DSFA-Baustein: FEAZY Chat, FEAZY BürgerBot und FEAZY SiteGuide

1. Was dieses Dokument ist

Wenn Sie FEAZY Chat, den FEAZY BürgerBot oder den FEAZY SiteGuide einsetzen, verlangt die DSGVO in den meisten Konstellationen eine Datenschutz-Folgenabschätzung (DSFA). Die Pflicht dazu liegt bei Ihnen als Verantwortlichem (Art. 35 Abs. 1 DSGVO). Wir können sie Ihnen nicht abnehmen, und ein Anbieter, der Ihnen eine fertige DSFA verspricht, verspricht etwas, das er rechtlich nicht halten kann.

Was wir können: Ihnen die komplette Anbieterseite liefern. Dieses Dokument beschreibt die Verarbeitung, die Technik, die Datenflüsse, die Subprozessoren und die Risikoszenarien, die Sie ohne uns nicht kennen könnten. Was nur Sie ausfüllen können, ist als solches gekennzeichnet und in Kapitel 8 gesammelt.

1.1 Aufgabenteilung

1.2 Drei Sätze für Ihre Akte

Diese Formulierungen können Sie wörtlich in Ihre DSFA übernehmen; Satz 2 in der Fassung, die zu Ihrer Stelle passt:

1. „Die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO trifft uns als Verantwortlichen. Der Anbieter unterstützt nach Art. 28 Abs. 3 lit. f DSGVO durch eine produktbezogene Zulieferung."
2. Für Unternehmen und andere nicht-öffentliche Stellen: „Der Einsatz künstlicher Intelligenz zur Steuerung der Interaktion mit Betroffenen ist in der Liste der Verarbeitungstätigkeiten nach Art. 35 Abs. 4 DSGVO für den nicht-öffentlichen Bereich (DSK, Version 1.1 vom 17.10.2018, Nr. 11) genannt. Wir führen die Datenschutz-Folgenabschätzung daher durch, ohne eine weitere Schwellwertprüfung zu bemühen."
   Für öffentliche Stellen: „Der Einsatz künstlicher Intelligenz zur Steuerung der Interaktion mit Betroffenen ist in der Liste nach Art. 35 Abs. 4 DSGVO der für uns zuständigen Aufsichtsbehörde genannt [Eintrag einsetzen, siehe Kapitel 2.1 der Anbieter-Zulieferung]. Enthält die zuständige Liste keinen solchen Eintrag, führen wir die Prüfung anhand von Art. 35 Abs. 1 und Abs. 3 DSGVO und der Kriterien der Leitlinien WP 248 rev.01 durch."
3. „Die Beschreibung der Verarbeitung beruht auf der Anbieter-Zulieferung FEAZY-TRUST-DSFA-01 in der Version und mit dem Stand, die zum Zeitpunkt unserer Prüfung veröffentlicht waren, sowie auf dem Auftragsverarbeitungsvertrag mit Anlagen in der vertraglich vereinbarten Fassung."

2. Brauchen Sie eine DSFA?

Kurze Antwort: bei diesen Produkten in aller Regel ja. Das gilt für jeden Anbieter solcher Systeme. Die Datenschutzkonferenz führt den Einsatz von KI-Systemen, die die Interaktion mit Betroffenen steuern, ausdrücklich auf ihrer Liste der Verarbeitungen, für die eine DSFA durchzuführen ist (Liste für den nicht-öffentlichen Bereich, Version 1.1 vom 17.10.2018); für öffentliche Stellen führen die Landesaufsichten teils vergleichbare Einträge, maßgeblich ist die Liste der für Sie zuständigen Aufsichtsbehörde (Kapitel 2.1). Der Eintrag Nr. 11 lautet: „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person." Das Beispiel im Listentext beschreibt ein System, „welches mit Kunden durch Konversation interagiert und für deren Beratung personenbezogene Daten durch eine künstliche Intelligenz verarbeitet werden." Die DSK-Orientierungshilfe zu KI hält ergänzend fest: „Beim Einsatz von KI-Anwendungen wird dies vielfach der Fall sein" (DSK, OH KI und Datenschutz, Version 1.0 vom 06.05.2024, Rn. 39).

