Enterprise KI-Chatbot DSGVO: 65% weniger Tickets + 100% Compliance [2025]

Azure_OpenAI_Enterprise_Setup:
  Region: "Germany West (Frankfurt)"
  
  Netzwerk (Zero-Trust):
    - Private Endpoints (kein Internet-Zugriff)
    - Azure Application Gateway (WAF + SSL Termination)
    - VNet-Integration (App Service ↔ Azure OpenAI)
    - Network Security Groups (Firewall-Regeln)
    - DDoS Protection Standard
  
  Compute:
    - Azure App Service (Premium P1V3)
    - Auto-Scaling (2-10 Instanzen)
    - Deployment-Slots (Blue-Green)
  
  AI-Services:
    - Azure OpenAI Service (Deutschland West)
    - Model: GPT-4-Turbo (Dedicated Capacity)
    - Fine-Tuning: Custom Insurance Model
    - Token Limit: 100k/Min (Reserved)
  
  Datenbank:
    - Azure SQL Database (Hyperscale)
    - Always Encrypted (Customer-Managed Keys)
    - Geo-Redundant Backup (RTO \<1h)
    - Point-in-Time Restore (35 Tage)
  
  Sicherheit:
    - Azure Key Vault (CMK Management)
    - Azure AD B2C (Customer Identity)
    - Managed Identity (Service-to-Service Auth)
    - Azure Sentinel (SIEM/SOC)
  
  Monitoring & Compliance:
    - Azure Monitor (Metriken + Logs)
    - Log Analytics Workspace (365 Tage Retention)
    - Application Insights (Performance)
    - Azure Policy (Compliance-Checks automatisch)
  
  Backup & DR:
    - Automated Backups (täglich)
    - Cross-Region Failover (Deutschland → Nordeuropa)
    - RTO: 1h | RPO: 5 Min

Kosten (monatlich):
  - Azure OpenAI (100k Tokens/Min): €1.200
  - App Service Premium: €280
  - SQL Database Hyperscale: €380
  - Key Vault + Monitoring: €120
  - **Total: €1.980/Mt = €23.760/Jahr**

ROI:
  - Setup-Kosten: €58.000
  - Laufende Kosten: €23.760/Jahr
  - Personalersparnis: 3,9 FTE × €40k = €156.000/Jahr
  - **Netto-Gewinn Jahr 1:** €74.240
  - **Amortisation:** 5,3 Monate

Einwilligung:
  - Explizit vor Chat-Start
  - Widerrufbar jederzeit
  - Protokolliert (wer, wann, welche Version)
  - Granular (Chat, Analytics getrennt)

Berechtigtes-Interesse:
  - Dokumentiert (Interessenabwägung)
  - Opt-Out möglich
  - TOM-Dokumentation (Art. 32 DSGVO)

# Automatische PII-Pseudonymisierung

import hashlib
import re

class PIIProtection:
    def __init__(self):
        self.pii_patterns = {
            'email': r'\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b',
            'phone': r'\b(\+49|0)[1-9]\d{1,14}\b',
            'iban': r'\b[A-Z]{2}\d{2}[A-Z0-9]{1,30}\b',
            'versicherungsnummer': r'\b\d{10}\b'
        }
        
    def pseudonymize(self, text: str, session_id: str) -> tuple[str, dict]:
        """
        Ersetzt PII durch Pseudonyme
        """
        mapping = {}
        pseudonymized_text = text
        
        for pii_type, pattern in self.pii_patterns.items():
            matches = re.findall(pattern, text)
            
            for match in matches:
                # Pseudonym generieren (deterministisch für Session)
                pseudonym_hash = hashlib.sha256(f"{session_id}{match}".encode()).hexdigest()[:12]
                pseudonym = f"{pii_type}_{pseudonym_hash}"
                
