Datenschutz & Datensouveränität

So schützen wir deine Daten

Wir haben 9brains für den Mittelstand im deutschsprachigen Raum gebaut. Datenschutz und Datensouveränität gehören seit dem ersten Tag zum Kern der Plattform: Deine Chats, Dateien und Wissensbasen liegen in Europa, du bestimmst, welche KI-Modelle sie verarbeiten, und wir zeigen dir offen, wo was passiert.

Das Wichtigste auf einen Blick

• Software “Made in Germany”: 9brains wird in Deutschland entwickelt, betreut und rechtlich verantwortet. Wir bieten ein sicheres, heimisches Fundament für die Nutzung globaler und europäischer KI-Technologie.
• Hosting bei Hetzner statt US-Hyperscaler: Wir hosten unsere Plattform bewusst nicht bei amerikanischen Cloud-Giganten, sondern bei Hetzner in Deutschland. Die drei wichtigsten Vorteile für dich:
  1. Weniger Angriffsfläche für US-Zugriffe: Chats, Dateien und Wissensbasen speichern wir bei europäischen Anbietern statt bei US-Hyperscalern. Die verschlüsselte Ausfallkopie der Dateien bei AWS kann ohne unseren Schlüssel niemand lesen. Anfragen an Modelle der Stufe EU-souverän verarbeiten ebenfalls europäische Anbieter, die übrigen Modelle betreiben US-Konzerne, meist in EU-Rechenzentren.
  2. Mehr Unabhängigkeit vom einzelnen Anbieter: Modelle verschiedener Hersteller, darunter EU-souveräne, sind austauschbar. Wechselst du das Modell, bleiben deine Chats und dein Wissen bei uns.
  3. Ökostrom bei Hetzner: Hetzner bezieht seinen Strom in Deutschland nach eigenen Angaben zu 100 % aus erneuerbaren Energien und betreibt seine Rechenzentren mit einem durchschnittlichen PUE-Wert von 1,13 sehr energieeffizient (Quelle).
• Drei Datenschutz-Modi für den Workspace:
  • DSGVO (Standard): Modelle mit Verarbeitung in der EU und zusätzlich in Drittländern mit gültiger Übermittlungsgrundlage.
  • EU-Only: Strengste Modellauswahl: Es stehen nur KI-Modelle zur Verfügung, die deine Anfragen physisch innerhalb der EU verarbeiten. Der Modus betrifft nur die KI-Modelle, andere Funktionen wie die Websuche stellst du separat ein.
  • Global: Alle Modelle, auch ohne EU-Schutzniveau. Personenbezogene Daten auch hier nur mit Modellen der Stufen EU-souverän, DSGVO (EU) oder DSGVO (Drittland).
• Kein Modell-Training mit deinen Daten: Weder deine Eingaben noch generierte Antworten werden zum Training von KI-Modellen verwendet, außer bei Modellen, die nur im Datenschutz-Modus „Global“ verfügbar sind, siehe Kein Training. Deine Chat-Verläufe, Wissensbasen und Dateien werden in Deutschland gespeichert, die Sicherungen verschlüsselt in Helsinki, die Ausfallkopie der Dateien verschlüsselt in Frankfurt.
• Volle Transparenz pro Modell: Für jedes Modell, das du auswählen kannst, ist der Status (Standort, Datenschutz-Stufe, Training und Zero Data Retention) jederzeit in der Übersichtstabelle einsehbar.
• Datentrennung & Verschlüsselung: Jeder Workspace ist logisch von allen anderen getrennt (Mandantentrennung). Die Verbindungen von deinem Browser zu uns und von uns zu den KI-Anbietern und zum Dateispeicher sind verschlüsselt, Dateien und Backups zusätzlich verschlüsselt gespeichert.
• Unterstützung bei der KI-Verordnung: Wir unterstützen dein Unternehmen dabei, die KI-Verordnung der EU (EU AI Act) im Alltag umzusetzen, mit klaren Angaben zu jedem Modell und Quellen bei Antworten aus Wissensbasen sowie Lektionen zur KI-Kompetenz in der 9brains Akademie. Mehr dazu unter EU AI Act.

