Wie wir Ihre Compliance-Daten schützen

Wo Ihre Daten liegen

Jedes Byte der Inhalte, die Sie in Maditon eingeben, liegt unter europäischer Rechtshoheit, auf der Infrastruktur von Unternehmen mit Sitz in Europa. Nichts davon wird von Cloud-Anbietern mit Sitz in den USA verarbeitet oder gespeichert — auch nicht in deren „EU-Regionen“, wegen des US CLOUD Act und FISA 702. Die einzige Ausnahme ist die Abrechnung: Stripe Payments Europe (Irland) kann Abrechnungsdaten auf Grundlage des EU-US-Datenschutzrahmens und der Standardvertragsklauseln an Stripe, LLC in den USA übermitteln (Datenschutzerklärung, auf Englisch, Abschnitt 5).

• Anwendungshosting: UpCloud Ltd — Frankfurt
• Produktionsdatenbank: UpCloud Ltd Managed PostgreSQL — Frankfurt
• Objektspeicher: UpCloud Ltd Managed Object Storage — Frankfurt
• Identitätsanbieter: Zitadel Cloud — Schweiz (Angemessenheitsbeschluss der EU)
• KI-Verarbeitung, einschließlich der Auswertung veröffentlichter Rechtsdokumente von Lieferanten: Mistral AI SAS — Frankreich, über den regionalen EU-Endpunkt von Mistral. Kein anderer KI-Anbieter wird genutzt. Ein Weg ist bewusst global und trägt keine Kundendaten: Der veröffentlichte Rechtstextbestand (der Text der EU-Rechtsvorschriften) läuft über die Files API von Mistral, die nicht regional angeboten wird.
• Transaktions-E-Mails, einschließlich der Anmeldecodes und Magic Links, die Zitadel versendet: MailPace (OhMySMTP Ltd) — Großbritannien (Angemessenheitsbeschluss der EU)
• Marketing-E-Mails und Newsletter: Brevo / Sendinblue SA — Frankreich
• Webanalyse: Plausible Insights OÜ — Estland. Keine Cookies und keine dauerhafte, seitenübergreifende Kennung; IP-Adresse und User-Agent werden nur flüchtig zu einer täglich wechselnden Kennung verarbeitet und nicht gespeichert.
• Fehlerüberwachung: Bugsink B.V. — Niederlande. Fehlerereignisse können IP-Adressen, Nutzerkennungen und Stacktraces enthalten; Rohereignisse werden 60 Tage aufbewahrt.
• CDN der Website: BunnyCDN — Slowenien, nur EU-Edge-Knoten konfiguriert
• Seiten der Lieferanten: abgerufen von unserem eigenen Crawler von unseren Servern in Frankfurt (siehe maditon.com/de/bot). Kopien werden zum Auswerten und Vergleichen gespeichert; sie sind kein Archiv, und die Originale sind die Seiten des Lieferanten.

Daten bei der Übertragung und im Ruhezustand

• Mindestens TLS 1.2, bevorzugt TLS 1.3. Unverschlüsselter Verkehr wird auf HTTPS umgeleitet, bevor er den Dienst erreicht.
• Die Datenbank ist im Ruhezustand verschlüsselt (UpCloud Managed PostgreSQL bietet das von Haus aus).
• Nachweisdateien im Objektspeicher sind im Ruhezustand verschlüsselt und über den Speicherpfad an die hochladende Organisation gebunden.
• Dokumente, die Sie als vertraulich markieren — etwa ein unterschriebener Vertrag, den Sie keinem Interessenten zeigen würden — verschlüsselt zusätzlich die Anwendung selbst, mit einem Datenschlüssel, der nur für Ihre Organisation existiert (AES-256-GCM). Die Datei, ihr extrahierter Text, die KI-Auswertung, die darin zitierten Passagen und deren Übersetzungen werden alle als Chiffretext gespeichert. Der Datenschlüssel ist mit einem Hauptschlüssel verschlüsselt, der nur in der Laufzeitumgebung der Anwendung liegt, nie in der Datenbank. Das schützt vor einem Datenbankabzug, einem Backup, einem Lesezugriff auf den Speicher außerhalb der Anwendung und einer zu weit gefassten Abfrage; es schützt nicht vor einem kompromittierten Anwendungsserver, der den Hauptschlüssel hält. Wenn Sie Ihre Organisation löschen, wird der Datenschlüssel gelöscht, und jede Kopie, die noch in einem Backup liegt, ist nicht mehr lesbar.
• Passwörter werden von Zitadel mit Argon2id gehasht (wir sehen die Passwörter unserer Kunden nie; OAuth-Abläufe wickeln das durchgehend ab).

