Wie wir mit Ihren Daten und mit KI umgehen.
Wer uns Prozesse, Dokumente und Systeme öffnet, will wissen, was damit passiert. Hier steht es: wo Daten verarbeitet werden, welche Werkzeuge wir einsetzen, wer Zugriff hat und was Sie von uns schriftlich bekommen.
- Datenverarbeitung in der EU, auf Wunsch in Ihrer Umgebung
- Auftragsverarbeitungsvertrag und TOMs auf Anfrage
- Vertraulichkeitsvereinbarung vor jedem Projekt
- Keine Kundendaten in öffentlichen KI-Werkzeugen
- Kein Training von KI-Modellen mit Ihren Daten
- Subprozessoren offengelegt und aktuell gehalten
Überblick
Sie gelten unabhängig von Leistung, Werkzeug oder Projektgröße, und wir schreiben sie in jeden Vertrag.
- Datenstandort
- EU oder Ihre Infrastruktur
- Verschlüsselung
- Transport (TLS) und Ablage
- Zugriff
- MFA, Rechte je Projekt
- Subprozessoren
- 8, siehe Liste
Wir verarbeiten Daten nur für den vereinbarten Zweck. Wir geben sie nicht weiter, verkaufen sie nicht und trainieren keine Modelle damit, weder eigene noch fremde.
Projektdaten liegen in europäischen Rechenzentren oder in Ihrer eigenen Infrastruktur. Für Modelle außerhalb der EU nutzen wir ausschließlich Unternehmensverträge ohne Training und ohne Speicherung der Eingaben.
Wir arbeiten mit dem kleinsten Datenausschnitt, der für die Aufgabe reicht, wo möglich anonymisiert oder pseudonymisiert. Zugriffe gelten je Projekt und werden nach Abschluss entzogen.
Welche Werkzeuge, welche Subprozessoren, welche Zugriffe: Das legen wir vor Projektstart offen und halten es auf dieser Seite aktuell. Änderungen teilen wir laufenden Kunden mit.
KI-Praxis
Beratung, Entwicklung und interne Arbeit laufen bei uns mit KI-Werkzeugen. Damit das für Sie kein Risiko ist, gelten drei Regeln für alle im Team.
Wir arbeiten täglich mit KI. Mit klaren Regeln.
3 Kontrollen- Nur freigegebene Werkzeuge
Wir nutzen KI-Plattformen und Modelle ausschließlich über Unternehmensverträge: Langdock, Azure OpenAI, Anthropic, Google. Diese Verträge schließen Training mit unseren Eingaben aus. Kostenlose oder private Versionen von KI-Diensten sind für Kundendaten gesperrt.
- Kundendaten nur mit Freigabe
Welche Ihrer Daten in welches Werkzeug dürfen, legen wir vor Projektstart gemeinsam fest. Im Zweifel bleiben Daten in Ihrer Umgebung, und das Modell kommt zu den Daten, nicht umgekehrt.
- KI-gestützte Entwicklung mit Review
Wir entwickeln mit KI-Assistenten, wenn das im Projekt vereinbart ist. Ihr Quellcode bleibt in Ihrem Repository oder einer dafür eingerichteten Umgebung. Jede Änderung prüft ein Mensch, bevor sie übernommen wird.
Kontrollen
Die Maßnahmen, die wir in jedem Projekt umsetzen. Details und Nachweise dazu stehen in der Sicherheitsübersicht und den TOMs.
Infrastruktur
5 Kontrollen- Datenverarbeitung in der EU
Projektdaten in europäischen Rechenzentren (Azure, AWS Frankfurt, Hetzner) oder in Ihrer Infrastruktur.
- Verschlüsselung in Transit und Ablage
TLS für jede Verbindung, erzwungen per HSTS; Verschlüsselung der Ablage nach Anbieterstandard.
- Getrennte Projektumgebungen
Je Kunde eigene Umgebung, kein gemeinsamer Datenraum zwischen Kunden.
- Zugangsdaten im Passwort-Manager
Nie in Chats, E-Mails oder Dokumenten; Rotation bei Personalwechsel.
- Website: Tracking nur mit Einwilligung
Betrieb auf Cloudflare, Webanalyse ohne Cookies. Sitzungsaufzeichnung und LinkedIn-Anzeigenmessung laufen erst nach Ihrer Zustimmung im Hinweis, Formulare mit Bot-Schutz.
Organisation
6 Kontrollen- Zentrale Identitäten mit MFA
Mehrfaktor-Authentifizierung für alle Systeme, Anmeldung über ein zentrales Verzeichnis.
- Rechte nach Minimalprinzip
Zugriffe je Projekt vergeben, nach Projektende entzogen.
- Verwaltete, verschlüsselte Geräte
Automatische Updates, Festplattenverschlüsselung, keine Kundendaten auf privaten Geräten.
- Vertraulichkeitsverpflichtung
Alle im Team und externe Spezialisten sind schriftlich auf Vertraulichkeit verpflichtet.
- Prüfung neuer Werkzeuge
Datenverarbeitung, Standort und Vertragsbedingungen werden vor dem Einsatz geprüft.
- Vorfallsprozess
Betroffene Kunden werden unverzüglich informiert, gesetzliche Meldefristen werden eingehalten.
Datenschutz
6 Kontrollen- Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO mit TOMs als Anlage, auf unserer oder Ihrer Vorlage.
- Vertraulichkeitsvereinbarung
Vor jedem Projekt, auf Wunsch schon vor dem Erstgespräch.
- Zweckbindung
Daten werden nur für den vereinbarten Zweck verarbeitet, nicht weitergegeben, nicht verkauft.
- Datenminimierung
Kleinster nötiger Datenausschnitt, wo möglich anonymisiert oder pseudonymisiert.
