Welche KI ist DSGVO-konform?

DSGVO-konform ist eine KI, wenn vier Dinge zusammenkommen: eine Rechtsgrundlage für die Verarbeitung, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, ein benannter Verarbeitungsort mit dokumentierten technischen Maßnahmen und die Möglichkeit, Auskunft, Berichtigung und Löschung tatsächlich umzusetzen. Kein Werkzeug ist von sich aus konform — es kommt darauf an, wie es betrieben wird. Ukeou verarbeitet ausschließlich auf Servern innerhalb Deutschlands, schließt Training auf Kundendaten vertraglich aus, legt den AV-Vertrag (AVV) offen und hält den Primärspeicher lokal auf deinem Rechner.

Reicht das auch für eine Agentur, die Kundendaten ihrer eigenen Kunden verarbeitet?

Ja, das ist der Regelfall bei Agenturen und Studios: Deine Agentur ist gegenüber ihren Kunden Auftragsverarbeiter, Ukeou ist Unterauftragsverarbeiter. Dafür braucht deine Agentur einen eigenen AV-Vertrag mit ihren Kunden — und mit Ukeou, den wir dir als Vorlage stellen. Sprich uns an, wenn deine Kunden eine namentliche Benennung von Ukeou als Subprozessor verlangen.

Trainiert Ukeou mit unseren Daten?

Nein. Deine Aufträge, Dokumente und Memos fließen in kein Modell — vertraglich ausgeschlossen, nicht nur als Absichtserklärung. Das gilt für das eingesetzte Sprachmodell ebenso wie für Ukeou selbst.

Wo genau werden meine Daten verarbeitet?

Gespeichert wird zuerst lokal auf deinem Rechner. Für die Verarbeitung durch das Sprachmodell nutzt Ukeou ausschließlich Server innerhalb Deutschlands (Region eu-central-1); regionsübergreifende Modellabfragen sind deaktiviert. Welcher Datenort gerade greift, zeigt ein Badge im Cockpit, nicht nur die Datenschutzerklärung.

Was passiert beim Löschen wirklich?

Jeder Kreis in deinem Workspace hat einen eigenen Verschlüsselungsschlüssel. Löschst du einen Kreis oder einen Eintrag, wird dieser Schlüssel vernichtet — die verschlüsselten Reste sind ab diesem Moment für niemanden mehr lesbar, auch nicht aus einem Backup. Das ist etwas anderes als ein Lösch-Flag, das die Rohdaten unangetastet lässt.

Gibt es einen AV-Vertrag nach Art. 28 DSGVO?

Ja. Der AV-Vertrag benennt Ukeou als Auftragsverarbeiter, listet die eingesetzten Subprozessoren und ist direkt einsehbar — kein Sales-Gespräch nötig, um ihn zu bekommen.

Ist Ukeou SOC-2- oder C5-zertifiziert?

Nicht mit einem eigenen Bericht — und wir behaupten es auch nicht. Die Verarbeitung läuft über Amazon Bedrock in eu-central-1; Bedrock liegt im Geltungsbereich der C5-Attestierung des BSI, der ISO/IEC 27001:2022 und der SOC-1/2/3-Berichte von AWS. Die Berichte ziehst du dir selbst über AWS Artifact. Für Ukeou selbst gelten stattdessen der AV-Vertrag nach Art. 28 DSGVO und die im Produkt nachprüfbaren Zusagen: lokaler Primärspeicher, kein Training auf deinen Daten, kryptografische Löschung.

Komme ich an meine Daten heran, wenn ich gehe?

Deine Inhalte liegen als Primärspeicher lokal auf deinem Rechner, verschlüsselt mit einem Schlüssel pro Kreis — sie sind also nicht in einem fremden System eingeschlossen. Eine Exportfunktion in der App gibt es derzeit nicht; auf Anfrage stellen wir dir deine Daten in einem maschinenlesbaren Format bereit (Art. 20 DSGVO).

DSGVO-konforme KI — Ukeou: verarbeitet in Deutschland

Für die Verarbeitung selbst — das eigentliche Denken des Agenten — reicht lokale Rechenleistung nicht: Ukeou schickt den nötigen Ausschnitt an ein Sprachmodell in Deutschland, Region eu-central-1. Die regionsübergreifende Modellabfrage ist deaktiviert und der Zugriff auf Modelle anderer Regionen technisch unterbunden — kein Umweg über die USA.

Ein Badge im Kopfbereich des Cockpits nennt den Datenort bei jeder Anfrage — nicht nur einmal beim Onboarding.

Wer als Agentur oder Unternehmen einen eigenen AV-Vertrag (AVV) nach Art. 28 DSGVO braucht: Der ist verfügbar, mit Ukeou als Auftragsverarbeiter und den eingesetzten Subprozessoren benannt. AV-Vertrag ansehen.

Gilt für den lokalen Speicher, den Ukeou selbst führt. Für den kurzen Verarbeitungszeitraum beim Sprachmodell-Anbieter gelten dessen eigene, vertraglich zugesicherte Löschfristen — auch das steht im AV-Vertrag.