Trust Center
Deutscher Anbieter und Vertragspartner mit Sitz in Düsseldorf. Die Kundenanwendung läuft auf Render in Frankfurt; Objektdaten liegen in Amazon S3 eu-central-1.
Made in Germany
Entwicklung & Betrieb in Düsseldorf
DSGVO-konform
AVV, TOMs & Subprozessoren-Liste
Kernhosting in Deutschland
Render Frankfurt · S3 eu-central-1
Zugangsdaten geschützt
TLS · Tokens und API-Zugänge AES-256-GCM
Enterprise-ReadyVendor-Onboarding-tauglich für DAX & MittelstandAVV, TOMs & TIA innerhalb 24 h verfügbarAuditierbar nach § 9 AVVNIS-2-Lieferketten-ready
Kernhosting in Deutschland: Render Frankfurt und Amazon S3 eu-central-1. Weitere Verarbeitungen und etwaige Drittlandtransfers sind in der Subprozessoren-Liste dokumentiert.
Compliance auf einen Blick
Alles, was Ihr Datenschutz- und Einkaufsteam prüft.
Auftragsverarbeitung nach Art. 28 DSGVO
Unterschriftsfertiger AVV
Technische & organisatorische Maßnahmen
Art. 32 DSGVO
Meldung von Datenschutzverletzungen
innerhalb 24 Stunden an Auftraggeber
Verzeichnis von Verarbeitungstätigkeiten
Art. 30 DSGVO
Keine besonderen Kategorien (Art. 9)
Nur geschäftliche B2B-Kontaktdaten
Privacy by Design & by Default
Datenschutzfreundliche Voreinstellungen
Jährliche Penetrationstests
Unabhängige Dritte, monatliche Scans
Mitarbeiterschulungen
Datenschutz & InfoSec, jährlich verpflichtend
ISO 27001 / SOC 2 Type II / BSI C5
Roadmap – in Vorbereitung
Incident-Response-Prozess
Orientiert an NIS-2
Made in Germany
Komplett deutsch. Komplett enterprise-ready.
amplifa ist ein deutsches Unternehmen mit deutschem Vertragspartner und Produkt- und Engineering-Team in Deutschland. Die Kernanwendung wird in Frankfurt betrieben; weitere Verarbeitungen werden transparent im Subprozessoren-Verzeichnis ausgewiesen.
Sitz & Entwicklung in Düsseldorf
amplifa GmbH, Luisenstraße 9, 40215 Düsseldorf. Eingetragen im Handelsregister des Amtsgerichts Düsseldorf. Produkt- und Engineering-Team zu 100 % in Deutschland.
Kernhosting in Frankfurt
Rails-8-Anwendung, PostgreSQL, Redis und Background Workers auf Render in Frankfurt; Objektdaten in Amazon S3 eu-central-1. Anbieterzertifikate gelten jeweils für den betreffenden Dienstleister.
Deutsches Recht, Gerichtsstand Düsseldorf
AGB nach BGB/HGB, deutscher Vertragspartner, ausschließlicher Gerichtsstand Düsseldorf. Keine US- oder Offshore-Vertragskonstrukte.
Deutschsprachiger Support
Sales, Customer Success, Security und Datenschutz sprechen Deutsch. Ansprechpartner mit Klarnamen, keine Offshore-Hotlines.
Compliance-Stack DE & EU
DSGVO, BDSG, UWG, NIS-2 Readiness Statement, EU AI Act Konformitätserklärung, BSI C5:2020 Self-Assessment, Transfer Impact Assessment (Schrems II).
Steuern & Rechnungslegung in DE
Rechnungen mit deutscher Umsatzsteuer (USt-IdNr. DE458632719), HGB-konforme Buchführung, Zahlung per SEPA-Lastschrift oder Überweisung.
amplifa GmbH · Luisenstraße 9 · 40215 Düsseldorf · Deutschland. Vertragspartner für alle kommerziellen Beziehungen. Drittlandverarbeitungen einzelner Subprozessoren werden in AMP-TC-003 ausgewiesen und mit geeigneten Garantien abgesichert.
Policy-Landkarte
Die 10 zentralen Policies eines europäischen SaaS-Unternehmens.
Unsere Policy-Landkarte deckt die zentralen Anforderungen aus DSGVO, NIS-2, EU AI Act und ISO/IEC 27001 ab. Jede Policy verweist auf das zugehörige, unterschriebene Dokument im Trust Center.
