Das Artikel-50-Praxis-Paket

Warum es dieses Paket gibt

Wir bauen ein Compliance-Werkzeug. Wir liefern auch KI-Funktionen darin aus, und wir verkaufen an Firmen in der EU. Als Artikel 50 des EU AI Act (der KI-Verordnung) am 2. August 2026 anwendbar wurde, war das für uns also keine abstrakte Regulierung. Es war ein Sonntag.

Wir haben die Verordnung gelesen, die finalen Leitlinien der Kommission und den neuen Code of Practice on Transparency of AI-generated Content, damit du nicht bei einer leeren Seite anfangen musst. Und hier die Überraschung: Artikel 50 gehört zu den vernünftigeren Teilen des AI Act. Die Pflichten sind eng gefasst. Die Ausnahmen sind sinnvoll. Und fast alles lässt sich sauber in die Arbeitsform übersetzen, die wir am liebsten mögen: eine Kontrolle, ein Nachweis, eine verantwortliche Person.

Genau das ist dieses Paket. Keine juristische Analyse (wir sind keine Anwälte, und es wird dich erleichtern zu hören, dass wir das wissen). Eine operative Übersetzung: was für eine typische kleine Softwarefirma wirklich gilt, was man dagegen tut und was in die Ablage gehört, damit du deine Arbeit später vorzeigen kannst.

Die Fünf-Minuten-Version

Am 2. August 2026 wurde Artikel 50 des EU AI Act anwendbar. Wenn dein Produkt über KI mit Nutzern spricht oder Text, Bilder, Audio oder Video erzeugt, und irgendjemand in der EU es nutzt, gilt ein Teil davon jetzt für dich. Wo deine Firma sitzt, spielt keine Rolle. Landet der Output vor Menschen in der EU, bist du im Anwendungsbereich.

Der ganze Artikel läuft auf eine Idee hinaus: Menschen sollen KI nicht für Menschen halten, und KI-Inhalte nicht für echte. Stell es dir wie eine Zutatenliste für KI vor. Niemand verbietet das Produkt. Sie wollen nur das Etikett auf dem Glas.

Sechs operative Bausteine, die sechs Abschnitte dieses Pakets:

1. Interaktions-Hinweise: sag den Leuten, wann sie mit KI sprechen.
2. Kennzeichnung und Erkennung: erzeugte Inhalte tragen eine maschinenlesbare Kennzeichnung, und du testest, dass sie überlebt.
3. Label-Entscheidungen: Deepfakes und bestimmte KI-Texte bekommen ein sichtbares Label.
4. Menschliche redaktionelle Prüfung: die Ausnahme, mit der dein geprüfter Inhalt das Text-Label überspringen darf.
5. Code-Ausrichtung oder eigene Mittel: wähl deine Compliance-Route und schreib sie auf.
6. Anlassbezogene Neubewertung: prüfe neu, wenn sich etwas ändert, nicht als Kalender-Ritual.

Und hier der ehrliche Scope-Check, den dir die meisten Leitfäden nicht geben: für eine typische B2B-SaaS-Firma gelten in der Praxis meist nur Punkt 1 und 2, mit Punkt 3 und 4 als relevant, wenn dein Marketing KI-verfasste Inhalte veröffentlicht. Das war es. Die gruselig klingenden Teile (Emotionserkennung, biometrische Kategorisierung) liegen außerhalb des Anwendungsbereichs fast jeder Softwarefirma, mit der wir sprechen.

Zwei Termine zum Merken:

• 2. August 2026: Artikel 50 gilt. Jetzt.
• 2. Dezember 2026: die Übergangsfrist endet für eine einzige Pflicht, die maschinenlesbare Kennzeichnung erzeugter Inhalte, und nur für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren. Inhalte, die vor dem 2. August erzeugt wurden, brauchen keine rückwirkenden Labels.

Bußgelder können 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes erreichen, je nachdem, was höher ist; für KMU dreht sich die Regel um auf das, was niedriger ist. Die Durchsetzung liegt bei den nationalen Marktüberwachungsbehörden. Das ist der eine ruhige Satz über Bußgelder, den du von uns bekommst. Angst ist keine Compliance-Strategie.

Schritt 0: gilt das überhaupt für dich?

