Datensicherheit / Data Security
Datenschutz als Konstruktionsprinzip. / Data protection as a core engineering principle.
Zuletzt aktualisiert / Last updated: 13-August-2026Unsere Verpflichtung
Wir halten die EU-Datenschutz-Grundverordnung (DSGVO) (Regulation EU 2016/679), die UK GDPR und den Data Protection Act 2018, das Datenschutzgesetz der VAE (Federal Decree-Law No. 45 of 2021) sowie den indischen Digital Personal Data Protection Act 2023 ein. Wir verstehen Datenschutz nicht als reine Checklistenübung, sondern als grundlegendes Prinzip dafür, wie wir KI-Systeme entwickeln, bereitstellen und betreiben.
Rollen: Verantwortlicher vs. Auftragsverarbeiter
Wenn Sie mentitech.com besuchen oder uns direkt kontaktieren, handeln wir als Verantwortlicher für Ihre personenbezogenen Daten. Wenn wir KI-Systeme bereitstellen und Daten im Auftrag unserer Kunden verarbeiten – zum Beispiel Bürgerbeschwerdedaten für einen staatlichen Kunden oder Bewertungsdaten von Studierenden für eine Bildungseinrichtung – handeln wir als Auftragsverarbeiter, und unser Kunde bleibt der Verantwortliche. In beiden Fällen wenden wir strenge Schutzmaßnahmen und vertragliche Sicherungen an.
Auftragsverarbeitungsvertrag (DPA)
Jede Kundenbeziehung, die personenbezogene Daten umfasst, unterliegt einem Auftragsverarbeitungsvertrag, der Verantwortlichkeiten und Schutzmaßnahmen klar definiert. Jeder DPA umfasst:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und personenbezogener Daten
- Rechte und Pflichten des Verantwortlichen
- Technische und organisatorische Sicherheitsmaßnahmen
- Bedingungen für die Einbindung von Unterauftragsverarbeitern
- Zusammenarbeit bei Anfragen betroffener Personen
- Verfahren zur Meldung von Datenschutzverletzungen
- Rückgabe und Löschung der Daten nach Vertragsende
Um eine DPA-Vorlage anzufordern, kontaktieren Sie uns unter legal@mentitech.com.
Unterauftragsverarbeiter
Wir setzen eine begrenzte Anzahl vertrauenswürdiger Unterauftragsverarbeiter ein, um unsere Dienste zu erbringen. Unser primärer Infrastruktur-Unterauftragsverarbeiter ist Amazon Web Services, Inc. (AWS) – Cloud-Hosting und -Speicherung mit Rechenzentren in mehreren Regionen. AWS ist DSGVO-konform und bietet Standardvertragsklauseln (SCCs) für internationale Übermittlungen. Eine vollständige und aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage erhältlich. Kunden werden vorab über jede Änderung unserer Liste der Unterauftragsverarbeiter informiert und haben ein Widerspruchsrecht.
Internationale Datenübermittlungen
Sofern personenbezogene Daten außerhalb der Ursprungsjurisdiktion übermittelt werden, stützen wir uns auf zugelassene Übermittlungsmechanismen, darunter Standardvertragsklauseln (SCCs), das UK International Data Transfer Agreement (IDTA), Angemessenheitsbeschlüsse sowie ergänzende Maßnahmen im Einklang mit dem Schrems-II-Urteil.
- EU — Frankfurt
- EU — Irland
*Optionen zur Datenlokalisierung sind je nach Kundenanforderung verfügbar.*
Rechte betroffener Personen
Wenn Mentitech der Verantwortliche ist
- Auskunft
- Berichtigung
- Löschung
- Einschränkung
- Datenübertragbarkeit
- Widerspruch
- Widerruf der Einwilligung
- Beschwerde einlegen
Wenn Mentitech der Auftragsverarbeiter ist
Wir leiten Anfragen betroffener Personen unverzüglich an den jeweiligen Verantwortlichen weiter und leisten jede angemessene Unterstützung, um diese Anfragen innerhalb der erforderlichen Fristen zu erfüllen.
Technische & Sicherheitsmaßnahmen
Wir setzen einen mehrschichtigen Verteidigungsansatz (Defence-in-Depth) über Infrastruktur, Datenverarbeitung, Zugriffsverwaltung, Betrieb und KI-spezifische Kontrollen hinweg um, um die Vertraulichkeit, Integrität und Verfügbarkeit aller von uns verarbeiteten Daten sicherzustellen.
Infrastruktur
- AWS-Hosting mit ISO 27001- und SOC 2-Zertifizierungen
- Netzwerksegmentierung und Firewalls
- Redundanz über mehrere Regionen und automatisierte Backups
Datenschutz
- TLS 1.2+-Verschlüsselung bei der Übertragung
- AES-256-Verschlüsselung im Ruhezustand
- Strenge Verfahren zur Schlüsselverwaltung
Zugriffskontrolle
- Rollenbasierte Zugriffskontrolle (RBAC)
- Multi-Faktor-Authentifizierung (MFA)
- Umfassende Audit-Protokollierung
Betrieb
- Regelmäßige Penetrationstests
- Sicherheitsbewertungen von Anbietern
- Dokumentierter Notfallplan zur Reaktion auf Vorfälle
- Verpflichtende Sicherheitsschulungen für Mitarbeitende
- Interne Governance der Informationssicherheit unter Leitung eines ISACA-zertifizierten CISO
KI-spezifisch
- Kein Training mit Kundendaten ohne ausdrückliche Einwilligung
- Zugriffskontrollierte Modellausgaben
- Option für isolierte, mandantenspezifische Infrastruktur
Meldung von Datenschutzverletzungen
Als Verantwortlicher
Wir benachrichtigen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden, nachdem uns eine meldepflichtige Datenschutzverletzung bekannt geworden ist, wie es Art. 33 DSGVO vorschreibt. Sofern die Verletzung ein hohes Risiko für Einzelpersonen darstellt, benachrichtigen wir die betroffenen Personen unverzüglich.
