Vertrauen beginnt damit,
zu wissen, was passiert.

Sie können ohne Plattform beginnen.

Eine externe Anbindung ist freiwillig. Ein eigenes E-Mail-Konto für die Registrierung genügt. Nach Bestätigung Ihrer Adresse können Sie interne Aufgaben, eigene Vertragsangaben, Fristen und unterstützte Dateien verwenden. Eine Shop-, Kassen- oder Maklerverbindung wird erst nach Ihrer ausdrücklichen Freigabe und mit geeigneten Leserechten eingerichtet. Outlook-Mail und Microsoft-Kalender besitzen eine eigene Business-Verbindung. Gmail und Google-Kalender sind derzeit auf freigegebene Google-Testkonten begrenzt.

Wie wird der Zugang geschützt?

Wie werden hochgeladene Dateien geprüft?

Ein Upload wird nur nach Anmeldung, E-Mail-Bestätigung und Freigabe verarbeitet. Dateiendung, Inhalt, Dateigröße, Konto-Kontingent und Formatgrenzen werden geprüft. Die Verarbeitung ist in Zeit, Arbeitsspeicher, Ausgabe und Parallelität begrenzt.

• Im öffentlichen Linux-Dienst läuft der XML-/ZIP-/XLSX-/PDF-Leseprozess in einer abgeschotteten Umgebung ohne Netzwerk, Kundendatenbank, Mailpasswort oder Anbieterzugangsschlüssel. Fehlt die Isolation, wird die Verarbeitung abgebrochen.
• Archive werden nicht in den Webbereich entpackt. Pfadtraversierung, symbolische Verknüpfungen, doppelte Archivpfade sowie übergroße oder stark komprimierte Inhalte werden abgewiesen.
• XML mit DTD oder Entitäten wird abgewiesen. Excel-Makros, externe Verknüpfungen und Formeln werden nicht eingelesen oder ausgeführt.
• PDFs mit erkannten aktiven Aktionen, Formularen oder eingebetteten Dateien werden abgewiesen. Unterstützt wird begrenzter lesbarer Text; keine Texterkennung für Scans.
• Dateiinhalte gelten als Daten, nicht als Handlungsanweisungen. Es wird kein vom Kunden hochgeladenes Programm ausgeführt. Die Originaldatei wird nicht als öffentliche Datei bereitgestellt oder dauerhaft aufbewahrt; gespeichert werden die ausdrücklich übernommenen Inhalte.

Einordnung: Diese Prüfungen sind kein vollständiger Virenscan. Ein zusätzlicher Malware-Scanner ist noch nicht angebunden. Eine unerkannte Schwachstelle kann trotz Schutzmaßnahmen ein Risiko darstellen. Fehlerhafte fachliche Angaben können nicht pauschal als falsch erkannt werden; Sie prüfen die gelesenen Werte vor der Übernahme.

Verschlüsselung und Administratorzugriff – ehrlich erklärt.

HTTPS schützt die Übertragung. Anbieterzugangsdaten, Dokumentinhalte, Firmenprüfangaben, die Nutzdaten der Gästeentwürfe sowie weitere sensible Nutzdaten werden feldweise mit AES-256-GCM verschlüsselt. Kontodaten, Gesprächsinhalte, Aufgaben-/Eintragstitel und bestimmte Übersichtsmetadaten liegen innerhalb der geschützten Datenbank, sind aber nicht sämtlich zusätzlich feldverschlüsselt. Es handelt sich nicht um Ende-zu-Ende-Verschlüsselung: Der Business-Dienst benötigt Zugriff auf seinen Schlüssel, um Ihre freigegebenen Daten zu verarbeiten.

Der normale Supportzugang öffnet keine Kunden-Dashboards oder Gespräche automatisch. Sie können in einem eigenen Supportticket bis zu 20 ausgewählte Gesprächsnachrichten für einen oder sieben Tage ausdrücklich freigeben. Sie sehen die Ausschnitte vorher und können die Freigabe jederzeit widerrufen. Neue Nachrichten und Anhänge werden nicht automatisch hinzugefügt; Freigaben werden nicht aus Sicherungen wiederhergestellt. Technische Administratoren mit ausreichenden Serverrechten können auf Datenbank und Schlüssel zugreifen und damit Inhalte entschlüsseln. Erforderliche technische oder gesetzliche Zugriffe sind gesondert zu beurteilen.

Gäste- und Check-in-Vorbereitung für Unterkünfte

Im eigenen Gäste-Bereich erfassen Sie gemeinsame Kernangaben manuell. Bis zu 25 Gästeentwürfe lassen sich kontogebunden speichern, intern prüfen, exportieren und löschen. Die Vorbereitung ist noch unvollständig und liefert keinen amtlichen Meldeschein oder ein Behördenformat. Ausweisfotos, OCR und Behördenübermittlung sind nicht aktiv.