Bevor du irgendetwas tust, kläre, welche Rolle du gerade hast. Artikel 50 verteilt Pflichten auf zwei Rollen, und sie zu verwechseln ist die häufigste Quelle verschwendeter Arbeit.

Anbieter. Du hast das KI-System gebaut (oder bauen lassen) und lieferst es unter eigenem Namen oder eigener Marke aus. Wichtige Nuance für SaaS-Gründer: wenn du ein Drittanbieter-Modell (OpenAI, Anthropic, Google, wer auch immer) hinter deiner Marke in dein Produkt einbettest, bist du mit ziemlicher Sicherheit der Anbieter dieses KI-Systems. "Aber das Modell ist doch nicht meins" verschiebt die Pflicht nicht nach oben. Dein Name an der Tür, deine Pflichten.

Betreiber. Du nutzt ein KI-System in deinem Geschäft. Dein Marketing-Team, das Posts mit ChatGPT entwirft? Betreiber. Dein Support-Team mit einem KI-Werkzeug, das jemand anderes gebaut hat? Betreiber.

Die meisten kleinen Softwarefirmen sind beides zugleich: Anbieter der KI-Funktionen im eigenen Produkt, Betreiber der KI-Werkzeuge, die das Team intern nutzt. Das ist normal. Es heißt nur, dass du zweimal triagierst.

Jetzt ordne die vier Pflichten den zwei Rollen zu:

• Artikel 50(1), Interaktions-Hinweis. Anbieterpflicht. Die Chatbots, Assistenten und Sprachschnittstellen deines Produkts müssen den Leuten sagen, dass sie KI sind.
• Artikel 50(2), maschinenlesbare Kennzeichnung. Anbieterpflicht. Generative Outputs (Text, Bild, Audio, Video) müssen so markiert sein, dass Maschinen erkennen können, dass sie synthetisch sind.
• Artikel 50(3), Emotionserkennung und biometrische Kategorisierung. Betreiberpflicht. Wenn du diese Systeme an Menschen einsetzt, musst du sie informieren. Für fast jede SaaS-Firma: nicht anwendbar. Falls doch, schließ dieses PDF und ruf eine Kanzlei an. Freundlich gemeint.
• Artikel 50(4), sichtbares Labeling. Betreiberpflicht. Deepfakes bekommen ein sichtbares Label. KI-generierter Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, auch, außer ein Mensch prüft ihn redaktionell (Abschnitt 4 dieses Pakets).

Die typische B2B-SaaS-Triage, ehrlich gemacht:

• Support- oder Produkt-Chatbot: ja, 50(1) gilt.
• Generative KI-Funktionen im Produkt: ja, 50(2) gilt.
• KI-verfasste Marketing- und Blog-Inhalte: 50(4) gilt vielleicht, und redaktionelle Prüfung macht die Frage weitgehend gegenstandslos.
• Emotionserkennung oder biometrische Kategorisierung: mit ziemlicher Sicherheit nein.

Schreib diese Triage auf, mit Datum. Ein Ein-Seiten-Memo. Es ist dein erstes Nachweis-Artefakt, und es ist das Dokument, auf das jede spätere Entscheidung zeigt.

Abschnitt 1: Interaktions-Hinweise

Was das Gesetz sagt, in Klartext

Wenn eine Person vernünftigerweise denken könnte, sie spreche mit einem Menschen, musst du ihr sagen, dass es KI ist. Die Ausnahme: wenn es ohnehin offensichtlich ist. Aber die Messlatte für "offensichtlich" ist eine angemessen informierte, aufmerksame und verständige Person, im Kontext beurteilt. Ein Roboter-Avatar und ein niedlicher Bot-Name reißen diese Latte womöglich. Eine Sprachschnittstelle schafft sie fast nie.

Der Hinweis muss klar und unterscheidbar sein und spätestens bei der ersten Interaktion kommen. Nicht in Absatz 14 deiner AGB. In dem Moment, in dem das Gespräch beginnt.