Der Datenfluss erklärt

Wenn du eine Nachricht im Chat sendest, durchläuft sie folgenden Weg:

1. Sichere Eingabe

Deine Nachricht wird ab dem ersten Zeichen durch TLS-Verschlüsselung geschützt direkt an unsere Server bei Hetzner in Deutschland übertragen, vergleichbar mit einem abhörsicheren Tunnel zwischen deinem Browser und unseren Servern. Bei Angriffen schalten wir zeitweise den Schutzdienst Cloudflare vor, dann läuft der Verkehr über dessen Server und wird dort zur Prüfung kurz entschlüsselt.

2. Aufbereitung auf der Plattform

Unser Server bereitet deine Anfrage vor und reichert sie mit relevantem Kontext an:

• Chatverlauf: Die bisherige Konversation wird mitgesendet, damit die KI den Zusammenhang versteht
• Anhänge: Dateien und Bilder, die du an deine Nachricht hängst
• Wissensbasen und Datenquellen: Passende Inhalte, die die KI dort für deine Frage findet
• Projekt: In einem Projektchat der Kontext des Projekts und Inhalte aus seinen Dateien
• Memory: Deine persönlichen Notizen und, falls eingeschaltet, dein automatisches Profil
• Persönliche Einstellungen: Deine Präferenzen (Anrede, Tonalität, Expertise-Level, individuelle Anweisungen)
• Angaben zu dir und deinem Workspace: Dein Vorname, der Name deines Unternehmens, deine Rollen und Gruppen und die Namen der Wissensbasen und Datenquellen, auf die du Zugriff hast
• Werkzeuge und Integrationen: Die Ergebnisse, die sie für die Antwort liefern

Als Kennung bekommt der KI-Anbieter nur eine zufällige Nutzer-ID, nicht deine E-Mail-Adresse.

3. Anfrage an das KI-Modell

Das aufbereitete Datenpaket wird über eine sichere API-Schnittstelle an das gewählte KI-Modell gesendet. Das Modell verarbeitet die Anfrage und sendet die Antwort zurück.

Entscheidend: Kein KI-Anbieter verwendet deine Daten zum Training, außer bei Modellen, die nur im Datenschutz-Modus „Global“ verfügbar sind, siehe Kein Training. Bei Modellen mit Zero Data Retention speichert der Anbieter deine Anfragen und Antworten nicht, siehe Zero Data Retention. Der genaue Status ist pro Modell in der Übersichtstabelle einsehbar.

Websuche: Sucht die KI im Internet, geht die Suchanfrage, die sie dafür formuliert, an den Suchanbieter, standardmäßig Brave in den USA. Das gilt unabhängig vom Modell und vom Datenschutz-Modus. Chatverlauf und Dateien gehen nicht mit. Administratoren können die Websuche abschalten.

4. Sichere Speicherung

Die Antwort kehrt zu unserer Plattform zurück. Dein gesamter Chatverlauf wird auf unseren Servern in Deutschland gespeichert, damit du jederzeit darauf zugreifen kannst. Dabei ist jeder Workspace logisch von allen anderen getrennt. Andere Workspaces erreichen eure Daten nur, wenn ihr sie teilt, etwa eine Wissensbasis, oder Gäste einladet.

5. Auslieferung an dich

Die fertige Antwort wird erneut TLS-verschlüsselt an deinen Browser übermittelt und angezeigt.

Die vier Datenschutz-Stufen

Jedes KI-Modell, ob Chat- oder Bildmodell, ist mit einer Datenschutz-Stufe gekennzeichnet. Welche Stufe ein Modell hat, siehst du unter Einstellungen → KI-Modelle und in der Übersichtstabelle.

