Vertrauen ist eine technische Eigenschaft.
Wie wir mit Ihren Daten umgehen — belegt statt behauptet.
- Daten bei Ihnen im Haus oder auf Servern in Deutschland (Serverbetrieb in Vorbereitung). Wie der Datenfluss aussieht
Heute belegt
DSGVO Art. 32 TOMs
Dokumentierte technische und organisatorische Maßnahmen, verbindlich für jedes künftige Kundenprojekt.
Maßnahmen auf dieser SeiteAVV nach Art. 28
Der AVV-Standardvertrag liegt als PDF vor, mit erweiterten TOMs für Berufsgeheimnis-Schutz.
AVV-Vorlage als PDFArchitektur
Der vorgesehene Pfad jeder Anfrage als Diagramm: Daten bleiben diesseits der DSGVO-Grenze, Cloud-Dienste sehen nur pseudonymisierte Anfragen.
Diagramm auf dieser SeiteAnbieter-Tabelle
Jeder Subdienstleister mit Sitz, Verarbeitungsort und AVV-Stand. Die AVV mit den Subdienstleistern schließen wir mit der Beauftragung.
Tabelle auf dieser SeiteProfiling nach Art. 22
Wo automatisiert entschieden wird und wo ein Mensch entscheidet, steht in einem eigenen Abschnitt.
Abschnitt auf dieser SeiteKI-Kennzeichnung nach Art. 50
Anrufer hören zu Beginn jedes Gesprächs, dass eine KI spricht, und können einen Menschen verlangen. Wie das technisch gebaut ist, zeigt die Art.-50-Seite.
Art.50-Kit ansehenIn Vorbereitung
- Hosting in Deutschland: vorgesehen sind Serverstandort Deutschland oder On-Premise beim Kunden. Ein eigenes BSI-C5-Testat liegt nicht vor; der vorgesehene Hoster Hetzner ist C5-testiert.
- ISO 27001: ISMS nach ISO/IEC 27001:2022 in Vorbereitung, zertifiziert sind wir nicht. Audit vorgesehen Q1 2027.
- TISAX: Vorbereitung auf VDA ISA 6.0 für Kunden mit OEM-Anschluss, Ziel AL 2 in Q2 2027.
- Statusseite: in Vorbereitung; bis dahin melden Sie Störungen per E-Mail oder Telefon — zur Statusseite.
Profiling & Automatisierte Entscheidungen (DSGVO Art. 22)
DripBack-KI-Module verarbeiten personenbezogene Daten teil-automatisiert — wir kennzeichnen Profiling-Aktivitäten transparent und gewährleisten menschliche Letztentscheidung.
- Keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22 Abs. 1 DSGVO): Alle KI-Outputs (Anruf-Routing, Mail-Klassifikation, CV-Triage, Compound-Recherche, ROI-Berechnung) sind Vorschläge an menschliche Sachbearbeiter. Die finale Entscheidung trifft immer ein Mensch.
- Auftragsverarbeitungs-Bindung: Profiling-Outputs gehören ausschließlich dem Verantwortlichen (unserem Kunden), wir nutzen sie nicht für eigene Zwecke (Art. 28 Abs. 3 lit. a DSGVO).
- Erläuterungs-Recht: Auf Anfrage offenbaren wir Konfidenz-Schwellen, Klassifikations-Kategorien, das je Modul eingesetzte Sprachmodell und Trainingsdaten-Quellen via [email protected].
- Widerspruchs-Recht nach Art. 22 Abs. 3 DSGVO: Endkunden können automatisierte Verarbeitung ablehnen und manuelle Erstklassifikation anfordern (Reaktion ≤ 5 Werktage).
- KI-Receptionist-Disclosure: Anrufer hören zu Beginn jedes Gesprächs einen Hinweis, dass eine KI-gestützte Vorklassifikation erfolgt, und können einen menschlichen Sachbearbeiter anfordern.
- AGG-Konformität bei Bewerbungs-Triage: CV-Triage in Top/Maybe/Pass-Lanes erfolgt diskriminierungs-frei; menschliche Recruiter treffen alle Personalentscheidungen.