01ISO/IEC 27001:2022
Information Security Policy (ISMS-Master)
Übergeordnete Sicherheitsleitlinie als Basis des gesamten ISMS.
AMP-TC-024
02DSGVO Art. 13/14
Datenschutz- / Privacy Policy
Transparente Information über Verarbeitungen personenbezogener Daten.
AMP-TC-004
03DSGVO Art. 28 & 30
Verarbeitungsverzeichnis & TOMs / AVV
Verzeichnis aller Verarbeitungstätigkeiten, technische Maßnahmen und AVV.
AMP-TC-025AMP-TC-002AMP-TC-001
04DSGVO Art. 33 · NIS-2
Incident Response Plan
Erkennung, Behandlung und 72-Stunden-Meldung sicherheitsrelevanter Vorfälle.
AMP-TC-007
05EU AI Act
AI Governance / KI-Nutzungsrichtlinie
Regeln für Auswahl, Nutzung und Aufsicht aller KI-Systeme.
AMP-TC-015AMP-TC-019
06DSGVO Art. 5 Abs. 1 lit. e
Data Retention & Löschkonzept
Aufbewahrungsfristen und Löschverfahren je Datenkategorie.
AMP-TC-026
07DSGVO Art. 32
Access Control & Identity Management
Least-Privilege, MFA, Lifecycle und Reviews aller Zugriffe.
AMP-TC-010
08DSGVO Art. 28 · Schrems II
Vendor / Drittanbieter-Management
Auswahl, Bewertung und laufende Steuerung aller Subprozessoren.
AMP-TC-027AMP-TC-003
09NIS-2
Business Continuity / Disaster Recovery
Sicherstellung der Verfügbarkeit kritischer Dienste, RTO/RPO, Failover.
AMP-TC-028AMP-TC-008
10ISO 27001 · NIS-2 · EU AI Act
Risk Assessment & Management
Risiko-Methodik mit 5×5-Matrix, Akzeptanzkriterien und Risk-Register.
AMP-TC-029
Dokumenten-Bibliothek
Alle Unterlagen für Ihre Lieferantenprüfung.
Alle Dokumente als ZIP anfordern
Auf Anfrage (nach NDA)
Auf Anfrage
AMP-TC-001
Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO)
v2.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-002
Technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO)
v2.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-003
Liste der Unterauftragnehmer
v2.2 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-004
Datenschutzerklärung
v1.3 · Stand: Februar 2026
Dokument anfordern
Auf Anfrage
AMP-TC-005
Impressum
v1.2 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-006
Allgemeine Geschäftsbedingungen
v1.2 · Stand: Februar 2026
Dokument anfordern
Auf Anfrage
AMP-TC-007
Incident-Response-Policy
v1.2 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-008
Backup- und Wiederherstellungskonzept
v1.2 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-013
Service-Level-Agreement (SLA)
v1.0 · Stand: Februar 2026
Dokument anfordern
Auf Anfrage
AMP-TC-015
KI-Nutzungs- und Trainingsdaten-Policy (EU AI Act)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-016
BSI C5:2020 Self-Assessment (SOA)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-017
Transfer Impact Assessment (Schrems II)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-018
NIS-2 Readiness Statement
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-019
EU AI Act Konformitätserklärung
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-020
SOC 2 Self-Assessment (Trust Services Criteria)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-021
PCI-DSS Non-Applicability Statement
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-022
Penetration Testing Policy & Roadmap
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-023
ISO/IEC 27001:2022 Implementation Report
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-010
Access-Control-Policy
v1.1 · Stand: Juni 2026
Dokument anfordern
Auf Anfrage
AMP-TC-024
Information Security Policy (ISMS-Master)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-025
Verzeichnis von Verarbeitungstätigkeiten (RoPA, Art. 30 DSGVO)
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-026
Data Retention & Löschkonzept
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-027
Vendor & Third-Party Management Policy
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-028
Business Continuity & Disaster Recovery Plan
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-029
Risk Assessment & Management Policy
v1.1 · Stand: September 2026
Dokument anfordern
Auf Anfrage
AMP-TC-030
Supply Chain Security & SBOM Statement
v1.1 · Stand: September 2026
Dokument anfordern
Unterauftragnehmer
Transparent. Vollständig. Aktuell.
