39 Fragen zu Maditon — zum Lieferantenregister, zu den Fragebögen und zum Modul „KI-Verordnung“ —, jede mit einer Antwort, die auch für sich allein steht, wenn sie aus dieser Seite herausgelöst wird. Jede Antwort nennt die Artikel, auf denen sie beruht, und, wo es einen gibt, den API-Endpunkt, der das Beschriebene tut.
Zuletzt aktualisiert am · llms.txt · OpenAPI
Was Maditon ist, für wen es gedacht ist, was das Lieferantenregister und die Fragebögen leisten und was es kostet.
Maditon ist ein EU-Compliance-Assistent für Startups und KMU. Maditon führt das Register der Lieferanten und Systeme, wertet deren öffentliche Rechtsdokumente mit Zitaten aus und überwacht sie, entwirft Antworten auf Sicherheitsfragebögen von Kunden und exportiert alles als PDF. Das Modul „KI-Verordnung“ stuft KI-Systeme mit Zitaten aus der Verordnung ein. Alles ist Entwurf, bis eine benannte Person es bestätigt.
Maditon führt ein Register der Dienste, von denen Ihr Unternehmen abhängt, und wertet die veröffentlichten Rechtsdokumente jedes Lieferanten aus — Datenschutzerklärung, Nutzungsbedingungen, Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, Sicherheitsseite. Es berichtet, was sie sagen und was sie auslassen, und jeder Befund zitiert seine Quelle. Dann überwacht es die Dokumente und meldet Änderungen.
2 Endpunkte
Maditon ruft eine Kopie der veröffentlichten Seite des Lieferanten ab, extrahiert den Text und lässt Mistral ihn in drei Durchgängen auswerten: was das Dokument sagt, was es seiner Art nach schuldet, aber auslässt, und eine Zusammenfassung. Das Ergebnis: Befunde mit Zitat, eingestuft als hoch, mittel oder niedrig. Ein Befund ist eine Frage an den Lieferanten — Maditon erklärt nie einen Lieferanten für konform.
3 Endpunkte
Maditon wertet überwachte Dokumente planmäßig neu aus, vergleicht den Text absatzweise mit der letzten Fassung, und ein Modell beurteilt, ob der Unterschied wesentlich ist: eine Aufbewahrungsfrist, ein Übermittlungsmechanismus, ein neuer Unterauftragsverarbeiter. Eine E-Mail am Tag nennt Änderungen und nicht lesbare Dokumente; beide Fassungen bleiben in der App, damit Sie die Zusammenfassung am Wortlaut prüfen.
1 Endpunkt
Ja, in bezahlten Tarifen. Maditon gleicht Firmenname, Registrierungsnummer und Land jedes Lieferanten mit den juristischen Personen auf den konsolidierten Sanktionslisten von EU und UN ab — jede Nacht, bei Änderungen am Lieferanten und auf Anfrage — nach festen Regeln, ohne KI. Ein möglicher Treffer ist eine Ähnlichkeit, die jemand in Ihrer Organisation bestätigt oder verwirft, nie die Feststellung einer Sanktion.
4 Endpunkte
Weil Schweigen nur dort eine Lücke ist, wo diese Art von Dokument eine Antwort schuldet. Ein Auftragsverarbeitungsvertrag, der die Löschung bei Vertragsende nie erwähnt, lässt etwas aus; Nutzungsbedingungen, die dazu schweigen, nicht. Maditon führt eine Liste, was jeder Dokumenttyp schuldet, und meldet Fehlendes nur danach, damit eine Sicherheitsseite nicht mit DSGVO-Klauseln aufgefüllt wird, die niemand erwartet.
1 Endpunkt
Laden Sie die Datei Ihres Kunden hoch — XLSX, DOCX, CSV oder PDF. Maditon behält Kennungen, Abschnitte und Reihenfolge der Fragen bei und entwirft, was es kann, aus Ihrem Compliance-Profil, Ihrem Lieferantenregister, Ihren Systemen und früher genehmigten Antworten, jeweils mit Quelle. Sie prüfen, bearbeiten und genehmigen; nur genehmigte Antworten gehen in die Datei, die Sie im Format des Kunden exportieren.
