FAQ zu Compliance und Souveränität

Zusammenfassung

Dieses FAQ beantwortet exakt die Fragen, die ein professioneller Einkäufer und sein DSB vor dem Kauf eines KI-Meeting-Notiztools stellen. Es unterscheidet drei rechtliche Ebenen, da sie nicht gleichwertig sind: gesetzliche Vorgaben (DSGVO, AI Act), Kundenanforderungen ohne gesetzliche Pflicht (ISO 27001, europäisches Hosting) und branchenspezifische Vorgaben (Gesundheit, öffentlicher Sektor). Jede Antwort ist belegt. Keine Konformitätsaussage ohne zugrundeliegenden Fakt. Fachbegriffe (DPA, Closed Loop, Diarisierung) sind im Glossar des KI-Meeting-Notiztools definiert.

Weder ISO 27001 noch Hosting in Frankreich sind allgemeine gesetzliche Pflichten. Kunden fordern sie, zwei Branchen schreiben sie vor: Gesundheit und öffentlicher Bereich.

Kernaussage: Hosting AWS Region Paris, Scaleway-Option ab bestimmtem Lizenzvolumen, LLM (OpenAI) läuft über Azure Frankreich im Closed Loop, kein Training mit Kundendaten, Verschlüsselung in Transit und Ruhe, ISO 27001 zertifiziert, ISO 42001 in Vorbereitung, NIS2 in Finalisierung, EU AI Act konform, HDS über Partner, DPA, Subunternehmerliste und ISO-Zertifikat auf Anfrage, ca. 10.000 Nutzerunternehmen in Europa, französisch-belgische Einheit.

1. Datenstandort und Hosting

Wo werden meine Daten mit Leexi gehostet und gespeichert?

In Frankreich. Ihre Aufnahmen, Transkripte und Protokolle werden in der AWS-Region Paris gehostet. Ab einem bestimmten Lizenzvolumen ist optional ein Hosting bei Scaleway (französischer Anbieter) möglich [genauer Schwellenwert ZU ÜBERPRÜFEN]. Die Sprachmodellverarbeitung erfolgt über Azure Frankreich im Closed Loop.

Verlassen meine Daten die EU?

Nein, Speicherung und Verarbeitung bleiben in Frankreich. Der Unterschied betrifft den Infrastruktur-Anbieter: Der Speicherort ist europäisch, AWS ist jedoch ein US-amerikanisches Unternehmen (siehe Cloud Act Frage). Für strikte Souveränitätsanforderungen (keine extraterritorialen Gesetze) ist die Scaleway-Option passend.

Was bedeutet „souveränes Hosting“ genau?

Ein anspruchsvoller Käufer prüft drei Kriterien: physische Rechenzentren in Frankreich, eine juristische Person nach französischem oder europäischem Recht ohne extraterritoriale Gesetzgebung und europäische Kapitalmehrheit. AWS Paris erfüllt die physische Lage, aber nicht die Immunität gegenüber US-Gesetzen. Scaleway erfüllt alle drei.

Ist Hosting in Frankreich gesetzlich vorgeschrieben?

Nein, nicht allgemein. DSGVO verlangt nicht, dass Daten in Frankreich oder Europa verbleiben, außer für bestimmte Verarbeitungen. Souveränes Hosting ist nur für bestimmte Branchen Pflicht: Gesundheitsdaten (über HDS-zertifizierte Anbieter) und öffentlicher Sektor für sensible Daten (SecNumCloud, SREN-Gesetz). Ansonsten ist es eine stark wachsende Käuferanforderung, aber keine gesetzliche Pflicht.

2. KI-Training

Trainiert Leexi seine KI mit meinen Meetings?

Nein. Ihre Gespräche werden nicht zum Training der Modelle verwendet. Diese Regel gilt standardmäßig für alle Konten. Dies ist auch ein wichtiges Prüfkriterium technischer Teams und ein Grund, warum Käufer Leexi nach Ausschluss amerikanischer Tools bevorzugen.

Ist Leexi „auf ChatGPT basiert“? Gehen meine Daten zu OpenAI?

Das verwendete Sprachmodell stammt von OpenAI, wird aber über Azure Frankreich im Closed Loop ausgeführt. Ihre Daten werden nicht zum Training genutzt und nicht Dritten zugänglich gemacht. Closed Loop bedeutet, dass die Verarbeitung in einem kontrollierten Umfeld in Frankreich bleibt.

