Umgang mit Daten · Stand vom 6. Oktober 2026
Wie wir mit Daten
umgehen.
Diese Seite fasst ehrlich zusammen, wie die SIMO GmbH in ihren Systemen und im Lab mit Daten umgeht: was heute erfüllt ist, was in Vorbereitung ist und wo wir bewusst noch nicht stehen.
1. DSGVO: was umgesetzt ist und wie es belegt wird
Eigene Bewertung, kein externes Audit. Eine Prozentzahl nennen wir dafür nicht, weil sie sich von außen nicht nachrechnen ließe. Stattdessen stehen hier die Punkte, auf die es ankommt.
Bringt ein Unternehmen für ein Vorhaben im Lab eigene personenbezogene Daten ein, schließt die SIMO GmbH vorher einen Auftragsverarbeitungsvertrag nach Artikel 28; wie das abläuft, steht auf der eigenen Seite dazu.
- Sieben aktive Auftragsverarbeiter, dokumentiert, mit vier Wochen Vorlauf bei jedem Wechsel nach Artikel 28 Absatz 2.
- Betrieb in der EU: Rechenleistung und Sicherungen bei Hetzner in Deutschland, die Modellausführung bei Modal Labs in Frankfurt.
- Betroffenenrechte nach den Artikeln 15 bis 22: Auskunft und Export auf Anfrage, dazu eine dokumentierte Löschmatrix.
- Datenschutz-Folgenabschätzung nach Artikel 35 für die Reichweitenmessung erstellt; jede neue KI-Funktion bekommt vor der Freischaltung ihre eigene.
2. EU AI Act: welche Pflichten greifen und wie sie erfüllt werden
Risikoklasse überwiegend minimal bis begrenzt, einzelne Arbeitsabläufe mit Transparenzpflicht nach Artikel 50.
Im Lab ist die SIMO GmbH Betreiberin im Sinne von Artikel 3 Nummer 4: Sie setzt Modelle Dritter mit allgemeinem Verwendungszweck, nämlich Apertus 8B und die Mistral-Familie, für eigene Erprobungen ein. Über das Lab bringt sie kein KI-System in Verkehr.
- Die Transparenzpflicht aus Artikel 50 ist umgesetzt: Jede Antwort wird über einen eigenen Antwortkopf und einen sichtbaren Hinweis als von KI erzeugt gekennzeichnet.
- Modellkarten für Apertus 8B und die Mistral-Familie mit Anbieter, Lizenz, Wissensstand und Einsatzgrenzen.
- Jeder Modellaufruf wird dreißig Tage lang mit Modellkennung, Mandanten-Hash, Token-Zahl und Antwort-Hash protokolliert.
- Kein Hochrisiko-KI-System: Keine Funktion fällt heute unter Anhang III, also keine biometrische Bewertung, keine Personalvorauswahl, kein Bildungsranking.
3. ISO/IEC 27001: in Vorbereitung
Die Arbeit an Anhang A läuft, ein Teil der Maßnahmen steht noch aus. Das Zertifizierungsaudit ist für 2027 geplant; ein Zertifikat gibt es heute nicht.
Bestandsverzeichnis, Risikoregister, Anwendbarkeitserklärung und Notfallreaktion sind im Aufbau; die Dokumentenlenkung läuft über das Repository.
Hetzner als Betreiber der Infrastruktur ist nach ISO/IEC 27001 zertifiziert. Auf dieser Ebene wirkt das bereits heute.
4. BSI C5: Vorbereitung ab dem vierten Quartal 2026
Die Zuordnung der Kontrollen aus C5:2020 zu den bestehenden Maßnahmen läuft, beginnend mit den Bereichen Betrieb, Identitätsverwaltung und Schlüsselverwaltung.
Ein Testat liegt heute nicht vor.
5. Barrierefreiheit: teilkonform
Freiwillige Selbstverpflichtung auf WCAG 2.1 Stufe AA, heute teilweise erfüllt.
Die Erklärung zur Barrierefreiheit ist veröffentlicht und nennt die bekannten Einschränkungen und den Rückmeldeweg.
