Sicherheits- und Governance-Erklärung

Persooa Enterprise Security & Governance Statement 2026 Version 2026.1

Kontext und Rolle

Persooa agiert als Implementierungs- und Managed-Services-Partner im Synerise-Ökosystem. In der Beziehung zum Kunden treten wir in der Regel als Auftragsverarbeiter (Processor) auf und handeln auf die dokumentierte Weisung des Verantwortlichen (des Kunden). Die Daten der Endkunden werden üblicherweise in der Infrastruktur des Kunden oder auf der Synerise-Plattform gespeichert und verarbeitet, entsprechend der Projektarchitektur.

Angaben zur juristischen Person (Legal Entity)

Feld	Wert
Vollständiger Name	Persooa Sp. z o.o.
Eingetragener Sitz	ul. Rondo ONZ 1, 00-124 Warschau, Polen
KRS	0000338740 (Amtsgericht für die Hauptstadt Warschau in Warschau, XII. Wirtschaftsabteilung des Landesgerichtsregisters KRS)
NIP	7010202996
Stammkapital	30.000,00 PLN, vollständig eingezahlt
Betriebsmodell	remote-first; globales Delivery, ohne dedizierte Bürofläche für Projektteams

Persooa hat einen formellen eingetragenen Sitz in Warschau und erbringt seine Leistungen im Remote-first-Modell. Den vollständigen Umfang der Registerdaten bestätigen wir im Rahmen der Due Diligence und in den Verträgen.

Datenschutz

Verschlüsselung der Daten mithilfe der Datenschutzmechanismen der Synerise-Plattform und der Cloud-Anbieter (bei der Übertragung und bei der Speicherung).
Umgebungstrennung - Trennung von Entwicklungs-, Test- und Produktionsumgebungen.
Minimierung - wir verarbeiten nur die zur Leistungserbringung notwendigen Daten; wir bevorzugen Pseudonymisierung und Aggregation.
Aufbewahrung - Daten werden nur für den erforderlichen und mit dem Kunden vereinbarten Zeitraum gespeichert.

DSGVO-Konformität und DPA-Readiness

Grundsätzlich handeln wir als Auftragsverarbeiter (Processor) auf die dokumentierte Weisung des Kunden. In Bezug auf unsere eigenen operativen Daten (B2B-Kontaktdaten, Personaldaten, eigene Logs) sind wir Verantwortlicher. Unsere Rolle gegenüber der Plattform und weiteren Stellen legen wir im DPA für die jeweilige Implementierung fest.
Sub-Processoren - wir führen eine aktuelle Liste, die im Rahmen des DPA bereitgestellt wird. Über wesentliche Änderungen informieren wir im Voraus und ermöglichen einen begründeten Widerspruch. Jedem Sub-Processor erlegen wir Pflichten auf, die nicht weniger streng sind als unsere eigenen; für die Wahrung der Vertraulichkeit durch weitere Unterauftragnehmer haften wir wie für eigenes Handeln (Flow-down).
DSAR - wir unterstützen den Kunden bei der Wahrnehmung der Rechte betroffener Personen gemäß Art. 28 Abs. 3 lit. e DSGVO; Anfragen bearbeiten wir innerhalb eines vereinbarten SLA (grundsätzlich 5-10 Werktage), damit der Kunde die gesetzliche Frist von einem Monat einhält.
Rückgabe / Löschung der Daten - nach Ende der Zusammenarbeit geben wir die Daten nach Wahl des Kunden in einem maschinenlesbaren Format zurück oder löschen sie (samt Kopien), und auf Verlangen stellen wir eine schriftliche Löschbestätigung aus (Art. 28 Abs. 3 lit. g DSGVO).
Register und Audit - wir führen ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) und ermöglichen dem Kunden nach den Bedingungen des DPA ein Audit oder eine Inspektion (Art. 28 Abs. 3 lit. h DSGVO).
Übermittlungen - standardmäßig bevorzugen wir die Verarbeitung in der EU/im EWR; bei Übermittlungen außerhalb des EWR wenden wir die Standardvertragsklauseln (SCC), eine Transfer Impact Assessment (TIA) und - falls erforderlich - ergänzende Maßnahmen an.

