Kontakt Gespräch anfragen
In Deutschland entwickelt · DSGVO-konform · KI-Verarbeitung in der EU

Proaktive KI, die für Sie arbeitet. DSGVO‑konform. Aus Deutschland.

Kostenlose Erstberatung Passendes Paket finden

Unverbindlich · 30 Minuten · Antwort innerhalb eines Werktags

AVV nach Art. 28 DSGVO EU-Verarbeitung (Frankfurt) Kein Training auf Ihren Daten Monatlich kündbar
AngeboteVerträge prüfenE-MailsRechercheBerichteFörderanträgeProtokolleStellenanzeigenDatenschutzCybersecurity
EU · Claude
Mahnung an Herrn Meyer, Bahnhofstr. 12 entwerfen
Anonymisiert, bevor etwas Ihr Haus verlässt
Herrn Meyer→[NAME]
Bahnhofstr. 12→[ADRESSE]

Sehr geehrter [NAME],

trotz Zahlungsfrist zum 15.08. ist die Rechnung Nr. 2043 noch offen. Wir bitten um Ausgleich bis zum 05.09.

…

Frag XDAB
KI-System. Inhalte gekennzeichnet (Art. 50 KI-VO).
Mehr entdecken
1.880vorkonfigurierte Startpunkte
EUVerarbeitung Frankfurt
0Training auf Ihren Daten
A+…FCybersecurity-Score (geplant)

Ein Zugang. Die besten Modelle und Ihre Werkzeuge.

Claude ChatGPT Gemini Gmail Microsoft 365 DATEV GitHub
Modelle & Skills

Die besten Modelle. Vierzig fertige Fachaufgaben.

Ein Zugang, ein Vertrag, eine Rechnung. Wir trennen offen nach dem, was zählt: Bleiben Ihre Daten in der EU oder nicht.

Verarbeitung in der EU

Der Standardweg. Ihre Inhalte verlassen den europäischen Rechtsraum nicht.

Sechs Falter verschiedener Arten, Größen und Farben auf einem hellen Stein
Anthropic

Claude Fable 5

Die höchste verfügbare Leistung. Für die schwersten Fälle und lange Prüfläufe, die über viele Schritte tragen müssen.

Kontext
1 Mio.
Ausgabe
bis 128.000
EU-Profil
Ausbalancierter Stapel glatter Flusssteine
Anthropic

Claude Opus 5

Für die schwierigen Fälle: lange Akten, mehrstufige Prüfungen, juristische Einordnung.

Kontext
1 Mio.
Ausgabe
bis 128.000
EU-Profil
Aufgeschlagenes Buch mit gefächerten Seiten
Anthropic

Claude Sonnet 5

Der Alltagsmotor: schnell genug für laufende Arbeit, stark genug für Fachfragen.

Kontext
1 Mio.
Rolle
Standardmodell
EU-Profil
Drei kurze Bambushalme nebeneinander
Anthropic

Claude Haiku 4.5

Für Kurzes und Häufiges: Zusammenfassen, Sortieren, Vorprüfen. Sparsam im Verbrauch.

Kontext
200.000
Rolle
schnelle Aufgaben
EU-Profil

Kein Paragraf aus dem Gedächtnis. Jede genannte Vorschrift wird gegen die amtliche Fundstelle geprüft. Was sich nicht bestätigen lässt, wird als ungeprüft gekennzeichnet.

Nur auf ausdrückliche Wahl, außerhalb der EU

Für die GPT-5.6-Familie gibt es bei unserem Anbieter kein EU-Profil. Für Berufsgeheimnisträger nach § 203 StGB nicht empfohlen.

Die Sonne im All, glühende Plasmaoberfläche
OpenAI

GPT-5.6 Sol

Spitzenmodell für komplexe berufliche Arbeit. Für Fälle, in denen Sie eine zweite, unabhängige Sicht wollen.

Kontext
1,05 Mio.
Verarbeitung USA
Die Erde aus dem Orbit, blauer Atmosphärensaum
OpenAI

GPT-5.6 Terra

Wiegt Leistung und Kosten gegeneinander ab. Für laufende Arbeit in Menge.

Kontext
1,05 Mio.
Rolle
Alltag, hohe Menge
Verarbeitung USA
Der Mond im All, Kraterlandschaft im Streiflicht
OpenAI

GPT-5.6 Luna

Auf kostenempfindliche Aufgaben zugeschnitten. Für sehr große Stückzahlen.

Kontext
1,05 Mio.
Rolle
Massenaufgaben
Verarbeitung USA

Weitere Modelle wie offene OpenAI-Modelle, ältere GPT-Stufen oder Google Gemini bieten wir derzeit nicht an.

Vierzig fertige Fachaufgaben

Kein leeres Eingabefeld. Jede Aufgabe bringt ihre Fachanweisung mit, arbeitet mit Maskierung und nennt ihre Fundstellen.

