Sicherheit und Compliance
Für IT-, Sicherheits- und Rechtsprüfer. Zuletzt geprüft am 20. Oktober 2026.
Diese Seite beantwortet die Fragen, die eine Anbieterprüfung zuerst stellt. Sie ist eine Zusammenfassung: Maßgeblich sind die unten verlinkten Lizenzvereinbarungen und der Auftragsverarbeitungsvertrag (AVV).
Kurz gesagt: Die Standard-Apps von Virto für Microsoft 365 und Teams speichern Ihre Inhalte nicht; sie bleiben in Ihrem Microsoft 365-Mandanten. VirtoSoftware hat keinen eigenen SOC-2-Bericht und kein eigenes ISO/IEC-27001-Zertifikat und plant auch keine; verlangt Ihre Richtlinie sie, stellen wir die Apps in Ihrem eigenen Mandanten bereit. Wir füllen Ihren eigenen Sicherheitsfragebogen aus und senden Ihnen den AVV und unsere Sicherheitsrichtlinien auf Anfrage.
Wer wir sind
VirtoSoftware UAB, Ozo g. 12A, Penta Technopolis, LT-08200 Vilnius, Litauen. Wir entwickeln seit 2001 Apps für SharePoint und Microsoft 365. Als Unternehmen in der EU verarbeiten wir personenbezogene Daten nach der DSGVO. Die NATO führt uns unter dem NCAGE-Code 0273R.
Wo Ihre Daten liegen
| Produkt | Wo Ihre Inhalte liegen | Was VirtoSoftware betreibt |
|---|---|---|
| Virto-Apps für Microsoft 365 und Teams, etwa Virto Calendar App, Virto Kanban Board App, Virto Alerts & Reminder App und Virto Forms Designer App | In Ihrem Microsoft 365-Mandanten: SharePoint-Listen, Exchange-Kalender, Planner und die anderen Quellen, die Sie verbinden | Das App-Backend auf Microsoft Azure in den USA. Es verarbeitet Inhalte im Arbeitsspeicher, um sie der angemeldeten Person anzuzeigen, und schreibt sie nicht auf einen Datenträger. |
| Virto Shared Calendar | Auf Microsoft Azure, verwaltet von VirtoSoftware | Die App und ihren Speicher. Das ist das einzige Cloud-Produkt, das Ihre Kalenderdaten bei uns speichert. |
| On-Premises-Webparts für SharePoint Server | Auf Ihren eigenen Servern | Nichts: Das Produkt läuft in Ihrer Farm. |
Zugriff auf Microsoft 365. Die Apps rufen Microsoft Graph mit delegierten Berechtigungen auf: Jede Anfrage läuft mit den Rechten der angemeldeten Person, sodass eine Person nur sieht, was sie in Microsoft 365 ohnehin sehen kann. Ein Mandantenadministrator erteilt die Zustimmung einmal für die Organisation. Mitarbeitende von VirtoSoftware können Ihre Inhalte ohne Ihre Anmeldedaten nicht öffnen.
Bereitstellung in Ihrem Mandanten. Wenn Ihre Richtlinie keine Drittanbieter-SaaS erlaubt oder von Anbietern SOC 2 oder ISO/IEC 27001 verlangt, betreibt ein Enterprise-Vertrag die Apps in Ihrem eigenen Azure-Abonnement und Microsoft 365-Mandanten, unter Ihren eigenen Sicherheitskontrollen und Zertifizierungen. Siehe Virto-Apps in Ihrem eigenen Azure bereitstellen.
Zertifizierungen und Tests
| Frage | Antwort |
|---|---|
| SOC-2-Bericht für VirtoSoftware | Wir haben keinen und planen keinen. Verlangt Ihre Richtlinie ihn, nutzen Sie die Bereitstellung in Ihrem Mandanten (siehe oben). |
| ISO/IEC-27001-Zertifikat für VirtoSoftware | Wir haben keines und planen keines. Unsere Richtlinien nutzen ISO/IEC 27001 und das NIST Cybersecurity Framework 2.0 als Referenzrahmen; kein Auditor hat sie zertifiziert. |
| HIPAA, FedRAMP | Haben wir nicht. |
| Hosting | Microsoft Azure. Die eigenen Zertifizierungen von Azure, darunter SOC 2 und ISO/IEC 27001, decken die Infrastruktur ab, nicht die Prozesse von VirtoSoftware. Microsoft veröffentlicht sie im Service Trust Portal. |
| App-Compliance in Microsoft 365 | Virto Calendar App, Virto Kanban Board App und Virto Shared Calendar haben die Microsoft Publisher Attestation abgeschlossen. Sie ist eine Selbstauskunft, die Microsoft auf Microsoft Learn veröffentlicht, kein Audit. |
| Penetrationstests | Die NATO hat Virto Kanban Board Web Part für SharePoint Server im März 2024 getestet. Die eine gefundene Schwachstelle, CVE-2024-34400, wurde behoben. Der Test umfasste nur das On-Premises-Produkt. Zur NATO-Fallstudie. |
Datenschutz
- Auftragsverarbeitungsvertrag. Ein AVV nach Art. 28 DSGVO gilt für die Virto-Apps für Microsoft 365 und Teams. Sie können ihn anfordern, ohne eine Geheimhaltungsvereinbarung (NDA) zu unterzeichnen.
