Prüfbare Grenzen statt pauschaler Compliance-Versprechen.
Dokumentierte Providerpfade und workspace-gebundene Zugriffskontrollen. Ein vollständiger AVV muss mit dem tatsächlichen Kundenunternehmen vor Produktivstart separat ausgeführt werden. SSO, erweiterte Audit-Exporte und spezielle Deployment-Modelle sind Roadmap-Themen.
- Art. 28AVV separat vor ProduktivstartKundenpflicht
- Art. 32Maßnahmen pfadbezogen prüfenBegrenzt
- Art. 17Gestufter Löschprozess im PilotBegrenzt
- Art. 20Begrenzter Pilot-ExportBegrenzt
- Art. 30Verantwortung des KundenKundenpflicht
- Art. 35Bewertung des KundenKundenpflicht
Begrenzte Ereignissicht statt Vollständigkeitsversprechen.
Die aktuelle Settings-Ansicht bündelt eine definierte Teilmenge kundenrelevanter Ereignisse. Die Visualisierung darunter ist synthetisch; sie ist weder Live-Telemetrie noch der Nachweis eines lückenlosen Audit-Trails.
- 15:42:11owner@beispiel.desettings.updateSynthetisches Beispielereignis
- 15:43:04owner@beispiel.deknowledge.uploadproduktblatt.pdf · Beispieldatensatz
- 15:45:32systemtask_completedSynthetische Aufgabenreferenz
- 15:47:18assistentemail.draftNur Beispiel · kein Versand
- 15:51:09owner@beispiel.deintegration.connectSynthetischer Connector
Dokument, Produktgrenze und Kundenpflicht getrennt.
Die öffentliche Providerübersicht ist weder ein ausgeführter AVV noch eine TOM-Anlage. Sie ersetzt außerdem weder das Verzeichnis der Verarbeitungstätigkeiten noch eine Datenschutz-Folgenabschätzung des Verantwortlichen.
Auftragsverarbeitung
Vollständigen AVV separat vor Produktivstart ausführen
Sicherheit der Verarbeitung
Maßnahmen je Provider, Datenpfad und Konfiguration bewerten
Datenschutz-Folgenabschätzung
Bewertung des Verantwortlichen · keine automatische DSFA
Verzeichnis Verarbeitungstätigkeiten
Pflicht des Verantwortlichen · Aktivitätslog ist kein Ersatz
Datenübertragbarkeit
Begrenzter Pilot-Export · weitergehende Auskunft separat
Recht auf Löschung
Gestufter 30-Tage-Prozess · Providergrenzen vor Abschluss prüfen
Vier Punkte, die Ihre Prüfung vorab kennen sollte.
Single Sign-On
SAML/OIDC und SCIM sind geplant, derzeit aber kein freigegebener Bestandteil der Tarife. Verfügbarkeit wird erst nach produktivem End-to-End-Nachweis zugesagt.
Datenexport (Art. 20)
Der Pilot-Export erzeugt einen begrenzten JSON-Datensatz mit dokumentierten Zeilenlimits und ohne Secrets. Er ist kein vollständiger Workspace-Dump; weitergehende Auskunft muss separat angefordert werden.
Löschungs-Recht (Art. 17)
Eine Konto-Löschung kann mit 30-tägiger Widerrufsfrist angestoßen werden. Der technische Ablauf arbeitet schrittweise und stoppt bei ungeklärten Provider-Resten; eine pauschal lückenlose Lösch- oder Audit-Zusage folgt daraus nicht.
Verschlüsselung
Transport und Datenhaltung nutzen die dokumentierten Verschlüsselungsmechanismen der eingesetzten Infrastruktur-Anbieter. Separate HSM-Keys pro Workspace sind derzeit kein Produktversprechen.
Was heute belegbar ist — und was separat geprüft werden muss.
Häufige Fragen aus IT- und Compliance-Audits.
Wo genau sind die Server?
Noctive nutzt mehrere Infrastruktur- und Funktionsanbieter. Die öffentliche Providerübersicht beschreibt den vorgesehenen Anbieterstand; maßgeblich bleiben der konkret aktivierte Produktpfad, die Account-Konfiguration und die separat ausgeführten Verträge. Eine pauschale EU-only-Aussage machen wir nicht.Wie steht es um Penetration-Tests?
Wir nennen externe Pen-Tests, Frequenzen oder Berichte erst, wenn ein belastbarer Nachweis vorliegt. Sicherheitsmeldungen können an info@noctive.de gesendet werden; eine pauschale Reaktionszeit versprechen wir nicht ohne operativ belegtes SLA.Welche Sub-Auftragsverarbeiter setzt ihr ein?
Die öffentliche Providerübersicht nennt den derzeit vorgesehenen Anbieterstand. Vor Produktivstart müssen aktivierte Funktionen, tatsächliche Account-Konfiguration, Speicherfristen, Transfers und die jeweils geltenden Vertragsanlagen konkret abgeglichen und ausgeführt werden.Können wir die Engine on-premise betreiben?
Noch nicht als Standardprodukt. Ein kundenseitiges Betriebsmodell wäre ein separates Enterprise-Projekt und setzt vor jeder Zusage eine technische, vertragliche und sicherheitsseitige Prüfung voraus.Was passiert mit unseren Daten bei Vertrags-Ende?
Der im Pilot implementierte Workspace-Prozess beginnt mit einer 30-tägigen Widerrufsfrist und arbeitet danach provider- und datenpfadbezogen. Ungeklärte externe Reste blockieren den Abschluss. Gesetzliche Aufbewahrungspflichten und Anbieterfristen müssen im konkreten Vertrag geprüft werden.
Prüfen Sie Dokumente und Produktgrenzen direkt.
Die öffentliche Providerübersicht und die Datenschutzhinweise zeigen den dokumentierten Arbeitsstand, sind aber kein ausgeführter AVV. Zusätzliche Unterlagen, Zertifikate oder Prüfberichte werden erst zugesagt, wenn sie tatsächlich vorliegen.
- Provider dokumentiert
- Freigaben vor Wirkung
- Team in München