Verantwortung
ISMS-Governance
Die Geschäftsführung trägt die Gesamtverantwortung für das ISMS. Rollen und Verantwortlichkeiten sind dokumentiert; Zugriffe folgen dem Need-to-know-Prinzip.
Für Due Diligence
Ein Überblick für NIS2- und ISO-27001-orientierte Prüfungen
PEDIF verarbeitet Geschäftsdokumente in einem definierten Scope. Für technische, rechtliche und einkaufsseitige Bewertungen sind vor allem Governance, Datenstandort, Zugriffskontrollen, Löschkonzepte, Incident-Prozesse und der Umgang mit externen Dienstleistern relevant.
Risikosteuerung
Risikomanagement & SoA
Supedio führt strukturierte Risikoanalysen durch, behandelt Risiken mit dokumentierten Maßnahmen und dokumentiert die Auswahl ISO-27001-Annex-A-orientierter Controls in einem Statement of Applicability.
Nachweisbarkeit
Monitoring, Audit & Verbesserung
Das ISMS wird mindestens jährlich und nach wesentlichen Änderungen intern auditiert. Findings werden nach Schweregrad klassifiziert und über CAPA bis zum Abschluss verfolgt.
Datenschutz
Externe Datenschutzbeauftragte
Supedio hat Andrea Prinz, Datenschutz Prinz GmbH, mit Wirkung ab 01.11.2025 als externe Datenschutzbeauftragte benannt. Die Tätigkeit erfolgt weisungsfrei und ist der Geschäftsleitung unmittelbar unterstellt.
Datenarten
Welche Daten im Scope sind
Supedio verarbeitet ausschließlich geschäftsbezogene Dokumente zwischen rechtlich eigenständigen Organisationen, zum Beispiel Bestellungen, Lieferscheine und Rechnungen. Personenbezogene Daten betreffen in der Regel Kontaktdaten von Beschäftigten dieser Organisationen.
- Kunden müssen sicherstellen, dass nur Geschäftsdokumente verarbeitet werden.
- Private oder unzulässige Inhalte dürfen nicht übermittelt werden.
- Onboarding erfolgt standardmäßig mit Dummy- oder bereinigten Daten; echte Geschäftsdokumente sind nicht erforderlich.
Technische & organisatorische Maßnahmen
Kontrollen entlang des PEDIF-Betriebs
Die folgenden Punkte sind als kompakter, prüfbarer Überblick für Datenschutz-, IT-Security-, ERP-/EDI- und Einkaufsteams formuliert.
Hosting & Datenstandort
Hosting erfolgt ausschließlich bei ISO-27001-zertifizierten Cloud-Providern. Daten werden über den gesamten Lebenszyklus innerhalb der Europäischen Union gespeichert.
- ISO-27001-zertifizierte Cloud-Provider
- Datenhaltung innerhalb der EU
- Cloud- und On-Premises-Szenarien im ISMS-Scope beschrieben
Zugriffsmanagement
Zugriffe werden über IAM, rollenbasierte Rechte, Least-Privilege-Prinzipien und eingeschränkten administrativen Zugriff gesteuert. Produktionszugriffe sind auf autorisierte Supedio-Mitarbeitende begrenzt und werden protokolliert.
- RBAC und Need-to-know
- SSO mit 2FA für PEDIF Portal, EPIC Prod und Mailious aktiv
- Produktionszugriffe mit Identität, IP-Details und Aktivität geloggt
Netzwerkschutz
Kundennahe Services sind gegen DDoS sowie häufige Web- und Bot-Angriffe über Cloudflare und AWS WAF geschützt.
- Edge-Schutz über Cloudflare und AWS WAF
- E-Mail-Domains mit SPF, DKIM und DMARC
- Least-Privilege und gehärtete privilegierte Zugriffe
Verschlüsselung
Alle Datenübertragungen nutzen SSL/TLS. Für Daten im Ruhezustand ist AWS-Plattformverschlüsselung in der EU-Region aktiv; kryptografische Zielstandards sind im ISMS dokumentiert.
