Zum Hauptinhalt springen

Häufig gestellte Fragen

Schnelle, ausführliche Antworten auf die Fragen, die unsere Kunden, Datenschutzbeauftragten und Sicherheitsteams am häufigsten stellen. Deine Frage ist nicht dabei? Schreib uns an datenschutz@sally.io oder sieh dir die vollständige Dokumentation im Download-Center an.

Inhaltsverzeichnis​

DSGVO & Datenschutz-Grundlagen​

Gibt es ein datenschutzkonformes Transkriptionstool?​

Ja. Sally AI ist ein vollständig DSGVO-konformer KI-Meeting-Assistent für Transkription, Zusammenfassung und automatische Protokollierung von Meetings, entwickelt für Organisationen mit strengen europäischen Datenschutzanforderungen. Kurz gesagt:

  • Hosting in Deutschland bei Hetzner, keine personenbezogenen Daten verlassen die EU
  • Unabhängig nach ISO 27001, ISO 14001 und ISO 9001 zertifiziert
  • KI-Verarbeitung auf Sallys eigenem LLM, durchgehend in Deutschland betrieben, keine externen KI-Anbieter
  • Niemals für KI-Training verwendet, vertraglich und technisch garantiert
  • DSGVO-konformer AVV nach Art. 28 mit jedem Kunden

Egal ob du ein datenschutzkonformes Transkriptionstool, einen KI-Meeting-Assistenten oder ein automatisches KI-Notiztool suchst, das europäische Datenschutzstandards ohne Kompromisse erfüllt: Sally AI ist genau dafür gemacht.

Wie erreicht Sally AI die DSGVO-Konformität?​

Sally AI ist von Grund auf DSGVO-konform. Als Auftragsverarbeiter nach Art. 28 DSGVO schließen wir mit jedem Kunden einen AVV, verarbeiten Daten nur auf dokumentierte Weisung, unterstützen alle Betroffenenrechte und dokumentieren unsere technischen und organisatorischen Maßnahmen (TOMs) mit regelmäßigen internen und externen Audits.

Ist Sally AI Verantwortlicher oder Auftragsverarbeiter?​

Sally AI handelt als Auftragsverarbeiter (Art. 4 Abs. 8 DSGVO). Der Kunde ist Verantwortlicher (Art. 4 Abs. 7 DSGVO) und bestimmt Zwecke und Mittel der Verarbeitung. Die Rollenverteilung wird auf der Seite Sicherheit & Compliance im Detail erklärt.

Gibt es einen Auftragsverarbeitungsvertrag (AVV)?​

Ja. Ein DSGVO-konformer AVV nach Art. 28 DSGVO wird mit jedem Kunden abgeschlossen. Inhalte, Anhänge und Download findest du auf der AVV-Seite.

Datenarten & Verarbeitungsfluss​

Welche Daten verarbeitet Sally in einem Meeting?​

Je nach Konfiguration verarbeitet Sally Meeting-Audio, Meeting-Metadaten (Teilnehmer, Zeitpunkt, Titel) sowie die daraus erzeugten Transkripte und Zusammenfassungen. Ob Audio und/oder Video zusätzlich gespeichert werden, hängt von deiner Konfiguration ab. Eine vollständige Aufschlüsselung findest du unter So verarbeiten wir deine Daten, die Anleitung zu Video- und Audioaufzeichnungen zur Konfiguration der Speicherung und die Anleitung zur automatischen Löschung für die Steuerung der Aufbewahrung.

Welche Daten gehen in welchem Verarbeitungsschritt an welches System?​

In der regulären SaaS-Konfiguration erfolgt die Transkription innerhalb unserer eigenen Verarbeitungskette. Für die Zusammenfassung wird der Text anschließend an Sallys eigenes Sprachmodell übergeben, das ebenfalls in unserer eigenen Infrastruktur in Deutschland läuft. Speicherung und weitere Verarbeitung erfolgen ausschließlich in deutschen Rechenzentren bei Hetzner. Den vollständigen Ablauf findest du unter KI-Verarbeitung in Deutschland.

