Wo Ihre Daten verarbeitet werden – drei Datenklassen
Kein Anbieter kann alles gleich sicher betreiben. Wir haben unsere Leistungen deshalb in drei Datenklassen aufgeteilt und veröffentlichen, was in welcher Klasse läuft. Für Ihren NIS2-Lieferantenfragebogen, für Ihren Datenschutzbeauftragten und für Sie selbst.
Die drei Datenklassen
| Klasse | Leistungen | Verarbeitung | Geeignet für |
|---|---|---|---|
| A – EU-Betrieb | Middleware, Schnittstellen, Webanwendungen, Konfiguratoren, Code-Prüfung, Compliance-Dokumentation | ausschließlich EU: Hetzner Online GmbH (Nürnberg, Falkenstein, Helsinki) | auch sensible Geschäftsdaten |
| B – EU-Betrieb mit benannten US-Diensten | CRM, zentraler Posteingang, Voice-KI, WhatsApp, Kampagnen | EU + HighLevel/LeadConnector LLC (USA), Twilio (USA), Mailgun (USA/EU), Meta (WhatsApp), Cloudflare | B2B-Kontaktdaten, Anfragen, Terminverläufe von Geschäfts- und Privatkunden |
| C – nicht geeignet | — | — | Gesundheitsdaten und andere Art.-9-Daten, Berufsgeheimnisträger nach § 203 StGB (Ärzte, Zahnärzte, Tierärzte, Anwälte, Steuerberater), Beschäftigten- und Bewerberdaten, Bonitätsdaten, öffentliche Auftraggeber |
Warum wir Klasse C veröffentlichen
Ein Anbieter, der sagt, wofür er nicht geeignet ist, ist bei allem anderen glaubwürdiger. Wenn Ihr Vorhaben in Klasse C fällt, sagen wir das im ersten Gespräch und nennen Ihnen, worauf Sie bei einem anderen Anbieter achten müssen.
Rechtsrahmen, den wir mitliefern
- Auftragsverarbeitungsvertrag (AVV)
- Subprozessorliste (Unterauftragsverarbeiter)
- Transfer-Folgenabschätzung für Klasse B auf Anfrage
- Kennzeichnungstext nach Art. 50 KI-Verordnung
- Einwilligungsstrecke WhatsApp/Telefonwerbung (§ 7 UWG)
- ISMS und TOM (Veröffentlicht)
- Wöchentliches EU-Backup der CRM-Daten
Was sich 2026 geändert hat
29. Juni 2026: Unsicherheit über den Bestand des EU-U.S. Data Privacy Framework nach der US-Supreme-Court-Entscheidung (Trump v. Slaughter). Guventa stützt sich vorrangig auf Standardvertragsklauseln mit Transfer-Folgenabschätzung.
2. August 2026: Art. 50 KI-Verordnung – Kennzeichnungspflicht für KI, die mit Menschen spricht oder schreibt.
6. Dezember 2025: NIS2-Umsetzungs-Gesetz (NIS2UmsuCG) in Kraft; Lieferantenunterlagen nach § 30 BSIG für betroffene Unternehmen.