Deshalb reden wir Ihnen die DSFA nicht aus. Wir machen sie Ihnen leicht. Dieses Dokument ist genau dafür gebaut.

2.1 FEAZY BürgerBot (Kommunen und öffentliche Stellen)

DSFA im Regelfall erforderlich. Tragende Gründe: Der Bot interagiert im freien Dialog mit Bürgerinnen und Bürgern. Nach den Kriterien der Art.-29-Datenschutzgruppe (WP 248 rev.01) treffen regelmäßig mehrere Kriterien zusammen, insbesondere schutzbedürftige Betroffene im Verhältnis zur Verwaltung, innovative Technologie und die Möglichkeit, dass Betroffene im Freitext sensible Angaben machen. Maßgeblich ist die Liste der für Sie zuständigen Aufsichtsbehörde; enthält sie keinen entsprechenden Eintrag, tragen die WP-248-Kriterien das Ergebnis.

2.2 FEAZY SiteGuide (Website-Assistent für Unternehmen)

DSFA im Regelfall erforderlich. Der Eintrag Nr. 11 der DSK-Liste gilt für den nicht-öffentlichen Bereich unbedingt, das Beispiel im Listentext beschreibt einen Website-Assistenten mit Beratungsfunktion nahezu wörtlich. Erfasst der SiteGuide zusätzlich Interessentendaten (Leads), kommt die Verarbeitung von Kontaktdaten zur Geschäftsanbahnung hinzu; sie ändert am Ergebnis nichts, gehört aber in Ihre Beschreibung.

2.3 FEAZY Chat (interne KI-Plattform)

DSFA im Regelfall erforderlich, sobald die Plattform mit personenbezogenen Inhalten arbeitet: Prompts und hochgeladene Dokumente enthalten regelmäßig Personenbezug, Nutzende sind Ihre Beschäftigten, und über Konnektoren können mehrere Quellsysteme in einem Wissensraum zusammenlaufen (Kriterium „Abgleichen oder Zusammenführen von Datensätzen" nach WP 248). Für den Beschäftigtenkontext beachten Sie zusätzlich die Mitbestimmung (Kapitel 8).

Ergebnis „keine DSFA": Kommt Ihre Prüfung in einer eng begrenzten Konstellation zu dem Ergebnis, dass keine DSFA erforderlich ist, dokumentieren Sie die Prüfung und ihre Begründung schriftlich (Art. 5 Abs. 2 DSGVO).

3. Die Verarbeitung: das, was Sie ohne uns nicht wissen können

3.1 Was die Produkte tun

FEAZY BürgerBot und FEAZY SiteGuide beantworten Anfragen auf Grundlage einer von Ihnen kuratierten Wissensbasis (Retrieval Augmented Generation, RAG); das Modell antwortet vorrangig aus den Inhalten, die Sie dafür freigegeben haben. FEAZY Chat ist eine allgemeine KI-Arbeitsplattform; kuratierte Wissensräume und Konnektoren sind dort zuschaltbare Funktionen.

Freitextfelder sind inhaltlich nicht begrenzbar. Nutzende können dort auch besondere Kategorien personenbezogener Daten eingeben (Art. 9 DSGVO), etwa Gesundheitsangaben in einer Frage an eine Kommune. Das gilt für jeden Freitextkanal, auch für Ihr Kontaktformular und Ihr E-Mail-Postfach. Besondere Kategorien sind im AVV bewusst nicht Gegenstand der Beauftragung; den Umgang mit unaufgeforderten Eingaben behandeln die Szenarien R-18 und R-19 in Kapitel 6.