4 Endpunkte
Das Register dessen, was Ihre Organisation betreibt und anbietet — interne Tools, Dienste für Kunden, eigene Produkte — und von welchen Lieferanten jedes davon abhängt. Ein Lieferant kann zu mehreren Systemen gehören, ein System mehrere Lieferanten haben, jede Verknüpfung mit einer Angabe zur Rolle. Systeme können eigene Dokumente haben. KI-Systeme aus dem Modul „KI-Verordnung“ erscheinen hier automatisch.
3 Endpunkte
Maditon ist für europäische Startups, Scale-ups und KMU gemacht, die unter EU-Vorschriften fallen, aber kein eigenes Rechts- oder Compliance-Team haben. Es ist so gebaut, dass Produktverantwortliche oder Gründer eine Einstufung ohne regulatorisches Fachvokabular durchführen können, und es richtet sich nur an Unternehmen (B2B) — ein Angebot für Verbraucher gibt es nicht.
Eine Zeile pro Lieferant und eine für die eigenen Dokumente jedes Systems: Verfügbarkeitszusage, Gutschriften, Wartungsfenster, Supportkanäle und Supportstufen aus den Dokumenten der Lieferanten, neben den Support-Kontakten, die Ihr Team selbst erfasst hat. Jeder Wert nennt seine Herkunft — das Dokument und das Datum der Auswertung oder dass er von Hand erfasst wurde —, und weichen beide ab, sehen Sie beide.
3 Endpunkte
Ein hochgeladenes, als vertraulich markiertes Dokument — etwa ein unterschriebener Vertrag, den Sie keinem Interessenten zitieren würden. Es wird normal ausgewertet und verglichen, aber nie für Fragebogenentwürfe genutzt. Verschlüsselt wird es mit einem Schlüssel nur für Ihre Organisation (AES-256-GCM): Datei, Text, Auswertungen und Übersetzungen sind Chiffretext. Mit der Organisation wird der Schlüssel gelöscht.
3 Endpunkte
Nein. Maditon bewahrt Kopien auf, um sie auszuwerten und zu vergleichen: die Seite eines Lieferanten, wie sie an einem Tag aussah, oder eine hochgeladene Datei. Es ist weder Archiv noch Registratur; die Originale sind die Seiten des Lieferanten und Ihre unterschriebenen Dateien. Gehen Sie, liefert der Export nach der Datenverordnung Ihre Eingaben und alles, was Maditon erstellt hat, samt Kopien, in offenen Formaten.
2 Endpunkte
Das Systempaket enthält das System, seine Lieferanten mit Rolle und Support-Kontakten, die SLA- und Kontaktzeilen, die letzte Auswertung jedes Dokuments mit Befunden und Zitaten, Widersprüche unter den Lieferanten und die Liste vertraulicher Dokumente. Das Registerpaket umfasst alle Systeme und Lieferanten. Beide werden auf Abruf erzeugt, nie gespeichert und nennen sich eingangs Kopien dessen, was Maditon las.
3 Endpunkte
Jedes Konto erhält das Lieferantenregister, die Änderungsüberwachung, Fragebögen, Systeme und Dienste und PDF-Pakete. Module fügen je eine Vorschrift hinzu; das erste ist das Modul „KI-Verordnung“, das KI-Systeme erfasst und jedes mit Zitaten aus der Verordnung (EU) 2024/1689 einstuft. Jedes KI-System im Modul erscheint auch in Ihrem Systemregister, sodass Lieferanten, SLA und Kontakte bei allem anderen liegen.
