⛨Sicherheit und Datenschutz

Auf Servern in Deutschland. Jede Instanz hat eine eigene Datenbank; zwei Instanzen sehen einander nicht, auch wenn sie auf derselben Maschine laufen.

Für einen Self-host-Betrieb gilt das, was Sie selbst einrichten — dann liegen die Daten dort, wo Ihre Infrastruktur steht.

Die genaue Angabe für Ihre Installation — Rechenzentrum, Standort, eingesetzte Unterauftragsverarbeiter — steht in Ihrem Auftragsverarbeitungsvertrag und in den Rechtstexten Ihrer Instanz.

Ja, wenn jemand in Ihrem Auftrag personenbezogene Daten verarbeitet, und das trifft auf den Betreiber Ihrer Instanz zu.

Der Vertrag regelt, was mit den Daten geschehen darf, welche Unterauftragsverarbeiter beteiligt sind, welche technischen und organisatorischen Maßnahmen gelten und was bei Vertragsende passiert. Ohne ihn fehlt der Verarbeitung die Grundlage nach Art. 28 DSGVO.

Aurora erzeugt aus Ihren Stammdaten einen Entwurf mitsamt Anlage über die technischen Maßnahmen. Lassen Sie ihn prüfen, bevor Sie ihn verwenden — er ist ein Entwurf, keine Rechtsberatung.

Das hängt davon ab, welche Module bei Ihnen eingeschaltet sind, und genau deshalb wird die Liste in Aurora aus der tatsächlichen Konfiguration Ihrer Instanz abgeleitet, nicht aus einer festen Vorlage. Was dort steht, ist auch wirklich eingeschaltet.

Typischerweise beteiligt sind: der Betreiber der Server, Ihr Mailanbieter (denn über dessen Postfach versenden Sie), und — sofern eingeschaltet — der KI-Dienst und die Suchdienste für die Recherche.

Die Liste finden Sie unter Rechtliches; sie gehört als Anlage in den Auftragsverarbeitungsvertrag.

Nur das, was für den angestoßenen Arbeitsschritt nötig ist — und nur, wenn Sie ihn anstoßen. Es gibt keinen Hintergrundprozess, der Ihren Bestand durchsieht.

Zwei Stellen sind ausdrücklich ohne KI gebaut, obwohl es dort naheliegend wäre:

• Die Spaltenerkennung beim Import. Dort wird gerechnet, nicht gefragt — kein Wert aus Ihrer Datei geht an einen KI-Dienst. Bei Kontaktdaten ist das kein Detail.
• Die Erkennung von Branchen und Sparten in der Recherche kommt ohne KI aus.

Wo KI eingesetzt wird — Texte erzeugen, Profile bewerten, übersetzen —, ist das gekennzeichnet und kostenpflichtig.

Für die geschäftliche Nutzung der eingesetzten Schnittstellen gilt, dass übermittelte Inhalte nicht zum Training verwendet werden. Was für Ihre Installation vertraglich vereinbart ist, steht in Ihrem Auftragsverarbeitungsvertrag.

Unabhängig davon bleibt die praktische Regel: Was nicht hinausgehen muss, geht nicht hinaus. Deshalb ist die Spaltenerkennung beim Import ohne KI gebaut, und deshalb gibt jeder KI-Schritt nur den Ausschnitt weiter, den er braucht.

Innerhalb Ihrer Instanz: alle, die einen Zugang haben. Die Rolle steuert, welche Bereiche jemand sieht, nicht welche Datensätze — ein Caller sieht dieselben Kontakte wie ein Admin.

Von außen: der Betreiber der Instanz, im Rahmen des Auftragsverarbeitungsvertrags und beschränkt auf das, was Betrieb und Fehlersuche erfordern.

Was jede Änderung nachvollziehbar macht, ist das Zugriffsprotokoll: wer, wann, wo, mit welchem Ergebnis. Lesen wird bewusst nicht protokolliert, und der Inhalt einer Änderung ebenfalls nicht — er wäre eine zweite, ungeschützte Kopie aller Personendaten.

Aurora löscht von sich aus fast nichts — das ist Absicht: Automatisches Löschen in einem System mit geschäftlichen Vorgängen erzeugt mehr Schaden als Nutzen.

Was Sie steuern:

• Kontakte löschen Sie selbst; dabei gehen Notizen, Aufgaben, Wiedervorlagen und der Mailverlauf mit.
• Anhänge archivieren oder löschen Sie.
• Verbrauchszähler werden drei Monate aufbewahrt.

