Sicherheit & DSGVO

Deine Daten bleiben deine Daten.

DSGVO-konforme KI für dein Unternehmen: Ukeou verarbeitet in Deutschland, trainiert nie mit deinen Inhalten, und der Primärspeicher liegt auf deinem Gerät.

Early-Bird-Zugang

Nur für den Early-Bird-Zugang, kein Newsletter. Jederzeit abbestellbar.

Grundlage

Was heißt DSGVO-konforme KI?

Dass sechs Zusagen nicht nur im Vertrag stehen, sondern im Produkt nachprüfbar sind: wo deine Daten liegen, wo sie verarbeitet werden, wer worauf trainiert, was beim Löschen wirklich passiert, wer jede Entscheidung nachlesen kann — und mit wem du den Vertrag darüber hast.

Eine Tansu-Kommode aus Holz, jede Schublade einzeln verschlossen

Deine Daten bleiben bei dir

Der Primärspeicher ist lokal auf deinem Rechner — nicht irgendein Server, den du nie siehst.

Eine japanische Hobelbank: ein Kanna-Handhobel auf einem gehobelten Zedernbrett, Hobelspäne daneben

Verarbeitet in Deutschland, nicht im Ausland

Die Verarbeitung läuft in Deutschland — kein Umweg über ein Drittland.

Ein beschriebenes Blatt, der Pinsel daneben abgelegt

Deine Arbeit trainiert niemanden

Vertraglich ausgeschlossen: Deine Inhalte fließen in kein Modell.

Ein aufgeschlagenes Hauptbuch mit handschriftlichen Einträgen, Zeile für Zeile

Jede Entscheidung hat eine Akte

Wer was wann freigegeben hat, steht im Verlauf — nicht nur im Kopf.

Ein Steingarten, dessen geharkte Zeichnung zur Hälfte glattgezogen ist

Keine Zweitkopie bei uns

Löschen entfernt die verschlüsselte Datenbank auf deinem Gerät, nicht nur einen Vermerk.

Ein offener Zedernholzkasten mit einem gebundenen Heft, ein Pinsel daneben

Schwarz auf weiß, ab dem ersten Tag

AV-Vertrag nach Art. 28 DSGVO in jedem Tarif, datierte Subprozessoren-Liste, Vertragspartner in Deutschland.

AV-Vertrag nach Art. 28 DSGVO Subprozessoren-Liste

Kura-Regale mit nummerierten Holzkisten, jede mit eigenem Schloss und eigenem Schlüssel

Drei Zusagen, im Produkt nachprüfbar

Dein Datenort steht im Cockpit — nicht im Kleingedruckten.

Du musst niemandem glauben, wo deine Daten verarbeitet werden — du siehst den Datenort an der Stelle, an der du arbeitest, und kannst ihn jederzeit selbst nachsehen.

1Verarbeitung
Anfragen laufen über Server in Deutschland, wenn nötig innerhalb der EU — Regionen außerhalb der Union sind ausgeschlossen.
2Speicherung
Deine Inhalte liegen zuerst lokal auf deinem Rechner, in einer vollständig verschlüsselten Datenbank.
3Löschung
Löschst du den Workspace, wird die verschlüsselte Datenbank entfernt — nicht nur ein Vermerk gesetzt.

Speicherort

Wo landen meine Daten?

Erst auf deinem Rechner. Die Verfassung, das Gedächtnis und die Vorgänge deines Workspace liegen lokal, verschlüsselt, als Primärspeicher — nicht als Cache vor einer Cloud-Wahrheit.

Für die Verarbeitung selbst — das eigentliche Denken des Agenten — reicht lokale Rechenleistung nicht: Ukeou schickt den nötigen Ausschnitt an ein Sprachmodell auf Servern in Deutschland. Ist es für den Betrieb erforderlich, kann die Verarbeitung auf eine andere Region innerhalb der Europäischen Union ausweichen — weiter geht keine Anfrage: Regionen außerhalb der Union sind durch Berechtigungsrichtlinien ausgeschlossen.