- TLS 1.2 oder 1.3 für Daten in Übertragung
- AWS EC2/EBS-Plattformverschlüsselung aktiv
- AES-256 und KMS-managed Keys als dokumentierter Zielstandard
Backups & Disaster Recovery
Backups erfolgen täglich verschlüsselt, werden 14 Tage aufbewahrt und unterstützen die Wiederherstellung nach Datenverlust- oder Ransomware-Ereignissen.
- RPO: 24 Stunden
- RTO: 6 Stunden
- Restore-Tests regelmäßig, nach Major Releases und mindestens alle 12 Monate
Secure Development & Patch Management
Der Secure Development Lifecycle umfasst Peer- oder Senior-Code-Reviews, Dependency- und Secret-Scanning, SAST, Release-Freigaben und einen Emergency-Change-Prozess.
- Pflichtreview vor Merge
- Tests und Qualitätssicherung vor Release
- Security-Fixes nach Severity-SLAs: kritisch 24h, hoch 7 Tage, mittel 30 Tage, niedrig 90 Tage
Operativer Betrieb
Operators arbeiten im Regelfall mit Systemlogs und nicht mit Kundendokumenten. Download, Export und lokale Speicherung von Kundendaten sind nur für konkrete operative Aufgaben erlaubt, begrenzt und protokolliert.
- No-touch-Verarbeitung als Standard
- Manuelle Review nur bei echten Fehlerfällen
- Zugriff auf Inhalte nur benannt, autorisiert, geloggt und überwacht
Validierung & Output-Integrität
Extrahierte Daten werden vor der Übergabe gegen definierte Refinement-, Zielformat-, Validierungs- und Plausibilitätsregeln geprüft.
- Versionierte Validierungsskripte
- Nachvollziehbarkeit über Validator-Version und Freigabeverantwortliche
- Unklare oder fehlerhafte Fälle gehen in Review
KI-Nutzung
KI wird für Dokumentenerkennung, Extraktion und zur Unterstützung der Anonymisierung eingesetzt. Kundendaten werden nicht zum Training von KI-Modellen verwendet.
- Reale Kundendokumente nur bei Bedarf zur Leistungserbringung oder Fehlersuche
- Kundenfreigabe vor Verarbeitung realer Dokumente
- AI-Governance mit Register, Vendor Review und DPIA-Screening
Externe Dienstleister
Externe Dienstleister unterstützen Supedio bei Softwareentwicklung, Bugfixing und Wartung innerhalb klar definierter technischer Verantwortungsbereiche und kontrollierter Systeme.
- Entwicklung und Wartung mit Dummy-, anonymisierten oder pseudonymisierten Daten
- Kein stehender Produktionszugriff externer Dienstleister
- Ausnahmen mit echtem Kundendatenbezug nur dokumentiert, zweckgebunden, zeitlich begrenzt und kundenseitig freigegeben
Incident Management & Awareness
Supedio betreibt einen dokumentierten Incident-Prozess. Meldungen über den definierten Incident-Kanal werden an Geschäftstagen überwacht und innerhalb von 24 Stunden triagiert.
- Analyse, Eindämmung, Behebung und Lessons Learned
- Prüfung möglicher Datenschutzverletzungen ohne unangemessene Verzögerung
- Informationssicherheitstrainings beim Onboarding und mindestens jährlich
Export, Löschung & Exit
Kunden können Export und vorzeitige Löschung ihrer Daten anfordern. Bei Vertragsende ist ein strukturierter Export möglich; Kundendaten werden innerhalb von 30 Tagen gelöscht, sofern nichts anderes vereinbart ist.
