Sicherheit & Datenschutz

Der Satzungs-Check läuft auf einem eigenen, dedizierten Server in Deutschland (Hetzner, Rechenzentrum Falkenstein) — nicht in einer US-Cloud und nicht auf geteilter Infrastruktur mit anderen Anwendungen. Die gesamte Verbindung ist verschlüsselt.

• Transportverschlüsselung (HTTPS/TLS) für jede Verbindung — Zertifikate via Let's Encrypt, automatisch erneuert.
• Die Anwendung läuft in isolierten Containern ohne Administratorrechte.
• Betrieb und Wartung durch die Diversity Lab GmbH als technischer Dienstleister — vertraglich geregelt.

Der häufigste Irrtum zuerst: Die Website, die den Satzungs-Check einbindet, sieht die hochgeladenen Daten nie. Das Widget ist ein eingebettetes Fenster (iframe) — was ein Verein dort eingibt, geht direkt und verschlüsselt vom Browser des Vereins an den Vereinity-Server. Die Partner-Website ist nur der Rahmen drumherum.

Angenommen wird ausschließlich ein PDF der Satzung — kein anderes Dateiformat. Jede Datei wird vor der Annahme technisch geprüft, nicht nur am Dateinamen erkannt.

• Prüfung der echten Datei-Signatur (nicht des bloßen Datei-Typs, den der Browser meldet).
• Größenlimit 20 MB; abgelehnte Uploads werden sofort wieder entfernt.
• Das Ergebnis ist nur über einen kryptografisch zufälligen Link erreichbar — praktisch unerratbar.

Der Text der Satzung wird lokal auf unserem Server aus dem PDF extrahiert. Für die inhaltliche Analyse wird der Satzungstext an Anthropic (Claude) übertragen — als vertraglich gebundener Auftragsverarbeiter. Wichtig für die Einordnung: Vereinssatzungen sind in aller Regel öffentliche Dokumente (Vereinsregister). Die wirklich sensiblen Daten — wer den Check angestoßen hat — verlassen den Server nicht.

• Kontaktdaten (Name, E-Mail) werden nie an die KI gesendet.
• Keine Nutzung der Daten für KI-Training — vertraglich ausgeschlossen.
• Löschung beim Auftragsverarbeiter spätestens nach 30 Tagen; EU-Standardvertragsklauseln.
• Die Bewertung läuft fünffach parallel mit Konsens-Verfahren — für stabile, reproduzierbare Ergebnisse statt KI-Zufall.
• Eingesetzt werden Claude Haiku 4.5 (Bewertung) und Claude Sonnet 4.6 (Satzungsentwurf) — in fest gepinnten Versionen. Die Einordnung nach der KI-Verordnung steht in § 8.

Datenschutz ist hier keine nachgereichte Erklärung, sondern in die Software eingebaut. Jede Einreichung hat von Anfang an ein Ablaufdatum, und jeder Verein behält die Kontrolle über seine Daten — ohne dass er dafür jemanden anschreiben muss.

• Speicherfrist 12 Monate — danach löscht ein täglicher automatischer Lauf die Daten. Kein manueller Schritt nötig.
• Widerruf per Klick: Das Satzungs-PDF wird sofort vom Server gelöscht, die Restdaten folgen kurz darauf.
• Datenauskunft (Art. 15) per Klick: Vollständiger Export aller gespeicherten Daten, jederzeit selbst abrufbar.
• Einwilligungen werden versioniert und beweisbar protokolliert.
• IP-Adressen werden nie im Klartext gespeichert — nur als nicht umkehrbarer Hash.
• Auftragsverarbeitungsvertrag (Art. 28) elektronisch abschließbar, mit Prüfpfad.
• Keine Tracking-Cookies, keine Werbenetzwerke.

Alle Details stehen in den Datenschutzhinweisen zum Satzungs-Check.

Auch intern gilt das Prinzip der minimalen Rechte: Wer im System arbeitet, sieht nur, was er sehen muss — und die üblichen Angriffswege sind systematisch verschlossen.

