Datenschutz & EU-Regionen

Gesprächsverläufe bleiben lokal im Browser — die Middleware speichert sie nicht. Wählen Sie beim Anbieter EU-Regionen (z. B. europe-west4 für Vertex) und prüfen Sie die Daten-Policies der Anbieter.

Datenschutz-Grundlagen

Was speichert die Middleware?

Gespeichert:

• ✅ API-Keys (verschlüsselt)
• ✅ Nutzernamen (keine Klarnamen nötig!)
• ✅ Projekt-Zuordnungen
• ✅ Credit-Stände
• ✅ Usage-Logs (Metadaten)
• ✅ Anfrage-Metadaten (Zeitstempel, Token-Anzahl, Kosten)

NICHT gespeichert:

• ❌ Gesprächsinhalte (Prompts/Antworten)
• ❌ Hochgeladene Bilder
• ❌ Audio-Dateien
• ❌ Personenbezogene Daten (außer wenn im Username)

Datenschutz by Design

Das Frontend speichert alle Gesprächsverläufe lokal im Browser (LocalStorage/IndexedDB). Die Middleware sieht nur die Anfrage, nicht den Kontext.

DSGVO-Konformität

Admin Bud-E ist DSGVO-freundlich konzipiert:

1. Keine Pflicht zu personenbezogenen Daten

   • Nutzernamen können pseudonymisiert sein (z.B. "nutzer-001", "klasse-7a")
   • Keine E-Mail-Adressen erforderlich
   • Keine Namen erforderlich

2. Datenminimierung

   • Nur technisch notwendige Daten werden gespeichert
   • Gesprächsinhalte bleiben lokal

3. Betroffenenrechte

   • Auskunftsrecht: Export der Usage-Daten möglich
   • Löschrecht: Nutzer kann gelöscht werden
   • Datenübertragbarkeit: CSV/PDF-Export

4. Technische Maßnahmen

   • API-Keys verschlüsselt
   • HTTPS-Pflicht
   • Zugriffskontrolle (nur Admins)

EU-Regionen

Für DSGVO-konforme Setups sollten alle Verarbeitungsschritte in der EU stattfinden:

1. Middleware-Server

Empfehlung: EU-VPS

✅ Gut:
- Hetzner Cloud (Deutschland)
- Scaleway (Frankreich)
- OVHcloud (Frankreich)
- netcup (Deutschland)

⚠️ Prüfen:
- AWS (eu-central-1, eu-west-1, ...)
- Google Cloud (europe-west1, europe-west3, europe-west4)

❌ Vermeiden:
- US-Cloud ohne EU-Region
- Anbieter außerhalb EU ohne DPA

2. AI-Provider

Google Vertex AI (empfohlen)

Unterstützt mehrere EU-Regionen:

Region	Standort	Empfohlen
europe-west1	Belgien	✅
europe-west3	Frankfurt, Deutschland	✅
europe-west4	Niederlande	✅
europe-west9	Paris, Frankreich	✅

Konfiguration:

{
  "provider": "vertex",
  "region": "europe-west4",
  "project_id": "ihr-projekt",
  "location": "europe-west4"
}

Modell-Verfügbarkeit prüfen

Nicht alle Modelle sind in allen Regionen verfügbar. Prüfen Sie die Vertex AI Locations.

Mistral AI

Mistral ist ein europäisches Unternehmen (Frankreich):

• Standard-Endpoint: EU-gehostet
• Datenverarbeitung: Europa
• DSGVO-Dokumentation: Verfügbar

Together AI

• Primär US-basiert
• EU-Region verfügbar (prüfen)
• DPA auf Anfrage

OpenAI

US-Unternehmen

OpenAI ist ein US-Unternehmen ohne dedizierte EU-Region. Für streng DSGVO-konforme Setups nicht empfohlen.

• Datenverarbeitung: Primär USA
• EU-DPA: Verfügbar (Standard Contractual Clauses)
• Datenschutz-Zusicherungen: Vorhanden, aber US-Cloud

Anthropic

• Primär US-basiert
• Ähnliche Situation wie OpenAI
• DPA verfügbar

3. Datenfluss-Übersicht

Nutzer (Browser, EU)
  ↓ HTTPS
Middleware (VPS, EU)
  ↓ HTTPS
Provider (EU-Region)
  ↓
Modell-Inferenz (EU-Datacenter)
  ↓
Antwort zurück

Alle Schritte in der EU:

• ✅ Browser → Middleware: EU → EU
• ✅ Middleware → Provider: EU → EU
• ✅ Provider → Datacenter: EU → EU

Datenverarbeitungsverträge (DPA)

Für DSGVO-konforme Nutzung benötigen Sie DPAs mit:

Google Cloud (Vertex AI)

• ✅ Automatisch über GCP-Konto
• ✅ Google Cloud Data Processing Terms
• ✅ Standard Contractual Clauses (SCC) enthalten

Mistral AI

• ✅ Mistral AI DPA
• ✅ EU-Unternehmen (einfachere Compliance)

OpenAI / Anthropic

• ⚠️ US-Unternehmen
• ✅ DPAs verfügbar
• ⚠️ Prüfung durch Datenschutzbeauftragten empfohlen

Datenschutz-Konfiguration

Admin-Dashboard-Zugriff

Best Practices:

• ✅ Starkes Admin-Passwort (min. 16 Zeichen)
• ✅ HTTPS-Pflicht (Let's Encrypt)
• ✅ IP-Whitelist (nur Schul-/Firmen-IPs)
• ✅ 2FA aktivieren (falls verfügbar)
• ✅ Regelmäßige Passwort-Rotation

API-Key-Verwaltung

Sicher:

✅ Keys verschlüsselt in Datenbank
✅ Niemals in Logs
✅ Rotation bei Verdacht
✅ Automatische Deaktivierung inaktiver Nutzer

Logging

Konfigurieren Sie:

logging:
  # Speichere keine Prompts/Antworten
  log_requests: metadata_only

  # Speichere nur X Tage
  retention_days: 90

  # Anonymisiere IPs
  anonymize_ips: true

  # Keine User-Agents loggen
  log_user_agents: false

Datenschutz-Dokumentation

Für Ihre Organisation

Erstellen Sie eine Datenschutz-Dokumentation:

1. Verarbeitungsverzeichnis (Art. 30 DSGVO)

# Verarbeitungsverzeichnis Admin Bud-E

## Zweck
KI-Assistenz für Schulunterricht / Unternehmensarbeit

## Rechtsgrundlage
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
- oder Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

## Verarbeitete Daten
- Pseudonymisierte Nutzer-IDs
- Anfrage-Metadaten (Zeit, Token, Kosten)
- API-Keys (verschlüsselt)

## Empfänger
- Google Vertex AI (EU-Region)
- [Weitere Provider]

## Speicherdauer
- Metadaten: 90 Tage
- Credit-Historie: 2 Jahre (Abrechnungszweck)
- API-Keys: Bis zur Löschung des Nutzers

## Technische Maßnahmen
- Verschlüsselung (TLS 1.3)
- Zugriffskontrolle (Passwort + 2FA)
- Regelmäßige Backups (verschlüsselt)

2. Datenschutz-Folgenabschätzung (DSFA)

Bei Hochrisiko-Szenarien (z.B. Schule mit vielen Schülern) empfehlenswert:

# DSFA Admin Bud-E

## Risiko-Bewertung
- Verarbeitung von Schüler-Anfragen: Mittel
- Speicherung nur Metadaten: Niedrig
- EU-Region-Nutzung: Niedrig

## Maßnahmen
- Pseudonymisierung der Nutzer
- Lokale Speicherung im Browser
- EU-Provider-Nutzung
- Verschlüsselte Übertragung

## Restrisiko
Niedrig (nach Maßnahmen)

Für Endnutzer

Datenschutzhinweis für Schüler/Mitarbeiter:

# Datenschutz beim KI-Assistenten

## Was wird gespeichert?
- Deine Nutzungs-Statistiken (wie oft, wann)
- NICHT deine Gespräche oder Fragen!

## Wo werden Daten verarbeitet?
- In der Europäischen Union (Deutschland/Niederlande)
- Anbieter: Google Vertex AI (EU-Region)

## Wie lange?
- Statistiken: 90 Tage
- Gespräche: Nur auf deinem Gerät (im Browser)

## Deine Rechte
- Auskunft über deine Daten
- Löschung deiner Daten
- Beschwerde bei Datenschutzbeauftragten

Compliance-Checkliste

Technisch

• ✅ Middleware in EU gehostet
• ✅ Alle Provider mit EU-Region konfiguriert
• ✅ HTTPS mit gültigem Zertifikat
• ✅ Verschlüsselung der API-Keys
• ✅ Zugriffsbeschränkung (Admin-Passwort)
• ✅ Logging auf Metadaten beschränkt
• ✅ Regelmäßige Backups (verschlüsselt)

Organisatorisch

• ✅ Verarbeitungsverzeichnis erstellt
• ✅ DPAs mit allen Providern
• ✅ Datenschutzhinweis für Nutzer
• ✅ DSFA durchgeführt (falls nötig)
• ✅ Datenschutzbeauftragter informiert
• ✅ Löschkonzept definiert
• ✅ Incident-Response-Plan

Dokumentation

• ✅ Technische Dokumentation
• ✅ Datenschutz-Dokumentation
• ✅ Provider-Übersicht (mit Standorten)
• ✅ Datenfluss-Diagramm
• ✅ Betroffenenrechte-Prozess

Besondere Szenarien

Schule

Zusätzliche Anforderungen:

• Einwilligung der Eltern (bei Minderjährigen <16)
• Information an Schulleitung
• Schulungsangebot für Lehrkräfte
• Altersgerechte Datenschutzhinweise

Empfehlung:

# Eltern-Information KI-Assistent

Sehr geehrte Eltern,

wir nutzen einen KI-Assistenten für den Unterricht.
Die Gespräche Ihres Kindes bleiben auf dessen Gerät.
Nur anonymisierte Nutzungsstatistiken werden gespeichert.

Standort: Deutschland (EU)
Anbieter: Google (EU-Region)

Bei Fragen: datenschutz@schule.de

Unternehmen

Zusätzliche Anforderungen:

• Betriebsvereinbarung (falls Betriebsrat)
• Mitarbeiter-Information
• Integration in bestehendes ISMS (z.B. ISO 27001)
• Audit-Möglichkeit

Nächste Schritte

1. Backups - Datensicherung einrichten
2. Maintenance - Regelmäßige Wartung
3. FAQ - Häufige Datenschutz-Fragen