DSGVO-Richtlinie

Zuletzt aktualisiert: 17. Oktober 2026 · v3.4 · Änderungen in v3.4: Abschnitte 4.3 und 5 — Am Vertragsende erhält der Kunde einen vollständigen Export seines Prüfprotokolls, bevor es gelöscht wird, es sei denn, er lehnt ihn schriftlich ab oder ist nach angemessenen Versuchen nicht erreichbar; YARDtwin bewahrt Prüfaufzeichnungen danach nur auf schriftliche Anweisung des Kunden auf, abgesehen von Backups bis zu deren Ablauf und der eigenen Aufzeichnung der Übergabe.

Anwendbare Vorschriften: EU-Datenschutz-Grundverordnung (2016/679), Irisches Datenschutzgesetz 2018

1. Unser Bekenntnis

YARDtwin Ltd verpflichtet sich zur vollständigen Einhaltung der Datenschutz-Grundverordnung (DSGVO). Als Verantwortlicher (für eigene Kundendaten) sowie als Auftragsverarbeiter (bei der Verarbeitung operativer Daten im Auftrag unserer Kunden) setzen wir angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten in jeder Phase zu schützen.

2. Rollen & Verantwortlichkeiten

YARDtwin als Verantwortlicher: Wir bestimmen die Zwecke und Mittel der Verarbeitung personenbezogener Daten für Kontoverwaltung, Abrechnung, Newsletter-Abonnements und Marketing-Messung auf unserer öffentlichen Website (ein LinkedIn Insight Tag, der nur mit Marketing-Cookie-Einwilligung geladen wird). Wir verwenden derzeit keine Analyse-Cookies.

YARDtwin als Auftragsverarbeiter: Wenn unsere Kunden operative Daten (Termine, Spediteurdetails, Fahrernamen, Prüfprotokolle) in die Plattform eingeben, handelt YARDtwin als Auftragsverarbeiter in ihrem Auftrag. Jeder Kunde (Mandant) ist der Verantwortliche für seine operativen Daten.

Pflichten der Kunden: Kunden sind dafür verantwortlich sicherzustellen, dass sie über rechtmäßige Grundlagen für die personenbezogenen Daten verfügen, die sie in YARDtwin eingeben (z. B. Fahrernamen, Kontaktdaten von Spediteuren, Fahrzeugkennzeichen). Kunden müssen ihre eigenen betroffenen Personen über die Datenverarbeitung durch YARDtwin informieren.

3. Auftragsverarbeitungsvertrag (DPA)

Alle Kunden können unseren Auftragsverarbeitungsvertrag über das Self-Service- DPA-Portal einsehen und akzeptieren. Kunden mit einem kostenpflichtigen Tarif können den Auftragsverarbeitungsvertrag zur Prüfung anfordern bei dpo@yardtwin.com; die gegengezeichnete Fassung wird ausgestellt, sobald die Eintragung des Unternehmens abgeschlossen ist.

4. Technische Maßnahmen (Art. 32 DSGVO)

4.1 Verschlüsselung

Alle Daten werden bei der Übertragung verschlüsselt (TLS 1.2+). Passwörter werden mit bcrypt (12 Runden) gehasht. PostgreSQL Flexible Server verwendet transparente Datenverschlüsselung im Ruhezustand. Azure Blob Storage ist im Ruhezustand verschlüsselt. Führerscheinbilder und Unterschriften werden im Ruhezustand von Azure Storage und Azure Database for PostgreSQL mit AES-256 verschlüsselt (von Microsoft verwaltete Schlüssel), und der Zugriff darauf ist nach Rolle und Organisation beschränkt. JWT-Token sind kryptografisch signiert (HS256). Secrets werden über Azure Key Vault verwaltet, auf den die verwaltete Identität des App Service zugreift – keine Secrets im Code, in Umgebungsdateien oder Container-Images.

