Licensed to be used in conjunction with basebox, only.
// sicherheit
Compliance
Gilt für
Produkt: Cloud · Server · Zielgruppe: Sicherheits- / Compliance-Prüfer
Regulatorische Rahmenwerke und wie basebox sich dazu verhält: DSGVO, ISO 27001, NIS2 und der EU AI Act. Diese Seiten ersetzen keine Rechtsberatung – sie sagen, was basebox technisch und organisatorisch leistet, welche Rolle basebox je Rahmenwerk hat und was beim Kunden bleibt.
Die Rahmenwerke
| Rahmenwerk | Rolle von basebox | Was beim Kunden liegt | Seite |
|---|---|---|---|
| DSGVO | Cloud: Auftragsverarbeiter, AVV ist Teil jedes Vertrags · Server: bei Betrieb durch basebox Auftragsverarbeiter; ohne Betriebsauftrag nur, wenn Sie basebox für den Support Zugriff geben · Cloud (Übergangsbetrieb): Auftragsverarbeiter, Hetzner und Google als Unterauftragsverarbeiter | Verantwortlicher; Verarbeitungsverzeichnis, Rechtsgrundlage, Betroffenenrechte, ggf. DSFA | DSGVO · Auftragsverarbeitung |
| ISO 27001 | Das ISMS der basebox GmbH ist nach ISO/IEC 27001:2022 zertifiziert; Zertifikat mit Geltungsbereich zum Herunterladen auf basebox.ai/sicherheit | Eigenes ISMS; basebox als Lieferant bewerten | ISO 27001 |
| BSI C5 | Testat Typ 1 für die Cloud in Arbeit, geplant nach C5:2026 | Beim Server ist C5 nicht nötig; dort gelten Ihre Vorgaben als Betreiber | basebox.ai/sicherheit |
| NIS2 | Lieferant/Dienstleister einer wesentlichen oder wichtigen Einrichtung | Pflichten der Einrichtung: Risikomanagement, Lieferkette, Meldung | NIS2 |
| Software-Stückliste (SBOM) | Zu jedem Release automatisch, CycloneDX 1.6 nach BSI TR-03183-2 | In basebox unter Versionsinfo herunterladen, vollständig zu jeder Chart-Version und im Installationspaket | SBOM |
| EU AI Act | Supplier/Infrastrukturanbieter, kein Provider (keine eigenen Modelle, nur Quantisierung) | Deployer: Risikoklassifizierung, Human Oversight, Transparenz, AI Literacy | EU AI Act |
basebox ist kein Medizinprodukt und braucht deshalb keine ISO 13485.
Das EU-AI-Act-Paket
Fünf versionierte Dokumente, auf basebox Server bezogen (Stand Oktober 2025, Modellregister Mai 2026). Einordnung und Zusammenfassung: EU AI Act: Was Sie wissen müssen.
- Compliance – rechtliche Einordnung, Pflichten von basebox und des Kunden, Modellverantwortung, Meldepflichten
- Infrastruktur-Richtlinie – technische und organisatorische Maßnahmen mit Status je Maßnahme (implementiert / teilweise / geplant)
- Modellregister – Quelle, Lizenz, Version, Quantisierung, Prüfstand der bereitgestellten Modelle
- Sicherheitshinweis – Restrisiken, Empfehlungen für Betreiber, Vorfallmeldung
- Haftungsausschluss – Haftungsrahmen
Die Seiten unter Sicherheit & Compliance sind die laufend gepflegte Darstellung; bei Abweichungen gilt für vertragliche Zwecke das versionierte Paket. Wo diese Dokumentation eine Abweichung kennt – etwa der inzwischen vorhandene Audit-Export, der in der Infrastruktur-Richtlinie noch als geplant geführt wird –, ist sie auf der jeweiligen Seite benannt.
Was in jeder Prüfung wiederkehrt
- Rollen: basebox stellt Software und ggf. Betrieb; der Kunde bestimmt Zweck, Daten und Nutzung. Das gilt für DSGVO (Verantwortlicher), EU AI Act (Deployer) und NIS2 (Einrichtung) gleichermaßen – Geteilte Verantwortung.
- Datenverarbeitungsgrenze: Cloud = Ihre eigene Umgebung im Rechenzentrum München-Ost; Server = Ihr Netz – Datenflüsse.
- Kontrollen mit Status: basebox benennt, was implementiert ist und was nicht (Verschlüsselung im Ruhezustand, Image-Signaturen, Kill-Switch, manuelle Vorabprüfung) – Server.
- Nachweise: Audit-Log und Export, Release Notes, Modellregister, Wartungsberichte, AVV und Liste der Unterauftragsverarbeiter – Auftragsverarbeitung & Unterauftragsverarbeiter.
Ansprechpartner
Datenschutz- und Compliance-Fragen, AVV, Zertifikate: datenschutz@basebox.ai · basebox GmbH, Bahnhofplatz 3, 86919 Utting am Ammersee, Deutschland.
Nächster Schritt: DSGVO · Auftragsverarbeitung & Unterauftragsverarbeiter