• Vier abgestufte Rollen mit strikter Trennung zwischen Partnern — kein Partner sieht Daten eines anderen.
• Schutz gegen automatisierte Login-Versuche (Rate-Limiting) und moderne Passwort-Verschlüsselung.
• Sicherheitskritische Einstellungen kann ausschließlich die zentrale Administration ändern.

Die KI-Verordnung reguliert nicht die Technik, sondern den Verwendungszweck. Dasselbe Sprachmodell kann in der einen Anwendung streng reguliert und in der anderen praktisch frei sein. Vier Stufen:

• Inakzeptables Risiko — verboten. Social Scoring, biometrische Echtzeit-Überwachung, manipulative Systeme. Seit Februar 2025 in der EU untersagt.
• Hohes Risiko — Konformitätsbewertung. Systeme, die über Menschen entscheiden: Bewerberauswahl, Kreditwürdigkeit, Zugang zu Bildung, Strafverfolgung. Umfangreiche Pflichten, aber erst später anwendbar (siehe Kasten).
• Begrenztes Risiko — Transparenzpflichten. Die große Mehrheit der kommerziellen Anwendungen: Chatbots, Empfehlungssysteme, Systeme, die Texte erzeugen. Kernpflicht: Menschen müssen wissen, dass sie es mit KI zu tun haben.
• Minimales Risiko — keine besonderen Pflichten. Spamfilter und Ähnliches.

Der Satzungs-Check ist nach unserer Einstufung ein System mit begrenztem Risiko. Es gelten die Transparenzpflichten — keine Hochrisiko-Anforderungen, also keine Konformitätsbewertung, keine CE-Kennzeichnung, keine Registrierung in der EU-Datenbank.

Der Grund liegt im Prüfgegenstand. Die Hochrisiko-Kategorien der Verordnung setzen durchweg dort an, wo ein System über Menschen urteilt — über Bewerberinnen, Kreditnehmer, Schülerinnen, Beschuldigte. Der Satzungs-Check bewertet dagegen ein Dokument: die Satzung eines Vereins, also einer juristischen Person. Er kennt keine Personenprofile, und die Kontaktdaten der einreichenden Person erreichen die KI nie (§ 4).

• Keine Entscheidung, sondern ein Vorschlag. Das Ergebnis geht an den Verein, der ihn angefordert hat. Es öffnet und verschließt keinen Zugang, entscheidet über kein Geld und über keinen Anspruch.
• Der Beschluss bleibt bei der Mitgliederversammlung. Was der Check liefert, ist ein Entwurf zur Vorbereitung dieser Entscheidung — ausdrücklich mit der Empfehlung, ihn vorher rechtlich gegenprüfen zu lassen.
• Kein Scoring von Menschen. Kein Profiling, keine Emotionserkennung, keine biometrische Verarbeitung.
• Auch kein Fall der verbotenen Praktiken nach Art. 5 — weder Social Scoring noch Manipulation noch Überwachung.

Die Verordnung verteilt Pflichten nach Rollen. Für den Satzungs-Check sieht das so aus:

• Anbieter sind wir. Der VEREINITY e. V. bietet den Satzungs-Check unter eigenem Namen an, die Diversity Lab GmbH hat ihn entwickelt und betreibt ihn technisch. Uns treffen die Transparenzpflichten des Art. 50 — dazu § 10.
• Betreiber seid ihr. Der Verband, der den Check anbietet, und die Vereine, die ihn nutzen. Für ein System mit begrenztem Risiko bleibt davon im Wesentlichen eine Pflicht: KI-Kompetenz.
• Modellanbieter ist Anthropic. Als Anbieter von KI-Modellen mit allgemeinem Verwendungszweck trägt Anthropic eigene Pflichten, die bereits seit August 2025 gelten. Diese gehen nicht auf euch über.