Subunternehmer-Liste herunterladen
Vollständige Liste aller Unterauftragnehmer nach Art. 28 Abs. 2 DSGVO – aufgeschlüsselt nach Infrastruktur, KI-Inferenz, Vertriebs-Tooling und Tracking. Drittland-Transfers ausschließlich auf Basis EU-Standardvertragsklauseln 2021/914 inklusive dokumentiertem Transfer Impact Assessment (Schrems II, AMP-TC-017).
A. Infrastruktur, Plattform & Kollaboration
Kerninfrastruktur der Kundenanwendung auf Render Frankfurt und Amazon S3 eu-central-1; die Marketing-Website ist technisch getrennt.
| Anbieter | Zweck | Standort | Drittland-Garantie | | --- | --- | --- | --- | | Render Services, Inc. | Rails-8-Anwendung, PostgreSQL, Redis und Background Workers | Frankfurt am Main, DE | EU-Region · Anbieternachweise auf Anfrage | | Amazon Web Services EMEA SARL | S3-Objektspeicher | eu-central-1, Frankfurt | EU-Region · Anbieternachweise auf Anfrage | | Cloudflare, Inc. | CDN, WAF, DDoS-Schutz | Global Edge / US-HQ | EU-SCC + TIA · ISO 27001, SOC 2 | | Vercel / Lovable Hosting (Frontend) | Statisches Hosting Marketing-Site | EU-Edge | EU intern · SOC 2 Type II | | GitHub, Inc. | Quellcode, CI/CD (keine Kundendaten) | US (private repos) | EU-SCC + TIA · SOC 1/2, ISO 27001 | | Resend, Inc. | Transaktionaler E-Mail-Versand | EU (Frankfurt) | EU intern · SOC 2 Type II | | Cal.com, Inc. | Terminbuchung Erstgespräche | EU | EU intern · SOC 2 in Vorbereitung | | Google Workspace / Microsoft 365 | Versand und Antwortabruf über kundeneigene Postfächer via Gmail API / Microsoft Graph | Kundenseitige Region | OAuth-Zugriff · keine gespeicherten Mailbox-Passwörter |
Render Services, Inc.
ZweckRails-8-Anwendung, PostgreSQL, Redis und Background Workers
StandortFrankfurt am Main, DE
GarantieEU-Region · Anbieternachweise auf Anfrage
Amazon Web Services EMEA SARL
ZweckS3-Objektspeicher
Standorteu-central-1, Frankfurt
GarantieEU-Region · Anbieternachweise auf Anfrage
Cloudflare, Inc.
ZweckCDN, WAF, DDoS-Schutz
StandortGlobal Edge / US-HQ
GarantieEU-SCC + TIA · ISO 27001, SOC 2
Vercel / Lovable Hosting (Frontend)
ZweckStatisches Hosting Marketing-Site
StandortEU-Edge
GarantieEU intern · SOC 2 Type II
GitHub, Inc.
ZweckQuellcode, CI/CD (keine Kundendaten)
StandortUS (private repos)
GarantieEU-SCC + TIA · SOC 1/2, ISO 27001
Resend, Inc.
ZweckTransaktionaler E-Mail-Versand
StandortEU (Frankfurt)
GarantieEU intern · SOC 2 Type II
Cal.com, Inc.
ZweckTerminbuchung Erstgespräche
StandortEU
GarantieEU intern · SOC 2 in Vorbereitung
Google Workspace / Microsoft 365
ZweckVersand und Antwortabruf über kundeneigene Postfächer via Gmail API / Microsoft Graph
StandortKundenseitige Region
GarantieOAuth-Zugriff · keine gespeicherten Mailbox-Passwörter
B. LLM- & KI-Inferenz
KI-Anbieter werden nach Datenminimierung, Trainingsausschluss und geeigneten Aufbewahrungsbedingungen ausgewählt (siehe AMP-TC-015).
| Anbieter | Zweck | Standort | Drittland-Garantie | | --- | --- | --- | --- | | OpenAI Ireland Ltd. | LLM-Inferenz (GPT) für Texte & Recherche | Gemäß aktueller Anbieterregion | Transfer- und Aufbewahrungsbedingungen gemäß Anbieterregister | | Anthropic PBC | LLM-Inferenz (Claude) für komplexe Analysen | Gemäß aktueller Anbieterregion | Transfer- und Aufbewahrungsbedingungen gemäß Anbieterregister | | Google Ireland Ltd. (Vertex AI / Gemini) | LLM-Inferenz (Gemini), strukturierte Analysen | Gemäß aktueller Anbieterregion | Transfer- und Aufbewahrungsbedingungen gemäß Anbieterregister | | Perplexity AI, Inc. | Recherche-LLM für Intent-Signale | US | EU-SCC + TIA · SOC 2 Type II | | HeyGen, Inc. | KI-Video-Generierung (opt-in) | US | EU-SCC + TIA · SOC 2 Type II |
OpenAI Ireland Ltd.
