Datenschutz ist bei uns kein Marketing-Wort
Sondern Tagesgeschäft. Hosting in Deutschland, KI möglichst auf EU-Servern, Auftragsverarbeitungsverträge mit jedem Subdienstleister. Weil wir wissen, was Sie schützen müssen.
Was wir bewusst nicht tun
DSGVO ist im Alltag unbequem – es geht einfacher, schneller und billiger. Wir nicht. Die folgende Liste hat uns Aufträge gekostet. Sie hat uns auch Kunden gewonnen.
Keine US-Cloud ohne EU-Standort und AVV
Der CLOUD Act erlaubt US-Behörden den Zugriff – auch wenn der Server in Frankfurt steht. Wo ein US-Dienst unvermeidbar ist (etwa Microsoft 365), sagen wir das Restrisiko offen. Für Berufsgeheimnisse empfehlen wir deutsche Anbieter oder lokale KI.
Kein privates ChatGPT-Konto mit Mandantendaten
Bei privaten und kostenlosen Konten gibt es keinen AVV, eingegebene Daten werden in den USA verarbeitet.
Keine Tools ohne Auftragsverarbeitungsvertrag
Jeder Subdienstleister bekommt einen AVV nach Art. 28 DSGVO. Kein Kompromiss.
Kein Offshore-Support für sensible Mandate
Sie sprechen mit einem Menschen aus Bad Kreuznach. Support von hier, Daten möglichst in der EU – Ausnahmen nennen wir vorab.
Keine „Ist-doch-sicher“-Argumente
Jede Tool-Empfehlung kommt mit schriftlicher Risikobewertung. Schwarz auf weiß.
Kein „einmal eingerichtet, dann vergessen“
Quartalsweise interne Prüfung, externe Prüfung nach Bedarf, monatliche Firewall-Updates.
Was wir konkret tun
Hosting in Deutschland oder der EU
Mandantendaten landen auf Servern in Deutschland oder in EU-Rechenzentren. DATEV-Cloud (Nürnberg). Securepoint-Cloud (Lüneburg). Wo wir Microsoft 365 einsetzen, mit EU Data Boundary (Speicherung und Verarbeitung grundsätzlich in der EU, mit dokumentierten Ausnahmen) und AVV – das Restrisiko CLOUD Act benennen wir offen.
Standortwahl ist Vertragsbestandteil.
Auftragsverarbeitungsverträge
Jeder Subdienstleister, der Daten verarbeitet, hat einen AVV nach Art. 28 DSGVO. Lückenlos dokumentiert. Auf Anfrage stellen wir Ihnen die Übersicht zur Verfügung – auditfähig für Ihre Aufsichtsbehörde.
Lückenlose AVV-Kette dokumentiert.
Verschlüsselung an allen Enden
TLS 1.3 bei der Übertragung. AES-256 bei der Speicherung. Verschlüsselte Backups nach 3-2-1-Regel. Ende-zu-Ende-verschlüsselte Kommunikation zwischen Standorten. Schlüsselverwaltung, wo technisch möglich, im Unternehmen – nicht beim Anbieter.
BSI-konforme Krypto-Standards.
Firewall, Endpoint-Schutz und automatische 24/7-Erkennung
Securepoint UTM-Firewall als erste Verteidigungslinie. Endpoint-Schutz (EDR) auf jedem Gerät. Anomalie-Erkennung in Echtzeit. Erkannte Angriffe werden automatisch blockiert; Auffälligkeiten landen bei uns – und wir kümmern uns zu Geschäftszeiten persönlich.
Securepoint Professional Partner.
Zwei-Faktor-Authentifizierung (2FA)
Für alle Zugänge zu Mandantensystemen. Hardware-Token (FIDO2), wo es sinnvoll ist. Niemals SMS-2FA für sensible Konten – SMS-Hijacking ist 2026 trivial.
Phishingresistente Mehr-Faktor-Anmeldung (MFA).
Verzeichnis aller Verarbeitungstätigkeiten
Wir führen das VVT für unsere eigene Verarbeitung – und unterstützen Kunden beim Aufbau und der Pflege ihres VVT. Aktuell, prüfbar, exportierbar. Ohne Excel-Tabellen von 2019.
DSGVO Art. 30 erfüllt.
Berufsgeheimnis ist nicht verhandelbar
Steuerberater
§ 203 StGB · § 62a StBerG
Die Realität
Mandantengeheimnis ist strafbewehrt. Eine Datenlücke ist nicht „peinlich“, sie ist berufsrechtlich relevant.
