So schützen wir Ihre Daten

Datenstandort

Alle Kundendaten werden in der AWS-Region eu-central-1 (Frankfurt) verarbeitet und gespeichert. Backups liegen verschlüsselt in einer zweiten EU-Region. Eine Verarbeitung außerhalb der EU erfolgt nur, wenn Sie selbst ein KI-Modell außerhalb der EU aktivieren. Unser Vertrag mit AWS läuft über die europäische Gesellschaft: Amazon Web Services EMEA SARL in Luxemburg.

• Primäre Region: eu-central-1 (Frankfurt)
• Backups: zweite EU-Region, plus eine Kopie im Langzeitspeicher
• Region und Partition sind Parameter im Infrastrukturcode

Mandantentrennung

Jede Kundenumgebung hat eine eigene Datenbank mit eigenem Datenbanknutzer, einen eigenen S3-Bucket und einen eigenen KMS-Schlüssel. Anwendungscontainer laufen mit CPU- und Speicherlimits. Große Kunden erhalten einen eigenen Anwendungsstack, eine eigene Datenbankinstanz und ein eigenes Netzsegment; ein eigenes AWS-Konto ist optional.

Schlüsselverwaltung und Crypto-Shredding

Daten at rest werden mit AES-256 über AWS KMS verschlüsselt, mit einem Customer Managed Key pro Kunde. Beim Austritt wird dieser Schlüssel nach der Aufbewahrungsfrist vernichtet; damit werden auch alle Backups und früheren Versionen unlesbar.

Verschlüsselung bei der Übertragung

Der gesamte Datenverkehr läuft über TLS 1.2 oder höher, mit HSTS. Datenbanken und Speicher sind nicht direkt aus dem Internet erreichbar; Dateien werden über kurzlebige signierte URLs übertragen.

Identität und Authentifizierung

Ein zentraler Identity Provider auf Basis von OpenID Connect. Kundenumgebungen, Browser-Tools, Desktop-Apps und APIs vertrauen diesem Provider; lokale Passwörter in Kundenumgebungen sind deaktiviert, bis auf ein Notfall-Administratorkonto.

• MFA mit TOTP oder Passkeys (WebAuthn), pro Umgebung erzwingbar
• Desktop- und Browser-Tools: OAuth 2.0 Authorization Code mit PKCE
• Kurzlebige JWT-Zugriffstoken (15 Minuten) mit Refresh-Token
• Das Sperren eines Kontos blockiert sofort neue Token; laufende Token verfallen innerhalb von 15 Minuten

Autorisierung

Rollen und Rechte werden pro Kundenumgebung verwaltet (rollenbasierte Zugriffskontrolle). Nutzer werden just in time auf Basis ihrer Mitgliedschaft angelegt. Gäste sehen nur, was ausdrücklich mit ihnen geteilt wurde.

Externes Teilen

Freigabelinks sind Token mit Ablaufdatum und optionalem Passwort und können jederzeit widerrufen werden.

• Downloads über kurzlebige Presigned URLs
• Empfänger brauchen kein Konto
• Für die Mitarbeit ist ein (kostenloses) Gastkonto nötig

Supportzugriff

Mitarbeitende haben standardmäßig keinen Zugriff auf Kundendaten. Zugriff erfolgt just in time: nur mit Zustimmung des Kunden, befristet und vollständig protokolliert.

• Zustimmung durch den Kundenadministrator, für 24 Stunden oder 7 Tage
• Audit-Log jeder Sitzung, für den Kunden einsehbar
• Break-Glass nur bei Störung oder Vorfall, mit Begründung und sofortiger Benachrichtigung

KI-Gateway

Alle KI-Anfragen laufen über ein eigenes Gateway, das Authentifizierung, Modellwahl, Verbrauch und Obergrenzen durchsetzt. Standardmäßig werden nur Modelle in der EU genutzt; Modelle außerhalb der EU müssen ausdrücklich aktiviert werden und sind gekennzeichnet. Kundendaten werden nicht zum Training von Modellen verwendet.