- Definierter, geloggter Anfrageprozess
- Bestätigung des Löschdatums an Kunden
- Support für Beendigung oder Migration
Deployment-Option
Supedio On-Prem Solution für erhöhte Datenkontrolle
Für Organisationen mit strengen Datenschutz-, Compliance- oder Infrastrukturvorgaben kann die PEDIF-nahe Verarbeitung auch als On-Prem-Modell betrieben werden. Dabei läuft die operative Runtime in der kundeneigenen Infrastruktur; Supedio unterstützt weiterhin Produkt, Updates, Fingerprint-Erstellung, Workflow-Konfiguration und Service-Onboarding.
Runtime in Kundenumgebung
Die Kernverarbeitung wird in die private Umgebung des Kunden gebracht. Dokumente können empfangen, verarbeitet, konvertiert und geroutet werden, ohne dass operative Daten die kundenkontrollierte Systemumgebung verlassen müssen.
EPIC Live & DTC
EPIC Live bildet die Extraktionsruntime; DTC übernimmt Workflow und Orchestrierung. Eingänge können über API, E-Mail, SFTP oder AS2 verarbeitet werden.
Zielformate & Use Cases
Typische Ausgaben sind EDI, CSV, Excel, XML oder kundenspezifische Formate. Geeignet ist das Modell unter anderem für PDF-to-EDI, Rechnungsverarbeitung, Bestellautomatisierung, Lieferavis- und Auftragsantwort-Prozesse.
Geteiltes Betriebsmodell
Kunden können eigene Standards für Netzwerkzugriff, TLS-Terminierung, Nutzerrechte, Logging, Monitoring, Backups und Disaster Recovery anwenden; Supedio liefert Anwendung, Updates, Workflow- und Fingerprint-Expertise.
Glossar
Fachbegriffe einfach erklärt
Das Glossar erklärt die wichtigsten Begriffe dieser Seite in Alltagssprache. Es ist bewusst zentral aufgebaut: ohne Fußnoten, Nummern oder einzelne Verweiszeichen im Fließtext.
Security, Datenschutz & Compliance
- Datenschutz
- Schutz personenbezogener Daten, also Informationen, die sich auf einzelne Menschen beziehen.
- Informationssicherheit
- Schutz von Informationen vor unbefugtem Zugriff, Veränderung, Verlust oder Ausfall.
- Compliance
- Einhaltung von Gesetzen, Verträgen, internen Regeln und Kundenanforderungen.
- NIS2
- EU-Richtlinie für Cybersicherheitsanforderungen. Sie ist für viele Unternehmen auch bei der Bewertung von Lieferanten relevant.
- ISO 27001 / ISO/IEC 27001
- Internationaler Standard für Informationssicherheits-Managementsysteme. Ein Bezug auf ISO 27001 bedeutet nicht automatisch, dass ein Unternehmen selbst zertifiziert ist.
- DIN EN ISO 9001:2015
- Qualitätsmanagementstandard. Er beschreibt, wie Organisationen Qualität geplant, dokumentiert und verbessert sicherstellen.
- ISMS
- Informationssicherheits-Managementsystem: die organisierte Gesamtheit aus Regeln, Rollen, Kontrollen und Verbesserungsprozessen für Informationssicherheit.
- Governance
- Festgelegte Verantwortlichkeiten, Entscheidungswege und Regeln, damit Sicherheit nicht zufällig, sondern gesteuert passiert.
- Due Diligence
- Strukturierte Prüfung vor einer Zusammenarbeit, zum Beispiel durch Einkauf, Datenschutz oder IT-Security.
- Lieferantenprüfung
- Bewertung eines Dienstleisters durch einen Kunden, bevor oder während er beauftragt wird.
- Kontrollen / Controls
- Maßnahmen, die Risiken reduzieren sollen, zum Beispiel Zugriffsbeschränkungen, Protokollierung oder Backups.
- SoA / Statement of Applicability
- Dokumentierte Auswahl relevanter Sicherheitskontrollen und Begründung, warum sie angewendet oder nicht angewendet werden.
