So schützt Coursebox Ihre Daten

Ich bin CTO von Coursebox AI und sitze deshalb in vielen Enterprise-Demos. Fast immer kommt irgendwann dieselbe Frage: Können wir Ihnen unsere Daten anvertrauen?

Zu Recht. Wenn die Kurse, die Sie mit uns aufbauen, das Wissen Ihres Unternehmens, die Daten Ihrer Lernenden und Ihr Trainings-Know-how enthalten, wollen Sie genau wissen, wo das alles liegt und wer darauf zugreifen kann. Deshalb verstecken wir die Antworten nicht in einem Richtliniendokument, sondern beantworten hier offen die Fragen, die uns wirklich gestellt werden.

Verwendet Coursebox meine Daten zum Training von KI-Modellen?

Nein. Wir betreiben Microsoft Azure OpenAI und Google Gemini im Rahmen von Enterprise-Vereinbarungen. Sowohl Microsoft als auch Google erklären ausdrücklich, dass Kunden-Prompts, Eingaben und generierte Ausgaben nicht zum erneuten Training ihrer öffentlichen Modelle verwendet werden. Das steht im Vertrag, nicht in einer Fußnote. Unsere eigene Richtlinie ist identisch: Ihre Inhalte und Lernendendaten werden nicht zum Training oder Fine-Tuning von Coursebox-Modellen verwendet, es sei denn, Sie stimmen dem für einen definierten Zweck ausdrücklich schriftlich zu.

Für die KI-Videoerstellung über HeyGen haben wir uns im Februar 2026 schriftlich bestätigen lassen, dass unser Enterprise-API-Konto vollständig von jeder Modell-Trainingspipeline ausgeschlossen ist.

Ihre Inhalte erzeugen Antworten für Ihre Lernenden. Mehr passiert damit nicht.

Wo werden meine Daten gehostet?

Seit Mai 2026 läuft jedes neue Coursebox-Portal auf Google Cloud Platform. Wir lösen unsere bisherige OVH-Infrastruktur in Frankreich ab, um unseren Kunden eine stärkere Compliance-Grundlage zu bieten.

Die GCP-Rechenzentren sind nach ISO 27001, ISO 27017 und ISO 27018 zertifiziert. Die Standardregion ist Frankreich, sodass EU-Kunden automatisch eine Datenspeicherung innerhalb der EU erhalten. Wenn Ihr Unternehmen eigene geografische Anforderungen oder Vorgaben zum Speicherort hat, können Sie eine andere GCP-Region wählen.

Ein Punkt, den wir klar benennen wollen: Die KI-Verarbeitung über Azure OpenAI läuft standardmäßig in US-Regionen, abgesichert durch Standard Contractual Clauses (SCC) und eine Transfer-Impact-Assessment. Auf Wunsch ist die KI-Verarbeitung auch in einer EU-Region verfügbar. Wenn Sie Hosting oder Verarbeitung in einem bestimmten Land benötigen, wenden Sie sich an Ihren Coursebox-Kundenbetreuer oder an support@coursebox.ai

Wie werden meine Daten verschlüsselt?

Daten im Ruhezustand werden mit AES-256 verschlüsselt, verwaltet durch Google Cloud. Daten bei der Übertragung nutzen TLS 1.2 oder höher. Passwörter werden mit bcrypt gehasht und nie im Klartext gespeichert.

Auch Backups sind verschlüsselt. Tägliche Backups werden standardmäßig 14 Tage lang aufbewahrt, mit einem Recovery Point Objective (RPO) von 24 Stunden und einem Recovery Time Objective (RTO) von 12 Stunden. Enterprise-Konten mit dedizierter Datenbank erhalten Point-in-Time-Recovery, eine auf bis zu 30 Tage verlängerbare Aufbewahrung sowie engere Ziele von unter einer Stunde für den RPO und unter vier Stunden für den RTO.

Sind die Daten meines Unternehmens von anderen Kunden getrennt?

Ja, aber wie wir das umsetzen, hängt von Ihrem Tarif ab.

Die meisten Konten laufen auf einer Multi-Tenant-Architektur. Ihre Daten, Ihre Konfigurationen und Ihre API-Schlüssel gehören ausschließlich Ihrem Unternehmen, und das System stellt sicher, dass kein anderer Mandant darauf zugreifen, sie einsehen oder verändern kann. Enterprise-Kunden, die eine Trennung auf Infrastrukturebene statt einer erzwungenen Trennung innerhalb eines gemeinsam genutzten Systems wünschen, können eine dedizierte Instanz mit einer vollständig eigenen Datenbank nutzen.

