Häufig gestellte Fragen

Data & More ist eine Privacy- und Security-Plattform, die personenbezogene und sensible Daten in E-Mails, Dateien und Microsoft 365 Ihrer Organisation findet und Ihnen dann hilft, zu löschen, was Sie nicht mehr benötigen. Die Klassifizierung ist KI-gestützt; die Löschung ist verifiziert und behält immer einen Menschen im Prozess. Mehr als 280 Organisationen setzen die Plattform ein, um DSGVO-Aufbewahrung in der Praxis durchzusetzen.

Sie verbinden bis zu 250 Mail-Konten, und die Plattform scannt sie. Sie erhalten einen Report, der Ihre Data Privacy Risk Premium beziffert: wie viele nicht-konforme personenbezogene Daten Sie halten, wie alt sie sind, wo sie sich konzentrieren und wie Ihre Compliance-Quote im Branchenvergleich liegt. Es besteht keine Kaufverpflichtung.

Die Funde gehen an die Personen, denen die Daten gehören. Sie bestätigen, was noch gebraucht wird, verschieben Aufzubewahrendes an einen kontrollierten Ort und löschen den Rest. Jede Entscheidung hat einen Menschen im Prozess, und die Löschung wird verifiziert statt angenommen. Rund 350.000 Data Owner führen diese Reviews bereits durch.

Artikel 5 DSGVO verlangt Speicherbegrenzung und Datenminimierung: Sie dürfen personenbezogene Daten nur so lange aufbewahren, wie Sie sie benötigen, und nur erheben, was Sie tatsächlich brauchen. Personenbezogene Daten ohne Zweck zu halten ist rechtswidrig. Jeder aufbewahrte Datensatz vergrößert zudem den Aufwand bei Auskunftsersuchen und den Umfang eines künftigen Datenlecks.

Nein. Ihre Dateien werden weder für Marketing noch zum Training von KI-Modellen verwendet. Data & More ApS ist ein europäisches (dänisches) Unternehmen und betreibt die Plattform seit 2018.

Purview ist stark darin, Daten im Microsoft-Ökosystem zu klassifizieren und zu labeln. Data & More konzentriert sich auf den Schritt danach: nicht-konforme Daten verifiziert zu löschen, mit Data Ownern, die die Behalten-oder-Löschen-Entscheidung treffen, und mit Risiko-Reporting in Begriffen, mit denen DSB oder Vorstand arbeiten können. Beide können parallel laufen; unser Blog enthält einen detaillierten Benchmark.

Die Preise sind auf unserer Preisseite veröffentlicht und skalieren mit dem überwachten Umfang. Der einfachste Einstieg ist kostenlos: Überwachen Sie 250 Mail-Konten und sehen Sie Ihre eigenen Zahlen, bevor Sie etwas ausgeben.

Buchen Sie ein kostenloses Privacy & Security Review. Liegen die Ergebnisse auf dem Tisch, planen wir den Rollout gemeinsam: welche Systeme einbezogen werden, welche Aufbewahrungsregeln gelten und wie die Data Owner eingebunden werden. Die Implementierungsseite beschreibt den Rollout im Detail.

Standard-Konnektoren decken Microsoft 365 (Exchange Online, OneDrive, SharePoint, Teams), Google Workspace, Exchange und SharePoint on-premise, Fileshares, MailStore-E-Mail-Archive und Slack ab. Für Sonderfälle gibt es eine REST-API für eigene Konnektoren - so lässt sich fast jedes System mit unstrukturierten Daten einbeziehen.

Die Plattform verbindet sich direkt mit Ihren Servern - bei Microsoft 365 über die Graph API - und scannt niemals die Laptops oder lokalen Caches der Mitarbeitenden. Sie liest den vollständigen serverseitigen Datenbestand, einschließlich älterer Daten, die nie lokal synchronisiert wurden, wendet OCR auf Bilder und gescannte Dokumente an und erkennt mit KI-gestützter Dokumenterkennung z. B. Pässe und Ausweise in Anhängen.

