VamiGRC Trust Center — Sicherheit, Compliance & souveränes Hosting

01 — Compliance & Zertifizierungen

Auf zertifizierten Grundlagen gebaut.

VamiGRC wird von der VamiSec GmbH betrieben, deren Informationssicherheits-Managementsystem nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Die Betriebsplattform T Cloud Public bringt eigene, testierte Nachweise mit. Wir kennzeichnen transparent, was zertifiziert, was in Vorbereitung und was Plattform-Nachweis ist.

ISO/IEC 27001

ISMS der VamiSec GmbH — zertifiziert durch die DAkkS-akkreditierte Proks Certification GmbH, gültig bis 09/2028.

Zertifiziert

ISO/IEC 42001

AI-Management-System nach ISO/IEC 42001 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

DSGVO / GDPR

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Subprozessoren offengelegt, Plattformdaten in Deutschland.

AVV verfügbar

BSI C5 · ISO 27001 · TISAX

Testat, Label & Zertifikate der Betriebsplattform T Cloud Public (Deutsche Telekom).

Hosting-Plattform

ISO 14001

Umweltmanagementsystem der VamiSec GmbH nach ISO 14001:2026 aufgebaut — Zertifizierung in Vorbereitung.

In Vorbereitung

EcoVadis

Nachhaltigkeitsrating der VamiSec GmbH — Committed-Badge, verliehen im Oktober 2026.

Committed-Badge

02 — Hosting & Digitale Souveränität

Souverän gehostet in Deutschland — unter europäischem Recht.

VamiGRC läuft auf T Cloud Public (ehemals Open Telekom Cloud) der Deutschen Telekom — einer souveränen europäischen Cloud, für VamiGRC ausschließlich mit Rechenzentren in Deutschland. Plattformdaten und Logs unterliegen europäischem Recht und deutscher Jurisdiktion. Die SSO-Anmeldung läuft über den Microsoft-Entra-Mandanten deines Unternehmens; System-E-Mails verarbeitet Microsoft 365 innerhalb der EU-Datengrenze; KI-Anbieter verarbeiten Anfragen in den USA (siehe Subprozessoren).

Rechenzentren in DeutschlandTwin-Core-Region Biere/Magdeburg (Sachsen-Anhalt) — Plattform und Datenhaltung in deutschen Rechenzentren.

Logische MandantentrennungAuf Anwendungsebene: Jede Anfrage wird per Keycloak-JWT gegen den Mandantenkontext validiert, ergänzt um rollenbasierte Zugriffskontrolle.

Verschlüsselte ÜbertragungTLS für alle Verbindungen, HTTPS wird erzwungen. Zugangsdaten zu Integrationen und KI-Anbietern speichern wir anwendungsseitig verschlüsselt.

Konfigurierbare KIStandard-LLM ist Claude (Anthropic), Verarbeitung in den USA; Embeddings für die Suche liefert OpenAI (USA). Die Plattform wird derzeit von GPT-Modellen von OpenAI auf Claude umgestellt; bis zum Abschluss beantworten GPT-Modelle von OpenAI (USA, ohne Trainingsnutzung) die KI-Anfragen. Keine Trainingsnutzung — weder durch VamiSec noch nach den Bedingungen der Anbieter. Über die Routing-Policy deines Mandanten kannst du Chat, Assistent und Agenten auf eigene Modelle (BYOLLM, lokal) beschränken; Embeddings für die Suche und einzelne Spezialfunktionen laufen derzeit weiter über OpenAI.

T Cloud PublicDeutsche Telekom · souveräne Cloud

BSI C5 Typ II (ISAE 3000)
ISO/IEC 27001, 27017, 27018, 27701
SOC 1/2/3, TISAX AL 3
ISO 22301 (BCM), ISO 27001-Rechenzentren

Von unabhängigen Prüfern erteilte Zertifikate, Testate und Labels der Hosting-Plattform (Deutsche Telekom) — nicht der VamiSec GmbH. Quelle: Zertifikate und Testate der T Cloud Public.

03 — Security Controls

Wie wir schützen — nach Domänen.

