Die Daten eurer Kunden, in Europa.
AUVY speichert Kundendaten in Helsinki und nutzt KI-Modelle in EU-Regionen, und kein Modell wird je mit euren Daten trainiert. Jede Maßnahme auf dieser Seite steht im Auftragsverarbeitungsvertrag (AVV), den das Trust Center vollständig veröffentlicht.
- Helsinki
- Hier liegen alle Kundendaten, auf Servern, die wir betreiben
- 0
- Modelle, die mit euren Daten trainiert werden
- 24 h
- Bis wir euch eine Datenschutzverletzung melden
- 30 Tage
- Vorlauf vor einem neuen Unterauftragnehmer, mit Recht auf Widerspruch
Nach Bereich
Was eine Sicherheitsprüfung fragt.
01
Eure Daten bleiben eure
Ihr könnt Workspace-Inhalte jederzeit exportieren, und nach Vertragsende löschen wir sie innerhalb von 30 Tagen. KI-Anfragen werden pro Anfrage nach den Anbieterverträgen verarbeitet und nie für Training genutzt, und die Produktanalyse läuft auf unserer eigenen Infrastruktur, ohne Analyse-Drittanbieter.
02
Verschlüsselung und Backups
Verbindungen zu AUVY und zu seinen Anbietern nutzen TLS 1.2 oder 1.3. Dokumentinhalte sind mit AES-256-GCM verschlüsselt, mit einem eigenen Schlüssel pro Workspace, und Zugangsdaten verbundener Konten werden verschlüsselt, bevor sie gespeichert werden. Backups laufen täglich und wöchentlich, sind mit AES-256 verschlüsselt und bleiben 30 Tage in Helsinki.
03
Zugriffskontrolle
Jeder Workspace ist isoliert, und der Server entscheidet, zu welchem Workspace eine Anfrage gehört. Rollen folgen dem Prinzip minimaler Rechte, Konten können Mehrfaktor-Anmeldung und Passkeys nutzen, und AUVY-Mitarbeitende haben nur begrenzten Produktionszugriff für Support und Betrieb.
Die sechs Ebenen der Privatsphäre im Workspace →04
Protokolle und Vorfälle
Anmeldungen, Fehlversuche und Admin-Aktionen werden zentral protokolliert, und Exporte und Löschungen bleiben etwa 12 Monate im Aktivitätsprotokoll des Workspace. Vorfälle folgen einem dokumentierten Ablauf, und Meldungen an security@auvy.ai bestätigen wir in etwa fünf Werktagen.
05
KI unter Kontrolle
AUVY bereitet die Arbeit vor, und nichts wird außerhalb des Projekts gesendet oder geändert, bevor ein Mensch zustimmt. Jede Person verbindet ihre eigenen Konten, und eine Verbindung führt nur ihre veröffentlichten Befehle aus und erreicht nur ihre gelisteten Adressen.
Jeder Befehl, den eine Verbindung ausführen darf →
Das ist eine Zusammenfassung der Maßnahmen, die wir betreiben, kein Prüfbericht. Verbindlich ist der AVV mit seiner Anlage 2. Alle Maßnahmen im Trust Center ↗
Wohin Daten gehen
Jeder Ort, an dem eure Daten verarbeitet werden.
Alles wird in der EU verarbeitet. Resend verschickt die Systemmails aus Irland, ist aber ein US-Unternehmen, deshalb ist ein Zugriff aus den USA möglich, abgesichert über das EU-US Data Privacy Framework (AVV Anlage 4).
- Workspace-Inhalte, Dateien und KontenHelsinki · Hetzner
- Live-Zusammenarbeit und MeetingsHelsinki · betrieben von AUVY
- KI-Modelle und RechenleistungEU · Amazon Bedrock, Microsoft Azure, Google Vertex AI
- SpracherkennungSchweden · Microsoft Azure
- WebsucheEU · Linkup
- SystemmailsIrland · Resend, ein US-Unternehmen
Die Liste der Unterauftragnehmer im Trust Center ist die verbindliche Fassung und nennt jede KI-Region. Jede Änderung kündigen wir dort 30 Tage vorher an. Unterauftragnehmer und Regionen ↗
Compliance
Was steht und was geplant ist.
- DSGVO · AVV nach Art. 28
- Der vollständige AVV ist auf Deutsch verbindlich, mit englischer Übersetzung.
- veröffentlicht
- EU AI Act
- AUVY erfüllt die Transparenzpflichten für seinen Assistenten (Art. 50), und die Bedingungen schließen verbotene und nicht vorab vereinbarte Hochrisiko-Nutzungen aus.
- umgesetzt
- Berufsgeheimnis · § 203 StGB
- Für Business und Enterprise nach schriftlicher Aktivierung gemäß § 12 AVV. Bis dahin dürfen solche Daten nicht in AUVY.
- verfügbar
- Auditrechte
- Ihr oder ein unabhängiger Prüfer dürft einmal im Jahr prüfen, mit 20 Werktagen Vorlauf (§ 9).
- im AVV
- ISO 27001
- geplant
- SOC 2 Type II
- geplant
Unterlagen
Die aktuellen Fassungen, im Trust Center.
Was IT und Datenschutz noch fragen
Welchen Zugriff auf Microsoft 365 braucht AUVY?
Jede Person verbindet sich mit ihrer eigenen Microsoft-Anmeldung, AUVY sieht also nur, was diese Person sieht, und nur die Postfächer, Teams und Seiten, die sie verbindet. Jeder Befehl, den eine Verbindung ausführen darf, und jede Adresse, die sie erreichen darf, ist veröffentlicht.
Wie lange bewahrt ihr Daten auf?
Workspace-Inhalte werden in der Regel 30 Tage nach Vertragsende gelöscht, Aktivitätsprotokolle nach etwa 12 Monaten. Produktanalysen bleiben bis zu 90 Tage identifizierbar und werden dann zusammengefasst oder anonymisiert.
Muss unser Betriebsrat AUVY zustimmen?
In der Regel ja, weil Beschäftigte darin arbeiten. AUVY hat keine Leistungsansichten pro Person und bewertet keine Beschäftigten, und vor der Einführung gehen wir es mit eurem Betriebsrat durch.