Datenschutz 8
  • AVV-Generator
  • Verzeichnis (VVT)
  • Folgenabschätzung (DSFA)
  • TOM-Check
  • Löschkonzept
  • Drittland-Transfer
  • Betroffenenrechte
  • Schnellcheck
Cybersicherheit 6
  • NIS2-Schnellcheck
  • BSI-Grundschutz-Mapping
  • AI-Act-Klassifikation
  • DORA-IKT-Check
  • Breach-Report
  • Cyber-Scan-Auswertung
Personal 6
  • BEM-Eingliederung
  • Bewerber-Vorfilter
  • Kündigung-Vorprüfung
  • Betriebsrat-Anhörung
  • Arbeitszeugnis
  • Lohnpfändung
Kaufmännisch 6
  • Angebot schreiben
  • Rechnungstext
  • Mahnung
  • Tabelle auswerten
  • Stellenanzeige
  • Optionen abwägen
Alltag 6
  • E-Mail entwerfen
  • Protokoll & Aufgaben
  • Zusammenfassen
  • Übersetzen
  • Text schärfen
  • Dokument befragen
Finanz & Compliance 4
  • GwG-Mittelherkunft
  • EU-Sanktions-Screening
  • LkSG-Lieferanten-Risiko
  • HinSchG-Intake
Schutz & Aufbereitung 4
  • Anonymisieren
  • Fristen finden
  • Verständlich machen
  • Unterlagen aufbereiten

Diese vier bietet im deutschen Markt sonst kaum jemand als fertige Aufgabe an.

Marken und Logos der genannten Anbieter dienen ausschließlich der Beschreibung der angebundenen Dienste. Es besteht keine Partnerschaft, Zertifizierung oder Empfehlung durch diese Anbieter. Die Bildmarken sind eigene Gestaltungen von XDAB.

Auf einen Blick

Alles aus einer Hand.

Rechtssichere KI, Webentwicklung und Betrieb, drei Leistungen, ein Partner. KI‑Verarbeitung in der EU (Frankfurt), begleitet vom externen Datenschutzbeauftragten aus der Region Braunschweig.

01

Einstieg

Bevor gebaut wird: Wir sehen uns Abläufe, Systeme und Daten an und schulen Ihr Team.

ab 990 € 02

Bauen

Websites, Fachanwendungen und Automatisierungen, an Ihren Betrieb angepasst statt jedes Mal neu programmiert.

ab 1.500 € 03

Betrieb

Jedes Projekt bekommt einen Betreuungsvertrag: Pflege, Hosting, Support und jeden Monat ein Bericht.

ab 49 € / Monat
EU‑Verarbeitung FrankfurtExterner DatenschutzbeauftragterNIS2‑readyE‑Rechnung & GoBD
Das Produkt

So sieht Ihr Arbeitsplatz aus.

Keine Mockups, echte Bildschirmaufnahmen des XDAB‑Workspace, am Desktop und unterwegs.

XDAB-Workspace am Desktop: Fachfrage mit Antwort, geprüfte Fundstellen, Eingabefeld mit Modellwahl
Warum XDAB

XDAB statt US‑KI‑Tool direkt.

Die gleiche KI‑Leistung, aber mit vollständiger DSGVO‑Kette, PII‑Schutz und Datenschutzberatung statt blankem API‑Zugang.

Kriterium XDAB US‑KI‑Tool direkt
EU‑Verarbeitung (Frankfurt) Bedrock / Azure EU US‑Drittland
PII‑Maskierung vor Cloud‑Aufruf Muster-Erkennung
AVV‑Kette nach Art. 28 KMU → XDAB → Provider selbst zu klären
Kein Training auf Ihren Daten vertraglich zugesichert tarifabhängig
Compliance‑Killswitch (Art. 38 Abs. 6)
Datenschutzberatung inklusive
Cybersecurity‑Scanner & Agent TLS, DNS, Endpoint

Anthropic, OpenAI, AWS und Microsoft sind nach ISO/IEC 27001 zertifiziert und SOC 2 Type II auditiert, die EU‑Verarbeitung erfolgt über Bedrock Frankfurt bzw. Azure OpenAI EU.

Pakete & Preise

Klare Preise. Drei Schritte.

Einstieg, Bauen, Betrieb: Sie fangen klein an und bauen nur, was sich für Sie lohnt.

Alle Pakete & Preise ansehen →

Lernen wir Ihren Betrieb kennen.

Kostenlose Erstberatung, in 30 Minuten zeigen wir Ihnen, was XDAB für Sie erledigen kann. Unverbindlich, ohne Anmeldung.

Kostenlose ErstberatungFragerunde starten
Oder direkt per E-Mail: kontakt@xdab-ki.de
Die Plattform

Eine Plattform.
Vier souveräne Bausteine.

Vier Bausteine, ein Partner, gemacht für den deutschen Mittelstand.

Modelle Opus 5, Sonnet 5, Fable 5, Haiku – über einen Zugang, in der EU verarbeitet. optional außerhalb der EU
/0.1

KI‑Workspace

Fragen, schreiben, analysieren, mit den besten Modellen. Namen und Kundendaten werden maskiert, bevor etwas Ihr Haus verlässt.

Die besten Modelle Automatischer Datenschutz Export in Ihre Formate
/0.2

Experten‑Agenten

Beschreiben Sie Ihre Aufgabe, der Lotse stellt das passende Fachteam zusammen, von der Arztpraxis bis zur Kanzlei.