4.2 Zugriffskontrolle

Rollenbasierte Zugriffskontrolle (RBAC) auf authentifizierten Routen mit serverseitig erzwungenem Mandanten-Scoping. Die Mandanten-Isolation wird vor jedem Release automatisch getestet: Der Cross-Tenant-Sweep des Release-Gates ruft die API als eine Organisation mit den Datensatz-IDs einer anderen Organisation auf; der Release wird blockiert, wenn Daten dieser Organisation gelesen oder geändert werden können. Single Sign-On (SAML 2.0, Google, Microsoft); zeitbasiertes Einmalpasswort-MFA, für Plattformadministratoren verpflichtend und für alle Benutzer verfügbar.

4.3 Prüfprotokolle

Vollständige Prüfprotokollierung von Benutzeraktionen: Benutzeridentität, Zeitstempel, IP-Adresse, Aktionsverb, betroffene Entität, alte und neue Werte. GMP-relevante Aktionen werden separat gekennzeichnet (is_gmp_relevant=1). Manipulationserkennbar und nur erweiterbar, in der Datenbank mit einer Hash-Kette erzwungen; GMP-relevante Einträge werden mindestens 7 Jahre lang aufbewahrt, solange die Servicevereinbarung läuft, sonstige Prüfeinträge 365 Tage. Pseudonymisiert, aber bei Löschanspruch nach Art. 17 nicht gelöscht (Aufbewahrungspflicht gemäß Art. 17(3)(b)). Am Ende des Vertrags erhält der Kunde einen vollständigen Export seines Prüfprotokolls, bevor es gelöscht wird, es sei denn, er lehnt dies schriftlich ab oder ist nach angemessenen Versuchen nicht erreichbar; YARDtwin bewahrt es länger nur auf schriftliche Weisung des Kunden auf, abgesehen von Backups bis zu deren Ablauf und der eigenen Aufzeichnung der Übergabe.

4.4 Infrastruktursicherheit

Gehostet auf Microsoft Azure (Sweden Central + Norway East, EWR). Containerisierter App Service, bereitgestellt über Azure Container Registry mit Staging-Slot-Swap-Verfahren. Der Datenverkehr erreicht die Anwendung über Azure Front Door mit einer Web Application Firewall im Präventionsmodus; die Datenbank akzeptiert Verbindungen ausschließlich von Azure-Diensten und einer Administrator-IP-Zulassungsliste. Application Insights mit Schema-Drift-Warnung bei Postgres-Fehlern "column / relation does not exist" (15-Minuten-Fenster). Eine End-to-End-/health/db-write-Prüfung verifiziert bei jedem Deployment, dass die Anwendung in die Datenbank schreiben und daraus lesen kann.

4.5 Datensparsamkeit

Wir erheben nur die für die Leistungserbringung erforderlichen Daten. Optionale Fahrerfelder (Telefon, E-Mail) können leer gelassen werden, sofern der Prozess des Kunden dies zulässt. Gatemitarbeiter können ein Lichtbild des Fahrers als Gatenachweis aufnehmen. Ist an einem Standort der KI-gestützte Gesichtsabgleich aktiviert, vergleicht unser KI-Anbieter (Anthropic) dieses Foto eins-zu-eins mit dem Führerscheinfoto oder dem gespeicherten Foto des Fahrers, um das Personal bei der Identitätsprüfung zu unterstützen. Das Ergebnis ist ein Hinweis: Die Gatemitarbeiter entscheiden und können einen Fahrer, dessen Identität der Abgleich nicht bestätigt hat, unter Angabe eines Grundes einlassen. Jeder Abgleich wird mit seinem Ergebnis auf unseren Servern gespeichert. Ist der Gesichtsabgleich deaktiviert (Standardeinstellung), wird kein Lichtbild an den KI-Anbieter übermittelt, und das Personal vergleicht den Fahrer selbst mit dem Führerscheinfoto; Führerscheinbilder werden dennoch per KI ausgelesen, sofern das KI-Lesen aktiviert ist. YARDtwin speichert keine Gesichtstemplates und führt keine Eins-zu-viele-Identifikation durch. Der Newsletter erfasst ausschließlich E-Mail-Adresse und optionalen Firmennamen.

