DSGVO & Compliance

DSGVO und KI – wo SovrGPT Daten speichert und verarbeitet, welche Dienstleister beteiligt sind, wann Daten die EU verlassen und wie Sie einen AVV erhalten.

Diese Seite beschreibt, wo SovrGPT Ihre Daten speichert und verarbeitet, welche Dienstleister beteiligt sind und in welchen Fällen Daten die EU verlassen. Anbieter und Vertragspartner ist die rooom AG (Jena). Ergänzend gilt die Datenschutzerklärung.

Kurzfassung

Frage	Antwort
Wo werden Daten gespeichert?	Konten, Chats, Anhänge und die Wissensbasis liegen verschlüsselt in einem Rechenzentrum in Frankfurt.
Wo läuft die Anwendung?	Die Serverfunktionen laufen in einem Rechenzentrum in Frankfurt.
Wo rechnen die KI-Modelle?	In Rechenzentren in der EU: selbst betriebene Modelle auf gemieteten GPU-Servern (Frankreich, Niederlande, Rumänien, Schweden, Tschechien), Partner-Modelle in einem europäischen Partner-Rechenzentrum (Irland/Finnland) und bei STACKIT (Deutschland). Neue Chats starten ab Werk mit einem Modell im Partner-Rechenzentrum.
Verlassen Daten die EU?	Gespeichert und verarbeitet wird in der EU. Ausnahmen sind die Websuche (USA), der Abruf von Webseiten (Server weltweit) sowie Anbindungen und eigene Modelle, die Ihre Organisation selbst einrichtet.
Wo sitzen die Dienstleister?	Mehrere außerhalb der EU, überwiegend in den USA, auch wenn ihre Rechenzentren in der EU stehen. Einzelheiten in der Tabelle unten.
Werden große Cloud-Anbieter genutzt?	Indirekt ja. Mehrere Dienstleister betreiben ihre Dienste auf Infrastruktur von AWS oder Google Cloud in der EU.
Wer ist verantwortlich?	Für die Inhalte Ihre Organisation; die rooom AG verarbeitet sie in Ihrem Auftrag. Für Nutzerkonten und den Betrieb der Plattform ist die rooom AG selbst verantwortlich.
Werden Daten zum Training verwendet?	Wir verwenden Ihre Eingaben und Ausgaben nicht zum Training. Das europäische Partner-Rechenzentrum speichert sie laut Vertrag nicht.

Auftragsverarbeitungsvertrag (AVV)

Einen AVV nach Art. 28 DSGVO mit der rooom AG erhalten Sie auf Anfrage. Die Kontaktdaten stehen in der Datenschutzerklärung. Die eNetworkers GmbH (Jena) unterstützt die rooom AG in deren Auftrag bei Entwicklung und technischem Betrieb.

Dienstleister und Datenflüsse

Die Tabelle nennt die Kategorien der Empfänger (Art. 13 Abs. 1 lit. e DSGVO). Die vollständige Liste mit Firmierung, Anschrift, Verarbeitungsort und Vertragsgrundlage erhalten Sie auf schriftliche Anfrage an dsb@landgraf-datenschutz.de.

Kategorie	Wann	Rechenzentrum	Sitz des Anbieters
Hosting der Web-Anwendung und der Schnittstellen	immer	Frankfurt	USA
Anmeldung, Datenbank, Dateispeicher	immer	Frankfurt	Singapur
KI-Modelle im Selbstbetrieb; außerdem Bild, Video, Spezialstimmen, Entwurf eigener Stimmen und die Aufbereitung der Wissensbasis	je nach Modell und Funktion	Frankreich, Niederlande, Rumänien, Schweden, Tschechien	USA
KI-Modelle im europäischen Partner-Rechenzentrum	Standard für neue Chats, sonst je nach Modell	Irland, Finnland	Irland
KI-Modelle bei STACKIT	je nach Modell	Deutschland	Deutschland
Diktat, Stimmen aus dem Stimmenkatalog, Ablage entworfener Stimmen (Mistral AI)	beim Diktieren, beim Vorlesen mit Katalogstimme, beim Entwerfen einer Stimme	EU-Endpunkt	Frankreich
Vorlesen mit der Standardstimme	Vorlesen ohne gewählte Stimme	Niederlande	USA; laut Vertrag des Anbieters Verarbeitung hauptsächlich in den USA
GovBridge (Anbindung an Fachverfahren)	nur für GovBridge-Kunden	Niederlande	USA
Transaktions-E-Mails (Anmeldecodes, Einladungen, Systembenachrichtigungen)	Anmeldung, Einladungen	Irland	USA
Fehleranalyse	bei Fehlern; Ladezeiten bei etwa jedem zehnten Aufruf	Deutschland	USA
Websuche (Brave Software, Inc.)	nur mit eingeschalteter Websuche	USA	USA
Abruf von Webseiten	nur mit eingeschalteter Websuche	wo die Seite betrieben wird	Betreiber der jeweiligen Seite
Anbindungen und eigene Modelle Ihrer Organisation	nur nach Einrichtung durch Ihre Organisation	je nach Anbieter	je nach Anbieter
Entwicklung und technischer Betrieb (eNetworkers GmbH)	laufend	–	Deutschland

Mehrere Dienstleister haben ihren Sitz außerhalb der EU, auch wenn ihre Rechenzentren in der EU stehen. Unternehmen mit Sitz in den USA können nach dortigem Recht verpflichtet sein, Behörden Zugriff auf Daten zu gewähren, auch wenn diese in der EU gespeichert sind.