Konkrete Kontrollen statt Marketing. Diese Maßnahmen sind Teil unseres Sicherheitskonzepts und orientieren sich am ISMS der VamiSec.

Datensicherheit

Verschlüsselte Übertragung (TLS, HTTPS erzwungen); Zugangsdaten zu Integrationen und KI-Anbietern anwendungsseitig verschlüsselt
Plattformdaten in Deutschland; nach Vertragsende 30 Kalendertage Datenabruf, danach Löschung (Backups binnen weiterer 90 Kalendertage)
Zugriff von Mitarbeitenden auf Kundendaten nur, soweit für Betrieb, Support oder Onboarding erforderlich

Anwendungssicherheit

Secure SDLC von den Anforderungen bis zum Betrieb (Details unten)
Threat Modeling, Code-Review und automatisierte Tests in der CI
Externe Penetrationstests mindestens jährlich; Management Summary auf Anfrage

Zugriff & Identität

SSO über Microsoft Entra ID (OIDC), vermittelt durch Keycloak; MFA nach den Richtlinien deines Entra-Mandanten
Keycloak-JWT-Validierung bei jedem Request
Least Privilege & rollenbasierte Zugriffskontrolle

Infrastruktur

Souveränes Hosting auf T Cloud Public (DE)
Containerisierter Betrieb auf Kubernetes; logische Mandantentrennung auf Anwendungsebene
Zentrales Secrets-Management — Zugangsdaten werden zur Laufzeit aus Kubernetes-Secrets geladen

Logging & Nachvollziehbarkeit

Strukturiertes Logging der Plattformdienste
Statusseite status.vamigrc.com mit Live-Check der Dienste
Änderungshistorie je Modul und Audit-Protokoll der KI-Aufrufe

Incident Management

Definierter Incident-Response-Prozess
Information betroffener Kunden unverzüglich — Ziel: Erstinformation binnen 24 Stunden nach Kenntnis
Responsible Disclosure: Sicherheitslücken meldest du an security@vamisec.com · security.txt (RFC 9116)

KI-Governance & Human-in-the-Loop

Autonomie-Level L0–L3 — du entscheidest je Workflow, wie viel die KI darf
KI-Antworten mit Quellenzitat aus deiner Wissensbasis
Standard-LLM Claude (Anthropic, USA) — je Mandant konfigurierbar; Chat, Assistent und Agenten per Routing-Policy auf eigene Modelle (BYOLLM) beschränkbar
Kein Training mit Kundendaten — weder für eigene noch für externe KI-Modelle

Organisation & Governance

ISO/IEC 27001-zertifiziertes ISMS (DAkkS)
Security-Awareness-Schulungen für alle Mitarbeitenden
Lieferanten- und Risikomanagement-Prozesse

Business Continuity & Backups

Regelmäßige Backups der Plattformdaten in Deutschland
Wiederherstellung wird regelmäßig getestet
Betrieb auf der T Cloud Public — Twin-Core-Region Biere/Magdeburg

04 — Secure Software Development Lifecycle

Wir entwickeln so sicher, wie unsere Kunden prüfen müssen.

Security ist bei VamiGRC kein nachgelagerter Schritt, sondern in jeder Phase der Entwicklung verankert — von den Anforderungen bis zum Betrieb.

01

Security Requirements Engineering

Sicherheits- und Datenschutzanforderungen werden vor der ersten Zeile Code definiert.

02

Threat Modeling

Bedrohungsmodellierung nach STRIDE und — für KI-/Agenten-Komponenten — MAESTRO.

03

Code-Review

Änderungen werden vor der Übernahme per Review geprüft — mit Blick auf Sicherheit und Datenschutz.

04

Automatisierte Tests

Die automatisierte Test-Suite läuft bei jedem Pull Request in der CI.

05

Sichere Bereitstellung

Container auf Kubernetes, HTTPS erzwungen, Zugangsdaten als Kubernetes-Secrets.

06

Penetrationstests

Externe Penetrationstests mindestens jährlich; die Management Summary erhältst du auf Anfrage.

05 — Subprozessoren

Offen gelegt — wer welche Daten verarbeitet.