4.6 Software-Lieferkette

Jeder Pull Request muss npm audit (Abhängigkeits-Schwachstellen), Semgrep (statische Analyse) und gitleaks (Secret-Scanning) bestehen, bevor er gemergt werden kann, ergänzt durch einen Trivy-Container-Image-Scan als Hinweischeck; diese Prüfungen laufen auch bei jedem Push auf master sowie nächtlich, zusammen mit einem OWASP ZAP Baseline-Scan (dynamisches Testen) der Produktionsumgebung als Hinweischeck. Dependabot-Warnungen melden neu bekannt gewordene Schwachstellen in unseren Abhängigkeiten.

5. Betroffenenrechte (Kapitel III DSGVO)

Wir unterstützen die Ausübung aller Betroffenenrechte:

Auskunftsrecht (Art. 15): Benutzer können eine Kopie aller von uns gespeicherten personenbezogenen Daten anfordern. Mandantenadministratoren können die Daten ihrer Organisation exportieren. Alle anderen Betroffenen (Fahrer, Newsletter-Abonnenten, potenzielle Kunden) können eine Anfrage über das DSAR Portal stellen.

Recht auf Berichtigung (Art. 16): Benutzer können ihre Profildaten über die Einstellungsseite aktualisieren. Mandantenadministratoren können die Daten aller Benutzer innerhalb ihrer Organisation bearbeiten.

Recht auf Löschung (Art. 17): Anfragen zur Kontolöschung werden innerhalb von 30 Tagen bearbeitet. Einreichen über das DSAR Portal. Intern wird dies durch POST /api/v1/dsar/erase/by-email die auf einen verifizierten Antrag hin die eigenen Benutzerkonten der Person in den ausgewählten Kundenkonten anonymisiert und deren Sitzungen, Token, Benachrichtigungen, ausstehende Einladungen, Newsletter- und Registrierungsdatensätze sowie den eigenen Avatar löscht. Betriebliche Datensätze, die beim Kunden vorliegen (Buchungen, Ein-/Ausfahrt- und Besuchsdatensätze, Fahrerliste, Kontakte), sind Datensätze des Kunden als Verantwortlichem und werden dem Kunden zur weiteren Bearbeitung aufgelistet. Das Prüfprotokoll behält eine anonymisierte Akteurangabe für die GMP-Integrität; GMP-relevante Prüfdaten werden gemäß Aufbewahrungspflicht nach Art. 17(3)(b) mindestens 7 Jahre lang aufbewahrt, solange die Servicevereinbarung läuft, und am Ende des Vertrags an den Kunden exportiert (es sei denn, er lehnt dies schriftlich ab oder ist nach angemessenen Versuchen nicht erreichbar) und anschließend gelöscht.

Recht auf Einschränkung der Verarbeitung (Art. 18): Benutzer können eine Einschränkung der Verarbeitung beantragen. Wir werden die Daten entsprechend kennzeichnen und die Verarbeitung – mit Ausnahme der Speicherung – einstellen.

Recht auf Datenübertragbarkeit (Art. 20): Daten können im CSV- und JSON-Format exportiert werden. Termindaten, Spediteursdaten und Prüfprotokolle sind vollständig exportierbar.

Widerspruchsrecht (Art. 21): Nutzer können der Verarbeitung auf Basis berechtigter Interessen widersprechen. Die Abmeldung vom Newsletter ist über einen One-Click-Link in jeder E-Mail möglich.

Recht bei automatisierter Entscheidungsfindung (Art. 22): YARDtwin trifft keine ausschließlich automatisierten Entscheidungen, die Personen erheblich beeinflussen.

6. Einwilligungsverwaltung

Newsletter: Ausdrückliche Opt-in-Einwilligung erforderlich. Einwilligungszeitpunkt und IP-Adresse werden erfasst. Abmeldelink in jeder Kommunikation enthalten. Die Einwilligung kann jederzeit ohne Auswirkung auf den Servicezugang widerrufen werden.

