Sicherheit bei YARDtwin

YARDtwin läuft auf Microsoft Azure mit Compute in Norway East und Datenhaltung, Registry sowie Secrets in Sweden Central. Kundendaten werden innerhalb der EU/EWR gespeichert; die eingeschränkten Übermittlungen an Unterauftragsverarbeiter außerhalb des EWR sind nachstehend aufgeführt und durch Standardvertragsklauseln abgedeckt.

• App Service (Linux Container) — Norway East
• Azure PostgreSQL Flexible Server — Sweden Central
• Azure Blob Storage — Norway East, private Container
• Azure Key Vault — Sweden Central, RBAC-gesteuert
• Azure Front Door + WAF — Präventionsmodus, benutzerdefinierte Rate-Limit-Regeln
• Azure Monitor-Benachrichtigungen zu Fehlern, Latenz und Verfügbarkeit sowie Azure Service Health-Benachrichtigungen

Kundendaten werden in Microsoft Azure-Regionen in der EU/EWR gehostet – Norway East (Anwendung, Speicher) und Sweden Central (Datenbank, Geheimnisse). Norwegen ist ein EWR-Staat, in dem die DSGVO gilt, sodass es sich um eine innerhalb des EWR stattfindende Vereinbarung handelt, die keinen Übermittlungsmechanismus gemäß Kapitel V erfordert. Die Erstellung von Ressourcen außerhalb der genehmigten Regionen wird auf Plattformebene durch eine Azure Policy „Deny"-Zuweisung blockiert, sodass Kundendaten nicht außerhalb der EU/des EWR bereitgestellt werden können. Einige Funktionen übermitteln Daten an die nachstehend (sowie unter /subprocessors) aufgeführten Unterauftragsverarbeiter, darunter einige außerhalb des EWR – beispielsweise Anthropic in den USA für KI-Funktionen sowie E-Mail-Zustellung – auf Basis von EU-Standardvertragsklauseln (und dem EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist); dabei werden nur die unbedingt erforderlichen Daten übermittelt.

YARDtwin setzt eine kleine, sorgfältig geprüfte Anzahl von Unterauftragsverarbeitern ein, um den Dienst bereitzustellen. Jeder ist durch einen Auftragsverarbeitungsvertrag gebunden. Wir pflegen dieses Register und informieren Kunden über wesentliche Änderungen gemäß Artikel 28 DSGVO.

Nur-Website-Dienste (keine operativen Kundendaten)

Diese laufen ausschließlich auf der öffentlichen Website. Sie erhalten keine operativen Kundendaten und sind insofern keine Unterauftragsverarbeiter; solche, die Cookies setzen, werden nur mit Einwilligung geladen.

YARDtwin verwendet KI, um Führerscheine und Versanddokumente zu lesen (OCR), um – sofern an einem Standort aktiviert – ein am Tor aufgenommenes Foto des Fahrers im Eins-zu-eins-Vergleich mit dem Führerschein- oder gespeicherten Fahrerfoto abzugleichen, den In-App-Assistenten zu betreiben und Sprachführung zu erzeugen. Die KI-Verarbeitung ist unterstützend: Das Ergebnis wird einer Person vorgelegt – an einem besetzten Tor bestätigt beispielsweise ein Toroperator jeden Ein-Check-in. Wenn ein Standort den automatischen Check-in über Kennzeichenkameras oder ein unbesetztes Tor aktiviert, wird ein Lkw, dessen Buchung eindeutig übereinstimmt, ohne Toroperator eingecheckt; alle anderen Fälle werden an das Torpersonal weitergeleitet. YARDtwin trifft keine automatisierten Entscheidungen, die rechtliche oder ähnlich weitreichende Auswirkungen auf Personen haben (DSGVO Artikel 22).

• Kundendaten werden nicht zum Training von KI-Modellen Dritter verwendet — unsere KI-Unterauftragsverarbeiter verarbeiten Daten ausschließlich, um ein Ergebnis für Ihre Anfrage zurückzuliefern.
• Datensparsamkeit: OCR für KI-Dokumente kann pro Standort deaktiviert werden, sodass Standorte, die manuelle Eingabe bevorzugen, niemals Dokumente an einen KI-Anbieter übermitteln.
• Menschliche Kontrolle: Extrahierte Felder sind vor der Übernahme in den Datensatz überprüfbar und bearbeitbar.

Strikte CSP mit anforderungsspezifischen Nonces für Skripte (kein unsafe-inline). Vollständiger Satz an Sicherheits-Headern bei jeder Antwort: HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy.

Ein Penetrationstest durch Dritte wurde noch nicht durchgeführt; ein unabhängiger Test ist vor dem ersten Enterprise-Go-Live geplant. Ein internes White-Box-Code-Audit wurde im Oktober 2026 abgeschlossen und alle kritischen Befunde wurden behoben.