Experten‑Lotse 1.880 Fachexperten · 73 im Team Arbeitet im Hintergrund weiter
/0.3

Cybersecurity

In Vorbereitung: Wir prüfen Website und Geräte von außen wie von innen, mit einer klaren Note von A+ bis F, ohne Fachchinesisch.

Website‑Check mit Note Geräte im Blick Klare To‑dos
/0.4

Datenschutz‑Beratung

Echte Menschen statt Hotline: Audits, Verarbeitungsverzeichnis und Schulungen für Ihr Team.

Persönliche Beratung Audits & VVT Pflicht‑Schulungen (Art. 4)
Nach Abteilung

Was XDAB in Ihrer Abteilung übernimmt

Vierzig fertige Fachaufgaben, sortiert nach dem Schreibtisch, auf dem sie landen. Jede läuft im selben Arbeitsplatz, mit Maskierung vor jeder Übermittlung und Verarbeitung in der EU.

Allgemein

Was jeden Tag anfällt, in jeder Abteilung. Der Teil, der nie im Projektplan steht und trotzdem die meiste Zeit frisst.

  • E‑Mail entwerfen
  • Protokoll & Aufgaben
  • Zusammenfassen
  • Dokument befragen
  • Text schärfen
  • Übersetzen

Marketing & Vertrieb

Vom Erstkontakt bis zum Angebot. Schneller antworten, ohne dass es nach Textbaustein klingt.

  • Angebot schreiben
  • Verständlich machen
  • Optionen abwägen
  • Text schärfen
  • E‑Mail entwerfen

Personal

Der heikelste Bereich, weil fast jeder Vorgang Personendaten trägt. Deshalb bereitet XDAB vor und entscheidet nie.

  • Stellenanzeige
  • Bewerber‑Vorfilter
  • Arbeitszeugnis
  • BEM‑Eingliederung
  • Kündigung‑Vorprüfung
  • Betriebsrat‑Anhörung
  • Lohnpfändung

Finanzen

Zahlen prüfen, Texte formulieren, Pflichten einhalten. Jede Rechnung wird im Rechenweg gezeigt, nicht nur im Ergebnis.

  • Rechnungstext
  • Mahnung
  • Tabelle auswerten
  • GwG‑Mittelherkunft
  • EU‑Sanktions‑Screening

Betrieb

Was läuft, muss laufen. Sicherheitslage, Lieferkette und Fristen an einer Stelle, in verständlichen Worten statt in Fachchinesisch.

  • Cyber‑Scan‑Auswertung
  • NIS2‑Schnellcheck
  • BSI‑Grundschutz‑Mapping
  • LkSG‑Lieferanten‑Risiko
  • Fristen finden
  • Unterlagen aufbereiten

Entwicklung

Technische Vorhaben rechtlich einordnen, bevor sie gebaut werden. Spart die Schleife, in der ein fertiges Feature wieder zurückgebaut wird.

  • AI‑Act‑Klassifikation
  • TOM‑Check
  • Drittland‑Transfer
  • DORA‑IKT‑Check
  • Dokument befragen
  • Tabelle auswerten

Leitung

Die Nachweispflichten, die am Ende auf einem Schreibtisch landen. XDAB bereitet die Unterlagen vor, unterschreiben müssen Sie.

  • Datenschutz‑Schnellcheck
  • Verzeichnis (VVT)
  • Folgenabschätzung (DSFA)
  • AVV‑Generator
  • Löschkonzept
  • Breach‑Report
  • HinSchG‑Intake

Alle Aufgaben laufen über denselben Zugang und dieselbe Maskierung. Was rechtliche Wirkung entfalten kann, bleibt Entscheidungsvorbereitung: Die Entscheidung trifft immer ein Mensch.

Der Workspace

Ein Terminal. Fünf Werkzeuge.
Alles DSGVO-konform aus Frankfurt.

Chat, Experten-Agenten, PII-Schutz, Cybersecurity und Wissensbasis, nahtlos verbunden in einer Oberfläche. Klicken Sie sich durch.

01. Multi-Model-KI

Fragen Sie. Die besten Modelle antworten.

Claude im EU-Pfad. GPT-5.6 optional außerhalb der EU. Alle im selben Eingabefeld. Sie wechseln das Modell mit einem Klick, XDAB kümmert sich um den Rest.

  • Modellwechsel mit einem Klick
  • Belegte Quellen statt Blackbox
  • Liest Ihnen Ergebnisse auf Wunsch vor
Ihr XDAB-Arbeitsplatz · Chat
Claude Opus 5 ChatGPT Gemini
DW
Fasse die neuen Pflichten aus dem EU AI Act für KMU zusammen.
KMU mit Hochrisiko-KI müssen ab 2026 Risikomanagement, Daten-Governance und menschliche Aufsicht nachweisen. Transparenzpflichten gelten früher…
EU-Quelle · Frankfurt3 Belege
Nachricht an XDAB…
02, 1.880 Fachexperten

Spezialisierte Agenten plus Lotse, der den richtigen findet.

Vom Datenschutz-Audit bis zur Fördermittel-Recherche: 1.880 vorkonfigurierte Experten-Agenten stehen bereit. Der Lotse wählt den passenden, Sie starten per Klick.