Stufe	Was bedeutet das?	Datenverarbeitung	Für wen geeignet?
EU-souverän	EU-Anbieter, Ausführung auf Servern in der EU. Setzt ein Anbieter Unterauftragnehmer außerhalb der EU ein, ist das über Standardvertragsklauseln abgesichert (Liste der Unterauftragsverarbeiter)	In der EU	Personenbezogene und vertrauliche Daten, wenn du einen EU-Anbieter möchtest
DSGVO (EU)	Internationaler Anbieter, aber Verarbeitung auf EU-Servern. Ein Auftragsverarbeitungsvertrag (AVV) bindet den Anbieter an die DSGVO	In der EU	Geschäftsdaten, personenbezogene Daten, vertrauliche Informationen
DSGVO (Drittland)	Anbieter außerhalb der EU mit gültiger Übermittlungsgrundlage: in den USA über die EU-US Data Privacy Framework Zertifizierung, in anderen Ländern über einen Angemessenheitsbeschluss der EU-Kommission (z. B. UK, Schweiz). Damit ist die Übermittlung DSGVO-konform abgesichert	Außerhalb der EU, je nach Modell auch weltweit	Geschäftsdaten und personenbezogene Daten, Übermittlung abgesichert, Verarbeitung außerhalb der EU
Kein EU-Schutzniveau	Drittland ohne Angemessenheitsbeschluss. Für diese Modelle sichern wir keine DSGVO-konforme Übermittlung zu	Außerhalb der EU, je nach Modell weltweit	Allgemeine Anfragen ohne sensible oder personenbezogene Daten

Welche Stufe passt zu welchen Daten?

EU-souverän, DSGVO (EU) und DSGVO (Drittland): Mit Modellen dieser Stufen kannst du arbeiten mit:

• Personenbezogenen Daten (Namen, Adressen, E-Mails)
• Vertraulichen Geschäftsdaten (Finanzen, Strategie, Verträge)
• Kunden- und Mitarbeiterdaten

Das letzte Wort hat dein Unternehmen: Es kann strengere Regeln festlegen, etwa für Gesundheitsdaten oder für Unterlagen, die unter eine Geheimhaltungsvereinbarung fallen.

Hinweis: Bei Modellen der Stufe DSGVO (Drittland) ist die Übermittlung abgesichert, verarbeitet werden die Daten aber außerhalb der EU. Sollen die Daten in der EU verarbeitet werden, wähle EU-souverän oder DSGVO (EU).

Kein EU-Schutzniveau: Geeignet für:

• Allgemeine Textarbeit (Zusammenfassungen, Übersetzungen, Brainstorming)
• Öffentlich verfügbare Informationen
• Kreative Aufgaben ohne sensible Inhalte

Tipp für Administratoren: Du kannst in den Modell-Einstellungen gezielt nur DSGVO-konforme Modelle für deinen Workspace aktivieren und Modelle ohne EU-Schutzniveau deaktivieren.

EU-US Data Privacy Framework (DPF)

Das EU-US Data Privacy Framework ist ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Er stellt fest, dass DPF-zertifizierte US-Unternehmen ein angemessenes Datenschutzniveau bieten. Eine Übermittlung an diese Unternehmen ist damit nach der DSGVO abgesichert, auch wenn die Verarbeitung in den USA stattfindet.

Was bedeutet das für die Modellauswahl?

In der Stufe DSGVO (Drittland) sind die Anbieter aus den USA DPF-zertifiziert. Die Übermittlung in die USA stützen wir auf das EU-US Data Privacy Framework und, wo vereinbart, zusätzlich auf Standardvertragsklauseln. Bei weltweit bereitgestellten Modellen kann die Verarbeitung auch in anderen Ländern stattfinden.

Unterschied zwischen DSGVO (EU) und DSGVO (Drittland)

	DSGVO (EU)	DSGVO (Drittland)
Absicherung	AVV + EU-Serverstandort	AVV + Angemessenheitsbeschluss (USA: DPF), wo vereinbart zusätzlich Standardvertragsklauseln
Datenverarbeitung	In der EU	Außerhalb der EU, je nach Modell weltweit
Für personenbezogene Daten?	Ja	Ja
Empfehlung	Alle Anwendungsfälle	Alle Anwendungsfälle, bei besonders sensiblen Daten EU-Verarbeitung bevorzugen

Zero Data Retention & Kein Training

Kein Training

Die KI-Anbieter sind vertraglich verpflichtet, deine Daten nicht zum Training ihrer Modelle zu verwenden. Das gilt für sämtliche Modelle in den Datenschutz-Modi „DSGVO“ und „EU-Only“. Weder deine Eingaben noch die generierten Antworten fließen in das Training ein.

