Executive Summary
PeakPrivacy KI‑Lösung speziell für Schweizer Unternehmen und NGOs, die den strengsten Datenschutzanforderungen entspricht.
Modellportfolio Mehrere LLM‑Modelle verfügbar, gruppiert nach Sicherheits‑Tier.
Tier 3 EU-basierte Server unterliegen EU‑Datenschutz‑ und KI‑Gesetzgebung (Gold‑Standard) und sind ebenfalls SOC 2, ISO 9001, ISO 27001 zertifiziert.
Tier 4 + 5 US‑basierte Server für weniger risikobehaftete Anwendungsfälle; von den Anbietern betrieben und unterliegen US‑Recht.
Pseudonymisierung durch Microsoft Presidio möglich. Presidio ist ein Open-Source-Framework zur Erkennung, Entfernung, Maskierung und Pseudonymisierung personenbezogener Daten (PII) in Texten, Bildern und strukturierten Daten, welches auch über unsere Schweizer Server läuft.
Gut zu wissen: Das GPT-Swiss Angebot wurde konzipiert für den höchsten Grad an Datensicherheit.
Einführung
PeakPrivacy haben wir speziell für Schweizer Unternehmen und NGOs entwickelt, um den strengsten Datenschutzanforderungen gerecht zu werden. Wir bieten dir eine vertrauensvolle KI-Lösung, mit der du teamübergreifend produktiv arbeiten kannst, ohne Abstriche beim Datenschutz machen zu müssen.
LLM-Modell Auswahl nach Sicherheitsstufen. Wir bieten verschiedene Modelle an, die man auf unserer Plattform nutzen kann. Die unterscheiden sich stark bezüglich ihrer Sicherheitsmerkmalen. Hier sieht man eine Auflistung.
Wichtig, um dieses Factsheet zu verstehen, ist, dass wir unsere Open-Source-Modelle alle auf unseren Schweizer und Europäischen Servern laufen lassen. Die Server in der Schweiz betreiben wir selber und haben somit Kontrolle darüber, wie sie betrieben werden, was den höchsten Sicherheitsanforderungen entspricht. Die Server in Europa unterliegen europäischen Datenschutz- und KI-Recht, welches als Gold Standard in der Gesetzgebung gilt und somit hat man diesbezüglich ebenfalls einen hohen Standard an Datenschutz und Sicherheit. Die Closed-Source-Modelle, die auf US Servern laufen, unterliegen dem US-Recht, welches deutlich lascher ist und von der jeweiligen Anbieterfirma betrieben wird. Diese Modelle bieten wir auf der Plattform an, da man nicht für jede Aufgabe hohe Datenschutzanforderungen hat und das Thema der Schatten-KI so besser angehen kann. Wir haben jedoch gute Erfahrungen damit gemacht, dass wir alle anbieten und die Nutzer somit auf der Plattform haben, damit sie ohne Problem zu einem sicheren Modell wechseln können, wenn es um sensible Daten geht.
In dem Abschnitt “Allgemein” zeigen wir auf was allgemein gemacht wird über alle Modelle hinweg und im Teil “Schweizer Modelle” steht wie wir den höchsten Grad an Datenschutz sicherstellen für die Modelle, die über unsere eigenen Server in der Schweiz laufen.
Begrifflichkeiten
Pseudonymisierung ist der Vorgang, bei dem persönliche Daten durch ein nicht identifizierbares Pseudonym ersetzt werden, sodass sie ohne einen separaten Schlüssel nicht eindeutig einer Person zurückgeführt werden können.
Die Tier-Standards sind eine Auswahl an Infrastruktur‑ und Betriebskriterien, die in der Branche für ihre Strenge und Vollständigkeit einzigartig und bekannt sind.
Allgemein
Vertragsrahmen
Datenverarbeitungsvereinbarung gemäss Schweizer Datenschutzgesetz und dem EU DSGVO
Standardvertragsklauseln und Transfer Impact Assessments bei Auslandszugriffen
Prozess
Fokus auf ausgeprägten Wissenstransfer zu den User über Workshops, Help Center, Live Chat und viel 1:1 Support, um AI literacy aufzubauen
Begleitung der Kunden durch den ganzen Change Management Cycle, um sicherzustellen, dass die Organisation AI ready ist
Plattform
Immer auf dem neuesten technologischen Stand
Nachvollziehbarkeit der Outputs durch Quellenangaben möglich
Pseudonymisierung, um sensible Informationen vor einer Übermittlung zu entfernen.