Konnektoren in FEAZY Chat unterliegen einer zentralen Verwaltung: Ihre Organisationsadministration aktiviert und konfiguriert jeden Konnektor zentral im Admin-Portal, kann den Zugriff auf bestimmte Abteilungen beschränken und einzelne Werkzeuge eines Konnektors gezielt freigeben oder deaktivieren. Nutzende verbinden anschließend ihr eigenes Benutzerkonto (etwa über Microsoft- oder Google-OAuth); der Konnektor liest damit nur, was das jeweilige Konto im Quellsystem sehen darf. Noch nicht freigegebene Konnektoren können Nutzende anfragen, die Freigabe bleibt bei Ihrer Administration. Verbindungs-Token werden verschlüsselt gespeichert.

Für FEAZY Memo und FEAZY Live Translate stellen wir eigene Zulieferungen bereit; Anfrage an trust@feazy.de.

3.2 Verarbeitungsort und Datenhaltung

Inhalte und Kontodaten werden in Deutschland gespeichert. Backend, Datenhaltung und Backups laufen auf der Open Telekom Cloud der Telekom Deutschland GmbH in deutschen Rechenzentren. Flüchtige Verarbeitung, etwa die Modell-Inferenz, kann in weiteren ISO-zertifizierten Rechenzentren innerhalb der EU erfolgen; technische Protokolle können bei EU-gehosteten Dienstleistern liegen, Sitz und Verarbeitungsort je Dienstleister weist die Subprozessorenliste aus (Kapitel 3.6). Für die Anmeldung zu FEAZY Chat speichert der Anmeldedienst (AWS Cognito) ausschließlich die E-Mail-Adressen der Nutzenden. Eine Verarbeitung Ihrer Inhalte außerhalb der EU findet nur statt, wenn Ihre Administration ausdrücklich Modelle mit „Global Deployment" (Modellbetrieb auch außerhalb der EU) aktiviert.

Verbindlich geregelt ist das im Auftragsverarbeitungsvertrag: AVV mit Anlagen, dort § 1 (Verarbeitungsort), Anlage 1 (Beschreibung der Verarbeitung) und Anlage 3 (Subprozessoren).

Ein Hinweis zur Einordnung von Zertifikaten: Nachweise der Open Telekom Cloud (etwa ISO 27001 des Rechenzentrumsbetreibers) belegen die Infrastruktur, auf der FEAZY läuft, nicht die FEAZY-Anwendungsschicht selbst. Wir legen sie deshalb immer mit dieser Zurechnung vor, und wir empfehlen Ihnen, sie in Ihrer DSFA genauso zu zitieren.

3.3 Modelle und Zero Data Retention

Welche Sprachmodelle zur Verfügung stehen, welche Anbieter dahinterstehen und ob für ein Modell nach der vertraglichen Zusage des Modellanbieters Zero Data Retention gilt (keine Speicherung Ihrer Eingaben beim Modellanbieter), dokumentieren wir je Modell unter feazy.de/modelle. Ihre Administration entscheidet, welche Modelle im Mandanten freigeschaltet sind. Für Ihre DSFA genügt es, die von Ihnen freigeschalteten Modelle mit ihrem dort dokumentierten Status zu übernehmen.

FEAZY lässt sich damit vollständig souverän betreiben: Ihre Administration kann die Auswahl auf Modelle mit dem Profil „Souverän" begrenzen (EU-Hosting außerhalb der US-Hyperscaler, Kennzeichnung je Modell). Optional stehen zusätzlich große Frontier-Modelle bereit; sie laufen in EU-Rechenzentren von US-Anbietern und sind entsprechend gekennzeichnet. Beides ist eine Konfigurationsentscheidung, die Sie in Ihrer DSFA dokumentieren.

3.4 Datenfluss

Den vollständigen Datenfluss vom Browser der Nutzenden bis zur Antwort dokumentiert das Datenfluss-Diagramm (FEAZY-TRUST-DATENFLUSS-01). Es ist als Grundlage für die Abgrenzung des Prüfumfangs und für Ihre DSFA gebaut und gehört als Anlage in Ihre Akte.

