# BYOK: Bring Your Own Key > **Kein Rechtsrat.** Die Angaben zu Auftragsverarbeitung und DSGVO geben einen Überblick. Für individuelle Konstellationen bitte einen Datenschutzbeauftragten oder Anwalt einbeziehen. --- ## Was bedeutet BYOK? BYOK steht für *Bring Your Own Key*. Statt die gebündelten KI-Credits der Plattform zu verwenden, kannst du **eigene API-Schlüssel** bei den großen KI-Anbietern (OpenAI, Anthropic, Google) hinterlegen. Alle KI-Tools auf der Plattform (Exposé-Generator, Smart-Floorplan, KI-Assistent) laufen dann über deinen eigenen Provider-Account. Die Kosten erscheinen direkt in der Provider-Abrechnung, nicht in den Plattform-Credits. --- ## Wann ist BYOK sinnvoll? **Hohes Volumen:** Wenn dein Büro pro Monat sehr viele KI-Aufrufe erzeugt (Hochvolumen-Tools wie Exposé-Generierung in Serie, automatisierte Lead-Qualifizierung), können die direkten Tarife der Provider günstiger sein als gebündelte Credits. Faustregel: Ab etwa 200 EUR Provider-Kosten pro Monat lohnt sich die Prüfung. **Bestehende Enterprise-Verträge:** Manche Büros haben bereits Verträge mit OpenAI oder Anthropic (etwa über `OpenAI Business` oder `Anthropic for Work`) mit angepassten Datenschutz-Bestimmungen, eigener Auftragsverarbeitung und garantierter Daten-Lokalität. In dem Fall ist BYOK der einfachste Weg, diese Verträge auch in der Plattform zu nutzen. **Compliance-Anforderungen vom Endkunden:** Wenn deine Auftraggeber:innen vorgeben, dass bestimmte Cloud-Provider verwendet werden dürfen (oder ausdrücklich nicht), kannst du die Provider-Wahl pro Tool/Tenant mit BYOK direkt steuern. **Daten-Hoheit:** Bei sensiblen Inhalten (z.B. Privatkundeninformationen, Wertgutachten) bietet ein eigener Provider-Account zusätzliche Kontrolle und Transparenz über tatsächlichen Datenfluss. --- ## Wann macht BYOK keinen Sinn? - **Niedriges Volumen:** Gebündelte Credits sind dank Mengenrabatten in der Regel günstiger. - **Geringe IT-Affinität:** Provider-Accounts, Billing-Limits und Key-Rotation bedeuten zusätzlichen Verwaltungsaufwand. - **Compact-Tarif:** BYOK ist nicht verfügbar. Verfügbar ab **Standard-Tarif** aufwärts. --- ## Unterstützte Provider | Provider | Modelle | Status | |---|---|---| | OpenAI | GPT-4, GPT-4-Turbo, GPT-4o | Verfügbar | | Anthropic | Claude Sonnet, Claude Opus, Claude Haiku | Verfügbar | | Google | Gemini Pro, Gemini Flash | Verfügbar | | Replicate | Bildmodelle (für Visualisierungs-Tools) | Verfügbar | Weitere Provider werden auf Anfrage geprüft. --- ## Schritt für Schritt: Key hinterlegen 1. Gehe zu **Einstellungen > KI-Provider**. 2. Wähle den Provider aus der Liste (z.B. *OpenAI*). 3. Klicke auf **Eigenen Key hinzufügen**. 4. Trage den API-Key ein. Vergib zur Übersicht einen Namen, etwa "OpenAI Büro-Hauptaccount". 5. Optional: setze ein **monatliches Ausgabenlimit** (z.B. 500 EUR). Bei Überschreitung schaltet die Plattform automatisch zurück auf den Plattform-Pool und benachrichtigt dich. 6. Klicke auf **Test-Request abschicken**. Die Plattform sendet einen minimalen Probe-Aufruf und meldet das Ergebnis. 