Was konkret zu tun ist

1. Inventarisiere jeden KI-zu-Mensch-Kontaktpunkt. Support-Widget, Assistent im Produkt, Onboarding-Bot, Sprachschnittstelle, jede E-Mail-Automation, die ein Gespräch führt statt nur zu benachrichtigen. Schreib die Liste auf, mit Datum.
2. Schreib den Hinweis. Ein ehrlicher Satz schlägt einen Absatz Juristendeutsch. "Du chattest mit einem KI-Assistenten." Fertig. Widersteh dem Drang, ihn weichzuspülen, bis er nichts mehr bedeutet.
3. Platziere ihn bei der ersten Interaktion. Im Chatfenster selbst, vor oder mit der ersten Nachricht. Sichtbar, nicht hinter einem Hover versteckt.
4. Wenn du dich irgendwo auf die Ausnahme "ist doch offensichtlich" stützt, schreib auf, warum. Eine Entscheidung, deren Begründung du nicht vorzeigen kannst, ist eine Entscheidung, die du unter Druck neu ausfechten wirst, wahrscheinlich zum schlechtesten Zeitpunkt.

Abschnitt 2: Kennzeichnung und Erkennung

Was das Gesetz sagt, in Klartext

Wenn dein System synthetisches Audio, Bilder, Video oder Text erzeugt, müssen die Outputs eine maschinenlesbare Kennzeichnung tragen, damit Werkzeuge erkennen können, dass der Inhalt KI-generiert oder manipuliert ist. Das ist etwas anderes als ein sichtbares Label. Die Kennzeichnung darf für Menschen unsichtbar sein; der Punkt ist, dass Maschinen sie finden. Das ist eine Anbieterpflicht.

Die Techniken, um die es geht: Metadaten-Standards (C2PA Content Credentials setzen sich gerade als Standard durch), Wasserzeichen und Fingerprinting. Das Gesetz verlangt Lösungen, die effektiv, interoperabel, robust und zuverlässig sind, soweit technisch machbar, und berücksichtigt dabei ausdrücklich Inhaltstyp, Kosten und Stand der Technik. Übersetzung: niemand erwartet unknackbare Wasserzeichen. Erwartet wird ein ernsthafter, dokumentierter Versuch.

Zwei nützliche Ausnahmen: Systeme, die nur bei üblicher Bearbeitung helfen (eine Grammatikprüfung ist keine Deepfake-Fabrik, und das Gesetz weiß das), und Systeme, die deine Eingabe nicht substanziell verändern.

Die Frage, die jeder Gründer stellt

"Ich baue auf GPT, Claude oder Gemini auf. Kümmert sich nicht der Modellanbieter darum?"

Teilweise, manchmal, und du solltest deine Compliance nicht darauf wetten. Wenn du das KI-System unter deiner Marke auslieferst, liegt die Pflicht bei dir. Kennzeichnungen vom Modellanbieter helfen (manche Bildgenerierungs-APIs betten schon C2PA-Metadaten ein), aber nur, wenn sie deine Pipeline überleben. Dein Bild-Resize-Schritt, dein PDF-Export, deine CDN-Optimierung können Metadaten lautlos entfernen. Die Kennzeichnung, die in der API-Antwort noch da war und in deinem Build-Schritt gestorben ist, zählt nicht.

Also: testen. Nicht annehmen. Das ist der operative Kern dieses Abschnitts.

Der Kennzeichnungs-Test, Schritt für Schritt

1. Inventarisiere jeden generativen Output deines Produkts. Text, den Nutzer exportieren, Bilder, erzeugte Dokumente, PDFs, Audio. Alles.
2. Bestimme den Kennzeichnungs-Mechanismus pro Output-Typ. Durchgereichte Metadaten vom Modellanbieter, dein eigenes Wasserzeichen, beides, oder ehrlich "noch keiner".
3. Schick jeden Output durch deine echte Produktions-Pipeline und prüfe, ob die Kennzeichnung überlebt. Lade die Datei so herunter, wie ein Nutzer es täte. Prüf die Metadaten. Notiere, was du findest, mit Daten und Beispieldateien.
4. Wo Kennzeichnung für einen Inhaltstyp wirklich noch nicht machbar ist, schreib ein kurzes Memo: was du geprüft hast, warum es heute nicht machbar ist, und wann du erneut prüfst. Eine dokumentierte Grenze schlägt stilles Hoffen, vor einem Auditor genauso wie vor einer Aufsichtsbehörde.

