Compliance und Standards
Der heutige Stand. Nichts wird als zertifiziert bezeichnet, solange kein Zertifikat vorliegt — Readiness-Matrizen teilen wir auf Anfrage.
- DSGVO Art. 28Verfügbar
DPA-Vorlage v1.0 mit den Anlagen A–C, auf Englisch und Italienisch.
- Datenspeicherung in der EUUmgesetzt
Hosting im EWR. Übermittlungen nach SCC Modul 2.
- ISO 27001:2022In Vorbereitung
Readiness-Matrix wird gepflegt; Zertifizierungs-Roadmap liegt vor.
- SOC 2 Type IIGeplant
Type-I-Prüfung geplant; noch kein Auftrag vergeben.
- ISO 42001:2023Readiness
38 Kontrollen aus Anhang A und 7 Klauseln abgebildet.
- SchwachstellenmeldungVeröffentlicht
security.txt nach RFC 9116, mit Rückmeldung innerhalb von 24 Stunden.
Dokumente und Richtlinien
Öffentliche Dokumente öffnen sich direkt. Alles Weitere geben wir auf Anfrage heraus, unter NDA, wenn es Auditdetails enthält.
- Vorlage für den Auftragsverarbeitungsvertrag (EN / IT)DSGVO Art. 28, v1.0 — Anlage A Umfang, Anlage B Maßnahmen, Anlage C UnterauftragsverarbeiterAuf AnfrageAnfordern
- DatenschutzerklärungVersioniert, mit ZustimmungshistorieÖffentlichÖffnen
- NutzungsbedingungenEinschließlich der Klauseln nach Art. 1341 für italienische KundenÖffentlichÖffnen
- Cookie-HinweisVersioniert; jedes Cookie und jede ähnliche Technologie, die wir einsetzen, ihre Funktion, ihre Speicherdauer und wie Sie Ihre Wahl ändernÖffentlichÖffnen
- security.txt (RFC 9116)Maschinenlesbarer Kontakt für SchwachstellenmeldungenÖffentlichÖffnen
- ISO-42001-Readiness-Matrix38 Kontrollen aus Anhang A und 7 Klauseln des Hauptteils, Kontrolle für KontrolleUnter NDAAnfordern
Sicherheitskontrollen
Die technischen und organisatorischen Maßnahmen aus Anlage B des DPA, gruppiert wie in einem Sicherheitsfragebogen. Jede entspricht einer realen Kontrolle in der Plattform.
Datensicherheit
- Verschlüsselung ruhender DatenAES-256 (Hetzner-Infrastruktur) + Fernet pro Feld für sensible Geheimnisse (core/encryption.py)
- Verschlüsselung bei der ÜbertragungTLS 1.2+ an allen Endpunkten; für HSTS-Preload geeignet
- BackupsTäglicher pg_dump + Aufbewahrung auf dem Host von höchstens 30 Tagen + die letzten 7 Pre-Deploy-Snapshots
Zugriffskontrolle
- AuthentifizierungPasswort-Hashing mit PBKDF2/Argon2 + TOTP-MFA (django_otp) + SAML-SSO (Enterprise)
- AutorisierungMandantentrennung auf Zeilenebene über TenantAwareManager (1.318 Codezeilen dedizierter Isolationstests)
- Audit-TrailNur-Anhängen-AuditLog mit Unveränderbarkeit auf Datenbankebene (Mindestaufbewahrung von 10 Jahren für Zeilen im Anwendungsbereich der KI-Verordnung)
Anwendungssicherheit
- Automatisierte SicherheitsscansContainer- und Abhängigkeitsscans laufen bei jeder Pipeline-Ausführung; ein dynamischer Scan läuft wöchentlich
- Secret-ScanningJeder Commit wird vor der Übernahme auf Zugangsdaten geprüft (detect-secrets Pre-Commit-Gate)
- AbhängigkeitsverwaltungAutomatisierte Abhängigkeits-Updates gegen eine fixierte, reproduzierbare Lockfile
Betrieb
- Reaktion auf VorfälleDokumentiertes Runbook (docs/deploy-recovery.md) + Verpflichtung zur Meldung von Verletzungen innerhalb von 72 Stunden im DPA §6.6
- Steuerung der Unterauftragsverarbeiter30 Tage Vorlauf vor jeder Änderung der Unterauftragsverarbeiter, mit dokumentiertem Widerspruchsrecht (DPA §6.3)
- HostingAusschließlich EU-Rechenzentren, in Deutschland und Finnland
Unterauftragsverarbeiter
30-tägige Vorankündigung vor jeder Änderung, in DPA §6.3 zugesichert. Tenants können innerhalb der Frist Widerspruch erheben; ungelöste Widersprüche führen zur Beendigung der betroffenen Verarbeitung.
| Unterauftragsverarbeiter | Zweck | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Hetzner Online GmbH | Primäres Hosting (EU) | Helsinki, Finnland — Hetzner Online GmbH (Deutschland) | DSGVO-nativ (innerhalb des EWR) |
| Anthropic, PBC | LLM-Anbieter (Stufe mit eigenem Schlüssel) | Vereinigte Staaten | Standardvertragsklauseln (SCC), Modul 2 |
| OpenAI, OpCo, LLC | LLM-Anbieter (Stufe mit eigenem Schlüssel) | Vereinigte Staaten | Standardvertragsklauseln (SCC), Modul 2 |
| Brevo SAS | Transaktions-E-Mails | Frankreich | DSGVO-nativ (innerhalb des EWR) |
| Functional Software, Inc. (Sentry) | Fehlerverfolgung | Vereinigte Staaten | Standardvertragsklauseln (SCC), Modul 2 |
Schwachstellen-Offenlegung
Wir folgen RFC 9116. Der maschinenlesbare Kontakt und die Verschlüsselungs-Metadaten sind unter /.well-known/security.txt verfügbar. Koordinierte Offenlegung: Meldungen an ip@landingred.com; wir bestätigen innerhalb von 24 Stunden.
/.well-known/security.txtKontakt
Für Procurement-Fragen, DPAs oder Sicherheitsanfragen: privacy@landingred.com. Für die Meldung von Schwachstellen siehe den eigenen Abschnitt unten sowie unseren RFC-9116-Endpunkt /.well-known/security.txt.
Schreiben Sie uns