  • Läuft im Hintergrund weiter
  • Auto-Speicherung als PDF/Word/Excel
Ihr XDAB-Arbeitsplatz · Agenten
Lotse-Empfehlung für „DSGVO-Audit“
DSläuft
Datenschutz-Auditor
VVbereit
VVT-Generator
Verarbeitungsverzeichnis
TObereit
TOM-Prüfer
Art. 32 Maßnahmen
FMfertig
Fördermittel-Scout
Bericht gespeichert
2 Berichte automatisch in Ablage gespeichert
03. PII-Maskierung

Kontaktdaten verlassen Ihr Haus nicht im Klartext.

Bevor eine Anfrage Ihr Haus verlässt, erkennt XDAB feste Muster. E-Mail-Adressen, IBAN, Telefonnummern, Geburtsdaten, Steuer-IDs, Kennzeichen, und ersetzt sie durch Platzhalter wie [EMAIL] oder [IBAN]. Freie Personennamen erkennt die Vorschau noch nicht zuverlässig; die Namenserkennung ist in Arbeit.

  • Feste Muster: E-Mail, IBAN, Telefon, Geburtsdatum, Steuer-ID
  • Audit-Log ohne Prompt-Inhalte
Ihr XDAB-Arbeitsplatz · PII-Schutz
Vorher, lokalNachher, an Cloud
Klartext

Der Mandant Thomas Berger aus Braunschweig meldet einen Vorfall. Kontakt: t.berger@firma.de

Maskiert

Der Mandant [NAME] aus [ORT] meldet einen Vorfall. Kontakt: [EMAIL]

3 Entitäten maskiertvor Cloud-Aufruf
04. Security-Scanner in Entwicklung

Ein echter Sicherheits-Check, mit Schulnote.

Funktionsumfang in Vorbereitung, Termin auf Anfrage.

XDAB prüft Ihre Website und Ihre Domain auf die Punkte, die Angreifer zuerst suchen, und fasst alles in einer Note von A+ bis F zusammen.

  • Konkrete Befunde, keine Pauschalwerte
  • Wiederholbar, dokumentiert, exportierbar
Ihr XDAB-Arbeitsplatz · Cybersecurity
kunde-mittelstand.de
B
TLS 1.3 · HSTS aktivstark
SPF · DKIM · DMARCgesetzt
CSP-Header fehltoffen
DNSSEC nicht aktivoffen
Vollbericht als PDF exportieren
05. RAG-Wissensbasis

Ihre Dokumente werden zur durchsuchbaren Wissensbasis.

Laden Sie Verträge, Richtlinien und Handbücher hoch. XDAB findet die passende Stelle, nicht nur den Dateinamen. Fragen Sie einfach in Ihren eigenen Worten.

  • Versteht die Frage, nicht nur Stichworte
  • Jede Antwort mit Fundstelle belegt
Ihr XDAB-Arbeitsplatz · Wissensbasis
Dokument hierher ziehen · PDF, DOCX, XLSX AVV-Vorlage.pdf hochgeladen
Aufbewahrungsfrist Auftragsverarbeitung?
AVV-Vorlage.pdf0.94

… nach Beendigung löscht der Auftragsverarbeiter sämtliche Daten binnen 30 Tagen …

Löschkonzept.docx0.88

… Fristen richten sich nach Art. 17 DSGVO sowie handelsrechtlichen Vorgaben …

Nur bei XDAB

Systeme, die es woanders nicht gibt.

Ein Blick in den echten Arbeitsplatz, echte Screenshots, keine Konzeptbilder.

XDAB Experten-Team: 73 Fach-Spezialisten zur parallelen Auswahl
Experten‑TeamBis zu 73 Fach‑Spezialisten arbeiten parallel, eine abgestimmte Antwort statt vieler Einzelmeinungen.
XDAB Kosten-Killer: Kostenkontrolle für jede KI-Anfrage
Kosten‑KillerSie sehen jede KI‑Ausgabe, bevor sie entsteht. Budget‑Wächter statt böser Überraschung.
XDAB Tier-Router: automatische Modellwahl nach Aufgabe
Tier‑RouterWählt automatisch das günstigste Modell, das Ihre Aufgabe wirklich schafft.
XDAB Concierge: eingebaute Hilfe direkt im Arbeitsplatz
ConciergeErklärt den Arbeitsplatz direkt in der App und führt Sie zum richtigen Werkzeug.
XDAB Audit: Recht- und Security-Prüfung im Arbeitsplatz
Recht- & Security-AuditPrüft Verträge und Websites auf rechtliche und technische Risiken, mit belegten Befunden.
XDAB Modellkatalog: transparente Übersicht der verfügbaren KI-Modelle
ModellkatalogAlle Modelle offen nebeneinander statt Blackbox.
Technische TiefeWie eine Anfrage abläuft & wie Ihre Dokumente zur Wissensbasis werden
Datenfluss · Ende zu Ende

Wie eine Anfrage abläuft

Vom Tippen im Workspace bis zur fertigen Antwort, das KI-Modell sieht erkannte Muster nur maskiert. Jede erkannte personenbezogene Angabe wird maskiert, bevor sie das EU-Gateway verlässt.