Anmeldung und Zugriff

• OIDC / OAuth 2.0 über Zitadel. Standard-JWTs, die sowohl die Web-App als auch die API prüfen.
• Mehrfaktor-Authentifizierung für Nutzer verfügbar (TOTP, WebAuthn / Passkeys). Administratoren einer Organisation können MFA für alle Mitglieder vorschreiben.
• Kurzlebige Zugriffstoken (15 Minuten) mit sicherer Erneuerung.
• Erneute Anmeldung bei sensiblen Aktionen: E-Mail-Adresse oder Passwort ändern, MFA ändern, ein Konto löschen, Abrechnungsdaten ändern, API-Schlüssel erzeugen, Rollen in der Organisation ändern.
• OAuth-Anbieter: nur Google und Microsoft. Keine MFA per SMS — sie ist anfällig für SIM-Swapping.
• Ratenbegrenzung an jedem API-Endpunkt. Fehlgeschlagene Anmeldeversuche werden mit IP-Adresse und Zeitstempel protokolliert und mindestens 90 Tage aufbewahrt.

Sicherheit bei der KI-Verarbeitung

• Kundentext — was Sie eingeben und die Dokumente, die Sie hochladen — wird von personenbezogenen Daten bereinigt (Namen, E-Mail-Adressen, Telefonnummern, Anschriften), bevor irgendetwas davon ein KI-Modell erreicht. Die Originale bleiben in unserer Datenbank; nur die bereinigten Kopien überschreiten die API-Grenze. Die veröffentlichte Seite eines Lieferanten ist die einzige Ausnahme: Sie wird so gesendet, wie sie veröffentlicht ist, weil die Auswertung sie wörtlich zitiert und sie nichts über Sie enthält.
• Das Training von Modellen mit übermittelten Daten ist für unser Mistral-Konto abgeschaltet. Wir sagen das bewusst so: Der Auftragsverarbeitungsvertrag von Mistral erlaubt Training, solange der Kunde nicht widerspricht — maßgeblich ist also die Kontoeinstellung, nicht der Vertrag.
• Jede KI-Ausgabe ist ein Entwurf. Keine automatisierten Entscheidungen mit Rechtswirkung im Sinne von Artikel 22 DSGVO.
• Jeder KI-Lauf wird mit Metadaten protokolliert (Modell, Tokens, Konfidenz der Prüfung, Hinweis auf Expertenprüfung) — nie mit Roh-Prompts, die personenbezogene Daten enthalten.

Protokollierung und Reaktion auf Vorfälle

• Jede wesentliche Aktion wird protokolliert: Anmeldeereignisse, verweigerte Berechtigungen, Datenexporte, Löschungen, Abrechnungsereignisse, KI-Einstufungen und ihre Bestätigung.
• Protokolle sind strukturiertes JSON. Keine personenbezogenen Daten im Protokolltext.
• Aufbewahrung der Sicherheitsprotokolle: mindestens 90 Tage.
• Wir verpflichten uns, betroffene Kunden innerhalb von 72 Stunden nach einer bestätigten Verletzung des Schutzes personenbezogener Daten zu benachrichtigen. Das ist unsere eigene vertragliche Zusage: Die 72-Stunden-Frist der DSGVO gilt für die Meldung an die Aufsichtsbehörde, und betroffene Personen werden bei hohem Risiko unverzüglich benachrichtigt.

Umgang mit Schwachstellen

• Öffentliche Meldung von Schwachstellen: E-Mail an security@maditon.com. Wir bestätigen den Eingang von Meldungen möglichst innerhalb von 48 Stunden.
• Jede Änderung wird automatisch auf bekannte Schwachstellen in den Komponenten Dritter geprüft, auf denen wir aufbauen. Ein schwerwiegender Befund verhindert die Freigabe der Änderung — die Prüfung ist eine Sperre, kein Hinweis.
• Automatische Aktualisierungen von Abhängigkeiten werden nur zur Prüfung vorgeschlagen. Nichts gelangt ins Produkt, ohne dass eine Person es geprüft und freigegeben hat.

