Verified-Selbstauskunft · TrustedSign

Kostenlos durchführbar. Füllen Sie die Selbstauskunft ohne Zahlung aus. Erst beim Erstellen des Zertifikats wird die Einmalzahlung (49 €) relevant.

Selbstauskunft · Verified

Abschnitt 1 / 6

Abschnitt 1·Grundangaben

Kriterium G01·Gewicht 3 ·K.O.-Kriterium

Sind Impressum und Datenschutzerklärung öffentlich erreichbar?

Beide Rechtstexte müssen ohne Login von jeder Seite Ihrer Domain aus auffindbar sein.

Ja Nein

Kriterium G02·Gewicht 2

Ist der Geltungsbereich – welches Produkt bzw. welche KI-Lösung geprüft wird – klar benannt?

Der Geltungsbereich erscheint auf dem Zertifikat und grenzt die Aussage ein.

Ja Nein

Kriterium G03·Gewicht 2

Sind Eigentümerstruktur und anwendbares Recht dokumentiert?

Wer betreibt die Lösung, welcher Rechtsraum ist maßgeblich?

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Abschnitt 2·Verantwortung

Kriterium G04·Gewicht 3 ·K.O.-Kriterium

Ist eine verantwortliche Person für KI- und Daten-Governance benannt und erreichbar?

Eine benannte Ansprechperson ist Voraussetzung für die Selbstauskunft (K.O.-Kriterium).

Ja Nein

Kriterium G05·Gewicht 2

Unterliegen Entscheidungen mit wesentlicher Wirkung auf Menschen einer menschlichen Kontroll- und Eingriffsmöglichkeit?

Human-in-the-loop bei folgenreichen automatisierten Entscheidungen.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium G06·Gewicht 2

Besteht ein Prozess zur Bearbeitung von Betroffenenrechten nach DSGVO?

Auskunft, Berichtigung, Löschung – mit definierten Fristen.

Ja Nein

Kriterium G07·Gewicht 1 ·K.O.-Kriterium

Bestätigen Sie die Wahrheitspflicht: Alle Angaben entsprechen den tatsächlichen Verhältnissen zum Stichtag?

Rechtlich bindende Bestätigung – Grundlage für Ausstellung und Entzug (K.O.-Kriterium).

Ja Nein

Abschnitt 3·Daten & Standorte

Kriterium D01·Gewicht 3 ·K.O.-Kriterium

Werden personenbezogene und geschäftskritische Kundendaten ausschließlich in der EU/EWR verarbeitet und gespeichert?

Kernversprechen der digitalen Souveränität.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium D02·Gewicht 3 ·K.O.-Kriterium

Sind alle Standorte der Datenverarbeitung vollständig angegeben – einschließlich eingesetzter Subprozessoren?

Nennen Sie alle Länder bzw. Regionen, in denen personenbezogene Daten verarbeitet oder gespeichert werden.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium D03·Gewicht 3

Bestehen für diese Daten keine Zugriffs- oder Herausgabepflichten gegenüber Stellen außerhalb der EU (z. B. US CLOUD Act)?

Betrifft insbesondere US-Mutterkonzerne und außereuropäische Subunternehmer.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium D04·Gewicht 2

Sind eingesetzte Sub-Dienstleister (Cloud, Hosting, KI) nach denselben Kriterien ausgewählt und dokumentiert?

Subprozessorenliste mit Standort- und Rechtsraum-Angabe.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium D05·Gewicht 2

Nutzen Sie Kundendaten ohne ausdrückliche Einwilligung nicht zum Training von KI-Modellen?

Kein Training mit Kundendaten ohne Opt-in.

Ja Nein

Kriterium D06·Gewicht 1

Falls doch mit Kundendaten trainiert wird: Gibt es einen dokumentierten Einwilligungs-/Opt-out-Prozess?

Nur relevant, wenn Training grundsätzlich stattfindet – sonst „nicht anwendbar".

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Abschnitt 4·Sicherheit

Kriterium T01·Gewicht 3

Existiert ein dokumentierter Incident-Response-Prozess?

Definierte Schritte, Zuständigkeiten und Meldewege bei Sicherheitsvorfällen.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T02·Gewicht 2

Werden regelmäßige Sicherheitstests oder Reviews durchgeführt?

z. B. Pentests, Code-Reviews, Abhängigkeits-Scans.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T03·Gewicht 2

Bestehen technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO?

Dokumentierte Schutzmaßnahmen für die Verarbeitung.

Ja Nein

Kriterium T04·Gewicht 2

Ist ein Berechtigungs- und Zugriffskonzept für Kundendaten umgesetzt?

Rollenbasierte Zugriffe nach dem Least-Privilege-Prinzip.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T05·Gewicht 1

Werden Daten bei Übertragung und Speicherung verschlüsselt?

TLS im Transit, Verschlüsselung ruhender Daten.

Ja Nein

Abschnitt 5·Transparenz

Kriterium G08·Gewicht 1

Richten Sie Ihren KI-Einsatz an den anwendbaren Vorgaben des EU AI Act aus?

Risikobasierte Einordnung und passende Maßnahmen.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium G09·Gewicht 1

Kommunizieren Sie offen, dass die Selbstauskunft eine Selbstverpflichtung und keine unabhängige Prüfung ist?

Ehrlichkeit über Grenzen – Teil des Transparenzversprechens.

Ja Nein

Kriterium D07·Gewicht 1

Ist eine Aufbewahrungs- bzw. Löschfrist für Kundendaten definiert?

Datenminimierung und Speicherbegrenzung nach DSGVO.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T06·Gewicht 2

Legen Sie offen, an welchen Stellen und zu welchem Zweck KI in Ihrem Produkt zum Einsatz kommt?

Transparenz über den KI-Einsatz gegenüber Nutzerinnen und Nutzern.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T07·Gewicht 2

Ist – soweit möglich – dokumentiert, welche Modelle eingesetzt werden (Model Card)?

Modellherkunft, Zweck, bekannte Grenzen.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Kriterium T08·Gewicht 1

Werden Grenzen und Risiken des KI-Systems gegenüber Nutzern kommuniziert?

z. B. Halluzinationen, Zuständigkeitsgrenzen, Eskalationswege.

Ja, vollständig Teilweise Nein Nicht anwendbar (Begründung)

Deterministisches Scoring · Verified-Schwelle ≥ 70 % je Modul · alle K.O.-Kriterien erforderlich