OneDrive wird pro Besitzer gescannt, SharePoint und Teams pro Site; die Reports gehen an die Site-Besitzer oder das geteilte Postfach der Site. Text in Teams-Kanälen wird gescannt; Kanal-Anhänge deckt der SharePoint-Scanner ab, Chat-Anhänge der OneDrive-Scanner. Text in privaten Teams-Chats wird nicht gescannt.

Ja. Der Share wird mit einem dedizierten Service-Account mit Lese-/Schreibrechten auf dem Compliance-Server gemountet. Bei gehosteten Setups ist ein Punkt-zu-Punkt-VPN enthalten und bis 25 TB empfohlen; ab mehr als drei On-Premise-Quellen gibt es Site-to-Site-VPN; über 25 TB empfehlen wir eine On-Premise-Installation mit direkten Mounts.

Die Dateiverarbeitung basiert auf Apache Tika und deckt Hunderte Formate ab - Office-Dokumente, PDFs, Archive, E-Mail-Formate und mehr. Sämtlicher Text und alle Bilder werden analysiert; OCR macht Scans und Fotos maschinenlesbar. Videoinhalte werden standardmäßig nicht analysiert, können aber über ein Drittanbieter-Add-on abgedeckt werden.

Kontinuierlich. Neue und bestehende Daten werden fortlaufend überwacht, und die Klassifizierung wird jede Nacht neu angewendet, sobald sie sich verbessert. Ein erster Vollscan eines großen Bestands kann Wochen dauern, weil jede Datei und jedes Bild verarbeitet wird - der Scanner arbeitet Ordner für Ordner, unabhängig vom Alter der Daten.

Hunderte verschiedene Dokumentklassen: nationale ID-Nummern, Pässe, Führerscheine, Gesundheitsdaten, Gehalts- und Steuerunterlagen, Bewerbungsunterlagen, Arbeitsverträge, Gewerkschaftszugehörigkeit, politische und religiöse Orientierung, Reisedaten und viele mehr. Dahinter stehen Wörterbücher und Phrasenbibliotheken mit über 500.000 Objekten in 25 Sprachen - allein die dänische CPR-Nummer wird mit mehr als 25 verschiedenen Methoden erkannt.

Ein dediziertes Klassifizierungsteam pflegt das Modell und verfeinert es mit Feedback von Hunderttausenden Nutzern zu False Positives und False Negatives. Das zentrale Modell wird täglich aktualisiert, und jede Kundeninstallation wird jede Nacht neu klassifiziert - Verbesserungen erreichen die Endanwender also sofort statt Monate später.

Wird etwas markiert, das nicht markiert sein sollte, kennzeichnet der Data Owner es als falsch klassifiziert - es verschwindet aus dem Report, und das Klassifizierungsteam nutzt das Feedback zur Verbesserung des Modells. Daten, die hätten erkannt werden müssen, aber nicht erkannt wurden, können in einem Ordner namens 'DM false negatives' gesammelt und vom Team geprüft werden. Die Daten verlassen dabei nie Ihre Installation.

Weil die DSGVO personenbezogene Daten als alles definiert, was sich auf eine identifizierbare Person bezieht - einschließlich Standortdaten. Eine Flugbuchung dokumentiert, wo sich eine namentlich genannte Person zu einem bestimmten Zeitpunkt befand. Nach der Reise ist der ursprüngliche Zweck entfallen, und nach dem Grundsatz der Speicherbegrenzung muss der Datensatz gelöscht werden, sofern es keinen dokumentierten Grund zur Aufbewahrung gibt. Ein dänisches Taxiunternehmen wurde genau dafür mit einem Bußgeld belegt, dass es Fahrtdaten zu lange aufbewahrte.

Ja. Die Security-Klassifizierung erkennt Passwörter und Secrets, Quellcode mit exponierten Zugangsdaten, Logdateien, Infrastrukturkonfigurationen, Schwachstellenanalysen, digitale Zertifikate, Netzwerkzugriffsregeln und ähnliches Material, das Angreifern helfen würde, wenn es durchsickert - entwickelt auf Basis von Feedback von Hunderten CISOs und Infrastrukturspezialisten.