• Modellrichtlinie pro Umgebung; 'nur EU' ist erzwingbar
• Budgets und Obergrenzen pro Person und Umgebung, auch ohne Live-Verbindung zur Verwaltungsumgebung
• Verbrauch pro Anfrage gemessen

Retrieval mit Berechtigungen

Der Suchindex (pgvector) gehört zur Kundenumgebung und folgt denselben Rechten wie die Apps: Retrieval liefert nur Dokumente, die der Nutzer selbst öffnen darf. Der Gesprächsverlauf wird in der Kundenumgebung gespeichert.

Infrastructure as Code

Die gesamte Infrastruktur ist in OpenTofu beschrieben und wird über CI/CD ausgerollt; es gibt keine manuelle Konsolenverwaltung. Die Komponente, die Infrastruktur ändert, hat eine schmale IAM-Rolle (Least Privilege); die Anwendungsschicht hat keine weitreichenden Cloud-Rechte.

Backup und Wiederherstellung

Backups werden automatisch erstellt und regelmäßig automatisch wiederhergestellt, um ihre Brauchbarkeit zu prüfen. Eine zusätzliche Kopie liegt im Langzeitspeicher (Glacier Deep Archive), verschlüsselt mit dem Schlüssel des Kunden.

Verfügbarkeit und Service-Gutschrift

Wir messen die Verfügbarkeit jeder Umgebung pro Monat. Was wir zusagen, hängt vom Service-Level ab. Erreichen wir eine Zusage nicht, erhalten Sie eine Service-Gutschrift: einen Rabatt auf den Monatsbetrag. Geplante Wartung, die mindestens 5 Werktage vorher angekündigt wurde, zählt nicht mit.

• Basis: 99,5 % als Ziel
• Business: 99,9 % zugesagt; 5 % Gutschrift je 0,1 % darunter, höchstens 25 %
• Premium: 99,95 % zugesagt; 10 % Gutschrift je 0,05 % darunter, höchstens 50 %

Monitoring und Logging

Die Systeme werden laufend mit Alarmierung überwacht. Verwaltungs- und Supporthandlungen werden in Audit-Logs festgehalten. Verbrauch und Kosten werden pro Kunde über Tags gemessen. Support und Nachverfolgung während der Bürozeiten.

E-Mail-Sicherheit

Ausgehende E-Mails werden über Amazon SES von der Domain des Kunden versendet, mit SPF, DKIM und DMARC. Bounces und Beschwerden werden pro Kunde zurückgemeldet.

DSGVO und Auftragsverarbeitungsvertrag

Die OpenAEC Studio BV ist Auftragsverarbeiter im Sinne der DSGVO. Zu jedem Abonnement gehört ein Auftragsverarbeitungsvertrag mit der Liste der Unterauftragnehmer, darunter AWS (EU-Regionen).

Incident Response

Betrifft ein Sicherheitsvorfall personenbezogene Daten, informieren wir den Kunden unverzüglich über Art, Umfang und Maßnahmen, damit der Kunde innerhalb der DSGVO-Frist selbst melden kann.

Coordinated Disclosure

Schwachstellen können Sie an die unten stehende Adresse melden. Wir bestätigen den Eingang, halten Sie über die Bearbeitung auf dem Laufenden und nennen Sie gern nach der Veröffentlichung.

maarten@open-aec.com

Austritt und Datenportabilität

Vollständiger Export jederzeit, in offenen Formaten: Dateien mit Ordnerstruktur, Daten als CSV und ein vollständiger Datenbank-Dump.

• Kündigung zum Monatsende
• 30 Tage nur Lesen für den Export
• 30 Tage eingefroren
• Vernichtung des KMS-Schlüssels und eine Löschbestätigung

Open Source

Alle Software auf der SuperCloud ist Open Source. Sie können die Implementierung selbst prüfen oder prüfen lassen, ohne sich auf unsere Aussagen verlassen zu müssen.

On-Premises

Dieselben Container-Images laufen auch On-Premises oder bei Ihrem eigenen Hoster, wenn Sie Ihre Daten vollständig in eigener Hand behalten möchten. Die OpenAEC Studio BV unterstützt bei Installation, Betrieb und Updates.