Klippa — Klippa, Groningen (NL)
Your submission does not appear in the directory straight away. We look at the evidence and, if it holds, write a new assessment with a date and a record of the change. That separation is precisely what makes the entry worth something to your customers. It costs you nothing.
| Criterion | In the directory |
|---|---|
| Data processing agreement | Klippa bietet einen Auftragsverarbeitungsvertrag an und stellt ihn unter eigener Adresse bereit (klippa.com/en/data-processing-agreement/). Er benennt die eingesetzten Unterauftragnehmer namentlich — das ist ungewöhnlich offen und für die Prüfung der Verarbeitungskette der brauchbarste Teil. |
| Place of processing | Nicht abschließend geprüft. Der Anbieter sitzt in Groningen (Niederlande). Der Auftragsverarbeitungsvertrag nennt Amsterdam als Verarbeitungsort für die Azure-Infrastruktur: „We chose Amsterdam as our processing location to minimize latency for our users and make sure that the data center security is in compliance with Dutch laws and regulations.“ Für die übrigen Dienstleister — unter anderem Google und MongoDB — ist kein Ort genannt. |
| Training on customer data | Nicht geprüft. Keine Aussage dazu gefunden, ob hochgeladene Belege und Dokumente zum Training der Erkennungsmodelle verwendet werden. |
| Certifications | Die im Auftragsverarbeitungsvertrag genannten Normen gehören durchweg den Unterauftragnehmern, nicht Klippa: „Microsoft Azure … The cloud follows worldwide security standards SOC 1,2,3, ISO:27001,27017, 27018 and is PCI-DSS compliant“, „Google Vision is part of the Google Cloud and is ISO:27001, 27017, 27018-certified and SOC 1, 2, 3 compliant“, „MongoDB Inc. is ISO:27001-certified and SOC 2 compliant“. Eine eigene Zertifizierung von Klippa ist im Archiv nicht auffindbar. Bemerkenswert ist außerdem, dass der Vertragstext an mehreren Stellen von „Doxis“ spricht — offenbar ein anderer Produktname, aus dem der Text übernommen wurde. |
| Subprocessors | Der Auftragsverarbeitungsvertrag führt die Unterauftragnehmer namentlich und mit ihrer jeweiligen Aufgabe auf: Microsoft Azure für Rechenleistung und Speicherung, Google (G Suite und Google Vision als Teil der Texterkennung), MongoDB Inc. für Sicherungen, SendGrid Inc. für den E-Mail-Versand. Dass ausgerechnet die Texterkennung über Google Vision läuft, ist für Kunden mit Belegen voller personenbezogener Daten der wichtigste Punkt. |
Would you like to maintain the entry and be heard before changes? A correction with evidence does not require that — it is covered by the vendor programme.
The interface is available in English. Directory entries, the AI register we produce, the quarterly record and the contract annexes remain in German — they are the authoritative documents.
Deutsch · English