- Unterauftragsverarbeiter. Microsoft als Hosting-Anbieter von Azure. Bevor wir einen neuen hinzufügen, informieren wir Sie 30 Tage im Voraus.
- Übermittlungen außerhalb der EU stützen sich auf den Datenschutznachtrag von Microsoft mit den EU-Standardvertragsklauseln und dem EU-US Data Privacy Framework.
- Virto Shared Calendar speichert Ihre Kalenderdaten bei uns, daher werden seine Bedingungen zur Datenverarbeitung gesondert vereinbart. Fragen Sie uns, bevor Sie ihn kaufen.
- Kontakt für Datenschutz: dpo@virtosoftware.com. Wie wir die Daten behandeln, für die wir selbst verantwortlich sind, etwa Konto- und Nutzungsdaten, steht in der Datenschutzrichtlinie.
Lizenzbedingungen im Überblick
Die aktuellen Vereinbarungen sind die EULA für Microsoft 365 und Teams und die EULA für On-Premises-Produkte, beide in Version 10.3 und in englischer Sprache. Welche gilt, erklärt die Seite Nutzungsbedingungen. Die Bedingungen, nach denen Rechtsabteilungen am häufigsten fragen:
| Bedingung | Was die EULA sagt |
|---|---|
| Haftungsbegrenzung | Die Gesamthaftung jeder Partei ist auf die Gebühren begrenzt, die für das betroffene Produkt in den 12 Monaten vor dem Anspruch gezahlt wurden. Keine Partei haftet für indirekte oder Folgeschäden. Zu den Ausnahmen gehören Tod oder Körperverletzung durch Fahrlässigkeit, Betrug, Vorsatz oder grobe Fahrlässigkeit sowie Haftung, die das Gesetz nicht begrenzen lässt; die vollständige Liste steht in der EULA. |
| Haftung im Datenschutz | Im AVV geregelt, nicht in der EULA. |
| Anwendbares Recht | Das Recht der Republik Litauen; Gerichtsstand Vilnius. |
| Rangfolge | Zuerst Ihre Bestellung, dann für Datenschutzfragen der AVV, dann die EULA. |
| Änderungen | Nur schriftlich und von VirtoSoftware unterzeichnet. |
Wenn Ihre Rechtsabteilung andere Bedingungen braucht, senden Sie ihre Anmerkungen an unseren Vertrieb. Was wir vereinbaren, wird Teil Ihrer Bestellung, und Ihre Bestellung hat Vorrang vor der EULA.
So läuft Ihre Prüfung mit uns
- Lesen Sie diese Seite und die EULA für Ihr Produkt.
- Fordern Sie den AVV an über das Anfrageformular. Eine NDA ist nicht nötig.
- Fordern Sie die Sicherheitsdokumente unter NDA an: das Security Whitepaper und unsere Richtlinien zu Informationssicherheit, Zugriffskontrolle, Vorfallreaktion, sicherer Entwicklung und Änderungsmanagement. Sie finden sie im Trust & Security Center.
- Senden Sie uns Ihren Sicherheitsfragebogen. Wir füllen das Formular Ihrer Organisation aus; einen vorausgefüllten CAIQ oder SIG haben wir nicht.
- Senden Sie Ihre rechtlichen Anmerkungen zur EULA oder zum AVV an unseren Vertrieb.
Um eine Sicherheitslücke zu melden, schreiben Sie an support@virtosoftware.com mit dem Betreff „Security Vulnerability Report“.
Sprechen Sie mit unserem Team
Senden Sie uns Ihren Sicherheitsfragebogen oder die Anmerkungen Ihrer Rechtsabteilung, oder buchen Sie einen Termin, um Ihre Prüfung gemeinsam durchzugehen.