7. Aktiviere den Key mit dem Schalter **Als aktiven Schlüssel verwenden**. Ab diesem Moment laufen alle KI-Aufrufe für diesen Provider über deinen Key, nicht über den Plattform-Pool. --- ## Was die Plattform mit dem Key macht - Tools rufen den Provider direkt über deinen Key auf. Die Plattform leitet den Request technisch durch, ohne die KI-Antwort selbst zwischenzuspeichern (außer du aktivierst explizit Caching). - Cost-Tracking erscheint in deinem **Provider-Dashboard**, nicht im Plattform-Credit-Konto. Plattform-Credits werden für diese Aufrufe **nicht** abgezogen. - Im Plattform-Dashboard siehst du weiterhin unter **Einstellungen > KI-Provider > Nutzung**, wie viele Requests pro Tool und Nutzer abgesetzt wurden, ohne die EUR-Beträge, die der Provider direkt mit dir abrechnet. --- ## Sicherheit - Schlüssel werden **verschlüsselt at-rest** in der Datenbank gespeichert (AES-256, separate Encryption-Key-Verwaltung). - Entschlüsselung erfolgt **nur im Moment des API-Aufrufs** im Backend. Der Klartext-Key verlässt das Backend nicht und ist niemals im Frontend sichtbar. - Nach dem ersten Speichern wird der Key in der Oberfläche maskiert (nur die letzten vier Zeichen bleiben sichtbar). - Nur Nutzer mit der Rolle **Admin** können Keys einsehen, ändern oder löschen. --- ## Audit und Nachvollziehbarkeit Jeder API-Aufruf, der über einen BYOK-Key läuft, wird im Audit-Log protokolliert: - Zeitpunkt - Nutzer:in (welcher Account hat das Tool ausgeführt) - Tool / Modul - Provider und Modell - Token-Verbrauch (Eingabe und Ausgabe) - HTTP-Status / Fehlercode Das Protokoll ist unter **Einstellungen > Aktivität** einsehbar. --- ## Rotation und Notfall-Widerruf Wir empfehlen, Keys mindestens **alle 90 Tage zu rotieren**: 1. Neuen Key beim Provider generieren. 2. Im Plattform-Dashboard unter dem bestehenden Eintrag auf **Key ersetzen** klicken und den neuen Wert eintragen. 3. Test-Request ausführen. 4. Den alten Key im Provider-Dashboard widerrufen. Bei vermutetem Leak (Key wurde versehentlich öffentlich, z.B. in einem Screenshot): **sofort** im Provider-Dashboard widerrufen, dann in der Plattform den Key durch einen neuen ersetzen. Während der kurzen Übergangszeit fällt die Plattform automatisch auf den Plattform-Pool zurück, sodass Tools nicht ausfallen. --- ## DSGVO und Auftragsverarbeitung **Wichtigster Punkt:** Mit BYOK wechselt der **Verantwortliche für die Auftragsverarbeitung** mit dem KI-Provider. Statt der Plattform schließt **dein Büro direkt** den Vertrag zur Auftragsverarbeitung (AVV) mit OpenAI, Anthropic oder Google. Das bedeutet konkret: - Du als Tenant musst sicherstellen, dass mit dem Provider ein gültiger AVV nach Art. 28 DSGVO besteht. Die Provider stellen entsprechende Vertrags-Templates bereit. - Du musst die Datenverarbeitung im **Verzeichnis von Verarbeitungstätigkeiten** dokumentieren. - Du musst gegenüber Endkunden korrekt über die Datenverarbeitung informieren (z.B. in der Datenschutzerklärung deiner Website). - Bei Anfragen von Betroffenen (Auskunft, Löschung) bist du primärer Ansprechpartner. Die Plattform unterstützt mit Logs und Export-Funktionen. Solange du den Plattform-Pool nutzt, übernimmt diese Pflichten die Plattform. Sobald du auf BYOK umstellst, **verlagert sich die Verantwortung auf dich**. Plane dafür ausreichend Vorbereitungszeit ein und kläre mit deinem Datenschutzbeauftragten ab. --- ## Wechseln zwischen BYOK und Plattform-Pool Der Wechsel ist jederzeit möglich. Du kannst auch granular pro Provider entscheiden: etwa OpenAI über BYOK laufen lassen, Anthropic und Google weiter über den Plattform-Pool. Aktive Tool-Läufe werden nicht unterbrochen; die Umschaltung greift ab dem nächsten Aufruf.