Enterprise
security & compliance

Nein – und streng genommen ist kein Unternehmen zertifiziert. SOC 2 ist keine Zertifizierung. Es ist ein Attestierungsbericht, den eine in den USA zugelassene CPA-Firma über eine definierte Dienstleistungsorganisation ausstellt und der unter NDA geteilt statt veröffentlicht wird.

Was Axon Active hält, ist ISO/IEC 27001:2022, der internationale Standard für Informationssicherheits-Management, zertifiziert durch eine akkreditierte Zertifizierungsstelle und öffentlich überprüfbar. Wir sind seit 2018 durchgehend zertifiziert und halten ein aktuelles Zertifikat von TÜV Rheinland für Softwareentwicklung, Software-Testing und ICT-Services.

Beide bewerten eine betriebliche Kontrollumgebung und nicht ein Produkt, und beide werden von einer unabhängigen dritten Stelle geprüft. Die Unterschiede liegen in Form, Prüfer und Markt.

Die Überschneidung bei den Controls ist gross. ISO 27001 Annex A und die SOC 2 Common Criteria decken dieselben zugrunde liegenden Bereiche ab: Zugriffskontrolle, Change Management, Incident Response, Lieferantensicherheit, Logging und Monitoring sowie Business Continuity. Der Unterschied liegt vor allem darin, wie die Nachweise für den Leser aufbereitet werden.

Wir pflegen ein Mapping unserer Controls aus ISO/IEC 27001 Annex A auf die AICPA Trust Services Criteria (Security). Es steht Kunden und Interessenten auf Anfrage unter NDA zur Verfügung und erlaubt Ihrem Security-Team, unsere Kontrollumgebung anhand des Rahmenwerks zu bewerten, mit dem es ohnehin arbeitet.

Wir haben keine SOC-2-Prüfung durchlaufen und können keinen SOC-2-Bericht bereitstellen. Wenn ein Kundenengagement einen solchen tatsächlich erfordert, sprechen wir gerne über eine im Umfang festgelegte Prüfung als Teil dieses Engagements.

Direkt bei der Zertifizierungsstelle, nicht bei uns. Unser Zertifikat ist im öffentlichen Certipedia-Register von TÜV Rheinland eingetragen, das Zertifikatsinhaber, Standard, Geltungsbereich und Gültigkeit in Echtzeit ausweist.

Auf Certipedia verifizieren →

Wir hosten bewusst keine PDF-Kopie. Ein Live-Eintrag im Register der Zertifizierungsstelle selbst ist ein stärkerer Nachweis als eine Datei auf unserer Website.

ISO/IEC 27701 ist eine Datenschutzerweiterung zu ISO 27001; wir erfüllen den Standard vollständig und wenden seine Controls innerhalb unseres zertifizierten ISMS an, haben aber kein separates Zertifikat angestrebt. Die Erklärung zur Anwendbarkeit ist auf Anfrage erhältlich.

Ja, sofern die richtigen Instrumente vorliegen. Für Vietnam besteht kein EU-Angemessenheitsbeschluss, deshalb stützen sich Übermittlungen auf die Garantien nach Artikel 46: die EU-Standardvertragsklauseln als Anhang zum AVV, zusammen mit einem dokumentierten Transfer Impact Assessment und den daraus folgenden ergänzenden technischen und organisatorischen Massnahmen.

Sowohl die SCC als auch das TIA liegen vor, bevor Sie unterschreiben – sie werden nicht nachträglich verhandelt. Das TIA bewertet das rechtliche Umfeld an unseren Delivery-Standorten in Vietnam und wird jährlich überprüft.

Wir unterzeichnen bei jedem Engagement, in dem Personendaten verarbeitet werden, einen AVV. Ob wir als Ihr Auftragsverarbeiter oder als Ihr Unterauftragsverarbeiter auftreten, hängt von Ihrer eigenen Rolle ab – sind Sie Auftragsverarbeiter für Ihre Kunden, stehen wir in dieser Kette unter Ihnen, und der AVV wird entsprechend aufgesetzt.

