Sicherheit & Datenschutz

Diese Seite fasst für Einkauf, IT und Datenschutzbeauftragte zusammen, wie wir in Projekten mit Ihren Daten, mit KI-Werkzeugen und mit Ihrem Code umgehen. Rechtlich maßgeblich für diese Website bleibt die Datenschutzerklärung; für Projekte gilt der Vertrag zur Auftragsverarbeitung.

• Hosting in Deutschland: Websites und Dienste, die wir betreiben, laufen bei der Hetzner Online GmbH in Rechenzentren in Deutschland.
• Keine Kundendaten in KI-Werkzeugen: Beim Entwickeln geben wir der KI Code und Testdaten, aber keine personenbezogenen Daten und keine Zugangsdaten aus Ihren Systemen.
• Kein Release ohne Mensch: Jede Änderung wird automatisch getestet und von einer erfahrenen Person geprüft, bevor sie live geht.
• Auftragsverarbeitungsvertrag (AVV): nach Art. 28 DSGVO für jedes Projekt mit personenbezogenen Daten.

„Verantwortung bleibt menschlich" ist bei uns kein Werbesatz. Darum sagen wir genau, was wir zusagen – und wo die Grenzen liegen.

Das sagen wir zu:

• Ergebnis wie vereinbart: Wir arbeiten mit messbaren Abnahmekriterien, zum Beispiel Barrierefreiheit nach WCAG 2.2 AA oder Ladezeit-Zielwerte. Fehler in unserer Arbeit beheben wir kostenlos – zwölf Monate bei Unternehmen, bei Behörden nach EVB-IT.
• Kein Release ohne Mensch: Jede Änderung prüft eine erfahrene Person, bevor sie live geht.
• Ihre Daten bleiben aus der KI heraus. Personenbezogene Daten und Zugangsdaten aus Ihren Systemen geben wir nicht in KI-Werkzeuge. Auftragsverarbeitungsvertrag inklusive.
• Was wir bauen, läuft auch ohne KI. KI ist unser Werkzeug beim Bauen, keine Abhängigkeit im Betrieb. Sie bekommen normalen, lesbaren Code, der Ihnen gehört. Ausnahme: KI-Funktionen, die Sie ausdrücklich bestellen.

So haften wir: für Vorsatz und grobe Fahrlässigkeit uneingeschränkt, im Übrigen begrenzt auf den Auftragswert, wie bei EVB-IT üblich.

Was wir nicht versprechen – und offen sagen:

• Einzelne Antworten von KI-Funktionen im laufenden Betrieb. KI arbeitet mit Wahrscheinlichkeiten. Darum bauen wir Freigaben, Protokolle und klare Grenzen ein.
• Preise und Verfügbarkeit der KI-Anbieter. Darum bauen wir anbieterunabhängig, mit Ausweichmodell und auf Wunsch mit Modellen in der EU oder bei Ihnen im Haus.

Wir arbeiten AI-first: KI-Agenten schreiben Code, Tests und Texte mit. Dabei trennen wir zwei Dinge.

Beim Entwickeln

• Werkzeug: Wir entwickeln mit Claude Code von Anthropic. Die Eingaben werden auf Servern von Anthropic in den USA verarbeitet.
• Was hineinkommt: Code, Aufgaben und Testdaten. Keine personenbezogenen Daten aus Ihren Systemen und keine Zugangsdaten. Brauchen wir echte Datenstrukturen, nehmen wir anonymisierte oder erfundene Beispiele.
• Kein Training: Die Nutzung unserer Eingaben zum Training von KI-Modellen haben wir abgeschaltet.
• Auf Wunsch nur EU: Darf in Ihrem Projekt auch beim Entwickeln nichts die EU verlassen, arbeiten wir mit KI-Modellen in einem Rechenzentrum in der EU. Das vereinbaren und berechnen wir gesondert.

Im fertigen System

• Ihre Wahl: KI-Funktionen, die Sie bei uns bestellen, laufen dort, wo Sie es vorgeben: in der EU, in Deutschland oder in Ihrer eigenen Infrastruktur.
• Transparenz: Auf Wunsch dokumentieren wir, welche Werkzeuge in Ihrem Projekt wofür eingesetzt wurden.

• Versionskontrolle: Jede Änderung ist in Git nachvollziehbar – wer, wann, warum.
• Automatische Prüfungen: Typprüfung, Tests, Barrierefreiheit und Sicherheits-Scans von Abhängigkeiten laufen bei jeder Änderung.
• Menschliches Review: Bevor etwas live geht, prüft eine erfahrene Person den Code und das Ergebnis.
• Reproduzierbare Deploys: Auslieferung per CI/CD in Containern, jederzeit auf den vorherigen Stand zurückrollbar.
• Ihr Code gehört Ihnen: Quellcode und Dokumentation übergeben wir vollständig.

• Passwörter, Schlüssel und Tokens liegen nie im Code, sondern in geschützten Umgebungsvariablen bzw. einem Passwort-Manager.
• Zugänge zu Ihren Systemen bekommen nur die Personen, die sie brauchen – und nur so lange, wie sie sie brauchen.
• Zwei-Faktor-Anmeldung, wo immer möglich.

• Betrieb auf Servern in Deutschland, alle Verbindungen verschlüsselt (TLS).
• Regelmäßige Backups; vor jedem Eingriff in Produktivdaten ein frisches Backup.
• Sicherheits-Updates für Betriebssystem, Container und Abhängigkeiten.
• Überwachung mit Alarm, damit wir Fehler bemerken, bevor Ihre Nutzer es tun.

Keine Cookies, keine Werbe-Tracker, keine externen Schriften. Optionale Reichweitenmessung mit selbst betriebenem Umami ohne Cookies und ohne IP-Speicherung. Das Kontaktformular sendet Ihre Angaben per E-Mail an uns und speichert sie nicht in einer Datenbank. Spamschutz mit selbst gehostetem ALTCHA – ohne Cookies und ohne Drittanbieter. Details in der Datenschutzerklärung.

Für Projekte mit personenbezogenen Daten schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, inklusive technisch-organisatorischer Maßnahmen und Liste der Unterauftragsverarbeiter. Gern prüfen wir auch Ihr eigenes Muster. Schreiben Sie uns über das Kontaktformular.

Sie haben eine Sicherheitslücke entdeckt? Schreiben Sie uns über das Kontaktformular. Wir bestätigen den Eingang innerhalb von zwei Werktagen und halten Sie über die Behebung auf dem Laufenden. Bitte veröffentlichen Sie Details erst, wenn die Lücke geschlossen ist.

Tim Elschner – bildwerk, Kontaktdaten im Impressum. Ihre Rechte als betroffene Person sind in der Datenschutzerklärung beschrieben.