Bei allen Modellbetreibern können Unterauftragnehmer beteiligt sein, die Infrastruktur großer Cloud-Anbieter nutzen. Welche Übermittlungsgarantien für den einzelnen Dienstleister gelten, steht in der Liste, die Sie auf Anfrage erhalten.

Websuche und Abruf von Webseiten

Die Websuche schickt Suchanfragen an die Brave Search API der Brave Software, Inc. (USA). Wann sie eingeschaltet ist:

Chat: je Unterhaltung über den Schalter, ab Werk aus. Sie ist außerdem eingeschaltet, wenn die Wissensquelle „Web“ oder „Wissensbasis + Web“ gilt, auch als Standard Ihrer Organisation.
Agenten: je Agent, ab Werk aus.
Geplante Aufgaben: je Aufgabe; beim Anlegen ist sie vorausgewählt.
Excel-Add-in: ab Werk an, abschaltbar über den Schalter „Websuche“.
MCP-Schnittstelle: Programme, denen Ihre Organisation einen API-Schlüssel mit MCP-Berechtigung gegeben hat, können sie direkt aufrufen. Die Suchanfrage formuliert dann das Programm.

Übertragen werden nur die Suchanfrage und technische Parameter, und zwar von unserem Server aus, nicht von Ihrem Gerät. Ihr Verlauf, Ihre Anhänge und Ihre Mappe gehen nicht mit. Das Modell bildet die Suchanfrage aber aus dem Gespräch oder der Tabelle, sie kann also Begriffe daraus enthalten. Wer das ausschließen muss, lässt die Websuche aus.

Brave speichert Protokolle von Suchanfragen nach eigenen Angaben bis zu 90 Tage in den USA. Brave vertritt den Standpunkt, dass Suchanfragedaten nicht in den sachlichen Anwendungsbereich der DSGVO fallen, und nimmt sie aus seinem Auftragsverarbeitungsvertrag aus. Diese Einordnung ist Braves eigene, nicht unsere; sie ersetzt keine Übermittlungsgrundlage.

Ist die Websuche im Chat oder bei einer geplanten Aufgabe eingeschaltet, darf das Modell dort auch öffentliche Webseiten abrufen, etwa eine Adresse, die Sie in den Chat kopiert haben. Der Betreiber der Seite sieht dabei die abgerufene Adresse und die Adresse unseres Servers. Die Seite kann in jedem Land betrieben werden.

Welche Daten werden verarbeitet?

Kontodaten: E-Mail-Adresse und Profilangaben wie der Anzeigename.
Chat-Inhalte: Ihre Eingaben, die Antworten der Modelle, Anhänge.
Anbindungen: nur das, was die jeweilige Anbindung ausdrücklich lädt, z. B. Notion-Seiten oder GitHub-Issues.
Excel-Add-in: mit jeder Anweisung eine Beschreibung der Mappe (Blätter, Spaltentitel, Formelmuster, Markierung und ab Werk bis zu fünf Beispielzeilen je Blatt). Das Modell kann weitere Zellbereiche nachlesen. Die Seitenleiste lädt die für Office-Add-ins nötige Bibliothek von Microsoft. Mehr dazu unter Excel-Add-in.
Fehleranalyse: bei Fehlern Fehlermeldung, Programmstelle, Browser und aufgerufene Adresse; bei etwa jedem zehnten Aufruf Messwerte zur Ladezeit. Zugangscodes in Adressen schwärzen wir vor dem Versand. Eine Benutzerkennung übermitteln wir nicht.
Server-Protokolle: technische Angaben zu Anfragen, z. B. Methode, Pfad, Statuscode und Dauer.

Löschung

Chats löschen Sie jederzeit selbst. Foliensätze (Crafts) aus einem Chat bleiben dabei erhalten; Sie finden sie unter „Crafts“ in der Seitenleiste. Gelöschte Crafts werden als gelöscht markiert und sind danach nicht mehr abrufbar, auch nicht über geteilte Links.
Organisationen löschen wir auf Anfrage, zusammen mit ihren Chats, Anbindungen und API-Schlüsseln.
Konten löschen wir auf Anfrage, zusammen mit Profil und Mitgliedschaften.

Rechte der betroffenen Person

Auskunft, Berichtigung, Löschung und Datenübertragbarkeit (Art. 15–20 DSGVO) beantragen Sie formlos bei der rooom AG; die Kontaktdaten stehen in der Datenschutzerklärung. Ihren Anzeigenamen ändern Sie selbst im Profil. Wir antworten innerhalb eines Monats.