Fragen von IT und Datenschutz
Kurze Antworten auf die Fragen, die IT-Verantwortliche und Datenschutzbeauftragte vor einer Einführung stellen, mit Verweis auf die verbindlichen Dokumente.
Hier finden Sie die Fragen, die uns IT-Verantwortliche und Datenschutzbeauftragte am häufigsten stellen. Die Antworten sind kurz und verweisen auf die Seite oder das Dokument mit den Einzelheiten.
Daten und Verarbeitung
Nein. Custodos trainiert keine KI-Modelle mit Ihren Daten. Die Modelle in der EU und der Schweiz nutzt Custodos über die Geschäftskunden-Schnittstellen von AWS, Google Cloud und Microsoft Azure. Deren Bedingungen schliessen die Verwendung von Kundeneingaben für das Modelltraining aus.
In der Schweiz. Anwendung und Datenbank mit Chats, Dateien, Company Brain und Benutzerkonten laufen in der Schweiz. Sicherungen werden vor dem Upload verschlüsselt und in Zürich abgelegt. Siehe Wo Ihre Daten liegen.
In der Region, die Ihre Admins wählen: «Schweiz», «Europäische Union», «EU + Schweiz» (voreingestellt) oder «Global». Modelle ausserhalb der Region werden nicht angeboten und vom Server abgelehnt. Bei jedem Modell ist sichtbar, wo es läuft. Admins sehen zusätzlich, ob der Standort technisch erzwungen, nachgeprüft oder vertraglich zugesichert ist. Siehe Wo Ihre Daten liegen.
Inhalte nur, wenn Ihre Admins die Verarbeitungsregion «Global» wählen; dann können auch Modelle ohne Residenz-Zusage genutzt werden, zum Beispiel bei OpenAI in den USA. Bei kostenpflichtiger Nutzung erhält ein Zahlungsdienstleister mit Verarbeitung in der EU und den USA Rechnungsdaten, nie Chat-, Datei- oder Prompt-Inhalte.
Verbundene Konten wie Outlook, Google Drive oder Microsoft 365 gehören Ihnen. Was Custodos dort ablegt, etwa einen Mail-Entwurf, liegt dort, wo Ihr eigenes Konto gehostet wird.
Ja. AWS, Google Cloud und Microsoft Azure gehören zu Konzernen mit Sitz in den USA. Sie betreiben die Modelle für Custodos in Rechenzentren in der EU und der Schweiz, Vertragspartner sind ihre europäischen Gesellschaften. Nur mit der Region «Global» kommen Modelle ohne Residenz-Zusage hinzu. Die Sicherungen bei AWS liegen nur verschlüsselt, ohne Zugriff auf den Klartext. Als zusätzliche Schutzmassnahme dient die Pseudonymisierung: Erkannte Personendaten erreichen den Modellanbieter nur als Platzhalter. Die Einzelheiten stehen in Anhang 3 des AVV.
Die vollständige Liste mit Sitz, Leistung, Datenstandort und Transfergrundlage steht in Anhang 3 des AVV und in der Datenschutzerklärung. Einige kommen nur zum Einsatz, wenn Sie die betreffende Option aktivieren, etwa die Region «Global». Über beabsichtigte Änderungen informiert Custodos vorab, und Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen.
Kontodaten (E-Mail-Adresse, Name, Rollen), die Inhalte Ihres Workspace (Prompts, Dateien, Antworten), Nutzungs- und Abrechnungsdaten ohne Prompt-Inhalte sowie technische Logs und ein Protokoll administrativer Aktionen, beide ohne Prompt-Inhalte. Die Inhalte können je nach Nutzung jede Kategorie von Personendaten enthalten, auch besonders schützenswerte. Für diese Inhalte ist Ihr Unternehmen Verantwortlicher und Custodos Auftragsverarbeiter.
So lange, wie Ihre Admins es festlegen. Eine Aufbewahrungsdauer pro Workspace wird jede Nacht automatisch umgesetzt; ohne Einstellung bleiben Chats, bis jemand sie löscht. Verbrauchs- und Rechnungsdaten bleiben wegen der Buchführungspflicht zehn Jahre. Siehe Zugriff, Aufbewahrung und Löschung.
Vertrag und Nachweise
Ja. Der AVV nach Art. 28 DSGVO und Art. 9 DSG ist automatisch Bestandteil der AGB. Er enthält die technischen und organisatorischen Massnahmen (Anhang 2) und die Unterauftragsverarbeiter (Anhang 3). Ein gegengezeichnetes Exemplar erhalten Sie auf Anfrage an [email protected].
