Was Realizer bereitstellt und wofür Ihre Organisation bei der Nutzung von AccessPoint verantwortlich ist — Jurisdiktionsinhalte und berechnete Ergebnisse, AccessPoint für Microsoft 365, Hosted AccessPoint und das AccessPoint Training Lab

Last updated: November 10, 2026 by Steve

Verantwortlichkeiten des Kunden

Diese Seite legt dar, was Realizer bereitstellt und wofür Ihre Organisation bei der Nutzung von AccessPoint verantwortlich bleibt: die Jurisdiktionsinhalte und die Kennzahlen, die AccessPoint daraus berechnet, AccessPoint für Microsoft 365 in Ihrem eigenen Tenant, Hosted AccessPoint, das Realizer in Kanada betreibt, sowie das AccessPoint Training Lab für Schulungsanbieter. Sie ergänzt die Technische Architektur, die GC-Referenz zu Sicherheitskontrollen und die GC-Datenschutz-Folgenabschätzung. Die verbindlichen Bedingungen stehen in Ihrer Vereinbarung mit Realizer — für den gehosteten Dienst in den Hosted-AccessPoint-Bedingungen.

Was Realizer bereitstellt

Jurisdiktionspakete. Antragsarten, Fristen und Tagesbasen, Kalender und Feiertage, Gebühren und Gebührenerlasse, Kataloge von Ausnahmen und Ausschlüssen, Verlängerungsgründe, Regeln zur Meldung von Datenschutzverletzungen, Beschwerde- und Widerspruchsarten, Briefvorlagen, Playbooks, Bewertungsvorlagen, Bereitschaftspflichten, Vorlagen für statistische Meldungen und Schulungsinhalte für jede Jurisdiktion. Jedes Paket ist ein Ausgangspunkt, der aus öffentlichen Informationen zur Gesetzgebung erstellt wurde — Gesetze, Amtsblätter und Hinweise der Aufsichtsbehörde — und dem Stand der Version entspricht, die unter Einstellungen > Jurisdiktionspakete angezeigt wird; seine Änderungen sind in den Änderungshinweisen des Pakets aufgeführt. Es ist keine Rechtsberatung.
Berechnete Ergebnisse. Fälligkeitsdaten, Kennzahlen für gesetzliche Meldungen, Fristen für Meldungen von Datenschutzverletzungen sowie Bereitschafts- und Programmstände, die AccessPoint nach den Regeln der von Ihnen angewendeten Pakete aus Ihren Datensätzen berechnet.
Entwürfe von AI Assist. Vorschläge und Entwürfe, über die stets eine Person entscheidet. In AccessPoint für Microsoft 365 stammen sie aus Ihrer eigenen Azure-OpenAI-Ressource; in Hosted AccessPoint aus Azure-OpenAI-Modellen, die Realizer in Kanada bereitstellt, sobald Ihr Administrator dies zulässt.
Die Software und ihre Releases. Ein sicherer Entwicklungslebenszyklus; signierte Releases mit Prüfsummen und Software-Stücklisten; Sicherheitshinweise und Schwachstellenbehebungen; sowie die Herausgeberdienste, die eine Microsoft-365-Bereitstellung nutzt (Lizenzprüfung, Jurisdiktionspakete, das Teams-Relay, Einrichtungsseiten und Release-Dateien).
Hosted AccessPoint (2.6.0). Dieselbe Software, von Realizer in Kanada betrieben; Realizer verwahrt die Daten Ihrer Organisation als deren Dienstleister.
Das AccessPoint Training Lab. Die Simulation und der Arbeitsbereich, in dem ein Schulungsanbieter seine Kurse durchführt; Realizer ist dabei Auftragsverarbeiter des Anbieters.

Wofür Ihre Organisation verantwortlich ist

Unabhängig von der genutzten Edition ist Ihre Organisation verantwortlich für:

Die Prüfung der angewendeten Paketinhalte anhand des geltenden Rechts, der aktuellen Weisungen der Aufsichtsbehörde und Ihrer eigenen Pflichten sowie deren Anpassung in den Einstellungen, wo sie nicht übereinstimmen. Jedes Paketelement ist bearbeitbar, und das erneute Anwenden eines Pakets überschreibt nie ein von Ihnen geändertes Element (es sei denn, Sie wählen und bestätigen ein vollständiges Überschreiben). Ihre Rechtsberatung validiert und passt die Inhalte an.
Die Kontrolle jedes berechneten Ergebnisses — Fälligkeitsdaten, gesetzliche Meldungen, Meldefristen, Bereitschaft — anhand Ihrer eigenen Datensätze und der Weisungen der Aufsichtsbehörde, bevor Sie es einreichen oder sich darauf verlassen.
Die Entscheidung über jeden KI-Vorschlag. KI-Ausgaben sind nie eine rechtliche Feststellung: Sie sind ein Vorschlag, ein bearbeitbarer Entwurf oder eine schreibgeschützte Antwort, die eine Person prüft.
Ihre eigene Compliance. AccessPoint ist ein Werkzeug zur Fallbearbeitung und keine Rechtsberatung; seine Nutzung macht eine Organisation nicht konform.

