# So speichern und schützen wir Daten

Die Daten liegen in der Europäischen Union auf zertifizierter Infrastruktur, Rollen regeln den Zugriff, und die Datenbank wird jeden Tag kopiert.

## Wo die Daten gespeichert werden

Datenbank und Anwendung laufen in Regionen der Europäischen Union. Der Kro-Assistent nutzt Modelle eines externen Anbieters — dazu der eigene Abschnitt unten.

### Datenbank und Anmeldung

Supabase — verwaltetes PostgreSQL auf Amazon Web Services, Region eu-north-1 (Stockholm, Schweden). Hier liegen Unternehmensdaten, Nutzer und Anmeldesitzungen.

### Anwendung

Google Cloud Run, Region europe-north1 (Finnland). Der Anwendungsserver verarbeitet jede Anfrage und prüft die Berechtigungen.

### Die Website krokul.com

Firebase Hosting von Google — öffentliche Seiten, ausgeliefert über ein weltweites Verteilnetz. Unternehmensdaten liegen ausschließlich in der Datenbank.

### Verschlüsselung

Verbindungen zu Krokul sind per HTTPS geschützt. Der Datenbankanbieter verschlüsselt Daten im Ruhezustand (AES-256) und bei der Übertragung (TLS).

## Zertifizierte Anbieter-Infrastruktur

Krokul läuft auf einer Infrastruktur, die unabhängige Prüfer regelmäßig kontrollieren. Die Zertifikate und Berichte veröffentlichen die Anbieter selbst.

### Supabase — Datenbank und Anmeldung

SOC 2 Type 2 mit jährlichem Audit und ISO 27001.

[Supabase Sicherheit](https://supabase.com/security)

### Supabase — SOC-2-Bericht

Wie Supabase sein SOC-2-Audit durchläuft und was es abdeckt.

[SOC 2 bei Supabase](https://supabase.com/docs/guides/security/soc-2-compliance)

### Google Cloud Run — Anwendung

ISO/IEC 27001, 27017 und 27018, SOC-1-, SOC-2- und SOC-3-Berichte, PCI DSS — laut Tabelle der Google-Cloud-Dienste.

[Dienste im Geltungsbereich](https://cloud.google.com/security/compliance/services-in-scope/)

### Firebase Hosting — Website

ISO/IEC 27001, SOC-1-, SOC-2- und SOC-3-Berichte, PCI DSS — laut derselben Google-Cloud-Tabelle.

[Dienste im Geltungsbereich](https://cloud.google.com/security/compliance/services-in-scope/)

### Anthropic — Modelle des Kro-Assistenten

SOC 2 Type I und II, ISO 27001:2022 und ISO/IEC 42001:2023 — der internationale Standard für KI-Managementsysteme.

[Zertifizierungen von Anthropic](https://privacy.claude.com/en/articles/10015870-what-certifications-has-anthropic-obtained)

## Zugriff und Kontrolle

Eine Rolle legt fest, was jeder sieht und tut — und der Server setzt es durch.

### Rollen

Inhaber, Leiter, Manager, Buchhalter und weitere Rollen legen fest, wer was sieht und ändert. Einkaufspreis und Marge sind ein eigenes Recht.

### Prüfung auf dem Server

Der Server prüft die Berechtigungen bei jeder Anfrage — gleich für den Bildschirm, einen API-Schlüssel und den Kro-Assistenten.

### Zwei-Faktor-Anmeldung

Nach dem Passwort verlangt das System einen Einmalcode aus einer Authenticator-App. Ein Administrator kann die Zwei-Faktor-Anmeldung für alle im Unternehmen verlangen und sie für Nutzer zurücksetzen, die ein Gerät verloren haben.

### Änderungsprotokoll und Papierkorb

Jede Änderung wird mit Autor und Zeitpunkt protokolliert. Gelöschte Einträge landen im Papierkorb und lassen sich wiederherstellen.

## Der Kro-Assistent und Ihre Daten

Der Assistent antwortet mit Modellen von Anthropic. Das bedeutet es für Ihre Daten.

### Was das Modell erreicht

Das Gespräch mit dem Assistenten und die Datensätze, die er zum Antworten öffnet. Der Assistent handelt mit den Rechten der Person, die mit ihm spricht — er sieht also nichts, was diese Person nicht sehen darf.

### Kein Modelltraining

Nach den Bedingungen von Anthropic für die kommerzielle API werden Anfragen und Antworten nicht zum Training von Modellen verwendet, es sei denn, das Unternehmen stimmt selbst zu.

