Sicherheit und Datenschutz bei Discoverify

Kundeninterviews enthalten Stimmen, Namen und vertrauliche Aussagen. Hier steht, wo wir sie verarbeiten, was wir zum Schutz tatsächlich umgesetzt haben und was noch fehlt. Wir behaupten nur, was wir belegen können.

Hosting

Hetzner, Deutschland

KI-Verarbeitung

Amazon Bedrock, EU

Transkription

AssemblyAI, EU

Zertifikate

noch keine

Datenstandort

Hosting in Deutschland

Anwendung, Datenbank, Mediendateien und Backups liegen bei Hetzner in Deutschland.

Transkription in der EU

Spracherkennung und Sprechertrennung übernimmt AssemblyAI über seinen EU-Endpunkt (AWS-Region Dublin). Nach der Transkription veranlassen wir die Löschung des Audios bei AssemblyAI. Die Stimmwiedererkennung läuft weiter nur auf unserem Server.

KI in der EU

Claude und das Embedding-Modell laufen über Amazon Bedrock mit EU-Inferenzprofilen (Quellregion eu-west-1, Irland). Anfragen bleiben in EU-Regionen.

Sicherheitsmaßnahmen

Umgesetzt und im Security-Review geprüft. Was noch fehlt, steht unter „Compliance-Status“.

Anwendung

Mandantentrennung in der Datenbank
Jede Tabelle mit Kundendaten ist per Postgres Row-Level Security auf den eigenen Workspace beschränkt. Die Anwendung nutzt eine Datenbankrolle ohne Superuser- und ohne Bypass-Rechte.
Login ohne Passwort, mit Rate-Limit
Keine Passwörter. Anmeldung per Magic Link oder mit einem Microsoft- bzw. Google-Konto (OpenID Connect). Login-Links sind 15 Minuten gültig und nur einmal verwendbar. Höchstens 5 Anforderungen pro E-Mail-Adresse in 15 Minuten, auch für unbekannte Adressen. Versand der Login-Mails über Resend aus der EU-Region (Irland) mit der Absenderdomain mail.getdiscoverify.com.
Sichere Sitzungen
Das Sitzungs-Cookie ist httpOnly, Secure und SameSite=Lax. Schreibende Anfragen mit fremder Herkunft werden abgelehnt.
Zugriffstoken nur als Hash
Persönliche Zugriffstoken für MCP werden nur als SHA-256-Hash gespeichert, sind auf den Workspace beschränkt, nur lesend und jederzeit widerrufbar.
Zitate nur aus der Datenbank
Zitate in Antworten stammen wörtlich aus dem gespeicherten Transkript, nicht aus dem Sprachmodell. Findet sich kein Beleg, lautet die Antwort „nicht gefunden“.
Audit-Log
Sicherheitsrelevante Vorgänge wie Löschungen und jeder MCP-Aufruf werden protokolliert, mit IDs und Zählern, ohne Gesprächsinhalte oder Suchbegriffe.

Infrastruktur

Verschlüsselte Übertragung
TLS 1.2 und 1.3 mit automatisch erneuerten Zertifikaten, HTTP wird auf HTTPS umgeleitet, HSTS ist aktiv. Dazu eine Content-Security-Policy, die das Einbetten in fremde Seiten verbietet.
Gehärtete Container
Alle Dienste laufen in Containern ohne Linux-Capabilities (mit wenigen, dokumentierten Ausnahmen), mit schreibgeschütztem Dateisystem und ohne Rechteausweitung (no-new-privileges).
Minimale Angriffsfläche
Von außen erreichbar sind nur die Ports 80, 443 und 22. Datenbank, API und Worker haben keine öffentlichen Ports. Die Host-Firewall blockiert alles andere.
SSH nur per Schlüssel
Kein Passwort-Login, kein direkter Root-Login, nur ein Deploy-Benutzer. fail2ban sperrt wiederholte Fehlversuche, Sicherheitsupdates spielt das System automatisch ein.

Deine Kontrolle

Löschen auf Anfrage
Interviews lassen sich mit allen abgeleiteten Daten löschen: Transkript, Aussagen, Medien und Verweise in gespeicherten Antworten. Stimmprofile und Personen ebenfalls. Beim Löschen eines Workspace verschwinden alle Inhalte; zurück bleiben nur die Rechnungsdaten, die wir aufbewahren müssen.
Aufbewahrung von Rechnungen
Rechnungen und die zugehörigen Buchungsdaten müssen wir gesetzlich aufbewahren, acht Jahre ab dem Ende des Jahres, in dem die Rechnung ausgestellt wurde. Sie liegen getrennt von den Interviewdaten auf unserem Server in Deutschland. Interviews, Transkripte, Aufnahmen und Stimmprofile sind davon nicht betroffen und werden auf Anfrage gelöscht.
Vollständiger Export
Admins laden jederzeit ein ZIP mit allen Interviews und Metadaten als JSON und den Mediendateien herunter. Deine Daten gehören dir.
Rollen
Admins verwalten Workspace, Abrechnung und Mitglieder; Mitglieder arbeiten mit den Interviews; Viewer lesen und fragen. Für die Rolle Vertrieb gilt eine feste Liste erlaubter Funktionen, alles andere ist gesperrt, auch neue Funktionen, bis sie ausdrücklich freigegeben werden.

