Datenschutz und Vertrauen

Zertifizierungen

Qualität (ISO 9001)

Die Aufgabe von EcoVadis besteht darin, „alle Unternehmen auf dem Weg in eine nachhaltige Welt zu begleiten.“ Dabei verfolgt EcoVadis vier Kernziele:

Bereitstellung unabhängiger, vertrauenswürdiger und umsetzbarer Nachhaltigkeitsbewertungen und -einblicke durch eine hervorragende Methodik.
Die größtmögliche Anzahl von Unternehmen in die Lage versetzen, ihre Geschäftspraktiken kontinuierlich zu verbessern und zur Schaffung einer regenerativen und gerechten Ökonomie beizutragen.
Schaffung eines integrativen Lernumfelds für unsere Mitarbeiter*innen, das sinnvolle Arbeit bietet und künftige Generationen von Nachhaltigkeitsexpert*innen stärkt.
Förderung des kollektiven Handelns innerhalb unseres Ökosystems, um den Übergang zu einer nachhaltigen Welt zu beschleunigen.

EcoVadis hat ein Qualitätsmanagementsystem (QMS) entwickelt, das nach ISO 9001 zertifiziert ist (siehe Zertifikat). Wir bemühen uns aktiv um eine ständige Verbesserung der Qualität. Dies tun wir mithilfe eines Prozessmanagementsystems, das es allen Mitarbeitenden ermöglicht, ihre Aufgaben in einem sicheren und anregenden Arbeitsumfeld korrekt zu erfüllen. Unterstützt wird es durch unsere maßgeschneiderte und selbst entwickelte IT-Plattform, die die Mitarbeiter*innen durch den gesamten Prozess führt.

Wir bemühen uns ständig um eine kontinuierliche Verbesserung der Prozesse und lassen uns dabei von Fachgremien beraten, beispielsweise von unserem Methodenausschuss.

Schulungsprogramm für Mitarbeiter*innen

Schulungsprogramme über Qualitäts- und Informationssicherheit für alle neuen Mitarbeitenden während der Einführungsphase mit Wissenstest und festgelegten Erfolgsquoten zur Überprüfung der Effektivität sowie obligatorische jährliche Auffrischungsschulungen für alle Mitarbeitenden mit anschließenden Wissenstests.

Korrektur- und Präventivmaßnahmen

Kontinuierliche Verbesserung mittels der Identifizierung von Verbesserungsbereichen, um Nichtkonformitäten oder ihr erneutes Auftreten zu verhindern. Ein Beispiel dafür ist die Verwendung des Qualitätstools zur Erkennung von Konformitätsabweichungen und zur Bereitstellung von Feedback im Rahmen des Bewertungsprozesses.

Beschwerden von Kund*innen

Beschwerden seitens Kunden oder Lieferanten sowie interne Probleme werden über eine Plattform zur Verwaltung von Vorfällen gemeldet, aufgezeichnet und verwaltet. Alle Vorfälle werden regelmäßig von zuständiger Seite überprüft und innerhalb eines bestimmten Zeitrahmens behoben.

Internes Audit

Das interne Auditprogramm erstreckt sich über einen Zeitraum von drei Jahren, wobei die Informationssicherheit zweimal pro Jahr und alle internen Prozesse mindestens einmal pro Jahr einem Qualitätsaudit unterzogen werden. Die Auditergebnisse werden im Rahmen unserer Management-Review-Meetings überprüft und besprochen.

Informationssicherheit (ISO 27001)

EcoVadis bietet einen ganzheitlichen Dienst zur Nachhaltigkeitsbewertung von Unternehmen. Dieser wird über eine globale cloudbasierte SaaS-Plattform bereitgestellt, die in Microsoft Azure gehostet wird – einem der vertrauenswürdigsten Cloud-Hosting-Anbieter.

Wir sind bestrebt, ein Höchstmaß an Informationssicherheit zu gewährleisten und uns ständig zu verbessern, um die Daten aller Beteiligten in einem sich ständig wandelnden Umfeld von Bedrohungen der Informationssicherheit zu schützen. Aus diesem Grund hat EcoVadis ein Managementsystem für Informationssicherheit (Information Security Management System, ISMS) eingerichtet, das regelmäßig durch externe Audits auf Einhaltung der Norm ISO/IEC 27001 geprüft wird (Siehedas Zertifikat undErklärung zur Anwendbarkeit).