6. Schrems II und Übermittlungen in Drittländer
Die Methodik zur Folgenabschätzung von Übermittlungen ist dokumentiert; die EU-Standardvertragsklauseln 2021/914 sind für jeden US-Auftragsverarbeiter abgeschlossen, soweit dort verarbeitet wird.
Der Regelweg ist die Verarbeitung in der EU. Eine Übermittlung in die Vereinigten Staaten findet nur statt, wenn für ein Vorhaben ein entsprechender Anschluss bewusst eingeschaltet wird, etwa Tavily oder Microsoft Graph.
Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert.
7. Datensouveränität: wo was liegt
| Speicherort | Verschlüsselung | |
|---|---|---|
| Mandantendatenbanken (PostgreSQL) | Hetzner, Deutschland | TLS auf dem Weg, LUKS im Ruhezustand, Spaltenverschlüsselung für Geheimnisse mit rotierendem Hauptschlüssel |
| Sicherungen, täglich, dreißig Tage | Hetzner Storage Box, Deutschland | AES-256 mit getrenntem Schlüsselpfad |
| Eingaben und Antworten der Sprachmodelle | Modal Labs, Frankfurt | TLS auf dem Weg, keine Speicherung beim Modellanbieter |
| Hochgeladene Dateien | Hetzner und Cloudflare R2 in EU-Buckets | TLS auf dem Weg, AES-256 im Ruhezustand |
| Anmeldegeheimnisse | Hetzner, Deutschland | Argon2id für Kennwörter, Hauptschlüssel getrennt vom Signaturschlüssel |
| Support-Vorgänge | Hetzner, Deutschland | TLS auf dem Weg, LUKS im Ruhezustand |
8. Auftragsverarbeiter: sieben, vollständig
Funktion, Region und vertragliche Grundlage je Anbieter. Auftraggeber mit Auftragsverarbeitungsvertrag werden über jeden Wechsel vier Wochen vorher per E-Mail unterrichtet, wie es Artikel 28 Absatz 2 verlangt.
| Funktion | Region | Grundlage | |
|---|---|---|---|
| Hetzner Online GmbH | Server, Speicher, Sicherungen | Deutschland | Auftragsverarbeitungsvertrag, ISO/IEC 27001 |
| Cloudflare, Inc. | Abwehr von Überlastangriffen, Firewall, DNS, Tunnel | Weltweit; Auslieferung in der EU | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln, ISO/IEC 27001 |
| Modal Labs, Inc. | Rechenleistung für Sprachmodelle | EU (Frankfurt) | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln, keine Speicherung |
| Tavily, Inc. | Websuche, nur nach Zustimmung des Mandanten | Vereinigte Staaten | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln |
| Microsoft Corporation | Microsoft-365-Anschluss, nur nach Zustimmung des Mandanten | EU nach Wahl des Mandanten | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| GitHub, Inc. | Quellcode-Ablage, keine Mandantendaten | Vereinigte Staaten | Auftragsverarbeitungsvertrag, EU-US Data Privacy Framework |
| GitGuardian, Inc. | Prüfung auf offengelegte Geheimnisse, keine Mandantendaten | EU | Auftragsverarbeitungsvertrag |
9. Zertifikate: nur, was es wirklich gibt
Hier steht nur, was tatsächlich vorliegt. Externe Auditzertifikate sind das heute noch nicht. Die Plätze bleiben als ehrliches Zeichen sichtbar.
- ISO/IEC 27001: geplant für 2027.
- BSI C5: Vorbereitung ab dem vierten Quartal 2026.
- TISAX: auf Anforderung.
10. Kontakt und Anforderungen
Für Compliance-Anfragen, Auftragsverarbeitungsverträge, Lieferantenprüfungen oder den Zugang für Prüfer.
Postanschrift: SIMO GmbH, Stichwort Compliance, Würzburger Straße 152, 63743 Aschaffenburg, Deutschland.
Diese Seite wird mindestens vierteljährlich überprüft und außerdem bei jeder wesentlichen Änderung an den Systemen.
- Compliance: compliance@simo-online.com
- Datenschutz: datenschutz@simo-online.com
- Barrierefreiheit: barrierefreiheit@simo-online.com