Datenschutzerklärung der Plattform „ChatiTec"

Stand: Stand: 29.05.2026

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Plattform „ChatiTec" (nachfolgend „Plattform" oder „Dienst").

ChatiTec ist eine in Deutschland gehostete KI-/LLM-Plattform, die speziell für Berufsgeheimnisträger – insbesondere Rechtsanwältinnen und Rechtsanwälte sowie Ärztinnen und Ärzte – entwickelt wurde. Sämtliche Verarbeitung erfolgt vorrangig auf eigener Infrastruktur in einem Rechenzentrum in Augsburg (eigene Proxmox-Infrastruktur). Leitgedanke des Dienstes: „Rechtssichere & Datenschutzkonforme KI aus Augsburg".

§ 1 Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Sat-iTec Systemhaus GmbH Heisinger Straße 21, 87437 Kempten (Allgäu) Deutschland

Vertreten durch: Günther Löb (Geschäftsführer) Telefon: +49 (0) 8334 9999060 E-Mail: info@sat-itec.de Handelsregister: Amtsgericht Kempten, HRB 18508 USt-IdNr.: [USt-IdNr. – bitte ergänzen]

Hinweis zur Rollenverteilung: Soweit die Plattform durch eine Kanzlei, eine Arztpraxis oder ein sonstiges berufsgeheimnispflichtiges Unternehmen genutzt wird, ist regelmäßig der jeweilige Kunde (Kanzlei/Praxis) Verantwortlicher für die in seinem Auftrag verarbeiteten Mandanten-, Patienten- bzw. Drittbetroffenendaten; Sat-iTec wird insoweit als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) tätig (vgl. das separate Dokument „Auftragsverarbeitungsvertrag"). Die vorliegende Datenschutzerklärung betrifft die Verarbeitung, für die Sat-iTec selbst Verantwortlicher ist (z. B. Vertragsverwaltung, Plattform-Konten, Abrechnung, technischer Betrieb der Plattform-Website).

§ 2 Datenschutzbeauftragte:r

Unseren Datenschutzbeauftragten erreichen Sie unter:

Stefanie Löb (datenschutz@sat-itec.de) Heisinger Straße 21, 87437 Kempten (Allgäu) E-Mail: Stefanie Löb (datenschutz@sat-itec.de) Telefon: Stefanie Löb (datenschutz@sat-itec.de)

§ 3 Begriffsbestimmungen und Grundprinzip der Anonymisierung

ChatiTec ist so konzipiert, dass personenbezogene Daten und Berufsgeheimnisse besonders geschützt werden. Das zentrale Schutzkonzept lautet:

• Anonymisierung vor externer Weiterleitung: Bevor Inhalte (Prompts, Eingaben, Dokumente) an externe KI-Provider übermittelt werden, werden personenbezogene Daten und Berufsgeheimnisse automatisiert erkannt und durch Platzhalter ersetzt (PII-Tokenisierung). Diese Ersetzung ist standardmäßig erzwungen (technische Einstellung PII_FORCE_FOR_EXTERNAL=true).
• Reversibilität nur lokal: Die Rückübersetzung der Platzhalter in die ursprünglichen Klartextwerte ist ausschließlich lokal auf der in Deutschland betriebenen Infrastruktur möglich; die zugehörige Zuordnung ist mit Fernet (symmetrische Authenticated Encryption) verschlüsselt. Externe Provider erhalten zu keinem Zeitpunkt die Klartext-Identifikatoren.
• Rein lokale Verarbeitung als Option: Optional können ausschließlich lokal betriebene Sprachmodelle (z. B. über Ollama/vLLM) genutzt werden. In diesem Modus findet kein Transfer an externe Provider statt.

§ 4 Verarbeitungszwecke und Rechtsgrundlagen (Art. 6 DSGVO)

Wir verarbeiten personenbezogene Daten zu den nachfolgend genannten Zwecken auf den jeweils angegebenen Rechtsgrundlagen.

4.1 Bereitstellung und Betrieb der Plattform

• Daten: Server-Logfiles (siehe § 8), technische Verbindungsdaten, Inhalte der Nutzung.
• Zweck: Bereitstellung, Betrieb, Stabilität und Sicherheit des Dienstes.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).

