Trust Center
Technische und organisatorische Maßnahmen
Stand: 14.09.2026
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO — Anlage zum Auftragsverarbeitungsvertrag. Jede Maßnahme beschreibt den tatsächlich umgesetzten Stand.
Vertragsstatus:
Diese Vertragsunterlagen werden vor Vertragsschluss kundenspezifisch geprüft und vereinbart. Sie stellen keine Rechtsberatung dar.
TOMs herunterladen (Markdown)
Verschlüsselung
- TLS-Verschlüsselung sämtlicher Verbindungen (HTTPS; TLS-Terminierung am Load Balancer mit von AWS verwalteten Zertifikaten)
- Serverseitige Verschlüsselung ruhender Daten in Datenbank und Dateispeicher (AWS-verwaltete Schlüssel)
- Signierte und verschlüsselte Sitzungs-Cookies (Secure, SameSite=Lax)
Zugangskontrolle
- Passwortlose Anmeldung per Magic-Link/Einmalcode mit Ablaufzeit; es werden keine Passwörter gespeichert
- Optional Single Sign-on über Microsoft Entra ID (Konten- und Richtlinienverwaltung liegt bei der Organisation)
- Externe Benutzer durchlaufen eine Freigabe-Warteschlange; Administratoren werden benachrichtigt
- Kiosk-Terminals: registrierte Geräte, PIN-Eingabe mit Gerätesperre nach Fehlversuchen
Zugriffskontrolle (Berechtigungskonzept)
- Rollenmodell (Administrator, Editor, Betrachter)
- Kategorie-Scoping und dokumentbezogene Freigaben für Betrachter; durchgesetzt in Listen, Downloads und KI-Antworten
- Zugriff auf die Produktionsumgebung nur für den Betreiber über IAM-authentifizierte AWS-Zugänge
Trennungskontrolle
- Mandantengetrennte Datenhaltung: jede Datenbankabfrage ist an die Organisation gebunden; die Mandantenauflösung erfolgt über den Hostnamen
Eingabekontrolle
- Audit-Trail: Änderungen an QM-Aufzeichnungen werden mit Zeitstempel und Benutzerkennung protokolliert
Verfügbarkeitskontrolle
- Point-in-Time-Recovery der Datenbank; Versionierung des Dateispeichers
- Dokumentiertes Wiederherstellungs-Runbook
- Health-Checks ersetzen nicht funktionsfähige Instanzen automatisch; Lastverteilung über mehrere Verfügbarkeitszonen
Auftragskontrolle
- Unterauftragsverarbeiter (siehe Liste im Trust Center) mit Auftragsverarbeitungsverträgen; Verarbeitung in der EU
- KI-Funktionen sind pro Organisation vollständig abschaltbar; Inhalte werden nicht zum Training von KI-Modellen verwendet
Löschung und Datenübertragbarkeit
- Vollständiger Datenexport (ZIP/CSV) durch die Organisation selbst — kein Daten-Lock-in
- Offboarding mit Deaktivierung und DSGVO-Anonymisierung nach Ablauf der Aufbewahrungsfristen
Ihr QMS. Lückenlos gelenkt.
30 Tage kostenlos, ohne Kreditkarte. Eingerichtet an einem Nachmittag.