3.5 Speichern und Löschen

Die Fristen und Verfahren stehen in zwei Dokumenten, die Sie direkt zitieren können:

• Löschkonzept: Löschklassen, Fristen und Verfahren im laufenden Betrieb.
• AVV § 10: Löschung innerhalb von 30 Tagen nach Beendigung der Geschäftsbeziehung.

Dialogverläufe und hochgeladene Dokumente werden gespeichert, bis sie durch Sie oder berechtigte Nutzende gelöscht werden oder die von Ihrer Administration konfigurierte automatische Löschfrist greift (Löschkonzept, Löschklasse LK-4). Legen Sie die von Ihnen gewählte Frist in Ihrer DSFA und in Ihrer Datenschutzinformation offen.

Zum Vertragsende: Ihre Originalquellen (Website-Inhalte, Dokumente) verbleiben ohnehin bei Ihnen. Alle Daten werden innerhalb von 30 Tagen nach Beendigung der Geschäftsbeziehung gelöscht (§ 10 AVV, Löschkonzept). Eine technische Bindung Ihrer Inhalte an FEAZY entsteht nicht.

3.6 Subprozessoren und Drittlandbezug

Die von uns eingesetzten Unterauftragsverarbeiter sind unter feazy.de/trust/subprocessors veröffentlicht und in Anlage 3 des AVV benannt. Standard ist Verarbeitung in der EU. Über Änderungen informieren wir vorab in Textform; Ihnen steht nach § 6 Abs. 1 AVV ein Widerspruchsrecht binnen 30 Kalendertagen aus berechtigtem, datenschutzrechtlich begründetem Anlass zu. Ein Drittlandbezug für Ihre Inhalte entsteht nur über das Global-Deployment-Opt-in (Kapitel 3.2); § 6 Abs. 4 AVV verlangt dafür die Voraussetzungen der Art. 44 ff. DSGVO (etwa Standardvertragsklauseln und Transfer Impact Assessment) und Ihre vorherige schriftliche Zustimmung. Dokumentieren Sie eine Aktivierung samt Grundlage in Ihrer DSFA.

3.7 Rollen und Eigenzwecke

FEAZY verarbeitet Ihre Inhalte ausschließlich weisungsgebunden als Auftragsverarbeiter (Art. 28 DSGVO). Kein Training, kein Profiling, keine Nutzung Ihrer Inhalte für eigene Zwecke; das ist in § 2 Abs. 4 des AVV vertraglich ausgeschlossen. Unsere Produktanalytik erfasst Nutzungsmetadaten, nicht Inhalte, und läuft EU-gehostet (Details in der Subprozessorenliste).

Nach der EU-KI-Verordnung ist FEAZY Anbieter der Systeme, Sie sind Betreiber. Die Transparenzpflichten des Art. 50 KI-VO gelten seit dem 2. August 2026: Nutzende müssen erkennen können, dass sie mit einem KI-System interagieren. Eine Einordnung zur KI-Verordnung stellen wir je Produkt bereit (Anfrage an trust@feazy.de). Die Hochrisiko-Pflichten nach Anhang III samt Grundrechte-Folgenabschätzung wurden durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben; für die drei hier beschriebenen Produkte in ihren Standard-Einsatzformen ordnen wir keinen Hochrisiko-Tatbestand ein, die Einordnung je Produkt können Sie anfordern.

4. Sicherheitsmaßnahmen der Plattform

Die technischen und organisatorischen Maßnahmen sind an zwei Stellen dokumentiert, die Sie direkt in Ihre DSFA übernehmen können:

• TOMs: der Maßnahmenkatalog der Plattform.
• AVV Anlage 2: die vertraglich zugesicherte Fassung.

