FAQ zu Compliance und Souveränität

Zusammenfassung

Dieses FAQ beantwortet genau die Fragen, die ein professioneller Einkäufer und sein DSB vor dem Kauf eines KI-gestützten Notiztools stellen. Es unterscheidet drei rechtliche Ebenen: gesetzliche Vorgaben (DSGVO, AI Act), Kundenanforderungen ohne gesetzliche Pflicht (ISO 27001, europäisches Hosting) und branchenspezifische Vorgaben (Gesundheit, öffentlicher Sektor). Jede Antwort ist belegt. Keine Konformitätsbehauptung ohne Nachweis. Fachbegriffe (DPA, Closed Loop, Diarisierung) sind im Glossar des KI-Notiztools definiert.

Weder ISO 27001 noch Hosting in Frankreich sind allgemeine gesetzliche Pflichten. Kunden fordern sie, zwei Branchen schreiben sie vor: Gesundheit und öffentlicher Sektor.

Kernantwort: Hosting AWS Region Paris, Scaleway-Option ab bestimmtem Lizenzvolumen, LLM (OpenAI) läuft über Azure Frankreich im Closed Loop, kein Training mit Kundendaten, Verschlüsselung in Transit und Ruhe, ISO 27001 zertifiziert, ISO 42001 in Arbeit, NIS2 in Finalisierung, EU AI Act konform, DPA, Subunternehmerliste und ISO-Zertifikat auf Anfrage, ca. 10.000 Nutzerunternehmen in Europa, belgisches Unternehmen.

1. Datenstandort und Hosting

Verlassen meine Daten die EU?

Nein, Speicherung und Verarbeitung bleiben in Frankreich. Wichtig: Infrastruktur-Anbieter ist AWS, ein US-Unternehmen (siehe Cloud Act). Für strikte Souveränität (keine extraterritorialen Gesetze) ist Scaleway die passende Option.

Was bedeutet "souveränes Hosting" genau?

Ein anspruchsvoller Käufer prüft: Rechenzentren physisch in Frankreich, juristische Person nach französischem/europäischem Recht ohne extraterritoriale Gesetze, europäische Kapitalmehrheit. AWS Paris erfüllt Standort, nicht Immunität. Scaleway erfüllt alle drei.

Ist Hosting in Frankreich gesetzlich vorgeschrieben?

Nein, generell nicht. DSGVO verlangt meist keine Speicherung in Frankreich oder Europa. Souveränes Hosting ist Pflicht nur in bestimmten Branchen: Gesundheitsdaten (HDS-zertifizierter Anbieter) und öffentlicher Sektor (SecNumCloud, SREN-Gesetz). Sonst ist es eine stark wachsende Kundenanforderung, keine gesetzliche Pflicht.

2. KI-Training

Trainiert Leexi seine KI mit meinen Meetings?

Nein. Ihre Gespräche werden nicht zum Training der Modelle genutzt. Das gilt standardmäßig für alle Konten. Technische Teams prüfen das zuerst, und es ist ein Grund, warum Käufer Leexi gegenüber US-Tools bevorzugen.

Ist Leexi "auf ChatGPT basiert"? Gehen meine Daten zu OpenAI?

Das Sprachmodell stammt von OpenAI, läuft aber über Azure Frankreich im Closed Loop. Ihre Daten werden nicht zum Training verwendet und sind nicht für Dritte zugänglich. Closed Loop bedeutet, die Verarbeitung bleibt kontrolliert in Frankreich.

Wie kann ich das meinem DSB beweisen?

Leexi dokumentiert dies im Compliance-Dossier mit DPA und Subunternehmerliste. Kein Training ist dort klar schriftlich bestätigt.

3. Zertifizierungen und Standards

Welche weiteren Zertifikate hat oder plant Leexi?

ISO 42001 (KI-Managementsystem) ist in Arbeit. NIS2-Konformität wird finalisiert. Leexi richtet sich nach dem EU AI Act aus. Regelmäßige Audits, auch durch Kunden, sind Standard.

Tragen NIS2 oder ISO 27001 zur gesetzlichen Sicherheitsverpflichtung bei?

NIS2 ist die gesetzliche Sicherheitsverpflichtung für "essenzielle" und "wichtige" Stellen, nicht ISO 27001. ISO 27001 ist ein Mittel zur Erfüllung, keine Pflicht an sich.

Ist Leexi SecNumCloud-zertifiziert?

Noch nicht. SecNumCloud (ANSSI) bescheinigt hohes Sicherheitsniveau und Immunität gegen extraterritoriale Gesetze, vor allem für den öffentlichen Sektor. Für Standard-B2B-Nutzung ist es kein Muss.

4. DPA, Subunternehmer und Kaufnachweise

Schließt Leexi eine Datenverarbeitungsvereinbarung (DPA)?

Ja, die DPA wird bereitgestellt. Sie ist ein wichtiges Dokument für professionelle Käufer zur Kontrolle der Datenverarbeitung.

Welche Unterlagen stellt Leexi für Kauf- oder Ausschreibungsunterlagen bereit?

DPA, Subunternehmerliste, ISO 27001-Zertifikat und Hosting-Standort. Diese Nachweise verlangen Käufer 2026: DPA, Auditrechte oder Drittberichte, Standort, Subunternehmerliste. Ohne diese Nachweise wird ein Anbieter ausgeschlossen.

5. Einwilligung und Information der Teilnehmer

Müssen Teilnehmer informiert werden, dass ein Meeting aufgezeichnet wird?