Welche Daten werden konkret an das Sprachmodell übermittelt?​

Übermittelt wird ausschließlich Text, niemals das originale Meeting-Audio oder -Video. Das Sprachmodell ist Sallys eigenes LLM, das auf derselben abgesicherten Infrastruktur in Deutschland läuft wie der Rest der Plattform, sodass die Daten unsere Systeme in keinem Schritt verlassen.

Wird mein Meeting aufgezeichnet oder nur transkribiert?​

Das hängt von der gewählten Konfiguration ab. Sally verarbeitet Meeting-Inhalte zur Transkription und Zusammenfassung; ob Audio und/oder Video darüber hinaus gespeichert werden, ist konfigurationsabhängig und wird von deinen Admins gesteuert. Du konfigurierst das in der Anleitung zu Video- und Audioaufzeichnungen und legst über die automatische Löschung fest, wie lange Aufzeichnungen gespeichert bleiben.

KI-Verarbeitung & Absicherung​

Wie ist die KI-Verarbeitung bei Sally abgesichert?​

Die KI-Inferenz läuft auf Sallys eigenem Sprachmodell, das durchgehend in unserer eigenen Infrastruktur in Deutschland betrieben wird. Gesprächsinhalte, Transkripte und Prompts bleiben in jedem Schritt innerhalb unserer Systeme. Die technischen und organisatorischen Maßnahmen aus Anlage 1 des AVV gelten für die gesamte Verarbeitungskette einschließlich der KI-Inferenz: AES-256-Verschlüsselung im Ruhezustand, TLS 1.3 in Transit, rollenbasierte Zugriffskontrolle, strikte Mandantentrennung, revisionssichere Protokollierung und Vertraulichkeitsverpflichtungen aller Mitarbeitenden mit Zugriff auf Kundendaten. Vollständiger Kontext unter KI-Verarbeitung in Deutschland.

Werden Geschäfts- oder Mandantengeheimnisse geschützt?​

Ja, durch dieselben Zugriffskontrollen, Verschlüsselung und Vertraulichkeitsverpflichtungen wie alle Kundeninhalte. Weil das LLM in unserer eigenen Infrastruktur läuft, erreichen Prompts und Antworten niemals einen Dritten. Zur Verschwiegenheitspflicht nach § 203 StGB (Berufsgeheimnisträger) siehe den Abschnitt Besondere Datenkategorien & Berufsgeheimnisse.

Kann ich stattdessen ein eigenes LLM einsetzen?​

Ja. Sally kann so konfiguriert werden, dass anstelle von Sallys Standard-LLM ein kundeneigenes Sprachmodell genutzt wird, beispielsweise wenn eure Organisation ein eigenes Modell betreibt. Sprich mit unserem Vertrieb über ein maßgeschneidertes Setup.

Aufbewahrung & Löschung​

Gibt es eine standardisierte Aufbewahrungsdauer?​

Nein. Die Speicherdauer für Transkripte und Zusammenfassungen wird vom Verantwortlichen in Sally konfiguriert. Aliru speichert keine Daten über die vom Kunden festgelegte Dauer hinaus. Siehe Aufbewahrung & Löschung.

Wie lange werden Audio-, Video-, Transkript-, Zusammenfassungs- und Metadaten gespeichert?​

Temporäre Rohdaten (z. B. Audio-Pipeline-Artefakte) werden nach Abschluss des Verarbeitungsvorgangs automatisch gelöscht, sofern keine ausdrückliche Speicherung konfiguriert ist. Für Transkripte, Zusammenfassungen und ggf. gespeicherte Audio-/Videodaten gilt die kundenseitig konfigurierte Speicherdauer. Die Speicherung aktivierst oder deaktivierst du in der Anleitung zu Video- und Audioaufzeichnungen, die Dauer selbst konfigurierst du unter automatische Löschung.

Was passiert mit meinen Daten, wenn ich sie aktiv aus Sally lösche?​

Aktive Löschanfragen werden sofort und endgültig umgesetzt. Inhalte sind danach in Sally nicht mehr verfügbar und können nicht wiederhergestellt werden.

Werden gelöschte Daten auch aus Backups entfernt?​

Ja. Die Löschung wird typischerweise in der Folgenacht in alle Backup-Systeme übernommen. Spätestens am Folgetag sind die gelöschten Inhalte auch in Backups vollständig entfernt.

