Vertrauen heißt: genau sagen, was ist.

Server, Datenbank und Dateispeicher liegen in Deutschland. Das heißt nicht, dass jede beteiligte Firma ihren Sitz in der EU hat: Cloudflare, bei dem das DNS liegt, ist eine US-Firma; Hanko läuft auf Amazon Web Services und Mistral hat US-Unterauftragsverarbeiter. US-Behörden können von US-Firmen Daten verlangen, auch wenn sie in der EU liegen.

Hetzner Online GmbH

Server, Datenbank und Dateispeicher: alle Anwendungsdaten, Dateien, Fotos, verschlüsselte Sicherungen. Daten in Deutschland, Firma in Deutschland.

Cloudflare, Inc. USA

DNS der Domains. Bis 16.11.2026 liegt dort noch eine Kopie der Dateien von vor dem Umzug am 02.11. mit EU-Jurisdiktion; danach wird sie gelöscht. Firma in den USA.

rapidmail GmbH

E-Mails, die die App von think@mantodeus.com verschickt, etwa die Antwort auf eine Zugangsanfrage: E-Mail-Adresse, Name, Text der E-Mail. Daten in Deutschland, Firma in Deutschland.

Hanko GmbH

Anmeldung: E-Mail-Adresse, Nutzer-ID, Passkey-Schlüssel. Daten in Deutschland auf Amazon Web Services in Frankfurt am Main, Firma in Deutschland.

Mistral AI SAS

Der Assistent und die Web-Recherche: Chat, Bilder und Belege, Sprache, Suchanfragen, wenn du ihn nutzt. Daten in der EU, Firma in Frankreich. Mistrals eigene Unterauftragsverarbeiter: Microsoft, CoreWeave, Google, Cloudflare.

Jeder Datensatz gehört zu einem Betrieb, und jede Abfrage ist auf den Betrieb der angemeldeten Person begrenzt. Andere Betriebe haben keinerlei Zugriff.

Im Auftrag hat jede Person ein eigenes Konto und eine Rolle: Crew, Kunde oder Subunternehmer. Neue Einträge stehen zuerst auf „Nur ich“, geteilt wird bewusst. Preise und Beträge sieht nur der Betrieb.

Derzeit kann der Betreiber in dein Konto sehen (Projekte, Dokumente, Chats, Dateien), um Support zu leisten und Fehler zu beheben. Das geschieht in deinem Auftrag nach den Regeln der Auftragsverarbeitung; Änderungen an Datensätzen werden protokolliert.

Mantodeus ruft Mistral nur über dessen EU-Endpunkt auf. Was übertragen wird, hängt davon ab, was du tust: der Chat, wenn du schreibst, das Bild, wenn du einen Beleg fotografierst, deine Stimme, wenn du diktierst.

KI-Training. Mantodeus lernt aus pseudonymisierten Auszügen der Arbeit in der App, um eine eigene europäische KI für Betriebe zu bauen. Namen, Adressen, Kontaktdaten und Nummern werden vorher ersetzt. Chats zwischen Menschen, Bankdaten und Fotos mit Personen fließen nie ein. Nichts wird verkauft oder weitergegeben. Standardmäßig an, mit einem Schalter jederzeit aus. Genau beschrieben in der Datenschutzerklärung der App, § 5.

Derzeit nutzt der Betreiber für Entwicklung und Support außerdem KI-Werkzeuge von Anthropic und OpenAI (beide USA). Sie gehören nicht zur App und sind keine Auftragsverarbeiter für deine Daten. Deshalb bekommen sie keine personenbezogenen Daten deiner Kunden, Beschäftigten oder Ansprechpartner, nur technische Angaben, Fehlermeldungen und Inhalte, aus denen solche Daten entfernt wurden. Deine eigenen Angaben (Name, E-Mail-Adresse, Inhalt deiner Support-Anfrage) können diese Werkzeuge verarbeiten, wenn du uns um Hilfe bittest.

• Anmeldung mit Passkey oder E-Mail-Code über Hanko. Passwörter werden nicht gespeichert.
• Dateien liegen in nicht öffentlichen Speichern und sind nur über kurzlebige, signierte Links erreichbar.
• Sicherungen laufen täglich, werden vor dem Verlassen des Servers mit GPG verschlüsselt und nach 30 Tagen gelöscht.
• Änderungen an den wesentlichen Geschäftsdaten werden mit Zeitpunkt, altem und neuem Wert und der ändernden Person protokolliert; nicht jede Änderung wird erfasst.
• Zugang zu den Servern nur für den Betreiber, mit schlüsselbasierter Anmeldung.

In den Einstellungen lädst du alles als ein ZIP herunter: jeden Datensatz, jede Datei, jede Fassung jedes Dokuments. Eine gelöschte Datei liegt 30 Tage im Papierkorb und kommt mit einem Tipp zurück. Das Löschen des ganzen Kontos beantragst du dort ebenfalls; es wird nach 30 Tagen ausgeführt und kann bis dahin widerrufen werden. Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben bestehen.

• Kein ISO-27001-Zertifikat.
• Die Inhalte sind nicht so verschlüsselt, dass nur du sie lesen kannst: Der Server erzeugt deine PDFs, und der Assistent liest, was du ihm gibst.
• Noch nicht für Gesundheitsdaten (Art. 9 DSGVO) freigegeben.
• Noch kein eigenes AVV-Dokument zum Herunterladen: Die Regeln und die technischen und organisatorischen Maßnahmen stehen in Abschnitt 7 der Nutzungsvereinbarung.

Schreib an think@mantodeus.com mit dem Betreff „Sicherheit“: was du gefunden hast und wie man es nachvollzieht. Schick keine Kundendaten und keine Schlüssel mit. Die Regeln für Meldungen stehen auf der Sicherheitsseite der App.

• Nutzungsvereinbarung, mit Auftragsverarbeitung
• Datenschutzerklärung der App
• Sicherheit und Dienstleister in der App
• Datenschutz dieser Website