Wo AccessPoint darauf hinweist

Wo	Was angezeigt wird
Einstellungen > Jurisdiktionspakete	In jeder Ansicht ein Hinweis, dass Pakete allgemeine Informationen und keine Rechtsberatung sind
Anwenden eines Pakets	Eine jedes Mal erforderliche Bestätigung, dass das Paket allgemeine Informationen enthält, die aus öffentlichen Quellen erstellt wurden, und dass Ihre Organisation dessen Inhalt prüfen muss, bevor sie sich darauf verlässt; Anwenden bleibt deaktiviert, bis das Kästchen markiert ist. Das Protokoll der angewendeten Pakete hält fest, wer wann welche Version angewendet hat
Berichte > Statistische Berichte	Über der Ausgabe jeder Vorlage ein Hinweis, dass sie automatisch aus Ihren Datensätzen nach den Regeln Ihrer Pakete erstellt wurde. Dateien im eigenen Format der Aufsichtsbehörde bleiben unverändert, sodass eine Einreichung nie Text enthält, den die Aufsichtsbehörde nicht verlangt hat
Datenschutzprogramm (Übersicht, Stand, Jahr, Erkennung)	Derselbe Hinweis, auf die erste Zeile eingeklappt, sowie eine Zeile in den Excel- und PDF-Exporten
AI Assist	Kennzeichnungen wie KI-generiert — vor der Verwendung prüfen sowie eine einmalige Bestätigung des verantwortungsvollen KI-Einsatzes durch einen Administrator
Barrierefreiheits-Konformitätsbericht	Ein Haftungsausschluss, dass es sich um eine Selbsteinschätzung und nicht um eine Zertifizierung handelt

Der Wortlaut erscheint in allen elf Produktsprachen.

AccessPoint für Microsoft 365

AccessPoint für Microsoft 365 läuft in Ihrem eigenen Azure-Abonnement und Microsoft-365-Tenant; Realizer hat darauf keinen Laufzeitzugriff. Die Verantwortung ist vierfach geteilt:

Partei	Was sie trägt
Microsoft	Rechenzentren, Hardware und Plattformnetzwerk; die Plattformen App Service, SQL, Storage, Key Vault, Container Apps, Front Door und KI; Entra ID und Microsoft 365
Ihre Organisation	Ihre Autorisierungsentscheidung, Kategorisierung und Risikoakzeptanz; Richtlinien, Personal, Schulung sowie die eigenen Standorte und Geräte; Entra ID (MFA, Conditional Access, Kontolebenszyklus, privilegierte Rollen); die Bereitstellungsentscheidungen (Region, Netzwerkisolierung, Malware-Prüfung, Warnungen, Protokollaufbewahrung, Schlüssel, Sicherungen); Rollenkonzept und Rollenzuweisung innerhalb von AccessPoint; Aufbewahrungspläne; Überwachung und Vorfallsreaktion für die eigene Bereitstellung; das Einspielen von Releases
Das Produkt (AccessPoint wie bereitgestellt)	Authentifizierung und Autorisierung der Anwendung, Mandantentrennung, Minimierung personenbezogener Daten, der Prüfpfad und das manipulationssichere Ledger, Verschlüsselungseinstellungen, eine standardmäßig sichere Vorlage, die Aufbewahrungs-Engine und Löschung, Malware- und Release-Prüfungen, Eingabevalidierung
Realizer als Herausgeber	Der sichere Entwicklungslebenszyklus und die Integrität der Releases; Schwachstellenmanagement und Sicherheitshinweise; der sichere Betrieb der eigenen Herausgeberdienste; die Information der Kunden über Vorfälle in diesen Diensten

Das Bereitstellungshandbuch und die GC-Referenz zu Sicherheitskontrollen führen die Bereitstellungsentscheidungen auf, die bei Ihnen liegen. Um die Sicherheitshinweise von Realizer zu erhalten, registrieren und bestätigen Sie Ihre Sicherheitskontakte unter Benachrichtigungskontakte und halten Sie Ihren Kontokontakt aktuell.

Hosted AccessPoint

In Hosted AccessPoint betreibt Realizer den Dienst und verwahrt die Daten Ihrer Organisation als Ihr Dienstleister in seinem Azure-Abonnement in Canada Central. Was Ihre Organisation bei einer eigenen Bereitstellung trüge — die Bereitstellungsentscheidungen, Netzwerk, Protokollierung und Warnungen, Sicherung und Wiederherstellung, das Einspielen von Releases, Schlüsselverwaltung und Vorfallsreaktion für die Umgebung —, liegt bei Realizer. Wie der Dienst funktioniert, lesen Sie unter Hosted AccessPoint.