Ausnahme im Datenschutz-Modus „Global“. Dort können auch Modelle ohne EU-Schutzniveau freigeschaltet sein, darunter solche, deren Anbieter deine Eingaben zum Training nutzen dürfen. Ob das für ein Modell gilt, zeigt die Spalte „Kein Training“ in der Übersichtstabelle.

Zero Data Retention (ZDR)

Bei Modellen mit Zero Data Retention speichert der Anbieter deine Anfragen und Antworten nicht. Damit Folgefragen schneller beantwortet werden, hält er Teile davon nur kurz im Zwischenspeicher und verwirft sie danach automatisch.

Der ZDR-Status ist pro Modell in der Übersichtstabelle einsehbar. Bei Modellen ohne ZDR kann der Anbieter Daten darüber hinaus speichern (z. B. für die Missbrauchserkennung), die Daten werden aber nicht zum Training verwendet, außer bei Modellen, die nur im Datenschutz-Modus „Global“ verfügbar sind, siehe Kein Training.

Datenschutz-Status der KI-Modelle

Die folgende Tabelle zeigt den Datenschutz-Status jedes Modells, das du auswählen kannst, inklusive Standort, Datenschutz-Stufe, Training-Status und Zero Data Retention.

Chat-Modelle

Modell	Datenschutz	Kein Training	Zero Data Retention
OpenAI
GPT-6 Astra Paris, France	DSGVO (EU)	Ja	—
GPT-6.1 Sol Paris, France	DSGVO (EU)	Ja	—
GPT-6.1 Terra Paris, France	DSGVO (EU)	Ja	—
GPT-6.1 Terra Fast Paris, France	DSGVO (EU)	Ja	—
GPT-6 Luna Paris, France	DSGVO (EU)	Ja	—
Anthropic
Claude Fable 5.2 USA (DPF certified)	DSGVO (Drittland)	Ja	—
Claude Fable 5.1 EU	DSGVO (Drittland)	Ja	—
Claude Opus 5.5 EU	DSGVO (EU)	Ja	Ja
Claude Opus 4.8 EU	DSGVO (EU)	Ja	Ja
Claude Sonnet 5.5 EU	DSGVO (EU)	Ja	Ja
Claude Sonnet 5 EU	DSGVO (EU)	Ja	Ja
Claude Haiku 5.5 EU	DSGVO (EU)	Ja	Ja
Google
Gemini 4 Carbon EU	DSGVO (EU)	Ja	Ja
Gemini 4 Argon EU	DSGVO (EU)	Ja	Ja
Gemini 4 Hydrogen EU	DSGVO (EU)	Ja	Ja
Gemini 3.8 Flash EU	DSGVO (EU)	Ja	Ja
Z.ai
GLM 5.3 EU	EU-souverän	Ja	Ja
GLM 5.3 Flash EU	EU-souverän	Ja	Ja
Qwen (Alibaba)
Qwen3.8 Max EU	EU-souverän	Ja	Ja
Moonshot AI
Kimi K3.1 Pro EU	EU-souverän	Ja	Ja
Kimi K3 Paris, France	EU-souverän	Ja	Ja
MiniMax
MiniMax M3.1 Flash EU	EU-souverän	Ja	Ja
DeepSeek
DeepSeek V4.1 Flash EU	EU-souverän	Ja	Ja
xAI
Grok 4.3 USA (DPF certified)	DSGVO (Drittland)	Ja	—
Mistral AI
Mistral Large 4 EU	EU-souverän	Ja	—

Bildmodelle

Modell	Datenschutz	Kein Training	Zero Data Retention
Google
Nano Banana Pro USA (DPF certified)	DSGVO (Drittland)	Ja	Ja
Nano Banana 2.1 USA (DPF certified)	DSGVO (Drittland)	Ja	Ja
Nano Banana 2 EU	DSGVO (EU)	Ja	Ja
Black Forest Labs
FLUX.2 Pro Paris, France	DSGVO (EU)	Ja	—
FLUX.2 Flex Global (DPF certified)	DSGVO (Drittland)	Ja	—
OpenAI
GPT Image 2 Global (DPF certified)	DSGVO (Drittland)	Ja	—
GPT Image 2.5 Flare Global (DPF certified)	DSGVO (Drittland)	Ja	—
GPT Image 2.5 Sunburst Global (DPF certified)	DSGVO (Drittland)	Ja	—

