Sicherheit
Ihre Daten bleiben Ihre Daten.
Echo liest KI-Antworten über Ihre Marke, keine privaten Daten Ihrer Kunden. Was Sie eingeben, wird in Westeuropa gespeichert, von jedem anderen Workspace getrennt und nur an die Dienste weitergegeben, die es für ihre Arbeit benötigen. Hier steht genau, wie.
- Stored in Western EuropeDatabase and files in Cloudflare's Western Europe region.
- No passwordsSign in with Google or a one-time email link.
- GDPR compliantRun from Berlin, with a public data processing agreement.
- EU AI Act compliantAI writes drafts; a person approves before anything goes live.
Hosting und Daten.
Echo läuft vollständig auf Cloudflare. Ihre Daten werden in Westeuropa gespeichert.
- Cloudflare, durchgehendDie App läuft auf Cloudflare Workers, die Datenbank auf Cloudflare D1 und Dateien liegen auf Cloudflare R2. Kein weiteres Hosting.
- In Westeuropa gespeichertDatenbank und Dateien liegen in der westeuropäischen Region von Cloudflare. Anfragen beantwortet das nächstgelegene Rechenzentrum, gemäß der Vereinbarung zur Auftragsverarbeitung von Cloudflare.
- Bei der Übertragung und Speicherung verschlüsseltAlle Verbindungen nutzen ausschließlich HTTPS. Cloudflare verschlüsselt Datenbank und Dateien bei der Speicherung.
- Doppelt verschlüsselte SchlüsselVerbundene Schlüssel und Tokens werden von Echo zusätzlich mit AES-256-GCM verschlüsselt und danach nicht mehr angezeigt. API-Schlüssel für Echos eigene API werden nur als Fingerabdruck gespeichert.
- Backups für 30 TageDie Datenbank erstellt automatisch Wiederherstellungspunkte für 30 Tage. So lässt sie sich nach einem Fehler oder Ausfall wiederherstellen.
Zugriff.
Nur berechtigte Personen sehen einen Workspace. Ein Passwort braucht niemand.
- Keine PasswörterMelden Sie sich mit Google oder einem einmaligen Link per E-Mail an. Es gibt kein Passwort, das offengelegt oder wiederverwendet werden könnte.
- Sitzungen, die endenSitzungen enden nach 7 Tagen ohne Nutzung. Anmeldelinks und Einladungen laufen ab, und für Anmelde-E-Mails gilt ein Versandlimit.
- Eigentümer und MitgliederNur Eigentümer verwalten Abrechnung, API-Schlüssel und Webhooks oder löschen den Workspace. Gäste im Bereich Markenmaterial sehen nur, was mit ihnen geteilt wurde.
- Getrennte WorkspacesBei jeder Anfrage wird geprüft, ob die angeforderten Daten zum Workspace der angemeldeten Person gehören. Automatisierte Tests prüfen das bei jeder Änderung.
- Ihr eigener OpenAI-SchlüsselEin Workspace kann Entwürfe und den Agenten über ein eigenes OpenAI-Konto ausführen. Der Schlüssel wird verschlüsselt gespeichert und beim Entfernen sofort gelöscht.
- Keine Suche inNiemand bei Echo öffnet Ihren Workspace, außer Sie bitten um Support, es ist aus Sicherheitsgründen nötig oder gesetzlich vorgeschrieben.
KI und der EU AI Act.
Echo erfüllt die Vorgaben des EU AI Act: KI erstellt Entwürfe, ein Mensch entscheidet.
- Nur Business-KI-APIsEcho nutzt Modelle von OpenAI, Anthropic, Google, Perplexity und xAI über deren Business-APIs. Keiner dieser Anbieter darf mit den von Echo gesendeten Daten trainieren.
- Kein HochrisikosystemEcho liest öffentliche KI-Antworten und erstellt Marketingentwürfe. Es trifft keine Entscheidungen über Personen.