1

Eingabe im Workspace

Sie formulieren Ihre Anfrage, ganz normal, im Klartext. Lokal im Browser: Noch verlässt nichts das Haus.

2

PII-Scan & Maskierung

Muster-Erkennung (deutsch) erkennen Namen, Orte, Kontaktdaten, und ersetzen sie durch Platzhalter.

3

EU-Gateway Frankfurt

Nur die maskierte Anfrage läuft über AWS Bedrock in Frankfurt. Kein US-Drittland im EU-Pfad.

4

KI-Modell verarbeitet

Das gewählte Modell rechnet ausschließlich mit maskierten Daten. Kein Training auf API-Inhalten.

5

Antwort (maskiert)

Das Modell antwortet mit denselben Platzhaltern. PII bleibt außerhalb der EU-Infrastruktur unbekannt.

6

Rück-Ersetzung lokal

Im Workspace werden [NAME] & [ORT] wieder zu „Dr. Müller, Hannover“ aufgelöst, nur für die berechtigte Person sichtbar.

Erkannte Muster erreichen das Modell nur maskiert
AVV-Kette Art. 28. KMU → XDAB → Provider
Kein Training auf API-Daten
Wissensbasis · Vektordatenbank

Ihre Dokumente werden zum
Wissen der KI. DSGVO-konform in der EU

Ihre Dateien werden als Vektoren (pgvector) gespeichert. Die KI greift gezielt darauf zu und antwortet mit belegten Quellen, ausschließlich in Frankfurt verarbeitet.

1

Hochladen & Einbetten

PDF, Word, Excel, E-Mails. Texte werden in Chunks zerlegt und per Embedding-Modell (Bedrock-EU) in Vektoren überführt.

2

Vektordatenbank (pgvector)

Speicherung als durchsuchbare Vektoren in der EU. Ähnlichkeitssuche findet die relevanten Passagen, nicht nur Stichwort, sondern Bedeutung.

3

Antwort mit Quellen (RAG)

Die KI zitiert die Fundstellen aus Ihren eigenen Dokumenten. Jede Aussage bleibt nachprüfbar und belegbar.

Ihr XDAB-Arbeitsplatz · Wissensbasis
Dokumente
PDF
AVV_Muster_2026.pdfindexiert · 142 Chunks
DOC
IT-Richtlinie.docxindexiert · 88 Chunks
XLS
Lieferanten.xlsxeinbetten · 61%
Embedding-Lauf61%
pgvector · Bedrock-EU Frankfurt
Wer ist Auftragsverarbeiter laut AVV?
3 Treffer aus Ihrer Wissensbasis
AVV_Muster_2026.pdf0.94

…der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich gemäß Art. 28 DSGVO und Weisung…

IT-Richtlinie.docx0.88

…Sub-Auftragsverarbeiter sind nur nach schriftlicher Genehmigung zulässig, Kette dokumentiert…

AVV_Muster_2026.pdf0.81

…Löschkonzept nach Vertragsende, Rückgabe der Datenträger…

Konnektoren zu Ihrer vorhandenen Software, in Vorbereitung
DATEV / Lexware
Microsoft 365
SharePoint
Google Workspace
E-Mail / IMAP
Cloud-Speicher
Eigene DB
n8n-Automation
EU-Verarbeitung Frankfurt Embeddings & Vektordatenbank bleiben in der EU. Kein Training auf Ihren Daten. PII-Maskierung vor jedem Cloud-Aufruf.
Wissensgraph · Graph-RAG

Ihre Akten als Wissensgraph,
durchsuchbar nach Bedeutung

Für Berufsgeheimnisträger bieten wir eine zweite, streng lokale Wissensbasis. Jedes Dokument wird zu einem Vektor, die Suche findet nach Bedeutung statt nach Stichwort, und jede Verbindung bleibt nachvollziehbar. Nichts verlässt die EU. Probieren Sie die Suche aus.

72
Sachgebiete

Einbettung · Auszug
Vektorsuche und Graph zugleich. Jedes Dokument bekommt eine Einbettung, die Suche vergleicht Bedeutungen statt Wörter. Der Graph zeigt zusätzlich, warum zwei Akten zusammenhängen.
Streng lokal. Einbettungen werden auf unserem Server berechnet, kein fremdes Modell sieht Ihre Ablage. Nur mit Ihrer Freigabe läuft ein Deutungs-Durchgang über unser EU-Modell in Frankfurt.
Zwei Wissensbasen, ein Arbeitsplatz. Kanzlei und Praxis wählen die lokale Spur (§ 203, nichts verlässt die EU); andere nutzen die Cloud-gestützte. Sie entscheiden je Mandant.
Datenschutz im Detail

DSGVO ist bei uns Architektur – kein Haftungsausschluss im Kleingedruckten.

Derselbe Pfad bei jeder Anfrage: EU-Verarbeitung in Frankfurt, PII-Maskierung vor dem Cloud-Aufruf, AVV-Kette nach Art. 28 DSGVO.