Best Practice: Dateien, die älter als drei Monate sind und personenbezogene Daten enthalten, erscheinen in einem persönlichen Bereinigungsreport, der quartalsweise versendet wird. Die Data Owner haben dann drei Monate Zeit, Daten zu behalten, zu verschieben oder auszunehmen. Alles Unbearbeitete wird in den GDPR-Vault verschoben und anschließend gelöscht - nichts verschwindet, ohne dass ein Mensch eingreifen konnte.

Sie können Einträge als Privat (von allen künftigen Reports ausgenommen), Falsch klassifiziert (nicht wirklich sensibel - geht als Feedback ans Klassifizierungsteam) oder Dispensation (bleibt erhalten, solange ein laufender Vorgang andauert) markieren. Inhalte in Ordnern mit dem Namen 'Privat' werden automatisch respektiert. Alles andere wird am Ende des Entscheidungsfensters gelöscht.

Nach der von Ihrer Organisation gesetzten Frist werden die unbearbeiteten Einträge in den GDPR-Vault verschoben und anschließend gelöscht. Zeitplan und Ausnahmemöglichkeiten stehen im Report selbst - ihn zu ignorieren ist also eine Entscheidung, kein Versehen.

Innerhalb Ihrer normalen Microsoft-365-Aufbewahrungsfenster ja. In Outlook gelöschte Mails landen in den gelöschten Elementen und sind typischerweise 30 Tage wiederherstellbar. OneDrive und SharePoint behalten gelöschte Dateien 93 Tage im Papierkorb, mit einem Second-Stage-Papierkorb für Admins und Versionsverlauf für überschriebene Dateien. Legal Holds werden durchgehend respektiert.

Ja. Am saubersten ist es, das Scannen auf eine AD-Gruppe zu begrenzen, die nur die teilnehmenden Benutzer enthält. Alternativ kann eine Ausnahme-AD-Gruppe eingerichtet werden, und Ordner mit vereinbarten Namen (z. B. 'privat' oder 'aufbewahren') lassen sich vom Prozess ausschließen.

Ja. Der Manager-Report gibt Teamleitungen eine aggregierte Sicht auf den Bereinigungsstatus ihres Teams - bearbeitet, ausstehend, unbearbeitet - ohne die Inhalte der Daten offenzulegen. Führungskräfte werden automatisch über das Manager-Attribut in Azure AD erkannt, sobald die Funktion in Ihrer Policy aktiviert ist.

Die Plattform erhält keine Rechte, die Ihre IT-Abteilung nicht ohnehin schon hat. Jeder Bereinigungsreport ist persönlich und nur für den Besitzer des Postfachs oder Laufwerks sichtbar. Das Projektteam kann Stichproben durchführen, um die korrekte Funktion zu prüfen - und selbst dieser Zugriff unterliegt einem Genehmigungsverfahren.

Das entscheiden Sie. Als gehosteter Service läuft sie auf EU-Infrastruktur in ISO-zertifizierten Rechenzentren in Deutschland und Finnland - mit strenger physischer Zugangskontrolle, redundanter Stromversorgung und technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Enterprise-Kunden können die gesamte Plattform stattdessen on-premise oder in der eigenen Azure-, AWS- oder Google-Cloud-Umgebung betreiben.

Die gesamte Kommunikation ist mit TLS 1.3 verschlüsselt, und alle Daten sind sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt. Fernzugriff läuft über OpenVPN, die Plattform wird kontinuierlich auf Anomalien überwacht und auf Schwachstellen gescannt, und der Betrieb ist nach ISAE 3000 und ISAE 3402 auditiert.

Sie behalten jederzeit die Kontrolle über den Zugriff auf Ihre Daten und können ihn jederzeit entziehen. Wird der Zugriff entzogen, werden alle Daten auf dem Compliance-Server innerhalb von 72 Stunden gelöscht.