- Entwürfe, klar gekennzeichnetAlles, was Echo schreibt, beginnt als Entwurf zur Prüfung und zeigt seine Quellen. Zahlen, die sich nicht auf Ihre Angaben zurückführen lassen, werden mit „Prüfen“ markiert.
- Ein Mensch gibt freiSeiten landen als Entwürfe in Ihrem Website-Baukasten, und die Kontaktaufnahme übernehmen Sie. Echo veröffentlicht oder versendet nichts außerhalb Ihres Workspace von sich aus.
- Jeder KI-Aufruf wird protokolliertDer Agent und die KI-Funktionen sind als KI gekennzeichnet. Jeder KI-Aufruf wird samt Kosten protokolliert, damit nachvollziehbar ist, was ausgeführt wurde.
GDPR.
Echo ist DSGVO-konform und wird von Berlin aus unter EU-Datenschutzrecht betrieben.
- Klare RollenFür Ihr Konto ist Echo der Verantwortliche. Für Daten, die Ihr Workspace über andere hinzufügt (Leads, Kontakte, Besucher), ist Ihr Unternehmen der Verantwortliche und Echo der Auftragsverarbeiter.
- Eine öffentlich zugängliche AuftragsverarbeitungsvereinbarungDie Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) gilt für jeden Workspace, ohne dass eine Unterschrift nötig ist.
- Exportieren und löschenDie meisten Tabellen als CSV exportieren. Das Konto unter Einstellungen → Konto löschen. Workspaces, die nur von Ihnen genutzt werden, werden dabei sofort mitgelöscht.
- So wenig wie möglichKeine IP-Adressen über das Echo-Tag, keine Cookies bei Ihren Besuchern und keine personenbezogenen Daten bei Besuchen von KI-Crawlern.
- Ihre Rechte, per E-MailJederzeit Auskunft, Berichtigung oder Löschung verlangen. Auch eine Beschwerde bei einer Datenschutzbehörde ist möglich.
Von Echo genutzte Dienste.
Diese Anbieter verarbeiten Daten für Echo auf Grundlage von Auftragsverarbeitungsverträgen. Selbst verbundene Tools (Google Analytics, HubSpot, Attio, Framer, Webflow, WordPress, Slack, Claude oder ChatGPT) erhalten erst nach der Verbindung Daten. Dafür gelten Ihre jeweiligen Vereinbarungen mit den Anbietern.
| Provider | What for | What it receives | Where |
|---|---|---|---|
| CloudflareCloudflare, Inc., USA | Hosting, database, file storage, email forwarding, protection against attacks | Everything stored in Echo: accounts, workspaces and their data, files | Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses |
| ResendResend, Inc., USA | Sending Echo's emails (sign-in links, reports, alerts, invites) | Recipient's email address and the email's content | USA; Standard Contractual Clauses |
| OpenAIOpenAI, L.L.C., USA | ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent | Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training | USA; Standard Contractual Clauses |
| AnthropicAnthropic PBC, USA | Claude's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| PerplexityPerplexity AI, Inc., USA | Perplexity's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| GoogleGoogle Ireland Ltd., Ireland | Gemini's answers (paid Gemini API); Sign in with Google | The prompts and their country; for sign-in, name, email address and profile picture | EU and USA; EU-US Data Privacy Framework |
| xAIX.AI LLC, USA | Grok's answers to the prompts | The prompts, nothing about people | USA; Standard Contractual Clauses |
| DataForSEODataForSEO (dataforseo.com) | Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews | Prompts, keywords, website addresses and their country and language, nothing about people | Standard Contractual Clauses where data leaves the EU |
| Brave SearchBrave Software, Inc., USA | Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords | Website addresses, page titles and tracked keywords; nothing about people | USA; Standard Contractual Clauses |
| StripeStripe Payments Europe, Ltd., Ireland | Payments, invoices and VAT | Billing name, email and address, VAT ID; card details go straight to Stripe | EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses |
- CloudflareCloudflare, Inc., USA
- What for