- ISO-27001-Annex-A-Controls
- Sammlung typischer Sicherheitskontrollen aus dem Anhang A der ISO 27001.
- Audit
- Prüfung, ob Regeln, Prozesse und Nachweise tatsächlich vorhanden und wirksam sind.
- CAPA
- Corrective and Preventive Action: Verfahren, um festgestellte Probleme zu korrigieren und Wiederholungen zu vermeiden.
- Datenschutzbeauftragte
- Unabhängige Person oder Stelle, die ein Unternehmen bei Datenschutzpflichten berät und deren Einhaltung überwacht.
- AVV / DPA
- Vertrag zur Auftragsverarbeitung. Er regelt, wie ein Dienstleister personenbezogene Daten für einen Kunden verarbeitet.
- Assessment
- Geordnete Bewertung, zum Beispiel von Sicherheit, Datenschutz, Technik oder Lieferantenrisiken.
Daten, Zugriff & Betrieb
- Scope
- Der abgegrenzte Bereich, auf den sich eine Aussage, Prüfung oder Maßnahme bezieht.
- Geschäftsdokumente
- Dokumente aus geschäftlichen Abläufen, etwa Bestellungen, Lieferscheine, Rechnungen oder Auftragsantworten.
- Personenbezogene Daten
- Informationen, die sich auf einzelne Menschen beziehen, zum Beispiel Namen, E-Mail-Adressen oder geschäftliche Kontaktdaten.
- Datenstandort
- Ort oder Region, in der Daten gespeichert oder verarbeitet werden.
- EU-Datenhaltung
- Speicherung oder Verarbeitung der Daten innerhalb der Europäischen Union.
- Onboarding
- Einrichtungsphase, in der ein Service vorbereitet, getestet und für die Nutzung bereitgestellt wird.
- Dummy-Daten
- Künstliche Testdaten, die keine echten Kunden- oder Personendaten enthalten.
- Bereinigte Daten
- Daten, bei denen sensible oder unnötige Inhalte entfernt oder ersetzt wurden.
- Anonymisierung
- Veränderung von Daten, sodass einzelne Personen nicht mehr identifiziert werden können.
- Pseudonymisierung
- Ersatz identifizierender Daten durch Platzhalter. Eine Zuordnung kann unter bestimmten Bedingungen noch möglich sein.
- No-touch-Verarbeitung
- Regelbetrieb ohne manuelle Einsicht in Kundendokumente.
- Kundendokumente
- Dokumente, die ein Kunde zur Verarbeitung bereitstellt oder die im Kundenprozess entstehen.
- Systemlogs / Logs
- Technische Protokolle, die Ereignisse in Systemen festhalten, zum Beispiel Zugriffe oder Fehlermeldungen.
- Geloggter Anfrageprozess
- Ein Ablauf, bei dem nachvollziehbar protokolliert wird, wer wann was angefragt oder bearbeitet hat.
- Need-to-know-Prinzip
- Personen erhalten nur Zugriff auf Informationen, die sie für ihre Aufgabe wirklich benötigen.
- Least Privilege
- Nutzer erhalten nur die minimal notwendigen Rechte, nicht mehr.
- RBAC
- Role-Based Access Control: Rechte werden über Rollen vergeben, zum Beispiel Support, Administrator oder Kunde.
- IAM
- Identity and Access Management: Verwaltung von Benutzeridentitäten, Rollen und Zugriffsrechten.
- SSO
- Single Sign-on: einmal anmelden und mehrere angebundene Anwendungen nutzen.
- 2FA
- Zwei-Faktor-Authentifizierung: Anmeldung mit zwei Nachweisen, zum Beispiel Passwort plus App-Code.
- IP-Details
- Technische Adresse und Verbindungsinformationen eines Geräts oder Netzwerks.
- Produktionszugriff
- Zugriff auf das echte Live-System, in dem reale Kundenprozesse laufen.
