Trust Center
Stand: Oktober 2026
Das Wichtigste auf einen Blick.
- Ihre Unterlagen liegen bei Clever Cloud in Frankreich
- Infrastruktur nach ISO 27001 zertifiziert
- Kein Training von KI-Modellen mit Ihren Daten
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, öffentlich einsehbar
- Verschlüsselung bei Übertragung und Speicherung
- Menschliche Endkontrolle vor jeder Weitergabe
Wo Ihre hochgeladenen Unterlagen verarbeitet werden.
My Cortex läuft bei sieben Dienstleistern, vier davon mit Sitz in Frankreich. Welcher wofür zuständig ist und wo die Verarbeitung physisch stattfindet:
| Dienstleister | Zweck | Ort |
|---|---|---|
| Clever Cloud SAS | Hosting, Anwendung, Datenbank, Storage | Rechenzentrum OVHcloud, Roubaix, Frankreich |
| Mistral AI SAS 15 rue des Halles, 75001 Paris, Frankreich | KI-gestützte Texterkennung und Auswertung | Frankreich |
| Scaleway SAS 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich | KI-Modelle für einzelne Prüfschritte der Auswertung | Frankreich (Region Paris) |
| Sendinblue SAS Marke „Brevo“, Paris, Frankreich | Versand der E-Mails an Nutzerkonten, etwa Zugang einrichten und Passwort zurücksetzen. Keine Unterlagen aus Übernahmen | Frankreich und Deutschland |
| AC PM LLC Marke „Postmark“, Tochtergesellschaft der ActiveCampaign, LLC, Chicago, USA | Entgegennahme von Antworten auf Nachforderungen, einschließlich mitgesendeter Anhänge | USA |
| Nebius B.V. Marke „Nebius Token Factory“, Schiphol, Niederlande | KI-Modell für die Inhaltsprüfung bei Mietshäusern: Übergabeschreiben, Kontoauszüge, Mieterlisten und Kautionsnachweise | vom Anbieter bestimmt: EU, Vereinigtes Königreich, Israel oder USA |
| Opper Technology AB Marke „Opper“, Enebyberg, Schweden | KI-Modell für die Erkennung des Dokumenttyps; übermittelt werden die ersten 2.500 Zeichen je Dokument bzw. Textabschnitt. KI-Modell GLM-5.3-Flash für die Inhaltsprüfung bei Mietshäusern und den Assistenten, gerechnet bei Berget AI AB in Schweden | EU (Irland, Schweden) |
Vier der sieben Anbieter sind in Frankreich ansässig, Nebius in den Niederlanden, Opper in Schweden, Postmark in den USA. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Hochgeladene Unterlagen verarbeiten Clever Cloud, Mistral AI, Scaleway und Opper ausschließlich innerhalb der EU; eine Übermittlung in ein Drittland findet dabei nicht statt. Clever Cloud und Mistral AI haben den Bestand dieser Verträge im August 2026 schriftlich bestätigt.
Anders liegt es beim reinen E-Mail-Versand an Nutzerkonten: Sendinblue setzt für einzelne Zusatzdienste eigene Unterauftragsverarbeiter ein, die außerhalb der EU verarbeiten können. Betroffen sind dabei nur die E-Mail-Adresse des Kontos sowie Betreff und Text dieser Nachrichten, keine Unterlagen aus Übernahmen. Einzelheiten stehen in der Datenschutzerklärung, Ziffer 13.
Eine zweite Ausnahme betrifft Antworten auf Nachforderungen: Schreibt ein angeschriebener Dritter an die Antwortadresse des Dienstes, trifft seine Mail zuerst bei Postmark (AC PM LLC) in den USA ein, mit Anhängen, also auch mit nachgereichten Unterlagen, und wird von dort an My Cortex in der EU übergeben. Grundlage sind die EU-Standardvertragsklauseln; Einzelheiten stehen in der Datenschutzerklärung, Ziffer 11 und 13.
Eine dritte Ausnahme betrifft Mietshäuser: Für die Inhaltsprüfung der Übergabe geht der ausgelesene Text von Übergabeschreiben, Kontoauszügen, Mieterlisten und Kautionsnachweisen an Nebius. Den Rechenort bestimmt der Anbieter; er kann außerhalb der EU liegen, auch in den USA. Grundlage sind die EU-Standardvertragsklauseln; Einzelheiten stehen in der Datenschutzerklärung, Ziffer 10 und 13.
Schaltet ein Kunde die optionale Anzeige von Google-Bewertungen zu Dienstleistern ein, gehen Firmenname und Anschrift des Dienstleisters an Google, und nach einem Klick ruft der Browser des Nutzers die Bewertung direkt bei Google ab. Auch dabei gehen keine Unterlagen aus Übernahmen an Google, und ohne Klick wird nichts geladen. Das gilt nur mit ausdrücklicher Zustimmung zur AVV-Fassung bewertungen-v1.1; sonst bleibt es bei der Zusage oben.