Eine Azure-App-Registrierung mit Microsoft-Graph-Anwendungsberechtigungen anlegen und die Admin-Zustimmung erteilen - eine Schritt-für-Schritt-Anleitung steht im Support-Portal. Ein Trial benötigt nur Leserechte auf Mail; die Produktion ergänzt Schreibrechte, damit Löschungen tatsächlich ausgeführt werden können. Für die meisten Organisationen genügt ein Termin mit einem IT-Security-Admin.

Ja. Der Scan-Umfang wird über AD-/Entra-Gruppen gesteuert, sodass nur ausgewählte Benutzer überhaupt gelesen werden. Application Access Policies können die App-Registrierung auf bestimmte Postfächer beschränken, und der Mailversand lässt sich auf ein einzelnes Konto begrenzen. Zugriff und Umfang bleiben jederzeit unter Ihrer Kontrolle.

Ja. Die Plattform wird auf Ubuntu oder RedHat mit Docker installiert - auf Bare Metal, auf VMware oder in Azure, AWS oder Google Cloud (Hyper-V wird nicht unterstützt). Ein einzelner Server bewältigt bis zu rund 2.000 Konten oder 25 TB Daten; darüber kommt ein Cluster zum Einsatz. Ihr Team verwaltet das Betriebssystem; Data & More pflegt die Anwendung.

Ein PoC-Server ist bescheiden: Ubuntu 24.04, 16 Threads, 128 GB RAM und eine 1-TB-NVMe-Disk reichen für bis zu etwa 20 Konten und 1 TB Daten. Ein einzelner Produktionsserver steigt auf 36 Threads, 160 GB RAM und Speicher von rund 10% des zu indexierenden Datenvolumens.

Erzeugen Sie ein neues Secret im Azure-Portal, senden Sie den neuen Wert an den Data & More Support und warten Sie auf die Bestätigung, bevor Sie das alte löschen - ein zu frühes Löschen führt sofort zum Zugriffsverlust. Wir empfehlen 24 Monate Gültigkeit und eine Kalendererinnerung 30 Tage vor Ablauf.

Ja. Das Copilot-Protection-Modul arbeitet mit Microsoft Purview Sensitivity Labels: Ein Label, das die Berechtigung 'Inhalt kopieren und extrahieren' entzieht, blockiert Copilot am Konsumieren eines Dokuments. Data & More identifiziert, welche Dokumente Privacy-Daten enthalten, und wendet das Label genau auf diese an - deutlich genauer als Microsofts Auto-Labelling.

Nach unterschriebener PoC-Vereinbarung und Auftragsverarbeitungsvertrag wählen Sie 10-15 Mail-Konten und eine kleine Projektgruppe. Ein IT-Termin verbindet die Daten, die Plattform scannt sie, und ein Workshop führt durch Klassifizierung, Analytics und den Bereinigungsablauf - die Projektmitglieder testen den Report an ihren eigenen Daten. Während eines PoC wird nichts gelöscht, und er endet mit einer Auswertung der wichtigsten Ergebnisse.

Eine kleine Projektgruppe, einen Termin mit einem IT-Security-Admin zur Einrichtung des Zugriffs und die Teilnahme an einigen Workshops während des Rollouts. Data & More bringt einen bewährten Standard-Projektplan, Kommunikationsvorlagen und Basiskonfiguration mit - Sie müssen den Prozess nicht neu erfinden.

First-Level-Fragen gehen an Ihren eigenen Helpdesk, der Ihre internen Richtlinien kennt. Alles Tiefergehende geht an support@dataandmore.com - unser Ticketsystem - mit Workspace-Namen, Beschreibung und Screenshots. Tickets werden innerhalb von 24 Stunden beantwortet; größere Kunden können Zugang zu einem Ticket-Portal erhalten.

Das Support-Portal unter support.dataandmore.com enthält über 100 Artikel und Videos auf Englisch, Dänisch, Schwedisch und Deutsch - zu IT-Setup, App-Registrierung, Konfiguration von Datenquellen, Onboarding-Plänen, Mail-Vorlagen, Sicherheitsdokumentation und Release Notes.