EU-Verarbeitung in Frankfurt, kein US-Drittland im EU-Pfad

Daten werden im EU-Standard-Pfad (Bedrock-EU, AWS-Region Frankfurt) verarbeitet. Personenbezogene Daten werden dabei bereits vor dem Cloud-Aufruf automatisiert maskiert. Der Webserver, der diese Seiten ausliefert, steht heute noch außerhalb der EU, er verarbeitet keine Kundendaten und zieht in die EU um. Die KI-Verarbeitung läuft davon unabhängig bereits in Frankfurt. Besonders sensible Aufgaben lassen sich zusätzlich vollständig lokal auf einem EU-Modell ausführen.

EU-only Default Kein Training auf API-Daten Audit-Log ohne Prompt-Inhalte

Anbieter-Zertifizierungen

Belegbare Standards unserer Sub-Auftragsverarbeiter im EU-Pfad.

Anbieter Rolle Zertifizierungen
AnthropicClaude KI-Modell ISO/IEC 27001 SOC 2 Type II
OpenAIChatGPT KI-Modell ISO/IEC 27001 SOC 2 Type II
AWSBedrock, Frankfurt EU-Gateway ISO 27001 ISO 27017 ISO 27018 SOC 2
Microsoft AzureAzure OpenAI EU T2-Routing ISO 27001 ISO 27017 ISO 27018 SOC 2

Anthropic und OpenAI sind nach ISO/IEC 27001 zertifiziert und SOC 2 Type II auditiert; AWS und Azure zusätzlich nach ISO 27017/27018.

Schutzmechanismen im Überblick

Acht technische und organisatorische Maßnahmen, die ineinandergreifen.

PII-Maskierung vor dem Cloud-Aufruf

Feste Muster für E-Mail, IBAN, Telefon, Geburtsdatum, Steuer-ID und Kennzeichen werden erkannt und ersetzt, bevor eine Anfrage das Gateway verlässt. Eine Namenserkennung (NER) ist in Arbeit. Modelle sehen Platzhalter, keine Klarnamen.

AVV-Kette nach Art. 28 DSGVO

Lückenlose Auftragsverarbeitung: KMU → XDAB (Auftragsverarbeiter) → Provider (Sub-AV). Vertraglich abgesichert, dokumentiert, prüfbar.

Kein Training auf API-Daten

Ihre Inhalte werden nicht zum Trainieren von Modellen verwendet. Vertraglich zugesichert über die gesamte Anbieterkette im EU-Pfad.

Audit-Log ohne Prompt-Inhalte

Protokolliert werden Zeitpunkt, Modell und Routing-Stufe, nicht der Inhalt Ihrer Eingaben. Nachvollziehbarkeit ohne neue Datenrisiken.

3-Stufen-Routing, transparent steuerbar

T1
Bedrock-EU Standard. EU-Frankfurt, kein US-Drittland.
T2
Azure OpenAI EU Nur auf ausdrückliche Wahl, Verarbeitung außerhalb der EU.
T3
BYOK Opt-in, nur mit ausdrücklicher Warnung.

Art. 38 Abs. 6 Killswitch

Interessenkonflikte ausgeschlossen: Ein DSB-Mandat (A) ist nicht mit KI- oder Security-Leistungen (C/D) kombinierbar, technisch erzwungen.

„Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch.“
Art. 28 Abs. 2 DSGVO Genau diese Genehmigungskette bilden wir vertraglich ab. KMU als Verantwortlicher, XDAB als Auftragsverarbeiter, Provider als Sub-AV.
TransparenzWer Ihre Daten verarbeitet, vollständige Sub-Prozessor-Liste
Auftragsverarbeitung & Transparenz

Wer Ihre Daten verarbeitet, offengelegt

XDAB ist Ihr Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet ausschließlich auf Ihre Weisung. Die Verarbeitungskette legen wir vollständig offen, das ist Vertrauenssache.

Unsere Rolle

Auftragsverarbeiter nach Art. 28 DSGVO, weisungsgebunden. Den vollständigen AV-Vertrag (AVV) inkl. Sub-Prozessor-Liste und TOMs stellen wir auf Anfrage binnen 5 Werktagen bereit.

Meldung von Datenpannen

Bei einer Datenschutzverletzung informieren wir Sie unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, strenger als die gesetzliche 72-Stunden-Frist.

Sub-Prozessoren ändern

Neue Sub-Auftragsverarbeiter teilen wir Ihnen rechtzeitig mit. Sie haben ein Einspruchsrecht nach Art. 28 Abs. 2 DSGVO.

Sub-ProzessorRegionZweckAbsicherung
AWS. Amazon BedrockEU · Frankfurt (eu-central-1)KI-Inferenz (Claude). StandardpfadEU-Region, AVV/DPA, EU-US DPF + SCC
SearXNG (selbst betrieben)EU · FrankfurtDSGVO-konforme WebsucheEigenbetrieb, keine Drittweitergabe
Web-Hostingderzeit Brasilien · EU-Umzug geplantAuslieferung dieser WebsiteAVV; dieser Webserver steht heute noch außerhalb der EU und liefert ausschließlich diese Seiten aus, es werden dort keine Kundendaten verarbeitet. Die KI-Verarbeitung läuft davon unabhängig in Frankfurt.
in VorbereitungEU · ParisEU-natives Modell / OrchestrierungEU-nativ, kein Drittlandtransfer
OpenAI / Azure OpenAI optional · Opt-inAzure EU-Datenzone / USAGPT-Modelle nur auf ausdrücklichen WunschEinwilligung + DPF/SCC + PII-Maskierung

EU-Standardpfad: Im Standard verarbeitet XDAB ausschließlich in der EU (Bedrock-EU Frankfurt), kein Drittlandtransfer. US-Modelle (z. B. GPT) sind nur als bewusstes Opt-in mit Einwilligung verfügbar. Das ist der Unterschied zu Anbietern, die standardmäßig pseudonymisiert in die USA übermitteln. Stand-Entwurf, die verbindliche Fassung inkl. vollständiger Sub-Prozessor-Liste erhalten Sie im AVV über kontakt@xdab-ki.de.

