Frag die KI nach der Information, die du suchst …Antworten ausschließlich aus unserer Trust-Center-Dokumentation.

Trust Center

Häufige Fragen

Die Fragen, die uns in Sicherheits- und Datenschutz-Reviews am häufigsten gestellt werden – kompakt beantwortet.

Häufige Fragen

Wie werden IT-Hardware- und Software-Assets über ihren Lebenszyklus inventarisiert und verwaltet?

Wie priorisiert Picture Framing GmbH kritische Assets für das Unternehmen?

Werden Wechselmedien für den Umgang mit Kundendaten eingesetzt?

Wie werden stillgelegte Hardware oder Speichermedien sicher entsorgt oder zur Wiederverwendung bereinigt?

Wie oft werden Backups durchgeführt?

Wie lange werden Backups aufbewahrt?

Wo werden Backups gespeichert?

Werden Backup-Jobs überwacht und Wiederherstellungstests durchgeführt?

Wird eine Data Transfer Impact Assessment für die Cloud-Backup-Umgebung geführt?

Wo befinden sich die primären und sekundären Backup-/Disaster-Recovery-Hosting-Standorte?

Ist die Netzwerkverbindung zwischen den Cloud-Rechenzentren redundant ausgelegt?

Verfügt der sekundäre/Backup-Hosting-Standort über Sicherheitsmaßnahmen, die denen des primären Standorts entsprechen?

Wie oft werden BC/DR-Tests durchgeführt und wie ist das Notfallmanagement strukturiert?

Wird eine Business Impact Analysis (BIA) durchgeführt, um kritische Funktionen sowie RTO/RPO zu definieren?

Welches Recovery Time Objective (RTO) und Recovery Point Objective (RPO) strebt die Plattform an?

Wie werden Schwachstellen priorisiert und behoben?

Wie werden Schwachstellenscans und Penetrationstests durchgeführt?

Wie ist der Prozess für die Meldung und Bearbeitung von Anwendungssicherheits-Schwachstellen?

Welche fortlaufenden Sicherheitsmaßnahmen schützen Software und Infrastruktur?

Gibt es einen formalen, auditierbaren Änderungskontrollprozess mit Dual Control für kritische Produktionsänderungen?

Ist ein Anti-Malware-Schutz implementiert und aktuell?

Sind Systeme gegen Angriffe gehärtet?

Sind Entwicklungs-, Test- und Produktionsumgebungen getrennt, und werden Produktionsdaten in Nicht-Produktionsumgebungen verwendet?

Wie wird die Nutzung veralteter oder nicht freigegebener Software verhindert?

Wie wird mit dem Supportende von Fremdkomponenten umgegangen?

Sind die von Picture Framing GmbH genutzten Hosting-Anbieter unabhängig zertifiziert?

Wird VdS 10010 als Teil des DSGVO-Compliance-Ansatzes von Picture Framing GmbH verwendet?

Was passiert mit Kundendaten nach der Kontoschließung und wie lange werden sie aufbewahrt?

Welche Datenschutzaufsichtsbehörde ist für Picture Framing GmbH zuständig?

Werden Datenschutz-Folgenabschätzungen (DSFA) durchgeführt?

Wird ein Verzeichnis von Verarbeitungstätigkeiten (VVT / Verarbeitungsverzeichnis) geführt?

Wie werden Informationen und Daten klassifiziert?

Werden klassifizierte Informationen in der Praxis tatsächlich beschriftet oder gekennzeichnet?

Welche Kategorien personenbezogener Daten verarbeitet Mozaik, und werden besondere oder risikoreiche Kategorien verarbeitet?

Ist die Datenverarbeitung auf Deutschland oder die EU/EWR beschränkt?

Wie unterstützt Mozaik Kunden bei der Einhaltung von Anfragen zu Betroffenenrechten?

Wie werden Datenlöschung und Portabilität beim Schließen eines Kontos gehandhabt?

Welche Datenschutzprozesse und Meldewege stehen betroffenen Personen zur Verfügung?

Werden Kunden- oder personenbezogene Daten für interne Tests, Schulungen, Forschung oder KI-Modelltraining verwendet?