Ein Badge im Kopfbereich des Cockpits nennt den Datenort bei jeder Anfrage — nicht nur einmal beim Onboarding.

Wer als Agentur oder Unternehmen einen eigenen AV-Vertrag (AVV) nach Art. 28 DSGVO braucht: Der ist ab dem Founder-Tarif Bestandteil jedes Tarifs — beim Kauf elektronisch akzeptierbar, ohne Verhandlung und ohne Aufpreis, mit Ukeou als Auftragsverarbeiter und den eingesetzten Subprozessoren benannt. AV-Vertrag ansehen.

Löschung

Was Löschen bei uns heißt.

Ein Unterschied, den die meisten Produkte verschweigen.

Reiner Löschvermerk

Sieht gelöscht aus, ist es nicht

Ein Flag im Datensatz markiert „gelöscht“
Die Rohdaten liegen unverändert auf der Platte
Ein Backup kann sie jederzeit zurückholen

Löschen · Ukeou

Die Datenbank ist weg, nicht nur der Verweis

Der Primärspeicher liegt verschlüsselt auf deinem Gerät
Löschen entfernt die Datenbank, nicht nur einen Vermerk
Den Schlüssel hält dein Betriebssystem — wir haben ihn nicht
Bei uns liegt keine Zweitkopie, aus der sie zurückkäme

Gilt für den lokalen Speicher, den Ukeou selbst führt. Für den kurzen Verarbeitungszeitraum beim Sprachmodell-Anbieter gelten dessen eigene, vertraglich zugesicherte Löschfristen.

Zum Weiterreichen

Alles für die Prüfung liegt offen.

Alles, was dein Datenschutzbeauftragter oder dein Kunde sehen will, liegt offen — ohne Sales-Gespräch, ohne Formular.

Art. 28 DSGVO

AV-Vertrag

Ukeou als Auftragsverarbeiter, mit benannten Subprozessoren und Löschfristen.

Art. 13/14 DSGVO

Datenschutz

Welche Daten wozu verarbeitet werden, auf welcher Rechtsgrundlage und wie lange.

Geerbt von AWS

Zertifizierungen

C5, ISO 27001 und SOC 1/2/3 gelten für Amazon Bedrock, wo wir verarbeiten — abrufbar über AWS Artifact.

Auf Anfrage

Eigene Anforderungen

Managed Self-Hosting, dedizierte Region, SSO oder eine erweiterte Vertragsgestaltung.

Ein gepflasterter Steinweg durch einen bemoosten Hang

Nachprüfbar, nicht nur versprochen.

Early-Bird-Zugang

Nur für den Early-Bird-Zugang, kein Newsletter. Jederzeit abbestellbar.

Häufige Fragen zu Sicherheit und Datenschutz

Welche KI ist DSGVO-konform?

DSGVO-konform ist eine KI, wenn vier Dinge zusammenkommen: eine Rechtsgrundlage für die Verarbeitung, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, ein benannter Verarbeitungsort mit dokumentierten technischen Maßnahmen und die Möglichkeit, Auskunft, Berichtigung und Löschung tatsächlich umzusetzen. Kein Werkzeug ist von sich aus konform — es kommt darauf an, wie es betrieben wird. Ukeou verarbeitet auf Servern in Deutschland und weicht höchstens auf eine Region innerhalb der EU aus, schließt Training auf Kundendaten vertraglich aus, legt den AV-Vertrag (AVV) offen und hält den Primärspeicher lokal auf deinem Rechner.

Reicht das auch für eine Agentur, die Kundendaten ihrer eigenen Kunden verarbeitet?

Ja, das ist der Regelfall bei Agenturen und Studios: Deine Agentur ist gegenüber ihren Kunden Auftragsverarbeiter, Ukeou ist Unterauftragsverarbeiter. Dafür braucht deine Agentur einen eigenen AV-Vertrag mit ihren Kunden — und mit Ukeou, den wir dir als Vorlage stellen. Sprich uns an, wenn deine Kunden eine namentliche Benennung von Ukeou als Subprozessor verlangen.