Mehr zur BrancheWas wir konkret machen
DATEV-Cloud (zertifiziert, deutsch), AVV-Kette lückenlos, getrennte Netzbereiche je Mandant, manipulationssichere Protokolle. Mandantendaten und Berufsgeheimnis bleiben geschützt – DATEV-Partner seit 1998.
Arztpraxen
§ 390 SGB V · DSGVO Art. 9
Die Realität
Patientendaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Die KBV-IT-Sicherheitsrichtlinie schreibt Mindeststandards vor.
Mehr zur BrancheWas wir konkret machen
Telematikinfrastruktur sauber angebunden, Securepoint-Firewall mit medizinischen Profilen, EDR auf jedem Praxis-PC, Schulung des Praxisteams. Nachweisbar dokumentiert, falls Datenschutzaufsicht oder Versicherung fragen.
Anwaltskanzleien
§ 43e BRAO · § 203 StGB
Die Realität
Anwaltsgeheimnis ist absolut. Cloud-Tools mit US-Bezug sind ein Risiko, das niemand erklären will, wenn es eingetreten ist.
IT-Beratung für Kanzleien anfragenWas wir konkret machen
EU-Hosting mit AVV, Ende-zu-Ende verschlüsselte Mandantenkommunikation, dokumentierte Tool-Auswahl mit Risikobewertung. Private ChatGPT-Konten empfehlen wir explizit nicht – und sagen, warum.
KI mit Plan, nicht mit Kopierwut
Seit dem 2. August 2026 gelten aus dem EU AI Act u. a. die Transparenzpflichten: KI-Systeme, die direkt mit Menschen interagieren (etwa am Telefon oder im Chat), müssen so gebaut sein, dass die Menschen erfahren, dass sie mit einer KI sprechen – außer wenn das offensichtlich ist. Die Pflichten für Hochrisiko-KI greifen nach der EU-Änderung vom Juli 2026 ab 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab 2. August 2028. Für jede Tool-Empfehlung liefern wir Ihnen schriftlich, was Sie als Verantwortlicher dokumentieren müssen – auf einer Seite, verständlich.
Kategorie
Chat-Assistent
Nicht empfohlen
ChatGPT mit privatem Konto
Stattdessen
Kommtronik KI Cloud · Kommtronik KI lokal
Kategorie
Telefon-KI
Nicht empfohlen
US-only-Anbieter
Stattdessen
Kommtronik KI-Telefonie (EU-Hosting, wo möglich)
Kategorie
Cloud-Office
Nicht empfohlen
Google Workspace Standard
Stattdessen
Microsoft 365 mit EU Data Boundary
Kategorie
Cloud-Speicher
Nicht empfohlen
Standard-Dropbox / iCloud
Stattdessen
DATEV-Cloud · Securepoint UTM-Cloud
„Wir empfehlen kein Werkzeug, das wir selbst nicht verantworten würden – und dokumentieren, warum.“
Die Regelwerke, an denen wir uns messen lassen
Nicht „ISO-27001-zertifiziert, aber egal“ – sondern eine kuratierte Liste aktuell relevanter Standards, mit denen wir täglich arbeiten.
Art. 25 (Privacy by Design), Art. 28 (Auftragsverarbeitung), Art. 30 (VVT), Art. 32 (Sicherheit).
Tagesgeschäft seit 2018.
Pflichten für besonders wichtige & wichtige Einrichtungen. In Deutschland seit 6. Dezember 2025 in Kraft (NIS2UmsuCG), ohne Übergangsfrist.
Wir beraten betroffene Kunden.
Risiko-Klassifizierung von KI-Systemen. Verbote, Hochrisiko-Pflichten, Transparenzanforderungen.
Transparenzpflichten seit 2. August 2026, Hochrisiko-Pflichten ab Dezember 2027 bzw. August 2028.
Maßnahmenkatalog des Bundesamts für Sicherheit in der Informationstechnik. Standard für Behörden & KRITIS.
Orientierung für unseren Maßnahmenkatalog.
Empfehlungen für Schlüssellängen, Verfahren und Konfiguration. Was wir bei Verschlüsselung tatsächlich verwenden.
Konfigurationsbasis für TLS & VPN.
Verbindliche Mindestanforderungen an die IT-Sicherheit in vertragsärztlichen Praxen.
Die Anforderungen setzen wir bei jeder Praxis-Betreuung um.