Funktionaler Sicherheitstest am 11. April 2026 mit über 1.890 API-Aufrufen in 270 Terminen: 0 Fehler.

• Paid plans carry a 99.5% monthly availability commitment with service credits, set out in our Service Level Agreement.
• Recovery targets: RTO (time to restore service) of 4 hours or less; RPO (maximum data loss) of 24 hours or less.
• Restore drill: in August 2026 a full production database restore was executed and measured at 6 minutes 43 seconds.
• Backups: 7-Tage-Point-in-Time-Wiederherstellung sowie monatlich verschlüsselte Backups, die bis zu 7 Jahre unter einer zeitbasierten Unveränderlichkeitsrichtlinie aufbewahrt werden, die Löschung und Überschreibung verhindert (Richtlinie noch nicht gesperrt).
• Tägliche Sicherung: Eine vollständige Kopie der Datenbank wird jede Nacht erstellt und 35 Tage lang in einem separaten verschlüsselten Speicher im EWR (Sweden Central, georepliziert nach Sweden South) aufbewahrt.
• High availability (zone-redundant failover) is not yet enabled. A zone outage would be recovered by restore within the targets above, not by automatic failover.
• Availability is measured by our own internal monitoring, not by an independent third party. Live status and published incidents: status page.

• EU GMP Annex 11 — Datenintegrität (ALCOA+), nur erweiterbarer Audit-Trail (append-only), elektronische Aufzeichnungen, Zugriffskontrolle, validiert
• 21 CFR Part 11 — Elektronische Aufzeichnungen, Audit-Trail, Zuordnung, lückenlose Nachverfolgung der Siegel (Chain of Custody)
• GDPR — Datenportabilität (JSON + CSV), DSAR-Workflow, Einwilligungsverfolgung, ausschließlich EU/EEA-Datenhaltung
• ISO 27001 — Zertifizierungsprogramm läuft; Zertifizierungsaudit für Q1 2027 geplant; Zertifikat angestrebt für Q1 2027
• SOC 2 — Nicht vorhanden. Auf Anfrage nach ISO 27001-Zertifizierung erhältlich.

• Vendor Assurance Pack v1.2 — QMS-Dokumentenindex, GAMP-5-Kategorisierung, Klausel-Mappings für EU GMP Annex 11 und 21 CFR Part 11, ALCOA+-Erklärung, Sicherheitsarchitektur, ein ausgefülltes CAIQ-Lite, alle Korrekturen gegenüber v1.1 sowie die vollständige Liste offener Punkte. PDF, kein Formular erforderlich.
• GMP-Auditbereitschafts-Checkliste für den Yard-Betrieb — 101 Prüfpunkte in 12 Bereichen zur Bewertung Ihres eigenen Yards anhand von Annex 11, 21 CFR Part 11 und den EU-GDP-Leitlinien.
• Auftragsverarbeitungsvertrag — Exemplar zur Prüfung auf Anfrage bei dpo@yardtwin.com
• Sub-processors — the full list with data locations and transfer safeguards, and how customers are told about changes.
• Supplier documents — the supplier pack for procurement reviews: what is public and what we send on request.
• DSGVO-Richtlinie
• Datenschutzrichtlinie
• security.txt
• Servicestatusseite — Live selbst gemeldeter Plattformstatus, Verfügbarkeitszusagen und Incident-Historie.
• Service Level Agreement — 99.5% monthly availability on paid plans, the service-credit schedule and how to claim.
• Support — how to reach us, support hours and response targets.
• Developers — API reference, authentication and webhooks.

Wir begrüßen Meldungen von Sicherheitsforschern. Senden Sie eine E-Mail an admin@yardtwin.commit einer Beschreibung des Befundes und den Schritten zur Reproduktion. Wir bestätigen den Eingang innerhalb von 2 Werktagen und streben an, kritische Probleme innerhalb von 7 Tagen zu beheben. Bitte veröffentlichen Sie Sicherheitslücken nicht, bevor wir die Möglichkeit zur Behebung hatten.

Fragen zu personenbezogenen Daten, dem DPA, Unterauftragsverarbeitern oder Betroffenenrechten richten Sie bitte an dpo@yardtwin.com. Dies ist ein Rollenpostfach, das von der für den Datenschutz verantwortlichen Person bei YARDtwin Ltd überwacht wird. YARDtwin hat gemäß Artikel 37 DSGVO keinen gesetzlich vorgeschriebenen Datenschutzbeauftragten benannt, was für die vorgenommene Verarbeitung nicht verpflichtend ist; wir veröffentlichen die Kontaktadresse anstelle eines individuellen Namens. Anträge betroffener Personen können auch über das DSAR-Portal eingereicht werden. /data-request