Für Datenschutzbeauftragte, IT und Einkauf
Sicherheit & Datenschutz bei plapperbot
Alle Daten werden in der EU verarbeitet, auch die KI-Anfragen. Gespräche speichern wir ohne Namen und IP-Adresse, nichts davon trainiert eine KI. Hier findest du Datenstandorte, technische Maßnahmen und Unterauftragsverarbeiter, also alles, was im AVV steht.
Aktualisiert am
- Datenstandort
- EU
- Training mit deinen Daten
- Nein
- Cookies im Chat
- Keine
- Gespräche gelöscht nach
- 90 Tagen
Datenstandorte
Wo deine Daten verarbeitet werden
Chats
Was mit den Gesprächen passiert
- Gespräche werden ohne Namen, IP-Adresse oder Cookies gespeichert und nach 90 Tagen automatisch gelöscht.
- An die KI gehen nur die Frage, der bisherige Verlauf dieses Gesprächs und passende Textstellen aus deinen Inhalten.
- Die Wissenssuche ist strikt auf deinen Chatbot begrenzt; andere Kunden sehen deine Inhalte nie.
- Optional: Passwortschutz je Chatbot und ein Datenschutzhinweis vor dem ersten Chat.
- Im Chatfenster steht sichtbar, dass eine KI antwortet (Transparenzpflicht der KI-Verordnung).
Art. 32 DSGVO
Technische und organisatorische Maßnahmen
So steht es auch in Anlage 1 des AVV.
Verschlüsselung
Übertragung ausschließlich verschlüsselt (TLS, HSTS); Verschlüsselung gespeicherter Daten beim Datenbankanbieter (AES-256); Passwörter von Konten werden nicht verwendet (Anmeldung per E-Mail-Link oder Google/Apple).
Pseudonymisierung und Datensparsamkeit
Chatnachrichten ohne Namen, IP-Adresse oder Cookies der Besucher; Reichweitenmessung ohne Cookies mit täglich wechselndem Prüfwert statt IP-Adresse; Weitergabe an die KI nur von Frage, Gesprächsverlauf und passenden Textstellen.
Zutrittskontrolle
Betrieb ausschließlich in Rechenzentren zertifizierter Cloud-Anbieter (u. a. ISO 27001, SOC 2) mit physischer Zutrittskontrolle; der Auftragnehmer betreibt keine eigenen Server.
Zugangskontrolle
Anmeldung per Einmal-Link, gebunden an den anfragenden Browser; Admin-Zugang nur für namentlich festgelegte Personen mit bestätigter E-Mail-Adresse; Zugänge zu den Dienstleistern mit starken Passwörtern und Zwei-Faktor-Authentifizierung.
Zugriffskontrolle
Kunden sehen nur ihre eigenen Daten (Prüfung bei jeder Anfrage); Datenbank-Zugriffsregeln auf Zeilenebene (Row Level Security) sperren direkte Zugriffe; geheime Schlüssel nur serverseitig; optionaler Passwortschutz je Chatbot.
Weitergabekontrolle
Datenübermittlung nur verschlüsselt und nur an die Unterauftragsverarbeiter nach Anlage 2; Downloads (z. B. Export, AVV) nur nach Anmeldung.
Eingabekontrolle
Protokollierung administrativer Änderungen (wer, was, wann); Zeitpunkte von Anlage und Änderung werden gespeichert.
Trennungskontrolle
Daten verschiedener Kunden sind logisch getrennt und dem jeweiligen Konto bzw. Chatbot zugeordnet; die Wissenssuche der KI ist strikt auf den jeweiligen Chatbot begrenzt.
Verfügbarkeit und Belastbarkeit
redundante Infrastruktur der Cloud-Anbieter; Schutz vor Überlastung und Missbrauch durch Rate Limits und ein Captcha ohne Cookies; automatische Wiederholung und Ersatzmodell bei Störungen der KI.
Wiederherstellbarkeit
tägliche automatische Datensicherungen der Datenbank, 7 Tage aufbewahrt; Wiederherstellung im Notfall.
Schutz der Anwendung
Content-Security-Policy gegen eingeschleusten Schadcode; Abruf von Websites nur von öffentlichen Adressen; Prüfung hochgeladener Dateien; regelmäßige Aktualisierung der Software-Abhängigkeiten.
Auftragskontrolle
Verträge zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern; Auswahl nach Sicherheitsniveau und Datenstandort.
Organisation und Überprüfung
Verpflichtung auf Vertraulichkeit; dokumentierter Prozess für Datenschutzvorfälle; Überprüfung der Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen, zuletzt im Rahmen einer Sicherheitsprüfung der gesamten Anwendung im November 2026.
Anlage 2 des AVV
Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort | Garantien |
|---|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | Rechenzentrum in Irland (EU) | AVV, EU-Standardvertragsklauseln |
| Vercel Inc. | Hosting der Anwendung und Serverfunktionen | Serverfunktionen in Frankfurt (EU), Auslieferung der Seiten über ein weltweites Netzwerk | AVV, EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| Google Cloud EMEA Limited (Gemini Enterprise Agent Platform, ehemals Vertex AI) | KI-Verarbeitung von Chat-Anfragen und Inhalten mit den Gemini-Modellen, ohne Training mit Kundendaten | Rechenzentren in der EU | AVV (Cloud Data Processing Addendum), EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| Hostinger International Ltd. (E-Mail) | Versand von E-Mails, z. B. Anmeldelinks, Lead-Benachrichtigungen und Monatsberichte | Rechenzentrum in der EU | AVV |
Über neue Unterauftragsverarbeiter informieren wir Kunden mit AVV mindestens 14 Tage vorab per E-Mail.
AVV in einer Minute
- 1Kostenlos registrieren oder anmelden
- 2Unter „Abo und Profil“ Firma und Anschrift eintragen
- 3AVV abschließen und sofort als PDF speichern
Häufige Fragen
Wie schließe ich den AVV ab?
Im Kundenbereich unter „Abo und Profil“ → „AVV abschließen“. Du gibst Firma und Anschrift ein und bekommst den Vertrag sofort als PDF. Eine Unterschrift ist nicht nötig (Textform nach Art. 28 Abs. 9 DSGVO).
Werden Daten in die USA übermittelt?
Die Verarbeitung findet in der EU statt. Einzelne Dienstleister haben Muttergesellschaften in den USA; ein Zugriff von dort ist nur im Ausnahmefall möglich (z. B. technischer Support) und über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert.
Wird mit meinen Daten eine KI trainiert?
Nein. Weder plapperbot noch unsere Dienstleister verwenden deine Inhalte oder die Gespräche deiner Besucher zum Training von KI-Modellen.
Wie melde ich eine Sicherheitslücke?
Bitte per E-Mail an beratung@prodivo.de. Wir antworten schnell und behandeln Hinweise vertraulich.