Compliance & Sicherheit

veronto ist für Unternehmen gebaut, die mit besonders sensiblen Daten arbeiten. Diese Seite fasst zusammen, wie wir Datenschutz und Informationssicherheit umsetzen, und stellt die Unterlagen bereit, die Sie für eine Lieferantenprüfung benötigen.

Datenschutz- und Sicherheitsprinzipien

• Verarbeitung in der EU. Hosting und Verarbeitung erfolgen standardmäßig auf Servern innerhalb der Europäischen Union. Keine Übermittlung in Drittländer ohne ausdrückliche Grundlage.
• Betrieb in Ihrer Infrastruktur. Auf Wunsch läuft veronto vollständig in Ihrer Cloud oder Ihrem Rechenzentrum (On-Premise). Klardaten verlassen Ihre Grenze dann zu keinem Zeitpunkt.
• Pseudonymisierung vor jedem Modell. Personenbezogene Daten werden anonymisiert oder pseudonymisiert, bevor ein Wort an ein Sprachmodell geht. Das Sprachmodell verarbeitet ausschließlich Platzhalter; die Zuordnung zu den echten Daten bleibt bei Ihnen. Das ist Pseudonymisierung nach Art. 4 Nr. 5 DSGVO. Ein zweiter Egress-Scan prüft jede Ausgabe auf Klardaten-Lecks.
• Der Mensch behält die Verantwortung. Die KI bereitet vor, ein Mensch entscheidet und gibt frei. Keine Ausgabe ohne menschliche Freigabe (Human in the Lead).
• Manipulationssicherer Audit-Trail. Jeder Verarbeitungsschritt ist nachvollziehbar protokolliert und gegen nachträgliche Änderung geschützt. Wer was wann freigegeben hat, bleibt belegbar.
• Datenminimierung und Verschlüsselung. Es werden nur die für den Zweck erforderlichen Daten verarbeitet. Übertragung und Speicherung erfolgen verschlüsselt (TLS, Verschlüsselung ruhender Daten).

Auftragsverarbeiter und weitere Dienstleister

Für unsere Website und Dienste setzen wir sorgfältig ausgewählte Dienstleister ein. Soweit ein Anbieter personenbezogene Daten in unserem Auftrag verarbeitet, besteht vor Verarbeitungsbeginn ein Vertrag nach Art. 28 DSGVO.

Wesentliche Änderungen an dieser Liste teilen wir Kunden im Rahmen des jeweiligen Auftragsverarbeitungsvertrags mit.

Unterlagen für Ihre Prüfung

• Auftragsverarbeitungsvertrag (Muster, Art. 28 DSGVO)
• Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)
• Datenschutzerklärung
• Allgemeine Geschäftsbedingungen

Für Ihre KI aufbereitet

Trust-Center, AVV und TOMs liegen zusätzlich als Markdown vor. Kopieren Sie ein Dokument und geben Sie es direkt in Ihren KI-Assistenten, etwa für eine erste Vorprüfung. Die Verlinkung dieser Markdown-Varianten steht auch im Seitenkopf für KI-Agenten.

• Trust-Center (diese Seite) Für Ihre KI kopieren
• AVV · Art. 28 DSGVO Für Ihre KI kopieren
• TOMs · Art. 32 DSGVO Für Ihre KI kopieren

Für Ihren Datenschutzbeauftragten: die Standardfragen, beantwortet

Die Fragen, die in Vendor-Audits regelmäßig gestellt werden, mit direkten Antworten und Verweisen auf die verbindlichen Dokumente. Diese Seite kann intern weitergeleitet werden; sie ist immer auf dem aktuellen Stand.

Diese Seite an Ihren DSB weiterleiten →

Wo werden personenbezogene Daten verarbeitet?

Ausschließlich in der EU/EWR (Hosting: Hetzner Online GmbH, Deutschland). Auf Wunsch vollständig On-Premise in Ihrer Infrastruktur. Drittlandtransfers erfolgen nicht; vertraglich zugesichert in § 6 des AVV.

Gehen personenbezogene Daten an Sprachmodelle / KI-Anbieter?

