Compliance & Sicherheit

Für veronto.de, die eigene Terminbuchung und die E-Mail-Infrastruktur nennt die Datenschutzerklärung Hetzner in Deutschland. Für ein SaaS-Projekt oder den Betrieb in einer Kundeninfrastruktur ergeben sich Verarbeitungsorte und mögliche Übermittlungen aus Angebot, Leistungsbeschreibung, verbindlichem AVV und dessen Anlage. Das öffentliche AVV-Muster regelt EU/EWR-Verarbeitung sowie die Voraussetzungen für einen Drittlandtransfer.

Personenbezogene Daten werden nur über den vorab freigegebenen Datenweg verarbeitet. Vor dem Start benennt die Projektfassung Datenarten, Modellanbieter, Hosting, Schutzschritte, Fehlergrenzen und menschliche Kontrollpunkte. Die technische Abnahme prüft diesen Weg. An einen unbenannten oder nicht freigegebenen Modellanbieter fließen keine personenbezogenen Daten.

Ein öffentliches AVV-Muster ist verfügbar. Für ein Projekt ist die ausgefertigte Fassung mit dem konkreten Leistungsumfang und der Anlage zu Unterauftragsverarbeitern maßgeblich.

Der öffentliche Sicherheitsstandard beschreibt den von veronto zugesagten Mindeststandard. Vor der ersten Verarbeitung personenbezogener Daten im vereinbarten System sind die anwendbaren Maßnahmen umgesetzt, geprüft und in der Projektanlage dokumentiert. Diese Anlage macht Systemumfang und Verantwortlichkeiten verbindlich.

§ 9 des AVV-Musters nennt eine unverzügliche Meldung nach Bekanntwerden, in der Regel innerhalb von 48 Stunden, sowie Unterstützung bei Pflichten nach Art. 33 und 34 DSGVO. Maßgeblich ist die unterzeichnete Projektfassung.

§ 10 des AVV-Musters sieht nach Wahl des Verantwortlichen Rückgabe oder Löschung innerhalb von 30 Tagen vor. Gesetzliche Aufbewahrungspflichten bleiben dort ausdrücklich vorbehalten.

§ 8 des AVV-Musters enthält Informations-, Prüfungs- und Inspektionsrechte mit angemessenem Vorlauf. Maßgeblich bleibt die unterzeichnete Projektfassung.

Für administrative Zugänge im Verantwortungsbereich von veronto gelten persönlich zugeordnete Konten, Mehr-Faktor-Authentifizierung und auf die jeweilige Aufgabe begrenzte Rechte. Rollen, Supportzugriffe, Freigaben und Protokollierung werden für das konkrete System dokumentiert und vor der technischen Freigabe geprüft.

Bei KI-gestützten Abläufen legt die Projektfassung fest, an welchen Stellen Menschen prüfen, freigeben oder eingreifen. Diese Kontrollpunkte gehören zur technischen Abnahme. Auf veronto.de findet laut Datenschutzerklärung keine automatisierte Einzelfallentscheidung im Sinne von Art. 22 DSGVO statt.

Sicherheitsrelevante und administrative Ereignisse werden im Verantwortungsbereich von veronto protokolliert. Die Projektanlage legt Ereignisse, Aufbewahrung, Zugriff, Schutz vor Änderungen und mögliche Exporte fest. Besondere Anforderungen an Beweissicherheit oder Unveränderbarkeit werden vor dem Start technisch geprüft und ausdrücklich vereinbart.

Ja. veronto stellt für den vereinbarten Produktweg Datenflüsse, Schutzmaßnahmen, Risikoinformationen und technische Ansprechpartner bereit und unterstützt damit die Prüfung nach Art. 32 bis 36 DSGVO. § 3 Abs. 4 des AVV-Musters bildet diese Unterstützung vertraglich ab.

Die eigene ISO/IEC-27001-Zertifizierung ist geplant und wird vorbereitet. Sicherheitsprozesse und Nachweise werden dafür prüfbar aufgebaut. Bis zur Erteilung lautet der ausgewiesene Status „in Vorbereitung“. Zertifikate von Infrastrukturpartnern werden mit ihrem jeweiligen Geltungsbereich getrennt ausgewiesen. Eine Zertifizierung wird durch eine unabhängige Stelle erteilt, nicht durch ISO selbst. Erläuterung zur Zertifizierung bei ISO.