3 Endpunkte
Ja. Eine Beschaffung übernimmt Kandidaten aus dem Register oder per Adresse, wertet ihre veröffentlichten Dokumente aus und prüft sie auf Anforderungen: EU-Hosting, AVV, kein KI-Training mit Kundendaten, Vorfallmeldung binnen 72 Stunden, abgesicherte Übermittlungen, dazu Ihre eigenen. Jedes Ergebnis zeigt seine Quellpassage. Ihre Entscheidung schließt die Beschaffung, dann wird der gewählte Lieferant überwacht.
4 Endpunkte
Maditon hat einen kostenlosen Tarif ohne Karte, dann Starter für 49 €, Growth für 149 € und Scale für 349 € im Monat, je 14 Tage kostenlos testbar und bemessen nach den Lieferanten im Register. Jeder Tarif enthält ein KI-System; das Zusatzmodul „KI-Verordnung“ (39 €/Monat) deckt weitere ab. Jährlich zwei Monate gratis. Preise zzgl. MwSt.; maßgeblich ist https://maditon.com/de/pricing (Stand: 9. November 2026).
2 Endpunkte
Das Modul „KI-Verordnung“ (Verordnung (EU) 2024/1689) ist heute verfügbar. DSGVO, NIS-2, DORA und die Cyberresilienz-Verordnung sind angekündigt, die Datenverordnung der EU und die CSRD werden beobachtet. Die aktuelle Liste ist maschinenlesbar und öffentlich unter https://api.maditon.app/api/modules abrufbar — ohne Authentifizierung.
3 Endpunkte · auch öffentlich
Nein. Maditon strukturiert und beschleunigt Compliance-Arbeit, leistet aber keine Rechtsberatung. Jede KI-generierte Bewertung ist ein Entwurf, bis eine namentlich benannte Person in Ihrem Team sie bestätigt, und diese Person übernimmt die Verantwortung. Für wirklich strittige Fragen — eine Einstufung im Grenzbereich, einen neuartigen Anwendungsfall, ein Aufsichtsverfahren — brauchen Sie weiterhin Rechtsbeistand.
Wie eine Einstufung entsteht und wie Sie sie prüfen.
Ein KI-geführtes Interview fragt in klarer Sprache, was das System tut, wen es betrifft und wo es eingesetzt wird. Maditon gleicht die Antworten mit jeder Risikokategorie der Verordnung (EU) 2024/1689 ab — verboten, hohes Risiko, nur Transparenzpflichten und minimales Risiko — und liefert den Entwurf einer Einstufung mit den Artikeln, auf denen sie beruht, und dem wörtlich zitierten Verordnungstext.
4 Endpunkte
Sie prüfen sie am Gesetz, und Maditon ist dafür gebaut. Jede Einstufung nennt den Artikel, auf dem sie beruht, und zitiert die Passage aus der Verordnung (EU) 2024/1689 wörtlich, mit der vollständigen Quelle einen Klick entfernt. Ein separater Prüfdurchgang gleicht dann jede Schlussfolgerung mit dem abgerufenen Text ab und meldet jede Aussage, die er nicht stützen konnte, zusammen mit einem Konfidenzwert.
3 Endpunkte
Maditon sagt es offen: Es nennt einen Konfidenzwert und eine ausdrückliche Liste der Aussagen, die der Prüfdurchgang nicht mit dem Text der Verordnung belegen konnte. Unterhalb der Konfidenzschwelle oder wo sich ein Zitat nicht im Rechtstext verankern lässt, wird die Einstufung mit „Prüfung durch Fachleute erforderlich“ gekennzeichnet, statt als feststehende Antwort dargestellt zu werden.
Ja. Sie können die Risikoeinstufung ganz überschreiben, einer bestätigten Einstufung Prüfanmerkungen hinzufügen und jedes einzelne Zitat als falsch melden. Das Überschreiben wird im Audit-Protokoll mit der Person festgehalten, die es vorgenommen hat — so wird Ihr Widerspruch Teil der dokumentierten Aufzeichnung, statt außerhalb davon zu geschehen.