- Administrativer Zugriff
- Erweiterte technische Rechte zur Verwaltung von Systemen oder Anwendungen.
Technik, Entwicklung & Ausfallsicherheit
- Hosting
- Betrieb von Anwendungen oder Daten auf Servern eines Rechenzentrums oder Cloud-Anbieters.
- Cloud-Provider
- Anbieter von Rechenzentrums- und Serverdiensten über das Internet, zum Beispiel für Hosting oder Speicher.
- On-Premises / On-Prem
- Betrieb in der Infrastruktur des Kunden, statt ausschließlich in einer extern gehosteten Cloud.
- Netzwerkschutz
- Maßnahmen, die Systeme vor Angriffen oder unerwünschtem Datenverkehr schützen.
- DDoS
- Angriff, bei dem sehr viele Anfragen ein System überlasten sollen.
- Bot-Angriffe
- Automatisierte Angriffe durch Programme, zum Beispiel zum Ausprobieren von Logins oder Ausnutzen von Schwachstellen.
- WAF
- Web Application Firewall: Schutzschicht, die Webanfragen filtert und verdächtige Angriffe blockieren kann.
- Cloudflare
- Dienstleister für Netzwerk- und Webschutzfunktionen wie DDoS-Schutz und Traffic-Filterung.
- AWS
- Amazon Web Services: Cloud-Plattform für Server, Speicher, Datenbanken und weitere technische Dienste.
- AWS EC2/EBS
- AWS-Dienste für virtuelle Server und zugehörige Datenträger.
- SPF, DKIM und DMARC
- E-Mail-Sicherheitsverfahren, die helfen, Absender zu prüfen und gefälschte E-Mails zu erschweren.
- Verschlüsselung
- Umwandlung von Daten in eine Form, die ohne passenden Schlüssel nicht lesbar ist.
- SSL/TLS
- Verschlüsselungsprotokolle, die Datenübertragungen über Netzwerke absichern.
- Daten in Übertragung
- Daten, die gerade zwischen Systemen übertragen werden.
- Daten im Ruhezustand
- Daten, die gespeichert sind und gerade nicht übertragen werden.
- AES-256
- Weit verbreiteter starker Verschlüsselungsstandard für gespeicherte Daten.
- KMS-managed Keys
- Verschlüsselungsschlüssel, die über einen Key-Management-Service verwaltet werden.
- Backup
- Sicherungskopie von Daten, die bei Verlust oder Fehlern zur Wiederherstellung genutzt werden kann.
- Backup-Retention
- Zeitraum, für den Sicherungskopien aufbewahrt werden.
- Disaster Recovery
- Plan und technische Fähigkeit, nach schweren Störungen oder Datenverlust wieder arbeitsfähig zu werden.
- RPO
- Recovery Point Objective: maximal akzeptierter Datenverlust, gemessen als Zeitraum.
- RTO
- Recovery Time Objective: Zielzeit, innerhalb der ein System nach einem Ausfall wiederhergestellt sein soll.
- Restore-Test
- Test, ob eine Datensicherung tatsächlich wiederhergestellt werden kann.
- Major Release
- Größeres Software-Update mit relevanten Änderungen.
- Ransomware
- Schadsoftware, die Daten verschlüsselt oder Systeme blockiert und Lösegeld fordert.
- SDLC / Secure Development Lifecycle
- Sicherer Entwicklungsprozess von Planung über Programmierung und Tests bis zur Freigabe.
- Code Review
- Prüfung von Programmcode durch weitere Entwicklerinnen oder Entwickler.
- Dependency-Scanning
- Automatische Prüfung genutzter Software-Bausteine auf bekannte Schwachstellen.
- Secret-Scanning
- Suche nach versehentlich abgelegten Passwörtern, Zugangsschlüsseln oder Tokens im Code.
- SAST
- Static Application Security Testing: automatische Sicherheitsprüfung von Quellcode.
- Patch Management
- Geplanter Umgang mit Software-Updates und Sicherheitskorrekturen.