4.2 Registrierung, Konto- und Vertragsverwaltung

• Daten: Name, E-Mail-Adresse, Anmeldedaten (Argon2-gehashte Passwörter), Tarifdaten, ggf. Rechnungs- und Zahlungsdaten.
• Zweck: Einrichtung und Verwaltung des Nutzerkontos, Vertragsabwicklung, Authentifizierung (inkl. TOTP-2FA).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für gesetzliche Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.

4.3 Verarbeitung von Eingabe- und Nutzungsinhalten (KI-Funktionalität)

• Daten: Vom Nutzer eingegebene Prompts, hochgeladene Dokumente und die zugehörigen Antworten; im Falle externer Verarbeitung ausschließlich anonymisierte Inhalte.
• Zweck: Erbringung der KI-/LLM-Leistungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit personenbezogene Daten Dritter (z. B. Mandanten-/Patientendaten) im Auftrag eines Kunden verarbeitet werden, erfolgt dies auf Grundlage des Auftragsverarbeitungsvertrags und auf Weisung des verantwortlichen Kunden.

4.4 Sicherheit, Missbrauchsabwehr und Audit

• Daten: Audit-Log-Einträge, Rate-Limiting-Informationen, sicherheitsrelevante Ereignisdaten.
• Zweck: Gewährleistung der Informationssicherheit, Erkennung und Abwehr von Missbrauch, Nachweisbarkeit (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit); Art. 32 DSGVO.

4.5 Kommunikation und Support

• Daten: Kontaktdaten, Inhalt der Anfrage.
• Zweck: Bearbeitung von Support- und sonstigen Anfragen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

§ 5 Empfänger und Subprozessoren (externe KI-Provider)

Soweit Sie Funktionen nutzen, die auf externe KI-Provider zurückgreifen, werden ausschließlich anonymisierte Inhalte (siehe § 3) an folgende Auftragsverarbeiter bzw. Unterauftragsverarbeiter übermittelt:

Der Provider „DeepSeek" ist aufgrund der Drittlandthematik (China) standardmäßig deaktiviert und wird ohne ausdrückliche, gesonderte Freischaltung nicht genutzt.

Weitere Empfängerkategorien können sein: IT-Dienstleister für Hosting und Wartung (in Deutschland/EU), Zahlungsdienstleister (nur bei kostenpflichtigen Tarifen), sowie Steuerberater und Behörden im Rahmen gesetzlicher Pflichten.

Eine vollständige und aktuelle Liste der eingesetzten Unterauftragsverarbeiter findet sich in der „Anlage 2 – Liste der Unterauftragsverarbeiter" zum Auftragsverarbeitungsvertrag.

§ 6 Drittlandtransfer und geeignete Garantien

Bei Nutzung externer KI-Provider werden anonymisierte Inhalte in die USA (Drittland im Sinne der DSGVO) übermittelt. Für diese Übermittlungen bestehen geeignete Garantien gemäß Kapitel V DSGVO:

• Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission (Art. 46 Abs. 2 lit. c DSGVO); und/oder
• EU-US Data Privacy Framework (DPF), soweit der jeweilige Empfänger zertifiziert und ein Angemessenheitsbeschluss anwendbar ist (Art. 45 DSGVO).

Durch die vorgeschaltete Anonymisierung (§ 3) ist sichergestellt, dass keine identifizierenden personenbezogenen Klartextdaten in das Drittland gelangen. Bei Nutzung rein lokaler Modelle findet kein Drittlandtransfer statt.

Eine Kopie der jeweils einschlägigen Garantien kann unter den in § 2 genannten Kontaktdaten angefordert werden.

§ 7 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben:

• Konto- und Vertragsdaten: für die Dauer des Vertragsverhältnisses; nach Beendigung bis zum Ablauf gesetzlicher Aufbewahrungsfristen (insb. § 257 HGB, § 147 AO: regelmäßig 6 bzw. 10 Jahre).
• Eingabe-/Nutzungsinhalte (Prompts, Antworten): [Speicherdauer/Retention – z. B. nur für die Dauer der Sitzung bzw. bis zur Löschung durch den Nutzer; konkret festzulegen]. Im Auftragsverhältnis richtet sich die Löschung nach den Weisungen des verantwortlichen Kunden.
• Audit- und Sicherheits-Logs: [Speicherdauer – z. B. 90 Tage], sodann Löschung, soweit nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert.
• Server-Logfiles: siehe § 8.
• Lokale Tokenisierungs-/Zuordnungsdaten (Fernet-verschlüsselt): nur so lange, wie für die Reversibilität innerhalb der jeweiligen Sitzung/des Vorgangs erforderlich; danach Löschung.

