Forschung braucht Spielraum. Verarbeitung braucht Kontrolle.

Institutionelle Accounts können auf Verarbeitungsprofile beschränkt werden, die für den erforderlichen geografischen Rahmen freigegeben sind. Den Sitz eines Anbieters betrachten wir dabei nicht als ausreichend.

Maßgeblich ist der tatsächliche Verarbeitungspfad: Anbieter, Endpunkt, Modell, relevante Funktionen, Retention-Einstellungen und vertraglicher Rahmen. Wenn eine Institution EU-Verarbeitung von Forschungsinhalten verlangt, werden in diesem Account nur Profile bereitgestellt, die diese Anforderung erfüllen. Die Beschränkung wird technisch durchgesetzt.

Acadex unterstützt oder integriert Modelle unter anderem von Mistral, OpenAI, Anthropic und Google. Welche davon einem bestimmten Account zur Verfügung stehen, hängt von dessen Konfiguration ab; eine Institution kann die zulässige Auswahl einschränken.

Dass ein Anbieter in Acadex unterstützt wird, bedeutet nicht, dass er automatisch institutionelle Daten verarbeitet.

Nein. Das wäre für ein System, das mit mehreren externen Modellanbietern arbeiten kann, eine zu pauschale Aussage.

Die zentrale Anwendungsinfrastruktur, die primäre Datenbank und die von uns verwalteten Backups werden in Deutschland betrieben beziehungsweise gespeichert. Bei externen Modellanbietern hängt der Verarbeitungsort vom konkret genutzten Verarbeitungsprofil ab. Institutionelle Accounts mit geografischen Anforderungen können deshalb auf freigegebene europäische Verarbeitungspfade beschränkt werden.

Wir unterscheiden bewusst zwischen „Forschungsinhalte werden innerhalb der EU verarbeitet“ und der weit umfassenderen Aussage „jeder technische Datenpunkt bleibt immer ausschließlich in der EU“. Das ist nicht dasselbe.

Ja. Die Anbieterverfügbarkeit lässt sich für einen institutionellen Account einschränken — etwa auf eine definierte Menge von Verarbeitungsprofilen.

Diese Beschränkung lässt sich nicht aus einem einzelnen Gespräch heraus übergehen. So bleibt die Modellwahl flexibel, ohne die Datenschutzanforderungen der Institution optional zu machen.

Acadex verwendet Gespräche, Dokumente und gespeicherte Erinnerungen nicht, um eigene KI-Modelle zu trainieren.

Bei externen Modellanbietern hängt die Handhabung von der jeweiligen API- und Vertragskonfiguration ab. Für institutionelle Verarbeitungsprofile prüfen wir die verfügbaren Trainings- und Datenkontrollen vor der Freigabe. Für unsere Mistral-API-Nutzung ist die Verwendung von Ein- und Ausgaben zum Modelltraining deaktiviert.

Ja. Für institutionelle Verarbeitung im Auftrag stellen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit.

Er umfasst Umfang und Zweck der Verarbeitung, Datenkategorien, dokumentierte Weisungen, Vertraulichkeit, Unterauftragsverarbeiter, Löschung, Sicherheitsvorfälle und Auditrechte. Die freigegebene Anbieterkonfiguration der Institution kann in den Anlagen dokumentiert werden.

Ja. Wenn deine Institution einen eigenen Standard-AVV verwendet, prüfen wir ihn.

Für uns kommt es darauf an, dass der Vertrag die tatsächlich stattfindende Verarbeitung zutreffend beschreibt. Wir verlangen nicht, dass Institutionen unsere Vorlage verwenden, nur weil es unsere ist.

Unsere TOM umfassen administrative Zugriffe, Authentifizierung, Verschlüsselung, Secret-Management, Trennung von Umgebungen, externe Verarbeitung, Logging, Product Metrics, Löschung, Backups, Wiederherstellung, Entwicklung und Deployment sowie den Umgang mit Sicherheitsvorfällen.

Das Dokument ist versioniert und beschreibt den Ist-Zustand des Systems. Geplante Maßnahmen werden nicht als bereits umgesetzt dargestellt.

Das hängt zum Teil von der Konfiguration der Institution ab. Unsere Kerninfrastruktur wird in Deutschland bei STRATO betrieben.