Fragen, die Kunden stellen
- Ja. Bei jeder Verarbeitung personenbezogener Daten unserer Kunden – sei es im Rahmen von Server-Betreuung, Cloud-Diensten oder Automatisierungs-Pipelines – schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ab. Das ist Pflicht, nicht Kür. Steuerberater und Anwälte selbst sind übrigens keine Auftragsverarbeiter, sondern eigenverantwortlich – wir sind ihr Auftragsverarbeiter für die IT-Schicht.
- Bei uns: auf Servern in Deutschland. Bei den Diensten, die wir empfehlen: auf Servern in Deutschland oder in der EU – DATEV-Cloud (Nürnberg), Securepoint-Cloud (Lüneburg). Für KI empfehlen wir unsere Firmen-KI Kommtronik KI Cloud statt eines privaten KI-Kontos: große Modelle u. a. von OpenAI, Anthropic und Google auf Servern in der EU, Chats laut Hersteller auf Servern in Europa; ein Schutzfilter macht Kundennamen vorher unkenntlich, erkennt aber nicht alles. Für Mandantendaten die KI im eigenen Haus. Microsoft 365 setzen wir mit EU Data Boundary (Daten grundsätzlich in der EU, mit von Microsoft dokumentierten Ausnahmen) und AVV ein; dass bei einem US-Konzern ein Restrisiko über den CLOUD Act bleibt, sagen wir offen. Für Berufsgeheimnisträger nach § 203 StGB empfehlen wir deshalb DATEV- und Securepoint-Cloud statt eines US-Anbieters.
- Der US-CLOUD-Act erlaubt US-Behörden den Zugriff auf Daten, die von US-Unternehmen gespeichert werden – unabhängig vom Speicherort. Eine Steuerkanzlei oder Arztpraxis, die Mandantendaten auf AWS-, Azure-Standard- oder Google-Workspace-Konten ablegt, riskiert einen Verstoß gegen Berufsgeheimnis und DSGVO – auch wenn der Server in Frankfurt steht. Wir wählen die Bausteine so, dass dieses Risiko möglichst gar nicht entsteht – und wo ein US-Anbieter unvermeidbar ist (etwa Microsoft 365), benennen wir das Restrisiko und sichern ab, was sich absichern lässt: EU Data Boundary und AVV.
- Wir empfehlen für Mandantendaten niemals ChatGPT mit privaten oder kostenlosen Konten. Dort gibt es keinen AVV, und die Daten können in den USA verarbeitet werden. Stattdessen setzen wir Alternativen mit Vertrag zur Auftragsverarbeitung ein – für allgemeine Firmendaten unsere Firmen-KI Kommtronik KI Cloud (große Modelle u. a. von OpenAI, Anthropic und Google auf EU-Servern, AVV vor dem Start, Schutzfilter für Kundennamen) oder Azure OpenAI in EU-Regionen mit AVV (bei Microsoft bleibt das Restrisiko CLOUD Act), für Mandantendaten lokal gehostete Open-Source-Modelle – als KI im eigenen Haus oder als eigenes KI-System. Pro Werkzeug: eine schriftliche Risikobewertung, bevor wir es einführen.
- Seit dem 2. August 2026 gelten u. a. die Transparenzpflichten (Art. 50): KI-Systeme, die direkt mit Menschen interagieren (etwa am Telefon oder im Chat), müssen so gebaut sein, dass die Menschen erfahren, dass sie mit einer KI sprechen – außer wenn das offensichtlich ist. Die Pflichten für Hochrisiko-KI greifen nach der EU-Änderung vom Juli 2026 erst ab 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab 2. August 2028. Für unsere KI-Beratung heißt das: jede Tool-Empfehlung kommt mit einer kurzen Einordnung („minimal“, „begrenzt“, „hoch“, „verboten“) und einer Erklärung, was Sie als Verantwortlicher dokumentieren müssen. Kein „lass uns mal probieren“ mit Mandantendaten.
- Quartalsweise intern, extern nach Bedarf. Firewall-Regeln, Backups, Wiederherstellungs-Tests, Endpoint-Logs, AVV-Dokumentation. Auf Wunsch erstellen wir Ihnen eine auditfähige Übersicht – falls Ihr Mandant, Ihre Aufsichtsbehörde oder die Datenschutzaufsicht fragt.
Stand:
Reden wir
Das Erstgespräch, etwa 15 Minuten – ohne Verkaufsdruck.
Wir hören zu, analysieren Ihre Situation und sagen Ihnen ehrlich, ob und wo wir den größten Hebel sehen. Vor Ort, am Telefon oder per Videocall – wie es Ihnen passt.
PS: „Bei uns antwortet keine Hotline, sondern ich oder jemand aus dem Team.“
– Eduard Schumacher · Vorstand