KI-Einsatz

Diese Seite beantwortet die Fragen, die Einkauf, Datenschutzbeauftragte und Betriebsräte zum Einsatz von KI stellen: welche Systeme laufen, wo sie verarbeiten, was mit den Daten geschieht und was die Plattform über die Nutzung auswertet. Sie ist bewusst ohne Fachsprache geschrieben und darf weitergegeben werden.

Welche Modelle, von wem, wo

• Antworten im Chat erzeugen Sprachmodelle der Anthropic-Claude-Familie. Wir rufen sie über Amazon Bedrock mit einem EU-Inferenzprofil auf; die Verarbeitung bleibt innerhalb der dafür vorgesehenen europäischen Regionen.
• Das Durchsuchbarmachen von Dokumenten (Vektorisierung) läuft über den Azure OpenAI Service in den EU-Regionen Germany West Central und Sweden Central.
• Plattform, Datenbank und Dokumentenspeicher liegen in Azure West Europe.

Die vollständige Liste der eingesetzten Dienstleister mit Sitz, Verarbeitungsort und Rechtsgrundlage steht unter www.kontorstack.com/subprocessors und lässt sich dort abonnieren.

Was mit den Inhalten geschieht

• Kein Training. Inhalte unserer Kunden werden nicht zum Training oder Fine-Tuning von KI-Modellen verwendet – weder von uns noch von den eingesetzten Anbietern. Vertraglich festgehalten in § 6 des Auftragsverarbeitungsvertrags.
• Keine Speicherung im Regelfall. Amazon Bedrock speichert Modell-Ein- und -Ausgaben standardmäßig nicht.
• Ausnahme Missbrauchserkennung. Für einzelne, von AWS benannte Modelle speichert AWS Ein- und Ausgaben bis zu 30 Tage, um Verstöße gegen Nutzungsrichtlinien zu erkennen. Als Verstoß erkannter Inhalt kann dabei von AWS-Personal gesichtet werden. Die Daten bleiben bei AWS und gehen nicht an die Anbieter der Modelle.
• Die Modellanbieter sehen nichts. Über Amazon Bedrock erhalten sie keinen Zugriff auf Anfragen und Antworten. Sie sind deshalb keine eigenen Unterauftragsverarbeiter.

Was die Plattform über die Nutzung auswertet

Der Abschnitt, nach dem Betriebsräte zuerst fragen. Stand September 2026:

• Es gibt eine Auswertung: die Anzahl der Anfragen je Mandant. Sie dient dem Betrieb und der Abrechnung.
• Diese Zahl ist nicht nach Personen aufgeschlüsselt. Es gibt heute keine Auswertung, die das Verhalten oder die Leistung einzelner Nutzer abbildet, und keine Funktion, die solche Auswertungen an den Arbeitgeber ausgibt.
• Technische Protokolle (Anmeldungen, Fehler, Ausführungen von Prozessen) entstehen für Betrieb, Fehlersuche und Sicherheit. Sie werden nicht zu Leistungs- oder Verhaltensauswertungen verarbeitet.

Sollte sich das ändern, ändern wir zuerst diese Seite und informieren unsere Kunden, bevor eine solche Funktion in Betrieb geht. Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG liegt beim Arbeitgeber; wir stellen das System auf Wunsch dem Betriebsrat oder dem Datenschutzbeauftragten vor (§ 8 Abs. 3 des Auftragsverarbeitungsvertrags).

Wer was sehen kann

Nutzer erhalten Antworten ausschließlich auf Grundlage der Inhalte, die für sie freigegeben sind. Die Freigabe steuert der Kunde selbst über Abteilungen und Arbeitsbereiche; die engste Regel entscheidet, fehlende Freigabe führt zur Abweisung.

Administrativen Zugriff auf Kundendaten haben bei KontorStack nur die dafür benannten Personen, beschränkt auf das für Betrieb und Support erforderliche Minimum; solche Zugriffe werden protokolliert. Wie die Mandanten voneinander getrennt sind, beschreibt Anlage 1 des Auftragsverarbeitungsvertrags.

Unsere Rolle nach dem EU AI Act

KontorStack bringt ein KI-System unter eigenem Namen in Verkehr und ist damit Anbieter im Sinne von Art. 3 Nr. 3 der Verordnung (EU) 2024/1689. Weil die Plattform fremde Modelle integriert, sind wir zugleich nachgelagerter Anbieter nach Art. 3 Nr. 68. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck treffen die Modellanbieter, nicht uns.

Wer die Plattform im eigenen Unternehmen einsetzt, ist Betreiber nach Art. 3 Nr. 4 und hat eigene Pflichten – insbesondere die KI-Kompetenz der eigenen Leute nach Art. 4, die seit dem 2. Februar 2025 gilt.

Das Einstufungsergebnis ist unsere eigene Bewertung anhand der Legaldefinitionen und ersetzt keine Rechtsberatung.

KI-Kompetenz für Ihre Mitarbeitenden

Art. 4 der KI-Verordnung verlangt von jedem Betreiber, dass die Personen, die ein KI-System bedienen, über ausreichende Kenntnisse verfügen. Für den Einsatz von KontorStack genügen fünf Punkte, die Sie Ihren Mitarbeitenden weitergeben können:

• Die Plattform erzeugt Antworten aus Ihren eigenen Dokumenten und nennt dabei die Quelle. Antworten ohne Quellenangabe sind Hinweise, keine Belege.
• Sprachmodelle können sich irren, auch überzeugend. Prüfen Sie jede Aussage, auf die Sie eine Entscheidung stützen, an der genannten Quelle.
• Die Plattform erzeugt Entwürfe. Ob ein Entwurf hinausgeht, entscheidet ein Mensch, solange die Freigabe nicht ausdrücklich abgeschaltet wurde.
• Stellen Sie nichts ein, was Sie nicht einstellen dürfen – insbesondere keine Gesundheitsdaten und keine Unterlagen Dritter ohne Berechtigung.
• Sie sehen nur, was für Sie freigegeben ist. Fehlt Ihnen etwas, ist das eine Berechtigungsfrage an Ihre Administration, kein Fehler.

Auf Wunsch führen wir diese Einweisung online mit Ihren Mitarbeitenden durch und bestätigen die Teilnahme in Textform. Eine Anfrage an hello@kontorstack.com genügt.