Unser ISMS ermöglicht es uns, die Informationssicherheit in unseren Geschäftsprozessen und Diensten systematisch zu betreiben und aufrechtzuerhalten und die notwendigen Sicherheitsmaßnahmen auf der Grundlage unserer Risikobewertung zu bestimmen und anzuwenden.

Leitlinien der Informationssicherheit

Unsere Informationssicherheitsrichtlinien werden regelmäßig überprüft und aktualisiert, um sicherzustellen, dass sie aktuell und korrekt sind und kontinuierlich den geltenden Compliance-Anforderungen und branchenüblichen bewährten Verfahren entsprechen. Wir verfügen über ein engagiertes, internes Team, das für die Entwicklung, Aufrechterhaltung und Überwachung der Informationssicherheit verantwortlich ist. In unserer Organisation werden weltweit Prioritäten festgelegt, um eine einheitliche Vision für den Schutz der Vermögenswerte des Unternehmens zu entwickeln.

Asset-Management und Mietverhältnisse

Wir führen eine genaue und aktuelle Inventaraufstellung aller dienstleistungsbezogenen Vermögenswerte. Informationen werden auf der Grundlage rechtlicher Anforderungen, ihres Werts, ihrer Kritikalität und ihrer Sensibilität gegenüber unbefugter Offenlegung oder Änderung formell klassifiziert. Durch die Nutzung von Azure als Multi-Tenant-Dienst setzen wir eine logische Trennung durch, um die vollständige Isolierung der Daten zwischen Kund*innen sicherzustellen.

Risikomanagement von Drittanbietern

Anforderungen an die Informationssicherheit werden für Lieferanten festgelegt, die auf IT-Infrastrukturkomponenten zugreifen, diese verarbeiten, speichern, kommunizieren oder bereitstellen können. Wir führen regelmäßige Cybersicherheits- und Datensicherheitsrisikobewertungen von Lieferanten durch, die Zugriff auf unser Netzwerk oder sensible Daten haben. Definierte Folgemaßnahmen werden formell nachverfolgt und umgesetzt.

Sicherheitsoperationen und Reaktion auf Vorfälle

Ein rund um die Uhr geöffnetes Security Operations Center (SOC) sorgt fortlaufend für die Überwachung und den Schutz von Systemen und Daten. Wir haben robuste Maßnahmen ergriffen, um einen konsistenten und effektiven Ansatz zur Bewältigung von Informationssicherheitsvorfällen zu gewährleisten. Unser Verfahren für das Management von Sicherheitsvorfällen umfasst die Aufrechterhaltung schriftlicher Verfahren, die Ergreifen aller angemessenen Anstrengungen zur Minderung der Folgen sowie die Benachrichtigung unserer Kund*innen.

Fortführen der Geschäfte und Notfallwiederherstellung (Business Continuity and Disaster Recovery – BCP)

Wir stellen sicher, dass Informationsverarbeitungseinrichtungen mit ausreichender Redundanz implementiert werden, um die Verfügbarkeitsanforderungen zu erfüllen. Die Serviceleistung, Verfügbarkeit und die tatsächliche Nutzererfahrung werden kontinuierlich überwacht (bitte beachten Sie den Verfügbarkeitsbericht unserer Plattform, in dem die Serviceleistung, Verfügbarkeit und die tatsächliche Nutzererfahrung ständig überwacht werden). Backups werden regelmäßig und in Übereinstimmung mit der festgelegten Backup-Richtlinie durchgeführt und getestet.

Sensibilisierung, Bildung und Schulung

Das Personal unterliegt einer obligatorischen, kontinuierlichen Sensibilisierung, Schulung und Schulung im Bereich Informationssicherheit. Dieses Programm ist so konzipiert, dass es sich an den IT-Sicherheitsstandards von EcoVadis orientiert, die Mitarbeitenden über sichere Betriebspraktiken für IT-Systeme informiert und das Verständnis der geltenden Sicherheitsbedrohungen gewährleistet. Simulierte Phishing-Kampagnen werden häufig durchgeführt, um das Bewusstsein für Cybersicherheit zu schärfen und die Reaktionsprotokolle des Personals zu testen.