Trainiert Ukeou mit unseren Daten?

Nein. Deine Aufträge, Dokumente und Memos fließen in kein Modell — vertraglich ausgeschlossen, nicht nur als Absichtserklärung. Das gilt für das eingesetzte Sprachmodell ebenso wie für Ukeou selbst.

Wo genau werden meine Daten verarbeitet?

Gespeichert wird zuerst lokal auf deinem Rechner. Für die Verarbeitung durch das Sprachmodell nutzt Ukeou Server in Deutschland; ist es für den Betrieb erforderlich, kann sie auf eine andere Region innerhalb der EU ausweichen — Regionen außerhalb der Union sind ausgeschlossen. Welcher Datenort gerade greift, zeigt ein Badge im Cockpit, nicht nur die Datenschutzerklärung.

Was passiert beim Löschen wirklich?

Deine Inhalte liegen in einer vollständig verschlüsselten Datenbank auf deinem Rechner (SQLCipher/AES); den Schlüssel dazu hält der Schlüsselbund deines Betriebssystems — wir haben ihn nicht. Löschst du den Workspace, wird diese Datenbank entfernt; bei uns liegt keine Zweitkopie, aus der sie zurückkäme, und ein zurückbleibender Schlüsselbund-Eintrag öffnet nichts mehr. Einzelne Einträge nimmst du in der Anwendung selbst heraus: Sie verschwinden aus deiner Ansicht und gehen in keinen Auftrag mehr ein. Das Protokoll deines Arbeitsbereichs wird fortgeschrieben und nicht nachträglich verändert — darauf beruht die Nachvollziehbarkeit, ein einzelner Eintrag bleibt darin stehen. Eine Grenze bleibt: Eigene Dateisicherungen auf deinem Gerät bleiben davon unberührt und laufen nach deinen eigenen Aufbewahrungseinstellungen aus.

Gibt es einen AV-Vertrag nach Art. 28 DSGVO?

Ja — ab dem Founder-Tarif Bestandteil jedes Tarifs, beim Kauf elektronisch akzeptierbar, ohne Verhandlung und ohne Aufpreis. Der AV-Vertrag benennt Ukeou als Auftragsverarbeiter, listet die eingesetzten Subprozessoren und ist direkt einsehbar — kein Sales-Gespräch nötig, um ihn zu bekommen.

Ist Ukeou SOC-2- oder C5-zertifiziert?

Nicht mit einem eigenen Bericht — und wir behaupten es auch nicht. Die Verarbeitung läuft über Amazon Bedrock in Deutschland; Bedrock liegt im Geltungsbereich der C5-Attestierung des BSI, der ISO/IEC 27001:2022 und der SOC-1/2/3-Berichte von AWS. Die Berichte ziehst du dir selbst über AWS Artifact. Für Ukeou selbst gelten stattdessen der AV-Vertrag nach Art. 28 DSGVO und die im Produkt nachprüfbaren Zusagen: lokaler Primärspeicher, kein Training auf deinen Daten, Löschen entfernt die Datenbank auf deinem Gerät.

Komme ich an meine Daten heran, wenn ich gehe?

Deine Inhalte liegen als Primärspeicher lokal auf deinem Rechner, in einer vollständig verschlüsselten Datenbank — sie sind also nicht in einem fremden System eingeschlossen. Einen Export in einem maschinenlesbaren Format bekommst du direkt aus der App (Art. 20 DSGVO).

Eine Holzkiste mit Eisenschloss am Fenster, der passende Schlüssel liegt griffbereit daneben

Verschlüsselt. Auf deinem Gerät.

Ukeou verarbeitet DSGVO-konform in Deutschland, trainiert nie mit deinen Daten und hält den Primärspeicher verschlüsselt auf deinem Rechner — mit AV-Vertrag und benannten Grenzen, nicht mit Versprechen.