Trust & Beschaffung für Unternehmen

Was Einkauf und Security-Prüfung vor der Unterschrift brauchen

Die kaufmännischen, rechtlichen und sicherheitsrelevanten Antworten, nach denen eine Due-Diligence-Checkliste fragt, alle auf einer Seite. Wo die vollständigen Details woanders auf der Website liegen, verlinken wir direkt dorthin. Kein Schöngerede, keine Behauptungen, die wir nicht belegen können.

Sprich mit einem Gründer →

In einem Satz

Wavect GmbH ist ein österreichisches Softwareunternehmen, mit dem du nach österreichischem Recht Verträge schließt, bei dem dir ab Tag eins alle IP-Rechte gehören, deine Daten standardmäßig in der EU bleiben, und ein Team aus zwei Gründern plus geprüfter Bench dafür sorgt, dass die Arbeit weiterläuft, egal wer geht.

Klare Antworten zu

  • Rechtsträger, Gerichtsstand und IP-Eigentum
  • Auftragsverarbeitungsverträge, EU-Datenhaltung und Subunternehmer
  • Zugriffskontrolle, Backup, Incident-Handling und Übergabe
  • Ausfallsicherheit bei Schlüsselpersonen, Supportmodelle und Reaktionszeiten

Was wir nicht vortäuschen

  • Wir halten heute keine ISO 27001, kein SOC 2 und keine formale Sicherheitszertifizierung
  • Durchgehende Abdeckung und Verfügbarkeitszusagen benötigen eine gesondert abgegrenzte Betriebsvereinbarung mit bestätigter Besetzung
  • Wir sind ein kleines Senior-Team, kein großer Managed-Service-Anbieter

Den Lieferweg hinter diesen Kontrollen findest du in unserem Enterprise-Pfad für Delivery und Governance.

Die Beschaffungs-Checkliste, beantwortet

Jede Zeile gibt dir die Kurzantwort und einen Link zur Seite, die sie im Detail dokumentiert.

ThemaWo wir stehenDokumentiert in
Rechtsträger & GerichtsstandWavect GmbH, FN 575337 i, Landesgericht Innsbruck, UID ATU77948526, mit Sitz in Ampass, Tirol. 2018 als Wavect e.U. gegründet, seit 2022 eine GmbH. Verträge laufen standardmäßig nach österreichischem Recht; wir haben auch nach deutschem, Schweizer, US- und Singapurer Recht unterschrieben.Impressum & Leistungsvertrag
IP-EigentumDir gehört alles, was wir bauen. Vollständige IP-Übertragung, keine bei uns verbleibenden Rechte, Code ab Tag eins in deinem Repository.Leistungsvertrag
ÜbergabeEine vollständige Übergabe ist der Standard, kein Upsell: Code, Zugangsdaten, Dokumentation und Runbooks werden übertragen, alle Schlüssel gehen an dich über.Übergabe-Checkliste
Ausfallsicherheit bei SchlüsselpersonenZwei Gründer bei jedem Projekt, plus eine geprüfte Spezialisten-Bench. Wir haben Arbeit schon Dutzende Male sauber übergeben; das Team ist größer als jede einzelne Person.Über das Team
Einsatz externer SpezialistenSpezialisten arbeiten als Subunternehmer unter unserem Vertrag, geprüft, bevor sie dein Projekt anfassen. Ein Vertrag mit uns, eine Rechnung, Vertraulichkeit über die gesamte Verarbeiterkette.Expertennetzwerk
Hosting & DatenhaltungEU-Hosting standardmäßig. Deine Daten bleiben unter EU- und österreichischen Regeln, sofern dein Projekt nicht etwas anderes erfordert, was wir vorab klären.Leitfaden EU-Datenhaltung
DSGVO & DatenschutzDSGVO- und österreichisch-DSG-konform. Unser Datenschutzbeauftragter ist Kevin Riedl. Rechtsgrundlagen, Aufbewahrung und Dritte sind vollständig dargelegt.Datenschutzerklärung
Support & WartungWartung ist optional, nie eingebaut. Fixpreis auf einem unterschriebenen Werkvertrag, oder ein monatliches Retainer, das du wöchentlich ohne Kündigungsfrist beenden kannst.Fixpreis vs. Time & Materials

Subunternehmer

Die Dritten, die für wavect.io selbst Daten verarbeiten. Für Kundenprojekte werden Infrastruktur und Subunternehmer pro Auftrag gewählt und sind standardmäßig in der EU ansässig; wir listen sie im Auftragsverarbeitungsvertrag des jeweiligen Projekts.