Klassifizierungsmodelle

Modell	Datenschutz	Kein Training	Zero Data Retention
TypeSafe
Jev 1.13 USA	Kein EU-Schutzniveau	—	—
Cloudflare
Clef EU (multiple locations)	DSGVO (EU)	Ja	Ja
Microsoft
Decision-1 Paris, France	DSGVO (EU)	Ja	—

Daneben arbeiten im Hintergrund Hilfsmodelle, die du nicht selbst auswählst, etwa für Texterkennung, Spracherkennung und die Suche. Sie stehen nicht in dieser Tabelle.

Wo werden meine Daten gespeichert?

Datentyp	Speicherort	Verschlüsselung
Datenbank (Chat-Verläufe, Benutzerkonten)	Falkenstein, Deutschland (Hetzner)	Zugangsdaten und Tokens AES-verschlüsselt
Wissensbasen (Dokumente und Suchindex)	Falkenstein, Deutschland (Hetzner)
Dateien & Bilder	Deutschland (Impossible Cloud), verschlüsselte Ausfallkopie bei AWS in Frankfurt	AES-256 Client-Side Encryption, Schlüssel nur bei 9brains
Backups von Datenbank und Wissensbasen	Helsinki, Finnland (Hetzner)	AES-256
Bei KI-Anbietern	Abhängig vom Modell, siehe Übersichtstabelle	TLS bei der Übertragung

Bei uns gespeichert liegen deine Daten lesbar nur in unserer Infrastruktur bei Hetzner in der EU. Darüber hinaus legen wir Dateien verschlüsselt bei unserem Speicheranbieter ab und halten zusätzliche, verschlüsselte Sicherheitskopien für Notfälle bei anderen Anbietern, den Schlüssel haben nur wir. Auch diese Speicherorte liegen alle in der EU. Was an ein KI-Modell geht, verarbeitet dessen Anbieter. Wo und wie lange, hängt vom Modell und vom Anbieter ab (siehe Übersichtstabelle).

Sicherheitsmaßnahmen

Verschlüsselte Übertragung

Die Verbindungen von deinem Browser zu uns und von uns zu den KI-Anbietern und zum Dateispeicher sind durch TLS-Verschlüsselung geschützt. Das gilt sowohl für deine Eingaben als auch für die Antworten der KI.

Verschlüsselte Speicherung

Alle Dateien werden vor dem Upload mit AES-256 Client-Side Encryption (CSE) verschlüsselt. Die Verschlüsselung erfolgt auf unserer Plattform, bevor die Daten den Speicheranbieter erreichen. Die Speicheranbieter haben keinen Zugriff auf die Inhalte, den Schlüssel haben nur wir. Backups sind ebenfalls AES-256-verschlüsselt.

Mandantentrennung

Jeder Workspace ist logisch von allen anderen getrennt, technisch durchgesetzt in der Anwendung und zusätzlich in der Datenbank (Row Level Security). Andere Workspaces erreichen eure Daten nur, wenn ihr sie teilt oder Gäste einladet.

Authentifizierung

• Anmeldung mit Passwort oder mit Microsoft- oder Google-Konto
• Optionale Zwei-Faktor-Authentifizierung (MFA), erzwingbar durch Administratoren
• Sichere Session-Verwaltung

Persönliche Privatsphäre im Workspace

Mandantentrennung schützt deine Daten gegenüber anderen Workspaces. Innerhalb deines eigenen Workspaces gibt es eine zweite Schutzebene: persönliche Inhalte bleiben pro Nutzer privat, auch gegenüber Administratoren. Was wer sehen kann, zeigt diese Übersicht:

Inhalt	Du selbst	Andere Nutzer	Workspace-Admin
Chat-Verläufe	Sichtbar	Nur, wenn du den Chat teilst	Nicht sichtbar
Persönliche Memory-Notizen	Sichtbar und editierbar	Nicht sichtbar	Nicht sichtbar
Automatisches Profil (Memory)	Sichtbar und editierbar	Nicht sichtbar	Nicht sichtbar
Persönliche Agenten	Sichtbar	Nicht sichtbar	Einstellungen, Verbrauch und automatische Läufe, nicht deine Chats mit dem Agenten
Chat-Threads mit einem geteilten Agenten	Pro Nutzer privat	Nicht sichtbar	Nicht sichtbar
Autonome Agent-Runs (Zeitplan, Webhook)	Sichtbar (falls Agent-Zugriff)	Sichtbar (falls Agent-Zugriff)	Sichtbar
Persönliche Wissensbasen	Sichtbar	Nur mit explizit zugewiesener Berechtigung	Nicht sichtbar

Was ein Administrator sieht

Administratoren brauchen einen Überblick, um Lizenzen, Kosten und Compliance zu steuern. Sie sehen deshalb:

• Nutzungsstatistiken pro Person wie Anzahl der Sessions und Nachrichten, Verbrauch des Kontingents, letzte Aktivität und das meistgenutzte Modell
• Alle Agenten im Workspace, auch persönliche, über die Nutzungsanalyse: Einstellungen, Verbrauch, Kostenbegrenzung, Status und automatische Läufe
• Das Audit-Log jeder Integration: welche Aufrufe die KI dort für wen gemacht hat, samt der übertragenen Daten. Dasselbe sieht der Besitzer der Integration.

Den Stand der Schulung: Mit der Business-Lizenz sehen Administratoren unter Einstellungen → Administration → Akademie für jede Person, wie viel Prozent der 9brains Akademie sie geschafft hat, welche Aufgaben und Lektionen sie wann erledigt hat und ob sie das Kapitel „Rechtssicher arbeiten“ abgeschlossen hat. Sie können den Nachweis der Schulung jeder Person herunterladen oder für sie ausstellen und die Liste exportieren. Punkte, Stufe und deinen Namen in der Bestenliste sehen sie dort nicht, deine einzelnen Antworten speichert 9brains nicht.

Administratoren sehen nicht:

• Den Inhalt deiner Chat-Nachrichten
• Deine persönlichen Memory-Notizen oder dein automatisches Profil
• Deine persönlichen Chat-Threads mit Agenten
• Inhalte privater Wissensbasen, für die sie keine Berechtigung haben

Gibt es einen Anonym- oder Privatmodus?

Aktuell nicht. Jeder Chat landet in deinem persönlichen Verlauf. Andere Nutzer und Admins deines Workspaces sehen deinen Chat nicht, solange du ihn nicht teilst oder in einem Projekt sichtbar machst. Eine zusätzliche Option für Sitzungen, die gar nicht erst gespeichert werden, gibt es derzeit nicht.

EU AI Act & Regulatorische Einordnung

Der EU AI Act (KI-Verordnung der EU) regelt, wie Künstliche Intelligenz in Europa entwickelt und eingesetzt wird. 9brains ist für den professionellen Einsatz in Unternehmen gebaut und unterstützt dich dabei, die Verordnung im Alltag umzusetzen:

• Wer wofür verantwortlich ist: Die Hersteller der KI-Modelle, etwa OpenAI, Google oder Mistral, verantworten ihre Modelle, zum Beispiel den Umgang mit Trainingsdaten und Urheberrecht. 9brains verantwortet die Plattform, über die du diese Modelle nutzt. Dein Unternehmen ist im Sinne der Verordnung Betreiber und verantwortet, wofür es 9brains einsetzt.
• Es kommt auf den Zweck an: Die übliche Arbeit mit Texten, Bildern und Wissen ist kein Hochrisiko-Einsatz. Entscheidend ist, wofür ihr die KI nutzt, auch im normalen Chat: Wer damit Bewerber auswählt oder Beschäftigte bewertet, kann in den Hochrisiko-Bereich kommen; plant ihr so einen Einsatz, klärt ihn vorher intern. Verboten ist etwa KI, die am Arbeitsplatz Gefühle erkennt.
• Transparenz durch Design: In der Oberfläche ist erkennbar, dass du mit einer KI arbeitest. Bei Antworten aus einer Wissensbasis nennt die KI ihre Quellen, sodass du sie prüfen kannst.
• Nachweis der Lieferkette: Für jedes Modell, das du auswählen kannst, zeigt die Übersichtstabelle Standort und Datenschutz-Stufe. Anbieter, Serverstandorte und Drittlandbezüge stehen in der Liste der Unterauftragsverarbeiter.