Plattformdaten und Backups speichern wir in Rechenzentren in Deutschland (T Cloud Public). KI-Anbieter (Anthropic, OpenAI) verarbeiten Anfragen in den USA. Übermittlungen in Drittländer stützen wir auf EU-Standardvertragsklauseln (SCC) und — wo der Anbieter nachweislich zertifiziert ist — auf das EU-U.S. Data Privacy Framework (DPF). Änderungen kündigen wir Vertragskunden mindestens 30 Kalendertage vorab in Textform an; innerhalb dieser Frist kannst du aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.

Subprozessor	Leistung	Zweck	Region
Telekom Deutschland GmbH	T Cloud Public (ehemals Open Telekom Cloud): Kubernetes, verwaltete PostgreSQL-Datenbank, Object Storage, Redis, Container-Registry, Load Balancer	Hosting und Betrieb der gesamten Plattform inkl. Datenbank, Dateiablage und Datensicherungen sowie der selbst betriebenen Komponenten (u. a. Keycloak)	DERegion eu-de (Biere/Magdeburg); Support durch Telekom-Unterauftragnehmer nur aus EU-Staaten
Microsoft (Microsoft 365)	Exchange Online (System-E-Mails, Support-Postfach) und Microsoft Teams (Termine)	Versand der System-E-Mails der Plattform (z. B. Einladungen, Benachrichtigungen, Lieferanten-Fragebögen, Compliance-Pakete); Bearbeitung von Supportanfragen; Onboarding-, Customer-Success- und Supporttermine	EUEU-Datengrenze; Konzernsitz USA, begrenzte Zugriffe aus Drittländern möglich (SCC, DPF)
Microsoft (Microsoft Azure)	Azure Service Bus und Azure Blob Storage	Übergabe von Scan-Aufträgen der Cloud- und Identitäts-Konnektoren an den Scan-Worker; Ablage der Dienstkonto-Schlüsseldatei des GCP-Konnektors — nur, wenn du solche Konnektoren aktivierst	DE (vor Aktivierung festgelegt)Azure-Region in Deutschland, vor Aktivierung festgelegt und nachgewiesen; Konzernsitz USA (SCC, DPF)
Anthropic	Claude API (claude-haiku-4-5, claude-sonnet-5, claude-opus-5)	Standard-Sprachmodell der KI-Funktionen (VamiAI-Assistent, Graph-Abfragen, Entwürfe, Agenten, Teams-Bot); Einsatz je Mandant im Onboarding festgelegt; durch eigene Modelle ersetzbar; keine Trainingsnutzung (Commercial Terms)	USADirekte API, keine EU-Region; Infrastruktur-Unterauftragnehmer von Anthropic laut Anbieterliste weltweit; EU-Standardvertragsklauseln
OpenAI	OpenAI API: Embeddings (text-embedding-3-large) und einzelne Spezialfunktionen	Vektoren für die semantische Suche; Spezialfunktionen wie Dokumentexport und KI-gestützter Katalogimport, solange sie nicht portiert sind; bis zum Abschluss der Umstellung auf Claude zusätzlich GPT-Modelle für die KI-Funktionen; keine Trainingsnutzung (API-Bedingungen)	USADirekte API, keine EU-Datenresidenz; EU-Standardvertragsklauseln
Cloudflare	Cloudflare for SaaS (Custom Hostnames, TLS, Reverse Proxy)	Auslieferung deines öffentlichen VamiGRC-Trust-Centers unter deiner eigenen Domain — nur, wenn du eine eigene Domain nutzt	WeltweitNächstgelegenes Cloudflare-Rechenzentrum; Konzernsitz USA (DPF, SCC)

Änderungen zum 4. Oktober 2026 (Korrektur und Vervollständigung der Liste): neu aufgeführt OpenAI, Microsoft Azure (optional) und Cloudflare (optional); Microsoft 365 (Exchange Online, Teams) ersetzt den bisherigen Eintrag Bookings/Outlook und umfasst jetzt auch den Versand der System-E-Mails; Microsoft Entra External ID gestrichen (die SSO-Anmeldung läuft über den Entra-Mandanten deines Unternehmens); Region von Anthropic von EU auf USA korrigiert; Rechtsträger Telekom Deutschland GmbH präzisiert.