SubunternehmerZweckDatenStandort
CloudflareStatic-Site-Hosting und CDN für wavect.ioRequest-Logs, IP-AdressenGlobale Edge, EU-Rechenzentren
UmamiCookieloses Website-AnalyticsKeine personenbezogenen DatenDeutschland (EU)
PostHog EUProdukt-Analytics, Session- und Funnel-DatenNutzungsereignisseDeutschland (EU)
OpenAI AdsEinwilligungsbasierte Messung von Anzeigen-ConversionsSeiten- und Lead-Ereignisse, Anfrage- und Geräte-Metadaten, Attributions- und gehashte AbgleichskennungenGlobal, einschließlich USA
Zeeg (Zeeg GmbH)Terminplanung über die BuchungslinksName, E-Mail, gewählte ZeitDeutschland (EU)

Diese Liste ändert sich, wenn sich unser Tooling ändert. Wenn du für einen unterschriebenen Auftrag vorab über Subunternehmer-Änderungen informiert werden willst, können wir das in den Vertrag aufnehmen.

Sicherheit und Lieferung: unsere Haltung

Die Themen, nach denen ein Security-Fragebogen fragt und die anderswo keine eigene Seite haben. Das sind ehrliche Aussagen darüber, wie ein kleines Senior-Team wirklich arbeitet, keine Schönwetter-Policy.

Auftragsverarbeitungsvertrag

Wir unterschreiben deinen Auftragsverarbeitungsvertrag oder stellen einen eigenen Vertrag nach Art. 28 DSGVO bereit, der die gesamte Kette der Subunternehmer abdeckt. Sprich es beim ersten Call an, und er steht, bevor irgendwelche personenbezogenen Daten verarbeitet werden. Bei Kundenprojekten ist der AVV Teil der Vertragsunterlagen, kein nachträglicher Zusatz.

Zugriffskontroll-Praktiken

Wir arbeiten innerhalb der Repositories und Infrastruktur, die du uns freigibst, mit Zugriff, den du jederzeit widerrufen kannst. Least Privilege standardmäßig, projektspezifische Zugangsdaten, Multi-Faktor-Authentifizierung auf unseren Konten und keine geteilten Logins. Bei der Übergabe werden alle Zugangsdaten erneuert und gehen an dich über, sodass nichts, was wir hatten, noch eine Tür öffnet.

Backup & Wiederherstellung

Bei Kundenprojekten sind Backup und Disaster Recovery von Anfang an eingeplant: getestete Restores und dokumentierte Runbooks, nach der Übergabe in deinem Besitz, sodass die Wiederherstellung nie davon abhängt, dass wir erreichbar sind. Für unsere eigenen Systeme liegt der Quellcode in der Versionskontrolle und die Infrastruktur ist aus Code reproduzierbar.

Incident-Handling

Der Auftrag nennt Ansprechpartner, Abdeckungszeiten und Eskalationsweg. Bei abgedeckten Vorfällen gehören Triage, Kommunikation sowie vereinbarte Eindämmungs- oder Wiederherstellungsmaßnahmen zum Umfang. Gewöhnliche Wartung enthält keine durchgehende Rufbereitschaft. Managed Cloud Operations legt die besetzte Abdeckung gesondert fest; Incident Response umfasst eine autorisierte Untersuchung und Wiederherstellung. Eine Anfrage über diese Website aktiviert keinen Notfalleinsatz.

Dokumentationsstandards

Jedes Projekt übergibt eine Architekturübersicht, Setup-Anleitungen, Deploy- und Rollback-Schritte sowie Runbooks. Die Dokumentation liegt in deinem Repository direkt neben dem Code, sodass sie bei der Software bleibt und nicht in einem Tool, zu dem du den Zugang verlierst. Die Übergabe-Checkliste ist der vollständige Standard.

Versicherung & Zertifizierungen

Wavect verfügt über eine Berufshaftpflichtversicherung. Auch bei Zertifizierungen sagen wir es geradeheraus: Wavect hält derzeit keine ISO 27001 und kein SOC 2 Zertifikat. Was an ihre Stelle tritt, ist strukturell, kein Siegel: ein kleines Senior-Team, dein Code ab Tag eins in deinem Repository, eine vollständige Übergabe, die Lock-in beseitigt, und ein Vertrag nach österreichischem Recht, der uns an das Vereinbarte bindet. Wenn eine bestimmte Zertifizierung ein hartes Beschaffungskriterium ist, sag es uns früh, und wir sagen dir klar, ob wir sie erfüllen können, statt zu behaupten, wir hätten sie schon.

Service-Level

Wir antworten innerhalb von vier Arbeitsstunden, meist innerhalb einer. Gewöhnlicher Support läuft über einen vereinbarten Retainer und festgelegte Arbeitszeiten. Managed Cloud Operations definiert Abdeckung, Reaktionsziele, Verfügbarkeitsmessung, Ausschlüsse und Konditionen gesondert nach einer Bereitschaftsprüfung. Ein Entwicklungs- oder Wartungsvertrag enthält nicht automatisch ein Uptime-SLA. Maßgeblich sind der unterzeichnete Umfang und der Leistungsvertrag.

