Recallbase / Datenschutz & Compliance

Datenschutz & Compliance

Die meisten KI-Gedächtnis-Dienste sind US-Cloud-SaaS. Recallbase nicht: self-hosted-first, in der EU betreibbar, Mandantentrennung als Datenbank-Gesetz. Für alle, die ihr Wissen nicht in eine fremde Cloud geben dürfen.

Deine Daten bleiben, wo du willst

Recallbase ist self-hosted-first: Betreibe es auf deinem eigenen Server oder als EU-Instanz. Kein Zwang, Projekt-Wissen in eine US-Cloud zu geben – der entscheidende Unterschied für Kanzleien, Redaktionen sowie Gesundheits- und Finanzunternehmen.

Mandantentrennung als Datenbank-Gesetz

Die Trennung zwischen Organisationen ist keine Programmier-Disziplin, sondern per PostgreSQL Row Level Security (RLS) in der Datenbank erzwungen – fail-closed: Ohne gesetzte Identität liefert jede Abfrage null Zeilen. Ein Programmierfehler wird nie zum Datenleck.

• RLS mit FORCE auf jeder mandantenbezogenen Tabelle
• API-Keys nur als SHA-256-Hash gespeichert, Passwörter mit bcrypt
• Transport per TLS, Webhook-Signaturen HMAC-verifiziert
• Rate-Limits gegen Brute-Force auf Login und Registrierung

Auftragsverarbeitung (AVV / DPA)

Für den Einsatz in Unternehmen stellen wir einen Auftragsverarbeitungsvertrag (AVV/DPA) nach Art. 28 DSGVO bereit. Er regelt Gegenstand und Dauer der Verarbeitung, Datenkategorien, technisch-organisatorische Maßnahmen, eingesetzte Subunternehmer und die Löschung. AVV anfragen →

Subunternehmer & Datenübermittlung

Recallbase setzt wenige, klar benannte Auftragsverarbeiter ein – u. a. Stripe (Zahlungsabwicklung, EU) und OpenAI (Embeddings für die semantische Suche; EU-Vertragspartner, US-Übermittlung abgesichert über EU-Standardvertragsklauseln). Details in der Datenschutzerklärung. Für Setups mit besonderen Anforderungen (eigene Infrastruktur, abweichende Verarbeiter) sprich uns an.

Deine Rechte: Export, Löschung, kein Lock-in

• Export: Deine Sessions, Zusammenfassungen und dein Wissensgraph gehören dir und sind über die API abrufbar.
• Löschung: Konto und Daten sind löschbar; bei self-hosted ohnehin vollständig in deiner Hand.
• Kein Lock-in: offener Client, MCP-Standard, Self-Host-Option – du bist nicht gefangen.

Ehrlich: Stand der Zertifizierung

Recallbase ist DSGVO-orientiert, self-hosted und EU-betreibbar. Formale Zertifizierungen wie SOC 2 oder ISO 27001 haben wir (noch) nicht – das sagen wir lieber offen, als damit zu werben. Wenn dein Compliance-Prozess ein bestimmtes Dokument oder eine bestimmte Zusicherung braucht, frag uns – wir finden einen Weg.

Weiterlesen: Datenschutzerklärung KI-Gedächtnis für Teams Sicherheit