Trust Center — wo Ihre Daten liegen und wer das geprüft hat

FAQ

Was die Prüfung meistens noch wissen will

Welche Zertifizierungen hat DeutschlandGPT selbst?

ISO/IEC 27001:2022 für Informationssicherheit und DIN EN ISO 9001:2015 für Qualitätsmanagement, beide zertifiziert durch den TÜV SÜD. Der Geltungsbereich der ISO 27001-Zertifizierung lautet wörtlich „Entwicklung, Bereitstellung, Betrieb und das Management von KI-unterstützten Plattform- und Softwarelösungen“ — also ausdrücklich der Betrieb der Plattform, nicht nur begleitende Unternehmensprozesse. Beide Zertifikate stehen im Trust Center zum Download. Das BSI C5-Testat gehört unserem Hoster, der Open Telekom Cloud (T-Systems International GmbH), nicht DeutschlandGPT — den Testatsauszug stellen wir auf Anfrage bereit. Wir führen kein SOC 2, kein IDW PS 951 und kein ISAE 3402.

Warum steht noch eine Firma namens Titanom auf den TÜV-Zertifikaten?

Weil das Informationssicherheits-Managementsystem gruppenweit geführt und vom TÜV SÜD als Multi-Site-Zertifizierung auditiert wird. Zertifikatsinhaberin ist die Muttergesellschaft — heute firmierend als Titanom Group GmbH, auf dem Zertifikat unter ihrer früheren Firmierung Titanom Technologies GmbH ausgewiesen (dieselbe juristische Person, HRB 261817, Amtsgericht München). Die DeutschlandGPT GmbH ist als Standort erfasst und auf dem Zertifikat mit Firmierung und Anschrift namentlich ausgewiesen. Vertragspartner und die im Geltungsbereich erfasste Einheit ist die DeutschlandGPT GmbH, Gabriele-Münter-Straße 3, 82110 Germering, HRB 282400 (Amtsgericht München).

Wo werden die Modelle gehostet?

Alle Modelle werden über deutsche und europäische Cloud-Infrastruktur bereitgestellt: OpenAI-Modelle auf Microsoft Azure in der EU, Claude auf AWS in Deutschland, Gemini auf Google Vertex in der EU, Llama auf der Open Telekom Cloud in Deutschland, Bildmodelle auf IONOS in der EU. Die Daten verlassen niemals die EU und werden ausschließlich in deutschen Rechenzentren der Open Telekom Cloud gespeichert.

Wie erfahren wir von Änderungen bei Unterauftragsverarbeitern?

Änderungen der Liste werden nach den Regelungen des Auftragsverarbeitungsvertrags im Voraus in Textform mitgeteilt. Die jeweils geltende Fassung steht in Anhang IV des AVV und im Trust Center — beide werden aus derselben Quelle ausgespielt und können deshalb nicht auseinanderlaufen.

Ist DeutschlandGPT DORA-konform?

Die Frage lässt sich für einen Anbieter nicht mit Ja beantworten — DORA (Verordnung (EU) 2022/2554) verpflichtet Finanzunternehmen, nicht deren Dienstleister, und sieht für Anbieter keine Zertifizierung vor. Wir sind IKT-Drittdienstleister im Sinne des Art. 3 Nr. 19 DORA und nicht als kritischer IKT-Drittdienstleister nach Art. 31 eingestuft. Was Finanzunternehmen von uns brauchen, liefern wir: die Angaben für das Informationsregister nach Art. 28 Abs. 3 und die vertraglichen Regelungen nach Art. 30. Als Identifikationscode dient der Typ EUID mit dem Wert DED2601V.HRB282400 — die EBA-Q&A 2024_7283 lässt für in der Union niedergelassene juristische Personen LEI oder EUID zu. Den Nachtrag als Muster gibt es im Trust Center.

Wir haben einen eigenen Sicherheitsfragebogen. Wird er ausgefüllt?

Ja. Er kann an security@deutschlandgpt.de gesendet werden. Vieles lässt sich vorab über das Trust Center, den Auftragsverarbeitungsvertrag und die beiden Zertifikate beantworten — das verkürzt die Bearbeitung erheblich.