Diese Übersetzung dient der Orientierung. Verbindlich ist die englische Fassung; sie ist im Fall von Widersprüchen oder Bedeutungsunterschieden maßgeblich. Englische Fassung lesen.
Sicherheit
Was wir heute tun, nicht was wir planen.
Diese Seite beschreibt die Maßnahmen, die zum 30. Oktober 2026 umgesetzt sind. Verbindlich ist Anlage 2 des Auftragsverarbeitungsvertrags.
01
Hosting und Daten
Die Anwendung läuft auf Vercel. Die Kundendatenbank und die Authentifizierung hostet Supabase auf AWS in Irland (EU): Kundendaten werden in der EU gespeichert, im Ruhezustand verschlüsselt und durch Sicherheit auf Zeilenebene geschützt, sodass die Datensätze eines Kunden nur für dessen Nutzer und für den in deren Auftrag handelnden Dienst lesbar sind. Vercel-Funktionen und die KI-Anbieter laufen außerhalb der EU, die Verarbeitung erfolgt also nicht ausschließlich in der EU; die Datenschutzerklärung führt jeden Anbieter mit seinem Standort auf.
Backups erstellt der Anbieter automatisch und verschlüsselt, mit Wiederherstellung zu einem beliebigen Zeitpunkt (Point-in-Time-Recovery); sie werden innerhalb von 30 Tagen rotiert.
02
Zugriff
Mitarbeitende nutzen persönliche Konten mit Zwei-Faktor-Authentifizierung; sie ist für jeden Admin- und Team-Login Pflicht und steht jedem Nutzer auf Kundenseite zur Verfügung. Zugangsdaten und Schlüssel der Produktionsumgebung liegen ausschließlich im verschlüsselten Umgebungsspeicher des Hosting-Anbieters, nie im Code. Integrations-Tokens (zum Beispiel für Google Analytics) werden mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der nur in diesem Speicher liegt. Passwörter speichert der Authentifizierungsanbieter als gesalzene Hashes, niemals wir.
03
Datenübertragung
Durchgängig TLS 1.2 oder höher. Öffentliche Formulare und API-Routen unterliegen einer Ratenbegrenzung. Die Formulare für Anmeldung, Registrierung und Kontakt sind durch eine Bot-Prüfung von Cloudflare geschützt, sofern diese aktiviert ist. Anmeldeversuche sind pro Konto und pro Adresse begrenzt.
04
KI-Anbieter
Anfragen gehen zu geschäftlichen API-Bedingungen an KI-Anbieter. Anthropic und OpenAI verwenden API-Eingaben nicht zum Training ihrer Modelle; wo die Bedingungen eines Anbieters noch nicht geprüft sind, weist die Datenschutzerklärung darauf hin. Wir gestatten keinem Anbieter, ein öffentliches Modell mit Kundendaten zu trainieren. Generierte Entwürfe gleicht ein automatisierter Prüfmechanismus mit den eigenen Daten des Kunden ab, bevor der Kunde sie sieht, und jeder Entwurf ist als KI-generiert gekennzeichnet.
05
Vorfälle
Wir benachrichtigen betroffene Kunden innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und unterstützen sie bei ihren eigenen Meldungen an Aufsichtsbehörden und betroffene Personen. Sicherheitsereignisse protokollieren wir für jedes Konto; Kunden sehen ihren eigenen Anmeldeverlauf und ihre aktiven Sitzungen im Bereich Sicherheit ihres Portals. Die vollständige Verpflichtung steht in Abschnitt 5 des Auftragsverarbeitungsvertrags.
06
Zertifizierungen
Einen eigenen SOC-2- oder ISO-27001-Bericht haben wir noch nicht. Unsere Infrastrukturanbieter haben solche Berichte; auf Anfrage stellen wir sie unter einer Vertraulichkeitsvereinbarung (NDA) zur Verfügung, und der AVV regelt, wie ein Kunde uns prüfen kann.
07
Schwachstellen melden
Schreiben Sie an security@thenewmap.ai. Wir bestätigen den Eingang innerhalb von 5 Werktagen. Gegen Forschung in gutem Glauben, die die Daten anderer Kunden respektiert, den Dienst nicht beeinträchtigt und nicht auf mehr zugreift, als zum Nachweis des Problems nötig ist, gehen wir nicht rechtlich vor. Bitte geben Sie uns eine angemessene Gelegenheit, das Problem zu beheben, bevor Sie es veröffentlichen. Ein Bug-Bounty-Programm betreiben wir nicht.
Fragen aus dem Einkauf oder von Datenschutzbeauftragten: privacy@thenewmap.ai. Weitere Informationen: Datenschutzerklärung, Auftragsverarbeitungsvertrag, Allgemeine Geschäftsbedingungen.
Zuletzt aktualisiert am .