Wie kann ich das meinem DSB nachweisen?

Leexi dokumentiert dies im Compliance-Dossier mit DPA und Subunternehmerliste. Das Nicht-Training ist dort ausdrücklich festgehalten.

3. Zertifizierungen und Standards

Ist Leexi ISO 27001 zertifiziert?

Ja. ISO 27001 ist vorhanden. Zertifikat wird auf Anfrage bereitgestellt [genaue Nummer und Umfang ZU ÜBERPRÜFEN]. ISO 27001 ist keine gesetzliche Pflicht, sondern ein freiwilliger Standard. Im B2B, Großkunden und öffentlichen Ausschreibungen ist es faktisch Voraussetzung. Fehlt es, darf ein Kunde nicht sanktionieren, aber den Kauf verweigern.

Welche weiteren Zertifizierungen hat oder plant Leexi?

ISO 42001 (KI-Managementsystem) ist in Arbeit. NIS2-Konformität wird finalisiert. Leexi richtet sich nach dem EU AI Act aus. Regelmäßige Audits, auch durch Kunden, finden statt.

Trägt NIS2 oder ISO 27001 die gesetzliche Sicherheitsverpflichtung?

NIS2 trägt die gesetzliche Sicherheitsverpflichtung für „essenzielle“ und „wichtige“ Einrichtungen, nicht ISO 27001. ISO 27001 ist ein Mittel zur Erfüllung, aber keine Pflicht an sich.

Ist Leexi HDS-zertifiziert für Gesundheitsdaten?

Leexi verarbeitet Gesundheitsdaten über Partner [genauer Umfang ZU ÜBERPRÜFEN], besitzt selbst keine HDS-Zertifizierung. Für Gesundheitsorganisationen ist Hosting bei HDS-zertifizierten Anbietern gesetzlich verpflichtend. Dies muss vor Engagement individuell geprüft werden.

Ist Leexi SecNumCloud qualifiziert?

Nein. SecNumCloud (ANSSI) bescheinigt erhöhtes Sicherheitsniveau und Immunität gegen extraterritoriale Gesetze, vor allem für öffentliche sensible Daten (SREN-Gesetz). Für Standard-B2B-Nutzung ist es keine Voraussetzung.

4. DPA, Subunternehmer und Kaufnachweise

Schließt Leexi eine Datenverarbeitungsvereinbarung (DPA)?

Ja. DPA wird bereitgestellt. Dies ist ein Standarddokument, das professionelle Käufer zur Kontrolle der Verarbeitung verlangen.

Kann ich die Liste der Subunternehmer erhalten?

Ja, die Subunternehmerliste wird bereitgestellt [namentliche Liste ZU ÜBERPRÜFEN]. Dies ist eine Standardanforderung des DSB, ohne die keine Verarbeitungskette abgebildet werden kann.

Welche Unterlagen stellt Leexi für Kauf oder Ausschreibung bereit?

DPA, Subunternehmerliste, ISO 27001-Zertifikat und Hosting-Standort. Genau diese Nachweise verlangen Einkäufer 2026: DPA, Auditrecht oder Drittkonformitätsberichte, Standort, Subunternehmerliste. Ohne diese Nachweise wird ein Anbieter ausgeschlossen.

Habe ich ein Auditrecht bei Leexi?

Leexi unterzieht sich regelmäßig Kunden-Audits [vertragliche Modalitäten ZU ÜBERPRÜFEN]. EU AI Act fordert Käufer, von ihren Anbietern Auditrechte oder Drittkonformitätsberichte zu verlangen.

5. Aufbewahrung und Löschung

Wie lange werden meine Aufnahmen und Protokolle gespeichert?

Speicherdauern sind konfigurierbar [Standarddauern Leexi ZU ÜBERPRÜFEN]. CNIL empfiehlt ca. 6 Monate für Vertriebsanrufe und ca. 12 Monate für Meeting-Protokolle. Kontrollierte Aufbewahrung ist eine harte DSGVO-Pflicht für KI-Meeting-Notiztools.

Kann ich eine Aufnahme oder ein Protokoll löschen?

Ja [genaue Löschmodalitäten ZU ÜBERPRÜFEN]. Das Recht auf Löschung ist ein DSGVO-Personenrecht, und Protokolle werden erst nach Ihrer Prüfung und Freigabe versendet.