KI und Daten

Kein Training mit deinen Daten. Laut AWS werden Eingaben und Ausgaben von Amazon Bedrock nicht zum Training von Modellen verwendet und nicht an die Modellanbieter wie Anthropic weitergegeben (AWS Bedrock FAQ). Wir selbst trainieren keine Modelle mit Kundendaten.
Nur Text geht an die Sprachmodelle. An Bedrock senden wir Textausschnitte aus Transkripten, kein Audio. Audio geht nur zur Transkription an AssemblyAI in der EU.
Stimmprofile sind biometrische Daten. Sie werden nur auf unserem Server berechnet und gespeichert, sind nicht Teil des Exports und lassen sich jederzeit löschen. Nach dem Löschen wird die Person nicht erneut automatisch wiedererkannt. Das gilt auch in Sales-Gesprächen, in denen oft Interessenten sprechen, die Discoverify nicht kennen: Informiert eure Gesprächspartner vor der Aufnahme.
Antworten mit Belegen. Das Sprachmodell formuliert Punkte; die Zitate kommen wörtlich aus der Datenbank und springen zur Audiostelle.

Coaching und Integrationen

Drei Funktionen verarbeiten Daten anders als der Rest von Discoverify: Das Coaching bewertet eure Beschäftigten, das Training speichert Übungen, die nur der übenden Person gehören, und die Productboard-Anbindung schickt Inhalte aus Discoverify hinaus. Hier steht, was dabei genau passiert.

Interview-Coaching: Daten über eure Beschäftigten

Das Coaching bewertet die Gesprächsführung der Person, die ein Interview geführt hat. Das sind personenbezogene Daten über eure Beschäftigten; wir verarbeiten sie in eurem Auftrag.
Das Feedback zu einem Interview sehen nur die interviewende Person und die Admins des Workspace. Jeder Zugriff eines Admins auf das Feedback einer anderen Person wird protokolliert. In Suche, Antworten, MCP und Export erscheint es nicht.
Feedback entsteht nur für Interviews mit eingetragener interviewender Person. Die Bewertung läuft wie die übrigen KI-Funktionen über Amazon Bedrock in der EU; Messwerte rechnet der Code. Stimmmerkmale speichert das Coaching nicht.
Ein Admin schaltet das Coaching pro Workspace ein oder aus; neue Workspaces starten eingeschaltet. Ausschalten löscht alle Coaching-Daten des Workspace. Gelöscht werden sie außerdem mit dem Interview, mit dem Nutzerkonto und wenn sich die interviewende Person eines Interviews ändert. Eine feste Aufbewahrungsfrist gibt es noch nicht.
Für Sales-Gespräche gibt es ein eigenes MEDDPICC-Coaching mit eigenem Schalter; in bestehenden Workspaces ist es aus, in neuen an. Es sehen die Person, die das Gespräch geführt hat, die Admins und, für Personen mit der Rolle Vertrieb, die Sales Leader. Jeder Zugriff auf ein fremdes Coaching und jede Team-Sicht wird protokolliert. Es gibt keinen Gesamtwert und keine Rangliste. Das Discovery-Coaching von PMs sieht ein Sales Leader nie.
Hinweis zur Mitbestimmung: Eine technische Einrichtung, die Verhalten oder Leistung von Beschäftigten erfassen kann, kann nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein. Klärt das Einschalten vorher mit eurem Betriebsrat und informiert euer Team. Das gilt auch für „Nutzung pro Person“ in den Berichten, die standardmäßig ausgeschaltet ist, und für das MEDDPICC-Coaching im Vertrieb.