Vollständige, jeweils aktuelle Subprozessorenliste inklusive Kontakt für Änderungsbenachrichtigungen: privacy@vamisec.com.

06 — Dokumente & Nachweise

Informationen nach Art. 26 und Art. 28 der Verordnung (EU) 2023/2854 (Data Act) für VamiGRC als Datenverarbeitungsdienst. Maßgeblich sind die Regelungen deines Vertrags; diese Angaben halten wir aktuell.

Wechselverfahren

Wechsel, Übertragung oder Löschung verlangst du in Textform; die Kündigungsfrist beträgt zwei Monate ab Zugang deines Verlangens
Übergang höchstens 30 Kalendertage, einmal verlängerbar; ist das technisch nicht durchführbar, melden wir uns binnen 14 Arbeitstagen mit einer Alternative von höchstens sieben Monaten
Danach 30 Kalendertage Datenabruf; anschließend Löschung mit Bestätigung in Textform (Backups binnen weiterer 90 Kalendertage)
Keine Wechsel- oder Datenextraktionsentgelte; endet der Vertrag durch den Wechsel vorzeitig, bleibt nur die Vergütung für das laufende Lizenzjahr geschuldet (vor Lizenzbeginn: das erste Lizenzjahr); wir unterstützen deine Ausstiegsstrategie mit allen einschlägigen Informationen

Methoden und Schnittstellen

Export je Register in der Oberfläche (CSV, XLSX, JSON) sowie PDF-Berichte zu einzelnen Objekten
Public REST API (v1) mit persönlichen Zugriffstoken — für dich und von dir benannte übernehmende Anbieter unentgeltlich
Gesamtexport deines Mandanten auch ohne Wechsel: Auf Anforderung in Textform, die spätestens einen Monat vor Vertragsende zugeht, stellen wir ihn innerhalb von zehn Werktagen bereit

Bekannte Einschränkungen

Lizenzierte Normtexte Dritter (z. B. ISO-Normen) nur als Referenz: Katalog, Version, Control-ID
Nicht exportierbar: Quellcode, plattformeigene Prompt- und Agentenkonfigurationen, geschützte Vorlagen und Playbooks von VamiSec sowie mandantenübergreifende Betriebs- und Sicherheitsprotokolle, soweit sie Geschäftsgeheimnisse von VamiSec enthalten
KI-Verläufe und -Protokolle nur, soweit sie im Mandanten gespeichert sind
Exporte über Oberfläche und API sind je Abruf mengenbegrenzt (Paginierung); einen Self-Service-Gesamtexport gibt es nicht — den erstellen wir auf Anforderung
Dokumente und Anhänge sowie Workflow- und Freigabeaktionen sind nicht über die API verfügbar; Dokumente erhältst du über den Gesamtexport

Online-Register: Datenstrukturen, Formate und Normen

Register nach Art. 26 lit. b Data Act · Version 1.0 · Stand 4. Oktober 2026. Es zeigt, in welchen Strukturen, Formaten, Normen und offenen Spezifikationen deine exportierbaren Daten bereitstehen. Die Felder je Register sind in der OpenAPI-Beschreibung der Public REST API v1 dokumentiert, die wir auf Anfrage bereitstellen.

