Sicherheit & Datenschutz

Wo Ihre Daten liegen.
Und wo nie.

Nüchtern erklärt: wie Ihre Daten geschützt sind — und was wir bewusst nicht tun.

Compliance auf einen Blick

Datenschutz und Nachweisführung sind kein Nachgedanke.

Was bei anderen im Kleingedruckten steht, ist bei Aquatakt gebaut — auf einen Blick und im Detail belegbar.

  • Kap. V DSGVO Hosting in Deutschland Kein Transfer in Drittländer, durchgehend TLS-verschlüsselt.
  • Row-Level-Security Mandantentrennung erzwungen Auf Datenbankebene — nicht nur in der Anwendung.
  • WebAuthn Passkeys statt Passwortlisten Phishing-resistente Anmeldung, Rollen & Rechte je Person.
  • Hash-Kette · WORM Manipulationssichere Historie Jede Änderung verkettet, Nachweise unveränderlich festgeschrieben.
  • Art. 28 DSGVO AVV verfügbar Auftragsverarbeitung vertraglich geregelt und dokumentiert.
  • Art. 32 DSGVO Technische Maßnahmen (TOM) Verschlüsselte, geprüfte Backups an zweitem Standort.
  • Art. 5 · 17 DSGVO Löschkonzept läuft von selbst Aufbewahrungsfristen nach TrinkwV / VDI 6023 hinterlegt.
  • DIN EN ISO/IEC 17024 Vom Sachverständigen gebaut Fachlich zertifiziert — nicht branchenfern zusammengesteckt.

Die Zwei-KI-Regel

Volle KI-Leistung.
Ohne Daten-Export.

Die meisten KI-Tools schicken Ihre Dokumente ungefiltert in eine fremde Cloud. Aquatakt trennt die Arbeit in zwei Stufen — und genau diese Trennung macht den Unterschied für den Datenschutz.

  1. Stufe 1

    Ihre Daten, Ihr Server

    Laborberichte, E-Mails und Dokumente liegen auf dem Aquatakt-Server in Deutschland. Hier liest die erste KI sie aus — und filtert vor: Namen, Adressen und alles Sensible bleiben im Haus.

  2. Stufe 2

    EU-Rechenzentrum

    Die zweite KI übernimmt die schweren Aufgaben — Analyse, Entwürfe, Bewertungsvorschläge. Sie bekommt nur das vorgefilterte Fachliche, nie den Rohbestand. Keine US-Cloud, kein Training mit Ihren Daten.

Datenminimierung Art. 5 DSGVO
Die Vorfilterung setzt das Prinzip technisch durch: Es verlässt nur das Haus, was für die Aufgabe nötig ist.
Kein Drittlandtransfer Kap. V DSGVO
Beide Stufen laufen in Deutschland bzw. der EU — die Drittland-Problematik entsteht gar nicht erst.
Auftragsverarbeitung Art. 28 DSGVO
AVV verfügbar; jede Verarbeitung ist vertraglich geregelt und dokumentiert.
Kein Trainingsmaterial
Ihre Objekt- und Befunddaten werden nie zum Training von KI-Modellen verwendet — vertraglich zugesichert.

DSGVO in der Praxis

Der technische Teil liegt bei uns.
Nachweisbar.

Ehrlich gesagt: Die Verantwortung als Betreiber Ihrer Daten können Sie rechtlich nie ganz abgeben — wer das verspricht, verspricht zu viel. Aber Sie können den kompletten technischen Pflichtenteil auslagern, vertraglich geregelt im Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Genau das tut Aquatakt.

Übernimmt Aquatakt — dokumentiert & per AVV zugesichert

  • Serverstandort Deutschland, durchgehende Verschlüsselung
  • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
  • Tägliche verschlüsselte Backups an zweitem Standort
  • Automatische Archivierung, Aufbewahrungs- und Löschkonzept
  • Updates, Sicherheits-Patches, Verfügbarkeit
  • Zwei-KI-Regel: keine Rohdaten in Drittstaaten, kein KI-Training

Bleibt bei Ihnen — aber mit System statt Aktenordner

  • Sie bleiben Verantwortlicher im Sinne der DSGVO — wie bei jeder Software
  • Wer in Ihrem Team was sehen darf, entscheiden Sie (Rollen & Rechte)
  • Auskunfts- und Löschersuchen beantworten Sie — mit den Nachweisen aus dem System

Das Kaufargument in einem Satz: Bei der nächsten Prüfung legen Sie AVV und Maßnahmen-Dokumentation vor — statt selbst Serverräume zu dokumentieren, Backups zu testen und Löschfristen zu verwalten.