Eigentum durch eine echte Übergabe belegen

Wir vereinbaren einen übernehmenden Betreiber und eine begrenzte Probe: Neuinstallation, Staging-Deployment, Wiederherstellung oder Export und eine Routineänderung ohne verborgenes Wissen des Autors. Die drei wahrscheinlichen Änderungen werden als selbst bedienbar, betreut oder neu zu beauftragen eingeordnet. Berechtigungen, Vorkenntnisse, Ergebnisse und Lücken werden dokumentiert und vereinbarte Mängel korrigiert. Ein Wavect-Vertreter wird so benannt; unabhängige externe Prüfung erfordert eine externe Person. Eine kurze Probe kann Teil eines geeigneten Builds sein; größere Einarbeitung und Prüfung werden separat angeboten.

Muster für Entscheidungen, Release und Übergabe ansehen.

Wissen, was beim Ausfall des normalen Wegs passiert

Für einen vereinbarten kritischen Ausfall planen wir sicheren Stopp, Warteschlange, manuellen Weg oder Export, berechtigte Bediener, erhaltenen Zustand und Alarmverantwortung. Fortführung, Datenabgleich und Wiederherstellung werden in repräsentativer Umgebung erprobt; beobachtete Dauer, verlorene oder doppelte Vorgänge und Grenzen werden festgehalten. Umsetzung und wiederkehrende Übungen brauchen finanzierten Umfang. Daraus entstehen weder 24/7-Abdeckung noch eine Verfügbarkeits-SLA.

Beschaffungsfragen, klar beantwortet

Wavect GmbH, ein österreichisches Unternehmen, registriert als FN 575337 i beim Landesgericht Innsbruck, UID ATU77948526, mit Sitz in Ampass, Tirol. Österreichisches Recht ist der Standard, und wir können unter deinem Standard-Rahmenvertrag unterschreiben. Wir haben auch nach deutschem, Schweizer, US- und Singapurer Recht Verträge geschlossen.
Ja, vollständig. Alle IP-Rechte an dem, was wir bauen, gehen auf dich über, wir behalten keine Rechte, und der Code liegt ab dem ersten Commit in deinem Repository. Das steht im Leistungsvertrag, ist nicht bloß versprochen.
Ja. Wir unterschreiben deinen AVV oder stellen einen Vertrag nach Art. 28 DSGVO bereit, der die gesamte Subunternehmer-Kette abdeckt. Er steht, bevor irgendwelche personenbezogenen Daten verarbeitet werden.
Für wavect.io selbst: Cloudflare für Hosting, Umami und PostHog EU für Analytics, OpenAI Ads für einwilligungsbasierte Conversion-Messung und Zeeg für Terminplanung. OpenAI Ads kann Daten global einschließlich in den USA verarbeiten; für die übrigen Analyse- und Planungsdienste gelten die oben angegebenen Standorte. Für Kundenprojekte werden Subunternehmer pro Auftrag gewählt, standardmäßig in der EU ansässig, und im AVV des jeweiligen Projekts gelistet.
Die Arbeit stoppt nicht. Zwei Gründer sitzen bei jedem Projekt und eine geprüfte Bench stützt sie ab, sodass Wissen nie bei einer Person liegt. Wir haben Projekte schon Dutzende Male sauber übergeben, und die Übergabe-Disziplin, die das möglich macht, ist dieselbe, die wir am Ende jedes Projekts nutzen.
Wir haben eine Berufshaftpflichtversicherung. Eine ISO 27001- oder SOC 2-Zertifizierung halten wir derzeit nicht, und wir behaupten nichts anderes. Über die Versicherung hinaus schützt dich unsere Struktur: ein kleines Senior-Team, dein Code ab Tag eins in deinem Repository, eine vollständige Übergabe, die Lock-in beseitigt, und ein Vertrag nach österreichischem Recht, der uns an die Lieferung bindet. Wenn eine Zertifizierung eine harte Anforderung für deinen Beschaffungsprozess ist, sag es uns früh, und wir sind ehrlich, ob wir sie erfüllen können.
Wir antworten innerhalb von vier Arbeitsstunden, meist innerhalb einer. Gewöhnlicher Support und Wartung haben vereinbarte Arbeitszeiten und einen definierten Umfang. Durchgehender Betrieb, Rufbereitschaft und mögliche Verfügbarkeitszusagen werden über Managed Cloud Operations gesondert vereinbart, nachdem Bereitschaft und Abdeckung bestätigt sind. Eine Anfrage aktiviert diese Abdeckung noch nicht.
Zuletzt geprüft: vonChristof Jori wiki ↗

Noch eine Frage auf der Checkliste?

Schick uns die Klausel, die das Review aufhält. Du bekommst eine klare Antwort von einem Gründer, kein Formschreiben.

Sprich mit einem Gründer →