Nutzungsbedingungen: Die Kontoerstellung gilt als Zustimmung zu den Nutzungsbedingungen (Vertragsgrundlage). Nutzer werden bei der Registrierung über die Datenverarbeitung informiert.

Cookies: Beim ersten Besuch wird ein Cookie-Zustimmungsbanner gemäß der ePrivacy-Richtlinie angezeigt. Nutzer können zwischen ausschließlich notwendigen Cookies oder allen Cookies wählen. Präferenzen werden lokal gespeichert und können jederzeit geändert werden.

7. Verfahren bei Datenpannen (Art. 33–34)

Automatisierte Erkennung: Ein Breach-Monitor-Worker prüft das Auditprotokoll alle 5 Minuten und erfasst die ersten drei nachstehenden Anomalien als potenzielle Vorfälle; die übrigen drei sind separate Azure-Monitoring-Alerts:

≥10 fehlgeschlagene Anmeldeversuche für eine E-Mail-Adresse innerhalb von 1 Stunde
≥5 verschiedene Quell-IPs, die auf eine E-Mail-Adresse innerhalb von 24 Stunden abzielen
Erfolgreiche Anmeldung von einer Quell-IP, die für diesen Benutzer in den letzten 30 Tagen nicht bekannt war
Mehr als 10 Server-Fehler (HTTP 5xx) innerhalb eines 5-Minuten-Fensters
Postgres-Fehler "column / relation does not exist" (Schema-Drift, App Insights)
Der Website-Verfügbarkeitstest (alle 10 Minuten ausgeführt) schlägt fehl oder antwortet langsam

Verletzungsregister: Jede erkannte Anomalie wird in die breach_register Tabelle mit einem Zustandsautomaten geschrieben (erkannt → in Prüfung → bestätigt → gemeldet → abgeschlossen), einschließlich Schweregrad, Umfang, betroffener Personen, DPC-Fristablauf-Countdown und Prüfprotokoll. Einsehbar im SuperAdmin-Panel "Verletzungsregister".

Alarmweiterleitung: Erkennungsereignisse werden an die Azure Monitor Action Group weitergeleitet yardtwin-breach-actions, die den Gründer-Kontakt unter admin@yardtwin.com per E-Mail benachrichtigt. Schema-Drift-Ereignisse verwenden die vorhandene yardtwin-schema-drift-actions Gruppe.

Bewertung: Innerhalb von 24 Stunden nach Erkennung prüft das technische Team den Vorfall im Panel „Verletzungsregister“: Umfang, betroffene Personen, Schweregrad (Art. 33 Abs. 1-Kriterium „Risiko für Rechte und Freiheiten") und Ursache.

Meldung an die DPC (Art. 33): Innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko darstellt. Das Panel „Verletzungsregister“ zeigt einen Live-Countdown von 72 Stunden an, sobald der Vorfall den folgenden Status erhält: bestätigt.

Benachrichtigung der Betroffenen (Art. 34): Unverzüglich, wenn die Verletzung des Schutzes personenbezogener Daten ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.

Benachrichtigung der Kunden: Betroffene Mandantenadministratoren werden unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden einer sie betreffenden Verletzung des Schutzes personenbezogener Daten benachrichtigt; eine erste Mitteilung erfolgt innerhalb von 24 Stunden nach Bestätigung eines Sicherheitsvorfalls, der diese Daten betrifft.

Dokumentation: Jeder Eintrag im Verletzungsregister wird ohne automatische Löschung aufbewahrt, unabhängig davon, ob eine externe Meldung erforderlich war.

8. Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Standort	Schutzmaßnahmen
Microsoft Azure	Hosting, Datenbank- und Dateispeicherung	EWR — Sweden Central und Norway East (georedundante Kopie hochgeladener Dateien in Norway West)	Microsoft Products and Services DPA; Daten verbleiben im EWR
Anthropic	KI-gestütztes Lesen von Führerscheinen und Dokumenten (standardmäßig aktiviert; ein Standortadministrator kann dies deaktivieren), Eins-zu-eins-Vergleich des Torfotos eines Fahrers mit dem Führerschein oder dem gespeicherten Fahrerfoto (standardmäßig deaktiviert; ein Standortadministrator kann dies aktivieren oder deaktivieren) sowie der In-App-Assistent	USA	Standardvertragsklauseln und eine Übertragungsfolgenabschätzung (nicht nach dem EU-US-Datenschutzrahmen zertifiziert); API-Daten werden nicht für das Modelltraining verwendet und innerhalb von 30 Tagen gemäß Anthropics Standardgeschäftsbedingungen gelöscht
Resend	Transaktions-E-Mail	USA	Standardvertragsklauseln (die EU-US-Datenschutzrahmen-Rezertifizierung wird derzeit überprüft)
Stripe	Abrechnungskontakt- und Zahlungsdaten (YARDtwin speichert keine Kartennummern)	EU / USA	Standardvertragsklauseln; PCI DSS Level 1
Twilio	SMS- und WhatsApp-Benachrichtigungen (nur wenn vom Kunden aktiviert)	USA	Standardvertragsklauseln
Google und Microsoft	Anmelde-Identitätsdaten (nur wenn der Kunde diese Anmeldeoptionen nutzt)	EU / USA	Standardvertragsklauseln / EU-US Data Privacy Framework
ElevenLabs	Optionale Text-zu-Sprache-Funktion: Gibt die Antworten des In-App-Assistenten wieder, die betriebliche Details wie Fahrzeugkennzeichen enthalten können, sowie die Ansage auf öffentlichen Seiten	USA	EU-US-Datenschutzrahmen + Standardvertragsklauseln

Kunden erteilen eine allgemeine schriftliche Genehmigung für die oben aufgeführten Unterauftragsverarbeiter. Über jeden neuen Unterauftragsverarbeiter informieren wir mindestens 30 Tage im Voraus; ein Kunde kann aus sachlichen Gründen Einspruch erheben, und wenn der Einspruch nicht gelöst werden kann, den betroffenen Dienst ohne Vertragsstrafe kündigen.

Nur-Website-Dienste (keine operativen Kundendaten)

Diese laufen ausschließlich auf der öffentlichen Website. Sie erhalten keine operativen Kundendaten und sind insofern keine Unterauftragsverarbeiter; solche, die Cookies setzen, werden nur mit Einwilligung geladen.

Anbieter	Zweck	Standort	Transfergarantie
LinkedIn Insight Tag	Marketing-Messung auf öffentlichen Seiten – wird nur nach Einwilligung in Marketing-Cookies geladen, niemals innerhalb der Anwendung oder für angemeldete Benutzer	EU / USA	Einwilligung; LinkedIn DPA mit Standardvertragsklauseln

9. Datenschutz-Folgenabschätzung (DSFA)

Kunden als Verantwortliche entscheiden, ob ihre Verarbeitung in YARDtwin eine Datenschutz-Folgenabschätzung (DSFA) erfordert. Ein DSFA-Eingabepaket steht Kunden für ihre eigene DSFA zur Verfügung. YARDtwin verarbeitet hauptsächlich betriebliche Geschäftsdaten (Dock-Pläne, Spediteurnamen, Fahrzeugkennzeichen) statt sensibler personenbezogener Daten.

10. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25)

Privacy by Design: Mandantenfähige Architektur mit obligatorischer Mandantentrennung. RBAC in jeden API-Endpunkt integriert. Passwörter werden nie im Klartext gespeichert. Minimale Datenerhebung auf jeder Ebene.

Privacy by Default: Neue Konten verfügen über minimale Berechtigungen. Optionale Felder sind tatsächlich optional. Newsletter erfordert aktive Einwilligung. Datensichtbarkeit ist rollenbasiert eingeschränkt.