Das Sprachmodell erhält ausschließlich Platzhalter. Klardaten wie Namen, Adressen und Kennnummern bleiben im Haus; die Zuordnung zu den echten Werten liegt bei Ihnen. Ein zweiter Egress-Scan prüft Ausgaben auf Klardaten-Lecks. Eingesetzte Modell-Anbieter werden in der Anlage zum verbindlichen AVV konkret benannt (EU-Hosting oder On-Premise ohne externen Anbieter).

Liegt ein AVV nach Art. 28 DSGVO vor?

Ja, unser AVV-Muster ist öffentlich einsehbar und wird je Projekt individuell ausgefertigt. Es enthält Weisungsbindung inkl. Hinweispflicht (Art. 28 Abs. 3 UAbs. 2), Subprozessoren-Regelung mit 4-Wochen-Ankündigung und Sonderkündigungsrecht, Unterstützungspflichten Art. 32-36 sowie Lösch- und Nachweisregeln.

Welche technischen und organisatorischen Maßnahmen bestehen?

Vollständig dokumentiert in den TOMs nach Art. 32 DSGVO: Zutritt/Zugang/Zugriff (RBAC, Least Privilege, MFA für Admin-Zugänge), Mandantentrennung, TLS-Transport- und At-Rest-Verschlüsselung, Pseudonymisierung, Protokollierung, Wirksamkeitsüberprüfung.

Wie schnell werden Datenschutzverletzungen gemeldet?

Unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden, mit Unterstützung Ihrer Melde- und Benachrichtigungspflichten nach Art. 33/34 DSGVO (§ 9 AVV).

Was passiert mit den Daten nach Vertragsende?

Löschung oder Rückgabe nach Ihrer Wahl innerhalb von 30 Tagen, inklusive Kopien; auf Anfrage mit Löschbestätigung in Textform (§ 10 AVV). Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Bestehen Audit- und Kontrollrechte?

Ja. Wir stellen alle Nachweise nach Art. 28 DSGVO bereit und ermöglichen Überprüfungen einschließlich Inspektionen durch Sie oder beauftragte Prüfer (§ 8 AVV), mit angemessenem Vorlauf während der Geschäftszeiten.

Wer hat Zugriff auf unsere Daten?

Nur namentlich autorisierte, auf Vertraulichkeit verpflichtete Personen nach dem Least-Privilege-Prinzip; administrative Tätigkeiten sind auf einen eng begrenzten Personenkreis beschränkt und werden protokolliert. Keine geteilten Konten.

Wie wird die menschliche Kontrolle über KI-Ergebnisse sichergestellt?

Human in the Lead: Jede Ausgabe wird von einem Menschen geprüft und freigegeben, jede Freigabe wird protokolliert. Es gibt keine automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO.

Ist die Verarbeitung nachweisbar (Rechenschaftspflicht)?

Jeder Verarbeitungsschritt und jede Freigabe werden durchgängig und manipulationsgeschützt protokolliert. Der Nachweis, wer wann was freigegeben hat, ist auf Anfrage exportierbar.

Unterstützen Sie unsere Datenschutz-Folgenabschätzung (DSFA)?

Ja, im Rahmen der Unterstützungspflichten nach Art. 35/36 DSGVO (§ 3 AVV). Architektur-Unterlagen und TOMs stellen wir dafür bereit.

Welche Zertifizierungen liegen vor?

Wir kommunizieren unseren Zertifizierungsstatus ehrlich: siehe Abschnitt Zertifizierungen auf dieser Seite. Das Hosting-Rechenzentrum ist ISO/IEC-27001-zertifiziert; eigene Zertifizierungen sind in Vorbereitung und werden hier aktualisiert.

Zertifizierungen

veronto ist nach den Grundsätzen Privacy by Design und Security by Design (Art. 25 DSGVO) entwickelt. Eine förmliche Zertifizierung nach ISO/IEC 27001 ist Teil unserer Roadmap. Auf Anfrage stellen wir den aktuellen Stand unserer Sicherheitsmaßnahmen sowie weitere Nachweise im Rahmen einer Lieferantenprüfung bereit.

Kontakt für Datenschutz und Sicherheit

Fragen zu Datenschutz, Auftragsverarbeitung oder Informationssicherheit richten Sie bitte an datenschutz@veronto.de. Für Sicherheitshinweise (Responsible Disclosure) nutzen Sie bitte dieselbe Adresse mit dem Betreff „Security".