Datenkategorie	Datenstruktur	Format	Norm / offene Spezifikation
Register-Daten (z. B. Risiken, Controls, Assets, Lieferanten, Prozesse, Vorfälle, Schwachstellen)	Ein Datensatz je Objekt mit den Feldern des Registers; Verknüpfungen über eindeutige IDs	JSON, CSV, XLSX	JSON: RFC 8259 · CSV: RFC 4180 · XLSX: Office Open XML (ISO/IEC 29500)
Dokumente und Anhänge	Originaldatei mit Metadaten (Name, Typ, Zuordnung)	Originalformat (z. B. PDF, DOCX, XLSX); Metadaten als JSON	Format der jeweiligen Datei · JSON: RFC 8259
Control-Sets, Framework-Kataloge, Profile und System Security Plans (SSP)	OSCAL-Modelle Catalog, Profile (aufgelöst) und System Security Plan	OSCAL-JSON	NIST OSCAL 1.x (offene Spezifikation)
Metadaten und Historie (Versionen, Änderungen, Workflow- und Freigabestatus, Zuordnungen)	Einträge je Objekt mit Zeitstempel, Akteur und Änderung	JSON	JSON: RFC 8259
Mandantenkonfiguration (eigene Frameworks, Workflows, Berichte, Vorlagen)	Konfigurationsobjekte je Typ	JSON; eigene Frameworks zusätzlich OSCAL-JSON	JSON: RFC 8259 · NIST OSCAL 1.x
Audit-Protokolle sowie Verläufe von KI-Aktionen und Freigaben (soweit im Mandanten gespeichert)	Protokolleinträge mit Zeitstempel, Akteur und Aktion	JSON oder CSV	JSON: RFC 8259 · CSV: RFC 4180
Programmatischer Zugriff (Public REST API v1)	Ressourcen je Register, seitenweise abrufbar	JSON über HTTPS; Exporte auch als CSV oder XLSX	OpenAPI-Schnittstellenbeschreibung (maschinenlesbar, auf Anfrage) · JSON: RFC 8259 · Transport: HTTPS (TLS)

Gerichtsbarkeit je Komponente

Gerichtsbarkeit der IKT-Infrastruktur nach Art. 28 Abs. 1 lit. a Data Act. Anbieter mit Konzernsitz in den USA unterliegen zusätzlich US-Recht.

Komponente	Anbieter / Infrastruktur	Gerichtsbarkeit
Plattform, Datenbank, Dateiablage und Backups	Telekom Deutschland GmbH — T Cloud Public, Rechenzentren Biere/Magdeburg	Deutschland (EU); Support durch Telekom-Unterauftragnehmer aus EU-Staaten
Identität und Anmeldung	Keycloak, selbst betrieben auf T Cloud Public; SSO über Microsoft Entra ID im Microsoft-Mandanten des Kunden	Keycloak: Deutschland · Entra ID: Region des Microsoft-Mandanten des Kunden, Konzernsitz USA
System-E-Mails und Support	Microsoft 365 (Exchange Online, Microsoft Teams)	EU-Datengrenze, Konzernsitz USA
KI-Funktionen	Anthropic (Claude) · OpenAI (Embeddings, einzelne Spezialfunktionen)	USA
Eigene Modelle (BYOLLM)	Infrastruktur des Kunden	Nach Wahl des Kunden
Scan-Konnektoren (optional)	Microsoft Azure (Service Bus, Blob Storage)	Azure-Region wird vor Aktivierung festgelegt; Konzernsitz USA
Trust Center unter eigener Domain (optional)	Cloudflare (Cloudflare for SaaS)	Weltweites Netz, Konzernsitz USA

Schutz vor unrechtmäßigem staatlichem Zugriff aus Drittländern

Allgemeine Beschreibung nach Art. 28 Abs. 1 lit. b und Art. 32 Data Act für in der EU gespeicherte nicht-personenbezogene Daten. Für personenbezogene Daten gelten zusätzlich DSGVO und AVV.

Technische Maßnahmen

Plattformdaten und Backups in Rechenzentren in Deutschland (T Cloud Public)
TLS für alle Verbindungen; logische Mandantentrennung mit Prüfung jeder Anfrage
Drittanbieter-KI für Chat, Assistent und Agenten je Mandant auf eigene Modelle beschränkbar (Embeddings und einzelne Spezialfunktionen ausgenommen)

Organisatorische Maßnahmen

Zugriff von Mitarbeitenden auf Kundendaten nur nach Need-to-know
Ersuchen von Behörden oder Gerichten aus Drittländern prüfen wir auf die Voraussetzungen von Art. 32 Abs. 2 und 3 Data Act (bei personenbezogenen Daten Art. 48 DSGVO) und legen gegen unrechtmäßige Ersuchen zumutbare Rechtsbehelfe ein
Herausgabe nur im erforderlichen Mindestumfang; vorherige Information des Kunden, außer wenn das Ersuchen Strafverfolgungszwecken dient und solange dies zur Wahrung der Wirksamkeit der Strafverfolgung erforderlich ist; Ersuchen und ihre Bearbeitung werden dokumentiert

