GGU-CONNECT - KI-Funktionen: Datenhoheit & Datensicherheit¶

Diese Seite erläutert die datenschutzrechtliche Einordnung der optionalen KI-Funktionen in GGU-CONNECT. Sie richtet sich insbesondere an Anwenderinnen und Anwender, die für eine interne Datenschutzprüfung nachvollziehen möchten, welche Daten wohin übertragen werden.

Grundprinzipien¶

Die KI-Funktion ist optional und standardmäßig deaktiviert. Ab Werk ist der Anbieter „Deaktiviert" ausgewählt; ohne eine bewusste Aktivierung durch den Anwender werden keinerlei Daten an ein Sprachmodell übertragen.
Die KI-Funktion ist technisch getrennt von anderen Funktionen. Insbesondere der PDF-Bohrungs-Import nutzt keine KI und keine Cloud-Verbindung und arbeitet ausschließlich lokal (siehe GGU-CONNECT - Menü "Importieren").
Ein für einen Anbieter benötigter API-Schlüssel wird ausschließlich lokal in den Anwendungseinstellungen gespeichert.
Wird die KI-Funktion aktiv genutzt, werden nur die für die jeweilige Anfrage ausgewählten Projekt- und Bohrdaten an den konfigurierten Anbieter übermittelt.

Anbieter im Überblick¶

Anbieter	Serverstandort	Datenübermittlung	Auftragsverarbeitung	Empfehlung
Deaktiviert (Standard)	–	keine	–	Standard; keine KI-Nutzung
Mitteldeutsche IT	Deutschland (RZ Leipzig)	innerhalb EU/DE, kein Drittlandtransfer	über Civilserve als Auftragsverarbeiter geregelt (siehe unten)	empfohlen für maximale Datenhoheit
Anthropic (Claude)	i. d. R. USA	in die USA	eigener Vertrag des Anwenders mit dem Anbieter	für Anwender mit eigenem Anbieter-Vertrag
OpenAI	i. d. R. USA	in die USA	eigener Vertrag des Anwenders mit dem Anbieter	für Anwender mit eigenem Anbieter-Vertrag

Empfohlene Option: Mitteldeutsche IT (EU/Deutschland)¶

Bei Auswahl des Anbieters Mitteldeutsche IT wird ein selbst gehostetes, offenes Sprachmodell in einem Rechenzentrum in Deutschland (Leipzig) genutzt. Es handelt sich nicht um einen Dritt-KI-Anbieter, und es findet kein Transfer in Drittländer statt.

Datenschutzrechtliche Rollen¶

Sie als Kunde sind Verantwortlicher im Sinne der DSGVO.
Die Civilserve GmbH (Herstellerin der GGU-Software) ist Auftragsverarbeiter.
Die mitteldeutsche-IT GmbH ist als Unter-Auftragsverarbeiter eingebunden.

Vertragliche Absicherung¶

Für den Betrieb des Sprachmodells besteht zwischen der Civilserve GmbH und der mitteldeutsche-IT GmbH ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Wesentliche Inhalte:

Verarbeitung ausschließlich in Deutschland, der EU bzw. dem EWR; kein Transfer in Drittländer.
Uneingeschränktes Weisungsrecht sowie Löschung/Rückgabe der Daten nach Vertragsende.
Einsatz von Subunternehmern nur mit Zustimmung; Vertraulichkeitsverpflichtung.

Die zugehörigen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO umfassen unter anderem:

Verschlüsselung bei Übertragung und auf Datenträgern,
Zugriffs- und Berechtigungskonzepte mit Protokollierung,
physische und logische Mandantentrennung sowie Trennung von Produktiv- und Testsystem,
Backup-/Recovery- und Notfallkonzept,
regelmäßige (mindestens halbjährliche) Überprüfung der Maßnahmen.

AVV und TOM-Dokumentation stellen wir Ihnen auf Anfrage gern zur Verfügung.

Anbieter Anthropic / OpenAI¶

Wählen Sie stattdessen Anthropic oder OpenAI, nutzen Sie einen eigenen API-Schlüssel dieses Anbieters. Die Verarbeitung erfolgt dann beim jeweiligen Anbieter, in der Regel mit Datenübermittlung in die USA. In diesem Fall sind Sie Verantwortlicher, und der Abschluss eines Auftragsverarbeitungsvertrags mit dem jeweiligen Anbieter liegt in Ihrer Verantwortung. (Anthropic sagt in seinen Geschäftsbedingungen für die API zu, keine über die API übermittelten Daten für das Training zu verwenden.)

Zusammenfassung¶

PDF-Import: 100 % lokal, keine Datenübertragung – datenschutzfreundlich „by design".
KI-Funktion: optional, standardmäßig deaktiviert, vom PDF-Import getrennt; mit der Option Mitteldeutsche IT ohne Drittlandtransfer in Deutschland nutzbar.