Geschäftskontinuität

• Automatische, verschlüsselte tägliche Datenbankabzüge, 30 Tage lang in EU-Objektspeicher aufbewahrt, dazu die eigenen Zwei-Tages-Snapshots des Datenbankanbieters. Ab dem 7. Dezember 2026 wird jeder Abzug, zusammen mit einer Kopie der hochgeladenen Dateien, zusätzlich bei einem zweiten Anbieter aufbewahrt (bunny.net, in Stockholm, Schweden), sodass der Ausfall eines Anbieters die Backups nicht mitnimmt. Eine monatliche Prüfung listet sie auf. Das jüngste Backup ist nie älter als einen Tag; darauf beruht unser unten genanntes Ziel für den Wiederherstellungspunkt.
• Die Wiederherstellung eines Abzugs ist getestet. Am 25. August 2026 haben wir den nächtlichen Abzug in eine Wegwerf-Datenbank zurückgespielt, geprüft, dass ihre Zeilen mit der Produktion übereinstimmen, und sie wieder gelöscht. Der Test ist jedes Quartal fällig und nach jeder Änderung an der Art, wie Backups entstehen; nachdem die Abzüge im Oktober zu UpCloud umgezogen sind, wurde er am 30. Oktober 2026 erneut durchgeführt, und der Quartalstest folgte am 6. November 2026. Beide waren erfolgreich. Die eigenen Snapshots des Datenbankanbieters wurden noch nicht in einem Test wiederhergestellt.
• Unsere internen Wiederherstellungsziele lauten: innerhalb von 4 Stunden wieder online zu sein und nicht mehr als 24 Stunden an Daten zu verlieren. Das sind Ziele, nach denen wir planen — keine gemessene Fähigkeit und keine vertragliche Zusage. Eine vollständige Wiederherstellung haben wir noch nicht geprobt.

Datenschutz durch Technikgestaltung

• Datenexport nach Artikel 15 / 20 DSGVO zum Selbstauslösen (personenbezogene Daten + JSON Schema + README).
• Export nach Artikel 4 der Datenverordnung zum Selbstauslösen (alle Daten der Organisation, maschinenlesbar).
• Löschung nach Artikel 17 DSGVO zum Selbstauslösen: Der Antrag öffnet ein Fenster von 30 Tagen, in dem Sie ihn noch zurückziehen können; danach werden Ihre personenbezogenen Daten anonymisiert.
• 30 Tage Wiederherstellungsfrist nach dem Löschen für KI-Systeme, Nachweisdateien, Lieferanten, Dokumente sowie Systeme und Dienste.
• Keine Kundeninhalte gehen an Analyse- oder Marketingwerkzeuge. Fehlerereignisse an unsere Fehlerüberwachung können IP-Adressen und Nutzerkennungen enthalten; deshalb ist sie oben als Auftragsverarbeiter aufgeführt — der Protokolltext selbst enthält keine personenbezogenen Daten.

Was wir (noch) nicht haben

Ehrlich zum Reifegrad:

• ISO-27001-Zertifizierung: noch nicht. Wir bauen nach den Maßnahmen aus Anhang A der ISO 27001, die formale Zertifizierung ist für 2027 geplant.
• SOC 2 Type II: nicht geplant. SOC 2 ist ein US-Rahmenwerk. ISO 27001 ist das europäische Gegenstück und für unsere Kunden der relevantere Nachweis.
• Öffentliches Verfügbarkeits-SLA: nicht in den aktuellen Tarifen. Wir überwachen die Verfügbarkeit intern, sagen aber noch kein vertragliches SLA zu.
• Redundanz auf jeder Ebene: noch nicht. Teile des Dienstes laufen noch ohne Bereitschaftssystem; manche Ausfälle bedeuten also eine Unterbrechung, bis wir wiederhergestellt haben, statt einer automatischen Umschaltung.
• Formale Sicherheitsprüfung bei jeder Freigabe: nicht als dokumentierte Sperre. Sicherheitsrelevante Änderungen werden besonders genau geprüft, und die automatischen Prüfungen oben verhindern eine Freigabe schon von sich aus, aber es gibt keinen abgezeichneten Prüfschritt, der an jede Freigabe gebunden ist.
• Automatische Prüfung unseres eigenen Codes: noch nicht. Die automatischen Prüfungen oben decken die Komponenten Dritter ab, auf denen wir aufbauen, nicht den Code, den wir selbst schreiben.

Lieferantenprüfungen und Auftragsverarbeitungsverträge

Wir können mit jedem Kunden, der das wünscht, einen Auftragsverarbeitungsvertrag (AVV) abschließen. Schreiben Sie an privacy@maditon.com mit Ihrem Standard-AVV, oder fordern Sie unseren an. Wir antworten auf Englisch. Die vollständige Liste unserer eigenen Unterauftragsverarbeiter steht in der Datenschutzerklärung (auf Englisch).

Sicherheitsproblem melden

Wenn Sie glauben, eine Schwachstelle in Maditon gefunden zu haben, schreiben Sie bitte an security@maditon.com. Ein Bug-Bounty-Programm haben wir derzeit nicht, aber wir nennen Meldende mit ihrer Zustimmung öffentlich im Änderungsprotokoll dieser Seite, und unser Dank ist echt.

Bitte geben Sie uns eine angemessene Frist — mindestens 14 Tage —, um das Problem zu untersuchen und zu beheben, bevor Sie es veröffentlichen. Wir antworten auf jede Meldung, auf Englisch.