ZweckLLM-Inferenz (GPT) für Texte & Recherche
StandortGemäß aktueller Anbieterregion
GarantieTransfer- und Aufbewahrungsbedingungen gemäß Anbieterregister
Anthropic PBC
ZweckLLM-Inferenz (Claude) für komplexe Analysen
StandortGemäß aktueller Anbieterregion
GarantieTransfer- und Aufbewahrungsbedingungen gemäß Anbieterregister
Google Ireland Ltd. (Vertex AI / Gemini)
ZweckLLM-Inferenz (Gemini), strukturierte Analysen
StandortGemäß aktueller Anbieterregion
GarantieTransfer- und Aufbewahrungsbedingungen gemäß Anbieterregister
Perplexity AI, Inc.
ZweckRecherche-LLM für Intent-Signale
StandortUS
GarantieEU-SCC + TIA · SOC 2 Type II
HeyGen, Inc.
ZweckKI-Video-Generierung (opt-in)
StandortUS
GarantieEU-SCC + TIA · SOC 2 Type II
C. Vertrieb, Daten-Enrichment & Outreach
Berechtigtes Interesse i. V. m. § 7 UWG, Whitelist-Kriterien, Opt-out-Mechanik und Suppression-List (siehe AVV § 8b).
| Anbieter | Zweck | Standort | Drittland-Garantie | | --- | --- | --- | --- | | LinkedIn / Sales Navigator (Microsoft Ireland) | B2B-Recherche & Outreach über Nutzerkonto des Kunden, kein Scraping | EU / US | EU-SCC + TIA · ISO 27001, SOC 1/2/3 | | Apollo.io, Inc. | B2B-Kontaktdaten & Sequencing | US | EU-SCC + TIA + Opt-out · SOC 2, ISO 27001 | | Clay Labs, Inc. | Daten-Enrichment & Workflow-Automation | US | EU-SCC + TIA + DPA · SOC 2 Type II | | ZeroBounce / Email Validation Services | E-Mail-Verifikation vor Übernahme als Lead | Anbieterabhängig | Gemäß aktuellem Anbieterregister | | HubSpot Ireland Ltd. | CRM, Kontakt- & Pipeline-Daten (kundenseitig) | EU / US | EU intern (EU-Datacenter) · SOC 2, ISO 27001 | | Firecrawl (Mendable Inc.) | Öffentliche Webseiten-Recherche, kein Login-Scraping | US | EU-SCC + TIA · SOC 2 Type II (in Audit) |
LinkedIn / Sales Navigator (Microsoft Ireland)
ZweckB2B-Recherche & Outreach über Nutzerkonto des Kunden, kein Scraping
StandortEU / US
GarantieEU-SCC + TIA · ISO 27001, SOC 1/2/3
Apollo.io, Inc.
ZweckB2B-Kontaktdaten & Sequencing
StandortUS
GarantieEU-SCC + TIA + Opt-out · SOC 2, ISO 27001
Clay Labs, Inc.
ZweckDaten-Enrichment & Workflow-Automation
StandortUS
GarantieEU-SCC + TIA + DPA · SOC 2 Type II
ZeroBounce / Email Validation Services
ZweckE-Mail-Verifikation vor Übernahme als Lead
StandortAnbieterabhängig
GarantieGemäß aktuellem Anbieterregister
HubSpot Ireland Ltd.
ZweckCRM, Kontakt- & Pipeline-Daten (kundenseitig)
StandortEU / US
GarantieEU intern (EU-Datacenter) · SOC 2, ISO 27001
Firecrawl (Mendable Inc.)