Welche Modellanbieter darüber hinaus personenbezogene Daten einer Institution erhalten, hängt von den für diese Institution freigegebenen Verarbeitungsprofilen ab. Wir unterscheiden deshalb zwischen der öffentlichen Liste der Dienste, die Acadex nutzen kann, und der konkreten Liste für einen bestimmten institutionellen Einsatz.

Nein. Wir setzen derzeit keine externen Web-Analytics-Plattformen, Werbenetzwerke, Retargeting-Pixel, Session-Recording-Dienste oder Marketing-Tracking-Pixel ein.

Wir erzeugen eine begrenzte Menge operativer und produktbezogener Kennzahlen auf eigener Infrastruktur. Forschungsinhalte werden dafür nicht ausgewertet.

Unsere zentrale Anwendungsinfrastruktur und die PostgreSQL-Datenbank werden in Deutschland betrieben. Die von Acadex verwalteten Backups werden ebenfalls in Deutschland gespeichert.

Externe Dienste können je nach institutioneller Konfiguration andere Verarbeitungsorte haben. Diese dokumentieren wir separat.

Ja. Gespräche, gespeicherte Erinnerungen und hochgeladene Dokumente lassen sich direkt in Acadex löschen. Auch der gesamte Account kann gelöscht werden.

Unsere Löscharchitektur umfasst Datenbankbeziehungen, die abhängige Nutzerdaten mit entfernen, sowie automatisierte Prüfungen, die Tabellen mit Nutzerdaten identifizieren sollen, die von der erwarteten Löschlogik nicht erfasst sind. Gelöschte Informationen können in bestehenden Backups verbleiben, bis die jeweilige Backup-Rotation abläuft.

Accountbezogene Product-Metrics-Daten werden grundsätzlich zusammen mit dem Account gelöscht, sofern keine andere gesetzliche Aufbewahrungspflicht besteht.

Aggregierte Statistiken können bestehen bleiben, soweit sie sich keinem einzelnen Account mehr zuordnen lassen.

Ja. Institutionelle Seats werden einzelnen Personen zugeordnet; gemeinsam genutzte Accounts sind nicht vorgesehen.

Chats, gespeicherte Erinnerungen, Dokumente und Watchlists gehören zum Arbeitsbereich der jeweiligen Person. Seats lassen sich organisatorisch neu zuweisen, ohne dass sich mehrere Personen einen Account teilen müssen.

Noch nicht. Institutionelles Single Sign-on über Shibboleth, DFN-AAI oder vergleichbare Systeme ist derzeit nicht allgemein verfügbar.

Wenn SSO Voraussetzung für einen konkreten Einsatz ist, möchten wir das wissen. Eine konkrete Abhängigkeit hilft unserer Priorisierung deutlich mehr als ein hypothetischer Feature-Wunsch.

Unsere administrativen Systeme sind mit Multi-Faktor-Authentifizierung geschützt. MFA für einzelne Acadex-Nutzeraccounts ist noch nicht allgemein verfügbar.

Wir dokumentieren das als offenen Punkt, statt etwas anderes nahezulegen.

Derzeit nicht. Acadex verfügt noch nicht über eine ISO-27001-Zertifizierung oder einen SOC-2-Bericht. Auch einen formalen externen Penetrationstest haben wir noch nicht abgeschlossen.

Statt solche Label als Ersatz für Details zu verwenden, dokumentieren wir die Sicherheitsmaßnahmen, die tatsächlich bestehen.

Ja. Institutionelle Kundinnen und Kunden können per Rechnung bezahlen.

Wir können Angaben wie Rechnungsanschrift, Bestellnummern, Beschaffungsreferenzen und weitere erforderliche Abrechnungsdetails aufnehmen. Eine Kreditkarte ist nicht erforderlich.

Nicht als Standardprodukt. Wir veröffentlichen derzeit keine allgemeine Verfügbarkeitsgarantie.

Wenn ein Einsatz konkrete Anforderungen an Verfügbarkeit, Support oder Reaktionszeiten hat, besprechen wir sie. Wir definieren ein SLA lieber dann, wenn Infrastruktur und Monitoring die Zusage tragen können, statt zuerst eine Zahl zu veröffentlichen und danach darauf hinzuarbeiten.

Ja. Security-, Datenschutz- und Beschaffungsfragebögen können an info@acadex.io gesendet werden.

Wo die Antwort bereits in unserer Dokumentation steht, verweisen wir darauf. Wo nicht, beantworten wir sie separat.