Erinnerung zur Übergangsfrist: war dein System vor dem 2. August 2026 auf dem Markt, gilt genau diese Pflicht ab dem 2. Dezember 2026. Das ist Anlauf, keine Befreiung. Vier Monate verschwinden schnell, wenn der Fix deine Export-Pipeline betrifft.

Abschnitt 3: Label-Entscheidungen

Kennzeichnung vs. Labeling, einmal sauber getrennt

Die beiden werden ständig verwechselt, also klären wir es einmal. Kennzeichnung (Abschnitt 2) ist maschinenlesbar, darf unsichtbar sein und ist Sache des Anbieters. Labeling (dieser Abschnitt) ist für Menschen sichtbar, sitzt am Ort der Veröffentlichung und ist Sache des Betreibers. Du kannst für beides verantwortlich sein, für eins oder für keins, je nachdem, was du baust und was du veröffentlichst.

Was das Gesetz sagt, in Klartext

Zwei Label-Pflichten:

• Deepfakes. KI-generierte oder manipulierte Bilder, Audio oder Video, die echte Personen, Orte oder Ereignisse so darstellen, dass es authentisch wirkt, müssen einen sichtbaren Hinweis tragen, dass der Inhalt KI-generiert oder manipuliert ist. Ist der Inhalt Teil eines offensichtlich künstlerischen, satirischen oder fiktionalen Werks, legst du es trotzdem offen, darfst es aber so tun, dass es das Werk nicht verdirbt (Abspann, Beschreibung und so weiter).
• Texte von öffentlichem Interesse. KI-generierter oder manipulierter Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss als KI-generiert offengelegt werden. Außer ein Mensch hat ihn geprüft und eine Person oder Firma trägt die redaktionelle Verantwortung für die Veröffentlichung. Diese Ausnahme bekommt gleich ihren eigenen Abschnitt, denn sie ist der praktisch nützlichste Satz im ganzen Artikel.

Der Entscheidungsbaum

Für jedes Stück KI-unterstützten Inhalt, das du veröffentlichst, frag der Reihe nach:

1. Zeigt es echte Personen, Orte oder Ereignisse so, dass es authentisch wirkt? Ja: sichtbares Label, beim ersten Kontakt, nicht hinter einem Klick. "Dieses Bild wurde mit KI erzeugt" reicht.
2. Ist es Text, der die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren soll (nachrichtenähnliche Inhalte, Analysen, Berichterstattung)? Ja: label ihn, oder schick ihn durch eine dokumentierte redaktionelle Prüfung (nächster Abschnitt).
3. Ist es dein Marketing-Text über dein eigenes Produkt? "Angelegenheiten von öffentlichem Interesse" ist für eine Feature-Ankündigung weit hergeholt, aber die Grenze ist wirklich unscharf, und wir geben das lieber zu, als so zu tun, als wäre sie scharf. Unser pragmatischer Standard: lass trotzdem den redaktionellen Prüfprozess laufen. Er ist billig, macht deine Inhalte besser und macht die unscharfe Rechtsfrage weitgehend egal.

Wie ein Label aussieht

Schlicht, sichtbar, beim ersten Kontakt da. "Dieses Bild wurde mit KI erzeugt." "Teile dieses Audios wurden mit KI erzeugt." Keine Euphemismen ("digital nachbearbeitet" ist kein Hinweis), nichts irgendwo unten auf der Seite vergraben.

Abschnitt 4: menschliche redaktionelle Prüfung

Die nützlichste Ausnahme in Artikel 50

Die Klartext-Version: wenn ein Mensch KI-verfassten Text vor der Veröffentlichung prüft, und eine Person oder Firma die redaktionelle Verantwortung dafür trägt, brauchst du kein "KI-generiert"-Label auf diesem Text.

Warum das wichtig ist: es ist der Unterschied zwischen "von KI geschrieben" auf jedem Blogpost und schlicht einer Redaktion. Die gute Content-Teams, ehrlich gesagt, sowieso haben. Das Gesetz belohnt leise eine Praxis, die du ohnehin wollen solltest: ein Mensch, der das Ding liest, das Ding repariert und seinen Namen dahinter setzt.

Der Haken, und es ist derselbe Haken wie überall in der Compliance: eine Prüfung, die keine Spur hinterlässt, ist eine Prüfung, die du nicht beweisen kannst.