Vor der Beschäftigung

Gemäß den gesetzlichen und behördlichen Vorschriften werden während des Auswahlverfahrens für alle Kandidat*innen systematische Referenzprüfungen durchgeführt. Darüber hinaus wird bei allen Neueinstellungen eine Überprüfung auf offiziell erfasste Straftaten durchgeführt, sofern dies gesetzlich zulässig ist, z. B. für Personal mit Sitz in den USA.

Zugriffskontrolle

Die Zugriffsrechte und -privilegien zu den Informationssystemen und Netzwerk-Domains von EcoVadis werden auf der Grundlage eines rollenbasierten Zugriffskontrollmodells (RBAC) vergeben, wobei die Prinzipien „Need-to-know“ und „Least Privilege“ strikt eingehalten werden.

Verwaltung des Kund*innenzugriffs

Kund*innen behalten die Kontrolle über ihre Benutzerumgebung. Der Administrator der Kundenplattform ist befugt, Benutzerkonten zu verwalten, einschließlich der Erstellung und Deaktivierung. Der Zugriff auf die Plattform wird in erster Linie durch Authentifizierung mit Benutzername und Passwort gesichert, wobei die Single-Sign-On-(SSO)-Funktion für anfordernde Unternehmen angeboten wird (für weitere Informationen wenden Sie sich bitte an Ihren üblichen geschäftlichen Ansprechpartner).

Kryptografie

Alle Daten werden sowohl im Ruhezustand als auch während der Übertragung durch branchenweit anerkannte Verschlüsselungsalgorithmen und -methoden geschützt. Geheimnisse werden gemäß den etablierten branchenüblichen bewährten Verfahren sicher gespeichert und verwaltet.

Betriebssicherheit

Veränderungsmanagement und Härtung

Änderungen, die sich auf die Organisation, Geschäftsprozesse, Informationsverarbeitungseinrichtungen und Systeme auswirken, werden formell kontrolliert. Wir halten uns an strenge Richtlinien zur Erhöhung der Sicherheit, darunter die Benchmarks des Center for Internet Security (CIS) für Betriebssysteme und die Härtungsleitfäden von Microsoft Azure für Cloud-Dienste.

Überwachung und Bedrohungsmanagement

Überwachungs- und Erkennungstechnologien werden implementiert, um Malware, Sicherheitslücken und andere sicherheitsrelevante Ereignisse in unserer gesamten Infrastruktur zu erkennen, zu verhindern und zu verwalten.

Kommunikationssicherheit

Der Netzzugang zu internen Diensten und Servern ist eingeschränkt und gesichert. Wir verwenden eine Web Application Firewall (WAF) – Details finden Sie hier und nutzen Sie Azure Front Door, ein Cloud Content Delivery Network (CDN), um eine hohe Leistung, Skalierbarkeit und eine sichere Benutzererfahrung zu gewährleisten.

Systemakquirierung , Entwicklung und Wartung.

Sicherheit ist durch die Einhaltung von Industriestandards in unseren SDLC integriert. Neue Entwicklungen unterliegen vor ihrer Einführung obligatorischen Test- und Validierungsprozessen. Entwicklungs-, Test- und Betriebsumgebungen sind voneinander getrennt.

Unsere Plattformen werden in Microsoft Azure-Rechenzentren in der EU gehostet. Nach einem Modell der geteilten Verantwortung in der Cloud, fallen die physischen Sicherheitskontrollen in den Verantwortungsbereich von Microsoft. Weitere Informationen zu den Kontrollen finden Sie hier.

Um die kontinuierliche Integrität und Belastbarkeit unserer Plattform zu gewährleisten, setzen wir ein vielschichtiges Sicherheitsprogramm ein. Unser Ansatz kombiniert automatisierte Echtzeitüberwachung mit tiefgreifenden manuellen Analysen in verschiedenen Sicherheitsbereichen. Diese tiefgreifende Verteidigungsstrategie umfasst:

Sicherheitstests

Anwendungssicherheitstests: Integration von Static Application Security Testing (SAST) für tiefgreifende Codeanalysen, Software Composition Analysis (SCA) zur Überwachung von Open-Source-Abhängigkeiten und Dynamic Application Security Testing (DAST) zur Bewertung der Anwendung im laufenden Zustand, zusätzlich zu den regelmäßigen manuellen und automatisierten Überprüfungen durch unsere Spezialisten.
Infrastrukturüberprüfungen: Wir verlassen uns auf unsere Cloud Security Posture Management-Lösungen (CSPM) sowie auf verschiedene Plattformen und Automatisierungen zum Scannen von Sicherheitslücken.
Sicherer Zugriff: Zusätzlich zu unseren Perimeterkontrollen, wie unserer Web Application Firewall (WAF), bietet unser SASE-Framework sichere, verschlüsselte Konnektivität für unsere Mitarbeitenden auf der ganzen Welt und stellt sicher, dass Sicherheitsrichtlinien am „Edge“, also in der Nähe des Benutzers, einheitlich angewendet werden.
Unabhängige Validierung: Zusätzlich zu internen Überprüfungen und unseren Zertifizierungen beauftragen wir renommierte Sicherheitsfirmen von Drittanbietern mit der Durchführung jährlicher Penetrationstests.

Ziele der Problembehebung

Wir priorisieren die Behebung von Sicherheitslücken auf der Grundlage ihres Schweregrads. Unsere strukturierten Sanierungsziele stellen sicher, dass kritische Risiken dringend angegangen werden:

Kritisch – 7 Tage
Hoch – 1 Monat
Mittel – 3 Monate
Niedrig – es ist kein bestimmtes Fälligkeitsdatum festgelegt

Obwohl wir uns bemühen, diese Zeitrahmen einzuhalten, können die endgültigen Sanierungspläne je nach Komplexität der Lösung und dem spezifischen Risikokontext angepasst werden.

Unabhängige Validierung

Darüber hinaus wird unser Engagement für Sicherheit durch unabhängige Prüfer und branchenübliche Bewertungsplattformen bestätigt:

ISO 27001: Wir verwenden diesen Standard als unsere Hauptreferenz für das Management der Informationssicherheit.
Standardisierte Bewertungen: Wir pflegen aktuelle Profile auf wichtigen Plattformen für Sicherheitsrisiken, darunter Cybervadis, CyberGRX und Whistic. Die Ergebnisse können auf Anfrage geteilt werden.
CSP-Zertifizierungen: Microsoft Azure-Zertifizierungen sind über das Service Trust Portal verfügbar

Leitlinien der Informationssicherheit

Unsere Informationssicherheitsrichtlinien werden regelmäßig überprüft und aktualisiert, um sicherzustellen, dass sie aktuell und korrekt sind und kontinuierlich den geltenden Compliance-Anforderungen und branchenüblichen bewährten Verfahren entsprechen. Wir verfügen über ein engagiertes, internes Team, das für die Entwicklung, Aufrechterhaltung und Überwachung der Informationssicherheit verantwortlich ist. In unserer Organisation werden weltweit Prioritäten festgelegt, um eine einheitliche Vision für den Schutz der Vermögenswerte des Unternehmens zu entwickeln.

Asset-Management und Mietverhältnisse

Wir führen eine genaue und aktuelle Inventaraufstellung aller dienstleistungsbezogenen Vermögenswerte. Informationen werden auf der Grundlage rechtlicher Anforderungen, ihres Werts, ihrer Kritikalität und ihrer Sensibilität gegenüber unbefugter Offenlegung oder Änderung formell klassifiziert. Durch die Nutzung von Azure als Multi-Tenant-Dienst setzen wir eine logische Trennung durch, um die vollständige Isolierung der Daten zwischen Kund*innen sicherzustellen.

Risikomanagement von Drittanbietern

Anforderungen an die Informationssicherheit werden für Lieferanten festgelegt, die auf IT-Infrastrukturkomponenten zugreifen, diese verarbeiten, speichern, kommunizieren oder bereitstellen können. Wir führen regelmäßige Cybersicherheits- und Datensicherheitsrisikobewertungen von Lieferanten durch, die Zugriff auf unser Netzwerk oder sensible Daten haben. Definierte Folgemaßnahmen werden formell nachverfolgt und umgesetzt.

Sicherheitsoperationen und Reaktion auf Vorfälle

Ein rund um die Uhr geöffnetes Security Operations Center (SOC) sorgt fortlaufend für die Überwachung und den Schutz von Systemen und Daten. Wir haben robuste Maßnahmen ergriffen, um einen konsistenten und effektiven Ansatz zur Bewältigung von Informationssicherheitsvorfällen zu gewährleisten. Unser Verfahren für das Management von Sicherheitsvorfällen umfasst die Aufrechterhaltung schriftlicher Verfahren, die Ergreifen aller angemessenen Anstrengungen zur Minderung der Folgen sowie die Benachrichtigung unserer Kund*innen.

