DSGVO-konformes Kollaborationstool wählen: die Checkliste

• Gibt es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, und wie schließt du ihn ab?
• Wer ist für welche Daten Verantwortlicher, wer Auftragsverarbeiter?
• Sind die technischen und organisatorischen Maßnahmen (TOMs) beschrieben?
• Gibt es eine Liste der Unterauftragsverarbeiter mit Standort?
• Wie erfährst du von neuen Unterauftragsverarbeitern?

• Wo stehen Datenbank, Dateien, Backups und die Medienserver für Anrufe?
• Welche Daten verlassen die EU – und warum?
• Auf welcher Grundlage laufen Übermittlungen: Angemessenheitsbeschluss, EU-US Data Privacy Framework, Standardvertragsklauseln?
• Welchem Recht unterliegt der Anbieter, und wo sitzt er?

• Sind Verbindungen verschlüsselt, und sind Inhalte im Ruhezustand verschlüsselt?
• Gibt es Ende-zu-Ende-Verschlüsselung – und was geht dann nicht mehr (Suche, KI, Aufnahme)?
• Wer verwaltet die Schlüssel?
• Gibt es Rollen und Rechte bis hinunter auf einzelne Räume?
• Single Sign-on, Zwei-Faktor-Authentifizierung, bei Bedarf für alle verpflichtend?
• Gibt es ein Audit-Log für Admin-Aktionen und Zugriffe?

• Wo laufen Transkription, Übersetzung und Zusammenfassungen – beim Anbieter oder bei einem externen KI-Dienst?
• Werden Inhalte zum Training von Modellen genutzt?
• Lassen sich KI-Funktionen pro Organisation, Space oder Meeting abschalten?
• Können einzelne Personen der Transkription widersprechen?
• Sehen Personen, welche KI-Funktionen ihre Inhalte verarbeitet haben?

• Kannst du Aufbewahrungsfristen festlegen, zum Beispiel für Aufnahmen?
• Gibt es ein Löschkonzept – auch für Backups?
• Kann jede Person ihre eigenen Daten exportieren (Art. 15 und 20 DSGVO)?
• Kannst du einen ganzen Arbeitsbereich exportieren, und in welchen Formaten?
• Was passiert mit deinen Daten, wenn der Vertrag endet?

AVV

Für Inhalte in Spaces von Organisationen ist Coviqo Auftragsverarbeiter nach Art. 28 DSGVO. In Business und Enterprise lesen, laden und schließen Admins den AVV direkt in den Organisationseinstellungen ab.

Standort

Datenbank, Dateien, Backups, Medienserver für Anrufe und die KI laufen in Rechenzentren in Deutschland. Der Betreiber sitzt in Luxemburg. Details unter Warum Europa.

Unterauftragsverarbeiter

Mit Zweck und Standort aufgelistet unter Warum Europa und in der Datenschutzerklärung – an beiden Stellen dieselbe Liste.

Drittländer

Cloudflare (USA) schützt Website und App und verarbeitet dabei Verbindungsdaten. Zahlungen laufen über Stripe. Anmelde-Anbieter und Integrationen nur, wenn du sie wählst. Grundlage: Data Privacy Framework oder Standardvertragsklauseln.

Verschlüsselung

TLS für alle Verbindungen. Inhalte liegen verschlüsselt mit einem eigenen Schlüssel pro Space (AES-256-GCM) – serverseitig, nicht Ende-zu-Ende. Direktnachrichten lassen sich in jedem Tarif Ende-zu-Ende verschlüsseln, ganze Räume ab Business.

Zugriffskontrolle

Rollen und Rechte pro Space, Kategorie und Raum, Zwei-Faktor-Authentifizierung, Audit-Log. Single Sign-on (SAML, OIDC, SCIM) und Pflicht-MFA ab Business.

KI

Transkription, Übersetzung und Zusammenfassungen laufen auf Coviqos eigenen Servern. Inhalte gehen nicht an externe KI-Anbieter und trainieren keine Modelle Dritter. Jede Person kann der Transkription widersprechen.

Löschung

Gelöschte Konten werden nach einer Karenzzeit endgültig gelöscht (standardmäßig 14 Tage). Backups werden höchstens 12 Monate aufbewahrt. Wird ein Space endgültig gelöscht, wird auch sein Schlüssel gelöscht. Organisationen können die Aufbewahrung von Aufnahmen verkürzen.

Export

Jede Person kann ihre Daten als ZIP-Archiv mit PDF-Bericht exportieren. Space-Inhaber und Administratoren exportieren einen ganzen Space – Räume, Nachrichten, Notizen, Aufgaben, Termine, Mitglieder und Dateien.

Mehr zu den technischen Maßnahmen: Sicherheit.