- Security-Fix
- Softwareänderung, die eine Sicherheitslücke behebt.
- Severity-SLA
- Frist für die Bearbeitung eines Problems abhängig von dessen Schweregrad.
- Emergency Change
- Dringende Änderung, die wegen eines akuten Problems schneller als üblich umgesetzt wird.
PEDIF, EDI, KI & On-Prem-Begriffe
- PEDIF
- Supedio-Service für dokumentenbasierte Automatisierung, zum Beispiel PDF-to-EDI, E-Invoicing und strukturierte Weitergabe von Geschäftsdaten.
- PDF-to-EDI
- Umwandlung von PDF-Geschäftsdokumenten in strukturierte elektronische Datenformate für Geschäftssysteme.
- EDI
- Electronic Data Interchange: standardisierter elektronischer Austausch von Geschäftsdaten zwischen Unternehmen.
- E-Invoicing
- Elektronische Rechnungsstellung in strukturierten Formaten statt nur als Bild oder PDF.
- Dokumentenautomatisierung
- Automatisches Erfassen, Prüfen, Umwandeln und Weiterleiten von Dokumenten.
- Validierung
- Prüfung, ob erkannte Daten plausibel sind und zu den definierten Regeln passen.
- Output-Integrität
- Sicherheit, dass das ausgegebene Ergebnis korrekt, nachvollziehbar und nicht unbemerkt verändert ist.
- Orchestrierung
- Koordination mehrerer Verarbeitungsschritte, Systeme und Entscheidungen in einem Ablauf.
- Workflow
- Definierter Ablauf mehrerer Arbeitsschritte.
- API
- Schnittstelle, über die Systeme automatisch miteinander kommunizieren können.
- SFTP
- Sicheres Verfahren zur Dateiübertragung.
- AS2
- Protokoll für sicheren elektronischen Datenaustausch, häufig im EDI-Umfeld.
- CSV
- Tabellenähnliches Textformat, in dem Werte durch Trennzeichen getrennt werden.
- XML
- Strukturiertes Datenformat, das Informationen mit beschreibenden Markierungen organisiert.
- Zielformat
- Format, in dem Daten nach der Verarbeitung an ein Zielsystem übergeben werden.
- Use Case
- Konkreter Anwendungsfall, zum Beispiel Rechnungsverarbeitung oder Bestellautomatisierung.
- Lieferavis
- Mitteilung über eine bevorstehende Lieferung, häufig mit Details zu Sendung und Artikeln.
- Runtime
- Laufzeitumgebung, in der die eigentliche Verarbeitung technisch ausgeführt wird.
- EPIC Live
- Komponente für die laufende Extraktion und Erkennung von Dokumentinhalten.
- DTC
- Komponente für Workflow und Orchestrierung, also die Steuerung der Verarbeitung und Weitergabe.
- Extraktion
- Automatisches Herauslesen relevanter Informationen aus einem Dokument.
- Fingerprint
- Erkennungsmuster oder Konfiguration, mit der ein Dokumenttyp erkannt und verarbeitet wird.
- KI / AI
- Künstliche Intelligenz: Softwareverfahren, die Muster erkennen oder Entscheidungen unterstützen können.
- KI-Modell
- Trainiertes technisches Modell, das Eingaben verarbeitet und daraus Ergebnisse ableitet.
- AI-Governance
- Regeln und Nachweise dafür, wie KI eingesetzt, geprüft und kontrolliert wird.
- Vendor Review
- Prüfung eines Anbieters, zum Beispiel auf Sicherheit, Datenschutz und Zuverlässigkeit.
- DPIA-Screening
- Vorprüfung, ob eine Datenschutz-Folgenabschätzung nötig sein könnte.
- Incident Management
- Geordneter Prozess zum Erkennen, Bewerten, Behandeln und Nachbereiten von Sicherheitsvorfällen.