Können verschiedene Datentypen getrennt gelöscht werden?​

Ja, eine getrennte Löschlogik ist grundsätzlich abbildbar, insbesondere für Transkripte, Zusammenfassungen sowie ggf. gespeicherte Audio- und Videodaten. Die konkrete Umsetzung richtet sich nach Konfiguration und Kundensetup. Löschregeln richtest du in der Anleitung zur automatischen Löschung ein.

Wie wird eine Löschung dokumentiert und kontrolliert?​

Löschvorgänge werden über Audit- und Systemprotokolle nachvollziehbar gemacht. Bei automatisierten Löschungen erfolgt die Kontrolle systemseitig, bei manuellen oder angeordneten Löschungen über eine nachgelagerte Prüfung gegen die hinterlegten Retention- und Löschmechanismen.

Erhalte ich nach einer Löschung eine Bestätigung?​

Eine automatische E-Mail-Bestätigung nach jeder einzelnen Löschung ist nicht standardmäßig vorgesehen. Die Durchführung einer Löschung kann nachvollzogen und bestätigt werden.

Hosting, Datenstandort & Architektur​

Wo werden die Daten verarbeitet und gespeichert?​

Gesprächsinhalte, Transkripte und Metadaten werden ausschließlich in deutschen Rechenzentren bei Hetzner verarbeitet und gespeichert. Eine Datenübermittlung außerhalb der EU findet nicht statt. Mehr dazu unter Hosting & Subunternehmen.

Was ist der Unterschied zwischen Deutschland-Hosting und On-Prem?​

  • Deutschland-Hosting: Verarbeitung und Speicherung ausschließlich in deutschen Rechenzentren bei Hetzner. Das ist der Standard für jeden Sally-Kunden.
  • On-Prem: Daten werden lokal in der Infrastruktur des Kunden gespeichert und verarbeitet.

Kann Sally vollständig On-Premises betrieben werden?​

Sally unterstützt die Speicherung in einer kundeneigenen MS-SQL-Datenbank in der eigenen Infrastruktur; die Inhalte verlassen die Kundenumgebung nicht. Für Architektur, Voraussetzungen und Setup-Prozess kontaktiere bitte unser Vertriebsteam.

Hat Hetzner Zugriff auf unsere Daten?​

Nein. Hetzner stellt die physische Infrastruktur bereit (Rechenzentren in Falkenstein, Deutschland). Die Schlüssel für die Verschlüsselung im Ruhezustand werden ausschließlich von Aliru erzeugt und verwahrt und niemals an den Infrastrukturanbieter weitergegeben. Hetzner hat weder Zugriff auf die Schlüssel noch auf entschlüsselte Daten im Ruhezustand. Details auf der Seite Verschlüsselung & Schlüsselverwaltung.

Kann ich mein eigenes LLM anstelle von Sallys Standard-LLM einbinden?​

Ja. Sally kann so konfiguriert werden, dass ausschließlich kundeneigene LLMs verwendet werden, z. B. wenn deine Organisation eigene Sprachmodelle betreibt. Welche Modelle unterstützt werden, klären wir individuell.

Identität, Authentifizierung & Zugriff​

Welche SSO-Protokolle unterstützt Sally?​

SSO wird über OIDC (OpenID Connect) umgesetzt. Zusätzlich wird SCIM für die Nutzerverwaltung und Provisionierung angeboten. Siehe die Anleitungen zur SSO-Anmeldung und zur SCIM-Integration.

Unterstützt Sally Multi-Faktor-Authentifizierung (MFA)?​

Ja. Für administrative und privilegierte Zugriffe wird MFA verbindlich eingesetzt; auch für Benutzerkonten ist MFA verfügbar. Der konkrete Umfang richtet sich nach Rolle und Konfiguration. Siehe die Anleitung zur Multi-Faktor-Authentifizierung.

Welche Passwort- und Zugriffssicherungen bestehen?​

Es gelten systemseitige Passwortanforderungen: Mindestlänge (8 Zeichen), Komplexitätsvorgaben (mind. 3 von 4 Kriterien), Sperrung nach Fehlanmeldungen und automatischer Logout. Ein rein zeitbasierter, regelmäßiger Passwortwechsel ist nicht als allgemeiner Standard umgesetzt, im Einklang mit aktuellen Best Practices.