In vier Schritten konkret machen

1. Benenne die redaktionell verantwortliche Person, schriftlich. In einer kleinen Firma ist das ein Satz in einer Ein-Seiten-Richtlinie. "Die redaktionelle Verantwortung für veröffentlichte Inhalte liegt bei [Name/Rolle]."
2. Definiere, was Prüfung heißt. Vollständig lesen, Faktenbehauptungen verifizieren, substanziell redigieren, freigeben. Überfliegen, während der Kaffee durchläuft, zählt nicht, und das weißt du auch.
3. Logge es. Datum, Inhalts-Kennung, Prüfer, Freigabe. Eine Tabelle funktioniert wirklich. Eine Bestätigung mit Zeitstempel in dem System, das du ohnehin nutzt, funktioniert besser.
4. Heb die Entwürfe auf, oder wenigstens den Diff. Zeigen zu können, dass ein Mensch etwas geändert hat, ist ein leiser, starker Nachweis, dass die Prüfung wirklich stattfand.

Was diese Ausnahme nicht tut

Sie beseitigt nicht die anbieterseitige Pflicht zur maschinenlesbaren Kennzeichnung (Abschnitt 2 bleibt bei dem, der das generierende System anbietet). Sie deckt keine Bilder, kein Audio, kein Video ab. Sie deckt das sichtbare Label auf Text ab. Richtig zugeschnitten dient sie dir gut; überdehnt tut sie es nicht.

Abschnitt 5: Code-Ausrichtung oder eigene Mittel

Zwei Wege, eine schriftliche Entscheidung

Die Kommission hat finale Leitlinien zu Artikel 50 veröffentlicht, und der Code of Practice on Transparency of AI-generated Content, von unabhängigen Experten erarbeitet, ist jetzt final. Das gibt dir zwei Wege für die Kennzeichnungs- und Label-Pflichten:

Weg A: am Code ausrichten. Die Praktiken sind für dich ausformuliert, die Aufsicht erkennt die Route an, und deine Nachweislast wird zu "wir folgen dem Code, hier ist das Mapping". Für ein kleines Team ist das meist weniger Gesamtarbeit, weil sich schon jemand überlegt hat, wie eine saubere Lösung aussieht.

Weg B: eigene Mittel. Völlig erlaubt. Aber du trägst die Last zu zeigen, dass dein Ansatz dasselbe Ergebnis erreicht: Dokumentation dessen, was du tust, und Begründung, warum es gleichwertig ist.

Keiner der beiden Wege ist eine Schande. Eine ziemliche Schande (operativ gesprochen) ist es, keinen zu wählen, was in der Praxis heißt, Weg B aus Versehen zu wählen, ohne Dokumentation.

Das Ergebnis

Ein Ein-Seiten-Memo. Welcher Weg, warum, wer entschieden hat, und wann. Bei Weg A: ein kurzes Mapping deiner tatsächlichen Praktiken auf die Verpflichtungen des Code. Bei Weg B: deine Gleichwertigkeits-Begründung. Häng einen Prüftermin dran, denn sowohl die Leitlinien als auch der Code werden sich weiterentwickeln.

Und wo du schon dabei bist, lies die Leitlinien der Kommission wirklich. Näher kommst du nicht daran, dass die Aufsicht dir selbst erklärt, wie sie die unscharfen Stellen auslegen wird. Und sie kosten nichts.

Abschnitt 6: anlassbezogene Neubewertung

Zustand ist Rauschen, Änderung ist das Signal

Compliance-Momentaufnahmen veralten. Die Triage vom August 2026 stimmt genau bis zu dem Dienstag, an dem jemand eine neue KI-Funktion ausliefert, ohne dir Bescheid zu sagen. Das gilt für jedes Framework, mit dem wir je gearbeitet haben, und Artikel 50 ist keine Ausnahme.

Unsere feste Meinung nach Jahren mitten in der Compliance-Arbeit: bau kein großes jährliches Review-Ritual. Bau stattdessen eine kurze Trigger-Liste. Löst ein Trigger aus, dann wiederhole die Dreißig-Minuten-Triage aus Schritt 0. Das ist der ganze Prozess.