Vertragliche Maßnahmen

Subprozessoren sind vertraglich verpflichtet (AVV, EU-Standardvertragsklauseln)
Wechsel des Infrastrukturanbieters nur zu Rechenzentren in Deutschland mit BSI-C5-Testat (Typ 2) oder gleichwertigem Nachweis
Subprozessor-Änderungen mindestens 30 Kalendertage vorab, mit Einspruchsmöglichkeit

Fragen zum Wechsel und zum Datenexport: vamigrc@vamisec.com. Rechtsgrundlage: Verordnung (EU) 2023/2854, Kapitel VI und VII, anwendbar seit 12. September 2025.

08 — Umweltmanagement & Nachhaltigkeit

Verantwortung über die Informationssicherheit hinaus.

Die VamiSec GmbH, Betreiberin von VamiGRC, betreibt ein dokumentiertes Umweltmanagementsystem (UMS/EMS) nach ISO 14001:2026. Es ist mit dem nach ISO/IEC 27001 zertifizierten ISMS zu einem integrierten Managementsystem verzahnt; unser Nachhaltigkeitsengagement lassen wir zusätzlich extern durch EcoVadis bewerten.

Umweltmanagementsystem nach ISO 14001:2026Umweltleitlinie, Umweltaspekte- und Rechtsregister, messbare Umweltziele mit Kennzahlen und klar zugewiesene EMS-Verantwortung.

Integriert mit dem ISMSDas EMS nutzt die Prozesse des nach ISO/IEC 27001 zertifizierten ISMS – vom Änderungs- und Korrekturmaßnahmenmanagement bis zum gemeinsamen Management-Review.

Zertifizierung in VorbereitungDie Zertifizierung nach ISO 14001 durch eine DAkkS-akkreditierte Stelle ist in Vorbereitung; das Audit ist für 2027 geplant.

EcoVadis Committed – Sustainability Rating

EcoVadisNachhaltigkeitsrating · Committed-Badge 2026

Im EcoVadis-Nachhaltigkeitsrating hat die VamiSec GmbH im Oktober 2026 das Committed-Badge erhalten – eine Anerkennung für kontinuierliche Verbesserung im Bereich Nachhaltigkeit.

Rating und Umweltmanagementsystem beziehen sich auf die VamiSec GmbH als Unternehmen, die VamiGRC entwickelt und betreibt.

09 — FAQ

Häufige Fragen aus der Due Diligence.

Wo werden unsere Daten gespeichert?

Plattformdaten und Backups speichern wir in deutschen Rechenzentren der T Cloud Public (Deutsche Telekom); sie unterliegen europäischem Recht und deutscher Jurisdiktion. Die SSO-Anmeldung läuft über den Microsoft-Entra-Mandanten deines Unternehmens; System-E-Mails verarbeitet Microsoft 365 innerhalb der EU-Datengrenze. Für KI-Funktionen einschließlich der semantischen Suche verarbeiten Anthropic und OpenAI die jeweiligen Anfragen in den USA.

Ist VamiGRC ISO 27001-zertifiziert?

VamiGRC wird von der VamiSec GmbH betrieben, deren ISMS nach ISO/IEC 27001 durch eine DAkkS-akkreditierte Stelle zertifiziert ist. Der Betrieb von VamiGRC folgt den Prozessen dieses Managementsystems. Der zertifizierte Geltungsbereich umfasst neben den Beratungsdienstleistungen ausdrücklich die damit verbundenen digitalen Produkte und unterstützenden Einrichtungen zur Informationsverarbeitung (Zertifikat DE-IS-20250191, ISO/IEC 27001:2022, gültig bis 18.09.2028). Die Hosting-Plattform T Cloud Public bringt zusätzlich ein BSI-C5-Testat, ISO-27001-Zertifikate, ein TISAX-Label (AL 3) und SOC-1/2/3-Berichte mit.

Wie authentifizieren sich Nutzer?