Fortführen der Geschäfte und Notfallwiederherstellung (Business Continuity and Disaster Recovery – BCP)

Wir stellen sicher, dass Informationsverarbeitungseinrichtungen mit ausreichender Redundanz implementiert werden, um die Verfügbarkeitsanforderungen zu erfüllen. Die Serviceleistung, Verfügbarkeit und die tatsächliche Nutzererfahrung werden kontinuierlich überwacht (bitte beachten Sie den Verfügbarkeitsbericht unserer Plattform, in dem die Serviceleistung, Verfügbarkeit und die tatsächliche Nutzererfahrung ständig überwacht werden). Backups werden regelmäßig und in Übereinstimmung mit der festgelegten Backup-Richtlinie durchgeführt und getestet.

Sensibilisierung, Bildung und Schulung

Das Personal unterliegt einer obligatorischen, kontinuierlichen Sensibilisierung, Schulung und Schulung im Bereich Informationssicherheit. Dieses Programm ist so konzipiert, dass es sich an den IT-Sicherheitsstandards von EcoVadis orientiert, die Mitarbeitenden über sichere Betriebspraktiken für IT-Systeme informiert und das Verständnis der geltenden Sicherheitsbedrohungen gewährleistet. Simulierte Phishing-Kampagnen werden häufig durchgeführt, um das Bewusstsein für Cybersicherheit zu schärfen und die Reaktionsprotokolle des Personals zu testen.

Vor der Beschäftigung

Gemäß den gesetzlichen und behördlichen Vorschriften werden während des Auswahlverfahrens für alle Kandidat*innen systematische Referenzprüfungen durchgeführt. Darüber hinaus wird bei allen Neueinstellungen eine Überprüfung auf offiziell erfasste Straftaten durchgeführt, sofern dies gesetzlich zulässig ist, z. B. für Personal mit Sitz in den USA.

Zugriffskontrolle

Die Zugriffsrechte und -privilegien zu den Informationssystemen und Netzwerk-Domains von EcoVadis werden auf der Grundlage eines rollenbasierten Zugriffskontrollmodells (RBAC) vergeben, wobei die Prinzipien „Need-to-know“ und „Least Privilege“ strikt eingehalten werden.

Verwaltung des Kund*innenzugriffs

Kund*innen behalten die Kontrolle über ihre Benutzerumgebung. Der Administrator der Kundenplattform ist befugt, Benutzerkonten zu verwalten, einschließlich der Erstellung und Deaktivierung. Der Zugriff auf die Plattform wird in erster Linie durch Authentifizierung mit Benutzername und Passwort gesichert, wobei die Single-Sign-On-(SSO)-Funktion für anfordernde Unternehmen angeboten wird (für weitere Informationen wenden Sie sich bitte an Ihren üblichen geschäftlichen Ansprechpartner).

Kryptografie

Alle Daten werden sowohl im Ruhezustand als auch während der Übertragung durch branchenweit anerkannte Verschlüsselungsalgorithmen und -methoden geschützt. Geheimnisse werden gemäß den etablierten branchenüblichen bewährten Verfahren sicher gespeichert und verwaltet.

Betriebssicherheit

Veränderungsmanagement und Härtung

Änderungen, die sich auf die Organisation, Geschäftsprozesse, Informationsverarbeitungseinrichtungen und Systeme auswirken, werden formell kontrolliert. Wir halten uns an strenge Richtlinien zur Erhöhung der Sicherheit, darunter die Benchmarks des Center for Internet Security (CIS) für Betriebssysteme und die Härtungsleitfäden von Microsoft Azure für Cloud-Dienste.

Überwachung und Bedrohungsmanagement

Überwachungs- und Erkennungstechnologien werden implementiert, um Malware, Sicherheitslücken und andere sicherheitsrelevante Ereignisse in unserer gesamten Infrastruktur zu erkennen, zu verhindern und zu verwalten.