ZweckÖffentliche Webseiten-Recherche, kein Login-Scraping
StandortUS
GarantieEU-SCC + TIA · SOC 2 Type II (in Audit)
D. Analyse, Tracking & Reichweite (nur mit Einwilligung)
Aktivierung ausschließlich nach Einwilligung über Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG, Consent Mode v2).
| Anbieter | Zweck | Standort | Drittland-Garantie | | --- | --- | --- | --- | | Google Ireland Ltd. (GA4 & GTM Server-Side) | Reichweiten- & Conversion-Messung | EU / US | EU-SCC + TIA + Consent · ISO 27001, SOC 1/2/3 | | Meta Platforms Ireland Ltd. | Conversion-Tracking (Pixel / CAPI) | EU / US | EU-SCC + TIA + Consent · ISO 27001, SOC 2 | | LinkedIn Insight Tag (Microsoft Ireland) | Conversion-Tracking & Retargeting | EU / US | EU-SCC + TIA + Consent · ISO 27001, SOC 2 | | Buffer, Inc. | Social-Media-Publishing & Planung | US | EU-SCC + TIA · SOC 2 Type II |
Google Ireland Ltd. (GA4 & GTM Server-Side)
ZweckReichweiten- & Conversion-Messung
StandortEU / US
GarantieEU-SCC + TIA + Consent · ISO 27001, SOC 1/2/3
Meta Platforms Ireland Ltd.
ZweckConversion-Tracking (Pixel / CAPI)
StandortEU / US
GarantieEU-SCC + TIA + Consent · ISO 27001, SOC 2
LinkedIn Insight Tag (Microsoft Ireland)
ZweckConversion-Tracking & Retargeting
StandortEU / US
GarantieEU-SCC + TIA + Consent · ISO 27001, SOC 2
Buffer, Inc.
ZweckSocial-Media-Publishing & Planung
StandortUS
GarantieEU-SCC + TIA · SOC 2 Type II
Änderungen an dieser Liste werden den Auftraggebern mindestens 30 Tage im Voraus mitgeteilt (Art. 28 Abs. 4 DSGVO). Vollständige TIA-Bewertung und Zertifikate je Anbieter auf Anfrage (AMP-TC-003, AMP-TC-017).
Sicherheits-Highlights
Vertraulichkeit. Integrität. Verfügbarkeit.
Vertraulichkeit
- Tokens und API-Zugangsdaten mit AES-256-GCM geschützt
- E-Mail-2FA für Administratoren
- Rollenbasierte Zugriffe nach Least-Privilege
- Logische Trennung: jeder Datensatz ist einer Organisation zugeordnet
Integrität
- TLS für Datenübertragungen
- API-Schlüssel werden ausschließlich als SHA-256-Hash gespeichert
- HMAC-SHA256-signierte, Replay-geschützte Webhooks
- Audit Trails für sicherheitsrelevante Aktionen
Verfügbarkeit
- Produktive Anwendung auf Render in Frankfurt
- PostgreSQL, Redis, S3-Objektspeicher und Background Workers als getrennte Komponenten
- Konfigurierbare Human-Review-Gates vor dem Versand
- Suppression- und Unsubscribe-Prüfung vor Kampagnenverarbeitung
Incident Response
Klare Meldewege im Ernstfall.
Sicherheitsvorfall melden
Schwachstellen, Verdachtsfälle und Responsible-Disclosure-Hinweise nehmen wir jederzeit entgegen unter:
Meldewege & Fristen
- Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO)
- Information betroffener Auftraggeber innerhalb von 24 Stunden
- Dokumentierter Incident-Lifecycle mit Schweregrad-Klassifizierung P1 – P4
FAQ
Für Einkauf & Datenschutzbeauftragte.
Wo werden unsere Daten gehostet?
Die produktive Kundenanwendung läuft auf Render in Frankfurt am Main. Objektdaten werden in Amazon S3 in der Region eu-central-1 gespeichert. Weitere Anbieter sind in AMP-TC-003 dokumentiert.
Schließt amplifa einen AVV mit uns ab?
Verlassen Daten die EU?
Wie schnell werden wir bei einem Vorfall informiert?
Welche Daten verarbeitet amplifa?
Können wir amplifa auditieren?
Was passiert mit unseren Daten nach Vertragsende?
Kontakt
Sicherheitsfragen? Sprechen Sie mit uns.
Wir beantworten Security-Fragebögen und Datenschutz-Reviews in der Regel innerhalb von 24 Stunden.
Gespräch vereinbaren Dokumente anfordern