- Löschung oder Rückgabe
Nach Projektende, sobald keine Aufbewahrungspflichten entgegenstehen; Bestätigung auf Wunsch.
- Betroffenenrechte
Unterstützung bei Auskunft, Berichtigung und Löschung innerhalb der gesetzlichen Fristen.
Nao Intelligence ist nicht nach ISO 27001 zertifiziert. Wir orientieren unser Sicherheitskonzept an ISO 27001 und am IT-Grundschutz des BSI und setzen auf Anbieter, die diese Zertifizierungen tragen. In Projekten in regulierten Umgebungen arbeiten wir in Ihren QM-Prozessen und liefern die dafür nötige Dokumentation.
Subprozessoren
Diese Dienste verarbeiten Daten in unserem Auftrag. Welche davon in Ihrem Projekt zum Einsatz kommen, steht im AVV. Neue Anbieter ergänzen wir hier, bevor wir sie für Kundendaten nutzen.
| Anbieter | Zweck | Standort | Hinweis |
|---|---|---|---|
| Microsoft | E-Mail, Dokumente, Zusammenarbeit (Microsoft 365); Entwicklung und Betrieb (Azure, Azure OpenAI) | EU-Rechenzentren | Unternehmensvertrag, EU Data Boundary |
| Langdock | KI-Plattform für Beratung und Kundenprojekte | Deutschland / EU | Kein Training mit Eingaben |
| Anthropic | Sprachmodelle (Claude) über API | USA | Unternehmensvertrag, kein Training, keine Speicherung der Eingaben |
| OpenAI | Sprachmodelle (GPT) über API | USA / EU-Verarbeitung wo verfügbar | Unternehmensvertrag, kein Training |
| Google Cloud | Sprachmodelle (Gemini), Datenplattform | EU-Regionen | Unternehmensvertrag, kein Training |
| Amazon Web Services | Betrieb von Lösungen, Versand transaktionaler E-Mails | EU (Frankfurt) | Nur auf Wunsch des Kunden für Projekte |
| Hetzner | Betrieb eigener Systeme und Kundenlösungen | Deutschland | Eigene Server, eigene Administration |
| Cloudflare | Hosting, CDN und Bot-Schutz dieser Website | Weltweites Netz, EU-Server bevorzugt | Nur Website, keine Projektdaten |
| Messung der Wirkung unserer LinkedIn-Anzeigen (Insight Tag) | EU (Irland) / USA | Nur nach Einwilligung auf der Website, keine Projektdaten |
Dokumente
Für Ihre Lieferantenprüfung oder Ihr QM-System. Anfrage über das Kontaktformular, Versand innerhalb weniger Tage.
- Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO, mit Anlage zu den technischen und organisatorischen Maßnahmen.
Auf AnfrageAnfragen - Sicherheitsübersicht
Zugriffskonzept, Geräte, Projektumgebungen, Umgang mit KI-Werkzeugen, Vorfallsprozess.
Auf AnfrageAnfragen - Subprozessorenliste
Vollständige Liste mit Zweck, Standort und Vertragsgrundlage, je Projekt zugeschnitten.
Auf AnfrageAnfragen - Vertraulichkeitsvereinbarung
Unsere Vorlage, oder wir unterzeichnen Ihre.
Auf AnfrageAnfragen - Versicherungsnachweis
Bestätigung der Betriebs- und Vermögensschadenhaftpflicht.
Auf AnfrageAnfragen - Lieferantenfragebogen
Wir füllen Ihren Fragebogen aus, auch in Ihrem Format und Ihrem Werkzeug.
Auf AnfrageAnfragen
Was IT und Datenschutz uns fragen
Trainieren Sie KI-Modelle mit unseren Daten?
Nein. Weder wir noch die von uns eingesetzten Anbieter trainieren Modelle mit Ihren Daten. Für alle Modellanbieter nutzen wir Unternehmensverträge, die das ausschließen.
Wo werden unsere Daten verarbeitet?
In europäischen Rechenzentren oder in Ihrer eigenen Infrastruktur. Modelle von Anbietern außerhalb der EU nutzen wir nur mit Unternehmensverträgen ohne Training und ohne Speicherung der Eingaben, und nur, wenn das im Projekt vereinbart ist.
Können wir KI vollständig on-premises betreiben?
Ja. Mit offenen Modellen wie Llama oder Mistral betreiben wir Lösungen in Ihrem Rechenzentrum oder Ihrer Private Cloud. Dann verlässt keine Anfrage Ihr Haus. Mehr dazu unter Private KI-Plattformen und RAGs.
Wer bei Nao hat Zugriff auf unsere Daten?
Nur die Personen, die im Projekt arbeiten, mit je Projekt vergebenen Rechten. Externe Spezialisten aus unserem Netzwerk erhalten Zugriff nur mit Ihrer Zustimmung und unter denselben Vertraulichkeitspflichten.
Was passiert mit unseren Daten nach Projektende?
Wir löschen Projektdaten oder geben sie zurück, sobald keine vertraglichen oder gesetzlichen Aufbewahrungspflichten entgegenstehen, und bestätigen die Löschung auf Wunsch schriftlich.
Unterzeichnen Sie unsere NDA und unseren AVV?
Ja. Wir arbeiten gern auf Ihren Vorlagen. Wenn Sie keine haben, stellen wir unsere bereit.
Sicherheitsvorfall oder Schwachstelle melden
Wenn Sie eine Schwachstelle in unseren Systemen oder dieser Website entdecken oder einen Vorfall vermuten, schreiben Sie uns. Wir bestätigen den Eingang und melden uns persönlich.
security@naointelligence.comBitte keine Kundendaten oder Zugangsdaten in der Meldung.