Dokumentation · Trust Center

Sicherheit & Trust Center

Wie wir Informationssicherheit, Zugriffskontrolle und Datenschutz organisieren und welche Nachweise Sie für Ihre Prüfung bekommen.

Plattform live erleben →Termin buchen (öffnet in neuem Tab)
BaFin
Xaver Asset Management GmbH, beaufsichtigtes Wertpapierinstitut (WpIG), seit 2025
ISO 27001
Xaver Group zertifiziert, seit 2024
DSGVO
Rollen vertraglich festgelegt
Trust Center
Nachweise, Kontrollen, Subprozessoren live
Trust Center · betrieben mit Vanta

Nachweise live, nicht als PDF.

Unser Trust Center zeigt den Stand unserer Informationssicherheit fortlaufend. Dort finden Sie:

  • ISO-27001-Zertifikat der Xaver Group und der Compliance-Status
  • Richtlinien zu Sicherheit, Personal, Lieferanten, Datenschutz und Notfallmanagement
  • Kontrollen mit laufendem Monitoring, nach Bereich gegliedert
  • Subprozessoren mit Einsatzzweck und Region
  • Dokumente im Detail per Zugangsanfrage, direkt im Trust Center
Trust Center öffnen
ISO 27001

Xaver Group zertifiziert · seit 2024

Zertifikat und Prüfnachweise finden Sie im Trust Center, ebenso Hosting und Subprozessoren mit Stand.

Architektur

Architektur: wo Daten liegen und wohin sie fließen

  • Partner-Systeme an Xaver-Plattform: Stammdaten. Xaver-Plattform an Partner-Systeme: Dokumente, Audit-Trail.
  • Xaver-Plattform an Depot- und Investment-Ebene: Geeignetheit, Depoteröffnung. Depot- und Investment-Ebene an Xaver-Plattform: Dokumente.
  • Xaver-Plattform an KI-Ebene: Gespräch. KI-Ebene an Xaver-Plattform: Angaben, Übergabe. Xaver-Plattform ↔ KI-Ebene: Unsere KI-Gesprächsebene (AIC) führt das Gespräch und stellt sicher, dass das Sprachmodell keine Empfehlung selbst trifft: Produkt- und Portfolioempfehlungen werden nach festen Regeln aus der Geeignetheitsprüfung nach MiFID II berechnet, jede Empfehlung ist nachvollziehbar und auditierbar.
  • Alle Verbindungen: verschlüsselt bei der Übertragung und im ruhenden Zustand.
Blaue Verbindung
Alle Datenflüsse: verschlüsselt in Transit und at Rest.
Teal-Verbindung
KI-Ebene: Der KI-Berater begleitet und erklärt; Empfehlungen werden nach festen Regeln berechnet. Der Sprachassistent lädt erst nach Einwilligung.
Zonen
Hosting und Subprozessoren mit Einsatzzweck und Region: trust.xaver.com, Stand 16. Oktober 2026. Maßgeblich ist das Trust Center.

Die Xaver Asset Management GmbH ist ein reguliertes Wertpapierinstitut (WpIG), seit 2025. Hier sehen Sie, wie wir Informationssicherheit, Zugriffskontrolle und Datenschutz organisieren und welche Nachweise Sie für Ihre Prüfung von uns bekommen.

Hosting und Unterauftragsverarbeiter finden Sie im Trust Center. Weitere Angaben, die Sie für Ihre Prüfung brauchen, stellen wir Ihnen auf Anfrage bereit.

Zuletzt aktualisiert: 26. Oktober 2026

Posture

Sechs Bereiche, offen dargelegt

Regulatorischer Rahmen

Die Xaver Asset Management GmbH ist seit 2025 ein von der BaFin beaufsichtigtes Wertpapierinstitut (WpIG). Die regulierten Tätigkeiten werden entsprechend beaufsichtigt; die dafür nötigen Organisations-, Kontroll- und Dokumentationspflichten sind Teil unseres laufenden Betriebs, nicht ein Projekt daneben.