Die Trigger-Liste

• Du lieferst eine neue KI-Funktion aus, oder eine neue Stelle, an der Nutzer mit KI sprechen.
• Du tauschst oder ergänzt ein Modell oder einen KI-Anbieter.
• Dein Modellanbieter ändert, wie er erzeugte Inhalte kennzeichnet.
• Das Marketing führt ein neues generatives Werkzeug ein.
• Du betrittst einen neuen Markt, eine neue Sprache oder einen neuen Kanal.
• Deine Content- oder Auslieferungs-Pipeline ändert sich (neues Exportformat, neue CDN, neue Bildverarbeitung: wiederhole die Überlebens-Tests der Kennzeichnung).
• Die Kommission aktualisiert die Leitlinien oder den Code of Practice.
• Einen Trigger kannst du jetzt schon eintragen: den 2. Dezember 2026, den Tag, an dem die Kennzeichnungs-Übergangsfrist für Systeme von vor dem 2. August 2026 endet.

Der Prozess, komplett

Ein Trigger löst aus. Die verantwortliche Person macht die Triage und den passenden Checklisten-Abschnitt. Sie loggt Datum, Ergebnis und Maßnahmen. Fertig. Dreißig Minuten, ehrlich, sobald der erste volle Durchlauf existiert.

Die Ein-Seiten-Checkliste

Druck sie. Häng sie auf. Arbeite sie von oben nach unten ab.

Vom PDF in die Praxis

Alles oben ist bewusst werkzeug-agnostisch. Ein Ordner und eine Tabelle bringen dich wirklich durch Artikel 50. Was zählt, ist die Form der Arbeit: eine Kontroll-Aussage, Nachweise daran, eine verantwortliche Person, ein Prüf-Rhythmus und eine Historie, die du später jemandem zeigen kannst.

Wenn du schon SOC 2 oder ISO 27001 fährst, widersteh dem Drang, ein separates "KI-Compliance"-Silo zu bauen. Artikel 50 fügt sich in die Maschinerie, die du hast: Kontrollen ergänzen, Nachweise anhängen, Verantwortliche zuweisen, Prüfungen einplanen. Ein System, eine Gewohnheit und weniger Dokumente, die still veralten.

Und wenn diese Maschinerie gerade eine Tabelle ist, die zu knarzen beginnt: genau für dieses Problem haben wir AuditBadger gebaut. Eigene Kontrollen, Nachweise mit versionierter Historie, Dokument-Workflows mit Prüf-Erinnerungen, Bestätigungen mit Zeitstempel. Wir haben uns damit selbst SOC 2 Type II zertifiziert, ohne externe Berater, und unsere eigene Artikel-50-Evidenz läuft auch darin, weil wir uns sonst albern vorkämen. $250 im Monat, pauschal, ohne Kosten pro Nutzer. Wenn deine Compliance-Arbeit in derselben überladenen Tabelle landet wie alles andere, schau vorbei: auditbadger.com

Ehrliche Grenzen, und was du lesen solltest

Wir sind Gründer und Ingenieure, keine Anwälte. Dieses Paket ist eine operative Übersetzung von Artikel 50, keine Rechtsberatung, und es deckt bewusst den Normalfall ab: eine kleine Softwarefirma, die KI auf gewöhnliche Weise ausliefert und nutzt. Wenn du Emotionserkennung oder biometrische Kategorisierung betreibst, in der Nähe von Strafverfolgungs-Anwendungsfällen operierst oder wirklich nicht sagen kannst, ob dein Inhalt "die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert", gib das Geld für eine Kanzlei aus. Es ist billiger, als falsch zu liegen.

Lohnt sich, und alles ist kostenlos:

• Artikel 50, Volltext (EU AI Act Service Desk)
• Leitlinien der Kommission zu den Transparenzpflichten für Anbieter und Betreiber von KI-Systemen (final)
• Code of Practice on Transparency of AI-generated Content
• FAQ der Kommission zu den Transparenzpflichten aus Artikel 50

AuditBadger ist eine Compliance-Plattform für kleine Teams, die SOC 2 und ISO 27001 ohne Compliance-Abteilung machen. Wir haben uns damit selbst zertifiziert: SOC 2 Type II, ohne externe Berater. $250 im Monat, pauschal. auditbadger.com