Detaillierter Wortlaut auf /datenschutz/ §5a. Identisches Statement auch im Privacy-Center und in der AVV-PDF Anlage.
Architektur, nicht Marketing.
Personenbezogene Daten verarbeitet die KI in Deutschland oder bei Ihnen im Haus (Serverbetrieb in Vorbereitung); ohne Personenbezug ist Cloud-Verarbeitung laut AVV möglich. So ist der Pfad jeder Anfrage vorgesehen (Hosting in Vorbereitung). Personenbezogene Daten bleiben links der DSGVO-Grenze. Cloud-LLMs sehen nur pseudonymisierte Anfragen, nie Klartext-Personenbezug.
Technisch-organisatorische Maßnahmen.
Festgelegt für den Betrieb; die Maßnahmen greifen mit dem Start des Hostings.
Zugriffskontrolle
Multi-Faktor-Authentifizierung für alle privilegierten Konten. Role-based Access Control. Quartalsweise Audit der Zugriffs-Rechte.
Verschlüsselung
TLS 1.3 für alle Verbindungen. AES-256-GCM für gespeicherte Daten. Kundeneigene Schlüssel für höchste Schutzbedarfs-Stufen.
Backup-Strategie
3-2-1-Regel vorgesehen. Tägliche inkrementelle Backups mit Restic. Quartalsweise Restore-Tests sind vorgesehen.
Patch-Management
Sicherheits-Updates zeitnah, Critical-CVEs vorrangig. Ein auditierter Patch-Status ist im Aufbau.
Incident-Response
Dokumentierter Workflow mit 24-Stunden-Erstmeldung an den Kunden. 72-Stunden-Vollmeldung. Tabletop-Übungen sind vorgesehen.
Logging & Audit
Vorgesehen: vollständige Prüfprotokolle mit 90-Tage-Aufbewahrung. Anonymisierung personenbezogener Identifier. Einsicht für Kunden jederzeit.
Mitarbeiter-Awareness
Jährliche Pflichtschulung, Phishing-Simulationen und Compliance-Quiz sind vorgesehen.
Trennungsgebot
Strikte logische Trennung zwischen Kunden-Mandanten. Dedicated-Server-Option für höchste Vertraulichkeits-Anforderungen.
AVV-Status mit allen Cloud-Anbietern.
Vollständige Transparenz über jeden Sub-Auftragsverarbeiter, der theoretisch Zugriff auf Kundendaten haben könnte. Aktualisierung bei Änderung mit 30-Tage-Vorankündigung.
| Anbieter | Service | Sitz · Verarbeitung | Zertifikat | AVV / DSGVO-Mechanismus |
|---|---|---|---|---|
| Hetzner Online GmbH | Hosting · Compute · Storage · lokales LLM | Gunzenhausen/DE · Falkenstein/DE (EWR) | C5:2020 · ISO 27001 | geplant · AVV in Vorbereitung · DSGVO direkt (kein Drittland) |
| Cloud-LLM-Anbieter A (USA) | LLM-API für Spezialaufgaben — nur nach Schwärzung personenbezogener Daten | San Francisco/USA · EU-Region Dublin | SOC 2 Type II | ✓ DPA · SCC + TIA · US-CLOUD-Act/FISA §702-Risiko trotz EU-Endpunkt |
| Cloud-LLM-Anbieter B (EWR) | LLM-Inferenz, Embedding-Modelle | Paris/FR (EWR) | SOC 2 | ✓ AVV · DSGVO direkt (kein Drittland) |
| Cloud-LLM-Anbieter C (EWR) | LLM-API für Tool-Calls (optional) | Dublin/IE (EWR) | SOC 2 Type II | ✓ DPA · DPF · SCC für US-Subunternehmer |
| Cloudflare Inc. | CDN · DDoS · Pages-Hosting · Access SSO | San Francisco/USA · EU-Edge Deutschland | ISO 27001 · SOC 2 | ✓ DPA · SCC + TIA · US-CLOUD-Act-Risiko für Edge-Cache |
| Sipgate GmbH | SIP-Trunking · VoIP | Düsseldorf/DE (EWR) | ISO 27001 | ✓ AVV vorbereitet · DSGVO direkt |
Stand: 19.05.2026. Die optionalen Cloud-LLM-Anbieter stehen hier nur mit ihrer Rolle; namentlich geführt werden alle Anbieter auf /datenschutz/ und in Anlage 2 der AVV-PDF. Schrems-II-konforme TIA-Dokumentation für US-Anbieter auf Anfrage.
