Sicherheits-Compliance
Entwickelt für Organisationen, bei denen die Sicherheitsprüfung vor der ersten Session stattfindet. Hier erfahren Sie, was wir tun, was wir ausschließen und welche Unterlagen wir Ihrem IT-Team auf Anfrage bereitstellen.
Security by Design
Eine Umgebung pro Mandant
Eine dedizierte, isolierte Datenbankinstanz für jeden Mandanten. Es werden keine Daten mandantenübergreifend geteilt.
Weiterlesen
Produktions- und Testumgebungen sind physisch getrennt; Testumgebungen verwenden ausschließlich anonymisierte Daten. Mandanteninhalte und personenbezogene Daten liegen in zwei getrennten, verschlüsselten Repositories.
Hosting in Ihrer Region
Europäische Kunden: AWS eu-west-1 (Irland). US-Kunden: AWS Vereinigte Staaten. Weitere Regionen auf Anfrage.
Weiterlesen
Hosting-Infrastruktur (AWS) zertifiziert nach ISO 27001, 27017, 27018 und SOC 1/2/3. Regionsübergreifende Replikation für Redundanz und Disaster Recovery.
Durchgängig verschlüsselt
TLS bei der Übertragung, Verschlüsselung im Ruhezustand (at rest), Schlüsselverwaltung über AWS KMS.
Weiterlesen
Zertifikate werden verwaltet und mit automatisierten Ablaufwarnungen überwacht. Jeder Datenzugriff erfolgt über die Anwendung: Es gibt keinen direkten Datenbankzugriff.
Minimale Datenerhebung
Name, geschäftliche E-Mail-Adresse, Übungsergebnisse und Audioaufnahmen. Grundsätzlich kein Video.
Weiterlesen
Aufnahmen werden getrennt von personenbezogenen Daten gespeichert und durch alphanumerische Codes ohne direkten Personenbezug identifiziert. Es werden keine Geschäftsdaten von Kunden (Vertrieb, Finanzen, Formeln) erfasst. Keine Daten gemäß PCI-, HIPAA-, FERPA- oder FISMA-Regulierung.
Aufbewahrung unter Ihrer Kontrolle
Löschung von Audiodaten nach 30 oder 60 Tagen nach Ihrer Wahl, auch während der Vertragslaufzeit.
Weiterlesen
Personenbezogene Daten können jederzeit auf Anfrage gelöscht werden, beispielsweise wenn jemand das Unternehmen verlässt. Nach Vertragsende werden Daten 30 Tage aufbewahrt und anschließend vollständig gelöscht. Nach Ablauf der Aufbewahrungsfristen werden Daten automatisch anonymisiert.
Ausschließlich interne Entwicklung
Kein Outsourcing, kein Drittparteizugriff auf Produktion oder Daten.
Weiterlesen
Formales Change Management mit Tests, Freigabe und Rollback; Sicherheitsprüfung bei jeder Änderung; keine extern freigegebenen APIs.
Architektur und Datenschutz
Wie sich Kundendaten bewegen
Zwei Repositories, beide verschlüsselt: eines für personenbezogene Daten, eines für die Szenarioinhalte, die Sie uns anvertrauen. Wenn Inhalte einen externen KI-Dienst erfordern, entfernen die Trennungs- und Qualifikationsalgorithmen von Skillgym vorab direkte Identifikatoren sowie markensensible Elemente. Der Dienst erhält lediglich eine transaktionale Kennung, niemals einen Namen oder eine E-Mail-Adresse. Jeder Datenfluss wird protokolliert.
Externe KI-Dienste
Speech-to-Text, Sprachmodelle und Avatar-Rendering laufen über Enterprise-APIs mit vertraglichen No-Training-Klauseln: Nichts von dem, was Sie oder Ihre Mitarbeitenden sagen, wird zum Trainieren externer Modelle verwendet. Fünf der 120 proprietären Algorithmen von Skillgym dienen ausschließlich dazu, diese Trennung an jedem Interaktionspunkt durchzusetzen. Die Liste der Dienste und deren Aufbewahrungsfristen ist im Data Processing Agreement aufgeführt.
Identität und Zugriff
Single Sign-on
SAML-2.0-Föderation mit Rollen-Mapping; Single-Sign-out wird unterstützt.
Zwei Zugriffsebenen
Standardnutzer über SSO; Administratoren nur auf formelle Anfrage mit MFA und VPN.
Least-Privilege-Prinzip
Ein einziger Administrator verfügt über privilegierten Zugriff auf Mandantendaten. Der Zugriff wird wöchentlich überprüft.
Ausschließlich browserbasiert
HTTPS-Zugriff über den Browser eines beliebigen Geräts; aus Sicherheitsgründen keine mobile App und keine Authentifizierung auf Geräteebene.
Betriebliche Resilienz
Wiederherstellungsziele
Recovery Time Objective und Recovery Point Objective sind in unseren Providervereinbarungen definiert, überwacht und getestet. Genaue Kennzahlen sind in der Sicherheitsdokumentation verfügbar.
Backups und Failover
Regelmäßige Backups mit monatlichen Integritätsprüfungen; regionsübergreifende Replikation; halbjährlich getestetes Failover.
Reaktion auf Sicherheitsvorfälle
Dokumentierte Verfahren mit definierten Rollen und Eskalationspfaden. Betroffene Mandanten werden bei kritischen Vorfällen innerhalb von zwei Geschäftsstunden benachrichtigt.
Logging und Schwachstellenmanagement
Zentralisierte Protokolle, die sechs Monate aufbewahrt und vor Veränderungen geschützt werden; risikobasierte Behebung; Penetrationstests durch qualifiziertes Personal; jährliche Risikobewertung.
Prüfungen und Dokumentation
Alles, was Ihr Prozess zur Prüfung von Lieferantenrisiken verlangt – auf Anfrage.
Sicherheitsübersicht für die Bewertung von Lieferantenrisiken
Auftragsverarbeitungsvereinbarung
Beschreibung der Datenflüsse
Liste der Unterauftragsverarbeiter mit Aufbewahrungsfristen
Zusammenfassung externer Sicherheitsprüfungen
Zusammenfassung zur Reaktion auf Sicherheitsvorfälle und zur Aufrechterhaltung des Geschäftsbetriebs
Beantwortung Ihres Sicherheitsfragebogens
Sicherheit mit unserem Team prüfen
Unser technisches Team führt Ihre IT- und Sicherheitsteams strukturiert durch die Architektur und die Dokumentation.
Systemanforderungen
Unterstützte Geräte, Betriebssysteme und Browser für Skillgym (Seite auf Englisch).