Datenverarbeitung ausschließlich in Europa

Alle Daten werden ausschließlich in Europa verarbeitet, einschließlich sämtlicher KI-Funktionen. Gedacht für kleine Unternehmen, Freiberufler und Gründerinnen und Gründer.

Wo das hingehört

Diese Funktion gehört zum Bereich Plattform & Sicherheit — Fin3000. Dort steht, wie sie mit den übrigen Funktionen zusammenspielt.

Wer Rechnungen, Kontoauszüge und Kundendaten in eine Cloud gibt, gibt sie einer Kette von Dienstleistern. Wo diese Kette endet, ist bei Buchhaltungsdaten keine akademische Frage — besonders dort, wo eine KI-Belegerkennung im Spiel ist, denn dort verlässt der Inhalt eines Belegs die eigene Anwendung. Fin3000 führt diese Kette deshalb versioniert im Code mit.

Schritt für Schritt

1. Anwendung, Datenbank und Hintergrundverarbeitung laufen bei der Hetzner Online GmbH; Dateien liegen im S3-Objektspeicher desselben Anbieters.
2. Die Belegerkennung beginnt lokal: Text wird mit PyMuPDF und pdf2image aus dem Dokument geholt, der Virenscanner läuft als Dienst im selben Netz.
3. Reicht das nicht, geht der Beleg an Mistral in Frankreich — den einzigen Anbieter, der für Belegerkennung und Anreicherung eingesetzt wird.
4. Bankanbindungen laufen über die finAPI GmbH in München, E-Mail über einen selbst betriebenen Mailserver.
5. Jede Änderung an Hosting, Region, Mail oder Belegerkennung muss im versionierten Manifest im Backend nachgezogen werden.

Das Manifest heißt SystemComplianceManifest und nennt drei externe Verarbeiter: die Hetzner Online GmbH für Hosting und Speicher, Mistral AI für die Dokumentanalyse und die finAPI GmbH für Bankanbindungen. Es ist nicht Prosa auf einer Website, sondern Teil der Verfahrensdokumentation, die Fin3000 je Business Unit erzeugt: Wer ein solches Dokument freigibt, friert diese Angaben mit ein, und ein täglicher Abgleich meldet, wenn der freigegebene Stand von der Wirklichkeit abweicht.

Bewusst nicht im Verzeichnis stehen Schriftarten, Karten oder Skripte von Fremdservern — die Anwendung liefert alles selbst aus. Die Reichweitenmessung läuft über eine selbst betriebene Umami-Installation, der Mailserver ist eine eigene Mailu-Instanz, und Push-Nachrichten für die mobile App bleiben abgeschaltet, solange dafür keine Zugangsdaten hinterlegt sind.

Was die Funktion nicht tut

Das Manifest behauptet weniger, als eine Werbeseite behaupten würde, und das mit Absicht. Als Region ist EU hinterlegt; welches Rechenzentrum es konkret ist, gehört in den Betriebsnachweis des Deployments und nicht in die Anwendung. Ebenso wird keine eigene Zertifizierung der Verschlüsselung ruhender Daten behauptet und ausdrücklich kein WORM- oder Object-Lock-Status: Genannt wird nur, was Fin3000 selbst tut — eindeutige Objektschlüssel, kein Überschreiben, SHA-256-Rücklesen. Für die Kontovorschläge lässt sich ein Ausweichmodell konfigurieren; es greift nur, wenn dafür ein Zugang hinterlegt wurde, und wäre dann ein zusätzlicher Verarbeiter. Und was jemand selbst aus Fin3000 heraus verschickt, verlässt naturgemäß dessen Grenze.