                # Mapping speichern (verschlüsselt in Key Vault)
                mapping[pseudonym] = self._encrypt(match)
                
                # Text ersetzen
                pseudonymized_text = pseudonymized_text.replace(match, f"[{pseudonym}]")
        
        return pseudonymized_text, mapping

# Verwendung in Chatbot
pii_protection = PIIProtection()

user_message = "Meine E-Mail ist max.mustermann@example.de und Vers-Nr 1234567890"
session_id = "sess_abc123"

pseudonymized, mapping = pii_protection.pseudonymize(user_message, session_id)

# Pseudonymisierter Text wird an Azure OpenAI gesendet
# Mapping wird verschlüsselt in Key Vault gespeichert

Microsoft-AVV:
  - Standard Contractual Clauses (SCC) inklusive
  - Data Processing Addendum (DPA) online verfügbar
  - https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
  
  Wesentliche Punkte:
    - Datenverarbeitung nur nach Weisung
    - Sub-Prozessoren transparent gelistet
    - Datenschutz-Zertifizierungen (ISO 27001, SOC 2)
    - Löschung nach Vertragsende
    - Unterstützung bei DSGVO-Anfragen (Auskunft, Löschung)

# DSGVO-Auskunft & Löschung

class GDPRRightsManager:
    def __init__(self, db_connection, azure_openai_client):
        self.db = db_connection
        self.ai_client = azure_openai_client
        
    def handle_data_access_request(self, user_email: str):
        """
        Art. 15 DSGVO: Auskunftsrecht
        """
        # 1. Alle Chatbot-Daten sammeln
        conversations = self.db.execute("""
            SELECT session_id, created_at, message, response, confidence
            FROM chat_logs
            WHERE user_email = ?
        """, [user_email]).fetchall()
        
        # 2. Pseudonyme rückauflösen (aus Key Vault)
        for conv in conversations:
            conv['message'] = self._depseudonymize(conv['message'])
            conv['response'] = self._depseudonymize(conv['response'])
        
        # 3. JSON-Export generieren
        export = {
            'user_email': user_email,
            'data_collected': {
                'conversations': conversations,
                'profile': self.db.get_user_profile(user_email),
                'consent_history': self.db.get_consent_log(user_email)
            },
            'generated_at': datetime.utcnow().isoformat(),
            'retention_period': '90 days (standard) / 7 years (contracts)'
        }
        
        # 4. Verschlüsselt per E-Mail senden
        self._send_encrypted_export(user_email, export)
        
        return {'status': 'export_sent', 'email': user_email}
    
    def handle_deletion_request(self, user_email: str):
        """
        Art. 17 DSGVO: Recht auf Löschung
        """
        # 1. Löschung in allen Systemen
        self.db.execute("DELETE FROM chat_logs WHERE user_email = ?", [user_email])
        self.db.execute("DELETE FROM user_profiles WHERE email = ?", [user_email])
        
        # 2. Key Vault Pseudonyme löschen
        self._delete_pseudonym_mappings(user_email)
        
        # 3. Azure OpenAI Model Fine-Tuning (falls vorhanden)
        # HINWEIS: Azure OpenAI speichert keine individuellen Nutzerdaten,
        # aber Custom Models könnten Trainingsdaten enthalten
        # → Neutraining ohne betroffene Daten nötig
        
        # 4. Audit-Log (anonymisiert)
        self.db.execute("""
            INSERT INTO gdpr_audit_log (event_type, timestamp, details)
            VALUES ('deletion_request', ?, ?)
        """, [datetime.utcnow(), f"User {hashlib.sha256(user_email.encode()).hexdigest()[:12]} deleted"])
        
        return {'status': 'deleted', 'email': user_email}

BaFin_Checkliste:
  - [x] Vertrag schriftlich (Microsoft AVV)
  - [x] Leistungsbeschreibung detailliert
  - [x] Weisungsrecht dokumentiert
  - [x] Kontrollrechte gesichert (Audits möglich)
  - [x] Informationspflichten definiert
  - [x] Datenschutz & Datensicherheit (siehe DSGVO)
  - [x] Notfallplanung & BCM
  - [x] Kündigungsrechte & Exit-Strategie