Per Single Sign-On über Microsoft Entra ID (OIDC); die Multi-Faktor-Authentifizierung richtet sich nach den Richtlinien deines Entra-Mandanten. Jeder API-Request wird zusätzlich per Keycloak-JWT gegen den Mandantenkontext validiert; der Zugriff folgt dem Least-Privilege-Prinzip. Keycloak betreiben wir selbst auf der T Cloud Public — es vermittelt die Anmeldung und stellt die mandantengebundenen Tokens aus; deshalb erscheint es nicht als Subprozessor.

Sieht die KI unsere Daten, welche Modelle nutzt ihr — und wird damit trainiert?

Standard-LLM der VamiAI ist Claude (Anthropic); die Verarbeitung erfolgt über die API von Anthropic in den USA. Für die semantische Suche erzeugt OpenAI Embeddings, ebenfalls in den USA; einzelne Spezialfunktionen nutzen OpenAI, solange sie nicht portiert sind. Die Plattform wird derzeit von GPT-Modellen von OpenAI auf Claude umgestellt; bis zum Abschluss beantworten GPT-Modelle von OpenAI (USA, ohne Trainingsnutzung) die KI-Anfragen. Beide Anbieter verwenden deine Ein- und Ausgaben nach ihren Vertragsbedingungen (Anthropic Commercial Terms, OpenAI-API-Bedingungen) nicht zum Training der Modelle. Auch VamiSec selbst verwendet deine Daten nicht als Trainingsdaten: Wir trainieren und feintunen keine KI-Modelle damit. Über die Routing-Policy deines Mandanten kannst du Chat, Assistent und Agenten auf einen eigenen Endpunkt (BYOLLM) bzw. lokal betriebene Modelle beschränken; Embeddings und die genannten Spezialfunktionen laufen derzeit weiter über OpenAI. Antworten der VamiAI sind mit Quellenzitaten aus deiner Wissensbasis belegt, und über die Autonomie-Level L0–L3 entscheidest du, wie viel die KI ohne menschliche Freigabe tun darf.

Wie ist die Mandantentrennung umgesetzt?

Logisch auf Anwendungsebene: Alle Mandanten teilen ein Datenbankschema, jeder Datensatz ist einem Mandanten zugeordnet. Jede Anfrage wird per Keycloak-JWT gegen den Mandantenkontext validiert; zusätzlich greift die rollenbasierte Zugriffskontrolle. Ein mandantenübergreifender Zugriff gilt als sicherheitskritischer Fehler.

Wie werden wir bei einem Sicherheitsvorfall informiert?

Wir folgen einem definierten Incident-Response-Prozess und informieren betroffene Kunden unverzüglich in Textform — Ziel ist eine Erstinformation innerhalb von 24 Stunden nach Kenntnis. Sicherheitslücken meldest du vertraulich an security@vamisec.com — maschinenlesbar auch über /.well-known/security.txt (RFC 9116).

Wie erhalten wir Zugang zu vertraulichen Dokumenten?

Öffentliche Dokumente stehen direkt bereit. Für Pentest-Zusammenfassungen, Architektur-Whitepaper oder ausgefüllte Fragebögen genügt eine kurze Anfrage an security@vamisec.com; NDA-pflichtige Nachweise geben wir nach Unterzeichnung frei.

Welche Verfügbarkeit gilt für die Plattform?

Den aktuellen Betriebsstatus prüfst du live unter status.vamigrc.com — die Seite prüft beim Aufruf die Erreichbarkeit der Dienste. Geplante Wartungen kündigen wir vorab an. Verfügbarkeitsziel, Wartungsfenster und Reaktionszeiten regelt das SLA im Rahmen deines Vertrags — sprich uns an.

Was passiert mit unseren Daten nach Vertragsende?

Nach Vertragsende kannst du deine Daten 30 Kalendertage lang abrufen; bei einem Anbieterwechsel nach dem EU Data Act beginnt diese Frist mit dem Ende des Übergangszeitraums. Danach löschen wir die Daten im Produktivsystem; Backups werden innerhalb weiterer 90 Kalendertage gelöscht. Beide Löschungen bestätigen wir in Textform. Details findest du im Abschnitt EU Data Act.