Nicht „in der EU“. Nicht „bei zertifizierten Partnern“. Sondern: diese drei Rechenzentren, 740 Kilometer auseinander — jedes mit Anbieter, Region und Zweck. Fahr über einen Punkt.
Art. 28 DSGVO gibt euch das Recht, sie zu kennen. Bei uns müsst ihr nicht danach fragen — sie steht hier, mit Widerspruchsfrist von 60 Tagen bei jeder Ergänzung.
| Anbieter | Wofür | Welche Daten | Region |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Datenbank, Objektspeicher, Backups | alle Kundendaten im Ruhezustand | DE Falkenstein · Nürnberg |
| Scaleway SAS | Transaktions-E-Mail — Einladungen, Erinnerungen, Workflow-Mails | E-Mail-Adresse, Betreff, Inhalt | FR Paris |
| Mistral AI SAS | KI-Funktionen — Zusammenfassungen, Entwürfe, Anreicherung | der übergebene Text und die Antwort | FR Paris |
| Cloudflare Germany GmbH | DNS, CDN, Schutz vor Angriffen | Domain-Metadaten, Anfrage-Protokolle | EU europäische Knoten |
| Sentry GmbH | Fehlerprotokollierung | technische Fehlerspuren — personenbezogene Daten abgeschaltet | EU |
| DocuSign nur auf Wunsch | E-Signatur im Vertragsmodul | Vertrags-PDF, Empfängeradressen, Prüfpfad | EU Datenregion, US-Konzern |
| Anthropic nur auf Wunsch | KI-Funktionen, wenn ihr sie ausdrücklich freischaltet | der übergebene Text und die Antwort | US nur mit unterschriebenem Anhang |
Die beiden letzten Zeilen sind für keinen Mandanten aktiv, solange er sie nicht selbst bestellt und den zugehörigen Anhang unterschrieben hat. Es gibt keinen Schalter, der sie versehentlich einschaltet — die Freigabe ist an ein Vertragsdokument gebunden, nicht an eine Einstellung.
Datenschutz zeigt sich weniger daran, was ein System speichert, als daran, worauf es verzichtet.
Das Änderungsprotokoll zeichnet auf, was an einem Datensatz geändert wurde — mit altem und neuem Wert. Es zeichnet ausdrücklich nicht auf, wer wann was angesehen oder angeklickt hat. Ein Protokoll, das jeden Blick mitschreibt, ist ein Überwachungswerkzeug, kein Nachweiswerkzeug.
Alle Schriften liegen auf unserem Server — auch die vier wählbaren Paarungen für euer eigenes Theme. Keine Verbindung zu Google Fonts, aus der Oberfläche nicht und aus dieser Website nicht. Das Münchner Urteil von 2022 hat gezeigt, was eine solche Verbindung wert ist.
Was in einer E-Mail aus AGC Suite steht, führt direkt ans Ziel. Kein Klick-Zähler dazwischen, keine fremde Zwischendomain. Das ist keine Einstellung, die jemand vergessen könnte — der Versandweg ist so gewählt, dass Links technisch gar nicht umgeschrieben werden können.
Kaufmännische Vorgänge, sicherheitsrelevante Ereignisse und gewöhnliche Änderungen werden unterschiedlich lange aufbewahrt — nicht alles über einen Kamm. Zu lange aufzubewahren ist datenschutzrechtlich kein sicherer Weg, sondern ein eigener Mangel.
Die KI-Funktionen laufen standardmäßig über einen französischen Anbieter. Ist euer Mandant auf EU-Anbieter beschränkt — die Voreinstellung — und steht für eine bestimmte Aufgabe kein passender EU-Anbieter bereit, dann meldet die Suite die Funktion ehrlich als nicht verfügbar.
Sie leitet die Anfrage niemals still an einen Anbieter außerhalb der EU um.
Das ist der eigentliche Punkt. Ein Schalter „EU-only“, der im Zweifelsfall doch woandershin sendet, ist schlimmer als gar keiner: Er erzeugt eine Zusicherung, auf die sich jemand verlässt. Ein Anbieter außerhalb der EU wird erst erreichbar, wenn ihr einen gesonderten Anhang unterschrieben habt und der Mandant ausdrücklich dafür freigeschaltet ist — beides wird mit Zeitpunkt und Dokumentbezug festgehalten.
Jeder Datensatz führt einen Verlauf mit Zeitpunkt, Person und den betroffenen Feldern samt altem und neuem Wert. Tenant-Administratoren sehen zusätzlich jede Support-Sitzung, in der wir als Anbieter auf ihren Mandanten zugegriffen haben — ohne danach fragen zu müssen.
Wird ein Konto gelöscht, verschwinden Profilfoto, Name und Position mit den übrigen Daten der Person. Kalte, nie konvertierte Leads werden nach einer von euch gesetzten Frist automatisch anonymisiert — aktive Kunden nie.
Jede automatische E-Mail trägt einen Abmelde-Link, und jeder Kontakt hat einen Einwilligungs-Status je Zweck mit beweisbarem Verlauf. Widerspricht jemand, überspringen ihn alle weiteren Abläufe automatisch — bei Leads bleibt der Widerspruch auch nach der Umwandlung zum Kontakt erhalten.
Ihr seid der Verantwortliche, wir der Auftragsverarbeiter. Ihr setzt die Aufbewahrungsfristen, nicht wir. Neue Sub-Prozessoren werden schriftlich angekündigt, mit 60 Tagen Widerspruchsfrist.
Wo genau liegt das Backup? Was passiert bei einer Behördenanfrage? Wer bei euch kann auf unseren Mandanten zugreifen und wird das protokolliert? Wir haben auf jede dieser Fragen eine Antwort, die man nachprüfen kann.