Zertifiziert ist unsere Infrastruktur, nicht My Cortex.
Clever Cloud, wo die Anwendung und die Datenbank laufen, ist nach ISO/IEC 27001 zertifiziert und zusätzlich für das Hosting von Gesundheitsdaten nach französischem Recht (HDS). Eine Zertifizierung nach SecNumCloud, dem Standard der französischen Cybersicherheitsbehörde ANSSI, ist dort in Vorbereitung.
My Cortex selbst ist derzeit nicht eigenständig zertifiziert. Eine eigene Zertifizierung prüfen wir. Bis dahin legen wir hier offen, welche Maßnahmen wir umgesetzt haben und welche Nachweise wir vorlegen können.
Ihre Inhalte trainieren keine KI-Modelle.
- Für die Texterkennung und Auswertung setzen wir Mistral AI ein, für einzelne Prüfschritte auch Scaleway; beide verarbeiten in Frankreich. Scaleway schließt die Nutzung von Eingaben zum Training in seinen Datenschutzbedingungen aus.
- Die übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet. Diese Einstellung ist im Anbieterkonto deaktiviert.
- Mistral AI speichert Eingaben und Ergebnisse für die Dauer der Verarbeitung und anschließend für bis zu 30 Tage zur Missbrauchskontrolle. Danach werden sie gelöscht.
- Für die Inhaltsprüfung bei Mietshäusern kommt ein Modell über Nebius hinzu. Nach den Bedingungen des Anbieters werden Eingaben nicht zum Training verwendet; ohne die Einstellung „Zero Data Retention“ kann er sie zur Beschleunigung in Finnland speichern.
- Für die Erkennung des Dokumenttyps kann ein Modell über Opper hinzukommen. Nach Angaben des Anbieters werden Inhalte dabei weder gespeichert noch zum Training verwendet.
- Mit Zustimmung des Kunden (AVV-Fassung 2.2) nutzen wir seine Unterlagen auch zur Fehleranalyse und zum Testen neuer Versionen. Sie bleiben dabei im Dienst, Zugriff hat nur My Cortex, und sie werden mit der Übernahme gelöscht.
- Ergebnisse der automatischen Auswertung werden vor jeder Weiterverwendung durch einen Menschen geprüft. Es wird nichts ohne Freigabe des Kunden versendet.
Diese Maßnahmen haben wir umgesetzt.
- Verschlüsselung: TLS für die Übertragung, HTTPS erzwungen. Verschlüsselung der Daten im Ruhezustand.
- Zugriffskontrolle: authentifizierte Konten, rollenbasierte Rechte, Trennung der Mandanten. Zugänge legen wir an, oder sie entstehen durch die Einladung des Inhabers einer Firma. Eine offene Registrierung gibt es nicht.
- Passwörter: werden ausschließlich verschlüsselt und gehasht gespeichert.
- Protokollierung: sicherheitsrelevante Zugriffe werden protokolliert. Server-Logfiles werden nach 30 Tagen gelöscht.
- Verfügbarkeit: regelmäßige Backups und Snapshots.
- Datenminimierung: es werden nur die erforderlichen Daten verarbeitet, mit definierten Löschfristen.
- Keine Drittanbieter im Frontend ohne Ihr Zutun: Schriftarten werden vom eigenen Server ausgeliefert, es findet kein Abruf bei Google Fonts statt. Wir setzen ausschließlich technisch notwendige Cookies ein und kein Tracking. Die einzige Ausnahme ist das Anzeigeelement für Google-Bewertungen: Es wird nur geladen, wenn der Kunde die Anzeige eingeschaltet hat und der Nutzer bei einem Dienstleister darauf klickt.
Nach Vertragsende bekommen Sie Ihre Daten zurück.
Nach Ende des Vertrags werden die im Auftrag verarbeiteten Daten nach Wahl des Kunden zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen. Innerhalb dieser Frist ist ein Export möglich.
Dokumente und Ansprechpartner.
- Auftragsverarbeitungsvertrag (AVV), inklusive Anlage mit den technischen und organisatorischen Maßnahmen
- Datenschutzerklärung
- Impressum
Ansprechpartner für Sicherheits- und Datenschutzfragen: ferenc@my-cortex.de
Sicherheitsfragebögen von Kunden füllen wir auf Anfrage aus.
Verantwortlich: Ben Ferenc Burian, My Cortex, Solquellstraße 13, 13467 Berlin · Stand: Oktober 2026