Digitale Souveränität

Ja, Vryne ist digital souverän. Betreiber ist ein Unternehmen mit Sitz in Deutschland; es gilt deutsches Recht und deutscher Gerichtsstand. Anwendung, Datenbank, Vektorindex, Dokumentenablage, Backups, Protokolle und die Sprachmodelle laufen ausschließlich in Rechenzentren in Deutschland. Ein Transfer eurer Dokumente in ein Drittland findet nicht statt, und mit euren Inhalten wird kein Modell trainiert. Eingesetzt werden ausschließlich Modelle mit offenen Gewichten, betrieben auf deutschen Servern — keine geschlossenen Modelle US-amerikanischer Anbieter.

Weder noch. Vryne ruft keine API von OpenAI, Anthropic, Google Gemini, Microsoft Azure OpenAI oder AWS Bedrock auf — auch nicht über einen europäischen Wiederverkäufer. Sämtliche Modellaufrufe laufen über Melious, ein europäisches Inferenz-Gateway, das für Vryne auf Rechenzentren in Deutschland beschränkt ist. Verwendet werden ausschließlich Modelle mit offenen Gewichten aus Familien wie Mistral, Llama (Meta), Qwen und Apertus (Swiss AI Initiative). Hersteller und Betreiber sind dabei zweierlei: Wer die Gewichte trainiert und veröffentlicht hat, ist nicht, wer rechnet — ein Modell von Meta läuft bei Vryne auf einem deutschen Server, ohne dass Meta an der Frage beteiligt ist.

Nein. Weder Vryne noch der Betreiber der Modelle trainiert mit euren Dokumenten, Fragen oder Antworten. Das steht so im Auftragsverarbeitungsvertrag; technisch bekommt die Modellschicht ohnehin nur die Textabschnitte, die eine einzelne Frage gerade braucht — nie die vollständige Wissensbasis.

Nein. Es kommt kein US-Hyperscaler zum Einsatz, auch nicht mit einer Region in Frankfurt. Gehostet wird bei Sliplane in Falkenstein, Deutschland; Anwendung, Datenbank, Dokumentenablage und Backups liegen dort. Damit stellt sich die Frage, ob der US CLOUD Act auf eure Inhalte durchgreift, für Vryne nicht.

Für eure Dokumente, Textabschnitte, Fragen und Antworten nicht — die Verarbeitung endet in Deutschland. Der einzige Baustein außerhalb der EU ist übergangsweise der Mailversand über Resend in den USA; er transportiert Anmeldelinks, Einladungen und Kaufbestätigungen, nie Inhalte aus eurer Wissensbasis. Für euer Verarbeitungsverzeichnis heißt das: Standardvertragsklauseln allenfalls für den Mailversand, nicht für die KI-Verarbeitung.

Nein. Self-Hosting ist eine Frage der Betriebsform, nicht der Souveränität — es verlagert nur die Verantwortung für Server, Updates, Modellbetrieb und Sicherung zu euch. Ein selbst gehostetes Werkzeug, das anschließend die API von OpenAI anspricht, ist weniger souverän als Vryne. Entscheidend ist, welches Recht gilt und wo gerechnet wird: deutsche Betreibergesellschaft, deutsche Rechenzentren, offene Modelle in Deutschland. Die Originaldateien bleiben dabei eure — sie sind jederzeit abrufbar.

Nein. Dokumente, Textabschnitte, Chats und Nachrichten hängen an eurer Organisation, und jede Suche filtert darauf. Die Trennung läuft über die Organisation, nicht über eine Regel, die man in der Anwendung vergessen könnte.

Die Frage und die Textabschnitte, die dafür aus euren Dokumenten geholt wurden — nicht die vollständigen Dateien und nicht eure übrige Wissensbasis. Was mitgeschickt wurde, steht als Quellenangabe an der Antwort.

Ja. Administratorinnen und Administratoren geben in der Verwaltung frei, welche Modelle in eurer Organisation zur Auswahl stehen. Was nicht freigegeben ist, taucht in der Anwendung gar nicht erst auf.

Es verschwindet mitsamt seiner Textabschnitte und der daraus berechneten Vektoren. Antworten stützen sich danach nicht mehr darauf — es bleibt kein Index zurück, der den Inhalt weiter kennt.

Nein. Gesetzt wird nur, was die Anmeldung und eure Datenschutz-Auswahl brauchen. Es gibt keine Werbe- oder Profiling-Cookies. Wir zählen Seitenaufrufe mit Fathom Analytics — ohne Cookie, ohne Kennung, über einen EU-Endpunkt — und widersprechen könnt ihr dem jederzeit über die Datenschutz-Einstellungen im Fußbereich.

Nein, und das sagen wir offen. Die Suche selbst läuft auf einer Instanz, die wir betreiben, aber sie ist eine Metasuchmaschine und reicht die Suchbegriffe an öffentliche Suchmaschinen weiter; ruft ein Modell danach eine Seite auf, sieht deren Betreiber den Zugriff. Übermittelt wird nur die Suchanfrage, nie ein Dokument aus eurer Wissensbasis — und ohne eingerichtete Suche wird das Werkzeug einem Modell gar nicht erst angeboten.

Es kommt darauf an, was man unter Souveränität versteht. Juristische — die völlige Freiheit von US-Gesetzen — gibt es bei einem US-Anbieter nicht, auch nicht in einem Rechenzentrum in Frankfurt. Technologisch und operativ lässt sich dagegen einiges erreichen: Wer konsequent verschlüsselt und die Schlüssel außerhalb der Cloud verwaltet, kann erzwingen, dass AWS am Ende nur Speicherplatz und Rechenleistung liefert und die Inhalte selbst nicht lesen kann. Das ist ein legitimer Weg — aber ein aufwendiger, der dauerhaft Architektur und Prüfung verlangt, und am anwendbaren Recht ändert er nichts. Wir haben den Weg gewählt, der die Frage gar nicht erst aufwirft: deutsche Betreibergesellschaft, deutsche Rechenzentren, deutsches Recht.

Der Hosting-Betreiber, das Modell-Gateway, der Zahlungsdienstleister CopeCart in Berlin, die cookielose Reichweitenmessung von Fathom und — übergangsweise — Resend für den Mailversand. Die Suchinstanz für die Websuche betreiben wir selbst auf derselben Infrastruktur. Alle Dienstleister stehen mit Sitz, Zweck und Verarbeitungsort bei den Unterauftragsverarbeitern, nachlesbar und nicht nur im Vertragsanhang.