Was Sie regeln sollten, ist das Gegenstück dazu: ein eigenes Löschkonzept, das sagt, wie lange Sie welche Daten behalten. Die DSGVO verlangt keine bestimmte Frist, aber sie verlangt, dass Sie eine haben und einhalten.

Die Detailansicht des Kontakts zeigt alles, was zu dieser Person gespeichert ist: Stammdaten, Notizen, den vollständigen Mailverlauf, Anrufe, Aufgaben und Wiedervorlagen. Dazu kommt der CSV-Export.

Denken Sie an die Angaben, die über die Daten selbst hinausgehen und ebenfalls Teil der Auskunft sind: Herkunft (steht im Import-Protokoll), Zweck und Empfänger (aus Ihren eigenen Rechtstexten), sowie die Speicherdauer.

Setzen Sie die Antwortfrist nicht zu knapp an: Ein Monat ist die Regel, und die Zeit vergeht schnell, wenn intern erst geklärt werden muss, wer zuständig ist.

Schnell und geordnet, in dieser Reihenfolge:

1. Zugang sperren, über den es passiert sein könnte.
2. Melden — an den Betreiber Ihrer Instanz, sofort. Nicht erst prüfen, ob es wirklich schlimm ist; das kostet die Zeit, die für die Meldefrist gebraucht wird.
3. Festhalten, was Sie wann bemerkt haben. Das Zugriffsprotokoll hilft bei der Rekonstruktion.
4. Bewerten, ob eine Meldung an die Aufsichtsbehörde nötig ist. Die Frist beträgt 72 Stunden ab Kenntnis — sie läuft, während man noch überlegt.

Was Sie nicht tun sollten: Spuren aufräumen. Protokolle sind in diesem Moment das Wertvollste, was Sie haben.

Die Maßnahmen, die im Betrieb tragen:

• Getrennte Instanzen je Kunde — eigene Datenbank, eigene Umgebung.
• Verschlüsselte Übertragung und verschlüsselte Ablage von Postfach-Zugangsdaten, die nie wieder angezeigt werden.
• Anmeldung über den Anbieter (statt Kennwortweitergabe), wo der Mailanbieter das unterstützt.
• Zugriffsprotokoll über alle ändernden Vorgänge.
• Tägliche Sicherungen samt Rückspieltest.
• Schutzbremsen gegen zu viele Anfragen in kurzer Zeit.

Was das System nicht leisten kann, ist der Teil, der bei Ihnen liegt: eigene Kennwörter, abgeschaltete Zugänge ausgeschiedener Personen, Sorgfalt beim Export.

Er kann eins werden. Ein Export nimmt personenbezogene Daten aus dem geschützten System heraus — danach gelten dieselben Pflichten, aber keine der technischen Schutzmaßnahmen mehr.

Praktisch heißt das: nicht ungeschützt per Mail verschicken, nicht auf einem privaten Rechner ablegen, nach Gebrauch löschen. Und: Der Export selbst steht im Zugriffsprotokoll — was gut ist, denn im Zweifel ist er die Spur.

Es kommt darauf an, wo.

• Dass Software mit KI-Unterstützung entwickelt wurde, ist nicht kennzeichnungspflichtig und gehört nicht ins Impressum.
• KI im Produkt, die auf Menschen wirkt, ist eine andere Sache. Wer mit einem KI-System interagiert, muss das erkennen können.
• Besonders streng ist der Einsatz von KI bei der Auswahl von Bewerbern: Das fällt in Europa unter die Hochrisiko-Einstufung und bringt eigene Pflichten mit sich — menschliche Kontrolle, Nachvollziehbarkeit, Information der Betroffenen.

Wenn Sie das KI-Matching im Bewerbungsmodul einsetzen, klären Sie diesen Punkt, bevor Sie es produktiv nutzen.

In den meisten Fällen ja. Die Ausnahme für kleine Unternehmen greift kaum, sobald personenbezogene Daten regelmäßig verarbeitet werden, und ein CRM tut genau das.

Was hineingehört: Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen, technische und organisatorische Maßnahmen.

Die Angaben dafür haben Sie größtenteils schon: Die Liste der eingesetzten Dienste steht in den erzeugten Rechtstexten, die Maßnahmen in der Anlage zum Auftragsverarbeitungsvertrag.