Die für eine DSFA wichtigsten Punkte daraus: Transportverschlüsselung (TLS), Verschlüsselung gespeicherter Daten (AES-256), rollenbasierte Zugriffskontrolle nach dem Least-Privilege-Prinzip (jede Rolle erhält nur die Rechte, die sie tatsächlich braucht), Mandantentrennung auf Datenbank- und Applikationsebene mit getrennten API-Schlüsseln, Authentifizierungstoken und Speicherbereichen, protokollierte Administrationszugriffe, regelmäßige Backups sowie ein definierter Meldeprozess für Datenschutzvorfälle nach Art. 33 und 34 DSGVO. Ihre Kontroll- und Auditrechte regelt § 9 AVV. Ergänzende Richtlinien (unter anderem Firewall und Netzwerkschutz, Virenschutz, Umgang mit Datenträgern) sind im Trust Center veröffentlicht.

Nachweise, die über die veröffentlichten Dokumente hinausgehen, stellen wir Kunden und deren Datenschutzbeauftragten auf Anfrage bereit: trust@feazy.de. Fragen Sie konkret; wir antworten mit Dokumenten, nicht mit Prospekten.

5. Woran wir gerade arbeiten

Zwei Vorhaben, die für Ihre Bewertung relevant sind:

• Penetrationstest: Der aktuelle Penetrationstest für 2026 ist beauftragt. Eine Zusammenfassung der Ergebnisse stellen wir Kunden nach Abschluss auf Anfrage bereit.
• ISO 27001: Zentrale Sicherheitsprozesse sind etabliert und dokumentiert (Kapitel 4). Wir standardisieren sie derzeit für eine Zertifizierung nach ISO 27001.

6. Risikoszenarien für Ihre DSFA

So lesen Sie diese Tabellen: Jede Zeile ist ein Szenario, das Ihre DSFA betrachten sollte. Wir nennen unseren Beitrag (Technik und Vertrag) und Ihren Beitrag (Konfiguration und Organisation). Die Bewertung von Schwere und Eintrittswahrscheinlichkeit nehmen Sie selbst vor, anhand Ihres Einsatzkontextes; eine Vorbewertung durch den Anbieter wäre eine Bewertung, die ihm nicht zusteht. Die Kennungen (R-Nummern) sind stabil; verweisen Sie in Anfragen einfach auf die Nummer.

6.1 Plattformweite Szenarien (alle drei Produkte)

6.2 Zusätzlich für BürgerBot und SiteGuide (öffentlicher Dialogkanal)

6.3 Zusätzlich für FEAZY Chat (Beschäftigtenkontext)

7. Die wirksamsten Hebel in Ihrem Einsatz

Aus unserer Projekterfahrung gehören diese acht Konfigurations- und Organisationsentscheidungen in jede DSFA als geplante Abhilfemaßnahmen. Sie kosten wenig:

1. Den eingebauten Eingabehinweis prüfen und verlinken: Der BürgerBot verlangt vor der ersten Nutzung die ausdrückliche Zustimmung zu einem Hinweis samt Datenschutzerklärung; hinterlegen Sie dort den Link auf Ihre eigene Datenschutzinformation.
2. Websuche für öffentliche Stellen deaktiviert lassen, solange kein konkreter Bedarf besteht.
3. Wissensquellen kuratieren statt Masse anbinden: jede Quelle, die nicht angebunden ist, kann nicht leaken.
4. Rollen, Wissensraum- und Konnektor-Berechtigungen restriktiv starten und erst bei Bedarf öffnen.
5. Speicherfristen für Dialoge so kurz wie fachlich vertretbar konfigurieren; kurze Fristen verkleinern den Datenbestand, den ein Vorfall überhaupt treffen kann.
6. Menschliche Eskalation sichtbar halten: Telefonnummer oder Kontaktweg direkt am Assistenten.
7. Beim internen Einsatz: Dienst- oder Betriebsvereinbarung und Beschäftigteninformation vor dem Rollout, nicht danach.
8. In FEAZY Chat das PII-Masking aktivieren, wenn Personenbezüge in Dokumenten für den Zweck nicht gebraucht werden.

