REALTRAX
Methodik

Was in Ihren Verträgen steht — nicht, was auf den Websites steht

Ein mittelständisches Unternehmen setzt zwischen achtzig und hundertfünfzig Werkzeuge ein. Jedes hat einen Vertrag, in dem steht, was der Anbieter mit Ihren Daten tun darf. Gelesen hat sie meist niemand — nicht aus Nachlässigkeit, sondern weil keiner davon für Menschen geschrieben ist.

REALTRAX liest sie. Neun Fragen je Anbieter, jede mit einer Antwort zwischen 0 und 2, und hinter jeder Antwort ein wörtliches Zitat aus dem bindenden Dokument. Was einen solchen Index wertvoll macht, ist aber nicht, dass er Zahlen liefert. Zahlen liefert jeder. Wertvoll wird er dadurch, wovor er sich hütet.

Fünf Versprechen

Woran Sie uns messen können

Jedes dieser fünf kostet uns etwas. Fragezeichen sehen nach Lücken aus, Zitate machen Arbeit, gestrichene Regeln senken Durchschnitte. Genau deshalb stehen sie hier.

1

Wir unterscheiden „geprüft und mangelhaft“ von „nicht prüfbar“

Gibt ein Anbieter seinen Verarbeitungsvertrag nur nach Vertragsschluss heraus, wissen wir über diesen Vertrag nichts. Fehlendes Wissen ist etwas anderes als ein belegter Mangel. Ein solcher Anbieter bekommt bei uns ein Fragezeichen und den Grund dazu, keine Abwertung. Eine Null vergeben wir nur, wenn wir das bindende Dokument gelesen haben.

2

Jede Zahl trägt ein wörtliches Zitat mit Fundstelle

Kein Wert ruht auf einer Einschätzung, sondern auf einem Satz, den ein Dritter aufrufen und nachlesen kann, mit Datum. Die Antwort auf „woher wissen Sie das?“ ist immer ein Dokument, ein Abschnitt und ein Datum — nie eine Methode.

3

Massgeblich ist der Vertrag, nicht die Website

Was ein Anbieter über sich schreibt, ist keine Zusage; was er unterschreibt, ist eine. Wir führen Anbieter im Bestand, deren Vertrauensseite das Gegenteil dessen zusichert, was der bindende Text erlaubt. Bewertet wird nur, was bindet.

4

Ein Fakt zählt genau einmal

Neun Kriterien sind nur dann neun Kriterien, wenn sie neun verschiedene Dinge messen. Wir hatten eine Regel, die einen Wert aus einem anderen ableitete — sie klang plausibel und schob die Ergebnisse nach oben. Im Juli 2026 haben wir sie gestrichen. Seither sinken zahlreiche Werte um einen Punkt.

5

Wo der Anbieter technisch nicht an Ihre Daten kommt, braucht es keine Klausel

Architektur ist der stärkste Vertrag. Läuft Software bei Ihnen, ohne Datenpfad zum Hersteller und ohne Rückkanal, erkennen wir das an — aber nur ausformuliert und nur belegt, und massgeblich ist der Auslieferungszustand, nicht die Konfigurierbarkeit.

Die neun Kriterien

Neun Fragen an jeden Vertrag

Jedes Kriterium erhält 0, 1 oder 2 Punkte; die Summe ergibt einen Wert von 0 bis 18. Aufklappen zeigt, was die drei Stufen jeweils bedeuten.