Zugriffsverwaltung (Access Management)

Prinzip der geringsten Rechte (Least Privilege) - Zugriff nur im für die Rolle notwendigen Umfang.
Need-to-know - Zugriff auf die Daten eines konkreten Kunden haben ausschließlich Personen, die an seinem Projekt beteiligt sind.
Multi-Faktor-Authentifizierung (MFA) für den Zugriff auf kritische Systeme.
Berechtigungsüberprüfungen sowie sofortiger Entzug des Zugriffs bei Ende der Zusammenarbeit (Offboarding).
Die Nutzung der Systeme des Kunden erfolgt mit den vom Kunden festgelegten Konten und Regeln.

Security Awareness

Das Team ist verpflichtet, die Regeln der Sicherheit und des Datenschutzes einzuhalten.
Wir führen Maßnahmen durch, die das Bewusstsein für Bedrohungen stärken (Phishing, Social Engineering, Passworthygiene, Gerätesicherheit).
Im Remote-first-Modell wenden wir Regeln für sicheres Remote-Arbeiten an: gesicherte Geräte, Passwortmanager, Festplattenverschlüsselung.

Lieferanten-Governance (Vendor Governance)

Wir wählen Unterauftragnehmer und Tools unter Berücksichtigung ihrer Sicherheits- und Datenschutzpraktiken aus und bevorzugen Anbieter mit anerkannten Zertifizierungen.
Wir stützen das Delivery auf die Synerise-Plattform und anerkannte Cloud-Anbieter; die Lieferkette halten wir für den Kunden möglichst kurz und transparent.
Vertraulichkeitskette (Flow-down) - jeder Unterauftragnehmer verpflichtet sich vor Beginn der Zusammenarbeit zur Vertraulichkeit, und diese Pflicht besteht nach deren Ende fort. Für die Wahrung der Vertraulichkeit durch weitere Auftragnehmer und Unterauftragnehmer haften wir wie für eigenes Handeln.
Integrität des Vertragspartners - in Prozessen mit erhöhtem Risiko führen wir Integritätsprüfungen gemäß unserer Antikorruptions- und Antibetrugsrichtlinie durch (u. a. Transparency-International-Index, Verbindungen zu PEP, Überprüfung rechtskräftiger Verurteilungen von Personen in den Organen des Vertragspartners wegen Wirtschafts- oder Steuerstraftaten).
Interessenkonflikt - die Lieferantenauswahl wird auf Interessenkonflikte geprüft; wir schließen Situationen aus, in denen die Wahl einer entscheidungsbefugten Person einen ungerechtfertigten Vorteil verschaffen würde, und halten die Verbindungen für den Kunden transparent.

Sicherheit der Synerise-Plattform

Persooa implementiert und betreibt Lösungen auf der Synerise-Plattform, auf die sich die Endkundendaten üblicherweise beziehen. Laut der offiziellen Erklärung von Synerise (synerise.com/security) bietet die Plattform Enterprise-grade Security samt SOC 2-, GDPR- und CCPA-Konformität und beschreibt ihre Sicherheitsarchitektur, den Datenschutz und die Deployment-Optionen (Deployment Options).

Das bedeutet, dass das Sicherheits- und Compliance-Fundament der Datenverarbeitungsschicht auf Plattformebene bereitgestellt und unabhängig auditiert wird (SOC 2).
Persooa verantwortet die sichere Konfiguration und den sicheren Betrieb dieser Plattform im Rahmen des Kundenprojekts - gemäß den in dieser Erklärung beschriebenen Grundsätzen.
Den aktuellen, detaillierten Umfang der Zertifizierungen und Deployment-Optionen von Synerise bestätigen wir direkt auf der Website des Herstellers und in der Dokumentation für den Kunden.

Rollenverteilung: Für die Plattformzertifizierung ist Synerise verantwortlich; für die Sicherheit der Implementierung, der Zugriffe und des Betriebs auf Partnerseite Persooa; für die Rolle des Verantwortlichen der Kunde.

