Sicherheit & Datenschutz
Eure Daten bleiben eure Daten. Nachweisbar.
Alles, was IT und Datenschutz vor dem Start wissen wollen: wo die Daten liegen, wie wir sie schützen und welche Unterlagen ihr bekommt.
Auf einen Blick
Sechs Dinge, die eure IT wissen sollte.
Server in Deutschland
Managed läuft bei Hetzner in ISO-27001-zertifizierten Rechenzentren in Deutschland. On-Prem läuft bei euch.
Eigene Instanz pro Firma
Kein geteilter Server, keine geteilte Datenbank. Jede Firma bekommt ihre eigene Installation.
DSGVO mit AVV
Für Managed schließen wir einen Vertrag zur Auftragsverarbeitung. Jeder Datenfluss nach außen ist einzeln abschaltbar.
Datenschleuse
Namen, IBAN und Telefonnummern werden geschwärzt, bevor ein Cloud-Modell sie sieht.
Audit-Log
Admin-Aktionen, Freigaben und Tool-Aufrufe werden protokolliert, ab Werk 365 Tage lang.
EU AI Act eingebaut
KI-Kennzeichnung in Chat, Exporten und Kundenantworten. Einsatzzweck und Hochrisiko-Merker pro Agent.
Wo die Daten liegen
Ihr entscheidet, wo Lokyy läuft.
Managed
Wir betreiben einen eigenen Server nur für eure Firma bei Hetzner in Deutschland. Updates und Sicherungen übernehmen wir. Grundlage ist ein Vertrag zur Auftragsverarbeitung.
On-Prem
Lokyy läuft in eurem Rechenzentrum oder auf eigener Hardware. Die Instanz meldet sich alle 30 Tage zur Lizenz, mit Lizenznummer, Nutzerzahl und Version, nie mit Inhalten. Komplett offline gibt es im Enterprise-Paket.
KI-Modelle: lokal mit Ollama oder vLLM (nichts verlässt den Server), über TensorX, Microsoft Azure oder AWS Bedrock, mit euren eigenen Schlüsseln oder über den EU-Router. Welches Modell wo rechnet, steht in der Modell-Liste. Cloud-Modelle sehen persönliche Angaben nur geschwärzt.
Technische Maßnahmen
So schützen wir jede Instanz.
Zugang und Rechte
- Anmeldung mit Firmenkonto über Keycloak (OIDC)
- Zwei-Faktor-Anmeldung, pro Rolle als Pflicht einstellbar
- Rollen und Rechte, geprüft in Oberfläche, API und Tools
- Zeilensicherheit in der Datenbank: jede Abfrage sieht nur, was sie darf
Daten
- Zugangsdaten und API-Schlüssel verschlüsselt gespeichert, nie im Klartext in Logs
- Sicherungen verschlüsselt (AES-256), nach Zeitplan und vor jedem Update
- Export pro Person mit DSGVO-Auskunft, Export der ganzen Instanz
- Nach Vertragsende bleibt alles lesbar, nichts wird gelöscht
Updates und Lieferkette
- Signierte Images, der Installer prüft die Signatur vor jedem Update
- Stückliste (SBOM) zu jedem Release, Schwachstellen-Scan vor jeder Auslieferung
- Alle Pakete exakt gepinnt, neue Versionen frühestens nach 14 Tagen
- Nur Bausteine unter offenen Lizenzen (MIT, Apache 2.0, BSD), in der CI geprüft
KI und Agenten
- Alles mit Wirkung nach außen braucht eine Freigabe durch einen Menschen
- Agenten nutzen nur die Tools, die ihre Rolle nutzen darf
- Jeder Agenten-Lauf als Zeitleiste nachvollziehbar
- Modus „Pflicht“: nur lokale Modelle, kein Klartext verlässt den Server
Unterlagen
Alles, was euer Datenschutz braucht.
AVV und TOM gibt es hier als Muster zum Herunterladen. Die Datenfluss-Übersicht eurer Instanz exportiert ihr selbst in Lokyy. Den unterschriebenen AVV und alle weiteren Unterlagen schicken wir euch auf Anfrage, gern beantworten wir auch euren eigenen Fragebogen.
- Vertrag zur Auftragsverarbeitung (AVV)Muster für Lokyy Managed, nach Art. 28 DSGVO, mit AnlagenPDF
- Technische und organisatorische Maßnahmen (TOM)Anlage 1 zum AVV, nach Art. 32 DSGVOPDF
- Liste der UnterauftragnehmerHosting und, falls freigeschaltet, Anbieter von KI-Modellenauf dieser Seite
- Datenfluss-ÜbersichtWelche Daten wohin gehen, fürs Verarbeitungsverzeichnis. In Lokyy unter Verwaltung → Datenschutz → Datenflüsse, als Markdown oder zum Druckenin eurer Instanz
- Stückliste (SBOM)Zu jeder Version, im signierten Release-Paket. Bei Managed schicken wir sie euch auf Anfrageim Release-Paket
Unterauftragnehmer
Wer außer uns Daten verarbeitet.
Bei Lokyy Managed setzen wir nur diese Dienstleister ein. Über Änderungen informieren wir euch mindestens 4 Wochen vorher. Stand: 19.10.2026.
Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, Deutschland
- Leistung
- Server und Speicher für die Instanz und ihre Sicherungen
- Ort
- Rechenzentren in Nürnberg und Falkenstein (Deutschland), ISO/IEC 27001:2022 zertifiziert
- Einsatz
- immer bei Lokyy Managed
TensorX Ltd. (früher Tensorix)
Unit 25, Classon House, Dundrum Business Park, Dublin 14, Irland (Company No. 796387)
- Leistung
- Betrieb von KI-Modellen mit offenen Gewichten. Eingaben und Antworten werden nicht gespeichert und nicht zum Training genutzt
- Ort
- Rechenzentren in Dublin (Irland) und Helsinki (Finnland)
- Einsatz
- nur wenn der Kunde dieses Modell-Angebot von Lokyy freischaltet (nicht bei eigenen Schlüsseln des Kunden)
Microsoft Ireland Operations Limited
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
- Leistung
- Betrieb von KI-Modellen über Microsoft Azure (Foundry). Kein Training mit Kundendaten, keine Weitergabe an OpenAI
- Ort
- EU-Datenzone von Microsoft (EU-Staaten, zusätzlich Norwegen und Schweiz) oder eine feste EU-Region; Modelle mit weltweiter Verarbeitung nur nach ausdrücklicher Freischaltung durch den Kunden
- Einsatz
- nur wenn der Kunde dieses Modell-Angebot von Lokyy freischaltet (nicht bei eigenen Schlüsseln des Kunden)
Amazon Web Services EMEA SARL
38 Avenue John F. Kennedy, L-1855 Luxemburg
- Leistung
- Betrieb von KI-Modellen über AWS Bedrock, unter anderem Claude. Kein Training mit Kundendaten, keine Weitergabe an Modellhersteller
- Ort
- AWS-Regionen in der EU (Frankfurt, Stockholm, Mailand, Spanien, Irland, Paris); Modelle mit weltweiter Verarbeitung nur nach ausdrücklicher Freischaltung durch den Kunden
- Einsatz
- nur wenn der Kunde dieses Modell-Angebot von Lokyy freischaltet (nicht bei eigenen Schlüsseln des Kunden)
EUrouter B.V.
Jacob van Lennepstraat 78H, 1053 HM Amsterdam, Niederlande (KvK 42054357)
- Leistung
- Weiterleitung von Anfragen an weitere Cloud-KI-Modelle (Modell-Router, Ausweichweg). Inhalte werden standardmäßig nicht gespeichert und nicht zum Training genutzt
- Ort
- ausschließlich Europäischer Wirtschaftsraum; Modellanbieter laut Liste von EUrouter
- Einsatz
- nur wenn der Kunde den Ausweichweg über den Modell-Router freischaltet
Zertifizierungen, ehrlich gesagt
Lokyy selbst hat noch keine ISO-27001- oder SOC-2-Zertifizierung. Managed läuft in ISO-27001-zertifizierten Rechenzentren von Hetzner. Bei On-Prem gelten eure eigenen Zertifikate, denn Lokyy läuft vollständig in eurer Umgebung.
Sicherheitslücke gefunden?
Schreib uns an info@lokyy.de mit dem Betreff „Sicherheit“. Wir bestätigen den Eingang innerhalb von zwei Werktagen. Bitte veröffentliche Details erst, wenn die Lücke geschlossen ist. Maschinenlesbar unter security.txt.
FAQ
Fragen zu Sicherheit und Datenschutz
Deine Frage ist nicht dabei? Stell sie in der Demo, live in der App.
Demo buchenWo liegen unsere Daten?
Bei Lokyy Managed auf einem eigenen Server nur für eure Firma bei Hetzner in Deutschland. Bei On-Prem auf eurer eigenen Hardware oder in eurem Rechenzentrum. Daten verlassen den Server nur über Wege, die ihr freigebt, zum Beispiel zu einem Cloud-Modell.
Werden unsere Daten zum Training von KI-Modellen genutzt?
Nein, nicht von uns. Mit lokalen Modellen bleibt alles auf eurem Server. Bei Cloud-Modellen schwärzt die Datenschleuse persönliche Angaben vorher, und ihr wählt Anbieter und Vertrag selbst, zum Beispiel über eigene Schlüssel bei Azure oder Mistral.
Können Mitarbeitende von Lokyy auf unsere Daten zugreifen?
Nur mit eurer Freigabe. Die Fernwartung ist ab Werk aus. Schaltet ihr sie ein, braucht jeder Auftrag die Freigabe eures Admins, und jeder Zugriff steht im Audit-Log.
Habt ihr ISO 27001 oder SOC 2?
Noch nicht. Managed läuft in ISO-27001-zertifizierten Rechenzentren von Hetzner in Deutschland, On-Prem in eurer Umgebung mit euren Zertifikaten. Jedes Release ist signiert, hat eine Stückliste (SBOM) und wird vor der Auslieferung auf Schwachstellen geprüft.
Wie melde ich eine Sicherheitslücke?
Schreib uns an info@lokyy.de mit dem Betreff „Sicherheit“. Wir bestätigen den Eingang innerhalb von zwei Werktagen und halten dich auf dem Laufenden. Bitte veröffentliche Details erst, wenn die Lücke geschlossen ist.
Sieh dir Lokyy mit deinen eigenen Fragen an.
30 Minuten Demo, live in der App. Danach 14 Tage kostenlos testen, auf einer eigenen Managed-Instanz, die wir für euch einrichten.
- Unverbindlich und kostenlos
- Kein Lock-in
- Server in Deutschland
Termin wird über Meetergo gebucht.
- 01
Demo buchen
30 Minuten live in der App, mit euren eigenen Fragen.
- 02
Server einrichten
Managed: wir richten euren eigenen Server in Deutschland ein. On-Prem: wir installieren bei euch.
- 03
Team legt los
Einführungs-Workshop, Agenten-Vorlagen, Postfächer verbunden. Ab Tag eins produktiv.