11. Compliance-Status & kontinuierliche Verbesserung

Abgeschlossen (Stand Mai 2026)

✓ Migration zu PostgreSQL Flexible Server (Azure-verwaltet, transparente Datenverschlüsselung im Ruhezustand, Point-in-Time-Wiederherstellung für 7 Tage)
✓ Migration zu Microsoft Azure (Sweden Central + Norway East, EWR) mit App Service + ACR + Key Vault
✓ Secrets-Verwaltung über Azure Key Vault (keine Secrets in .env oder Container-Images; Zugriff über Managed Identity)
✓ Automatisierter DSAR-Datenexport (POST /api/v1/dsar/export/by-email — Art. 15 / 20)
✓ Automatisierte DSAR-Datenlöschung (POST /api/v1/dsar/erase/by-email — Art. 17 mit Einhaltung der Aufbewahrungspflicht für Audit-Daten)
✓ Cookie-Banner v2 mit vier Kategorien (Essenziell / Funktional / Analyse / Marketing) und Ablehnen / Anpassen / Alle akzeptieren
✓ Mandantenübergreifendes Isolations-Audit automatischer Cross-Tenant-Sweep im Release-Gate vor jedem Release: Die API wird als eine Organisation mit den Datensatz-IDs einer anderen Organisation aufgerufen, und der Release wird blockiert, wenn Daten dieser Organisation gelesen oder geändert werden können
✓ CI/CD-Sicherheits-Pipeline: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
✓ Schema-Drift-Alarmierung über Application Insights (15-Minuten-Fenster)
✓ End-to-End /health/db-write-Probe prüft Schreibzugriff auf die Datenbank bei jedem Deployment
✓ App Insights Schema-Drift Action Group sendet bei Postgres-Fehlern "column / relation does not exist" eine E-Mail an den Gründer-Kontakt unter admin@yardtwin.com
✓ Führerscheinbilder und Unterschriften (signature_data) geschützt durch AES-256-Verschlüsselung im Ruhezustand in Azure Storage und Azure Database for PostgreSQL (von Microsoft verwaltete Schlüssel), Zugriff nach Rolle und Organisation beschränkt
✓ Automatisierte Datenlöschung nach Aufbewahrungsfrist (standortspezifisch konfigurierbar; PII-Bereinigungsworker)
✓ 30-tägige Testphase einheitlich überall harmonisiert (Registrierung, Marketing-Website, AGB, E-Mails)
✓ End-to-End-Regressionstest mit 5.000 Fahrzeugen deckt jeden Site-Admin-Endpunkt mit Yard-View-Treueprüfungen bei jedem Übergang ab (53.650/53.651 = 100%)
✓ Datenverzeichnis und Verzeichnis von Verarbeitungstätigkeiten (Art. 30) veröffentlicht
✓ Register der Unterauftragsverarbeiter gepflegt und jährlich überprüft
✓ Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen dokumentiert (Art. 25)
✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) zum Schutz von yardtwin.com mit benutzerdefinierten Rate-Limiting-Regeln auf den Endpunkten für Authentifizierung und Kontowiederherstellung sowie L7-DDoS-Abwehr auf Plattformebene. Ein verwalteter OWASP-Regelsatz ist nicht eingebunden; dafür ist die Front-Door-Premium-Stufe erforderlich
✓ Automatisierte Angriffserkennung — Breach-Monitor-Worker (Spitzen bei fehlgeschlagenen Anmeldungen, Anmeldeversuche auf einem Konto von vielen IP-Adressen, erfolgreiche Anmeldungen von einer IP-Adresse, die für diesen Benutzer in den letzten 30 Tagen nicht bekannt war), 5xx-Spike-Alert, Schema-Drift-Alert und Website-Verfügbarkeitstest
✓ Verletzungsregister persistente Tabelle mit vollständiger Zustandsmaschine und DPC-Fristencountdown, sichtbar im SuperAdmin-Panel
✓ Action Group yardtwin-breach-actions sendet bei jeder Erkennung eine E-Mail an den Gründer-Kontakt unter admin@yardtwin.com

Ausstehende Verbesserungen

11.1 Erster externer CREST-Penetrationstest

Es wurde noch kein Penetrationstest durch Dritte durchgeführt; ein unabhängiger Test ist vor dem ersten Enterprise-Go-live geplant. Ein internes White-Box-Code-Audit wurde im Oktober 2026 abgeschlossen und alle kritischen Befunde wurden behoben. Priorität: Hoch. Ziel: vor dem ersten Enterprise-Go-live.

