die Testierung Anforderungen an Sicherheitsvorfallmanagement, Business-Continuity- und Notfallplanung sowie ein systematisches Schwachstellenmanagement.
Was diese Angaben abdecken –
und was nicht
Diese Angaben betreffen die Infrastruktur der von uns eingesetzten KI-Lösung. Weder iDATEC noch unser Plattformpartner betreiben eigene Rechenzentren: Die Plattform läuft auf Servern der Deutschen Telekom in Deutschland. Speicherfristen, Subunternehmer im Detail und weitere Einzelheiten ergeben sich aus den Vertrags- und TOM-Unterlagen des Anbieters, bei deren Prüfung wir Sie unterstützen.
Auftragsverarbeitung & Prüfunterlagen
Soweit iDATEC im Rahmen der Beratungs- und Integrationsleistung selbst Zugriff auf personenbezogene Daten erhält – etwa bei der Sichtung von Testunterlagen während der Einrichtung –, schließen wir mit Ihrer Kanzlei eine Vereinbarung zur Auftragsverarbeitung (AVV) für diesen Teil der Zusammenarbeit. Für die eigentliche KI-gestützte Verarbeitung Ihrer Mandatsdaten ist zusätzlich eine AVV mit dem Anbieter der von Ihnen gewählten KI-Lösung erforderlich. Wir unterstützen Sie dabei, die dafür notwendigen Unterlagen zu sichten, einzuordnen und Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten zur Prüfung vorzulegen.
Eine aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter (u. a. für Hosting und Modellverarbeitung) stellen wir Ihnen auf Anfrage zur Verfügung. Für Unterauftragsverarbeiter, die ihrerseits der Verschwiegenheitspflicht nach § 203 StGB unterliegen können, lassen wir uns entsprechende Verpflichtungserklärungen vorlegen; für unsere eigene Vertragskette liegen diese Erklärungen vor. Nachweise stellen wir Ihnen auf Anfrage zur Verfügung.
Unterlagen anfragenWas wir nicht versprechen
Die KI-Plattform und die Modelle werden von Partnern bereitgestellt. iDATEC übernimmt keine Garantie für die technischen Eigenschaften einer von Ihnen gewählten KI-Lösung. KanzleiAI ersetzt keine eigene Datenschutz-Folgenabschätzung Ihrer Kanzlei und keine individuelle Rechtsberatung. Wir führen keine Zertifizierungen an, die nicht tatsächlich vorliegen, und formulieren Aussagen zu Sicherheit und Datenschutz bewusst zurückhaltend. Vorliegende Nachweise stellen wir auf Anfrage zur Verfügung.
Antworten zu Datenschutz & Sicherheit
Die Plattform – Nutzerverwaltung, Dokumentenablage, Verlauf – liegt auf C5-testierter Infrastruktur der Deutschen Telekom in deutschen Rechenzentren, innerhalb der EU und im Geltungsbereich der DSGVO. Die KI-Verarbeitung erfolgt je nach Modell auf Telekom-Servern oder bei Modellanbietern in EU-Rechenzentren; im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung. Details zu Speicherfristen erhalten Kanzleien aus den Vertragsunterlagen.
Nein. Mit den Modellanbietern ist Zero-Data-Retention vereinbart; Eingaben werden nicht zum Training genutzt. Im Berufsgeheimnisträgermodus stehen nur ausgewählte Modelle zur Verfügung. Entsprechende Nachweise stellen wir auf Anfrage zur Verfügung.
Für Hosting und den Betrieb der KI-Modelle wird die Deutsche Telekom als Infrastrukturanbieter eingesetzt. Eine aktuelle Übersicht stellen wir Ihnen auf Anfrage zur Verfügung. Verpflichtungserklärungen nach § 203 StGB liegen für unsere eigene Vertragskette vor; entsprechende Nachweise stellen wir auf Anfrage zur Verfügung.
Speicherfristen richten sich nach dem vereinbarten Zweck und werden vertraglich mit Ihrer Kanzlei geregelt.
Die von uns eingesetzte Cloud-Infrastruktur ist nach ISO/IEC 27001 und ISO 9001 zertifiziert sowie nach dem BSI-Kriterienkatalog C5 testiert. Die entsprechenden Nachweise stellen wir auf Anfrage zur Verfügung.
Über einen definierten internen Prozess mit festgelegten Meldewegen gegenüber betroffenen Kanzleien.
Für Fragen zu Datenschutz und Sicherheit erreichen Sie uns unter KanzleiAI@iDATEC.de.
Was für die ganze Plattform gilt
Vier Zusagen, die Sie vor dem Start prüfen können.
BSI C5, ISO 27001 und ISO 9001
Gehostet auf der BSI-C5-zertifizierten Open Telekom Cloud in Deutschland, geprüft nach ISO 27001 und ISO 9001 vom TÜV SÜD.
Zero-Data-Retention (ZDR)
Vertraglich mit allen Modellanbietern vereinbart: Nach der Verarbeitung bleibt dort nichts, und trainiert wird mit Ihren Daten nicht.
Außerhalb der US-Jurisdiktion
Betrieben von einem deutschen Unternehmen ohne US-Muttergesellschaft, Datenhaltung in Deutschland, Modellverarbeitung bei vertraglich gebundenen Anbietern in der EU.
AVV und TOMs vorbereitet
Auftragsverarbeitungsvertrag und technisch-organisatorische Maßnahmen liegen dokumentiert vor.