[Richtlinie von Anthropic](https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training)

### Wie lange gespeichert wird

Nach der Standardrichtlinie löscht Anthropic Anfragen und Antworten auf seiner Seite innerhalb von 30 Tagen.

[Aufbewahrungsfristen](https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data)

### Das Gespräch in Krokul

Ein Gespräch mit Kro bleibt 30 Tage nach der letzten Nachricht in Krokul gespeichert. Sie können es jederzeit endgültig löschen.

### Wo verarbeitet wird

Die Anfrage an das Modell wird auf der Infrastruktur von Anthropic verarbeitet, die außerhalb der Europäischen Union liegen kann. Die Krokul-Datenbank bleibt in der EU.

### Abschaltbar

Der Assistent lässt sich in den Einstellungen für das ganze Unternehmen oder für einzelne Rollen abschalten.

### Gesprächsaufzeichnungen

Wenn Kro eine Gesprächsaufzeichnung auswertet, sendet der Krokul-Server den Ton zur Transkription an Google Cloud Speech-to-Text; diese Verarbeitung kann außerhalb der Europäischen Union stattfinden. Krokul speichert Transkript und Zusammenfassung, aber keinen Ton — die Aufzeichnung bleibt beim Telefoniedienst. Die Auswertung aller neuen Anrufe schaltet nur der Administrator des Unternehmens ein und an derselben Stelle wieder ab, unter „Nutzung“.

## Backups

Jeden Tag erstellt das System eine vollständige Kopie der Datenbank und legt sie in einem separaten privaten Speicher außerhalb von Supabase ab. Das System liest jede Kopie zurück und prüft sie, bevor sie als gesichert gilt; ältere Kopien rotieren nach Zeitplan.

## Ihre Daten bleiben Ihre

Die Daten gehören Ihrem Unternehmen, und Sie können sie jederzeit mitnehmen.

### Export in jedem Tarif

Tabellen nach Google Sheets, Dokumente nach Google Docs, Kontakte nach vCard. Auch im kostenlosen Tarif.

### Eine API für die gesamte Oberfläche

Die öffentliche API v1 deckt alles in der Oberfläche ab; die Dokumentation ist auf Englisch.

[API-Dokumentation](https://app.krokul.com/api/v1/docs)

### Webhooks

Ereignisse erreichen Ihre Systeme über eine Warteschlange, mit wiederholter Zustellung und einem Protokoll.

## Support

Der Kro-Assistent antwortet sofort — zur Einrichtung, zu Ihren Daten und zu dem, was das System kann. Braucht eine Frage einen Menschen, übergibt Kro sie samt Gespräch an das Krokul-Team. Ein Implementierungspartner übernimmt komplexe Einrichtung und Datenübernahme.

## Fragen und Antworten

### Wo werden die Daten physisch gespeichert?

In der Europäischen Union: die Datenbank in der Region eu-north-1 (Stockholm), die Anwendung in der Region europe-north1 (Finnland).

### Welche Zertifizierungen hat die Infrastruktur?

Die Infrastruktur unserer Anbieter ist zertifiziert: Supabase hält SOC 2 Type 2 und ISO 27001, Google Cloud Run und Firebase Hosting fallen unter die ISO/IEC-27001-Zertifizierung und die SOC-Berichte von Google Cloud. Die Zertifikate und Berichte veröffentlichen die Anbieter selbst.

### Werden meine Daten zum Training von Modellen verwendet?

Nein. Krokul trainiert keine Modelle mit Unternehmensdaten, und nach den Bedingungen der kommerziellen API verwendet Anthropic, dessen Modelle der Kro-Assistent nutzt, Anfragen und Antworten nicht für das Training, es sei denn, das Unternehmen stimmt selbst zu.

### Verlassen Daten die EU?

Datenbank und Anwendung bleiben in der EU. Eine Anfrage an den Kro-Assistenten verarbeitet Anthropic, und diese Verarbeitung kann außerhalb der EU stattfinden; der Assistent lässt sich abschalten.

### Wie oft wird die Datenbank gesichert?

Jeden Tag. Die Kopie geht in einen separaten privaten Speicher außerhalb des Datenbankanbieters und wird durch Zurücklesen geprüft.

### Wie nehmen wir unsere Daten mit, wenn wir wechseln?

Der Export nach Google Sheets, Docs und vCard steht in jedem Tarif zur Verfügung, und die öffentliche API liefert alles, was in der Oberfläche steht.

## Sehen Sie an einem Demo-Unternehmen, wie es funktioniert

Rollen, Änderungsprotokoll und Export — in einem Unternehmen, das bereits mit Deals, Projekten und Stunden gefüllt ist.

---

App: https://app.krokul.com/ · API: https://app.krokul.com/api/v1/docs