§ 8 TLS-Verschlüsselung, Cookies und Logfiles

8.1 TLS-Transportverschlüsselung

Die Plattform ist ausschließlich über eine TLS-verschlüsselte Verbindung erreichbar (Zertifikate über Let's Encrypt). Eine bestehende Verschlüsselung erkennen Sie an der Adresszeile Ihres Browsers (https://).

8.2 Cookies und vergleichbare Technologien

Wir setzen technisch notwendige Cookies bzw. vergleichbare Technologien (z. B. Session-/Authentifizierungstoken, JWT) ein, die für den Betrieb und die sichere Anmeldung erforderlich sind. Rechtsgrundlage hierfür ist § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendige Speicherung) sowie Art. 6 Abs. 1 lit. b/f DSGVO. Nicht notwendige Cookies (z. B. zu Analyse- oder Marketingzwecken) werden nur auf Grundlage Ihrer Einwilligung nach § 25 Abs. 1 TDDDG / Art. 6 Abs. 1 lit. a DSGVO gesetzt, die Sie jederzeit widerrufen können. [Sofern keine nicht notwendigen Cookies eingesetzt werden, diesen Absatz entsprechend anpassen.]

8.3 Server-Logfiles

Beim Aufruf der Plattform werden automatisch technische Informationen erfasst und in Server-Logfiles gespeichert, insbesondere: - gekürzte/verarbeitete IP-Adresse, - Datum und Uhrzeit des Zugriffs, - aufgerufene Ressource/Statuscode, - übertragene Datenmenge, - User-Agent (Browsertyp/-version, Betriebssystem).

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Gewährleistung eines störungsfreien und sicheren Betriebs. Die Speicherdauer beträgt [Speicherdauer – z. B. 14 Tage], soweit nicht ein Sicherheitsvorfall eine längere Speicherung erfordert.

§ 9 Automatisierte Entscheidungen und Hinweis zur KI-Nutzung

9.1 Keine automatisierte Einzelentscheidung mit Rechtswirkung

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet im Rahmen der Plattform nicht statt. Die KI dient als Unterstützungswerkzeug; die fachliche Bewertung und Entscheidung verbleibt stets beim nutzenden Berufsträger.

9.2 Hinweis zur Funktionsweise von KI-Systemen

Die eingesetzten Sprachmodelle (LLM) erzeugen Ausgaben auf statistischer Grundlage. Ergebnisse können unvollständig, veraltet oder fehlerhaft sein („Halluzinationen"). Ausgaben sind eigenverantwortlich zu prüfen und ersetzen keine fachliche, rechtliche oder medizinische Beratung.

§ 10 Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)

Sie haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten („Recht auf Vergessenwerden", Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Hinweis: Werden Daten im Auftrag eines verantwortlichen Kunden (Kanzlei/Praxis) verarbeitet, richten Sie Betroffenenanfragen bitte an diesen Verantwortlichen; wir unterstützen den Verantwortlichen bei der Erfüllung dieser Rechte.

Zur Ausübung Ihrer Rechte wenden Sie sich an die in § 1 bzw. § 2 genannten Kontakte.

§ 11 Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für den Verantwortlichen zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach Heisinger Straße 21, 87437 Kempten (Allgäu) Tel. +49 (0) 8334 9999060 · info@sat-itec.de · www.sat-itec.de

Beispielhaft für einen Sitz in Bayern (privater Bereich): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach – konkrete Zuständigkeit im Einzelfall prüfen.

§ 12 Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist für den Vertragsschluss und die Nutzung der Plattform erforderlich (z. B. E-Mail-Adresse zur Kontoeinrichtung). Ohne diese Daten kann der Dienst nicht oder nur eingeschränkt bereitgestellt werden. Eine gesetzliche Pflicht zur Bereitstellung besteht nur, soweit gesetzlich angeordnet (z. B. steuerrechtliche Pflichten).

§ 13 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Es gilt jeweils die zum Zeitpunkt der Nutzung abrufbare Fassung.

Stand: 29.05.2026 – Dieses Dokument ist ein Muster/Entwurf und vor Verwendung fachkundig zu prüfen.