S/01 Hosting in Deutschland
Aquatakt läuft auf eigenen Servern in einem deutschen Rechenzentrum. Die Verbindung ist durchgehend TLS-verschlüsselt. Es gibt keine Auslagerung in außereuropäische Clouds.
S/02 Mandantentrennung
Ihre Daten sind von denen anderer Betriebe strikt getrennt — durchgesetzt per Row-Level-Security auf Datenbankebene (erzwungen, nicht nur in der Anwendungslogik). Selbst ein kompromittierter Anwendungspfad käme nicht an fremde Mandanten.
S/03 Die Zwei-KI-Regel
Eine erste KI läuft auf dem Aquatakt-Server und filtert vor — alles Sensible bleibt im Haus. Erst dann übernimmt eine zweite KI auf europäischer Infrastruktur die schweren Aufgaben, DSGVO-konform und mit dem vorgefilterten Nötigsten. Ihre Daten werden nie zum Training von KI-Modellen verwendet.
S/04 Backups, die geprüft sind
Tägliche, verschlüsselte Sicherungen — aufbewahrt an einem zweiten Standort. Wiederherstellungen werden nicht nur angelegt, sondern regelmäßig zur Probe zurückgespielt. Und vor jedem Update erzwingt das System ein integritätsgeprüftes Backup, bevor überhaupt eine Änderung greift.
S/05 Zugriff mit Rolle und Recht
Anmeldung mit Passkeys (WebAuthn) statt Passwort-Listen — phishing-resistent. Rollen und Zuständigkeiten regeln feingranular, wer was sieht und ändern darf: Der Probenehmer im Feld sieht seinen Auftrag, aber nie die Risikoabschätzung oder das Honorar. Sogar die Zugangsdaten selbst sind so getrennt, dass die Anwendung Passwörter technisch nicht auslesen kann.
S/06 AVV nach Art. 28 DSGVO
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist verfügbar und wird auf Wunsch mit Ihnen geschlossen.
S/07 Keine eigene Hardware
Aquatakt läuft vollständig auf gemanagten Servern. Sie brauchen keinen eigenen Server, keine Anschaffung, keinen Strom für den Serverschrank und keine Wartung — und sind trotzdem von überall handlungsfähig.
S/08 Automatische Archivierung
Protokolle, Befunde und Berichte werden automatisch revisionssicher archiviert. Aufbewahrungs- und Löschfristen sind im System hinterlegt und laufen von selbst — Speicherbegrenzung nach Art. 5 DSGVO passiert im Hintergrund, nicht im Kopf.
S/09 Lückenloses Änderungsprotokoll
Jede Änderung an Geschäftsdaten wird protokolliert — wer, wann, was, manipulationssicher per Hash-Kette verkettet: Nachträgliches Verändern fällt sofort auf. Sensible Nachweise werden zusätzlich unveränderlich festgeschrieben (WORM), die Probenkette lückenlos als Chain-of-Custody geführt. Bei Rückfragen von Behörden oder Auditoren zeigen Sie die Historie, statt sie zu rekonstruieren.
S/10 On-Premise-Option
Der Standard ist die gemanagte Umgebung in Deutschland — ohne eigene Hardware. Wer maximale Datenhoheit will, kann Aquatakt auch On-Premise im eigenen Haus betreiben: dieselbe Software, Ihre Infrastruktur.
S/11 Fairer Exit
Endet der Vertrag, bleibt der Zugriff lesend erhalten und der vollständige Datenexport (Art. 20 DSGVO) jederzeit möglich. Ihre Objekt- und Befunddaten sind Ihr Betriebskapital — und bleiben es.
S/12 Signierte Updates
Jede Software-Aktualisierung läuft nur aus kryptografisch signierten Container-Images (Cosign/Sigstore) und wird vor der Übernahme automatisch verifiziert. Schlägt ein Update fehl, setzt das System selbsttätig auf den vorigen, geprüften Stand zurück — keine halben Zustände.

Diese Website selbst setzt übrigens keine Cookies, verwendet kein Tracking und lädt keine Ressourcen von Drittanbietern. Details in der Datenschutzerklärung.

Für Ihr QM & Ihre Prüfung

Übersetzt in die Sprache der Begutachtung.

Dieselben Mechanismen, die Ihre Daten schützen, sind der Nachweis, den ein Auditor oder eine Begutachtung sehen will. Das gilt für die DAkkS-Begutachtung eines Labors genauso wie für die Prüfung einer Verwaltung.

Datenintegrität nach ALCOA+
Aufzeichnungen sind zuordenbar, lesbar, gleichzeitig, original und korrekt — die Hash-Kette macht sie zusätzlich manipulationssicher.
Validierbar nach ISO/IEC 17025 Kap. 7.11
Audit-Trail, Zugriffssteuerung und Datenmanagement erfüllen die Software-Anforderungen der Norm — Aquatakt lässt sich als Prüfmittel ins QM übernehmen.
Nachvollziehbare Änderungen
Versionierte Stände und protokollierte Freigaben — jede Software-Aktualisierung ist dokumentiert, nichts ändert sich still im Hintergrund.

AVV, TOM-Übersicht, Löschkonzept, die Subprozessor-Liste und die ehrliche Compliance-Roadmap finden Sie gebündelt im Trust Center.

Fragen zur Architektur? Wir antworten konkret.

Kontakt aufnehmen