Ja. DSGVO und EU AI Act verlangen, dass Teilnehmer über Aufzeichnung und KI-Assistenz informiert werden. Ein einfacher Hinweis "Dieses Meeting wird aufgezeichnet" reicht nicht: KI-Nutzung muss in der Einladung, zu Beginn mündlich und sichtbar während des Meetings genannt werden.

Was ist die Rechtsgrundlage für die Aufzeichnung?

Kontextabhängig. Intern kann der Arbeitgeber berechtigtes Interesse geltend machen, wenn Interessenabwägung und Vorinformation erfolgen; Arbeitnehmer-Einwilligung gilt selten als frei wegen Abhängigkeitsverhältnis. Bei Kunden- oder externen Anrufen ist meist explizite Einwilligung nötig. Aufzeichnen und Transkribieren ohne Rechtsgrundlage, Vorinformation und kontrollierte Aufbewahrung ist illegal.

6. EU-Transfers und Cloud Act

Gilt der US Cloud Act für meine Daten bei Leexi?

Wichtige Frage. Daten sind in Frankreich gespeichert, aber AWS ist US-Unternehmen und theoretisch Cloud Act unterworfen. Für strikte Souveränität mit Immunität gegen extraterritoriale Gesetze ist Scaleway die Lösung. Leexi behauptet nicht, AWS Paris sei vor US-Recht geschützt, bietet aber die Alternative.

Worin unterscheidet sich Leexi von US-Tools wie Otter oder Fireflies?

US-Tools, die alles in den USA hosten und verarbeiten, unterliegen Schrems-II-Transferregeln und Data Privacy Framework. US-Tools erlauben oft, dass ein Teilnehmer Aufnahme für alle startet, was nach DSGVO-Art. 6 und 7 kritisch ist. Leexi speichert und verarbeitet in Frankreich und setzt standardmäßig Einwilligung voraus. Der Vergleich gilt nur gegenüber US-Tools, z.B. KI-Notiztool-Alternativen für Teams.

7. Technische Sicherheit

Sind meine Daten verschlüsselt?

Ja, sowohl während der Übertragung als auch im Ruhezustand.

8. EU AI Act

Was ändert der EU AI Act für die Wahl eines KI-Notiztools 2026?

Die Wahl wird vor allem eine juristische Entscheidung. Unternehmen müssen ihre KI-Tools erfassen, Risikoanalysen für sensible Anwendungen durchführen und die Konformität der Anbieter prüfen. Anbieter müssen Compliance nachweisen und Audit- oder Drittberichte ermöglichen. Das ist eine doppelte Absicherung neben der DSGVO.

Ist Leexi EU AI Act-konform?

Leexi richtet sich nach dem EU AI Act, insbesondere Transparenz (sichtbarer Assistent, Teilnehmerinfo) und bereitet ISO 42001 für KI-Management vor. US-Tools haben diese Anforderungen meist nicht, was Leexi differenziert.

9. Souveränität: Nachfrage und Diskurs

Warum ist Datensouveränität ein Kaufkriterium?

Wegen massiver Abhängigkeit und Bewusstseins bei Entscheidern. Ca. 70 % des europäischen Cloudmarkts sind bei AWS, Azure und Google, fast 80 % der europäischen Cloud-Ausgaben gehen an US-Anbieter, ca. 70 % der französischen Daten sind außerhalb der EU gehostet. Diese Abhängigkeit schafft Nachfrage für europäische Alternativen, öffentliche Ausschreibungen bevorzugen zunehmend zertifizierte europäische Lösungen.

Ist Leexi eine glaubwürdige souveräne Alternative zu US-Tools?

Leexi ist ein belgisches Unternehmen, speichert und verarbeitet in Frankreich, setzt Einwilligung voraus, besitzt ISO 27001 und bietet souveränes Hosting via Scaleway. Für Käufer, die US-Tools wegen Datenübertragung ausgeschlossen haben, ist Leexi oft der Einstieg.

10. Branchenspezifisch

Ich arbeite im öffentlichen Sektor oder mit ihm. Was muss ich prüfen?

Der öffentliche Sektor folgt SecNumCloud für sensible Daten, geregelt durch SREN-Gesetz mit Speicherort-Territorialität und verschärften Vertragsklauseln. Leexi ist aktuell nicht SecNumCloud-zertifiziert; für sensible öffentliche Daten ist das entscheidend. Für normale Verwaltung ohne sensible Daten erfüllen Hosting in Frankreich und ISO 27001 die meisten Anforderungen.

Ich bin Anwalt, Berater, HR oder Steuerberater. Bin ich betroffen?

Ja, wegen Vertraulichkeit der Daten: Kundenakten, Bewerberdaten, Finanzinfos. DSGVO-Pflichten (Rechtsgrundlage, Information, Aufbewahrung) gelten voll, und Kunden können Standort- und Nicht-Training-Garantien verlangen. Hier erfüllen Hosting in Frankreich, kein Training und Leexi-DPA direkt Ihre Anforderungen.

11. Unterlagen für Ihren DSB

Was übermittle ich konkret meinem DSB zur Validierung von Leexi?

Sechs Dokumente, die Leexi bereitstellt: Hosting-Standort (Frankreich, AWS Paris, Scaleway-Option), Nachweis kein Training, ISO 27001-Zertifikat, DPA, Subunternehmerliste und Aufbewahrungsrichtlinie. Das ist das Dossier für Ihren DSB. Während die interne Prüfung läuft, können Sie Leexi in einem realen Meeting testen.