Wie sind Administratorzugriffe abgesichert?​

Administrative Zugriffe sind durch VPN, MFA, rollenbasierte Berechtigungen, zentral verwaltete Endgeräte (Microsoft Intune), Conditional Access sowie Logging und Monitoring abgesichert. Ein dedizierter Jump-/Bastion-Host und ein separates Administrationsnetz werden bis Oktober 2026 umgesetzt (gemäß BSI C5:2026).

Werden administrative Aktivitäten protokolliert?​

Ja. Administrative Zugriffe, Berechtigungsänderungen und sicherheitsrelevante Konfigurationsänderungen werden nachvollziehbar in Microsoft Entra ID, Microsoft 365 Audit Logs und plattformspezifischen Ereignisprotokollen protokolliert.

Patch- & Change-Management​

Gibt es dokumentierte Patch- und Change-Management-Prozesse?​

Ja. Für produktive Änderungen und Sicherheitsupdates bestehen dokumentierte Change- und Patch-Prozesse mit Freigabe im Vier-Augen-Prinzip, Test vor Produktivsetzung, Nachvollziehbarkeit und definierten Prioritäten. Kritische Sicherheitsupdates werden unverzüglich eingespielt.

Sprechererkennung & Biometrie​

Wie funktionieren Sprechererkennung und Sprecherzuordnung?​

Es findet kein Voice-Profiling und keine biometrische Identifikation statt. Die Zuordnung erfolgt im Meeting über die angezeigten Teilnehmernamen. Bei Konferenzraum- oder Sammelmikrofonen können Sprecher nachträglich im Frontend zugeordnet werden, als reine Usability-Funktion, nicht als biometrische Identifikation.

Besondere Datenkategorien & Berufsgeheimnisse​

Darf ich Sally für Gesundheitsdaten oder andere besondere Datenkategorien nach Art. 9 DSGVO nutzen?​

Sally ist technisch und vertraglich für die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO geeignet (Deutschland-Hosting, AES-256-Verschlüsselung, Sallys eigenes LLM durchgehend in Deutschland betrieben ohne externe KI-Anbieter, AVV, kein KI-Training). Je nach Schutzbedarf kann statt der Standard-SaaS-Konfiguration ein individuelleres Setup sinnvoll sein. Die Sicherstellung der Rechtsgrundlage, der DSFA und der Informationspflichten liegt beim Verantwortlichen. Eine eigene Seite führt durch die passende Rechtsgrundlage, die TOMs für den erhöhten Schutzbedarf und die passende Konfiguration: Sensitive Daten nach Art. 9 DSGVO.

Kann Sally in HR-Gesprächen oder in der Beratung eingesetzt werden?​

Ja, wenn der Verantwortliche die passende Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO gesichert hat (üblicherweise die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a). Für solche Meeting-Typen empfehlen wir kurze Speicherfristen, Video wo möglich zu deaktivieren und den Zugriff auf autorisierte HR- oder Rechts-Personen zu beschränken. Die vollständige Checkliste steht auf der Sensitive-Daten-Seite.

Kann Sally AI für Berufsgeheimnisträger nach § 203 StGB eingesetzt werden?​

Ja. Der Sally-AVV enthält in § 16 eine eigene Regelung zur Verschwiegenheitspflicht nach § 203 StGB, die durch Bestätigung des Auftraggebers in Textform aktiviert wird. Sie verpflichtet Aliru und alle Beschäftigten ausdrücklich zur Wahrung der Berufsgeheimnisse.

Können politische Meinungen oder sensible Stakeholder-Aussagen über Sally verarbeitet werden?​

Ja, sofern eine geeignete Rechtsgrundlage vorliegt (typischerweise die ausdrückliche Einwilligung aller Teilnehmer nach Art. 9 Abs. 2 lit. a DSGVO) und ein AVV abgeschlossen ist. Für Meetings mit besonders schützenswerten Inhalten empfehlen wir die Opt-in-Einwilligungsfunktion mit vorheriger E-Mail-Information aller Teilnehmer.