Die Nutzdaten der Gästeentwürfe werden im aktiven Datenbestand mit AES-256-GCM verschlüsselt gespeichert. Der Dienst kann sie für die von Ihnen freigegebenen Funktionen entschlüsseln. Technische Administratoren mit ausreichenden Serverrechten können auf Datenbank und Schlüssel zugreifen; erforderlicher, genehmigter Zugriff für Betrieb oder Support ist damit technisch möglich. Auch Gästeentwürfe sind nicht Ende-zu-Ende-verschlüsselt.

Die feste Entwurfsfrist beträgt 30 Tage ab Erstellung; Bearbeiten verlängert sie nicht. Danach werden die Entwürfe im aktiven Datenbestand bereinigt. Diese Frist ist keine gesetzliche Registeraufbewahrung. Sie erfüllen die vorgeschriebenen Melde- und Aufbewahrungspflichten im jeweiligen Landesverfahren. Verschlüsselte historische Sicherungen können die Daten länger enthalten; eine aktive Löschung entfernt sie dort nicht sofort.

Länderregeln unterscheiden sich: Kroatien und Spanien erlauben keine routinemäßige Ausweiskopie für diesen Meldezweck. Ungarn sieht Dokumentlesung im VIZA-Verfahren vor, verbietet aber die Speicherung der gelesenen Dokumentbilder. Unsere manuelle Vorbereitung ersetzt diese Landesverfahren nicht.

Für einen späteren Ausbau müssen Booking-/PMS-Zugriff, behördliche Meldeberechtigung und Datenverarbeitungsauftrag getrennt geklärt werden. Bei eTurista in Serbien ist der offizielle REST-Weg bestätigt; unsere technische Anfrage wurde am 8. Oktober 2026 vom Mailserver zur Zustellung angenommen. Freigabe, Feldschema und Tests stehen aus. Eine Behördenanbindung ist noch nicht aktiv.

Ihr Erfolg ist das Ziel. Ihre Daten sind kein Handelsgut.

Wir verarbeiten Ihre freigegebenen Daten für Ihren Business-Arbeitsplatz. Wir verkaufen sie nicht und verwenden sie nicht für fremde Werbezwecke. Technisch notwendige Dienstleister sind transparent einzuordnen; ein pauschales Versprechen, dass niemals ein Dienstleister Daten verarbeitet, wäre unzutreffend.

Firmenprüfung für VI Consulting

VI Consulting verlangt eine bestätigte Konto-E-Mail und eine manuelle Firmenfreigabe. Sie geben Firmenname, Geschäftsanschrift, verantwortliche Person und Kontakt-E-Mail an und bestätigen Ihre Vertretungsberechtigung. Registerangaben sind ergänzend möglich; auch Einzelunternehmen ohne Registereintrag können geprüft werden. Ausweisfotos werden in diesem Ablauf nicht verlangt. Die Prüfung reduziert Unsicherheit, ist aber keine Identitäts-, Vertretungs- oder Betrugsgarantie.

Firmenangaben werden kontogebunden und verschlüsselt gespeichert. Die eigene Betreiberverwaltung zeigt nur hierfür eingereichte Angaben zur Prüfung; sie öffnet keine Kundenchats oder hochgeladenen Unterlagen. Betreiberrollen werden serverseitig vergeben. Der Zugang verlangt Passwort und E-Mail-Code sowie eine zeitlich begrenzte Verwaltungsfreigabe.

Wer erhält Daten – und was passiert mit KI?

Ihre Unternehmensdaten werden nicht verkauft. Das Hosting und die Zustellung von Kontomails benötigen technische Dienstleister. Bei einer von Ihnen freigegebenen Anbieteranbindung wird der jeweilige Dienst gezielt zum Lesen Ihrer freigegebenen Daten angesprochen. Die Originaldateien werden nicht an öffentliche Malware-Prüfdienste weitergeleitet.

Lokale Datenprüfungen und Marketingchecklisten bleiben im Business-Dienst. Zusätzlich ist eine OpenAI-Anbindung eingerichtet; der eigene Arbeitsplatz zeigt, ob sie für Ihr Konto tatsächlich verfügbar ist. Eine grundlegende KI-Textanfrage setzt eine bestätigte E-Mail, einen aktiven Business-Zugang und Ihre ausdrückliche Zustimmung für diese einzelne Nachricht voraus. Die zusätzliche manuelle Firmenfreigabe gilt für VI Consulting. Ohne diese Zustimmung findet kein Modellaufruf statt.