Als Betreiber hat dein Unternehmen vor allem zwei Pflichten:

• KI-Kompetenz (Art. 4): Die Verordnung verlangt, dass dein Unternehmen mit eigenen Maßnahmen die KI-Kompetenz seiner Beschäftigten fördert, passend zu ihrem Vorwissen und ihrem Einsatz. Ein bestimmtes Niveau schreibt sie nicht vor.
• Kennzeichnung (Art. 50): Seit dem 2. August 2026 gilt: Veröffentlicht ihr Bilder, Videos oder Tonaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt nachbilden, müsst ihr kenntlich machen, dass sie künstlich erzeugt sind. Das gilt auch für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, außer ein Mensch hat sie geprüft und verantwortet sie.

Die 9brains Akademie hilft bei Art. 4: Im Kapitel „Rechtssicher arbeiten“ lernt dein Team in kurzen Lektionen, wie es KI sicher und rechtlich sauber nutzt, vom Umgang mit personenbezogenen Daten bis zur Kennzeichnung. Ab der Pro-Lizenz stellt sich jede Person danach einen Nachweis der Schulung aus. Mit der Business-Lizenz sehen Administratoren unter Einstellungen → Administration → Akademie, wer die Lektionen wann abgeschlossen hat. So dokumentiert dein Unternehmen, was es für die KI-Kompetenz seiner Beschäftigten tut. Mehr dazu unter 9brains Akademie.

Häufige Fragen

Werden meine Daten zum KI-Training verwendet?

Nein. Alle KI-Anbieter sind vertraglich verpflichtet, deine Daten nicht zum Training zu verwenden. Dies ist in unserem Auftragsverarbeitungsvertrag (AVV) festgelegt. Ausgenommen sind Modelle, die nur im Datenschutz-Modus „Global“ verfügbar sind, siehe Kein Training.

Was ist der Unterschied zwischen EU-souverän, DSGVO (EU) und DSGVO (Drittland)?

• EU-souverän: Der Anbieter ist ein europäisches Unternehmen und führt das Modell auf Servern in der EU aus; der Hersteller des Modells kann auch außerhalb der EU sitzen. Setzt der Anbieter Unterauftragnehmer außerhalb der EU ein, ist das über Standardvertragsklauseln abgesichert.
• DSGVO (EU): Der Anbieter ist ein internationales Unternehmen (z.B. Microsoft, Amazon Web Services, Google), das die Verarbeitung auf EU-Servern durchführt und per AVV an die DSGVO gebunden ist.
• DSGVO (Drittland): Die Daten werden außerhalb der EU verarbeitet. Die Übermittlung in die USA stützen wir auf das EU-US Data Privacy Framework und, wo vereinbart, zusätzlich auf Standardvertragsklauseln. Bei weltweit bereitgestellten Modellen kann die Verarbeitung auch in anderen Ländern stattfinden. Für Anbieter in Ländern wie UK oder der Schweiz gilt ein Angemessenheitsbeschluss der EU-Kommission.

Kann mein Administrator meine Chats lesen?

Nein, solange du einen Chat nicht selbst mit ihm teilst. Administratoren können Nutzungsstatistiken einsehen (z.B. Anzahl der Nachrichten), haben aber keinen Zugriff auf Chat-Inhalte. Das gilt auch für deine persönlichen Memory-Notizen, dein automatisches Profil und deine privaten Chat-Threads mit Agenten. Was die KI für dich an eine Integration schickt, steht allerdings in deren Audit-Log. Details unter Persönliche Privatsphäre im Workspace.

Gibt es einen Anonym- oder Privatmodus?

Aktuell nicht. Jeder Chat landet in deinem persönlichen Verlauf. Andere Nutzer und Admins deines Workspaces sehen deinen Chat nicht, solange du ihn nicht teilst oder in einem Projekt sichtbar machst. Eine zusätzliche Option für Sitzungen, die gar nicht erst gespeichert werden, gibt es derzeit nicht.

