EU-Hosting in Deutschland — und das gilt für jeden Bot.
Plattform-Infrastruktur läuft bei Hetzner in Deutschland. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, AVV nach Art. 28 DSGVO auf Anfrage. Subprocessors-Liste mit Standorten und Garantien öffentlich einsehbar.Kein Marketing-Tracking für anonyme Bot-Besucher.
Drei Punkte, die Bot-Anbieter ehrlich beantworten sollten.
- Wo liegt die Infrastruktur? Plattform-Hosting bei Hetzner in Deutschland (ISO 27001). Cloudflare ist als Edge vorgeschaltet (USA, EU-US DPF + Standardvertragsklauseln). Subprocessors mit Sitz und Datenkategorien stehen in unserer Liste.
- Wie sind die Rollen geregelt? Hauptmodell ist die gemeinsame Verantwortlichkeit (Art. 26 DSGVO); einen AVV nach Art. 28 DSGVO stellen wir auf Anfrage als gesondertes Dokument bereit. Mit jedem aktiven Subprocessor (Hetzner, Cloudflare, IONOS, Stripe, LLM-Anbieter) bestehen schriftliche AVVs.
- Welche LLM-Anbieter werden genutzt? Aktuell produktiv: Cerebras (USA), Google (Irland), Anthropic (USA), Groq (USA). Bei US-Anbietern greifen EU-US DPF und/oder SCCs; Inputs werden vertraglich nicht zum Modelltraining verwendet.
Gemeinsame Verantwortlichkeit — AVV nach Art. 28 auf Anfrage.
Hauptmodell ist die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO (Details unter /legal/joint-controllership). Soweit wir personenbezogene Daten ausschließlich nach deiner Weisung verarbeiten, stellen wir dir auf Anfrage einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO als gesondertes Dokument bereit. Maßgeblich ist die Master-AGB unter /terms.
Master-AGB, Datenschutzerklärung, Subprocessors-Liste — alle drei öffentlich.
Die drei Dokumente, in denen die Verträge stehen:
- Master-AGB mit den Datenschutz-Rollen (gemeinsame Verantwortlichkeit, AVV nach Art. 28 DSGVO auf Anfrage) — /terms.
- Datenschutzerklärung mit Verarbeitungsschritten, Rechtsgrundlagen und Speicherfristen — /privacy.
- Subprocessors-Liste mit Sitz, Zweck, Datenkategorien und Drittland-Garantien (EU-US DPF / SCCs) — /subprocessors.
Bei Änderungen der Subprocessors informieren wir vorab in der Liste.
Welche DSGVO-Pflichten bereits abgedeckt sind.
Sechs Punkte, die bei Zeptix vertraglich und technisch geregelt sind — jeweils mit Verweis auf die belegbaren Quellen (Master-AGB, Datenschutzerklärung, Subprocessors-Liste).
DSGVO Art. 6 + 28
Du bist Verantwortlicher für deine Daten, Zeptix ist Auftragsverarbeiter. Geregelt in Master-AGB und Datenschutzerklärung.
Subprocessors transparent
Die vollständige Liste der Subunternehmer (Hosting, CDN, E-Mail, Zahlungsabwicklung, KI-Inferenz) inkl. Sitz, Datenkategorien und Drittland-Garantien ist öffentlich unter /subprocessors einsehbar.
TOMs vertraglich vereinbart
Technische und organisatorische Maßnahmen sind mit Hetzner als Hosting-Provider (ISO 27001) und mit Cloudflare (EU-US DPF + Standardvertragsklauseln) vertraglich geregelt.
Recht auf Löschung
Account-Löschung über das Dashboard. Nach Vertragsende wird der Bot deaktiviert und die Wissensbasis bis zu 60 Tage für Export oder Reaktivierung aufbewahrt, danach gelöscht — vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Server-Logfiles kurz aufbewahrt
Technische Server-Logs werden zur Betriebssicherung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO) und nach 14 Tagen automatisch gelöscht oder anonymisiert.
