Sicherheit
Sicherheit und Datenschutz: was wir tun und wie Sie es prüfen können
Diese Seite ist für CISOs, Datenschutzbeauftragte und den Einkauf. Sie beschreibt, wer bei Senva welche Daten sieht und welche Unterlagen Sie bekommen.
Datenzugriff
Wer sieht welche Daten
Die Matrix gilt für die Daten aus allen Kundenprojekten. Mehr Zugriff, als hier steht, kann es nur für das Team in Berlin geben, und nur wenn es im Vertrag steht. Wie diese Website selbst Daten verarbeitet, etwa mit Google Analytics nach Ihrer Einwilligung, steht in der Datenschutzerklärung.
| Datenart | Team Berlin | Partnerteam Hanoi | Speicherort |
|---|---|---|---|
| Produktionsdaten | Nur wenn das Projekt es erfordert, im vereinbarten Umfang | Kein Zugriff | Ihre Systeme oder die EU-Region des Projekt-Hostings |
| Personenbezogene Daten | Nur im Rahmen des Auftragsverarbeitungsvertrags | Kein Zugriff | EU, Region pro Projekt im Vertrag festgelegt |
| Test- und synthetische Daten | Ja | Ja, ausschließlich synthetisch oder anonymisiert | Entwicklungs- und Testumgebung, pro Projekt festgelegt |
| Quellcode | Ja | Ja | Ihr Repository oder das von Senva |
Pseudonymisierte Daten gelten nach der DSGVO als personenbezogen und werden bei uns entsprechend behandelt. Sie fallen in die Zeile „Personenbezogene Daten“.
Zwei-Zonen-Modell
Ihr Code darf reisen.
Ihre Daten nicht.
Zone 1
Berlin
- Architektur, Sicherheitsreview, Kernentwicklung und Projektleitung.
- Braucht ein Projekt Zugriff auf Produktivsysteme oder personenbezogene Daten, liegt dieser Zugriff hier, im vertraglich vereinbarten Umfang.
Zone 2
Hanoi (Partnerteam)
- Ein Partnerunternehmen, das als Unterauftragnehmer für Senva arbeitet. Seine Mitarbeitenden sind nicht bei der Senva GmbH angestellt.
- Das Partnerteam arbeitet ausschließlich mit synthetischen oder anonymisierten Testdaten.
- Kein Zugang zu Produktivsystemen und keinerlei Zugriff auf personenbezogene Daten.
Hosting
Pro Projekt in einer EU-Region
Wo Ihr System läuft, legen wir pro Projekt fest: in einer EU-Region eines Cloud-Anbieters wie AWS oder Azure, bei einem europäischen Anbieter oder in Ihrer eigenen Infrastruktur. Die Region steht im Vertrag.
Ob Sie einen US-Anbieter mit EU-Region oder einen europäischen Anbieter wählen, entscheiden Sie. Wir erklären Ihnen die Unterschiede, auch bei der Frage, welche Behörden außerhalb der EU die Herausgabe von Daten verlangen könnten.
Verträge und Unterlagen
Was Sie auf Anfrage bekommen
- Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
- Technische und organisatorische Maßnahmen (TOMs)
- Liste der Unterauftragnehmer
- Vertraulichkeitsvereinbarung (NDA), auf Wunsch vor dem Erstgespräch
- Antworten auf Ihren Lieferanten- oder Sicherheitsfragebogen
Anfragen an info@senva.de.
EU AI Act
Wie wir mit dem EU AI Act umgehen
- Zu Beginn jedes KI-Projekts klären wir Ihre Rolle (Anbieter oder Betreiber) und die Risikoklasse des Systems und schreiben die Begründung auf.
- Wir dokumentieren Zweck, Datenherkunft, Tests und bekannte Grenzen so, dass Sie die Unterlagen für Ihre eigenen Pflichten verwenden können.
- Praktiken, die Art. 5 seit dem 2. Februar 2025 verbietet, setzen wir nicht um. Das gilt auch für die zusätzlichen Verbote aus der Verordnung (EU) 2026/1744, die ab dem 2. Dezember 2026 gelten.
- Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme gelten nach der Verordnung (EU) 2026/1744 (Digital Omnibus) ab dem 2. Dezember 2027, für KI in Produkten nach Anhang I ab dem 2. August 2028.
- Die Illustrationen und Videos auf dieser Website sind KI-generiert. Darauf weisen wir im Footer jeder Seite hin.
Wir zertifizieren nichts und ersetzen keine Rechtsberatung. Wir liefern die technische Grundlage, auf der Ihre Rechtsabteilung entscheidet.
NIS2
Ihre Lieferkette, unsere Antworten
Fällt Ihr Unternehmen unter NIS2, müssen Sie in Ihrem Risikomanagement auch die Sicherheit Ihrer Lieferkette berücksichtigen. Das verlangt Art. 21 der Richtlinie, in Deutschland seit dem 6. Dezember 2025 § 30 BSIG in der Fassung des NIS2-Umsetzungsgesetzes. Ihren Lieferantenfragebogen beantworten wir schriftlich und Frage für Frage. Wo es Nachweise gibt, legen wir sie bei, und wo die ehrliche Antwort „nein“ lautet, steht dort „nein“.
Cyber Resilience Act
Unterstützung für Ihre Produkte
Bringen Sie als Hersteller Produkte mit digitalen Elementen in der EU in Verkehr, müssen Sie seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die übrigen Herstellerpflichten gelten ab dem 11. Dezember 2027. Wir helfen bei der Software-Stückliste (SBOM), beim Prozess für Schwachstellen und Meldungen und bei der technischen Dokumentation. Die Konformitätsbewertung bleibt bei Ihnen.
Responsible Disclosure
Schwachstelle gefunden
Wenn Sie eine Schwachstelle auf dieser Website oder in Software finden, die wir betreuen, schreiben Sie an security@senva.de. Die Angaben stehen auch in unserer security.txt.
Hilfreich sind: betroffene Adresse oder Komponente, Schritte zur Reproduktion, Ihre Einschätzung der Auswirkung und wie wir Sie erreichen.
Bitte greifen Sie dabei nicht auf Daten Dritter zu und beeinträchtigen Sie den Betrieb nicht. Systeme unserer Kunden dürfen Sie nur mit deren Erlaubnis testen; diese Erlaubnis können wir nicht für sie erteilen.
Wir bestätigen den Eingang und halten Sie über die Behebung auf dem Laufenden. Betrifft die Schwachstelle Software eines Kunden, informieren wir diesen und stimmen das weitere Vorgehen mit ihm ab.
Ein Bug-Bounty-Programm haben wir nicht.
Barrierefreiheit
Ziel: WCAG 2.2, Stufe AA
Diese Website soll die Anforderungen der WCAG 2.2 auf Stufe AA erfüllen. Wir prüfen mit Tastatur und Screenreader. Wenn Sie auf eine Barriere stoßen, schreiben Sie an info@senva.de und nennen Sie die Seite.
Für Portale, die wir bauen, legen wir das Ziel für die Barrierefreiheit im Projekt fest, zum Beispiel WCAG 2.2 AA. Bieten Sie Verbrauchern bestimmte digitale Dienstleistungen an, etwa im elektronischen Geschäftsverkehr, im Bankwesen oder in der Telekommunikation, gilt dafür seit dem 28. Juni 2025 das Barrierefreiheitsstärkungsgesetz (BFSG). Kleinstunternehmen, die Dienstleistungen erbringen, sind davon ausgenommen.
Erstgespräch
Fragen aus Ihrer Lieferantenprüfung
Schicken Sie uns Ihren Fragebogen oder Ihre Fragen an info@senva.de. Für ein Gespräch nimmt sich Kim Pham 30 Minuten Zeit, auf Wunsch unterschreiben wir vorab ein NDA.
- info@senva.de
- Telefon
- +49 30 5268 7541
- Adresse
- Bundesallee 32, 10717 Berlin