K1Trainingsrechte
Darf der Anbieter Kundendaten zum Training oder zur Verbesserung von KI- oder ML-Modellen verwenden?
2Der Vertrag schliesst Training mit Kundendaten ausdrücklich aus — ohne Opt-out-Konstruktion und ohne Ausnahme für aggregierte oder abgeleitete Daten. Oder: tragfähiger Architektur-Nachweis.
1Training ist ausgeschlossen, aber nur per Opt-out — oder der Ausschluss gilt nicht für abgeleitete beziehungsweise aggregierte Daten.
0Der Vertrag räumt Trainingsrechte ein, oder er schweigt zum Thema.
K2Zweckbindung
Ist die Verarbeitung vertraglich auf die Erbringung der Leistung begrenzt, oder behält sich der Anbieter darüber hinausgehende Sekundärnutzungen vor?
2Verarbeitung ausschliesslich weisungsgebunden zur Leistungserbringung. Die Zweckbindung greift von selbst, ohne dass der Kunde etwas abwählen muss. Oder: tragfähiger Architektur-Nachweis.
1Grundsätzlich weisungsgebunden, aber mit benannten Sekundärzwecken — oder die Zweckbindung greift nur, weil der Kunde widerspricht. Ein Opt-out-Zwang ist der Leitindikator dieser Stufe.
0Weitergehende Eigenzwecke ohne klare Begrenzung, Datenmonetarisierung, oder Schweigen zur Sekundärnutzung.
K3Sub-Prozessor-Transparenz
Sind alle Unterauftragsverarbeiter benannt, und wird über Änderungen so informiert, dass ein Widerspruch praktisch möglich ist?
2Vollständige, öffentlich einsehbare, datierte Liste mit Zweck und Sitzland je Empfänger, dazu ein echtes Zustimmungs- oder Vetorecht bei Änderungen.
1Liste vorhanden, aber unvollständig, undatiert oder ohne Sitzländer — oder es besteht nur eine allgemeine Vorabgenehmigung mit Widerspruchsfrist ohne Vetorecht.
0Keine Liste, oder pauschale Zustimmung zur Unterbeauftragung ohne Benennung.
K4Vertragsstabilität
Kann der Anbieter die Bedingungen einseitig ändern, und welche Rechte hat der Kunde in diesem Fall?
2Änderungen nur mit Zustimmung — oder mit angemessener Ankündigungsfrist und einem Sonderkündigungsrecht ohne Nachteil für den Kunden.
1Einseitige Änderungen mit Ankündigung, aber ohne Sonderkündigungsrecht, oder mit einer Frist, die eine Ablösung praktisch nicht zulässt.
0Einseitige Änderung mit Wirkung ab Veröffentlichung, oder fortgesetzte Nutzung gilt als Zustimmung.
K5Datenportabilität
Bekommt der Kunde seine Daten in einem brauchbaren Format zurück, vollständig und innerhalb einer zugesagten Frist?
2Vertraglich zugesagter Export in einem dokumentierten, maschinenlesbaren Format, der sämtliche Kundendaten samt Metadaten umfasst, mit benannter Frist nach Vertragsende.
1Export vorhanden, aber unvollständig, nur über die Oberfläche, in einem proprietären Format oder ohne zugesagte Frist.
0Kein Export vorgesehen, oder Rückgabe nur gegen gesondertes Entgelt und ohne Zusage.
K6Audit-Rechte
Darf der Kunde die Einhaltung prüfen — selbst, durch Beauftragte oder ersatzweise über Nachweise?
2Vertragliches Prüfrecht beim Anbieter, auch durch beauftragte Dritte, ohne unangemessene Hürden. Ersatzweise ein aktuelles, einschlägiges Testat, dessen Vollbericht dem Kunden zugänglich gemacht wird.
1Prüfrecht auf die Vorlage von Zertifikaten beschränkt, oder mit Hürden wie Kostentragung.
0Kein Prüfrecht und keine teilbaren Nachweise.
K7Data Residency
Ist der Verarbeitungsort vertraglich festgelegt, oder liegt er im Belieben des Anbieters?
2Verarbeitungsort vertraglich auf den europäischen Wirtschaftsraum festgelegt, einschliesslich Sicherung, Support und Telemetrie. Oder: tragfähiger Architektur-Nachweis bei Selbstbetrieb.
1Europäische Region wählbar oder als Standard gesetzt, aber ohne vertragliche Bindung — oder mit benannten Ausnahmen für Support- und Administrationszugriffe aus Drittländern.
0Verarbeitungsort nicht festgelegt, oder ausdrücklich weltweit.
K8Jurisdiktion (Konzern-HQ)
Welchem Recht unterliegt der Vertragspartner über seine Konzernstruktur — besteht eine Zugriffsmöglichkeit aus einem Drittland?
2Vertragspartei und beherrschende Konzernmutter im europäischen Wirtschaftsraum.
1Vertragspartei im europäischen Wirtschaftsraum, Konzernmutter im Drittland.
0Vertragspartei im Drittland.
K9IP-Integrität
Bleiben die Rechte an eingebrachten und erzeugten Inhalten beim Kunden?
2Rechte an Inhalten und Ausgaben verbleiben vollständig beim Kunden; dem Anbieter wird nur das zur Leistungserbringung Erforderliche eingeräumt.
1Rechte verbleiben beim Kunden, aber der Anbieter erhält eine weitergehende Lizenz, etwa zu Referenz-, Demonstrations- oder Verbesserungszwecken.
0Rechteübertragung an den Anbieter, oder unklare Zuordnung der Rechte an erzeugten Inhalten.
Fünf Stufen

Was der Wert bedeutet

Eigentümer15–18 / 18Volle vertragliche Kontrolle über die eigenen Daten.
Souverän12–14 / 18Starke Kontrolle mit geringfügigen Einschränkungen.
Geschützt8–11 / 18Grundschutz vorhanden, Lücken in einzelnen Dimensionen.
Eingeschränkt4–7 / 18Erhebliche Lücken in mehreren Dimensionen.
Intransparent0–3 / 18Kaum vertraglicher Schutz — oder kaum etwas belegbar. Die Stufe beschreibt die Belegbarkeit, nicht die Qualität des Unternehmens.
Belegstärke

Wie sicher ist eine Bewertung?

Jeder Wert trägt zusätzlich eine Angabe zur Belegstärke. Sie sagt nichts über den Anbieter, sondern darüber, wie belastbar unsere Aussage über ihn ist.

HIGHVertragsdokument mit wörtlichem Zitat und Abrufdatum je Kriterium.
MEDAngabe aus Trust Center oder Richtlinie — belegt, aber kein Vertragsdokument.
LOWVorläufige, konservative Einschätzung bei dünner Beleglage. Die Prüfung läuft.
Vollständiges Dokument

Die Rubrik im Wortlaut

Prüffragen, Fundstellen, alle Stufendefinitionen, die Grenzfälle und der Fehlerkatalog — versioniert und zitierfähig. Wer eine unserer Bewertungen für falsch hält, findet dort, was er braucht, um uns zu widersprechen. Ein Massstab, den niemand prüfen kann, ist kein Massstab.

Rubrik-Fassung 2.2 · Methodik v1.2 · Stand Juli 2026

Die Methodik in zwei Minuten

Zusammengefasst im Video: wie aus neun Vertragskriterien der REALTRAX-Wert entsteht.

Der Index, erklärt · 1:52 Min. · Untertitel verfügbar