Vertrauen & Sicherheit

Hosting in Deutschland

AnnexFlow läuft auf einer Plesk-Subscription in Deutschland. Verarbeitung und Sicherung der Plattformdaten — Stammdaten, Audit-Logs, Backups — bleiben im Geltungsbereich der DSGVO. Ein Export in ein Drittland findet statt, soweit KI-Funktionen ein Cloud-Sprachmodell nutzen (voreingestellt: unser eigenes Gateway Promptopoly in Deutschland, das an Google Gemini oder OpenAI, beide USA, weitergibt; Anthropic, USA, nur wenn ein Mandant es in seiner eigenen Kette wählt); welche Anbieter das sind, steht in der Subprozessorenliste.

Datenflüsse — was sieht die Plattform?

• Mandanten-Stammdaten (Companies, Mitarbeiter, Rollen) — verschlüsselte Speicherung, Mandantenfähige Isolation per Firmen-/Partner-ID.
• Konversationen mit Agenten — Inhalts-Logs werden pro Mandant getrennt gespeichert und sind ausschließlich dem jeweiligen Operator und seinen Agenten zugänglich. Plattform-Admins (Sonny) sehen Metadaten (Token-Nutzung, Health), nicht den Konversations-Inhalt.
• Lokaler Proxy + Client — bringen Edge-Anwendungen ohne Internet-Roundtrip in den Mandanten-Workspace. Lokale LLMs (Ollama, LM Studio) bleiben auf dem Endgerät.
• Externe Provider (Promptopoly-Gateway mit Google Gemini und OpenAI) — sind für KI-Funktionen voreingestellt. Inhalte, die der eingebaute Datenschutz-Klassifikator als besonders schutzbedürftig einstuft, gehen nicht an Cloud-Anbieter. Unser Gateway Promptopoly (ma-kom, Deutschland) leitet an Google Gemini (DPF-zertifiziert, ergänzend Standardvertragsklauseln) oder OpenAI (Standardvertragsklauseln, nicht DPF-zertifiziert) weiter, beide mit Auftragsverarbeitungsvertrag; danach folgt ein lokales Modell am Knoten. Anthropic (Standardvertragsklauseln, nicht DPF-zertifiziert, kein Training auf API-Daten) nur, wenn ein Mandant es in seiner eigenen Kette wählt. Lokales LLM ist eine Alternative für sensible Workflows.

Firmen-Isolation

Jede Company hat eine eigene Firmen-ID. API-Endpoints validieren bei jedem Request, dass der Akteur Zugriff auf die angefragte Firma hat (PortalAccess-Check). Cross-Company-Schreibzugriffe sind nur über explizite User-Confirmations möglich (Capability-System).

Authentifizierung & Tokens

• Login mit Bcrypt-gehashten Passwörtern (cost 12).
• Bearer-Tokens mit SHA-256-Hash, optionale Expires-At-TTL.
• Geräte (Proxy/Client) bekommen beim Pairing einen gerätegebundenen Long-Term-Token, der nur für diesen Knoten gilt und im Server-Cockpit jederzeit widerrufen werden kann.
• Pairing-Tokens für die Erst-Registrierung sind One-Shot und laufen nach 30 Minuten ab.

Operator-Hierarchie

Drei Operator-Rollen mit klarer Abstufung:

• System-Operator — der Plattformbetreiber. Sieht alle Mandanten plattformweit, betreibt die technische Plattform.
• Partner-Operator — IT-Dienstleister, der mehrere Companies betreut. Sieht nur seine eigenen Companies.
• Company-Operator — IT-Ansprechpartner einer einzelnen Firma (intern oder extern). Sieht nur diese eine Company.

Diese Trennung ist im Backend (RoleResolver, PortalAccess) und Frontend (Web-Cockpit) durchgehend abgebildet.

Code-Auslieferung

Die Mac-Programme (Proxy und Client) werden von Apple notarisiert ausgeliefert: signiert mit der Developer-ID der ma-kom agentur UG, mit aktivierter Hardened Runtime und angehängtem Notarisierungs-Ticket. Gatekeeper akzeptiert die Installation ohne Zusatzschritte — ein Rechtsklick-Umweg oder das Entfernen des Quarantäne-Merkmals ist nicht nötig. Der Quellcode liegt in einem privaten Gitea-Repository.

Was wir noch ausbauen

• DSGVO-Export des Audit-Trails pro Firma.
• Eine unabhängige externe Sicherheitsprüfung (Penetrationstest) — vorgesehen, bislang nicht durchgeführt.
• Verschlüsselte Replikation der Datensicherungen an einen zweiten Standort.
• Noch nicht aktivierte externe Dienste (PayPal-Live, Objektspeicher, Vektor-Datenbank) — sie gehen erst in Betrieb, wenn der Datenfluss im Detail dokumentiert ist.

Diese Seite ist Vertrauens-/Sales-Material und ergänzt — ersetzt aber nicht — die Datenschutzerklärung, das AVV-Muster und die AGB. Bei konkreten Fragen zu Ihrem Mandanten-Setup: mail@annexflow.com.

AnnexFlow™ ist eine angemeldete Marke der ma-kom agentur UG.