Kommunikationssicherheit

Der Netzzugang zu internen Diensten und Servern ist eingeschränkt und gesichert. Wir verwenden eine Web Application Firewall (WAF) – Details finden Sie hier und nutzen Sie Azure Front Door, ein Cloud Content Delivery Network (CDN), um eine hohe Leistung, Skalierbarkeit und eine sichere Benutzererfahrung zu gewährleisten.

Systemakquirierung , Entwicklung und Wartung.

Sicherheit ist durch die Einhaltung von Industriestandards in unseren SDLC integriert. Neue Entwicklungen unterliegen vor ihrer Einführung obligatorischen Test- und Validierungsprozessen. Entwicklungs-, Test- und Betriebsumgebungen sind voneinander getrennt.

Unsere Plattformen werden in Microsoft Azure-Rechenzentren in der EU gehostet. Nach einem Modell der geteilten Verantwortung in der Cloud, fallen die physischen Sicherheitskontrollen in den Verantwortungsbereich von Microsoft. Weitere Informationen zu den Kontrollen finden Sie hier.

Um die kontinuierliche Integrität und Belastbarkeit unserer Plattform zu gewährleisten, setzen wir ein vielschichtiges Sicherheitsprogramm ein. Unser Ansatz kombiniert automatisierte Echtzeitüberwachung mit tiefgreifenden manuellen Analysen in verschiedenen Sicherheitsbereichen. Diese tiefgreifende Verteidigungsstrategie umfasst:

Sicherheitstests

Anwendungssicherheitstests: Integration von Static Application Security Testing (SAST) für tiefgreifende Codeanalysen, Software Composition Analysis (SCA) zur Überwachung von Open-Source-Abhängigkeiten und Dynamic Application Security Testing (DAST) zur Bewertung der Anwendung im laufenden Zustand, zusätzlich zu den regelmäßigen manuellen und automatisierten Überprüfungen durch unsere Spezialisten.
Infrastrukturüberprüfungen: Wir verlassen uns auf unsere Cloud Security Posture Management-Lösungen (CSPM) sowie auf verschiedene Plattformen und Automatisierungen zum Scannen von Sicherheitslücken.
Sicherer Zugriff: Zusätzlich zu unseren Perimeterkontrollen, wie unserer Web Application Firewall (WAF), bietet unser SASE-Framework sichere, verschlüsselte Konnektivität für unsere Mitarbeitenden auf der ganzen Welt und stellt sicher, dass Sicherheitsrichtlinien am „Edge“, also in der Nähe des Benutzers, einheitlich angewendet werden.
Unabhängige Validierung: Zusätzlich zu internen Überprüfungen und unseren Zertifizierungen beauftragen wir renommierte Sicherheitsfirmen von Drittanbietern mit der Durchführung jährlicher Penetrationstests.

Ziele der Problembehebung

Wir priorisieren die Behebung von Sicherheitslücken auf der Grundlage ihres Schweregrads. Unsere strukturierten Sanierungsziele stellen sicher, dass kritische Risiken dringend angegangen werden:

Kritisch – 7 Tage
Hoch – 1 Monat
Mittel – 3 Monate
Niedrig – es ist kein bestimmtes Fälligkeitsdatum festgelegt

Obwohl wir uns bemühen, diese Zeitrahmen einzuhalten, können die endgültigen Sanierungspläne je nach Komplexität der Lösung und dem spezifischen Risikokontext angepasst werden.

Unabhängige Validierung

Darüber hinaus wird unser Engagement für Sicherheit durch unabhängige Prüfer und branchenübliche Bewertungsplattformen bestätigt:

ISO 27001: Wir verwenden diesen Standard als unsere Hauptreferenz für das Management der Informationssicherheit.
Standardisierte Bewertungen: Wir pflegen aktuelle Profile auf wichtigen Plattformen für Sicherheitsrisiken, darunter Cybervadis, CyberGRX und Whistic. Die Ergebnisse können auf Anfrage geteilt werden.
CSP-Zertifizierungen: Microsoft Azure-Zertifizierungen sind über das Service Trust Portal verfügbar

Die Datenschutz-Grundverordnung

EcoVadis ist der Ansicht, dass die DSGVO ein wichtiger Schritt zur Stärkung und Harmonisierung des Datenschutzes für die personenbezogenen Daten der EU-Bürger*innen ist. Als Datenverantwortlicher für die bereitgestellten Nachhaltigkeitsdienste verpflichtet sich Ecovadis, die DSGVO und, soweit anwendbar, die internationalen Datenschutzbestimmungen einzuhalten und bewährte Praktiken einzuführen.