Als Auftragsverarbeiter
Wir benachrichtigen den Verantwortlichen innerhalb von 24 Stunden nach Feststellung einer Verletzung des Schutzes personenbezogener Daten und stellen alle erforderlichen Informationen bereit, um den Verantwortlichen bei der Erfüllung seiner eigenen Meldepflichten zu unterstützen.
Kontakt zum Datenschutz
Für alle Datenschutzanfragen, DPA-Anfragen oder zur Ausübung Ihrer Rechte als betroffene Person kontaktieren Sie uns unter:
Mentitech EU Inc. i.Gr., c/o Unger Steuerberatung
Fasanenweg 1, 82061 Neuried
Deutschland
Aktualisierungen
Diese Seite wird regelmäßig überprüft, um Änderungen unserer Datenverarbeitungspraktiken, der geltenden Gesetzgebung und der aufsichtsbehördlichen Vorgaben abzubilden. Das nachstehende Datum „Zuletzt aktualisiert" gibt die jüngste Überarbeitung wieder. Wesentliche Aktualisierungen werden Kunden mit aktiven Beauftragungen direkt mitgeteilt.
Zuletzt aktualisiert: 13-August-2026
Our Commitment
We comply with the EU General Data Protection Regulation (GDPR) (Regulation EU 2016/679), the UK GDPR and Data Protection Act 2018, the UAE Personal Data Protection Law (Federal Decree-Law No. 45 of 2021), and India\'s Digital Personal Data Protection Act 2023. We treat data protection not as a checkbox exercise but as a foundational principle of how we build, deploy, and operate AI systems.
Roles: Controller vs Processor
When you visit mentitech.com or contact us directly, we act as the Data Controller of your personal data. When we deliver AI systems and process data on behalf of our clients — for example, citizen grievance data for a government client, or student evaluation data for an education institution — we act as the Data Processor, and our client remains the Data Controller. In both cases, we apply strict safeguards and contractual protections.
Data Processing Agreement (DPA)
Every client engagement involving personal data is governed by a Data Processing Agreement that clearly defines responsibilities and safeguards. Each DPA covers:
- Subject matter, duration, nature, and purpose of processing
- Categories of data subjects and personal data
- Rights and obligations of the Controller
- Technical and organisational security measures
- Sub-processor engagement conditions
- Cooperation on data subject requests
- Breach notification procedures
- Data return and deletion upon termination
To request a DPA template, contact us at legal@mentitech.com.
Sub-Processors
We use a limited number of trusted sub-processors to deliver our services. Our primary infrastructure sub-processor is Amazon Web Services, Inc. (AWS) — cloud hosting and storage, with data centres in multiple regions. AWS is GDPR-compliant and offers Standard Contractual Clauses (SCCs) for international transfers. A full and current list of sub-processors is available on request. Clients are notified in advance of any changes to our sub-processor list and have the right to object.
International Data Transfers
Where personal data is transferred outside the originating jurisdiction, we rely on approved transfer mechanisms including Standard Contractual Clauses (SCCs), the UK International Data Transfer Agreement (IDTA), adequacy decisions, and supplementary measures aligned with the Schrems II ruling.
- EU — Frankfurt
- EU — Ireland
*Data residency options available per client requirement.*
Data Subject Rights
When Mentitech is the Controller
- Access
- Rectification
- Erasure
- Restriction
- Portability
- Objection
- Withdraw Consent
- Lodge Complaint
When Mentitech is the Processor
We promptly forward data subject requests to the relevant Controller and provide all reasonable assistance to fulfil those requests within the required timeframes.
Technical & Security Measures
We implement defence-in-depth across infrastructure, data handling, access management, operations, and AI-specific controls to ensure the confidentiality, integrity, and availability of all data we process.
Infrastructure
- AWS hosting with ISO 27001 and SOC 2 certifications
- Network segmentation and firewalls
- Multi-region redundancy and automated backups
Data Protection
- TLS 1.2+ encryption in transit
- AES-256 encryption at rest
- Strict key management practices
Access Control
- Role-based access control (RBAC)
- Multi-factor authentication (MFA)
- Comprehensive audit logging
Operational
- Regular penetration testing
- Vendor security assessments
- Documented incident response plan
- Mandatory employee security training
- Internal information security governance led by an ISACA-certified CISO
AI-Specific
- No training on client data without explicit consent
- Access-controlled model outputs
- Isolated tenant infrastructure option
Data Breach Notification
As Controller
We notify the relevant supervisory authority within 72 hours of becoming aware of a qualifying breach, as required under GDPR Article 33. Where the breach poses a high risk to individuals, we notify affected data subjects without undue delay.
As Processor
We notify the Controller within 24 hours of detecting a personal data breach and provide all necessary information to assist the Controller in meeting their own notification obligations.
Data Protection Contact
For any data protection enquiries, DPA requests, or to exercise your data subject rights, contact us at:
Mentitech EU Inc. i.Gr., c/o Unger Steuerberatung
Fasanenweg 1, 82061 Neuried
Germany
Updates
This page is reviewed regularly to reflect changes in our data processing practices, applicable legislation, and regulatory guidance. The \"Last updated\" date below reflects the most recent revision. Material updates are communicated directly to clients with active engagements.
Last updated: 13-August-2026