Einwilligung, Opt-out & Teilnehmer​

Wie funktioniert die Einwilligung der Meeting-Teilnehmer im Detail?​

Sally bietet zwei Modelle: einen Opt-out-Befehl im Meeting-Chat oder eine vorgeschaltete Opt-in-Einwilligung per E-Mail-Datenschutzhinweis vor dem Meeting. Bei aktiviertem Opt-in nimmt Sally nur teil, wenn die zustimmungspflichtigen Teilnehmer ihre Einwilligung erteilt haben. Siehe die Anleitungen zum Datenschutzhinweis im Meeting und zum E-Mail-Datenschutzhinweis.

Wie funktioniert das Opt-out?​

Teilnehmende können der Verarbeitung jederzeit widersprechen, indem sie im Meeting-Chat den Befehl opt out eingeben. Daraufhin werden alle bis dahin von Sally erfassten Meeting-Daten (Audio, Video, Transkript, Metadaten) umgehend gelöscht und Sally verlässt das Meeting. Der Vorgang wird systemseitig protokolliert.

Was passiert, wenn ich Sally versehentlich an einem Meeting teilnehmen lasse?​

Falls Sally an einem Meeting teilnimmt, bei dem keine Aufzeichnung gewünscht ist, kann jederzeit per Chat-Befehl opt out die sofortige Beendigung und Löschung der erfassten Daten ausgelöst werden.

Wie funktioniert das Opt-out bei Präsenzaufnahmen oder hochgeladenen Dateien?​

Bei Präsenzaufnahmen über die Sally-App und bei hochgeladenen Audio- oder Videodateien stehen der Chat-Hinweis und das opt out per Chat nicht zur Verfügung. In diesen Fällen informiert die aufnehmende Person alle Teilnehmenden vor der Aufnahme, sichert die passende Rechtsgrundlage ab und beachtet Widersprüche unverzüglich. Die vollständige Checkliste findest du auf der Seite Präsenzaufnahmen & Uploads.

Kann ich mit Sally Präsenzmeetings über die Sally-App aufnehmen?​

Ja. Die Sally-App erfasst Präsenzgespräche lokal, überträgt sie per TLS 1.3 verschlüsselt und speichert sie AES-256-verschlüsselt in deutschen Rechenzentren. Weil es keinen Meeting-Chat gibt, in dem der Transparenzhinweis geposted werden könnte, informierst du als Verantwortlicher die Teilnehmenden vorab und dokumentierst die Einwilligung.

Was muss ich prüfen, bevor ich eine bestehende Audio- oder Videodatei zu Sally hochlade?​

Vergewisser dich, dass alle in der Aufnahme Beteiligten damals über die Aufnahme informiert waren und dass keine vertraglichen oder gesetzlichen Beschränkungen der Weiterverarbeitung entgegenstehen. Die Verantwortung für die Rechtsgrundlage bleibt beim Kunden, sowohl für die Ursprungsaufnahme als auch für die weitere Nutzung in Sally.

Reicht eine pauschale Einwilligung oder muss sie pro Meeting erneut eingeholt werden?​

Eine Einwilligung muss zweckspezifisch sein. Ändert sich der Zweck oder die Art des Meetings wesentlich, ist eine erneute Einwilligung erforderlich. Die Bewertung der Zweckbindung liegt beim Verantwortlichen. Siehe auch Für Meeting-Teilnehmer.

KI-Nutzung​

Werden meine Inhalte zum Training von KI-Modellen verwendet?​

Nein. Kundendaten werden niemals zum Training oder zur Verbesserung von KI-Modellen verwendet. Dies ist vertraglich (AVV § 12) und technisch garantiert. Wie die KI-Verarbeitung abgesichert ist, erklären wir unter KI-Verarbeitung in Deutschland und auf der Seite zum EU AI Act.

Externe KI-Tools über MCP​

Fällt MCP (Verbindung von Sally zu Claude, ChatGPT usw.) unter Sallys DSGVO-Garantien?​

Nur bis zu dem Punkt, an dem die Daten Sally verlassen. Wenn deine Organisation den Sally MCP Connector aktiviert, können Nutzer des verbundenen Tools (Claude, ChatGPT, Cursor, GitHub Copilot, ...) Sally-Inhalte direkt aus dem KI-Client abfragen. Sobald die Daten über MCP übermittelt wurden, liegt die Verarbeitung (inklusive Aufbewahrung, Modell-Training und weiterer Übermittlungen) beim verbundenen KI-Tool, nicht bei Sally. Sally wendet auf MCP-Datenflüsse keine Maskierung oder Pseudonymisierung an, und Sally kann nicht kontrollieren, was das externe Tool mit den Daten macht.