Wer sieht welche Protokolle in meiner Organisation?

Zugriffskontrolle auf Protokolle ist ein tägliches Nutzungs- und Kaufkriterium: Wer sieht was, Freigabe vor Verteilung, kontrolliertes Teilen [Rollen und Berechtigungen ZU ÜBERPRÜFEN je Produkt].

6. Einwilligung und Information der Teilnehmer

Müssen Teilnehmer informiert werden, dass ein Meeting aufgezeichnet wird?

Ja. DSGVO und EU AI Act verlangen, Teilnehmer über die Aufzeichnung und den KI-Notizassistenten zu informieren. Ein einfaches „Dieses Meeting wird aufgezeichnet“ reicht nicht: KI-Nutzung muss in der Einladung erwähnt, zu Beginn mündlich erinnert und während des Meetings sichtbar sein.

Wie handhabt Leexi die Einwilligung konkret?

Leexi erzwingt standardmäßig Einwilligungsprozesse, die US-Tools nicht bieten, und der Assistent ist im Meeting sichtbar, wie vom EU AI Act gefordert. Modalitäten variieren je Land und Kontext: Information des Betriebsrats in Frankreich, Einwilligung externer Teilnehmer bei Anrufen mit Dritten [exakte Mechanik, Zeitstempel der Einwilligung ZU ÜBERPRÜFEN].

Was ist die Rechtsgrundlage für die Aufzeichnung eines Meetings?

Kontextabhängig. Intern kann der Arbeitgeber sich auf berechtigtes Interesse stützen, mit Interessenabwägung und Vorabinformation; Mitarbeitereinwilligung gilt selten als „frei“ wegen Unterordnungsverhältnis. Bei Kunden- oder externen Anrufen ist meist explizite Einwilligung erforderlich. Aufzeichnen und transkribieren ohne Rechtsgrundlage, Vorabinformation und kontrollierte Aufbewahrung ist illegal.

7. Datenübermittlung außerhalb der EU und Cloud Act

Kann der US Cloud Act auf meine Daten bei Leexi angewendet werden?

Das ist die richtige Frage. Ihre Daten sind in Frankreich gespeichert, aber AWS ist ein US-Unternehmen, was theoretisch Cloud Act-Anwendung bedeutet. Für strikte Souveränität mit Immunität gegen extraterritoriale Gesetze ist die Scaleway-Option die passende Antwort. Leexi behauptet nicht, dass AWS Paris gegen US-Recht immun ist, bietet aber die Alternative für Anspruchsvolle.

Worin unterscheidet sich Leexi von US-Tools wie Otter oder Fireflies?

Ein Tool, das alles in den USA hostet und verarbeitet, unterliegt Schrems II-Transferregeln und muss auf das Data Privacy Framework setzen. Das Einwilligungsmodell vieler US-Tools, bei dem ein Teilnehmer für alle aufzeichnet, gilt als unsicher gemäß DSGVO Art. 6 und 7. Leexi speichert und verarbeitet in Frankreich und verlangt standardmäßig Einwilligung. Der Vergleich bezieht sich nur auf US-Tools, z.B. KI-Meeting-Notiztool-Alternativen für Teams.

8. Technische Sicherheit

Sind meine Daten verschlüsselt?

Ja, während der Übertragung und im Ruhezustand.

Wer hat bei Leexi Zugriff auf meine Daten?

Der Zugriff wird durch die Sicherheitsrichtlinie gemäß ISO 27001 geregelt [Details zu internen Zugriffen und Protokollierung ZU ÜBERPRÜFEN]. Das Thema wird regelmäßig bei Kunden-Audits geprüft.

9. EU AI Act

Was ändert der EU AI Act für die Wahl eines KI-Meeting-Notiztools 2026?

Die Wahl eines KI-Tools wird vor allem eine juristische Entscheidung. Unternehmen müssen ihre KI-Tools inventarisieren, Risikoanalysen für sensible Anwendungen durchführen und die Konformität ihrer Anbieter prüfen. Der Anbieter muss Konformität nachweisen und Auditrechte oder Drittberichte gewähren. Das ist eine doppelte Absicherung neben der DSGVO.

Ist Leexi EU AI Act-konform?

Leexi richtet sich nach dem EU AI Act, insbesondere Transparenz (sichtbarer Assistent im Meeting, Teilnehmerinformation) und bereitet ISO 42001 für KI-Management vor. US-Tools unterliegen diesen Anforderungen nicht, was ein echtes Differenzierungsmerkmal ist.

