Trust Center: Sicherheit, Datenschutz und Betrieb: offen dokumentiert.
Souveränität ist nur glaubwürdig, wenn sie einer Prüfung standhält. Hier finden Ihr Prüfteam, Ihr Datenschutz und Ihr Einkauf, wie RAGSuite gebaut ist, wo Ihre Daten liegen und welche Unterlagen es gibt: getrennt für die RAGSuite Engine und den eigenen Betrieb.
Sicherheitslücke melden: security@ragsuite.de
RAGSuite Engine oder selbst betrieben: wer ist wofür verantwortlich?
| Thema | RAGSuite Engine | RAGSuite Enterprise, selbst betrieben |
|---|---|---|
| Betrieb, Updates, Backups | RAGSuite | Ihr Team (oder ein Partner) |
| Rechenzentrum | Hetzner, Falkenstein, Deutschland | Ihre Server oder gemietete Server |
| Rolle nach DSGVO | RAGSuite ist Auftragsverarbeiter (AVV) | kein RAGSuite-Auftragsverarbeiter |
| Unterauftragsverarbeiter | Liste auf dieser Seite, inkl. KI-Verarbeitung | nur die Modellanbieter, die Sie wählen |
| Sprachmodelle | Standard, Advanced, Frontier über Credits oder eigener Schlüssel; KI-Verarbeitung: siehe Unterauftragsverarbeiter | auch lokal, auch air-gapped |
| Audit-Log | vollständig mit Export | vollständig mit Export |
Die RAGSuite Engine: Rechenzentrum, Verträge, Unterauftragsverarbeiter.
In der RAGSuite Engine betreiben wir die Plattform für Sie in einem Rechenzentrum in Deutschland. Sie schließen mit uns einen Auftragsverarbeitungsvertrag; die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter stellen wir bereit. Die Liste steht unten auf dieser Seite und in Anlage 2 des AVV.
Ihre Daten trainieren kein Modell. Löschfristen und Speicherung legen Sie fest; beim Kündigen exportieren Sie Ihre Inhalte und wir löschen sie nach der vereinbarten Frist.
Unterauftragsverarbeiter der RAGSuite Engine
Stand: 5. November 2026
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Daten |
|---|---|---|---|
| Hetzner Online GmbH | Server, Datenbank, Suchindex, Dateien und Sicherungen der RAGSuite Engine | Rechenzentrum Falkenstein, Deutschland | alle Kundeninhalte im gespeicherten Zustand |
| Microsoft (Azure OpenAI, EU-Datenzone) | KI-Antworten und Embeddings | EU/EFTA; von Azure gespeicherte Daten bleiben in Deutschland | Frage, letzte Gesprächsbeiträge, gefundene Textstellen, Prompts, Text für Embeddings |
Microsoft trainiert keine Modelle mit Kundendaten. Zur Missbrauchserkennung kann Microsoft auffällige Anfragen prüfen, bei Bedarf durch Personal im EWR; diese Daten bleiben in Deutschland. Mit eigenem API-Schlüssel (BYOK) ist Ihr Modellanbieter Ihr eigener Vertragspartner und kein Unterauftragsverarbeiter von RAGSuite. Bei selbst betriebenen Installationen ohne Support-Zugriff gibt es keine Unterauftragsverarbeiter von RAGSuite.
Selbst betrieben: Ihre Daten verlassen Ihre Umgebung nicht.
Ein in sich geschlossener Stack
FastAPI-Dienste, PostgreSQL, Redis und ein Vektorspeicher: nativ oder mit Docker auf Infrastruktur, die Sie steuern.
Keine Verbindung nach außen
Kein Phone-home. Externe Aufrufe gehen nur an Modellanbieter, die Sie selbst einrichten, oder gar keine, mit lokalem Modell.
Ihre Verschlüsselung, Ihre Backups
Die Daten liegen in Ihren Datenbanken, unter Ihrer Schlüsselverwaltung und Ihrem Backup-Konzept.
Schlüssel bei Ihnen
API-Schlüssel der Modellanbieter und die Offline-Lizenz für Enterprise bleiben bei Ihnen.
Verantwortlich und erreichbar.
Schreiben Sie an security@ragsuite.de; unsere security.txt (RFC 9116) nennt den Kontakt. Wir bestätigen Meldungen und bearbeiten sie bis zur Lösung.
Meldeweg →Regelmäßige Sicherheitsprüfungen
Code und Plattform werden regelmäßig geprüft; Ergebnisse teilen wir mit Prüfteams im Trust-Center-Prozess.
Anbieter in Deutschland
RAGSuite ist eine Marke der NITSAN GmbH (Amtsgericht Dresden, HRB 48599). Support auf Deutsch und Englisch.
Unterlagen auf Anfrage
Architekturbeschreibung, Datenfluss nach DSGVO, TOM, Verzeichnis-Vorlage, Versions- und Update-Richtlinie.
Updates, Backups und Wiederherstellung.
RAGSuite folgt semantischer Versionierung mit einer klaren Regel für Änderungen, die Anpassungen erfordern. Für PostgreSQL, Redis und den Vektorspeicher gibt es dokumentierte Abläufe für Backup und Wiederherstellung, in der RAGSuite Engine führen wir sie aus, self-hosted Ihr Team.