EcoVadis ist ISO 27001-zertifiziert, nutzt diese Norm als Rahmen und integriert Aspekte des Schutzes personenbezogener Daten in sein Managementsystem. Wir verwenden den ergänzenden ISO 27701-Rahmen, um die Anforderungen der DSGVO und des Datenschutzes zu erfüllen. Unsere Datenschutzpraktiken und deren Einhaltung werden durch ein externes Audit bestätigt.

Für die Datenverarbeitung außerhalb des EWR haben wir mit unseren Tochtergesellschaften Standardvertragsklauseln (SCC) abgeschlossen.

Wir wählen unsere Dienstleister (Auftragsverarbeiter) stets sorgfältig aus. Für eine Zusammenarbeit von Auftragsverarbeitern mit uns verlangen wir den Abschluss von Datenschutzvereinbarungen und Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCR) im Falle der Verarbeitung außerhalb des EWR-Raums. Wir sind stets bestrebt, Mitgliedschaften bei Anbietern zu wählen, deren Daten auf Servern in Europa gehostet werden. Wir verwenden die folgenden Auftragsverarbeiter, um unseren Dienst anzubieten:

Juristische Person	Adresse	Zweck	Datenverarbeitung und Datenübermittlung	Zusätzliche Sicherheitsinformationen
ZenDesk Inc	1019 Market Street, San Francisco, CA 94103 USA	Hilfe-Center	Link	Link
SFDC SAS	SFDC France, 3 Avenue Octave Gréard, 75007 Paris, Frankreich	CRM und Kundenbetreuung	Link	Link
Microsoft France SAS	Microsoft France SAS, 37 Quai du Président Roosevelt, 92130 Issy-les-Moulineaux, Frankreich	Hosting der Plattform zur Nachhaltigkeitsbewertung	Link	Link
Google Cloud France	Google Cloud France, 8 Rue de Londres, 75009 Paris, Frankreich	Kundenkommunikation	Link	Link
Docebo S.p.A. Limited	Limited 6th floor, 48 Gracechurch Street, London, Vereinigtes Königreich	E-Learning-Plattform	Link	Link
Pendo.io Inc.	150 Fayetteville St #140027601 Raleigh NC, USA	Plattform-Analytik und Kundenumfragen	Link	Link
Productboard Inc.	612 Howard Street CA 94105 San Francisco CA, USA	Produktmanagement und Kundenumfragen	Link	Link
Surveymonkey Inc	910 Park Pl, Suite 300, San Mateo, CA 94403, USA	Kundenumfrage	Link	Link
Aircall SAS	11 Rue Saint Georges, 75009 Paris, Frankreich	Aufzeichnung von Anrufen	Link	Link
HubSpot France SAS	24 Rue Cambacérès, 75008 Paris, Frankreich	Marketing und Kund*innenkommunikation	Link	Link

Hubspot Inc	2 Canal Park, Cambridge, Massachusetts, 02141, Vereinigte Staaten	Marketing und Kund*innenkommunikation	Link	Link

Amazon Web Services Canada, Inc.	120 Bremner Blvd, 26th Floor, Toronto, Ontario, M5J 0A8, Kanada	Bereitstellung des ULULA-Dienstes (Plattform für Menschenrechts-Due Diligence), der in die Plattform zur Nachhaltigkeitsbewertung integriert ist	Link	Link

Wir stützen uns auf die Empfehlungen zu zusätzlichen Maßnahmen, die von der französischen Datenschutzbehörde CNIL und dem Europäischen Datenschutzausschuss zu den Möglichkeiten der Übermittlung von Daten in Länder außerhalb des EWR auf der Grundlage von SCCs (oder BCR) herausgegeben wurden.

Weitere Informationen finden Sie in unserer Datenschutzerklärung

Exportkontrolle und Einhaltung von Sanktionen

EcoVadis verpflichtet sich, alle für einen Betreiber von allgemeinen Online-Diensten geltenden Gesetze und Vorschriften (einschließlich, aber nicht Beschränkt auf die Gesetze in Frankreich und den Vereinigten Staaten) an seinen Betriebsstandorten einzuhalten.

