DSGVO & Datensouveränität

Kein US-Cloud-Anbieter

Unsere KI-Agenten laufen auf eigener Hardware in deutschen Rechenzentren. Kein AWS, kein Azure, kein Google Cloud. Kein „EU-West-1“-Marketing, hinter dem US-Konzerne stehen, die dem CLOUD Act oder dem FISA 702 unterliegen.

Lokale KI-Modelle — kein Datenabfluss

Wenn du ChatGPT, Claude oder Gemini nutzt, schickst du deine Daten an Server in den USA. Punkt. Egal was die AGB sagen — die Verarbeitung findet dort statt, wo die Modelle laufen.

nAIce setzt auf lokal betriebene Open-Source-Modelle und europäische KI-Anbieter, die ihre Modelle in EU-Rechenzentren betreiben. Deine Dokumente, E-Mails und Kundendaten verlassen niemals unsere Infrastruktur — und damit niemals den Geltungsbereich der DSGVO.

Auftragsverarbeitung (AVV)

Rechtlich bist du als Unternehmer für die Daten deiner Kunden verantwortlich. Wenn ein KI-Agent diese Daten verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — andernfalls verarbeitest du personenbezogene Daten ohne Rechtsgrundlage.

Unser AVV ist Teil jedes nAIce-Vertrags, nicht optional. Er regelt:

Und: Unser AVV ist in verständlichem Deutsch geschrieben. Keine 40-seitige Vorlage, die niemand liest.

Datenminimierung by Design

Art. 5 Abs. 1 lit. c DSGVO verlangt: „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt.“

Unsere Agenten sind so gebaut, dass sie nur die Daten anfordern und verarbeiten, die sie für ihre konkrete Aufgabe tatsächlich brauchen. Ein Lead-Qualification-Agent sieht keine HR-Daten. Ein Termin-Agent hat keinen Zugriff auf deine CRM-Historie.

Das ist kein Feature — das ist Architektur. Jeder Agent bekommt sein eigenes Scope-Set. Kein globaler Zugriff. Kein „der Agent kann halt alles sehen“.

Löschkonzept

Die DSGVO verlangt nicht nur, dass du Daten sicher speicherst — sie verlangt auch, dass du sie wieder loswirst, wenn der Zweck entfällt oder der Betroffene es verlangt.

Unser Löschkonzept funktioniert auf drei Ebenen:

In der Praxis: Du kannst jederzeit einen Datensatz, einen Kunden oder den gesamten Agenten-Output löschen. Mit einem Befehl. Und wir weisen nach, dass die Daten physisch entfernt wurden — nicht nur als „deleted“ geflaggt.

AI Act Compliance

Der EU AI Act (in Kraft seit August 2024, vollständig anwendbar ab August 2026) reguliert KI-Systeme nach Risikoklassen. nAIce-Agenten fallen in die Kategorie „begrenztes Risiko“ — mit Transparenzpflichten, die wir vollständig umsetzen:

Unsere Agenten treffen keine autonomen Entscheidungen mit Rechtswirkung (Art. 22 DSGVO). Sie bereiten vor, qualifizieren, terminieren — aber der finale Klick liegt bei dir. Oder, wenn du es wünscht, bei deinem Freigabe-Workflow.

Selbst-Hosting-Option

Für Unternehmen mit besonders hohen Compliance-Anforderungen — Kanzleien, Kliniken, Finanzdienstleister, öffentliche Auftraggeber — bieten wir die Möglichkeit, nAIce-Agenten vollständig auf eigener Hardware zu betreiben.

Technisch läuft das über ein On-Premise Gateway, das du in deiner Infrastruktur deploytst. Alle Agenten-Prozesse, alle Modelle, alle Daten — auf deiner Hardware. Wir liefern die Software, die Updates und den Support. Du behältst die Kontrolle.