4 Endpunkte
Nein, und das kann sie auch nicht. Jede von der KI erstellte Risikoeinstufung oder Compliance-Bewertung bleibt ein Entwurf, bis eine namentlich benannte Person sie ausdrücklich bestätigt; Name und Zeitstempel werden festgehalten. Keine KI-Ausgabe erreicht von selbst den Status „freigegeben“ oder „konform“ — das setzt die Software durch, es steht nicht nur in der Dokumentation.
1 Endpunkt
Was eine Einstufung auslöst und wie die Nachweise aufbewahrt werden.
Eine Einstufung erzeugt die vollständige Checkliste der Pflichten für diese Risikostufe, abgeleitet aus der Verordnung statt aus einer allgemeinen Vorlage. Jeder Punkt der Checkliste kann Nachweisdateien tragen, hat seinen eigenen Status und fließt in ein organisationsweites Compliance-Dashboard und eine Liste dringender Maßnahmen ein.
4 Endpunkte
Nachweisdateien werden zu einem KI-System hochgeladen und den Punkten der Checkliste beigefügt, die sie belegen, sodass jede Pflicht ihren eigenen Nachweis trägt. Alles lässt sich gesammelt als ZIP herunterladen — pro System oder alle Nachweise der Organisation auf einmal, nach Art. 4 der Datenverordnung.
4 Endpunkte
Ein Dossier ist eine einzige PDF/A-1b-Datei zu den KI-Systemen der Organisation: die bestätigte Einstufung jedes Systems mit den Artikeln und dem zitierten Verordnungstext dahinter, die Checkliste der Pflichten mit ihrem Stand, die Nachweise zu jeder Pflicht und das Bestätigungsprotokoll, das zeigt, wer was wann bestätigt hat.
1 Endpunkt
Ja. Maditon führt für jedes Hochrisiko-KI-System einen Registrierungsdatensatz mit den Angaben, die Artikel 49 der KI-Verordnung der EU verlangt, bevor ein Hochrisiko-System in Verkehr gebracht oder in Betrieb genommen wird. Die Frist für die Registrierung hat der digitale Omnibus zur KI auf den 2. Dezember 2027 verschoben.
2 Endpunkte
Maditon programmatisch nutzen, auch als KI-Agent.
Ja. Das Backend von Maditon ist eine REST-API mit einer automatisch erzeugten OpenAPI-Spezifikation unter https://api.maditon.app/openapi.json, zum Durchblättern unter https://api.maditon.app/docs. Sie veröffentlicht 86 Produkt-Endpunkte für KI-Systeme, Risikoeinstufung, Compliance-Checklisten, Nachweise, Dossiers, Abrechnung und Datenexport. Interne Admin-Endpunkte sind bewusst nicht in der Spezifikation enthalten.
1 Endpunkt · auch öffentlich
Vier Dinge sind öffentlich: die Statusprüfung, die Liste der Regulierungsmodule (GET /api/modules und /api/modules/{code}) und die Transparenz-Endpunkte, die die veröffentlichten KI-Transparenzseiten von Organisationen ausliefern. Alles, was Kundendaten berührt, verlangt ein Bearer-Token — ein Aufruf ohne Authentifizierung erhält dort 401.
3 Endpunkte · auch öffentlich
Mit einem OIDC-Bearer-Token, das Zitadel ausstellt und das im Header Authorization: Bearer mitgesendet wird. Die API prüft es bei jeder Anfrage gegen den JWKS-Endpunkt von Zitadel. Access-Tokens sind kurzlebig — 15 Minuten —, Refresh-Tokens übernehmen die Erneuerung, und jeder Aufruf ist auf die Organisation im Token beschränkt.
Ja. GET /api/compliance/dashboard liefert das Gesamtbild der Organisation, /api/compliance/systems/{system_id} die Details zu einem System und /api/risk-classification/{system_id}/latest die aktuelle Einstufung mit Zitaten, Konfidenzwert und nicht gestützten Aussagen. Alle liefern JSON und verlangen ein Bearer-Token.
4 Endpunkte
Wo die Daten liegen, welche Modelle sie sehen und wie Sie sie zurückbekommen.