- Hosting, database, file storage, email forwarding, protection against attacks
- What it receives
- Everything stored in Echo: accounts, workspaces and their data, files
- Where
- Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses
- ResendResend, Inc., USA
- What for
- Sending Echo's emails (sign-in links, reports, alerts, invites)
- What it receives
- Recipient's email address and the email's content
- Where
- USA; Standard Contractual Clauses
- OpenAIOpenAI, L.L.C., USA
- What for
- ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent
- What it receives
- Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training
- Where
- USA; Standard Contractual Clauses
- AnthropicAnthropic PBC, USA
- What for
- Claude's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- PerplexityPerplexity AI, Inc., USA
- What for
- Perplexity's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- GoogleGoogle Ireland Ltd., Ireland
- What for
- Gemini's answers (paid Gemini API); Sign in with Google
- What it receives
- The prompts and their country; for sign-in, name, email address and profile picture
- Where
- EU and USA; EU-US Data Privacy Framework
- xAIX.AI LLC, USA
- What for
- Grok's answers to the prompts
- What it receives
- The prompts, nothing about people
- Where
- USA; Standard Contractual Clauses
- DataForSEODataForSEO (dataforseo.com)
- What for
- Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews
- What it receives
- Prompts, keywords, website addresses and their country and language, nothing about people
- Where
- Standard Contractual Clauses where data leaves the EU
- Brave SearchBrave Software, Inc., USA
- What for
- Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords
- What it receives
- Website addresses, page titles and tracked keywords; nothing about people
- Where
- USA; Standard Contractual Clauses
- StripeStripe Payments Europe, Ltd., Ireland
- What for
- Payments, invoices and VAT
- What it receives
- Billing name, email and address, VAT ID; card details go straight to Stripe
- Where
- EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses
Alle Details, einschließlich der jeweiligen Aufbewahrungsdauer, stehen in der Datenschutzerklärung.
Problem melden.
Found a security problem? Write to security@echo-aeo.com with what you found and how to see it. We answer within two working days, fix what's real and credit you if you like. Please give us time to fix it before telling others, and don't access other people's data or disrupt the service while testing.
FAQ
Questions.
Ist Echo nach SOC 2 oder ISO 27001 zertifiziert?
Noch nicht. Echo ist ein junges Unternehmen und behauptet nicht, Zertifizierungen zu haben, die es nicht besitzt. Diese Seite beschreibt, was Echo tatsächlich tut. Schreiben Sie uns für einen Sicherheitsfragebogen oder ein Gespräch.
Wo werden meine Daten gespeichert?
In Cloudflares Region Westeuropa (Datenbank und Dateien). Cloudflare beantwortet Anfragen aus dem nächstgelegenen Rechenzentrum. Die KI-Anbieter, die die Prompts beantworten, sitzen in den USA. Für sie gelten die Standardvertragsklauseln der EU und, sofern sie zertifiziert sind, das EU-US Data Privacy Framework.
Trainieren KI-Anbieter mit unseren Daten?
Nein. Echo nutzt Business-APIs, deren Bedingungen eine Verwendung der API-Daten für das Training ausschließen. Die von Echo gestellten Prompts enthalten keine personenbezogenen Angaben, und der Agent versendet niemals E-Mail-Adressen.
Können wir einen Auftragsverarbeitungsvertrag abschließen?
Ja. Die Datenverarbeitungsvereinbarung von Echo ist unter /dpa öffentlich zugänglich und gilt ohne Unterschrift für jeden Workspace. Wenn Sie eine unterschriebene Fassung benötigen, schreiben Sie uns.
Kann Echo auf unserer Website veröffentlichen?
Nur wenn ein Mitglied Ihres Workspace auf „Veröffentlichen“ klickt und bestätigt. Alles andere landet als Entwurf in Ihrem Website-Baukasten.