Schutz vertraulicher Informationen und von Geschäftsgeheimnissen

Unabhängig von der Sicherheit der Synerise-Plattform unterhält Persooa ein formalisiertes System zum Schutz von Geschäftsgeheimnissen (SOT), das auf der internen Richtlinie zum Schutz vertraulicher Informationen (konform mit dem Gesetz zur Bekämpfung des unlauteren Wettbewerbs, UZNK) beruht:

Vier SOT-Prinzipien - Vertraulichkeit, Minimierung des Zugriffs, Verhältnismäßigkeit der Maßnahmen sowie Verantwortung für Verstöße.
Informationsklassifizierung - die Kategorie „Basis" (alle vertraulichen Informationen) sowie „Beschränkt" (Informationen von strategischer Bedeutung), mit verhältnismäßig ausgewählten technischen und organisatorischen Maßnahmen.
Verantwortliche Person - von der Geschäftsführung benannt, führt regelmäßige Audits der Anwendung der Richtlinie durch und pflegt ein Incident-Log.
Schutzumfang - wir schützen nicht nur die personenbezogenen Daten der Endkunden, sondern auch die vertraulichen Informationen und Geschäftsgeheimnisse des Kunden selbst (Bedingungen der Zusammenarbeit, Know-how, Geschäftsdaten, Pläne). Die Informationen werden in jeder Phase der Erstellung, Übertragung und Speicherung geschützt; unkontrolliertes Kopieren und unnötiges Drucken sind untersagt.
Eigene Maßnahmen von Persooa - Festplattenverschlüsselung der Teamgeräte, sichere Kanäle für den Dokumentenaustausch, Passwortmanager und MFA, angemessen und verhältnismäßig zur Informationskategorie.
Dauerhaftigkeit der Verpflichtung - die Vertraulichkeitspflicht bindet Mitarbeitende und Auftragnehmer während der Zusammenarbeit und für den vertraglich vereinbarten Zeitraum nach deren Ende.

Incident Management

Den Prozess zur Reaktion auf Vorfälle im Zusammenhang mit vertraulichen Informationen stützen wir auf die interne Richtlinie zum Schutz vertraulicher Informationen, die ein formalisiertes System zum Schutz von Geschäftsgeheimnissen (SOT) definiert:

Die benannte Verantwortliche Person (von der Geschäftsführung berufen) prüft gemeinsam mit der Führungsebene die Meldung, ihre Art und ihren Umfang.
Klassifizierung des Risikoniveaus nach einer Matrix: die Informationskategorie (Basis / Beschränkt) gegenüber dem Ausmaß des Lecks (klein / mittel / groß) ergibt ein niedriges / mittleres / hohes Niveau.
Maßnahmen im Verhältnis zum Risikoniveau - von der Absicherung der Folgen und der Änderung technischer/organisatorischer Maßnahmen über die Anordnung, den Verstoß zu unterlassen, und zusätzliche Schulungen bis hin zu rechtlichen Schritten.
Incident-Response-Bericht sowie ein Incident-Log sorgen für eine Audit-Spur, eine Ursachenanalyse (Root Cause) und Präventionsempfehlungen.
Bei einem Vorfall, der Kundendaten betrifft, informieren wir den Kunden ohne unangemessene Verzögerung (grundsätzlich innerhalb von 24-48 Stunden nach Bestätigung des Vorfalls) und übermitteln Umfang, Art und eine vorläufige Risikobewertung, damit der Kunde als Verantwortlicher seine eigenen Meldefristen einhalten kann (u. a. die 72 Stunden gemäß Art. 33 DSGVO). Die verbindliche Frist und das Format der Benachrichtigung legt das DPA/SLA fest.

Business Continuity

Das Remote-first- und Cloud-first-Modell erhöht die operative Resilienz (kein einzelner physischer Ausfallpunkt eines Büros).
Artefakte und Dokumentation werden versioniert und in sicheren Cloud-Umgebungen kopiert.
Wir verlassen uns auf die Hochverfügbarkeits- und Backup-Mechanismen der Cloud-Plattformen und von Synerise.

Bereitschaft für Sicherheitsfragebögen

Persooa ist darauf vorbereitet, die Lieferantenbewertung und das Security Review auf Kundenseite zu unterstützen:

Ausfüllen von Sicherheitsfragebögen (z. B. SIG, CAIQ, eigene Fragebögen des Kunden),
Unterzeichnung von DPA, NDA und relevanten Sicherheitsklauseln,
Teilnahme an der Lieferanten-Due-Diligence.

Dokumenteneigentümer: Geschäftsführung von Persooa / für die Sicherheit verantwortliche Person. Review: jährlich. Version: 2026.1. Dieses Dokument beschreibt operative Praktiken; detaillierte und verbindliche Verpflichtungen regeln die Verträge mit den Kunden (einschließlich DPA und SLA).