Alles, was Sie in Maditon eingeben, wird in der EU von Dienstleistern mit Sitz in Europa gehostet. Rechenleistung, Datenbank (UpCloud Managed PostgreSQL) und Objektspeicher laufen bei UpCloud in Frankfurt, das CDN ist BunnyCDN mit reinen EU-Edge-Knoten, die Anmeldung läuft über Zitadel in der Schweiz. Einzige Ausnahme ist die Abrechnung: Stripe kann Abrechnungsdaten an sein US-Schwesterunternehmen übermitteln.
Maditon nutzt Mistral, einen französischen KI-Anbieter, und als Alternative selbst betriebene Modelle auf EU-Infrastruktur. Keine Kundendaten gehen an KI-Anbieter mit Sitz in den USA. Personenbezogene Daten werden aus den Prompts entfernt, bevor sie die Anwendung verlassen, sodass das Modell die Compliance-Frage ohne die identifizierenden Angaben erhält, die es nicht braucht.
Alles, was Maditon an die KI sendet — was Ihr Unternehmen eingegeben oder hochgeladen hat, und die veröffentlichten Rechtsdokumente Ihrer Lieferanten —, wertet Mistral in Frankreich über einen EU-Endpunkt aus; das Training mit übermittelten Daten ist abgeschaltet. Kein anderer KI-Anbieter ist beteiligt, und nichts verlässt den Weg, der nur durch die EU führt.
Über zwei Endpunkte, die Sie selbst aufrufen. GET /api/data-act/export liefert alle Daten der Organisation als maschinenlesbares JSON nach Art. 4 der Datenverordnung, GET /api/data-act/evidence jede Nachweisdatei als ZIP. Es gibt keinen Freigabeschritt, kein Support-Ticket und keine Wartezeit — und ein eigener DSGVO-Export deckt die personenbezogenen Daten einer einzelnen Person ab.
3 Endpunkte
DELETE /api/gdpr/delete beantragt die Löschung nach Art. 17 DSGVO. Es folgt eine 30-tägige Karenzfrist, in der sich der Antrag abbrechen lässt; danach werden die Daten endgültig gelöscht oder vollständig anonymisiert — auch Datensätze, die nur als gelöscht markiert sind, behalten in keinem Feld personenbezogene Daten. Exportieren Sie vorher, was Sie behalten möchten.
2 Endpunkte
Die Verordnung selbst — Fristen, Rollen und die Hochrisiko-Kategorien.
Die verbotenen Praktiken nach Art. 5 gelten seit Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025. Der digitale Omnibus zur KI hat die Hochrisiko-Pflichten, einschließlich der Registrierung in der EU-Datenbank, von August 2026 auf den 2. Dezember 2027 verschoben und die Regeln für KI in regulierten Produkten auf den 2. August 2028.
Sie sind Anbieter, wenn Sie ein KI-System entwickeln und unter Ihrem eigenen Namen in der EU in Verkehr bringen, und Betreiber, wenn Sie eines in eigener Verantwortung beruflich verwenden. Die meisten europäischen Unternehmen sind Betreiber. Die Rollen schließen sich nicht aus — wer seinen Namen auf das Modell eines Dritten setzt oder es wesentlich verändert, kann dessen Anbieter werden.
Es gibt zwei Wege. Ein System ist ein Hochrisiko-KI-System, wenn es Sicherheitsbauteil eines Produkts ist, das unter die Harmonisierungsrechtsvorschriften der Union in Anhang I fällt, oder wenn es in einen der acht eigenständigen Bereiche in Anhang III fällt — Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, grundlegende Dienste, Strafverfolgung, Migration sowie Rechtspflege und demokratische Prozesse.
Nicht dabei? Die FAQ deckt die Grundlagen ab, und die Ratgeber gehen tiefer in die Verordnungen selbst. Fragen, die hier nicht beantwortet werden, richten Sie an contact@maditon.com. Wir antworten auf Englisch.
Kostenlose Einstufung starten