DSGVO+ und die BYOK-Architektur

Was dieser Artikel ist und was nicht. Er ist eine Architekturbeschreibung und eine Liste technischer Prüfungen. Er ist keine Rechtsberatung: Ihre Lage hängt von Ihren Daten, Ihren Zwecken und Ihren Kunden ab. Wir beschreiben, was die Technik feststellbar macht; die rechtliche Einordnung erfolgt mit einer juristischen Fachperson.

Einleitung: Vertrauen wird nicht erklärt, es wird festgestellt

Die meisten „Konformitätsseiten" von Anbietern sagen dasselbe: Wir nehmen Ihre Daten ernst, wir achten die Verordnung, wir sind verpflichtet. Diese Sätze haben einen gemeinsamen Mangel — wer sie liest, kann keinen davon überprüfen.

Eine Architektur dagegen lässt sich feststellen. Die nützliche Frage lautet also nicht „versprechen sie, sich gut zu verhalten?", sondern:

Wer hält das Konto beim KI-Anbieter, und wer hat damit die Hand auf den Einstellungen?

Diese Frage hat eine binäre Antwort, und sie entscheidet alles Weitere. Das ist der Gegenstand dieses Artikels: was ein persönlicher API-Schlüssel konkret ändert, was nicht, und die sechs Punkte, die Sie in zehn Minuten selbst prüfen können.

1. Die Verschiebung, die die Natur des Problems ändert

In einem Modell, bei dem der Anbieter die künstliche Intelligenz einschließt, kauft er die Kapazität im Großen und verkauft sie Ihnen weiter. Die Verarbeitung läuft über sein Konto, unter seinen Bedingungen, in der Region, die er gewählt hat. Sie erben Entscheidungen, die Sie nicht getroffen haben und meist nicht einsehen können.

Mit einem persönlichen Schlüssel gehört das Konto Ihnen. Vier Folgen, alle feststellbar:

• die Vertragsbeziehung zum KI-Anbieter ist direkt: Sie akzeptieren, was Sie akzeptieren, und können es vorlegen;
• die Verarbeitungsregion ist eine Einstellung Ihrer Konsole, keine zu erfragende Auskunft;
• die Aufbewahrungsdauer ist sichtbar und mitunter konfigurierbar, am selben Ort;
• der Trainingsparameter für Ihre Inhalte wird auf dem Bildschirm gelesen, nicht geglaubt.

Das entscheidende Wort ist hier „feststellbar". Eine vertragliche Zusage ist so viel wert wie derjenige, der sie gibt; eine Einstellung, die Sie sehen, ist so viel wert wie der Bildschirm zeigt. Der Unterschied zeigt sich an dem Tag, an dem ein Nachweis von Ihnen verlangt wird — nicht vorher.

Die wirtschaftliche Parallelbetrachtung steht in Souveränität und Kostenkontrolle.

2. Was „DSGVO+" bei uns bedeutet, in drei Grundsätzen

Das „+" bezeichnet keine höhere Konformität — das gibt es nicht. Es bezeichnet drei Architekturentscheidungen, die über das Geforderte hinausgehen, weil sie das Risiko an der Quelle senken.

Minimieren vor Sichern. Das am besten geschützte Datum ist das, das nie gesendet wurde. Bevor man einen Fluss verschlüsselt, lautet die Frage: Muss dieses Feld überhaupt hinaus? Ein Vorgang, der nur den Produkttext braucht, braucht nicht den Kundennamen.

Den Weggang leicht machen. Portabilität ist nicht nur eine Pflicht, sie ist ein Entwurfstest. Eine Architektur, aus der man mit seinen Daten nicht herauskommt, ist eine Architektur, die einen festhält — unabhängig von den ausgewiesenen Bedingungen. Da der Schlüssel Ihnen gehört, gehört Ihnen auch die Historie.

Nichts versprechen, was man nicht zeigen kann. Das ist für uns der bindendste Grundsatz, und er stammt aus einem echten Fehler auf unserer Seite: Wir haben öffentlich eine Vergünstigung angekündigt, die unsere Kasse nicht erzeugte. Wir haben sie von allen Seiten entfernt, statt sie beizubehalten. Ein Versprechen, das sich nicht aus einer Tatsache ableiten lässt, gehört zurückgezogen, nicht umformuliert.