Anders gesagt: Stellen Sie sich ein Mehrfamilienhaus vor. Die meisten Mieter teilen sich das Gebäude, also die Infrastruktur, aber Ihre Wohnung gehört Ihnen, und das Schloss an der Tür ebenso. Eine dedizierte Instanz ist Ihr eigenes Haus.

Welche KI- und Datenanbieter nutzt Coursebox, und was passiert dort mit meinen Daten?

Hier sind alle KI-Anbieter in der Plattform und ihre jeweilige Funktion.

Microsoft Azure OpenAI übernimmt die Kurserstellung, das KI-Schreiben, Quizze und die KI-Tutor-Chatbots. Die Verarbeitung erfolgt innerhalb der Enterprise-Infrastruktur von Azure, und Microsoft verwendet Kundendaten nicht für das Training seiner Modelle.

Google Gemini Pro erzeugt die KI-Bilder in den Kursmaterialien. Prompts laufen über die API, und die Ergebnisse verbleiben in Ihrer Coursebox-Umgebung. Google verwendet Kundendaten nicht für das Training seiner Modelle.

Microsoft Azure Neural Text-to-Speech wandelt Kurstexte in Voiceovers um. Dieses Audiomaterial wird innerhalb von Azure verarbeitet und nicht zum erneuten Training öffentlicher Modelle verwendet.

Mistral extrahiert Text und eingebettete Bilder aus Dokumenten, die Sie hochladen, etwa PDFs. Die extrahierten Inhalte verbleiben in unserer eigenen Infrastruktur auf Google Cloud.

HeyGen treibt das KI-Avatar-Video an. Wie oben beschrieben ist unser Enterprise-Konto von jeder HeyGen-Trainingspipeline ausgeschlossen, schriftlich bestätigt im Februar 2026.

Plain AI, das auf Anthropic Claude läuft, betreibt unseren Support-Chatbot für Administratoren. Nach den Enterprise-Bedingungen von Plain AI und Anthropic werden Kundendaten nicht zum Training öffentlicher Foundation-Modelle verwendet.

Ist Coursebox DSGVO-konform?

Ja. Coursebox Pty Ltd wurde von American Quality Standards Registrars (AQSR), akkreditiert durch den United States Accreditation Council (USAC), förmlich geprüft und für die DSGVO-Konformität zertifiziert.

Die Zertifikatsdaten:

• Zertifikatsnummer: 17412
• Datum der Registrierung: 11. Juni 2025
• Datum der Rezertifizierung: 10. Juni 2028

Sie können das selbst überprüfen unter www.aqsrworld.com mit der Zertifikatsnummer 17412.

Außerdem erfüllen wir die Australian Privacy Principles, und wir wenden denselben Datenschutzstandard auf alle Kunden an, unabhängig vom Standort, nicht nur innerhalb der EU.

Was passiert bei einem Sicherheitsvorfall?

Wir haben einen dokumentierten Incident-Response-Prozess mit vier Schritten: Eindämmung, Bewertung der Auswirkungen, Benachrichtigung der Kunden und anschließend eine Nachbetrachtung des Vorfalls.

Die Fristen richten sich nach dem Schweregrad. Kritische Vorfälle wie unbefugter Zugriff oder Datenverlust werden betroffenen Kunden innerhalb von 4 Stunden nach Entdeckung gemeldet. Hochpriore potenzielle Kompromittierungen innerhalb von 12 Stunden. Niedriger priorisierte Schwachstellen innerhalb von 24 Stunden. Ein vollständiger schriftlicher Bericht folgt innerhalb von 5 Werktagen nach Abschluss der Bearbeitung. Für Enterprise-Kunden können wir im Rahmen der Enterprise-Vereinbarung eine Benachrichtigung innerhalb von 8 Geschäftsstunden zusichern.

In den vergangenen 12 Monaten hatten wir keine erfolgreichen Sicherheitsvorfälle und keine Datenschutzverletzungen.

Wie schützt Coursebox vor KI-spezifischen Bedrohungen wie Prompt Injection?

Wir setzen Microsoft Azure AI Content Safety ein, das Prompt Shields umfasst. Diese erkennen Prompt-Injection-Versuche und blockieren sie, bevor sie das Modell erreichen. Auf dem Rückweg wenden sowohl Azure OpenAI als auch Gemini eine Inhaltsfilterung an, die schädlichen Code, Hassrede und schädliche Inhalte stoppt, bevor sie Ihre Nutzer erreichen.

Wir begrenzen die Anfragerate an unseren Login- und Generierungs-Endpunkten, sodass Brute-Force-Versuche nicht weit kommen, und überwachen die API-Nutzung auf der Gateway-Ebene auf ungewöhnliche Ausschläge.