Beansprucht Picture Framing GmbH das Eigentum an kundenspezifisch abgeleiteten Daten für eigene Zwecke?

Sind Kundendaten logisch oder physisch zwischen Tenants getrennt?

Wie werden Anfragen von Behörden oder Strafverfolgungsbehörden nach Kundendaten behandelt?

Auf welcher Rechtsgrundlage werden personenbezogene Video- oder Audiodaten verarbeitet?

Verfügt Picture Framing GmbH über eine formell genehmigte Informationssicherheitsrichtlinie, die kommuniziert und überprüft wird?

Gibt es ein dokumentiertes Governance-Framework, das gesetzliche, regulatorische und vertragliche Anforderungen an die Informationssicherheit abdeckt?

Gibt es ein strukturiertes Datenschutzmanagementsystem und ein Sicherheitskonzept gemäß DSGVO Artikel 32?

Sind die operativen Prozesse für den Betrieb und die Verwaltung des Dienstes dokumentiert und aktuell gehalten?

Ist die Picture Framing GmbH selbst ISO/IEC 27001 zertifiziert oder anderweitig extern zertifiziert?

Sind Informationssicherheitsziele in Projekte integriert und werden sie durch Security-Awareness-Schulungen unterstützt?

Führt die Picture Framing GmbH unabhängige externe Datenschutzaudits durch?

Wie lauten der Prozess und die Fristen für die Benachrichtigung von Kunden und Aufsichtsbehörden über eine Verletzung des Schutzes personenbezogener Daten?

Werden bei Incident Investigations digitale Forensik- und Chain-of-Custody-Verfahren angewendet?

Gibt es einen dokumentierten, formalen Incident Response Plan?

Wie werden Sicherheitsvorfälle kommuniziert, die Kunden betreffen könnten?

Welche Verschlüsselungsstandards schützen Daten bei Speicherung und Übertragung?

Wie wird die Datenintegrität vor und während der Speicherung überprüft?

Wie wird sichergestellt, dass Verschlüsselungsverfahren dem aktuellen Stand der Technik entsprechen?

Werden Pseudonymisierungs- oder Anonymisierungstechniken eingesetzt?

Wie werden Verschlüsselungsschlüssel verwaltet?

Wird Bring-Your-Own-Key (BYOK)-Verschlüsselung für Kunden unterstützt?

Wie nutzt Mozaik KI-gestützte Funktionalitäten?

Werden Kunden-/Nutzerdaten, auch in anonymisierter Form, zum Training der KI-Modelle verwendet?

Wie begegnet Mozaik Voreingenommenheit, Fairness und Genauigkeit bei KI-gestützten Funktionen?

Gibt es eine menschliche Überwachung von KI-gestützten Funktionen, und werden automatisierte Entscheidungen über Einzelpersonen getroffen?

Welche vertraglichen und technischen Schutzmaßnahmen regeln die Nutzung von KI-Drittanbietern?

Befinden sich Unterauftragnehmer außerhalb der EU/EWR?

Werden Kunden benachrichtigt, bevor Unterauftragnehmer geändert oder hinzugefügt werden?

Haben Kunden Audit- oder Inspektionsrechte?

Gibt es schriftliche Verträge mit Unterauftragnehmern und ein dokumentiertes Risikomanagementprogramm für Drittanbieter?

Wie wird die Transparenz der Unterauftragnehmerkette gewährleistet?

Wie wird der Datenschutz gewährleistet, wenn Unterauftragnehmer außerhalb der EU/EWR tätig sind?

Werden Unterauftragnehmer regelmäßig unabhängig auditiert oder einem Penetrationstest unterzogen?

Wie wird verhindert, dass unautorisierte Geräte dem internen Netzwerk beitreten?

Wie wird das Netzwerk segmentiert und gesichert?

Welche Schutzmaßnahmen gibt es gegen DDoS-, Brute-Force- und Webanwendungsangriffe?

Welche Schutzmaßnahmen gibt es gegen Bedrohungen aus E-Mail- und Web-Vektoren?

Wird die Fernadministration über einen gesicherten Kommunikationskanal durchgeführt?

Wie wird der Zugriff auf externe Systeme kontrolliert und protokolliert?

Gibt es eine dedizierte Funktion für Informationssicherheit?