Zur KI-Kompetenz: Wer mit dem Tool arbeitet, soll verstehen, was es tut und wo seine Grenzen liegen. Diese Pflicht wurde im Juli 2026 ausdrücklich entschärft — sie verlangt keinen Kompetenznachweis und kein Zertifikat, sondern Maßnahmen, die den Aufbau von KI-Kompetenz unterstützen. Wir liefern dafür ein einseitiges Briefing zum Abheften: was das Tool kann, was nicht, welche Fehlerbilder typisch sind, wer bei euch bedient und freigibt. Ausdrucken, einmal durchsprechen, Datum drauf — damit ist die Einweisung dokumentiert.

Die Transparenzpflichten sind die eigentliche Anforderung an ein System unserer Klasse. Sie gelten seit dem 2. August 2026 und wurden — anders als die Hochrisiko-Regeln — nicht verschoben. Was wir heute erfüllen:

• Hinweis vor der ersten Nutzung. Vor dem Formular steht ausdrücklich, dass hier ein KI-System arbeitet, welches Modell analysiert und dass Ergebnis und Entwurf KI-generierte Vorschläge sind.
• Kennzeichnung am Ergebnis. Score und Satzungsentwurf sind als KI-generiert ausgewiesen — sichtbar auf der Seite, nicht nur im Kleingedruckten, und zusätzlich maschinenlesbar (dazu gleich).
• Ein Mensch prüft vor dem Versand. Kein Ergebnis verlässt das System ohne Freigabe; bis dahin sind Score und Entwurf nicht einmal sichtbar.
• Nachvollziehbarkeit. Feste Modellversionen, fünffaches Konsens-Verfahren, serverseitige Berechnung des Gesamtscores (§ 4).

Auch die maschinenlesbare Kennzeichnung steht: Die Verordnung verlangt zusätzlich, dass KI-erzeugte Texte maschinenlesbar gekennzeichnet werden — also nicht nur für Menschen sichtbar, sondern auch technisch auslesbar. Für Systeme, die wie unseres vor dem 2. August 2026 in Betrieb waren, ließe die Verordnung dafür Zeit bis zum 2. Dezember 2026 — umgesetzt ist es seit August 2026: Die Ergebnisseiten tragen die Kennzeichnung in den Seiten-Metadaten, der PDF-Export in den Dokument-Metadaten, die Ergebnis-Mail in einem eigenen Mail-Header und der Datenauskunfts-Export als eigenes Feld — jeweils nach dem IPTC-Vokabular („trainedAlgorithmicMedia"), das auch der C2PA-Standard nutzt.

Die KI-Verordnung ersetzt den Datenschutz nicht — sie tritt daneben. Beide Regelwerke gelten nebeneinander, und an der Auftragsverarbeitung ändert die KI-Verordnung nichts. Konkret sieht die Kette so aus, wenn ein Verband den Check anbietet:

• Der Verband ist Verantwortlicher. Er entscheidet, dass und wofür der Check eingesetzt wird.
• VEREINITY e. V. und Diversity Lab GmbH sind Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO deckt beide gemeinsam ab, inklusive dokumentierter technischer und organisatorischer Maßnahmen.
• Anthropic ist Unterauftragsverarbeiter. Vertragspartner für den europäischen Raum ist Anthropic Ireland, Limited (Dublin); die Weiterübermittlung in die USA ist über EU-Standardvertragsklauseln abgesichert.
• Kein Training mit euren Daten — vertraglich ausgeschlossen. Dieser Ausschluss ist der Grund, warum die Auftragsverarbeiter-Rolle trägt: Würde der Anbieter die Inhalte für eigene Zwecke nutzen, wäre er insoweit selbst verantwortlich.

Nutzt ein Verein den Check dagegen direkt bei uns statt über einen Verband, ist die Konstellation eine andere: Dann sind VEREINITY e. V. und Diversity Lab GmbH gemeinsam Verantwortliche nach Art. 26 DSGVO. Beides steht ausführlich in den Datenschutzhinweisen; AVV und Transfer-Folgenabschätzung stellen wir auf Anfrage bereit.