In EntwicklungScanner und Endpoint-Agent werden derzeit gebaut und stehen in Kürze bereit. Was hier beschrieben ist, ist der geplante Funktionsumfang, noch keine abrufbare Leistung.

Cybersecurity im Detail

Zwei Säulen, ein Lagebild: Außen-Scan und Endpoint-Agent

Wir prüfen Ihre Angriffsfläche von außen wie von innen. Website und Domain nach OWASP-Maßstab, Endgeräte auf Verschlüsselung und Patch-Stand.

01
Außen-Perspektive

Website- & Domain-Scan

Ein nicht-invasiver Scan Ihrer öffentlich erreichbaren Domain. Keine Logins, keine Exploits, nur das, was ein Angreifer ohnehin sieht.

TLS & Cipher
Protokoll-Enumeration (TLS 1.0–1.3), aktive Cipher-Suiten, schwache/veraltete Verfahren, Zertifikatskette & Ablauf.
OWASP Security-Header
HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.
DNS-Sicherheit
SPF, DKIM, DMARC gegen Mail-Spoofing, plus DNSSEC und CAA für manipulationssichere Auflösung.
security.txt (RFC 9116)
Prüfung auf einen standardkonformen Kontaktkanal für Sicherheitsmeldungen. Pflicht für professionelle Disclosure.
Cookie-Sicherheit
Secure-, HttpOnly- und SameSite-Flags je Cookie. Schutz vor Session-Diebstahl und CSRF.
Mixed-Content & SRI
Unsichere HTTP-Ressourcen auf HTTPS-Seiten und fehlende Subresource-Integrity bei externen Skripten.
XDAB Security-Scan · Bericht
A
www.musterfirma-gmbh.de
Mozilla-Observatory-Score
92/100
TLS 1.3 erzwungen Stark
HSTS + CSP gesetzt Aktiv
Referrer-Policy Schwach
SPF / DKIM / DMARC 3/3
security.txt (RFC 9116) Fehlt
Cookies: Secure + SameSite OK
02
Innen-Perspektive

Desktop-Agent (Endpoint)

Ein schlanker Agent auf Ihren Endgeräten meldet sicherheitsrelevante Telemetrie, ohne Inhalte, ohne Tastatur-Mitschnitt. Datensparsam by design.

Software-Inventar
Vollständige Liste installierter Programme und Versionen je Gerät, die Basis für jede Schwachstellen-Bewertung.
Verschlüsselungsstatus
BitLocker / FileVault aktiv? Wir erkennen unverschlüsselte Datenträger, bevor ein verlorenes Notebook zur Meldung wird.
Patch-Monitoring
Abgleich gegen bekannte Schwachstellen (CVE). Fehlende Updates und End-of-Life-Software werden priorisiert gemeldet.
Pseudonyme Hostnames
Geräte erscheinen als stabile Pseudonyme. Die Zuordnung zur Person bleibt bei Ihnen, nicht bei uns.
XDAB Endpoint-Monitor
Endpoint-Flotte
18 sicher 4 Updates 1 kritisch
host-4f1a verschlüsselt · aktuell OK
host-9c30 3 Patches offen Patch
host-b82e Datenträger offen Kritisch
host-1d77 verschlüsselt · aktuell OK
host-7a05 EOL-Software erkannt Prüfen
Beide Scans laufen DSGVO-konform in der EU. Der Außen-Scan ist nicht-invasiv, der Endpoint-Agent erhebt ausschließlich sicherheitsrelevante Telemetrie, keine Inhalte, keine Prompts, kein US-Drittland im Datenpfad.
Pakete & Preise

Drei Schritte. Ein Partner.

Erst verstehen, dann bauen, dann betreuen. Jeder Schritt hat einen festen Preis im Angebot.

Am Anfang steht ein kostenloses Erstgespräch. Danach wissen Sie, welcher Schritt sich für Sie lohnt. Erstgespräch anfragen

Einstieg · Bauen · Betrieb

Was es kostet

Einstiegspreise je Leistung.Alle Preise sind Einstiegspreise, netto zuzüglich Umsatzsteuer. Den Festpreis nennen wir im Angebot, in der Regel nach der Bestandsaufnahme. Das Angebot richtet sich an Unternehmen (B2B).

Wer dahinter steht

Wer hinter XDAB steht.

SP
Simon Pfeiler
Gründer · Recht, Verträge, Vertrieb

Ihr Ansprechpartner vor Ort: Erstgespräch, Bestandsaufnahme und Verträge.