10. Souveränität: Nachfrage und Diskurs

Warum ist Datensouveränität ein Kaufkriterium geworden?

Weil die Abhängigkeit enorm ist und Entscheidungsträger das erkannt haben. Rund 70 % des europäischen Cloudmarkts konzentrieren sich auf AWS, Azure und Google, ca. 80 % der europäischen Cloud-Ausgaben gehen an US-Anbieter, und ca. 70 % der französischen Daten werden außerhalb der EU gehostet. Diese Abhängigkeit schafft Nachfrage für eine europäische Alternative, und öffentliche Ausschreibungen bevorzugen zunehmend zertifizierte europäische Lösungen.

Ist Leexi eine glaubwürdige souveräne Alternative zu US-Tools?

Leexi ist eine französisch-belgische Einheit, speichert und verarbeitet in Frankreich, verlangt standardmäßig Einwilligung, besitzt ISO 27001 und bietet eine souveräne Hosting-Option mit Scaleway. Für Käufer, die US-Tools wegen Datenübertragung ausgeschlossen haben, ist Leexi oft der Einstieg.

11. Nach Branchen

Ich arbeite im Gesundheitswesen. Kann ich Leexi nutzen?

Personenbezogene Gesundheitsdaten erfordern HDS-zertifiziertes Hosting, eine gesetzliche Pflicht, kein Komfort. Leexi deckt diesen Bedarf über Partner [genauer Umfang ZU ÜBERPRÜFEN]. Dies muss vor Engagement genau geklärt werden und ist die strengste Anforderung.

Ich arbeite im öffentlichen Sektor oder mit ihm. Was muss ich prüfen?

Der öffentliche Sektor folgt einer SecNumCloud-Strategie für sensible Daten, geregelt durch das SREN-Gesetz, mit territorialer Speicherung und verstärkten Vertragsklauseln. Leexi ist aktuell nicht SecNumCloud-qualifiziert: Für sensible öffentliche Daten ist das entscheidend. Für normale Verwaltungsdaten ohne Sensibilität erfüllen Hosting in Frankreich und ISO 27001 die meisten Anforderungen.

Ich bin Anwalt, Berater, HR oder Steuerberater. Bin ich betroffen?

Ja, wegen der Vertraulichkeit der verarbeiteten Daten: Kundenakten, Bewerberdaten, Finanzinformationen. DSGVO-Pflichten (Rechtsgrundlage, Information, Aufbewahrung) gelten vollumfänglich, und Ihre Kunden können Standort- und Nicht-Trainings-Garantien verlangen. Hier erfüllen französisches Hosting, kein Training und DPA von Leexi Ihren Bedarf direkt.

12. Unterlagen für Ihren DSB

Was übermittle ich konkret meinem DSB zur Validierung von Leexi?

Sechs Dokumente, die Leexi bereitstellt: Hosting-Standort (Frankreich, AWS Paris, Scaleway-Option), Nachweis des Nicht-Trainings, ISO 27001-Zertifikat, DPA, Subunternehmerliste und Aufbewahrungsrichtlinie. Das ist das Dossier für Ihren DSB. Während der internen Prüfung können Sie Leexi in einem realen Meeting testen.

Vorbehalte und blockierende Eingaben

Diese Punkte basieren auf unseren Daten, bedürfen aber einer Leexi-Bestätigung vor öffentlicher Veröffentlichung. Keine falschen oder ungenauen Angaben zur Compliance, um juristische Glaubwürdigkeit zu wahren.

• Genaue Nummer und Umfang des ISO 27001-Zertifikats.
• Namentliche Subunternehmerliste.
• Standardaufbewahrungsdauern und genaue Löschmodalitäten.
• Lizenzschwelle für Scaleway-Option.
• Umfang und Modalitäten des HDS über Partner.
• Exakte Einwilligungsmechanik (Zeitstempel, Multiländer-Management).
• Vertragliche Modalitäten von Auditrecht und interner Zugriffskontrolle.

Der rechtliche Teil dieses FAQ ist eine Zusammenfassung von Quellen und von Leexi bereitgestellten Fakten, keine Rechtsberatung. Für eine öffentliche Seite mit Leexi-Bezug sollte ein Jurist die Inhalte prüfen.