Eure Daten bleiben eure.

1. Einleitung

Die Sicherheit eurer Unternehmensdaten und die Einhaltung aller datenschutzrechtlichen Anforderungen haben für uns höchste Priorität. Diese Übersicht beschreibt, wie MittelstandGPT eure Daten verarbeitet und welche technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu ihrem Schutz eingesetzt werden. Die Maßnahmen orientieren sich am Stand der Technik nach den Empfehlungen des BSI und werden laufend an neue Entwicklungen und Bedrohungslagen angepasst. Weil Projektunterlagen häufig vertrauliche Planungs- und Angebotsdaten enthalten, legen wir für Vertraulichkeit und Integrität einen hohen Schutzbedarf zugrunde.

2. Infrastruktur und Hosting

Die Anwendung, die Datenbank, die Anmeldung, der Dokumentenspeicher und der Suchindex laufen auf eigener Infrastruktur bei einem deutschen Hosting-Anbieter in zertifizierten Rechenzentren in Deutschland. Auch die Aufbereitung eurer Dokumente erfolgt auf selbst betriebenen Systemen innerhalb der EU. Für diese Kerndaten besteht kein Bezug zu Drittländern.

Wir betreiben keine eigenen Serverräume; Zutrittsschutz, Bewachung, Brand- und Einbruchschutz stellen die Rechenzentrumsbetreiber sicher. In unseren Büroräumen werden keine Kundendaten verarbeitet, und auf den Arbeitsrechnern unserer Mitarbeitenden liegen keine Kopien produktiver Kundendaten.

3. KI-Sprachmodelle

MittelstandGPT nutzt führende Sprachmodelle ausschließlich über die Unternehmensschnittstellen großer Cloud-Anbieter in Rechenzentren innerhalb der EU. Fällt ein Anbieter aus, wechselt die Plattform automatisch auf ein zweites Modell. Für alle Anbieter gilt:

• Eure Daten werden nicht zum Training oder Nachtraining von KI-Modellen verwendet. Das ist in den Vertragsbedingungen der Anbieter, in unseren Auftragsverarbeitungsverträgen mit ihnen und in unserem Vertrag mit euch festgeschrieben.
• In eine Anfrage fließen ausschließlich Daten eures eigenen Mandanten ein.
• Ausgaben der Modelle werden geprüft, bevor sie weiterverarbeitet werden; Code aus KI-Antworten wird nie automatisch ausgeführt.

4. Weitere Dienste

Für einzelne Funktionen setzt MittelstandGPT spezialisierte Dienste ein, jeweils mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO:

• Besprechungstranskription: Nur wenn ihr die Funktion aktiviert, werden Audioaufnahmen über die europäische Schnittstelle eines Transkriptionsdienstes verarbeitet. Das Transkript wird in eurem Mandanten gespeichert.
• Websuche: Bei einer ausdrücklichen Internetrecherche wird ausschließlich der Suchbegriff an einen Drittanbieter übermittelt. Ergebnisse werden nicht dauerhaft gespeichert.
• E-Mail- und Kalenderanbindung: Die optionale Anbindung an bestehende Office-Systeme erfolgt über sichere Authentifizierungsverfahren. Zugriffstoken werden vor der Speicherung zusätzlich verschlüsselt.
• Monitoring und Produktanalyse: Betrieb in einer europäischen Cloud, ohne Inhaltsdaten, mit anonymisierten IP-Adressen und ohne Aufzeichnung von Bildschirmsitzungen.
• Systemnachrichten: Für Einladungen und das Zurücksetzen von Passwörtern wird ein spezialisierter Versanddienst eingesetzt. Übermittelt werden nur Name, geschäftliche E-Mail-Adresse und der Zugangslink.
• Abrechnung: Zahlungen laufen über einen zertifizierten Zahlungsdienstleister, vollständig getrennt von euren Projektdaten.

5. Mandantentrennung und Zugriffskontrolle

MittelstandGPT arbeitet mit einer strikten Mandantenarchitektur. Jeder Kunde bildet einen eigenen Mandanten, jeder Datensatz ist genau einem Mandanten zugeordnet, und jede Abfrage wird auf den eigenen Mandanten beschränkt. Automatisierte Prüfungen stellen das bei jeder Auslieferung neuer Versionen sicher. Auch der Dokumentenspeicher ist je Mandant getrennt.

Berechtigungen werden rollenbasiert und nach dem Prinzip der minimalen Rechte vergeben. Die Anmeldung erfolgt über individuelle Konten oder Single Sign-On; Passwörter werden geprüft, nie im Klartext gespeichert und gegen bekannte kompromittierte Passwörter abgeglichen. Eine Multi-Faktor-Authentifizierung kann pro Mandant verpflichtend aktiviert werden. Sitzungen laufen bei Inaktivität ab, wiederholte Fehlversuche werden gebremst bzw. gesperrt.

Administrative Zugriffe auf unserer Seite sind auf einen kleinen, namentlich benannten Personenkreis beschränkt, nur mit Multi-Faktor-Authentifizierung möglich und werden lückenlos und unveränderbar protokolliert.

Im Verwaltungsbereich sehen eure Administratoren nur, was sie zur Verwaltung von Lizenzen und Konten brauchen. MittelstandGPT bietet keine Funktionen zur Leistungs- oder Verhaltenskontrolle einzelner Mitarbeitender.

