Ein Projektraum verarbeitet mehr Schützenswertes, als man denkt: Namen und Kontaktdaten aller Beteiligten, Verträge und Vergabeunterlagen, dazu das lückenlose Protokoll, wer wann was getan hat. Damit ist er ein Fall für Art. 28 DSGVO — das Büro bleibt Verantwortlicher, der Anbieter wird Auftragsverarbeiter.
Wo liegen die Daten? „Cloud" ist keine Antwort. Entscheidend ist der Rechtsraum: Server in der EU, ohne stille Weitergabe in Drittländer. Archistent betreibt Anwendung, Datenbank und Dateispeicher ausschließlich in Frankreich (Scaleway, ISO-27001-zertifizierte Rechenzentren) — eine Drittlandübermittlung findet nicht statt. Das heißt auch: Die Daten liegen außerhalb der US-Jurisdiktion. Anbieter mit US-Mutterkonzern unterliegen dem CLOUD Act und können zur Herausgabe verpflichtet werden, selbst wenn die Server in Europa stehen — bei Archistent besteht dieser Zugriffsweg nicht.
Gibt es einen AVV mit echten TOMs? Jeder seriöse Anbieter stellt einen Auftragsverarbeitungsvertrag samt technischer und organisatorischer Maßnahmen bereit. Lesenswert wird es bei den Details: Steht dort, was tatsächlich implementiert ist — oder Marketingprosa? Fragen Sie nach Konkretem: Wie sind Passwörter gespeichert? Wann wurde die Datenwiederherstellung zuletzt geprobt?
Was passiert beim Ausstieg? Ihre Daten müssen exportierbar sein und nach Vertragsende nachweislich gelöscht werden. Wer das vertraglich nicht zusagt, plant mit Ihrer Abhängigkeit.
Bei Archistent gehören zu den zusagbaren Maßnahmen unter anderem: argon2-gehashte Passwörter, TLS überall, serverseitig verschlüsselte Speicher, tägliche Backups mit dokumentiertem Wiederherstellungstest, ein manipulationssicheres Projekt-Log mit Hash-Kette — und eine Fehlerüberwachung, die ausschließlich in der EU arbeitet und keine Projektinhalte sieht. All das steht so in unseren TOMs, weil es so im System steckt.
Der Maßstab ist einfach: Was ein Anbieter über seine Sicherheit schreibt, muss er im Zweifel einem Auditor zeigen können. Alles andere ist Dekoration.