Cyber Resilience Act: was für RAGSuite gilt.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) regelt die Sicherheit von Software, die in der EU in Verkehr gebracht wird. Weil RAGSuite auch zum Selbstbetrieb angeboten wird, fällt es darunter; die NITSAN GmbH ist Hersteller. Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, ab dem 11. Dezember 2027 die übrigen Pflichten.
Wir arbeiten auf die grundlegenden Anforderungen hin und nennen eine Fähigkeit hier erst, wenn sie ausgeliefert ist. Eine CRA-Konformität oder CE-Kennzeichnung beanspruchen wir heute nicht.
Fragen an das Trust Center.
Wo liegen unsere Daten in der RAGSuite Engine?
Die RAGSuite Engine ist in Deutschland gehostet: Plattform, Dokumente, Suchindex und Verlauf liegen auf unserem Server in einem Rechenzentrum in Falkenstein. KI-Verarbeitung in der EU/EFTA (Microsoft Azure): Antworten und Embeddings erzeugt Azure OpenAI in der EU-Datenzone, also innerhalb der EU-Datengrenze von Microsoft (EU sowie EFTA-Staaten wie die Schweiz und Norwegen). Von Azure gespeicherte Daten bleiben in Deutschland. Für Antworten gehen Ihre Frage, der bisherige Gesprächsverlauf und die passenden Textstellen an das Modell; beim Indexieren werden die Textabschnitte Ihrer Dokumente für Embeddings verarbeitet. Alle Unterauftragsverarbeiter stehen in der Tabelle auf dieser Seite.
Gibt es einen AVV?
Ja. In der RAGSuite Engine schließen Sie einen Auftragsverarbeitungsvertrag mit uns, dazu gehören TOM und die Liste der Unterauftragsverarbeiter. Betreiben Sie RAGSuite selbst, verarbeiten wir keine Ihrer Daten; ein AVV mit uns ist dann nur nötig, wenn wir im Support Zugriff auf Daten bekommen.
Welche Unterauftragsverarbeiter nutzen Sie?
Hetzner (Rechenzentrum Falkenstein, Deutschland) für den Betrieb; Microsoft Azure OpenAI (EU-Datenzone, EU/EFTA) für KI-Antworten und Embeddings. Beide stehen im Trust Center und in Anlage 2 des AVV. Mit eigenem API-Schlüssel (BYOK) ist Ihr Modellanbieter Ihr eigener Vertragspartner, kein Unterauftragsverarbeiter von RAGSuite.
Trainieren Sie oder Microsoft mit unseren Daten?
Weder RAGSuite noch Microsoft trainiert Modelle mit Ihren Daten. Zur Missbrauchserkennung prüft Microsoft auffällige Anfragen automatisiert und bei Bedarf durch Personal im EWR; diese Daten bleiben in Deutschland.
Microsoft ist ein US-Konzern: Was bedeutet das?
Microsoft ist ein US-Konzern. Die KI-Verarbeitung bleibt vertraglich in der EU/EFTA, gespeicherte Daten bleiben in Deutschland, und Ihre Daten werden nicht zum Training genutzt. Wenn Ihre Daten keinen US-Konzern berühren dürfen, nutzen Sie einen eigenen API-Schlüssel bei einem Anbieter Ihrer Wahl, oder Sie betreiben RAGSuite auf Ihrem eigenen Server.
Wie melden wir eine Sicherheitslücke?
Schreiben Sie an security@ragsuite.de. Unsere security.txt nach RFC 9116 nennt den Kontakt, und auf der Seite zum Melden von Sicherheitslücken beschreiben wir den Ablauf. Wir bestätigen den Eingang, bewerten die Meldung und informieren Sie, bis sie behoben ist. Bitte veröffentlichen Sie Details erst nach Absprache.
Welche Unterlagen bekommen wir für die Prüfung?
Architekturbeschreibung, Datenfluss nach DSGVO, technische und organisatorische Maßnahmen, eine Vorlage für das Verarbeitungsverzeichnis, die Versions- und Update-Richtlinie sowie für die RAGSuite Engine AVV und Unterauftragsverarbeiter. Fragen Sie die Unterlagen über das Kontaktformular an; wir senden sie in der Regel innerhalb eines Werktags. Die Liste der Unterauftragsverarbeiter steht öffentlich auf dieser Seite.
Gibt es Service-Level-Ziele?
Ja. Für Antwortzeit und Verfügbarkeit gibt es definierte Ziele; SLA-Stufen bieten wir mit dem Enterprise-Support und für die RAGSuite Engine an. Die konkreten Werte teilen wir mit Ihrem Prüfteam im Trust-Center-Prozess, gemeinsam mit den übrigen Unterlagen zu Betrieb, Wiederherstellung und Sicherheit.
Ihr Prüfteam hat Fragen? Wir haben Unterlagen.
Fordern Sie die Unterlagen für Ihre Prüfung an oder gehen Sie die Fragen in einem Gespräch mit uns durch.