adsbird
[email protected] Erstgespräch →

Trust & Sicherheit

DSGVO ist kein Add-on,
sondern Architektur.

Wir bauen Custom-CRMs, AI-Agents und Marketing-Automations für Unternehmen, die in Deutschland (oder zumindest in der EU) Daten verarbeiten. Das heißt: EU-Hosting ab Tag 1, AVV vor Vertragsstart, Lösch-Konzepte schon im Architektur-Draft. Keine nachträglichen Compliance-Layer, die man drüberbügelt.

Position

Was bei uns Standard ist.

Keine "Wir nehmen Sicherheit sehr ernst"-Floskeln — sondern konkrete Default-Entscheidungen, die wir bei jedem Projekt vor dem ersten Commit treffen.

  • EU-Hosting standardmäßig. Hetzner Falkenstein (DE), Supabase EU-Frankfurt, Azure Germany West Central. US-Hosting nur, wenn der Kunde es explizit verlangt.
  • AVV vor Projekt-Start. Immer. Auch bei 1 490-€-Starter-Projekten. Kein "machen wir später".
  • DSFA-Unterstützung, wenn nötig — typisch bei Health-, Finance- und Recruiting-Daten. Wir liefern den technischen Input, den dein DSB für die Datenschutz-Folgenabschätzung braucht.
  • Retention-Policies pro Workflow konfigurierbar. Default 30 Tage für Conversation-Logs, einstellbar zwischen 0 und 365 Tagen.
  • Lösch-Konzepte ab Tag 1 mitgebaut. Jeder Workflow hat einen dokumentierten Lösch-Pfad — User-Daten, Backups, Audit-Logs.

Sub-Prozessoren

Wer welche
Daten anfasst.

Vollständige Liste der Tools, die wir typischerweise einsetzen — mit Serverstandort, Zweck und DSGVO-Status. Bei Projektstart bekommst du eine projektspezifische Version dieser Tabelle als Anhang zum AVV.

Anbieter Standort Zweck DSGVO-Status
Anthropic (Claude) US / EU (Bedrock EU) LLM-Inferenz für AI-Agents TADPF + DPA
OpenAI US (oder Azure-OpenAI EU) GPT-4/o, Whisper, Embeddings TADPF · EU via Azure-OpenAI
Supabase EU-Frankfurt (eu-central-1) PostgreSQL, Auth, Storage EU-AVV
Hetzner Falkenstein / Nürnberg (DE) Self-hosted n8n, Datenbanken, Worker DE-AVV
Microsoft Azure Germany West Central / EU-Region wählbar Container Apps, Key Vault, SignalR EU-AVV · DPA-DACH
Cloudflare US-HQ · EU-Edge-Nodes CDN, DNS, WAF, Pages-Hosting EU-AVV via TADPF
n8n Self-hosted (Hetzner DE) oder n8n.cloud EU Workflow-Orchestrierung EU-AVV / Self-hosted
Make (Integromat) EU-Region wählbar No-Code-Workflows für Side-Integrations EU-AVV
Apify EU (Prag, CZ) Web-Scraping, Crawler-Infrastruktur EU-AVV
Vercel US · EU-Edge (Frankfurt) Frontend-Hosting (Next.js) TADPF · DPA
Meta (WhatsApp Business API, Marketing-API) US · Meta-EU-Cloud (IE) optional WhatsApp-CRM, Ads-Reporting EU-AVV via TADPF + Meta-EU-Cloud
Resend / Postmark EU-Region (Resend EU, Postmark EU) Transaktionale Mails EU-AVV

TADPF = EU-US Data Privacy Framework · AVV = Auftragsverarbeitungsvertrag (Art. 28 DSGVO) · DPA = Data Processing Addendum

Architektur-Standards

Was wir bei jedem
Build anders machen.

Die meisten "Hacks", die wir bei Audits anderer Setups finden, sind keine exotischen Angriffe — sondern hardcoded Keys, fehlende Audit-Logs und Backup-Strategien, die niemand je getestet hat. Hier ist unser Default-Stack.

01 — Secrets

Keys nie hardcoded.

API-Keys, DB-Passwörter und Webhook-Signing-Secrets landen ausschließlich in Azure Key Vault, AWS Secrets Manager oder n8n Credentials Store (verschlüsselt at-rest). Im Code stehen Platzhalter, gerendert wird zur Laufzeit.

02 — Auth

JWT / OAuth2 statt Session-Cookies.

Wo möglich: Stateless-Auth mit kurzlebigen JWT-Tokens (15 Min Access, 7 Tage Refresh) plus PKCE-OAuth2-Flow. Cookie-Auth nur dort, wo Legacy-Integrationen es zwingend brauchen — und dann mit HttpOnly + SameSite=Strict.

03 — Audit-Logs

Wer hat wann was angefasst.

Jeder Daten-Zugriff (Read/Write/Delete) wird in eine separate audit_log-Tabelle geschrieben — User-ID, IP, Zeitstempel, Resource. Logs sind append-only, 90 Tage online, 2 Jahre im Cold-Storage.

04 — Backups

7-Tage-Rolling + 30-Tage-Snapshots.

PostgreSQL: tägliche pg_dump ins encrypted S3-EU-Bucket (7-Tage-Retention) plus wöchentlicher Full-Snapshot (30 Tage). Restore-Drill einmal pro Projekt-Quartal — dokumentiert mit RTO/RPO-Messung.