Unsere Standard-AVV-Vorlage mit der Liste der Unterauftragsverarbeiter als Anhang ist auf Anfrage erhältlich. Ein Mitglied unseres Compliance-Teams geht sie mit Ihrer Rechtsabteilung durch.

Ja – VGS Datenschutzpartner GmbH in Hamburg. Die Kontaktdaten sind in unserer Datenschutzerklärung veröffentlicht.

Beides standardmässig, nicht als Zusatz.

Für die UK GDPR wird das International Data Transfer Addendum des ICO dem AVV beigefügt. Für das Schweizer DSG nutzen wir die vom EDÖB anerkannten Schweizer Anpassungen der EU-SCC. Die Schweiz ist für uns ein Heimmarkt, deshalb sind Schweizer Anforderungen die Standardkonfiguration eines Engagements und nicht etwas, das später ergänzt wird.

Standardmässig nein. Kundendaten bleiben in den Systemen des Kunden, und unsere Engineers greifen mit Zugangsdaten darauf zu, die auf Ihrer Seite verwaltet werden. Wenn ein Engagement Daten auf der Infrastruktur von Axon Active erfordert, wird dies vorab schriftlich vereinbart und ist vom AVV abgedeckt.

Wir arbeiten mit KI-gestützter Entwicklung nach unseren AI Usage Guidelines, ausschliesslich auf freigegebenem Tooling. In Kundenengagements bedeutet das in der Regel Ihr Tooling, in Ihrer Umgebung, unter Ihren Kontrollen. Wenn ein Engagement es verlangt, können wir die Inferenz stattdessen auf unserer eigenen Infrastruktur betreiben.

Kundendaten werden nie zum Training oder zur Verbesserung externer Modelle verwendet. Wenn Ihre Organisation AI-Tooling vollständig untersagt, halten wir das bei Vertragsabschluss fest.

Wir weisen Rollen und Pflichten nach dem AI Act pro Engagement zu, denn dasselbe Delivery-Team kann je nachdem, was gebaut wird und wer es in Verkehr bringt, eine andere Position einnehmen. Anforderungen an Transparenz, menschliche Aufsicht und Datenqualität sind in unsere Arbeitsweise eingebaut, und nach Artikel 4 führen wir Trainings zur KI-Kompetenz sowie interne AI Dojos durch, damit Teams kompetent statt beiläufig mit KI arbeiten.

Eine Erklärung zur Ausrichtung am EU AI Act ist auf Anfrage erhältlich.

Ja. Senden Sie ihn an security@axonactive.com – kein Formular, keine Portalregistrierung. Unser Team für Security & Compliance bearbeitet Fragebögen direkt und antwortet in der Regel innerhalb weniger Arbeitstage.

Wenn ein Gespräch vorab hilft, vereinbaren wir ein Security-Review-Gespräch mit den Personen, die die Controls tatsächlich betreiben.

Ja. Security-Audits durch Kunden gehören zu unserer regulären Audit-Historie, und die Auditrechte sind im AVV geregelt. In der Praxis beantworten die Berichte der Zertifizierungsaudits, die Erklärung zur Anwendbarkeit und ein Review-Gespräch die Fragen vieler Kunden bereits ohne separates Vor-Ort-Audit – die Möglichkeit besteht aber.

Als Ihr Auftragsverarbeiter benachrichtigen wir Sie unverzüglich, damit Sie Ihre eigenen Meldepflichten erfüllen können – die 72-Stunden-Frist für Verantwortliche nach der DSGVO sowie die entsprechenden Anforderungen nach DSG, dem vietnamesischen PDPL und weiteren anwendbaren lokalen Vorschriften.

Unsere Incident-Response-Verfahren sind dokumentiert und werden regelmässig innerhalb unseres zertifizierten ISMS getestet.