8. Was nur Sie ausfüllen können

Diese Positionen kann kein Anbieter für Sie erledigen. Sie sind der Kern Ihrer DSFA:

9. Häufige Fragen von Datenschutzbeauftragten

Wo genau läuft die Modell-Inferenz? Je Modell dokumentiert unter feazy.de/modelle, mit Region und Zero-Data-Retention-Status. Standard ist die EU; außerhalb nur über das Global-Deployment-Opt-in (Kapitel 3.2).

Speichert der Prompt-Prüfdienst unsere Eingaben? Nein, die Prüfung erfolgt transient. Rechtsträger und Verarbeitungsort weist die Subprozessorenliste aus.

Wer ist bei FEAZY für den Datenschutz zuständig? Unsere dafür zuständige Stelle erreichen Sie unter trust@feazy.de; sie beantwortet auch Nachweisanfragen Ihres Datenschutzbeauftragten.

Erhalten wir die Ergebnisse des Penetrationstests? Eine Zusammenfassung stellen wir nach Abschluss auf Anfrage bereit (Kapitel 5).

Verschwinden gelöschte Daten auch aus den Sicherungen? Sicherungen rotieren nach festem Schema (Löschkonzept); gelöschte Inhalte laufen mit der Rotation aus den Sicherungen aus.

Wie erfahren wir von neuen Unterauftragsverarbeitern? Vorab in Textform, mit Widerspruchsrecht binnen 30 Kalendertagen (§ 6 AVV).

Können wir einzelne Dialoge unserer Nutzenden einsehen oder exportieren? Bewusst nein. Bei BürgerBot und SiteGuide erhält Ihre Organisation keinen direkten Zugriff auf einzelne Dialoge, sondern anonymisierte Auswertungsberichte; das schützt die Nutzenden und entlastet Sie bei Zweckbindung und Mitbestimmung. Für FEAZY Chat unterstützen wir Exporte auf Anfrage.

Was passiert bei Vertragsende? Löschung aller Daten innerhalb von 30 Tagen nach Beendigung der Geschäftsbeziehung (§ 10 AVV); Ihre Originalquellen liegen ohnehin bei Ihnen (Kapitel 3.5).

10. Aktualisierung und Kontakt

Dieses Dokument trägt Versionsnummer und Stand. Wir aktualisieren es, wenn sich Modelle, Subprozessoren, Verarbeitungsorte, Fristen oder die Rechtslage wesentlich ändern, und veröffentlichen neue Versionen an dieser Stelle. Kunden, die das Dokument in einer DSFA verwenden, empfehlen wir, bei der regelmäßigen Überprüfung die aktuelle Version gegen die von ihnen zitierte zu halten; die Änderungshistorie weist die Unterschiede je Version aus.

Fragen, Nachweisanfragen, Auditvorbereitung: trust@feazy.de.

Anhang: Musterbaustein für Ihre Datenschutzinformation (Art. 13 DSGVO)

Ein Absatz zum Anpassen und Einsetzen; die eckigen Klammern ersetzen Sie durch Ihre Angaben:

Quellen und Rechtsgrundlagen

• Art. 28, 30, 33 bis 36 DSGVO; Art. 5 Abs. 2, Art. 9, Art. 13 DSGVO
• DSK, Liste von Verarbeitungstätigkeiten nach Art. 35 Abs. 4 DSGVO für den nicht-öffentlichen Bereich, Version 1.1 vom 17.10.2018, Nr. 11 (Bereichsangabe gemäß DSK-Publikationsseite); DSK, Orientierungshilfe KI und Datenschutz, Version 1.0 vom 06.05.2024
• Art.-29-Datenschutzgruppe, WP 248 rev.01 (Leitlinien zur Datenschutz-Folgenabschätzung)
• Verordnung (EU) 2024/1689 (KI-VO), Art. 4 und Art. 50; Verordnung (EU) 2026/1744 (Verschiebung der Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027, Anhang I: 2. August 2028)
• FEAZY-Dokumente: AVV, TOMs, Löschkonzept, Datenfluss, Subprozessoren, Meldeprozess Datenschutzvorfälle, Modelle