05 — Disaster-Recovery

Recovery-Runbook pro Projekt.

Jedes Projekt hat ein RUNBOOK.md im Repo mit konkreten Recovery-Steps: Was tun, wenn die DB weg ist, wenn der Worker hängt, wenn ein API-Provider down ist. Kein "schreib Tim eine Mail" als Single-Point-of-Failure.

06 — Transport

TLS 1.3 + HSTS · überall.

Cloudflare-Edge erzwingt TLS 1.3 mit HSTS max-age=31536000; includeSubDomains; preload. Interne Service-zu-Service-Calls über Azure Private Endpoints, nie über Public Internet.

AVV-Template

AVV als Vorlage
für deine Rechtsabteilung.

Unser Standard-Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inklusive TOM-Anhang und Sub-Prozessoren-Liste. Du kannst die Vorlage vorab durch deinen Datenschutzbeauftragten prüfen lassen — die unterzeichnete Version gibt's vor Projektstart.

AVV-Template herunterladen (PDF) →

Persönlich unterzeichnet auf Anfrage · [email protected]

DSGVO-FAQ

Die Fragen, die deine
Compliance-Abteilung stellt.

Sind Anthropic und OpenAI überhaupt DSGVO-konform einsetzbar?
Ja, unter klar definierten Bedingungen. Beide Anbieter sind unter dem EU-US Data Privacy Framework (TADPF) zertifiziert, und mit beiden haben wir AVVs / DPAs unterzeichnet. Für Anthropic Claude steht zusätzlich die EU-Region via AWS Bedrock eu-central-1 zur Verfügung, für OpenAI nutzen wir bei sensiblen Daten Azure OpenAI (EU). Im Zweifel = EU-Variante per Default.
Werden meine Daten zum Training der Modelle verwendet?
Nein. Bei API-Calls — wie wir sie ausschließlich nutzen — ist Training per Default deaktiviert (Anthropic: zero data retention für Enterprise, OpenAI: no-train-Default auf der API seit 2023). Bei jedem Projekt verifizieren wir nochmal explizit auf Account-Ebene, dass kein Data-Sharing für Modell-Verbesserung aktiv ist.
Was passiert mit Conversation-Logs aus AI-Agents?
Liegt in deiner Steuerung. Default: 30 Tage Aufbewahrung in der Projekt-Datenbank (Supabase EU oder eigene Postgres), danach automatischer Hard-Delete. Konfigurierbar zwischen 0 Tagen (Zero-Retention für Health/Finance) und 365 Tagen. Anthropic / OpenAI selbst speichern API-Inputs nach deren Policy max. 30 Tage zur Abuse-Prevention.
Wer hat Zugriff auf meine API-Keys und Daten?
Während der Entwicklung: ausschließlich Tim Vogel als verantwortlicher Entwickler. Keine Subunternehmer, keine Freelancer mit Zugriff auf Production-Credentials. Alle Keys liegen in Azure Key Vault oder n8n Credentials Store, AES-256-encrypted at rest. Nach Übergabe rotieren wir alle Keys, und du bekommst die alleinige Kontrolle.
Bietet ihr DSFA-Unterstützung an?
Ja. Bei High-Risk-Use-Cases — typisch Health-Daten, Finanztransaktionen, Bewerber-Scoring im Recruiting — liefern wir den technischen Input für deine Datenschutz-Folgenabschätzung: Datenflüsse, Verarbeitungszwecke, eingesetzte Sub-Prozessoren, TOMs. Den juristischen Teil macht euer DSB oder ein Datenschutz-Anwalt; wir liefern die Architektur-Dokumentation.
Kann ich Daten jederzeit komplett löschen lassen?
Ja. Jeder Workflow hat einen dokumentierten Lösch-Pfad — User-Daten in der DB, abgeleitete Daten in Vector-Stores, Conversation-Logs, Backups (mit dokumentiertem Lag bis zum nächsten Rolling-Cycle). Für Art. 17-DSGVO-Anfragen eines End-Users liefern wir typischerweise einen POST /api/users/{id}/erase-Endpoint mit Audit-Trail.
Kann ich EU-Hosting auch für die AI-Calls bekommen?
Ja. Anthropic Claude ist über AWS Bedrock in eu-central-1 (Frankfurt) verfügbar. OpenAI-Modelle (GPT-4o, Whisper, Embeddings) gibt es über Azure OpenAI in der Region Sweden Central oder Germany West Central. Bei Voice-AI: ElevenLabs hat ebenfalls EU-Endpoints. Für jedes Projekt mit DSFA-Pflicht ist das Default.
Macht ihr Penetration-Testing vor Go-Live?
Bei Enterprise-Setups (12 000 €+) Standard — typischerweise via externem Pentest-Partner oder internem OWASP-Top-10-Scan plus manueller Review. Bei Pro-Projekten auf Anfrage und gegen Aufpreis (ca. 1 500 € für ein fokussiertes OWASP-Audit auf die gebauten Endpoints). Starter-Workflows bekommen automatisierten Scan via OWASP ZAP.

Sicherheits-Briefing

Briefing für deine
Compliance-Abteilung.

30 Min Call, in dem wir Sub-Prozessoren, Datenflüsse und TOMs für deinen konkreten Use-Case durchgehen — gerne mit deinem DSB im Call. Danach weiß deine Rechts-Seite, ob's grünes Licht gibt.

Erstgespräch buchen → [email protected]