Security- & Compliance-Architektur.

1. Auftragsverarbeitungsvertrag (von Rechtsbeistand geprüft)

AVV nach Artikel 28 DSGVO, der Verarbeitungsumfang, Subprozessoren, Datenstandort, Sicherheitsmaßnahmen nach Artikel 32, Meldung von Verletzungen und Crypto-Shredding zur Löschung abdeckt.

2. Subprozessor-Matrix

Maschinenlesbare CSV-Datei mit jedem Subprozessor: Zweck, Datenkategorie, Standort, Übermittlungsmechanismus (SCCs, soweit zutreffend). 30-tägige Frist zur Vorabmitteilung von Änderungen.

3. Haftungsverteilung nach Artikel 14 KI-Verordnung

Die Standard-Reseller-Vertragsvorlage von Audact ordnet die anbieterseitigen Pflichten nach Artikel 14 KI-Verordnung (Integrität der Evidence Chain, Attestierung der Offenlegung) Audact zu und die betreiberseitigen Pflichten (Skriptinhalte, Endkunden-Onboarding, Erfassung von Einwilligungen) der Agentur. Gedeckelte finanzielle Haftung je Agentur, wobei die Obergrenzen an die zugrunde liegende Haftungsverteilung der Audact-Plattform gebunden sind. Konkrete Obergrenzen werden je Vertrag verhandelt — siehe AVV + MSA.

4. EU Data Act — Wechsel- & Portabilitätsrechte

Im Einklang mit dem EU Data Act (Verordnung 2023/2854) sichern Audact-Verträge zu:

• Zwei Monate Ausstiegsfrist (Maximum nach Anhang C) für kundenseitig eingeleitete Wechsel
• Keine Wechselgebühren ab dem 12. Januar 2027
• Funktionale Gleichwertigkeit für exportierte Evidence Chains (W3C VC + C2PA, herstellerneutral)

5. SOC 2 Type II — Fahrplan

Ziel: Q4 2027, eingetaktet nach den ersten 10 zahlenden Kunden (damit der Prüfumfang reale Produktivkontrollen widerspiegelt). Anbieterauswahl Q2 2027. Type-I-Baseline im Vorfeld.

6. ISO/IEC 27001 — voraussichtlich Q4 2026

Zertifizierung des Informationssicherheits-Managementsystems. Erklärung zur Anwendbarkeit (SoA) entworfen Q2 2026; Stage-1-Audit Q3 2026; Stage 2 / Zertifizierung Q4 2026.

7. ISO/IEC 42001 — KI-Managementsystem (in Arbeit)

Aktive Orientierung über dieNEN-Mitgliedschaft(Ziel Q3 2026) mit Teilnahme am niederländischen Spiegelausschuss. Der Zertifizierungspfad folgt, sobald sich die harmonisierten EU-Normen unter der KI-Verordnung stabilisiert haben.

8. DSFA-Vorlage

Vorausgefüllte DSFA-Vorlage für Outbound-Voice-KI-Deployments nach Artikel 35 DSGVO. Enthält den Audact-Datenfluss, Aufbewahrungs-Standardwerte, Optionen für die Rechtsgrundlage und Maßnahmen zur Risikominderung. Bereit zur Anpassung durch Ihren Datenschutzbeauftragten.

9. Beispiel-Exportpaket für Datenschutzteams

JSON-Paket, das Datenschutzteams auf Anfrage erhalten: Beispielquittungen + Richtlinienversionen + Einwilligungsherkunft + Subprozessor-Matrix. Konzipiert für Einkaufs-Eingangsprüfungen. Anonymisiertes Beispiel unten.