Bei einer freigegebenen KI-Anfrage erhält OpenAI die aktuelle Nachricht und einen begrenzten Überblick normalisierter eigener Betriebsdaten. Es werden höchstens 20 Datensatzbeispiele übertragen. Wenn Sie Gesprächskontext freigeben, kommen höchstens sechs gekürzte Ausschnitte früherer eigener KI-Anfragen und Antworten sowie bis zu drei Titel bereits bestätigter KI-Aktionen hinzu. Lokale Datei-/Vertragsanalysen, Rohdateien, Vertragstexte, private Postfachnachrichten, Gast-/Ausweisdaten und Zugangsschlüssel werden nicht als Quellenkontext übermittelt. Bitte geben Sie solche Inhalte auch nicht in Ihre KI-Nachricht ein.

Die KI kann interne Aufgaben, E-Mail-Entwürfe und private Kalendereinträge zur Prüfung vorbereiten. Eine Mail- oder Kalenderverbindung muss dafür separat freigegeben sein. Erst wenn Sie die konkrete vollständige Vorschau im Business-Arbeitsbereich bestätigen, führt der Dienst genau diese unterstützte Aktion aus. Die KI versendet keine Nachricht und verändert keinen Kalender automatisch; Empfänger dürfen nicht erfunden werden. Shop-, Immobilien- und Behördenänderungen werden durch diese Funktionen nicht freigeschaltet.

Wir verwenden die OpenAI Responses API mit store:false. Dies verhindert keine sämtlichen Anbieterprotokolle: OpenAI kann standardmäßig Inhaltsdaten zur Missbrauchsüberwachung bis zu 30 Tage speichern; gesetzliche oder sicherheitsbedingte Ausnahmen sind möglich. Laut OpenAI werden API-Daten ohne ausdrückliches Opt-in nicht zum Modelltraining verwendet. Eine ausschließliche Verarbeitung in der EU oder vollständig speicherfreie Verarbeitung wird nicht zugesagt. Weitere Einzelheiten nennt die OpenAI-Dokumentation zur Datenverarbeitung. Eine KI-Anweisung in einer Datei schaltet weder einen Zugang noch eine zusätzliche Aktion frei.

Was können Sie kontrollieren?

Sie wählen die Quelle und die unterstützten eigenen Dateien. Die Plattform zeigt Umfang und Grenzen des jeweiligen Lesezugangs. Sie können gespeicherte eigene Inhalte und Aufgaben im vorgesehenen Bereich bearbeiten oder löschen und Ihre Business-Daten exportieren. Ein Widerruf von Anbieterrechten kann zusätzlich direkt beim jeweiligen Anbieter nötig sein. Verschlüsselte Sicherungen dienen der Wiederherstellung; eine Löschung im aktiven Datenbestand entfernt nicht sofort jede historische Sicherung.

Wie ist der Server getrennt?

Der Business-Dienst besitzt eine eigene Datenbank, einen eigenen Schlüssel, einen eigenen Betriebssystem-Benutzer und begrenzte Schreibrechte. Er läuft ohne Administratorrechte. Dienstgrenzen, Speicher- und CPU-Limits sowie begrenzte Anfragen reduzieren das Risiko, dass ein einzelner Vorgang den gesamten Betrieb belastet. Aktuell wird der VPS noch gemeinsam mit dem Personal-Angebot verwendet: Das ist eine logische Trennung, keine eigene virtuelle Maschine. Ein späterer eigener Business-VPS ist geplant.

Was ist noch offen?

• Unabhängiger Penetrationstest und regelmäßige externe Sicherheitsbewertung.
• Zusätzlicher Malware-Scanner, stärkere Betriebserkennung und ein dokumentierter Vorfallprozess.
• Weitere unabhängige Kundenkonten für Google-/Microsoft-Anmeldung, Google-Workspace-Verifizierung und Tests der verminderten oder widerrufenen Anbieterrechte; eine Authenticator-App oder ein Passkey als zusätzlicher Anmeldefaktor ist noch nicht verfügbar. Der zusätzliche E-Mail-Code ist bereits optional für Kunden und verpflichtend für die Betreiberverwaltung.
• Öffentliche verbindliche Datenschutz-/Auftragsverarbeitungsunterlagen und konkrete Aufbewahrungsfristen für den breiten Kundenbetrieb. Diese technische Übersicht ersetzt solche Unterlagen nicht.

Problem melden.

Wenn Sie eine verdächtige Anfrage oder eine Schwachstelle feststellen, schreiben Sie an account@vi-assist.com. Bitte zunächst nur Fehlerbeschreibung, Zeitpunkt und betroffene Seite senden – keine Passwörter, API-Schlüssel oder Kundendateien. Tests an fremden Konten oder Angriffe auf den Livebetrieb sind nicht Teil dieser Meldemöglichkeit.

Technische Orientierung: OWASP File Upload Cheat Sheet. Die Nennung bedeutet keine OWASP-Zertifizierung.