Licensed to be used in conjunction with basebox, only.
// sicherheit
Sicherheit & Compliance
Gilt für
Produkt: Cloud · Server · Zielgruppe: Sicherheits- / Compliance-Prüfer
Für Entscheider
Überblick, ISO 27001 und Themen für den Betriebsrat: basebox.ai/sicherheit. Diese Seiten liefern die technischen Belege.
Für Sicherheitsbeauftragte, Datenschutzbeauftragte und Compliance-Prüfer. Der Bereich folgt dem Produktmodell: Was für Cloud und Server gilt, wird getrennt gehalten – und wo der Übergangsbetrieb der Cloud bis November 2026 abweicht, steht das gesondert, und ein bei basebox gehosteter kundeneigener Server steht unter Server-Sicherheit – nicht unter Cloud. Wo eine Aussage noch nicht belegt ist, steht das hier ausdrücklich.
In diesem Bereich
- Deployment-Modelle – Cloud, Server, das Modell geteilter Verantwortung und der Übergangsbetrieb der Cloud bis November 2026
- Daten & Architektur – Flüsse, Speicherung, Verschlüsselung, Aufbewahrung, Löschung
- Cloud-Sicherheit – Isolierung, Infrastruktur, administrativer Zugriff, Backup
- Server-Sicherheit – dedizierte Hardware, Kunden-Rechenzentrum, Hosting bei basebox, Fernwartung, abgeschotteter Betrieb
- Externe Dienste – Modellanbieter, Websuche, Konnektoren
- Audit & Logging
- Compliance – DSGVO, Auftragsverarbeitung & Unterauftragsverarbeiter, ISO 27001, NIS2, EU AI Act
Die Kurzfassung
| Frage | Antwort in einem Satz | Details |
|---|---|---|
| Verlassen Chats und Dokumente die Umgebung? | In Cloud und Server im Normalbetrieb nein; bewusste, vom Administrator gesteuerte Ausnahmen sind Websuche und Konnektoren. Im Übergangsbetrieb der Cloud bis November 2026 geht jede Modellanfrage an Google Vertex AI in Frankfurt | Datenflüsse |
| Wo laufen die Sprachmodelle? | In der Cloud auf basebox-Servern im Rechenzentrum der noris network AG in München; zusätzliche Rechenleistung nur mit Ihrer Zustimmung. Im Übergangsbetrieb bis November 2026 nutzt die Cloud bis zum Umzug Google Vertex in Frankfurt. Auf Server auf kundenkontrollierter Hardware | Modellanbieter |
| Wer ist datenschutzrechtlich verantwortlich? | Immer der Kunde; in der Cloud ist basebox Auftragsverarbeiter, der AVV ist Teil jedes Vertrags; bei einem selbst betriebenen Server hat basebox keinen Zugriff | Auftragsverarbeitung |
| Ist alles verschlüsselt? | In der Übertragung ja (TLS); im Ruhezustand verschlüsselt die Anwendung selbst derzeit nicht – das leistet die Speicherebene | Verschlüsselung |
| Was zeichnet das Audit-Log auf? | Auf Stufe „Standard“ Anmeldungen und Änderungen, keine Chats; Chats nur auf Stufe „Hoch“, dann mit sichtbarem Hinweis im Chat | Audit & Logging |
| Wie kommt basebox auf einen Server? | Nur wenn beauftragt, über PAM/VPN, zeitlich begrenzt, vom Kunden freigegeben und widerrufbar | Fernwartung |
| Geht es ohne Internet? | Ja – basebox Server ist abgeschottet betreibbar; Websuche und Online-Modelldownload entfallen dann | Air-Gapped-Umgebungen |
Wie Sie diese Seiten lesen
- Jede Seite trägt oben einen Kasten Gilt für. Prüfen Sie zuerst, ob Ihr Deployment gemeint ist – Aussagen zur Cloud gelten nicht für einen Server und umgekehrt.
- Übergangsbetrieb gesondert prüfen. Für Cloud-Konten im Übergangsbetrieb bis November 2026 gelten bis zum Umzug andere Verarbeitungsorte und Unterauftragsverarbeiter (Übergangsbetrieb).
- Wo diese Dokumentation eine Angabe noch nicht belegen kann, steht ein Hinweis auf den Weg zur Klärung – in der Regel datenschutz@basebox.ai für Datenschutz- und Compliance-Fragen und support@basebox.ai für technische.
- Das Compliance-Paket nach EU AI Act – Compliance, Infrastruktur-Richtlinie, Modellregister, Sicherheitshinweis, Disclaimer – ist auf basebox Server bezogen und mit Stand Oktober 2025 datiert. Die Seiten hier sind die laufend gepflegte Darstellung; bei Abweichungen gilt für vertragliche Zwecke das versionierte Paket.
Für die Prüfung mitnehmen
Wenn Sie basebox in einer Datenschutz-Folgenabschätzung, einem Sicherheitskonzept oder einer Lieferantenbewertung beschreiben, reichen in der Regel diese Seiten: Deployment-Modell bzw. Server, Datenflüsse, Speicherung, Verschlüsselung, Audit & Logging, Geteilte Verantwortung und DSGVO. Für den Websuche-Konnektor gibt es zusätzlich die Einführung in die Websuche-Sicherheit und auf Anfrage die vollständige Richtlinie.
Nächster Schritt: Deployment-Modelle · Auftragsverarbeitung & Unterauftragsverarbeiter