Konzept

Sicherheit & DSGVO.

knowmind wurde nicht US-zentrisch gebaut. Betrieb, Verschlüsselung, Recht-auf-Vergessen und Auditierbarkeit sind von Anfang an gesetzt.

Hosting

• Hetzner Online GmbH, Standort Nürnberg
• Vertragspartner: Schübeler Consulting, Beverungen, Deutschland
• Keine Subprocessoren außerhalb der EU für Daten-Speicherung
• ALL-INKL.COM für Magic-Link-Mails (deutscher Hoster, Server in Deutschland). ALL-INKL sieht nur Empfänger-Adresse und Mail-Body („Ihr Anmelde-Link”).

Verschlüsselung

• TLS 1.3 für alle externen Verbindungen (Let's Encrypt)
• Bolt-over-TLS für Datenbank-Verbindungen aus Browsern (NeoDash)
• AES-256-GCM für BYOK-Anbieterschlüssel, KEK pro Arbeitsbereich aus HKDF-SHA256
• scrypt+Salt für API-Tokens (Klartext verlässt unsere Seite niemals als gespeicherter Wert)
• Postgres mit at-rest-Verschlüsselung der Hetzner-Volumes

Rechte der Betroffenen

• Auskunft & Datenübertragbarkeit: Export aller Memories, Edges, Dokumente und Audit-Einträge eines Arbeitsbereichs als JSON unter /api/tenant/export.
• Recht auf Vergessen: Die Löschung des Arbeitsbereichs sperrt sofort alle Zugänge; frühestens 24 Stunden später löschen wir die übrigen Daten samt Vektor-Indizes und Audit-Log aus dem laufenden Bestand. Dort bleiben die Rechnungen, die wir acht Jahre aufbewahren müssen, und die Lösch- und Kündigungsanträge. Für das Audit-Log und das Änderungsprotokoll legen wir, sofern sie Einträge haben, je einen Schlussanker an: die interne Kennung des Arbeitsbereichs, Position und Prüfsumme des letzten Eintrags und die Zahl der gelöschten Einträge. In unseren Sicherungen der Datenbank können die Daten noch bis zu acht Wochen stehen; danach löschen wir die Sicherungen.
• Berichtigung: Memories werden über die API oder das Dashboard direkt editiert, mit bi-temporaler Validity (alte Version bleibt für Auditzwecke).

Auftragsverarbeitung

AVV wird auf Anfrage als PDF bereitgestellt, mit knowmind als Auftragsverarbeiter und Subprocessor-Liste (Hetzner, ALL-INKL). Anfrage per Mail an info@schuebeler-consulting.de.

Audit & Monitoring

Jeder Provider-Call, jede Key-Aktion, jede Token-Ausstellung wird im audit_events-Log mit Bezug zu Arbeitsbereich und Person gespeichert. Sichtbar im Dashboard unter Audit, exportierbar als CSV. Langfuse-Tracing ist tenant-getaggt und nicht öffentlich.