Eingabetexte werden von unserem Anwendungs-Backend validiert und strukturiert, bevor sie überhaupt ein Modell erreichen.

Was ist mit KI-Halluzinationen?

Halluzination ist Teil der Funktionsweise großer Sprachmodelle. Wir können sie nicht vollständig ausschließen. Was wir tun können, ist ihren Spielraum einzuengen: Wir binden Generierungen eng an die Kursparameter und Lernziele, die Sie uns vorgeben, setzen Beschränkungen auf Systemebene und arbeiten mit niedrigen Inferenz-Temperaturen für mehr Konsistenz.

Die größere Absicherung ist die menschliche Überprüfung. Jeder KI-generierte Kursinhalt wird von einer Person geprüft, bevor Lernende ihn sehen, und der Kursautor kann jeden Teil davon bearbeiten. Wir haben die Plattform so gebaut, dass die letzte Entscheidung immer bei einem Menschen liegt.

Bietet Coursebox eine Uptime-Garantie?

Ja. Ihre Lernenden benötigen verlässlichen Zugriff, deshalb garantieren wir ein Service Level Objective von 99 % Uptime.

Coursebox läuft primär auf Google Cloud Platform, während Amazon Web Services unterstützende Services in EU-Regionen abdeckt. Zwei Eigenschaften dieser Infrastruktur leisten dabei den Großteil der Arbeit.

Die erste ist Redundanz. Google verteilt Workloads auf mehrere physische Rechenzentren, sodass ein anderes einspringt, wenn ein Server oder ein ganzes Rechenzentrum ausfällt, ohne dass Ihre Lernenden etwas davon merken.

Die zweite ist Live-Wartung. Google kann Routine-Updates und Hardware-Reparaturen durchführen, ohne unsere Server offline zu nehmen, wodurch die meisten Ursachen für unerwartete Ausfallzeiten entfallen.

Darauf setzt unsere Disaster Recovery auf. Backups laufen kontinuierlich und werden an geografisch getrennten Standorten gespeichert. Im schlimmsten Fall eines regionalen Ausfalls können wir innerhalb von Minuten eine frische Kopie unserer Infrastruktur in einer anderen Region hochfahren.

Wird Coursebox unabhängig auf Sicherheitslücken getestet?

Ja. Wir lassen jährlich Penetrationstests durch Dritte durchführen. Der letzte Test wurde im Juni 2026 abgeschlossen.

Kann mein Unternehmen einzelne KI-Funktionen deaktivieren?

Ja. Einige KI-Funktionen sind optional und können auf Enterprise-Ebene konfiguriert oder deaktiviert werden, um Ihren Compliance-Anforderungen zu entsprechen. Enterprise-Kunden können außerdem ihren eigenen OpenAI-API-Schlüssel einbringen und ihre eigene Modellkonfiguration betreiben.

Wir behalten uns vor, jede KI-Integration einzuschränken oder auszusetzen, wenn rechtliche, sicherheitsbezogene oder Compliance-Gründe dies erfordern.

Hat Coursebox eine KI-Governance-Richtlinie?

Ja. Wir bewerten KI-Funktionen vor der Veröffentlichung auf mögliche Risiken, wenden Change-Controls auf wesentliche KI-Updates an, halten die interne Dokumentation im Verhältnis zum Risiko jeder Funktion und bieten Kunden Kanäle, um Qualitäts- oder Sicherheitsprobleme bei der KI zu melden. Unsere Richtlinie für verantwortungsvolle KI folgt dem NIST AI Risk Management Framework, der OECD-Empfehlung zur Künstlichen Intelligenz, der UNESCO-Empfehlung zur Ethik der Künstlichen Intelligenz und dem freiwilligen KI-Sicherheitsstandard Australiens.

Die Transparenzpflichten des EU AI Act gelten ab dem 2. August 2026. Ab diesem Datum zeigen wir einen kontextbezogenen KI-Hinweis überall dort, wo Lernende mit einer KI-Funktion interagieren, sowie bei KI-generierten Videos.

Mir ist bewusst, dass eine Liste von Richtlinien allein noch kein gutes Gefühl gibt. Was ich Ihnen aber sagen kann: Der Umstieg auf Azure OpenAI, die Entscheidung für Google Cloud als Hosting-Basis, der Verzicht auf jede Trainingspipeline, die wir bei unseren Anbietern finden konnten, all das stand nicht auf einer Compliance-Checkliste. Wir haben es getan, weil Kunden uns unbequeme Fragen gestellt haben und wir ehrlich darauf antworten wollten.

Ist Ihre Frage nicht dabei? Schreiben Sie uns einfach an support@coursebox.ai. Wir beantworten sie lieber, als dass Sie sich weiter fragen müssen.