  • Welche regulatorische Pflicht bei wem liegt, hängt davon ab, wer berät, wer vermittelt und wer Produktgeber ist. Das legen wir mit Ihnen vertraglich fest.
  • Xaver übernimmt nicht pauschal die Regulatorik des Partners. Jede Pflicht wird einzeln zugeordnet.

Informationssicherheits-Management

Xaver Group ist nach ISO 27001 zertifiziert. Das Zertifikat und die Prüfnachweise sind im Trust Center verfügbar und werden im Prüfprozess bereitgestellt.

  • Sicherheitsrichtlinien mit benannten Verantwortlichen; Regeln gelten für alle Mitarbeitenden, nicht nur für die Technik.
  • Risiken werden erfasst, bewertet und mit Maßnahmen hinterlegt; die Betrachtung wird regelmäßig überprüft.
  • Eingesetzte Dienstleister werden ausgewählt, vertraglich verpflichtet und überprüft.

Verschlüsselung

Daten werden bei der Übertragung verschlüsselt und im ruhenden Zustand verschlüsselt gespeichert. Verfahren, Schlüsselverwaltung und Konfiguration legen wir Ihnen in der Prüfung offen.

Zugriffskontrolle

Zugriffe folgen dem Prinzip der geringsten Rechte: Jede Person und jeder technische Zugang erhält genau die Rechte, die für die jeweilige Aufgabe nötig sind, und nicht mehr.

  • Rechte hängen an Rollen, nicht an Einzelfallentscheidungen; Änderungen sind nachvollziehbar.
  • Keine geteilten Anmeldedaten; administrative Zugänge sind besonders geschützt und werden gesondert protokolliert.
  • Test- und Produktivumgebungen sind getrennt; in Demonstrations- und Schulungsumgebungen arbeiten wir mit Testdaten, nicht mit echten Kundendaten.
  • Daten verschiedener Partner sind voneinander getrennt; ein Zugang eines Mandanten reicht nicht in einen anderen.

Datenschutz

Wir verarbeiten personenbezogene Daten nach der Datenschutz-Grundverordnung und beschränken die Verarbeitung auf das, was der jeweilige Zweck erfordert. Wer Verantwortlicher ist und wer Auftragsverarbeiter, hängt vom Modell der Zusammenarbeit ab. Wir klären das zu Beginn gemeinsam und halten es im Vertrag fest.

  • Ein Verzeichnis der Verarbeitungstätigkeiten sowie die technischen und organisatorischen Maßnahmen erhalten Sie in der Prüfung.

Hosting und Subprozessoren

Die eingesetzten Subprozessoren sind im Trust Center mit Einsatzzweck und Region ausgewiesen; das Schaubild oben nennt die Hosting-Partner. Maßgeblich ist immer der aktuelle Stand im Trust Center. Weitere Details für Ihre Prüfung erhalten Sie auf Anfrage.

Unterlagen für Ihre Prüfung

Für Ihre Sicherheits-, Auslagerungs- oder Einkaufsprüfung stellen wir Ihnen auf Anfrage bereit:

  • Beantwortung Ihres Sicherheitsfragebogens im von Ihnen genutzten Format.
  • Verzeichnis der Verarbeitungstätigkeiten sowie technische und organisatorische Maßnahmen.
  • Angaben zu Hosting und Subprozessoren, vollständig und mit Stand.
  • Auskunft zu unserem Lizenzstatus und zur regulatorischen Rollenverteilung in Ihrem Vorhaben.
Zum Trust CenterSicherheitskontakt

Sicherheitsrelevante Beobachtungen, Schwachstellen und Verdachtsfälle melden Sie bitte an security@xaver.com. Wir bestätigen den Eingang und melden uns mit einer Einschätzung zurück.

Weiter im Thema
Ein langsam drehender, entsättigter Globus mit Reliefküsten, einzelnen Knotenpunkten und feinen Verbindungslinien.

Ihren Use Case gemeinsam durchgehen.

  • Wir zeigen die Module, die bei Ihnen relevant werden
  • Mit Max Bachem, Gründer & CEO
  • Unverbindlich, ohne Vorbereitung
Termin buchen (öffnet in neuem Tab)Plattform live erleben →
Lieber erst eine Frage stellen?