Compliance Check hilft anderen Unternehmen dabei, regulatorische Pflichten zu erfüllen, und muss deshalb selbst mindestens den gleichen Maßstab an Ihre Daten anlegen. Im Folgenden steht, was heute tatsächlich zutrifft, keine Absichtserklärung. Wo etwas noch in Arbeit ist, steht das im Abschnitt Ehrliche Antworten weiter unten.
Zuletzt geprüft am: 24. August 2026
Beides, je nach Datenart. Für die Compliance-Inhalte, die Sie speichern (KI-Systeme, Bewertungen, Dokumente, Checklistenantworten), sind wir Auftragsverarbeiter nach Ihren Weisungen gemäß Art. 28 DSGVO. Für Ihre Kontodaten (Name, E-Mail-Adresse, Anmeldeaktivität) sind wir Verantwortlicher, da wir über den Zweck dieser Datenerhebung entscheiden.
Jede Organisation hat einen eigenen Verschlüsselungsschlüssel, der mit einem Hauptschlüssel geschützt ist, und damit werden sensible Felder verschlüsselt (AES-256-GCM), etwa Beschreibungen von KI-Systemen, Checklistendokumentation und Datenschutzprofile. Hochgeladene Dokumente werden auf dieselbe Weise verschlüsselt, bevor sie gespeichert werden. Die zugrunde liegenden Speichervolumen sind selbst im Ruhezustand verschlüsselt. Der gesamte Datenverkehr zwischen Ihrem Browser und der Anwendung läuft über TLS.
Compliance Check läuft auf einem eigenen Kubernetes-Cluster. Die Cluster-Knoten sind dedizierte Server, gemietet bei der Hetzner Online GmbH, der IONOS SE und der STRATO GmbH, in Rechenzentren in Deutschland und Finnland, vollständig innerhalb der Europäischen Union. Diese Anbieter stellen ausschließlich Hardware, Rechenzentrum und Netzanbindung bereit, STRATO verwaltet zusätzlich unser DNS, keiner von ihnen hat logischen Zugriff auf unsere Systeme oder Daten. Alle Datenträger und Datenbanken sind verschlüsselt.
Verschlüsselte Backups laufen täglich und werden 30 Tage aufbewahrt. Wiederherstellungen werden getestet, nicht nur angenommen: Eine vollständige Wiederherstellung in eine isolierte Datenbank wird regelmäßig geprüft, einschließlich der Kontrolle, dass auch verschlüsselte Felder unversehrt zurückkommen.
Direkt im Produkt, ohne Anfrage, im Selbstbedienungsprinzip. In den Einstellungen können Sie einen vollständigen Export aller zu Ihrem Konto gespeicherten Daten herunterladen (Art. 15 und 20) oder Ihr Konto beziehungsweise Ihre gesamte Organisation endgültig löschen (Art. 17). Die Löschung einer Organisation vernichtet auch den Verschlüsselungsschlüssel, sodass die Daten selbst aus einem zuvor erstellten Backup nicht wiederhergestellt werden können.
Ihre Compliance-Datensätze (KI-Systeme, Bewertungen, Dokumente) werden aufbewahrt, solange Ihr Konto besteht, das ist der Zweck des Produkts. Betriebsdaten mit kürzerer natürlicher Lebensdauer werden automatisch entfernt: Protokolleinträge nach 365 Tagen, genutzte oder abgelaufene E-Mail-Verifizierungstoken nach 7 Tagen, abgelehnte oder angenommene Einladungen nach 90 Tagen und gelesene Benachrichtigungen nach 180 Tagen.
Hetzner Online GmbH, IONOS SE und STRATO GmbH (dediziertes Server-Hosting, kein Datenzugriff), sowie Resend (Plus Five Five, Inc., USA) für den Versand transaktionaler E-Mails (Kontoverifizierung, Passwort-Reset, Erinnerungen an Prüfungen), zertifiziert nach dem EU-US Data Privacy Framework. Die vollständige Liste mit Anschriften und Aufgaben ist Anlage 3 unseres Auftragsverarbeitungsvertrags.
Wir benachrichtigen betroffene Kunden unverzüglich, wie es Art. 33 und 34 DSGVO vorschreiben, und unterstützen bei allem, was Ihre eigenen Meldepflichten erfordern.
Unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist öffentlich verfügbar unter Auftragsverarbeitungsvertrag, einschließlich PDF-Download. Jede Organisation schließt ihn bei der Registrierung ab, und die unterzeichnete Fassung kann jederzeit in den Organisationseinstellungen heruntergeladen werden.
Noch nicht, und das sagen wir lieber offen, statt mit einem Zertifikat mehr zu suggerieren als zutrifft. Was heute tatsächlich zutrifft, steht auf dieser Seite: Verschlüsselung pro Organisation, verschlüsselter Speicher, getestete Backups, ausschließlich EU-Hosting und Betroffenenrechte im Selbstbedienungsprinzip.
Kein einzelnes Werkzeug kann das versprechen. Compliance Check hilft Ihnen, Ihre Pflichten zu dokumentieren und abzuarbeiten. Ob Ihre Organisation tatsächlich konform ist, hängt weiterhin davon ab, wie Sie es nutzen, und von Ihrer eigenen rechtlichen Einschätzung. Für eine verbindliche Auslegung wenden Sie sich an eine qualifizierte Anwältin oder einen qualifizierten Anwalt.
Details dazu, wie wir Ihre personenbezogenen Daten verarbeiten: Datenschutzerklärung.
Lesen Sie unseren Auftragsverarbeitungsvertrag, oder kontaktieren Sie uns für weitere Unterlagen.