An wen wende ich mich zu Datenschutzfragen des externen KI-Tools?​

Datenschutzfragen zum verbundenen Tool bitte direkt an den jeweiligen Anbieter richten: Anthropic für Claude, OpenAI für ChatGPT, entsprechend für andere MCP-Clients. Sally beantwortet Fragen zum Datenkanal selbst, kann aber keine Aussagen dazu treffen, wie das externe Tool die Daten anschließend verarbeitet.

Wie schalten wir MCP wieder ab?​

Admins können MCP für einzelne Nutzer jederzeit über Integrationen für Nutzer verwalten aktivieren oder deaktivieren. Wird Sally MCP ausgeschaltet, entfällt für den Nutzer sofort der MCP-Zugriff; es fließen keine Daten mehr an externe KI-Tools, bis MCP erneut aktiviert wird.

Subunternehmer & Audits​

Welche Subunternehmer setzt Sally ein?​

Meeting-Daten werden ausschließlich von Hetzner (Hosting), DeepL (Übersetzungen) und Strato (Infrastruktur) verarbeitet, alle in Deutschland. Stripe (Irland) wird ausschließlich zur Zahlungsabwicklung eingesetzt und hat keinen Zugriff auf Meeting-Inhalte, Transkripte oder Metadaten. Die vollständige Liste mit Verarbeitungszweck und Hosting-Standort findest du in Anlage 3 des AVV und in der Subprozessorenliste im Download-Center.

Kann ich der Nutzung bestimmter Subunternehmer widersprechen?​

Ja. Nach AVV § 6 wird jeder neue Subunternehmer rechtzeitig angekündigt; der Auftraggeber kann Einwände erheben. Bei begründeten Einwänden suchen wir gemeinsam eine Lösung.

Können Kunden Audits oder Nachweise anfordern?​

Ja. Nach AVV § 4 hat der Auftraggeber ein Audit- und Inspektionsrecht nach vorheriger Ankündigung (14 Tage). Aliru unterstützt das Audit mit allen erforderlichen Informationen und Nachweisen. Standard-Nachweise (AVV, TOMs, DSFA, Subprozessorenliste, KI-Konformitätserklärung, ISO-Zertifikat) sind im Download-Center verfügbar.

Zertifizierungen & Nachweise​

Welche Zertifizierungen und Auditberichte stehen aktuell zur Verfügung?​

Sally AI ist unabhängig nach ISO 9001:2015, ISO 14001:2015 und ISO 27001:2022 zertifiziert (ausgestellt durch DICIS), geführt als ein integriertes Managementsystem. Unsere Sicherheitskontrollen orientieren sich zudem an SOC-2-Grundsätzen. Zusätzlich sind wir DORA-konform. Das ISO-Zertifikat kannst du auf der ISO-Zertifizierungen-Seite verifizieren und herunterladen, alle Compliance-Dokumente findest du im Download-Center.

Welche Sicherheitsmaßnahmen setzt Sally um?​

Unsere technischen und organisatorischen Maßnahmen (TOMs) umfassen AES-256-Verschlüsselung im Ruhezustand und TLS 1.3 bei der Übertragung, rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung, vollständige Audit-Logs, kontinuierliches Monitoring, DDoS-Schutz und Hosting in ISO-27001-zertifizierten Rechenzentren. Die vollständige Liste findest du unter Sicherheit & Compliance und im TOMs-Dokument.

Wie werde ich im Falle einer Datenpanne informiert?​

Wir informieren Kunden innerhalb von 24 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, einschließlich Art, Umfang, betroffener Daten und getroffener Maßnahmen. Siehe Incident Response & Pentests.