Minimierung der Inhalte, die an Drittanbieter gesendet werden, auf das Nötigste.
Standardeinstellungen bevorzugen die Nutzung der in der Schweiz gehosteten Modelle (Privacy by Default).
Klare Opt-In-Funktion, sodass der Kunde bewusst die Nutzung von US Closed-Source Modellen aktiviert, und Möglichkeit des jederzeitigen Opt-Out
Rollen-/Rechtekonzepte
User/Gruppenrechte können von den Moderatoren gezielt angepasst werden
Privatsphäre Einstellung sind auch auf Konstruktor/Prompt/Datenbank-Ebene möglich
Modellauswahl kann auf Firmen-, Gruppen-, und User-Ebene definiert werden
Mehr Informationen dazu findet man im Help Center
Schweizer Modelle
Daten
Datenspeicherung
Wir speichern keine Daten Wir pseudonymisieren die Daten mit Presidio, betreiben aber auch unsere eigenen LLM-Server ohne Cloud-Dienste. So können wir sicherstellen, dass keine Daten für das Training verwendet werden.
Datenübermittlung
TLS 1.2/1.3
Encryption
Alle Datenübertragungen sind verschlüsselt.
In transit
TLS 1.2/1.3 mit forward-securen Cipher-Suites (AES-GCM, ChaCha20-Poly1305).
PFS: aktiviert
At rest
Backups: Täglich via SSH in Schweizer Offsite-Storage; heute im Ruhezustand unverschlüsselt.
Server
Allgemein
Server wurden mit der Zürcher Firma Nine konzipiert und gebaut
Das Swisscom Rechenzentrum gilt als eines der modernsten und sichersten Rechenzentren Europas und ist vorbildlich in puncto Sicherheit, Verfügbarkeit und Effizienz.
In der Schweiz ist eines von nur zwei Tier 4 Rechenzentren und ist somit das sicherste was es auf dem Markt gibt.
Perimeter / Network
Firewall: UFW aktiv
DDoS-Schutz: Provider-seitige Absicherung inkl. RTBH-Verfahren (auffälliger Traffic wird am Netzrand verworfen).
Netzsegmentierung: Betrieb im isolierten Kunden-VLAN/Subnetz des Providers.
System Hardening & Patching
Hardening-Basis: Massnahmen decken Annex-Kontrollen der ISO 27001:2022 ab (auf DC-/Provider-Ebene zertifiziert).
Patching: Quartalsweise; unattended-upgrades aktiv; Rollout koordiniert durch Sysadmin/Dev-Team.
Secrets / Config
env-Dateien, Zugriff: Sysadmin & Lead-Dev.
Governance & Transparenz
Audits
Regelmässige Sicherheitsaudits: Laufende Überprüfung unserer Systeme auf ihre Sicherheit durch Externe Partner (e.g. Aikido Security und Ethical hacker/Cyber Security specialist)
Data Access
Auth: SSH-Key-basierter Zugang, Admin-Zugriff beschränkt auf Sysadmin & Lead-Dev (Least Privilege).
MFA
Auditability: Linux-Auth-Logs (/var/log/auth.log), Syslogs, Nginx-Access-Logs; Review wöchentlich (Mo) oder anlassbezogen.
Sicherheit & Resilienz
Backups & Disaster Recovery
Strategie: Täglich; 30-Tage-Aufbewahrung; Offsite-Storage innerhalb der Schweiz (isoliert von Produktion).
RPO/RTO: RPO 24 h (Best effort); RTO 4–8 h (Best effort).
Monitoring & Alerting
Logs: Infrastruktur/Netz-Logs provider-seitig; zusätzlich Syslog, Nginx, DB, Firewall, Docker.
Verfügbarkeit: Web-Dienste extern überwacht (Updown-Style); Ressourcen-Checks via Cron/Bash.
On-call: Bürozeiten (9–18 Uhr).
Compliance
Branchenspezifische Vorgaben
Gesetzgebung
Schweizer Datenhaltung unterstützt Konformität mit dem revidierten DSG (in Kraft seit 1. Sept 2023).
Datenverarbeitungsvereinbarung gemäss Schweizer Datenschutzgesetz und dem EU DSGVO
Falls deine Organisation eine Technisch-organisatorische Massnahmen (TOM) Liste hat oder Bedingungen, die eingehalten werden müssen, lass uns die wissen und wir prüfen, ob wir diese erfüllen können.