Daten, Zugriff & Umsetzung

In nahezu jedem Projekt verlassen Ihre Daten Ihre Umgebung nicht. Wir arbeiten in Ihrer Cloud-Umgebung, auf Ihren Systemen, unter Ihren Identitäts- und Zugriffskontrollen. Was das vertraglich bedeutet, hängt davon ab, worauf wir tatsächlich zugreifen:

Ein Punkt, der häufig missverstanden wird: Dass personenbezogene Daten auf Ihrer Infrastruktur bleiben, nimmt uns für sich genommen nicht aus Art. 28 heraus. Verarbeitung nach Art. 4 Nr. 2 DSGVO umfasst auch das Auslesen und Abfragen, nicht nur das Speichern. Wo wir personenbezogene Daten sehen können, handeln wir als Ihr Auftragsverarbeiter und regeln das vertraglich - unabhängig davon, auf wessen Servern die Daten liegen.

Den Zugriff erteilen Sie - an benannte Personen, für die konkrete Aufgabe:

• + Benannte Personen, nie ein Sammelkonto. Sie wissen jederzeit, wer Zugriff hat.
• + Minimalprinzip. Der engste Rahmen, der die Arbeit ermöglicht. Kein dauerhafter Produktivzugriff, wo ein Read-Replica oder eine eingeschränkte Rolle genügt.
• + Zeitlich befristet. Der Zugriff endet mit dem Projekt. Wir bitten Sie um den Entzug und melden aktiv, wenn wir ihn nicht mehr brauchen.
• + Kein Massenexport. Wir kopieren Ihre Daten nicht auf Infrastruktur von ProDataAI und behalten nach Projektende keine Arbeitskopien.
• + Ihr Audit-Trail, nicht unserer. Da die Arbeit in Ihrer Umgebung stattfindet, erfasst Ihr bestehendes Logging und Monitoring bereits alles, was wir tun. Sie müssen uns nichts davon glauben - Sie können es nachprüfen.

ProDataAI wird vom Gründer geführt. Kamlesh Kshirsagar ist in jedem Projekt beteiligt, und genau das ist der Sinn einer kleinen Beratung: Wer das Projekt zuschneidet, setzt es auch um.

Für einzelne Arbeitspakete ziehen wir Spezialistinnen und Spezialisten aus einem Netzwerk hinzu, mit dem wir bereits gearbeitet haben. So bleibt die Besetzung senior, ohne Bench-Kosten - und wir gehen offen damit um:

• + Wer in ein Projekt kommt, wird Ihnen vorab namentlich benannt.
• + Alle unterzeichnen eine Vertraulichkeitsvereinbarung und eine Weitervereinbarung nach Art. 28 Abs. 4 DSGVO, bevor sie ein System von Ihnen berühren.
• + Für Spezialisten gelten dieselben Zugriffsregeln wie in Abschnitt 2 - benannt, eingegrenzt, befristet.
• + Keine Leistungserbringung außerhalb der EU, sofern Sie das nicht ausdrücklich wünschen.

Wenn eine Liste der Unterauftragsverarbeiter für Ihren Einkauf oder Ihre eigenen AV-Pflichten relevant ist: Wir führen sie und informieren Sie vor Änderungen.

Unterschrieben vor der ersten Rechnung, nicht danach. Achten Sie darauf, in welche Richtung das jeweils läuft:

• + Ihr AV-Vertrag, nicht unserer. Nach Art. 28 DSGVO liegt der Auftragsverarbeitungsvertrag beim Verantwortlichen, und das sind Sie. Wir arbeiten unter Ihrer Vorlage. Ihre Rechtsabteilung kennt sie bereits, sie passt zu Ihren übrigen Auftragsverarbeitern, und niemand muss erst das Standardwerk einer Beratung verhandeln.
• + Die Anlage nach Art. 32 füllen wir aus. Das TOM-Verzeichnis zu Ihrem AV-Vertrag - Zugriffskontrolle, Verschlüsselung, Löschung, Umgang mit Vorfällen - ausgefüllt für die Art, wie wir tatsächlich auf Ihren Systemen arbeiten, nicht mit Textbausteinen.
• + Wer auf Ihre Systeme zugreift, wird Ihnen vorher benannt. Kommt ein Spezialist ins Projekt, wissen Sie vorab, wer das ist, und er unterzeichnet dieselben Bedingungen wie wir. Das ist inhaltlich die Offenlegung nach Art. 28 Abs. 4 DSGVO - und so bleibt Ihr eigenes Verzeichnis korrekt.
• + Vertraulichkeitsvereinbarung - immer, auch bei reiner Beratung.

Das größte Risiko in einem KI-Projekt ist selten das Modell, sondern der Weg, den die Daten dorthin nehmen. Es gibt drei Varianten, und wir sagen Ihnen, welche Ihr Fall wirklich braucht:

• + Ihr eigener Cloud-KI-Dienst, in Ihrer Umgebung. Azure OpenAI, Amazon Bedrock oder Google Vertex unter Ihrem Vertrag. Das ist der Regelfall und deckt die meisten Projekte ab: Ihre Daten bleiben innerhalb der Grenze, die Sie ohnehin steuern.
• + Selbst gehostete Open-Weight-Modelle in Ihrer Umgebung. Für Fälle, in denen Daten das Haus gar nicht verlassen dürfen - Betriebsvereinbarungen, Branchenvorgaben oder schlicht eine Richtlinie, über die Sie nicht diskutieren wollen. Wir bieten das an; es ist nicht unser häufigster Aufbau, und das sagen wir lieber, als es Ihnen zu verkaufen.
• + Verwaltete Endpunkte in EU-Regionen. Wo ein Managed Service tatsächlich die richtige Wahl ist, halten wir die Verarbeitung in EU-Regionen und dokumentieren die Übermittlungslage.

Kundendaten werden nicht zum Training von Modellen verwendet. Weder durch uns, noch durch die Anbieter - wir konfigurieren die entsprechenden Einstellungen und zeigen Ihnen, wo sie stehen.

• + Wir verlagern Ihre Daten nicht auf unsere Infrastruktur.
• + Wir trainieren keine Modelle mit Ihren Daten.
• + Wir behalten nach Projektende keine Kopien, Backups oder Notebooks mit Ihren Daten.
• + Wir vergeben keine Unteraufträge außerhalb der EU, sofern Sie das nicht wünschen.
• + Wir nehmen keinen dauerhaften Produktivzugriff, für den es keinen Anlass gibt.

Datenhaltung, Zugriffskontrolle und saubere Unterauftragsverhältnisse sind dieselbe Nachweisgrundlage, die auch der EU AI Act verlangt. Wenn Sie auf ein KI-Inventar und eine Risikoklassifizierung hinarbeiten, sind die Kontrollen auf dieser Seite bereits Teil der Antwort.

Unser Praxisleitfaden behandelt, was die Hochrisiko-Einstufung bedeutet, den Zeitplan bis Dezember 2026 nach dem Digital Omnibus sowie die Betriebsrats-Dimension nach §87 und §90 BetrVG, die in den meisten Leitfäden fehlt: EU AI Act - ein Leitfaden für die Praxis.