Doku, die ein DPO freitags liest.

Hauptinfrastruktur bei Infomaniak — Rechenzentren in der Schweiz. Der Modus «strikte Schweizer Souveränität» deaktiviert jede Funktion, die eine Verarbeitung ausserhalb der Schweiz erfordert — eine Regel, die im Backend durchgesetzt wird, keine Einstellung in der Oberfläche. Die verbleibenden Datenflüsse werden offengelegt: Stripe-Abrechnung (Irland), minimierte Push-Benachrichtigungen. Das Verzeichnis der Unterauftragsverarbeiter ist öffentlich.

• Postgres, Redis, S3 (MinIO) · Schweizer Hauptinfrastruktur (Infomaniak)
• Strikter Modus: jede Verarbeitung ausserhalb der Schweiz deaktiviert, vom Backend geprüft
• Souveränes AI Gateway standardmässig (Llama 3.3 über Infomaniak)
• Frontier-LLM (Anthropic — Inferenz auch ausserhalb EU/CH möglich, abgesichert durch Standardvertragsklauseln und das Data Privacy Framework), nur nach ausdrücklichem Opt-in

Keine kosmetische Checkbox. Jede KI-Entscheidung wird protokolliert (Modell, Input, Output, Score, Alternativen). Das Audit-Log ist append-only — durch einen PostgreSQL-Trigger erzwungen — wird 10 Jahre aufbewahrt, ist in der Anwendung einsehbar und auf Anfrage des DPO oder der Kontrollbehörde exportierbar (JSON).

• DSGVO-Recht auf Löschung im Self-Service des Tenants (kaskadierendes DELETE)
• KI-Entscheidungen protokolliert: Modell, Eingaben, Ausgaben, Alternativen
• Pseudonymisierung der PII in allen Pino-Logs
• Striktes CSP + Helmet-Header auf der NestJS-API

Die Wiederherstellungsverfahren sind in Runbooks dokumentiert, die mit dem Code versioniert werden. Das Off-site-Backup-Programm und die bezifferten Zusagen (RPO/RTO) befinden sich im Aufbau — wir stellen sie als laufende Arbeit dar, nicht als erledigt.

• Wiederherstellungs-Runbooks mit dem Code versioniert
• Daten auf Schweizer Infomaniak-Infrastruktur
• Vertragliche RPO/RTO: eingeführt mit den Tarifen Moyenne und Grande
• Der tatsächliche Stand wird auf Anfrage mitgeteilt — ohne Schönfärberei