Deine Daten. Unsere Verantwortung.
Robuste Schutzmaßnahmen und bewährte Prozesse, die deine Daten schützen und den Geschäftsbetrieb absichern.
ISO 27001 zertifiziert
amber betreibt ein dokumentiertes ISMS, das nach dem ISO 27001-Standard auditiert wird. Des Weiteren wird amber gemäß SOC-2 Standard entwickelt. TOM's sind in unserem AVV-Unterlagen dokumentiert.
Gebaut zum Schutz. Konzipiert zur Wiederherstellung.
Wir kombinieren starke technische Maßnahmen mit klaren Prozessen, damit deine Daten sicher bleiben und dein Geschäft widerstandsfähig ist.
Löschung auf Anfrage
Sensible Daten können auf Anfrage gelöscht und vollständig von allen amber-Servern entfernt werden. Lösch-Metadaten werden protokolliert.
Backup & Disaster Recovery
Vollständige Backups werden standardmäßig zur Wiederherstellung erstellt — auf Basis der dokumentierten DR-Möglichkeiten der Hosting-Umgebung.
Incident-Handling
Vorfälle werden in einem strukturierten, schweregradbasierten Prozess bearbeitet. Meldungen erfolgen gemäß DSGVO Art. 33/34. Der DSB wird in relevanten Fällen einbezogen.
Dritte & Auftragsverarbeiter
Komponenten von Drittanbietern werden vor dem Einsatz geprüft. Auftragsverarbeiter werden vertraglich zu gleichwertigen Datenschutzpflichten verpflichtet.
Wie wir deine Daten schützen
Ein mehrschichtiger Sicherheitsansatz, der zertifizierte Standards, strenge Zugriffskontrollen, isolierte Infrastruktur, kontinuierliche Aktualisierungen, vollständige Audit-Protokollierung und Privacy-by-Design-Prinzipien vereint.
Zertifizierte Informationssicherheit
- ISO 27001 zertifiziert
- Kontinuierlich gepflegtes ISMS
- TOMs dokumentiert in AVV/DPA-Unterlagen
Zugriffskontrolle & Authentifizierung
- Rollenbasierte Berechtigungen, Least Privilege
- 2FA und starke Passwortrichtlinien
- SAML 2.0 & LDAP/AD für Enterprise
- Zugriffsrechte werden beim Austritt entzogen
Infrastruktur & Netzwerk
- Gehostet auf der T Cloud
- Virtuelle Netzwerkisolation pro Kunde
- Produktions-Firewalls
- Verschlüsselter Remote-Zugriff über VPN
Schwachstellen- & Patch-Management
- Prüfung und Kontrolle von Abhängigkeiten
- Regelmäßige Container-Schwachstellen-Scans
- Priorisierte Patches & Hotfixes
- Antivirus- und Malware-Schutz
Logging & Nachvollziehbarkeit
- Datenzugriffe und -änderungen werden protokolliert
- Aktionen sind Benutzerkonten zuordenbar
- Dokumentiertes Berechtigungskonzept
Privacy by Design
- Privacy by Design & Default (DSGVO Art. 25)
- Need-to-know-Zugriff für alle Mitarbeitenden
- Datenschutz-Schulungen für Mitarbeitende
Trust Center
Alles, was dein Security-, Datenschutz- und Einkaufsteam für die Prüfung von amber braucht, an einem Ort.
- Zertifikate und Nachweise: ISO 27001, DSGVO, EU AI Act
- Verträge und Dokumente zum Download, in Deutsch und Englisch
- Technische und organisatorische Maßnahmen im Überblick
- Unsere Subprozessoren und der direkte Draht zum Security-Team
Deine Sicherheitsfragen — beantwortet
Wo werden die Daten verarbeitet?
Der Kern unserer Software sowie der Index werden in der T Cloud gehostet. Die Zertifikate der T Cloud können hier eingesehen werden.
Standardmäßig hosten wir auch unsere generativen KI-Modelle dort. Wenn Modelle anderer Anbieter benötigt werden, beziehen wir diese ausschließlich aus deutschen oder europäischen Rechenzentren.
Wie werden die Daten verschlüsselt?
Mindestens mit TLS 1.2 oder höher.
Können wir einschränken, was indexiert wird?
Ja. Über App-Registrierungen in der Cloud oder Service-User bei On-Premise-Installationen haben Kunden die volle Kontrolle darüber, was über amber zugänglich ist. So können bestimmte Bereiche vollständig ausgeschlossen werden.
Wie lange werden Daten nach Vertragsende gespeichert?
Maximal bis zu 30 Tage. Danach werden sie gemäß DSGVO vollständig gelöscht.
Werden Kundendaten zum Trainieren von KI-Modellen verwendet?
Nein.
Welche Sicherheitsstandards erfüllt amber?
- ISO 27001
- DSGVO
- EU AI Act
- SOC 2 aligned, nicht zertifiziert
Was passiert im Falle eines Datenschutzvorfalls?
amber verfügt über klar definierte Prozesse zur Identifizierung und Meldung von Datenschutzverletzungen. Jeder Verdachtsfall wird sorgfältig untersucht. Bestätigte Vorfälle werden gemäß den Anforderungen der DSGVO innerhalb von 72 Stunden an die zuständigen Behörden gemeldet.