Kurzfassung: Ihre Aufzeichnungen bleiben in Frankfurt, Ihre API-Anfragen werden in Frankfurt verarbeitet, und jeder KI-Aufruf — Richtlinienprüfung, Assistent, Sprache, Dokumentlesen — läuft über den EU-Regionalendpunkt von Mistral AI. Die Geräteschicht verlässt Ihr Gerät nie. Unten die genaue Karte, inklusive der zwei Dinge, die noch über den Atlantik gehen: optionale SMS und einwilligungspflichtige Website-Analytik.
Jede Zeile nennt Anbieter, Region und was wir geprüft haben. Gelb markierte Zeilen sind die ehrlichen Ausnahmen.
Audit-Kette, Freigaben, Agentenregister, Konversationen. Verschlüsselt im Ruhezustand; der Signaturschlüssel der Audit-Kette liegt in der API-Umgebung, nie in der Datenbank. Geprüft über die Supabase-Projekteinstellungen.
Jede /api/*-Anfrage — Freigaben, Audit-Einträge, Exporte, Sprach-Turns — wird in Frankfurt ausgeführt. Vor dem 14. Oktober 2026 liefen die Funktionen in Vercels US-Standardregion; das haben wir behoben und prüfen es bei jedem Deploy (x-vercel-id muss fra1 zeigen).
HTML, Skripte und Bilder kommen aus Vercels globalem Edge-Netz. Keine Kundendaten passieren den Edge; er terminiert TLS und leitet API-Aufrufe nach Frankfurt weiter.
Richtlinienprüfung (Moderation), der VINCHY-Assistent, Sprache (Voxtral Speech-to-Text und Text-to-Speech) und Dokumentlesen (OCR) rufen Mistrals EU-Regionalendpunkt auf, für den Mistral Infrastruktur in EU- und EFTA-Ländern zusichert. Mistrals Cloud-Unterauftragsverarbeiter für diese Region laut Trust Center: Microsoft Azure (Schweden, Norwegen), Google Cloud (Niederlande, Belgien), Mistral Compute (Frankreich), CoreWeave (EWR). Mistral handelt als Auftragsverarbeiter nach seinem Data Processing Addendum mit aktivierter Zero Data Retention für unsere Organisation auf allen fünf genutzten Endpunkten (Chat, Moderation, OCR, Speech-to-Text, Text-to-Speech) — von Mistral AI am 15. Oktober 2026 schriftlich bestätigt; Anfrage- und Antwortinhalte werden nach Abschluss der Anfrage nicht gespeichert.
Richtlinien-Gate und Nachweis-Ledger für angebundene KI-Apps laufen als lokaler Dienst auf Ihrem Gerät. Signierte Checkpoints werden in Ihrer Frankfurter Audit-Kette verankert; roher Tool-Verkehr verlässt das Gerät nie.
Freigabe-Benachrichtigungen, Einladungen und Bestätigungslinks werden über Resend aus dessen EU-Region (Irland, eu-west-1) zugestellt; die Sendedomain vinchy.ai ist dort verifiziert. Resend ist ein Unternehmen mit Sitz in den USA und bleibt deshalb in unserer Liste der Unterauftragsverarbeiter und im AVV; die E-Mail-Inhalte selbst werden in der EU verarbeitet.
Nur wenn Sie SMS-Erinnerungen für einen Empfänger aktivieren, der per Double-Opt-in bestätigt hat. Telefonnummer und Nachrichtentext werden von Twilio verarbeitet.
Nur öffentliche Marketingseiten, geladen ausschließlich nach Klick auf „Akzeptieren“. Die Anwendung selbst (vinchy.ai/app) enthält keine Analytik.
Modelle mit Ihren Daten trainieren. Datensätze zur Verarbeitung aus der EU bewegen. Ihre API-Schlüssel im Klartext aufbewahren. Den Browser direkt mit einem KI-Drittanbieter sprechen lassen — jeder KI-Aufruf geht über unsere Frankfurter Funktionen.
Öffnen Sie eine beliebige vinchy.ai-Seite und lesen Sie den Antwort-Header x-vercel-id: Er nennt die Region, die die Anfrage bearbeitet hat. Exportieren Sie Ihre Audit-Kette — jeder Eintrag ist Ed25519-signiert und offline prüfbar; die öffentlichen Schlüssel reisen in jedem Export mit (signing_keys) und werden in der Audit-Ansicht der App angezeigt. Unsere Liste der Unterauftragsverarbeiter mit Standorten und Übermittlungsgrundlagen ist öffentlich und datiert; den AVV, der darauf verweist, erhalten Sie vom Team unter hello@vinchy.ai.
In Frankfurt am Main: Supabase in der AWS-Region eu-central-1. API-Anfragen werden in Frankfurt verarbeitet (Vercel fra1). KI-Inferenz läuft über den EU-Regionalendpunkt von Mistral AI in Rechenzentren in EU/EFTA.
Datensätze, API-Verarbeitung, KI-Inferenz und Transaktions-E-Mail nicht. Zwei Dinge schon, und wir listen sie oben: optionale SMS (Twilio) und einwilligungspflichtige Analytik auf der öffentlichen Website (Google Analytics). Kontometadaten bei Mistral (API-Schlüssel, Abrechnung) verarbeitet Mistrals Control Plane, die Mistral nicht regional betreibt.
Mistral AI ist ein französisches Unternehmen mit Sitz in Paris. Sein EU-Regionalendpunkt sichert Inferenz auf EU/EFTA-Infrastruktur zu; die Cloud-Kapazität in dieser Region stellen Microsoft Azure (Schweden, Norwegen), Google Cloud (Niederlande, Belgien), Mistral Compute (Frankreich) und CoreWeave (EWR) — teils US-Konzerne mit EU-Rechenzentren. Wir nennen sie, weil Sie fragen würden.
VINCHY trainiert nie Modelle mit Kundendaten. Mistral verarbeitet Anfragen als Auftragsverarbeiter nach seinem Data Processing Addendum; Zero Data Retention ist für unsere Organisation auf dem EU-Endpunkt aktiviert (von Mistral AI am 15. Oktober 2026 bestätigt), und Pay-as-you-go-API-Daten sind nach Mistrals Commercial Terms und Data Processing Addendum vom Training ausgeschlossen.
Der Datenstandort ist ein Baustein der Betreiberpflichten aus Artikel 26 (menschliche Aufsicht, Protokollierung, Dokumentation) — siehe unsere Artikel-26-Seite. Der Digital Omnibus (Verordnung (EU) 2026/1744) hat die Hochrisiko-Pflichten auf den 2. Dezember 2027 verschoben; die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026.
Ja. Unser Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) nutzt die öffentliche Liste der Unterauftragsverarbeiter als Anlage; fordern Sie ihn unter hello@vinchy.ai an. Vertragspartner ist die SIGOO GmbH, der Rechtsträger hinter DreamSoft AI Studio (siehe Impressum).
Menschliche Freigabe vor riskanten Aktionen, eine signierte Audit-Kette in Frankfurt, KI-Inferenz in der EU — und eine Seite, die Ihnen sagt, wo die Ausnahmen sind.
Kostenlos starten