3. Was die Architektur NICHT leistet — der Abschnitt, der überall fehlt

Drei Grenzen. Sie wegzulassen wäre genau der Mangel, den der vorige Grundsatz verbietet.

Sie macht Sie nicht rechtskonform. Die Kontrolle der Parameter füllt nicht Ihr Verarbeitungsverzeichnis, schreibt nicht Ihre Folgenabschätzung, verfasst nicht Ihre Information an die Betroffenen und bestimmt nicht Ihre Rechtsgrundlagen. Das sind eigenständige Arbeiten.

Sie deckt nur den KI-Fluss ab. Ihre Formulare, Ihre Reichweitenmessung, Ihre Drittanbieter-Skripte, Ihre Exporte in ein Verwaltungswerkzeug bestehen weiter und sind nicht betroffen. Zur Einwilligung siehe unseren Ansatz zu Cookies.

Sie überlebt keine schlechte Praxis. Ein zwischen mehreren Kunden geteilter Schlüssel oder einer in einer versionierten Konfigurationsdatei hebt den Großteil des Nutzens auf. Souveränität ist eine Eigenschaft der Nutzung, keine Eigenschaft des Vertrags.

4. Die sechs Prüfungen, die Sie selbst durchführen können

Keine davon verlangt, uns zu glauben. Rechnen Sie mit zehn Minuten.

• Die Konsole Ihres KI-Anbieters öffnen und die tatsächlich wirksame Verarbeitungsregion lesen
• Den Trainingsparameter für Ihre Inhalte prüfen und einen datierten Screenshot anfertigen — der Screenshot ist der Beweis, nicht die Erinnerung
• Die Aufbewahrungsdauer der Nutzungsprotokolle erheben und mit Ihren eigenen Angaben vergleichen
• Prüfen, dass es einen Schlüssel je Kunde gibt, niemals einen gemeinsamen
• Prüfen, dass kein Schlüssel in einem versionierten Repository oder in einer aus dem Web erreichbaren Datei liegt
• In drei Zeilen aufschreiben, wie Sie morgen früh alles zurückholen und den Anbieter wechseln würden

Der sechste ist der aufschlussreichste. Können Sie ihn nicht beantworten, geht es nicht um Konformität — es geht um Abhängigkeit.

5. Der Punkt, den professionelle Einkäufer zuerst prüfen

Wenn Sie an Organisationen mit regulatorischen Pflichten verkaufen — Gesundheitswesen, öffentlicher Sektor, sensible Daten — kommt die Frage nach dem KI-Anbieter früh in deren Beschaffungsprozess, und sie ist ein Ausschlusskriterium.

Gefragt wird fast nie „haben Sie eine Richtlinie?", sondern „wohin gehen die Daten, unter welchem Vertrag, und wie zeigen Sie das?". Eine Architektur, in der der Kunde sein eigenes Konto hält, antwortet in einem Satz, mit einem Screenshot als Beleg. Eine gebündelte Architektur antwortet mit einem Dokument, was nicht dasselbe ist und nicht auf derselben Hierarchieebene bearbeitet wird.

Das ist kein Marketingargument, sondern ein kürzerer Vertriebszyklus. Und es ist messbar: Zählen Sie die Zahl der Schleifen zwischen Frage und bestätigter Antwort.

Fazit

Eine Architektur ersetzt keine Konformität, und kein technisches Schema erspart die juristische Arbeit. Was ein persönlicher Schlüssel bringt, ist bescheidener und belastbarer: die Position, von der aus man prüfen kann, ohne jemanden um Erlaubnis zu bitten.

Auf eine Erklärung gebautes Vertrauen muss bei jedem Wechsel von Anbieter, Bedingungen oder Tarif neu bewertet werden. Auf einen Zugang gebautes Vertrauen nicht: Sie öffnen die Konsole, und Sie sehen.

Der Test, der den Artikel zusammenfasst: Würde man Sie heute auffordern nachzuweisen, wohin die Daten Ihrer Kunden gehen — wie viele Personen müssten Sie dafür ansprechen? Lautet die Antwort „keine", tut die Architektur ihre Arbeit.

Weiterführend: Souveränität und Kostenkontrolle, unsere sechs Zusagen zu verantwortungsvoller KI, warum AIFORYA dieses Modell gewählt hat und unsere Alternative zu Complianz. Auf der Werkzeugseite: Reichweitenmessung und Einwilligung — Premium-Versionen mit voller Rückerstattung innerhalb von 14 Tagen.