Cookie-frei für anonyme Nutzer
Anonyme Bot-Besucher bekommen keine Tracking-Cookies und keine Marketing-Pixel — nur technisch notwendige Cookies.
Vier Bausteine, die das Sicherheits-Versprechen tragen.
Hetzner-Rechenzentrum (Deutschland)
Plattform-Infrastruktur läuft bei Hetzner in Deutschland. Hetzner ist ISO 27001 zertifiziert. Datenbanken, Caches und Object-Storage liegen ebenfalls dort.
Cloudflare als Edge
Cloudflare (USA) liefert DDoS-Schutz, CDN und Cloudflare Turnstile als Bot-Schutz. Cloudflare ist nach EU-US Data Privacy Framework zertifiziert; AVV inkl. Standardvertragsklauseln liegt vor.
Datenschutz-Rollen nach DSGVO
Hauptmodell ist die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO; einen AVV nach Art. 28 DSGVO stellen wir Kunden auf Anfrage als gesondertes Dokument bereit. Mit allen aktiven Subprocessors (Hetzner, Cloudflare, IONOS, Stripe, LLM-Anbieter) bestehen schriftliche AVVs.
KI-Inferenz nur bei AVV-Anbietern
Aktuell produktiv: Cerebras (USA), Google (Irland), Anthropic (USA), Groq (USA). Mit allen Anbietern bestehen AVVs; Inputs werden vertraglich nicht zum Modelltraining verwendet. Sitz und Garantien stehen unter /subprocessors.
FAQ zu Sicherheit & DSGVO.
Welche LLM-Anbieter setzt Zeptix produktiv ein?
Aktuell produktiv: Cerebras (USA), Google (Irland), Anthropic (USA) und Groq (USA). Mit allen bestehen AVVs nach Art. 28 DSGVO; bei US-Anbietern greifen EU-US DPF oder Standardvertragsklauseln. Neue oder zusätzliche LLM-Anbieter werden vorab in der Subprocessors-Liste angekündigt. Vollständig unter /subprocessors.
Wo genau liegen die Server?
Plattform-Infrastruktur (App-Server, Datenbanken, Caches, Object-Storage) läuft bei Hetzner in Deutschland. Cloudflare ist als CDN/DDoS-Edge vorgeschaltet (USA, EU-US DPF + SCCs). Detaillierte Standorte aller Subprocessors siehe /subprocessors.
Welche Zertifizierungen liegen vor?
Hetzner als Hosting-Provider ist ISO 27001 zertifiziert. Cloudflare ist nach EU-US Data Privacy Framework zertifiziert. Zeptix selbst ist als Plattform derzeit nicht extern zertifiziert.
Werden meine Daten zum Training von Modellen verwendet?
Nein. Eingaben werden nicht zum Training von Modellen verwendet — alle eingesetzten KI-Provider schließen die Trainingsnutzung von API-Inputs in ihren Datenpolicies aus.
Wie lange werden Logs und Daten aufbewahrt?
Server-Logfiles: 14 Tage, danach automatische Löschung oder Anonymisierung. Account- und Vertragsdaten: für die Vertragsdauer plus gesetzliche Aufbewahrungsfristen (z. B. 10 Jahre nach § 147 AO für rechnungsrelevante Daten, sonst 30 Tage nach Account-Löschung). Wissensbasis nach Vertragsende: bis zu 60 Tage für Export oder Reaktivierung, danach Löschung. Details in der Datenschutzerklärung.
Kann ich Behörden-Anfragen oder Audits gegenüber Zeptix initiieren?
Ja. Der AVV enthält die Pflicht zur Mitwirkung bei Audits. Audit-Anfragen bitte schriftlich an [email protected] — Reaktionszeit max. 14 Tage, Audit selbst nach Abstimmung.
Hosting in Deutschland, AVV im Master-Vertrag.
Plattform bei Hetzner in Deutschland. Subprocessors transparent. Datenschutz-erklärung und Master-AGB öffentlich einsehbar.