Beschränkungen für das Reiseziel

Unter Berücksichtigung der allgemeinen Geschäftsrisiken sind Ecovadis-Produkte und -Dienstleistungen nicht für den Export, die Wiederausfuhr, den Transfer und/oder die Verwendung in den folgenden Ländern/Regionen verfügbar (Änderungen vorbehalten):

Regionen Krim, Donetsk und Luhansk
Kuba
Iran
Nordkorea
Syrien

Darüber hinaus unterliegen Transaktionen mit oder im Zusammenhang mit bestimmten Bestimmungsländern, die ein erhöhtes Exportkontroll- oder Sanktionsrisiko darstellen, besonderen Sorgfaltspflichten.

Einschränkungen für Endnutzer*innen

EcoVadis-Produkte und -Dienstleistungen sind nicht für juristische und natürliche Personen verfügbar, mit denen nach den anwendbaren Exportkontroll- und Sanktionsgesetzen keine Transaktionen durchgeführt werden dürfen, einschließlich derer, die auf den entsprechenden Listen der sanktionierten Parteien aufgeführt sind (z.B. Sanktionsliste der Europäischen Union, U.S. Specially Designated National (SDN)-Listen, OFAC, Sanktionen des Sicherheitsrates der Vereinten Nationen, lokale Listen der Länder, in denen EcoVadis vertreten ist).

Einschränkungen für die Endnutzung

Die EcoVadis-Dienste dürfen nicht für Zwecke verwendet werden, die nach den geltenden Ausfuhrgesetzen verboten sind, insbesondere nicht für die Entwicklung, Konstruktion, Herstellung oder Produktion von atomaren, chemischen oder biologischen Massenvernichtungswaffen.

Dokumente und Ressourcen

Allgemeine Geschäftsbedingungen

Allgemeine Geschäfts-bedingungen - US-Recht

Datenschutzer-
klärung

Bericht zur Plattform-
verfügbarkeit

Standardvertrags-
klauseln für anfordernde Unternehmen

Bericht zur Zugänglichkeitskonformität WCAG Edition

Standardvertragsklauseln für bewertete Unternehmen

Standardvertragsklauseln für Partner

ISO 27001:2022

ISO 9001:2015

Erklärung zur Anwendbarkeit

Ethikkodex

Verhaltenskodex für Lieferant*innen

EcoVadis Stellungnahme zu moderner Sklaverei

*Open source libraries or components related to any of the applicable services. EcoVadis solution sometimes includes, or depends upon, open source libraries. To comply with the license requirements of open source libraries and licensee’s attribution moral right, below there is a list of open-source software used to build our products – please be informed that all information here is provided “as is” and might be subject to a change by the lecensee:
License
AFL-2.1, Apache-2.0, BSD-2-Clause, BSD-3-Clause, CC-BY-4.0, ISC, JSON, LGPL-2.1*, LGPL-3.0*, Microsoft .NET, ASP NET MVC3 EULA, BlueOak-1.0.0, Bouncy Castle License, 0BSD, Aduna BSD License, BSD-4-Clause, CC-BY-3.0, CC-BY-4.0, CC-BY-SA-2.0 CC-BY-SA-3.0, CC-PDD, CCC0-1.0, JQuery, MPL-1.1, MulanPSL-2.0, OpenSSL, Python-2.0
Library License
MIT, MPL-2.0, MS-PL, PostgreSQL, WTFPL, Zlib

* Die Anwendung ist dynamisch mit der LGPL-Lizenz verknüpft, so dass der proprietäre Code geschützt bleiben kann.

Richtlinie zu Interessenkonflikten

Richtlinie zum professionellen Verhalten von Drittanbietern

Standard Contractual Clauses for RATED Companies as Importers

ESG Ratings Regulation

Chinese Standard Clauses for CHINESE RATED Companies as Exporters

Nutzung künstlicher Intelligenz

EcoVadis entwirft, implementiert und setzt KI-Lösungen verantwortungsvoll ein, wobei wir besonders auf Modellerklärbarkeit, Überwachung und die Einhaltung wichtiger Prinzipien vertrauenswürdiger KI achten.

Mit der Zunahme der generativen KI investieren wir in KI-Sicherheit und KI-Führung und stellen sicher, dass generative KI-Lösungen über entsprechende Sicherheiten verfügen.