6. Verschlüsselung

Alle Daten sind bei der Übertragung und im Ruhezustand verschlüsselt. Verbindungen nach außen und zwischen den internen Diensten laufen ausschließlich über moderne TLS-Verschlüsselung. Datenbank, Dokumentenspeicher und Backups sind mit AES-256 verschlüsselt, dem aktuellen Industriestandard.

7. Datenverarbeitung im Detail

• Nutzeranfragen (Chat): Eure Anfrage wird von einem selbst betriebenen Modell innerhalb der EU für die Suche aufbereitet, um passende Abschnitte aus den Dokumenten eures Mandanten zu finden. Diese Abschnitte werden zusammen mit der Anfrage an das Sprachmodell übermittelt. Antworten werden so weit wie möglich an eure Quellen gebunden und sind als KI-generiert erkennbar.
• Dokumentenverarbeitung: Hochgeladene Dokumente werden verschlüsselt in Deutschland gespeichert und in abgeschotteten Umgebungen ohne Ausführungsrechte innerhalb der EU verarbeitet. Makros oder Skripte in Dokumenten werden nie ausgeführt.
• Erzeugte Dateien: Word-, Excel- und PDF-Dokumente entstehen aus sauberen Vorlagen und enthalten keine ausführbaren Inhalte.

8. Datenkategorien

MittelstandGPT verarbeitet typischerweise:

• Geschäftliche Kontaktdaten der Nutzer (Name, E-Mail-Adresse, Rolle).
• Projekt- und Fachdaten (Dokumente, Pläne, Protokolle, Korrespondenz).
• Nutzungsmetadaten (Anmeldezeitpunkte, technische Protokolle).
• Abrechnungsdaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten) und Personaldaten über geschäftliche Kontaktdaten hinaus (etwa Gehalts- oder Bewerberunterlagen) sind vertraglich von der Verarbeitung ausgeschlossen.

9. Löschung und Betroffenenrechte

• Jederzeit löschen: Dokumente, Gesprächsverläufe und Nutzerkonten können jederzeit über die Anwendung gelöscht werden.
• Vertragsende: Alle Daten eures Mandanten werden innerhalb von 30 Tagen gelöscht, auf Wunsch nach vorheriger Rückgabe; die Löschung bestätigen wir auf Anforderung schriftlich.
• Fristen: Backups werden spätestens nach 35 Tagen überschrieben, Protokolle mit Personenbezug nach 90 Tagen aus dem aktiven Bestand entfernt.
• Datensparsamkeit: Es werden nur die Daten verarbeitet, die für die jeweilige Funktion nötig sind. Optionale Funktionen verarbeiten nur Daten, wenn ihr sie aktiv nutzt.

10. Verfügbarkeit und Wiederherstellung

Die Datenbank wird täglich automatisch und verschlüsselt gesichert und lässt sich auf einen beliebigen Zeitpunkt zurücksetzen. Ein kontinuierliches Monitoring meldet Ausfälle und Auffälligkeiten, die Plattform ist gegen Überlastungsangriffe geschützt, und Störungen einzelner Funktionen beeinträchtigen den übrigen Betrieb nicht. Im Ernstfall ist der Datenstand höchstens einen Tag alt, und die vollständige Wiederherstellung ist binnen 24 Stunden abgeschlossen.

11. Prüfung und Organisation

• Externer Penetrationstest: Die Plattform wurde 2026 von einem spezialisierten IT-Sicherheitsdienstleister geprüft, einschließlich KI-spezifischer Angriffe wie Prompt-Injection. Die Prüfung wird jährlich wiederholt; eine Zusammenfassung stellen wir auf Anfrage unter Vertraulichkeitsvereinbarung bereit.
• Regelmäßige Überprüfung: Alle Maßnahmen werden jährlich vollständig, Berechtigungen halbjährlich und sicherheitsrelevante Funktionen bei jeder Auslieferung automatisiert geprüft. Der Aufbau eines Informationssicherheits-Managementsystems in Anlehnung an ISO 27001 ist geplant.
• Verschwiegenheit: Alle Mitarbeitenden sind schriftlich auf Vertraulichkeit verpflichtet. Für Kunden mit besonderen Verschwiegenheitspflichten, etwa öffentlich bestellte Sachverständige oder Prüfingenieure, erfolgt zusätzlich eine Verpflichtung nach § 203 StGB.
• Entwicklung und Betrieb: Jede Änderung durchläuft Code-Review im Vier-Augen-Prinzip, automatisierte Tests und eine Testumgebung, bevor sie live geht. Beim Ausscheiden von Mitarbeitenden werden alle Zugänge binnen 24 Stunden entzogen.
• Vorfälle: Datenschutzvorfälle melden wir euch unverzüglich, spätestens binnen 24 Stunden.

12. Technische und organisatorische Maßnahmen (TOMs)

13. Datenstandorte

Eure Projektdaten, Dokumente und Konten werden ausschließlich in Deutschland gespeichert. Die Dokumentenaufbereitung, die KI-Sprachmodelle und optionale Dienste wie die Transkription laufen in Rechenzentren innerhalb der EU.

Einzelne Dienstleister gehören zu Konzernen mit Sitz außerhalb der EU. Dafür gelten zusätzliche vertragliche Schutzmechanismen, insbesondere die Standardvertragsklauseln der EU-Kommission. Die einzige Speicherung außerhalb der EU betrifft die Versandprotokolle der Systemnachrichten (Name, E-Mail-Adresse, Zugangslink, keine Inhalte), abgesichert über die Standardvertragsklauseln und das EU-U.S. Data Privacy Framework.