Training: Übungen gehören der übenden Person

Im Training üben Beschäftigte Interviewfragen. Inhalte (Antworten, Rückmeldungen, Fortschritt) sieht nur die übende Person. Das erzwingt die Datenbank selbst mit Zeilenrechten pro Person; Admins haben keinen Lesezugriff, auch nicht über Berichte, Export, Suche, Antworten oder MCP.
Admins sehen höchstens die Gesamtzahl der Übungen des letzten abgeschlossenen Monats, ohne ihre eigenen und erst ab drei anderen Personen. Trainingsergebnisse fließen nicht in „Mein Coaching“ und nicht in Berichte.
Das Training nutzt keine Inhalte aus euren Interviews. Die eigene Antwort geht zur Einschätzung an das Sprachmodell über Amazon Bedrock in der EU; die Musterlösung stammt aus einem festen Fragenpool, nicht vom Modell.
Antworten und Rückmeldungen werden nach 90 Tagen automatisch gelöscht. Jede Person kann ihre Übungen jederzeit selbst exportieren oder löschen. Ein Admin kann das Training ausschalten; dann werden alle Trainingsdaten des Workspace gelöscht.

Productboard: Übermittlung nur auf euren Wunsch

Die Anbindung ist aus, bis ein Admin sie mit eurem API-Token einschaltet und einen Warnhinweis bestätigt. Gesendet wird nur auf Klick, eine Markierung pro Vorgang, ohne automatischen Abgleich und ohne KI-Aufruf.
Beiträge von Interviewern und Teammitgliedern lassen sich nicht senden. Eine Vorschau zeigt vorher genau, was übertragen wird. Name der sprechenden Person, interne Notiz und Kunden-E-Mail gehen nur mit, wenn ihr sie beim Senden auswählt.
Productboard ist kein Unterauftragsverarbeiter von Discoverify. Ihr übermittelt die Inhalte an einen Dienst, den ihr selbst gewählt und beauftragt habt; dafür gilt euer Vertrag mit Productboard. Unsere Zusage zur Verarbeitung in Deutschland und der EU gilt für diesen Weg nicht, auch nicht mit der Region „EU“. Datenstandort und Auftragsverarbeitung klärt ihr mit Productboard.
Discoverify löscht nie etwas in Productboard. Löscht ihr ein Interview oder eine Markierung in Discoverify, bleibt die Kopie in Productboard bestehen. Den API-Token speichern wir verschlüsselt, und jede Sendung steht im Audit-Log, ohne Inhalt.

Unterauftragsverarbeiter und Dienstleister

Anbieter	Zweck	Region	Rolle
Hetzner Online GmbH	Server, Speicher und Backups	Deutschland	Auftragsverarbeiter
AssemblyAI Inc.	Transkription und Sprechertrennung	EU (EU-Endpunkt, AWS eu-west-1 Dublin)	Auftragsverarbeiter
Resend (Plus Five Five, Inc.)	Versand von Anmelde- und SystemmailsDaten: E-Mail-Adresse, Mailinhalt mit Login-Link	Versand EU (eu-west-1, Irland); Metadaten und Logs in den USA	Auftragsverarbeiter
Amazon Web Services EMEA SARL (Amazon Bedrock)	KI-Modelle für Zusammenfassung, Antworten und semantische Suche (Claude, Cohere Embed)	EU-Regionen (Quellregion eu-west-1, EU-Inferenzprofil)	Auftragsverarbeiter
Stripe Payments Europe, Limited	Zahlungsabwicklung, Checkout und Kundenportal, Umsatzsteuerermittlung (Stripe Tax)Daten: Abrechnungsdaten (Name, Rechnungsanschrift, USt-IdNr., Beträge); keine Interviewdaten	Irland; verbundene Unternehmen und Unterverarbeiter auch in den USA	Auftragsverarbeiter für unsere Abrechnungsdaten (keine Kundendaten); eigener Verantwortlicher für Betrugsabwehr und gesetzliche Pflichten

Ändert sich diese Liste, aktualisieren wir sie hier. Details zur Verarbeitung stehen in der Datenschutzerklärung.

Backups

Die Datenbank wird täglich gesichert und verschlüsselt. Die Wiederherstellung ist getestet.

Compliance-Status

Heute

DSGVO-orientiert entwickelt: Datenverarbeitung in Deutschland und der EU, Löschen und Export eingebaut.
Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO: online lesen und als PDF speichern.
Keine Zertifizierungen. Discoverify hat kein SOC 2, kein ISO 27001 und keine vergleichbare externe Prüfung.

Geplant

geplantContent-Security-Policy mit Nonces statt „unsafe-inline“
geplantSSH-Zugang zusätzlich auf feste Admin-IP-Adressen beschränken
geplantUnabhängige Prüfung (z. B. SOC 2), sobald Kundenbasis und Umsatz das tragen

Sicherheitslücke melden

Du hast eine Schwachstelle gefunden? Schreib uns bitte, bevor du sie veröffentlichst. Wir bestätigen den Eingang und halten dich über die Behebung auf dem Laufenden.

security@getdiscoverify.com

Maschinenlesbar unter /.well-known/security.txt. Bitte keine Tests, die den Betrieb stören oder auf fremde Daten zugreifen.