Sicherheit bei YARDtwin

YARDtwin läuft auf Microsoft Azure mit Compute in Norway East und Sweden Central für Daten, Registry und Geheimnisse. Alle Kundendaten verbleiben innerhalb der EU/EEA, konform mit GDPR Artikel 44–49.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private Container
• Azure Key Vault — Sweden Central, RBAC-gesteuert
• Azure Front Door + WAF — Prevention mode, custom rate-limit rules
• Log Analytics + Microsoft Sentinel — 90 Tage Aufbewahrung

Alle Kundendaten werden innerhalb der EU/EEA gespeichert und verarbeitet – gehostet in den Microsoft Azure-Regionen „Norway East" (Anwendung, Speicher) und „Sweden Central" (Datenbank, Secrets). Norwegen ist ein EWR-Staat, in dem die DSGVO gilt, sodass es sich um eine intra-EWR-Vereinbarung handelt, die keinen Übermittlungsmechanismus gemäß Kapitel V erfordert. Die Erstellung von Ressourcen außerhalb der genehmigten Regionen wird auf Plattformebene durch eine Azure Policy „Deny"-Zuweisung blockiert, sodass Kundendaten nicht außerhalb der EU/EWR bereitgestellt werden können. Sofern ein Unterauftragsverarbeiter mit begrenztem Umfang außerhalb des EWR tätig ist (z. B. AI OCR oder E-Mail-Zustellung), erfolgen die Übermittlungen auf Grundlage von EU-Standardvertragsklauseln, und es werden nur die unbedingt erforderlichen Mindestdaten übermittelt.

YARDtwin setzt eine kleine, sorgfältig geprüfte Anzahl von Unterauftragsverarbeitern ein, um den Dienst bereitzustellen. Jeder ist durch einen Auftragsverarbeitungsvertrag gebunden. Wir pflegen dieses Register und informieren Kunden über wesentliche Änderungen gemäß GDPR Artikel 28.

YARDtwin nutzt KI zum Lesen von Führerscheinen und Versanddokumenten (OCR), für den In-App-Assistenten sowie zur Erzeugung von Sprachführung. Die KI-Verarbeitung ist unterstützend: Ihre Ausgabe wird einer Person vorgelegt — beispielsweise bestätigt ein Gate-Operator jeden Check-in — und YARDtwin trifft keine automatisierten Entscheidungen, die rechtlich oder ähnlich bedeutsame Auswirkungen auf Personen haben (GDPR Artikel 22).

• Kundendaten werden nicht zum Training von KI-Modellen Dritter verwendet — unsere KI-Unterauftragsverarbeiter verarbeiten Daten ausschließlich, um ein Ergebnis für Ihre Anfrage zurückzuliefern.
• Datensparsamkeit: OCR für KI-Dokumente kann pro Standort deaktiviert werden, sodass Standorte, die manuelle Eingabe bevorzugen, niemals Dokumente an einen KI-Anbieter übermitteln.
• Menschliche Kontrolle: Extrahierte Felder sind vor der Übernahme in den Datensatz überprüfbar und bearbeitbar.

Strikte CSP mit anforderungsspezifischen Nonces für Skripte (kein unsafe-inline). Vollständiger Satz an Sicherheits-Headern bei jeder Antwort: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Unabhängiger Penetrationstest am 17.–18. April 2026 (10 OWASP-Kategorien, 36 Payloads): 0 Schwachstellen.Funktionaler Sicherheitstest am 11. April 2026 mit über 1.890 API-Aufrufen in 270 Terminen: 0 Fehler.Jährlicher externer Penetrationstest geplant und SOC 2 Type II-Prüfung in Bearbeitung.

• EU GMP Annex 11 — Datenintegrität (ALCOA+), Nur-Anhänge-Audit-Trail, elektronische Aufzeichnungen, Zugriffskontrolle, validiert
• 21 CFR Part 11 — Elektronische Aufzeichnungen, Audit-Trail, Zuordnung, Siegelkette der Custody
• GDPR — Datenportabilität (JSON + CSV), DSAR-Workflow, Einwilligungsverfolgung, ausschließlich EU/EEA-Datenhaltung
• SOC 2 Type II — Prüfung in Bearbeitung

• Vendor Assurance Pack (PDF) — QMS-Dokumentenindex, GAMP-5-Kategorisierung, Annex 11- und 21 CFR Part 11-Klauselmappings, ALCOA+-Erklärung, Sicherheitsarchitektur, ein ausgefülltes CAIQ-Lite sowie eine vollständige Liste der noch nicht vorhandenen Unterlagen. Kein Formular erforderlich.
• GMP-Auditbereitschafts-Checkliste für den Yard-Betrieb — 101 Prüfpunkte in 12 Bereichen zur Bewertung Ihres eigenen Yards anhand von Annex 11, 21 CFR Part 11 und den EU-GDP-Leitlinien.
• Auftragsverarbeitungsvertrag (DPA) Vorlage — zur unternehmensinternen Prüfung & Unterzeichnung
• GDPR-Richtlinie
• Datenschutzrichtlinie
• security.txt
• Servicestatusseite — Live selbst gemeldeter Plattformstatus, Verfügbarkeitszusagen und Incident-Historie.

Wir begrüßen Meldungen von Sicherheitsforschern. Senden Sie eine E-Mail an admin@yardtwin.commit einer Beschreibung des Befundes und den Schritten zur Reproduktion. Wir bestätigen den Eingang innerhalb von 2 Werktagen und beheben kritische Probleme in der Regel innerhalb von 7 Tagen. Bitte veröffentlichen Sie Sicherheitslücken nicht, bevor wir die Möglichkeit zur Behebung hatten.