11.2 Datenschutzbeauftragter

YARDtwin Ltd hat keinen gesetzlich vorgeschriebenen Datenschutzbeauftragten benannt: Keiner der in Artikel 37 Absatz 1 genannten Tatbestände (Behörde oder öffentliche Stelle; Kerntätigkeit erfordert umfangreiche, regelmäßige und systematische Überwachung; Kerntätigkeit umfasst umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten) trifft auf die Verarbeitungstätigkeiten zu. Die Datenschutzverantwortung liegt bei einer namentlich benannten Person innerhalb von YARDtwin Ltd, die über das Rollenpostfach dpo@yardtwin.com erreichbar ist, das in dieser Richtlinie, der Datenschutzrichtlinie, dem DPA und dem Trust Center veröffentlicht ist. Wir veröffentlichen die Kontaktadresse anstelle des individuellen Namens. Eine formelle Benennung mit Meldung an die Datenschutzbehörde erfolgt, sofern ein Kundenvertrag oder eine Änderung der Verarbeitungstätigkeiten dies erfordert. Status: Entschieden am 26. September 2026. Überprüfung bei jedem ISMS-Managementreview.

11.3 ISO 27001-Zertifizierung

Zertifizierungsprogramm läuft; Zertifizierungsaudit für Q1 2027 geplant; Zertifikat angestrebt für Q1 2027. Priorität: Mittel. Ziel: Q1 2027.

11.4 SOC 2 Type II

Nicht vorhanden. Auf Anfrage nach ISO 27001-Zertifizierung verfügbar. Priorität: Niedrig. Ziel: auf Kundenwunsch, nach ISO 27001.

11.5 Georedundanz und Hochverfügbarkeit der Datenbank

Hochgeladene Dateien sind georedundant gespeichert (Norway East → Norway West) seit Oktober 2026; die Hochverfügbarkeit der Datenbank ist vor dem ersten Enterprise-Go-live geplant. Bis dahin wird ein Datenbankausfall durch Point-in-Time-Wiederherstellung (7-Tage-Fenster) behoben. Priorität: Mittel. Ziel: vor dem ersten Enterprise-Go-live.

11.6 Transfer-Folgenabschätzungen

Für jeden Datentransfer außerhalb des EWR sind Standardvertragsklauseln in Kraft; Transfer-Folgenabschätzungen werden derzeit erstellt (Ziel: November 2026). Priorität: Mittel. Ziel: November 2026.

11.7 Bug-Bounty-Programm

Ein privates Bug-Bounty-Programm (HackerOne / Intigriti) ist nach dem zweiten erfolgreichen externen Penetrationstest geplant und soll eine kontinuierliche externe Abdeckung zwischen den jährlichen Tests gewährleisten. Priorität: Niedrig. Ziel: 2027.

12. Kontakt & Datenschutz

Datenschutzkontakt: dpo@yardtwin.com — ein Rollenpostfach, das von der für den Datenschutz verantwortlichen Person bei YARDtwin Ltd überwacht wird (siehe 11.2). Wir veröffentlichen die Kontaktadresse anstelle eines individuellen Namens.

Allgemeine Anfragen: admin@yardtwin.com

Betroffenenanfragen: Einreichen über unser DSAR-Portal

Auftragsverarbeitungsvertrag: Prüfen und akzeptieren unter /dpa

Aufsichtsbehörde: Data Protection Commission (DPC), Irland · www.dataprotection.ie · +353 (0)761 104 800