Multi-PSTN-Resilience — Keine Vendor-Lock-Falle.
Viele Voice-KI-Anbieter sind auf einen einzigen Telefonie-Provider gelockt. Wenn dieser Provider die Preise erhöht, die API throttled oder das Geschäftsmodell ändert, sind unsere Kunden direkt betroffen. DripBack ist anders aufgebaut.
Adapter-Pattern-Architektur
Unsere Telefonie-Schicht abstrahiert Telefonie-Vendoren hinter einer einheitlichen Schnittstelle. Vorgesehen sind derzeit:
- DIDWW (Litauen) — Pure-Play DID/SIP-Provider, EU-DSGVO-nativ, explizite Bring-Your-Own-KI-Strategie.
- easybell (Berlin) — Klassischer SIP-Trunk-Provider, DE-Data-Residency garantiert, keine KI-Receptionist-Roadmap.
- 3CX (Cyprus) — Optionales On-Prem-PBX-Fallback für Großkunden mit On-Prem-Pflicht (geplant).
Pivot-Pfad: 1-2 Wochen statt 6 Monate
Wenn ein Vendor problematisch wird (Preis-Erhöhung, API-Änderung, Insolvenz), kann DripBack durch einen einzelnen env-var-Switch (eine Konfigurationsumstellung) auf einen anderen Provider umschalten. Ein vollständiger Re-Build wäre sechs Monate — unser Pivot dauert ein bis zwei Wochen.
EU-Sovereignty als Cross-Product-Strategie
Alle vorgesehenen Telefonie-Vendoren liegen in der EU (Litauen, Berlin). Für die Telefonie entsteht so keine Drittland-Übermittlung und kein Cloud-Act-Risiko. Das ist nicht Zufall — sondern bewusste Architektur-Entscheidung für deutsche KMU-Kunden.
Stand: 17.09.2026. Entwicklung und Tests laufen über Sipgate; die Umstellung auf DIDWW + easybell ist vorbereitet (Code-Adapter gebaut, Tests in Vorbereitung). Der Produktivbetrieb startet mit dem Hosting. Diese Sektion wird mit jedem Migrations-Meilenstein aktualisiert.
Vertiefung je Standard.
BSI C5
Cloud-Compliance-Standard, Pflichtlage und aktuelle Anbieter-Liste. Whitepaper lesen →
DORA
5 Säulen, TLPT-Pflichten und Kosten für KMU-Finanzdienstleister. Whitepaper lesen →
TISAX
AL 2/AL 3 für Automotive-Zulieferer: Ablauf, Kosten, 9-Monats-Pfad. Whitepaper lesen →
§203 StGB
Berufsgeheimnis und Cloud-Nutzung für Ärzte, Anwälte, Steuerberater. Whitepaper lesen →
Ihr AVV ist ein Klick entfernt.
Den AVV-Vertrag für Ihren Einsatzfall setzen wir im Discovery-Audit gemeinsam auf. Standard-Templates mit erweiterten TOMs für Berufsgeheimnis-Schutz verfügbar.
IT-Leistungen im Überblick
DripBack ist IT-Dienstleister mit Sitz in Leopoldshöhe und deckt für Betriebe in Ostwestfalen-Lippe neun Leistungsbereiche ab. Jeder Bereich lässt sich einzeln beauftragen.
IT-SupportKI-TelefonassistentProzessautomatisierungWebentwicklung & HostingServer & On-PremiseIT-SicherheitDatenschutz & DSGVOIT-Beratung & FörderungIndividualsoftwareAlle Leistungen
Nächster Schritt
Passt das zu Ihrem Betrieb?
Im Discovery-Audit prüfen wir gemeinsam, welcher Ablauf sich bei Ihnen lohnt — und welcher nicht.