- Triage
- Erste Einstufung eines Vorfalls nach Dringlichkeit und Schwere.
- Awareness
- Bewusstsein und Schulung für Sicherheitsrisiken im Alltag.
- Exit
- Geordnete Beendigung eines Services, inklusive Export, Löschung oder Migration.
- Migration
- Überführung von Daten, Prozessen oder Systemen in eine andere Umgebung.
Häufige Fragen
Antworten für Datenschutz-, Security- und Procurement-Teams
Ist Supedio selbst nach ISO 27001 zertifiziert?
Nein. Für Supedio selbst wird kein ISO-27001-Zertifizierungsclaim erhoben. Belegt sind ein internes ISMS, das auf etablierten Best Practices und Anforderungen der ISO/IEC 27001 basiert, sowie Hosting ausschließlich bei ISO-27001-zertifizierten Cloud-Providern. Supedio ist nach DIN EN ISO 9001:2015 zertifiziert.
Wie ist die Seite im NIS2-Kontext zu lesen?
Die Seite ist als strukturierter Due-Diligence-Überblick für NIS2-orientierte Fragen aufgebaut. Sie beschreibt Governance, Risiko, Zugriffsschutz, Incident Management, Business Continuity, Datenminimierung und Nachweisführung, ohne eine pauschale NIS2-Konformität zu behaupten.
Wer ist als externe Datenschutzbeauftragte benannt?
Supedio hat Andrea Prinz, Datenschutz Prinz GmbH, mit Wirkung ab 01.11.2025 als externe Datenschutzbeauftragte benannt. Die Tätigkeit erfolgt weisungsfrei und ist der Geschäftsleitung unmittelbar unterstellt.
Wo werden Daten gespeichert?
Die Datenhaltung erfolgt über den gesamten Lebenszyklus innerhalb der Europäischen Union. Das Hosting erfolgt ausschließlich bei ISO-27001-zertifizierten Cloud-Providern.
Wer kann Kundendokumente sehen?
Standard ist No-touch-Verarbeitung. Support arbeitet normalerweise mit Systemlogs. Ein Zugriff auf Kundendokumentinhalte ist nur bei echten Fehlerfällen vorgesehen, wenn das Problem nicht allein anhand von Logs gelöst werden kann; der Zugriff ist auf benannte, autorisierte Operations-Personen beschränkt, wird geloggt und überwacht.
Wie lange werden operative Daten gespeichert?
Operative Daten werden spätestens 30 Tage nach Verarbeitung gelöscht, sofern nichts anderes vereinbart ist. Backups mit den Daten werden innerhalb der 14-tägigen Backup-Retention überschrieben.
Werden Kundendaten zum Training von KI-Modellen genutzt?
Nein. Kundendaten werden nicht zum Training von KI-Modellen verwendet. Reale Kundendokumente werden nur verarbeitet, wenn dies zur Leistungserbringung oder Fehlersuche erforderlich ist und eine Kundenfreigabe vorliegt.
Wann ist die On-Prem Solution sinnvoll?
Die On-Prem Solution ist sinnvoll für Unternehmen, die PEDIF-nahe Dokumentenautomatisierung und EDI-Fähigkeiten nutzen möchten, aber operative Verarbeitung, Runtime-Dokumente, Logs und Sicherheitskontrollen in der eigenen Infrastruktur halten wollen.
Können Kunden Export oder vorzeitige Löschung anfordern?
Ja. Kunden können Export und vorzeitige Löschung anfordern. Dies erfolgt über einen definierten, geloggten Anfrageprozess mit Bestätigung.
Hinweis: Diese Seite ist ein öffentlicher, kuratierter Überblick und ersetzt keine vertragliche Vereinbarung, keinen AVV/DPA und kein vollständiges Auditpaket. Detaillierte Nachweise sollten kontrolliert bereitgestellt werden.
Kontaktieren Sie uns
Fragen oder Hilfe bei der richtigen Auswahl benötigt?