Pflicht ab 20 Personen, die ständig personenbezogene Daten verarbeiten — so steht es auch am Feld in den Stammdaten. Unabhängig von der Zahl kann eine Pflicht bestehen, wenn die Verarbeitung besonders umfangreich oder heikel ist.

Wenn Sie eine benennen, gehört sie in die Stammdaten: Von dort erscheint sie in Impressum und Datenschutzerklärung, und genau dort sucht sie jemand, der eine Anfrage stellen will.

Für eine konkrete Bewerbung gilt: nach Abschluss des Verfahrens noch so lange, wie Ansprüche geltend gemacht werden könnten — in der Praxis werden dafür üblicherweise sechs Monate angesetzt.

Wollen Sie ein Profil darüber hinaus im Netzwerk behalten, brauchen Sie die Einwilligung der Person. Das ist kein Formalismus: Ein Kandidatenpool ohne Einwilligungen ist bei der ersten Anfrage angreifbar.

Legen Sie fest, wie lange ein Profil ohne Kontakt bleibt, und halten Sie sich daran.

Der Betrieb der Instanzen läuft in Deutschland. Was darüber hinausgeht, hängt an den eingeschalteten Modulen: KI-Auswertungen und bezahlte Suchdienste laufen über Anbieter, deren Verarbeitung nicht auf Europa beschränkt ist.

Deshalb steht die Liste der beteiligten Dienste in den Rechtstexten Ihrer Instanz — abgeleitet aus der tatsächlichen Konfiguration. Wenn Sie diese Übermittlung nicht wollen, ist der saubere Weg, die betreffenden Module nicht freizuschalten.

Mit drei Fragen, die Sie schriftlich beantworten sollten — die Abwägung muss nachvollziehbar sein:

1. Gibt es ein Interesse? Kundengewinnung ist eines. Bis hierher ist es einfach.
2. Ist die Verarbeitung dafür erforderlich? Brauchen Sie wirklich alle Angaben, die Sie speichern?
3. Überwiegen die Interessen der betroffenen Person? Hier entscheidet der Einzelfall: Ein sachlicher Bezug zum Empfänger spricht für Sie, eine gekaufte Liste ohne Bezug dagegen.

Halten Sie das Ergebnis fest. Eine Abwägung, die nur im Kopf stattgefunden hat, ist im Streitfall keine.

Vier Regeln, die zusammen den Großteil der Vorfälle verhindern:

• Nur, was gebraucht wird. Ein Profil, kein ganzer Export.
• Nicht ungeschützt per Mail. Mail ist eine offene Postkarte; für sensible Unterlagen ist ein geschützter Ablageort besser.
• Empfänger prüfen. Die automatische Ergänzung im Mailprogramm ist die häufigste Ursache für Fehlversand.
• Grundlage klären. Wer in Ihrem Auftrag verarbeitet, braucht einen Vertrag.

Der Klassiker bleibt der Verteiler in Kopie statt in Blindkopie — das ist ein meldepflichtiger Vorfall, kein Versehen.

An dem, was sie von Ihnen will. Kein Systemhinweis fordert Sie auf, ein Kennwort auf einer verlinkten Seite einzugeben oder eine Datei zu öffnen, die Sie nicht erwartet haben.

Praktische Prüfungen:

• Adresszeile lesen, nicht den angezeigten Text eines Links.
• Nicht aus der Mail heraus anmelden, sondern die Adresse Ihrer Instanz selbst aufrufen.
• Bei Unsicherheit nachfragen — ein kurzer Anruf kostet weniger als ein übernommener Zugang.

Ein übernommener Zugang ist der wahrscheinlichste Weg zu einem Datenabfluss, und Phishing ist der wahrscheinlichste Weg zu einem übernommenen Zugang.

Nicht öffnen, nicht weiterleiten, und den Absender nicht über die Antwortfunktion fragen — bei einer gefälschten Adresse landet die Rückfrage beim Angreifer.

Melden Sie es intern, und wenn die Nachricht über ein verbundenes Postfach kam, sagen Sie es dem Betreiber Ihrer Instanz. Löschen Sie sie nicht sofort: Solange sie da ist, lässt sich nachvollziehen, was passiert ist.

Wenn jemand den Anhang bereits geöffnet hat, ist das ein Verdachtsfall — dann gilt der Ablauf für einen Datenabfluss.