Nein. Custodos hat derzeit keine eigene Zertifizierung nach ISO 27001 und keinen SOC-2-Bericht. Die Einhaltung des AVV weist Custodos durch Selbstauskunft und die dokumentierten Massnahmen in Anhang 2 nach. Bei begründetem Anlass können Sie weitergehende Überprüfungen durchführen oder durch eine zur Vertraulichkeit verpflichtete Stelle durchführen lassen, nach Vorankündigung auch vor Ort.
Custodos meldet Verletzungen des Schutzes von Personendaten ohne unangemessene Verzögerung, nachdem sie bekannt geworden sind, und unterstützt Sie bei Ihren eigenen Meldepflichten. Geregelt ist das in Ziffer 7 des AVV.
Nein. Custodos erbringt den Dienst mit angemessener Sorgfalt, sichert aber kein bestimmtes Service-Level zu. Geplante Wartungen werden nach Möglichkeit vorab angekündigt. Die Verfügbarkeit einzelner Modelle hängt zusätzlich von den Modellanbietern ab.
Ja, auf Anfrage. Custodos stellt vor oder bei Vertragsende einen Export Ihrer Workspace-Daten bereit. Danach werden die Inhalte gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Zugriff und technische Sicherheit
Die Person, die einen Chat führt, und die Mitglieder, mit denen sie ihn teilt. Admins sehen keine Inhalte privater Chats. Freigaben gelten nur für angemeldete Mitglieder desselben Workspace, öffentliche Links gibt es nicht. Das Custodos-Team tritt Ihrem Workspace nicht bei. Siehe Zugriff, Aufbewahrung und Löschung.
Direkt in der Datenbank. Jede Tabelle mit Kundendaten ist mit Row-Level-Security geschützt, und der Workspace wird für jede Transaktion neu gesetzt, sodass eine wiederverwendete Datenbankverbindung keinen fremden Kontext übernehmen kann. Automatisierte Tests prüfen die Trennung zwischen Kunden laufend. Auch der Kontext-Cache beim Modellanbieter ist pro Workspace mit einem eigenen Schlüssel getrennt.
Alle Verbindungen laufen über TLS. Die Zuordnung der Pseudonymisierung, gespeicherte Anbieter-Schlüssel und die Zugangstoken verbundener Konten sind mit AES-256-GCM verschlüsselt. Sicherungen werden vor dem Upload verschlüsselt. Chats und Dokumente sind nicht Ende-zu-Ende-verschlüsselt, weil Custodos sie lesen muss, um sie an das gewählte Modell zu senden.
Nein. Server-Logs und das Aktivitätsprotokoll enthalten nur Metadaten, also wer was wann getan hat, nie Prompt-Inhalte.
Ja. Mit SSO erzwingen müssen sich alle Mitglieder mit Google oder Microsoft anmelden, E-Mail-Anmeldelinks sind dann gesperrt. Zusätzlich lassen sich Einladungen auf eine Domain beschränken. Andere Identitätsanbieter über SAML und die Benutzerverwaltung über SCIM werden derzeit nicht unterstützt. Siehe Anmeldung und Zugang.
Nein. Die Anwendung verwendet ausschliesslich funktionale Cookies, etwa für die Anmeldung und die Spracheinstellung. Es gibt keine Tracker und keine Werbe- oder Analyse-Cookies von Dritten.
Personendaten und Berufsgeheimnis
Das hängt von Ihrer eigenen Rechtsgrundlage ab, und diese Seite ersetzt keine Rechtsberatung. Für die Inhalte bleibt Ihr Unternehmen Verantwortlicher und muss sicherstellen, dass es die Daten so verarbeiten darf. Custodos verarbeitet sie als Auftragsverarbeiter nach dem AVV und gibt Ihnen dafür Werkzeuge: Pseudonymisierung, den Modus «Blockieren», den Sicherheitsmodus, die Wahl der Region und eine Aufbewahrungsdauer.
Ob Sie solche Daten verarbeiten dürfen, etwa als Kanzlei, Treuhandbüro oder Arztpraxis, müssen Sie selbst beurteilen; Custodos gibt dazu keine Rechtsberatung. Für besonders heikle Gespräche gibt es den Sicherheitsmodus: Nur das Modell, das Ihre Admins festlegen, jede erkannte Angabe wird ohne Ausnahme pseudonymisiert, keine Websuche und keine Bilder. Wählen Sie dafür ein Modell in der Region, die Ihre Anforderungen erfüllt. Siehe Sicherheitsmodus einrichten.
Nein. Custodos bewahrt die Zuordnung zwischen Platzhalter und echtem Wert auf, um die Antwort wiederherzustellen. Die Daten bleiben damit einer Person zuordenbar. Siehe So funktioniert die Pseudonymisierung.