Was passiert bei einem Modellwechsel mit meinen Daten?

Dein Chatverlauf bleibt vollständig erhalten. Er wird auf unseren Servern gespeichert und dem neuen Modell bei Bedarf zur Verfügung gestellt. Beim vorherigen Anbieter werden keine Daten zum Training verwendet, außer bei Modellen, die nur im Datenschutz-Modus „Global“ verfügbar sind. Ob der Anbieter Daten speichert, hängt vom ZDR-Status des Modells ab.

Kann ich meine Daten löschen lassen?

Ja. Du kannst einzelne Chats jederzeit selbst löschen, Projekte und Wissensbasen löscht, wer sie verwalten darf. Für eine vollständige Datenlöschung wende dich an deinen Administrator.

Chats, Projekte und Wissensbasen haben kein Ablaufdatum. Sie bleiben erhalten, bis sie in deinem Workspace gelöscht werden, und 9brains löscht während der Vertragslaufzeit nichts davon auf eigene Faust. Nur ältere Versionen von Dateien entfernt 9brains nach 90 Tagen automatisch, die aktuelle Fassung bleibt; der Kontext eines Projekts behält seine Versionen, solange das Projekt besteht. Brauchst du feste Löschtermine, etwa zum Ende eines Kundenprojekts, legst du den Termin selbst fest und löschst das Projekt dann.

Auf Anfrage an datenschutz@9brains.de bestätigen wir dir eine Löschung schriftlich, für ein einzelnes Projekt ebenso wie für den ganzen Workspace nach Vertragsende.

Was wird beim Löschen entfernt?

• Chat: alle Nachrichten, angehängte Dateien, im Chat erstellte Dokumente samt ihren Versionen, die Ergebnisse der Werkzeuge und alle Freigaben des Chats.
• Projekt: alle Chats im Projekt, die Projektdateien, der Kontext und der Suchindex, über den die KI die Dateien durchsucht.
• Wissensbasis: alle Inhalte, offene Vorschläge und der Änderungsverlauf.

Für eine Übergangszeit bleibt noch etwas erhalten: In der Testphase wird ein gelöschter Chat zum Schutz vor Missbrauch erst nach 30 Tagen endgültig entfernt. Die verschlüsselten Backups reichen bis zu 90 Tage zurück. Was die KI im Chat an eine Integration geschickt hat, steht 90 Tage in deren Audit-Log.

Eine Ausnahme ist dein Memory-Profil. 9brains baut es aus deinen Chats auf, es gehört aber dir und nicht dem einzelnen Chat. Was schon ins Profil eingeflossen ist, bleibt deshalb auch nach dem Löschen des Chats stehen, bis du es in den Memory-Einstellungen änderst oder entfernst.

Sehe ich, wer auf meine Dateien oder Wissensbeiträge zugegriffen hat?

Nachvollziehen lässt sich, wer was geändert hat:

• Wissensbasen führen einen Änderungsverlauf, der jede Änderung mit Zeitpunkt und Urheber zeigt.
• Dokumente im Editor speichern jede Änderung als Version, die du mit einer früheren vergleichen und wiederherstellen kannst.
• Integrationen haben jeweils ein eigenes Audit-Log, das alle Aufrufe der KI an das angebundene System festhält. Einsehen können es Administratoren und der Besitzer der Integration.
• Als Workspace-Admin siehst du in der Nutzungsanalyse die Aktivität pro Person: Sessions, Nachrichten, Wissensabfragen und Wissensbeiträge.

Ein Protokoll, das reine Lesezugriffe auf einzelne Dateien oder Wissenseinträge festhält, gibt es derzeit nicht.

Darf ich personenbezogene Daten mit Modellen ohne EU-Schutzniveau verarbeiten?

Nein. Personenbezogene Daten gehören nur in Modelle der Stufen EU-souverän, DSGVO (EU) oder DSGVO (Drittland). Für Modelle der Stufe Kein EU-Schutzniveau sichern wir keine DSGVO-konforme Übermittlung zu.