Verfügbarkeit, Backups & Wiederherstellung​

Wie oft macht Sally Backups und wo liegen sie?​

Mindestens ein tägliches Voll-Backup der Produktivdatenbank, ergänzt um ein fortlaufendes Transaktionslog-Archiv, das eine Wiederherstellung auf nahezu jeden Zeitpunkt erlaubt. Backups liegen auf einer räumlich getrennten Storage-Instanz in Deutschland und sind mit AES-256 verschlüsselt. Die Schlüssel bleiben bei Aliru. Details auf der Seite Verfügbarkeit & Wiederherstellung.

Wie schnell könnt ihr nach einem Vorfall wiederherstellen?​

Wiederherstellungsziele hängen vom Service Level ab; die Mechanik bleibt gleich: log-basierte Point-in-Time-Recovery aus verschlüsselten Backups in Deutschland, ein Datenbank-Cluster mit automatischem Failover für die Primary-DB und ein lastverteilter, zustandsloser Anwendungs-Tier mit unterbrechungsfreiem rollierendem Deployment. Restore-Verfahren werden mindestens jährlich getestet.

Welche Zielverfügbarkeit sagt Sally zu?​

Für Kunden mit DORA-Nachtrag setzt das SLA eine Zielverfügbarkeit von mindestens 99 Prozent je Kalendervierteljahr fest, mit Reaktionszeiten von 4 Stunden bei Totalausfall (P1), 12 Stunden bei schweren Funktionseinschränkungen (P2) und einem Werktag bei geringfügigen Einschränkungen (P3). DORA-Nachtrag und SLA-Anlage bekommst du über den Vertrieb.

Branchenspezifisch​

Ist Sally für die Nutzung im Finanzsektor (DORA) geeignet?​

Ja. Für Kunden, die der Verordnung (EU) 2022/2554 (DORA) unterliegen, bieten wir einen DORA-Nachtrag zum Hauptvertrag plus eine SLA-Anlage mit Zielverfügbarkeit (mindestens 99 Prozent je Quartal), Reaktionszeiten (P1 4 Stunden, P2 12 Stunden, P3 1 Werktag), Wartungsfenstern (Samstagnacht, maximal 5 Stunden pro Kalendermonat), unverzüglicher Einspielung kritischer Sicherheitsupdates und einer Erstmeldung an Kunden innerhalb einer Stunde bei P1. Beide Dokumente sind unterschriftsreif und auf Anfrage über den Vertrieb erhältlich.

Können Banken, Versicherungen oder andere regulierte Branchen Sally einsetzen?​

Ja. Wir kombinieren DORA-Nachtrag, vertraglich zugesicherte SLAs, Audit-Rechte nach AVV § 4 und eine 24-Stunden-Vorfallsmeldung.

Betriebliche Nutzung & Arbeitnehmer​

Brauche ich für den Einsatz von Sally eine Betriebsvereinbarung?​

Bei Unternehmen mit Betriebsrat ist eine Betriebsvereinbarung üblich, da Sally die Verarbeitung personenbezogener Daten von Mitarbeitenden im Meeting-Kontext betrifft. Aliru stellt eine Muster-Betriebsvereinbarung als Word-Dokument zur Verfügung, die du frei bearbeiten und anpassen kannst und die alle relevanten Punkte (Zweck, Datenarten, Opt-out, Speicherfristen, Rechte) abdeckt.

Wie verhält sich Sally zur Leistungs- und Verhaltenskontrolle von Mitarbeitern?​

Sally ist ausdrücklich nicht für Leistungs- oder Verhaltenskontrolle bestimmt und entsprechend in der Muster-Betriebsvereinbarung ausgeschlossen. Eine Analyse von Gesichtern, Verhalten oder individueller Leistung findet nicht statt.

Kontakt & Dokumente​

Wer ist der Ansprechpartner für den Datenschutz?​

Datenschutzbeauftragter: Norton Engele, 📧 datenschutz@sally.io

Welche Dokumente sind verfügbar?​

Im Download-Center findest du:

  • Auftragsverarbeitungsvertrag (AVV)
  • Technische und organisatorische Maßnahmen (TOMs)
  • Verzeichnis von Verarbeitungstätigkeiten (VVT)
  • Eingesetzte Subunternehmen
  • Datenschutz-Folgenabschätzung (DSFA)
  • KI-Konformitätserklärung (EU AI Act)
  • ISO-Zertifikat (9001, 14001, 27001)
  • Bericht zur DSGVO-Konformität