Vertrauen und Compliance

Wo Ihre Daten liegen

• In den Niederlanden. Speicherung, Transcoding, Log-Verarbeitung und Statistiken laufen auf unserer eigenen Infrastruktur in niederländischen Rechenzentren.
• Aus den Niederlanden betrieben. Administrativer Zugriff auf die Produktion erfolgt nur aus den Niederlanden, durch unsere eigenen Mitarbeitenden, mit Mehrfaktor-Authentifizierung. Kein Follow-the-Sun-Support, kein Support-Desk oder Subunternehmer außerhalb des EWR.
• Keine Übermittlung außerhalb des EWR. Zuschauer weltweit bekommen ihr Bild schnell über unser europäisches CDN, während Ihre Daten unter europäischem Recht bleiben.
• Verschlüsselt. Verschlüsselte Übertragung und Speicherung, mit getrennten Produktions- und Testumgebungen.

Zwei Unterauftragsverarbeiter. Das ist alles.

Die meisten Videoplattformen stützen sich auf eine lange Kette von Cloud-, Analyse- und Werbepartnern. StreamZilla arbeitet mit genau zwei, beide europäisch:

• Leaseweb (Niederlande): Rechenzentrum und Hosting. Leaseweb hat keinen Zugriff auf Ihre Daten.
• BunnyCDN (europäisches Content Delivery Network): vorübergehendes Caching von Medienfragmenten und Metadaten sowie vorübergehende Zugriffsprotokolle, damit Ihre Videos überall schnell laufen.

Keine Tracker, keine Werbenetzwerke, keine amerikanische Cloud. Wir informieren Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Daten verarbeiten würde.

Auftragsverarbeitungsvertrag

Für die personenbezogenen Daten, die wir in Ihrem Auftrag verarbeiten, ist StreamZilla Auftragsverarbeiter nach der DSGVO. Jeder Kunde erhält einen Auftragsverarbeitungsvertrag. Kurz gesagt:

• Wir verarbeiten nur in Ihrem Auftrag, nie für eigene Zwecke.
• Zugriffsprotokolle werden nach 30 Tagen automatisch bereinigt.
• Sie legen Aufbewahrungsfristen pro Konto und Sammlung fest; Löschen gilt für Originale, Streams, Transkripte, Untertitel und Metadaten.
• Am Vertragsende entscheiden Sie: Ihre Daten zurück in offenen Formaten, gelöscht, oder beides.
• Eine Datenschutzverletzung melden wir Ihnen innerhalb von 48 Stunden, damit Sie Ihre eigene 72-Stunden-Meldepflicht erfüllen können.

Sicherheit

• ISO 27001 in der Praxis. Wir arbeiten bereits nach ISO/IEC 27001:2022, mit einem funktionierenden Managementsystem für Informationssicherheit. Die formale Zertifizierung läuft; bis sie abgeschlossen ist, stellen wir uns nicht als zertifiziert dar.
• Penetrationstests. Wir führen interne Penetrationstests durch. Ein externer Penetrationstest folgt, passend zur Phase der privaten Beta.
• Menschen. Überprüfung der Mitarbeitenden, einschließlich eines niederländischen Führungszeugnisses (Verklaring Omtrent het Gedrag), und verpflichtende Security-Awareness-Schulungen.
• Zugriff. Least Privilege, Mehrfaktor-Authentifizierung und Protokollierung administrativer Handlungen.
• Monitoring. Infrastruktur und Streams werden rund um die Uhr überwacht.
• Schwachstellen melden. Eine Schwachstelle gefunden? Unsere Richtlinie für Coordinated Vulnerability Disclosure, basierend auf dem Leitfaden des niederländischen Nationaal Cyber Security Centrum, erklärt, wie Sie sie melden. Wir bestätigen innerhalb von zwei Werktagen und reagieren nie mit rechtlichen Schritten auf Meldende, die sich an unsere Richtlinie halten.

Gesetze und Normen

• DSGVO: Privacy by Design, keine Übermittlung außerhalb des EWR, standardmäßig kein Tracking einzelner Zuschauer. Siehe DSGVO-konformes Video-Hosting.
• KI-Verordnung: keine verbotenen Praktiken, keine Hochrisiko-KI-Systeme, keine KI-Modelle mit allgemeinem Verwendungszweck. Ihre Videos werden nie zum Training von KI verwendet. Siehe Ihre Videos und KI-Training.
• Data Act: Wechsel ohne Lock-in, Export von allem in offenen Formaten, keine Ausstiegskosten. Siehe den Ratgeber zum Data Act.
• NIS2: Jet-Stream liegt unter den Größenschwellen, erfüllt die Risikomanagementmaßnahmen aber freiwillig, weil viele unserer Kunden selbst darunter fallen. Siehe NIS2 und Videoplattformen.
• Barrierefreiheit: Player und Veröffentlichungsseiten nach WCAG 2.2 AA und EN 301 549, auf Basis interner Bewertung. Siehe barrierefreier Videoplayer.
• Records Management: eine Selbstbewertung nach ISO 16175, inklusive Export in ein elektronisches Archiv.
• Qualitätsmanagement: Maßnahmen gleichwertig zu ISO 9001 innerhalb unseres ISMS, dokumentiert für Ausschreibungen.
• Nachhaltigkeit: zertifiziert grüne Rechenzentren und energiesparende Software. Siehe grünes Video-Hosting.

Dokumente, die Sie anfordern können

Kunden, Einkäufer und öffentliche Auftraggeber können folgende Dokumente anfordern:

• Erklärung zur Informationssicherheit und Status der ISO 27001-Zertifizierung
• DSGVO-Compliance-Erklärung und Auftragsverarbeitungsvertrag
• Liste der Unterauftragsverarbeiter
• Compliance-Erklärung zur KI-Verordnung
• Compliance-Erklärung zum Data Act
• Anwendbarkeitsanalyse und Erklärung zu NIS2
• Erklärung zur Barrierefreiheit (WCAG 2.2 AA, EN 301 549)
• Souveränitäts-Selbstbewertung (EU Cloud Sovereignty Framework)
• Begründung der digitalen Souveränität, mit Quellen
• Technische Compliance- und Verpflichtungserklärung zum Streaming-Output
• Gleichwertigkeitserklärung ISO 9001 und Erklärung zum Records Management ISO 16175
• Erklärung zu Open-Source- und Closed-Source-Entwicklung
• Nachhaltigkeitserklärung
• Richtlinie für Coordinated Vulnerability Disclosure

Auf Anfrage und unter einer Geheimhaltungsvereinbarung können Sie auch die Erklärung zur Anwendbarkeit und unsere zentralen Richtlinien einsehen oder ein Lieferantenaudit vereinbaren.