DW
David Wolkoff
Gründer · Technik

Baut und betreut Ihre Systeme: Websites, Fachanwendungen, Automatisierungen und KI-Agenten.

XDAB UG (haftungsbeschränkt) i. G. · Simon Pfeiler · David Wolkoff · Vechelde

Einsatzbereiche

Wo XDAB konkret arbeitet.

Von der ersten Bestandsaufnahme bis zum laufenden Betrieb, abgestimmt auf Branche, Risiko und Datenschutzbedarf.

  • 01 Datenschutz‑Audit & VVT
    Bestandsaufnahme, Verarbeitungsverzeichnis, Risikobewertung
  • 02 KI‑Integration mit PII‑Schutz
    Anonymisierung per Muster-Erkennung vor jedem Cloud‑Aufruf
  • 03 NIS2 & Cybersecurity
    Scanner und Endpoint‑Agent in Entwicklung; Härtungs‑Empfehlungen ab sofort
  • 04 KI‑Schulungen (Art. 4 EU AI Act)
    Pflichtschulung zur KI‑Kompetenz für Ihr Team
  • 05 Branchen‑Experten
    Arztpraxis, Kanzlei, Handwerk, Steuerberatung u. v. m.
Fragerunde

Sagen Sie uns, was Sie brauchen

Sieben kurze Fragen, am Ende erstellen wir Ihnen daraus eine fertige E-Mail mit Ihren Angaben. Keine Anmeldung, keine Verbindung zu Ihren Systemen. Sie senden selbst ab.

01 In welcher Branche sind Sie tätig?
02 Wie viele Mitarbeiter haben Sie?
03 Was möchten Sie vor allem erreichen? (Mehrfachauswahl)
04 Haben Sie eine DSB-Pflicht bzw. einen Datenschutzbeauftragten?
05 Verarbeiten Sie besonders sensible Daten?
Hinweis: Den Orchestra-Vollzugriff (automatischer Konnektor-Zugriff) bieten wir aus Gründen des Berufsgeheimnisses (§203 StGB) nicht für Kanzleien, Praxen, Steuerberater & Pflege an, für diese Berufe gibt es eine abgeschottete lokale Variante.
06 Welche Tools nutzen Sie heute? (Mehrfachauswahl, optional)
07 Wie können wir Sie erreichen?
Öffnet Ihr E-Mail-Programm mit Ihren Antworten. Sie prüfen und senden selbst ab. Es werden keine Daten an uns übertragen, bevor Sie senden.
FAQ

Häufige Fragen

Nein. Alle eingebundenen Anbieter trainieren nicht auf API-Daten. Die Verarbeitung läuft über eine vertragliche AVV-Kette nach Art. 28 DSGVO, die KI-Verarbeitung erfolgt in der EU (Frankfurt). Sensible Inhalte werden zusätzlich vor jedem Cloud-Aufruf maskiert.

In der EU, primär in Frankfurt (AWS Bedrock, EU-Region). Personenbezogene Daten werden vor dem Versand an ein Cloud-Modell automatisch maskiert. Besonders sensible Aufgaben laufen vollständig lokal auf einem EU-Modell, ohne die Cloud zu verlassen.

Claude (Opus 5, Sonnet 5, Fable 5, Haiku 4.5) im EU-Pfad, GPT-5.6 optional, über einen einzigen, DSGVO-konform gerouteten Zugang. Sie wählen das Modell pro Aufgabe; das System routet sensible Inhalte automatisch sicher.

Das hängt vom Vorhaben ab. Einstiegspreise netto: Bestandsaufnahme ab 990 €, KI-Schulungstag ab 1.490 €, Website ab 1.500 €, Automatisierung ab 2.000 €, Fachanwendung ab 5.000 €. Die Betreuung danach kostet ab 49 € im Monat. Den Festpreis nennen wir im Angebot.

Nein. Der Workspace läuft im Browser, es ist nichts zu installieren, außer optional dem Cybersecurity-Agent für PC-Scans. Vorkonfigurierte Experten-Agenten übernehmen die Fachaufgaben.

DSGVO-Konformität (AVV, EU-Verarbeitung, PII-Maskierung), Experten-Agenten für Ihre Branche, eine durchsuchbare Wissensbasis (RAG), Konnektoren (in Vorbereitung) zu DATEV/Microsoft 365/Google und ein Audit-Log ohne Prompt-Inhalte. Ein Zugang statt vieler Einzel-Abos.

Orchestra plant mehrstufige Aufgaben und bereitet Entwürfe vor. Jeder Schritt, der etwas sendet oder ändert, braucht Ihre Freigabe.

Für Anwälte, Ärzte, Steuerberater, Notare und Pflege gibt es eine abgeschottete lokale Variante ohne automatischen Zugriff auf Postfach und Kalender. Ein Auftragsverarbeitungsvertrag allein deckt das Berufsgeheimnis nicht ab.

Nach dem Erstgespräch folgt die Bestandsaufnahme. Danach erhalten Sie ein Angebot mit Festpreis und Zeitplan.

Ihre Frage ist nicht dabei? Schreiben Sie uns direkt.