Wie wir KI-Tools einordnen

Aufnahmekriterien

Ein Tool wird aufgenommen, wenn es in mindestens einer der sieben Kategorien relevant ist und wir es mit den folgenden Feldern der Mittelstand-Scorecard einordnen können. Reine Alpha-Produkte, Tools ohne öffentlich dokumentierte Datenverarbeitung und Anbieter, die einen erforderlichen Auftragsverarbeitungsvertrag nachweislich nicht bereitstellen, landen nicht im Verzeichnis.

Ein nicht öffentlich belegter AVV ist dagegen eine offene Frage, kein Nachweis, dass es keinen gibt. Solche Einträge können zur Orientierung im Verzeichnis stehen, tragen aber den Hinweis unbestätigtund erhalten nicht die Einordnung „DSGVO belastbar“. Vor der Verarbeitung personenbezogener Daten muss die Vertragslage geklärt sein. Eine Listung ist keine Freigabe für diesen Einsatz.

Die Mittelstand-Scorecard

Jedes Tool wird nach denselben, belegbaren Feldern eingeordnet. Fakten ohne Primärquelle werden als unbestätigt markiert – lieber eine Lücke als eine Behauptung, die nicht standhält.

Datenresidenz

Welche Speicher- und Verarbeitungsorte sind für das beschriebene Angebot dokumentiert? „Ausschließlich DE/EU/EWR“ schließt dokumentierte Übermittlungen außerhalb dieses Raums aus, auch bei Zusatzfunktionen. Eine wählbare EU-Region ist keine pauschale EU-only-Zusage. Die Schweiz wird gesondert ausgewiesen; bei eigenem Betrieb oder unklarer Vertragslage bleibt die Residenz unbestätigt. Details und Einschränkungen stehen im Profil.

Anbietersitz

Rechtssitz des Anbieters (DE, FR, US …). Relevant für Drittstaatenübermittlung und CLOUD-Act-Risiko.

AVV verfügbar

Stellt der Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO für den beschriebenen Einsatz bereit? „Ja“ setzt einen verlinkten Vertrag oder einen dokumentierten Bezugsweg beim Anbieter voraus. Ob der Abschluss direkt oder nur über den Vertrieb möglich ist, steht im Eintrag. „Unbestätigt“ bedeutet fehlenden Nachweis, nicht „kein AVV“.

ISO 27001 / BSI C5

ISO 27001 betrifft ein Informationssicherheits-Managementsystem; C5 ist ein Testat, keine Zertifizierung durch das BSI. Ein aktuelles Zertifikat, eine Auditorenquelle oder ein konkreter Eintrag im Trust Center kann ja belegen. Wir unterscheiden eine öffentliche Anbieterangabe vom eingesehenen Nachweis und nennen den bekannten Geltungsbereich. Ein Rechenzentrumszertifikat gilt nicht automatisch für den Tool-Anbieter; eine ältere Pressemitteilung allein belegt keine aktuelle Zertifizierung.

Self-Hosting

Ob das Tool auf eigener Infrastruktur betrieben werden kann. Für Unternehmen mit Pflicht zur eigenen Datenhaltung oft das entscheidende Feld.

Preis und Free Tier

Einstiegspreis in Euro samt Einheit (pro Monat, pro Nutzer, auf Anfrage). Free-Tier nur, wenn er produktiv nutzbar ist – nicht bei reinen 14-Tage-Trials. Wenn ein Anbieter nur eine andere Währung oder mehrere Plan- und Sitztypen ausweist, nennen wir diese Bedingungen im Original und rechnen nicht ohne datierte Quelle in Euro um.

Zielgruppe

Solo, KMU, Mittelstand, Großunternehmen. Keine Empfehlung an Solo-Betriebe für Tools, die erst ab 100.000 € / Jahr sinnvoll sind.

DACH-Integrationen

Die geschlossene Liste von Integrationen, die im deutschen Mittelstand tatsächlich zählen (Microsoft 365, DATEV, SAP, HubSpot, Salesforce, Teams, Outlook u.a.). Einträge landen nur in der Liste, wenn sie in mindestens drei Tools auftauchen.

Stand & Quellen

Jede Scorecard trägt ein Datum und eine Liste verlinkter Primärquellen (Trust-Pages, AVV-Dokumente, Status-Pages des Anbieters). Keine Blog-Posts, keine Presse-Artikel, keine Reddit-Threads.

Prüfprozess

1. Abgleich der Scorecard-Felder gegen die Primärquellen des Anbieters (Trust-Center, AVV, Zertifikatsseiten). Das ist eine Dokumentenprüfung, kein Hands-on-Test. Eigene Produkttests werden mit Datum, Tarif und Testumfang gesondert gekennzeichnet.
2. Funktionsbeschreibung (Was das Tool macht): aus der Produktdokumentation des Anbieters, auf der Tool-Seite als Herstellerangabe gekennzeichnet, mit Quelle und Lesedatum. Kein Testurteil.
3. Redaktionelle Einordnung: Wofür geeignet, Wofür nicht, typische Stolperfallen.
4. Re-Prüfung mindestens alle sechs Monate oder bei wesentlichen Änderungen durch den Anbieter. Bei einer Teilprüfung nennen wir den Umfang; ein neuer Text oder ein Deployment erneuert nicht die Prüfung aller Anbieterangaben.

Keine Rechtsberatung

Die Scorecard ist eine redaktionelle Einordnung, keine rechtsverbindliche Prüfung. Unternehmen müssen Datenresidenz, AVV und Drittstaatenübermittlung weiterhin eigenständig gegen den konkreten Einsatzzweck prüfen – am besten mit dem oder der eigenen Datenschutzbeauftragten.

Unabhängigkeit

Anbieter können keinen Listungsplatz kaufen. Einzelne Tool-Seiten können Affiliate-Links enthalten. Sie haben keinen Einfluss auf die redaktionelle Einordnung und werden am Einsatzort kenntlich gemacht.

Was wir nicht tun

Keine Sternebewertungen ohne Kontext. Keine Listen mit fünfzig Tools pro Kategorie. Keine KI-generierten Beschreibungen ohne Prüfung. Keine Empfehlungen, die im Mittelstand oder bei Selbstständigen nicht realistisch einsetzbar sind.

Fehler melden

Wenn etwas nicht mehr stimmt oder sich ein Tool geändert hat, bitte kurze Nachricht an hallo@ki-tools.com. Wir prüfen und korrigieren zeitnah.