Ihre Organisation bleibt für ihr Programm und ihre Daten verantwortlich:

Was sie erhebt und warum. Ihre eigenen Erhebungshinweise an Antragstellende und andere (Formulare, Schreiben, ihre Website), ihre Antworten auf Anfragen zu den von ihr gespeicherten personenbezogenen Informationen und ihre eigene Rechtsgrundlage für jeden Fall, den sie erfasst.
Ihre eigene Bewertung der Nutzung des Dienstes. Eine Datenschutz-Folgenabschätzung zur Nutzung eines gehosteten Dienstes (siehe die GC-Datenschutz-Folgenabschätzung) sowie die Bestätigung, dass die Speicherung in Canada Central, der globale Anmelde- und Edge-Dienst von Microsoft, die Abrechnung über Stripe und — falls sie AI Assist zulässt — eine KI-Verarbeitung, die außerhalb Kanadas stattfinden kann, ihre eigenen Vorgaben zu Datenresidenz und Beschaffung erfüllen.
Wer Mitglied ist. Nur die Personen einzuladen, die in AccessPoint arbeiten sollen, ihnen nur die Rollen zu geben, die sie benötigen, und ausgeschiedene Personen zu entfernen — der gehostete Dienst ist nicht mit Ihrem Verzeichnis verbunden und bemerkt ein Ausscheiden daher nicht von selbst. Die Wahl bei Wer beitreten darf (nur Geschäfts-, Schul- oder Unikonten Ihrer eigenen Microsoft-Tenants) und die Abmeldezeiten unter Abmelden. Die Microsoft-Konten der Mitglieder werden durch die Einstellungen ihrer jeweiligen Organisation geschützt, bei einem privaten Konto durch die der Person selbst.
Einen Administrator vorzuhalten, der die E-Mails von AccessPoint liest. Erinnerungen zur Testphase, der Wechsel zum Tarif Free und Löschwarnungen gehen nur an die aktiven Administratoren der Organisation.
Den Kontokontakt aktuell zu halten. Es ist die Adresse der Person, die die Organisation angelegt hat, sofern Sie Realizer (support@realizer.io) nicht um eine Änderung bitten; an sie sendet Realizer Sicherheits- und Kontohinweise.
Ihre E-Mails. Die von ihr bestätigte Reply-To-Adresse, die Schreiben und Benachrichtigungen, die sie über die gemeinsame Adresse accesspoint@notices.realizer.io versendet, und die Einhaltung des E-Mail-Kontingents des Dienstes.
AI Assist. Zu entscheiden, ob AI Assist zugelassen wird, nachdem sie die Erklärung in den Einstellungen gelesen hat, und diese Erlaubnis zu widerrufen, wenn sich ihre Haltung ändert.
Ihren Aufbewahrungsplan. Aufbewahrungsfristen festzulegen und die Aufbewahrungsprüfung so durchzuführen wie in einer eigenen Bereitstellung sowie für jeden Fall, den sie während eines laufenden Verfahrens behalten muss, eine Aufbewahrungssperre zu setzen.
Ihre eigene Kopie. Ihre Daten herunterzuladen (Alle Daten Ihrer Organisation herunterladen, Einstellungen > Abonnement), bevor sie den Dienst verlässt, wenn sie gewarnt wird, dass eine inaktive Organisation im Tarif Free entfernt wird, oder wann immer ihre eigenen Vorgaben eine Kopie verlangen. Realizer löscht eine ausscheidende Organisation, sobald ein vollständiger Export vermerkt ist, und entfernt eine inaktive Organisation im Tarif Free nach den Warnungen; danach bewahrt es keine Kopie für die Organisation auf. Die Sicherungen von Realizer dienen der Wiederherstellung des Dienstes nach einem Vorfall, nicht der Wiederherstellung von Datensätzen, die eine Organisation gelöscht hat.
Ihren Tarif. Ein abgelaufenes Abonnement macht die Organisation schreibgeschützt: Sie verlängert oder wählt einen Tarif, um ihre Fälle wieder bearbeiten zu können.
Schulung. Ihrem Personal zu sagen, dass in die Trainingsfälle des Lab-Modus niemals echte personenbezogene Informationen eingegeben werden dürfen.

Bestätigt Realizer einen Sicherheitsvorfall, der die Daten Ihrer Organisation betroffen hat oder wahrscheinlich betroffen hat, benachrichtigt es Ihre Administratoren und den Kontokontakt per E-Mail, wie es die Hosted-AccessPoint-Bedingungen vorsehen.

Das AccessPoint Training Lab

Im AccessPoint Training Lab (learn.realizer.io) betreibt Realizer die Simulation und den Arbeitsbereich des Schulungsanbieters als dessen Auftragsverarbeiter. Zwischen dem Lab und dem AccessPoint irgendeiner Organisation werden keine Daten ausgetauscht. Der Schulungsanbieter ist verantwortlich für:

Sein Kursmaterial. Er besitzt es, bewahrt seine Quelle auf und muss die Rechte an allem haben, was er hochlädt. Realizer bewahrt das Material im privaten Speicher des Labs auf, nie in seinem Quellcode, in Protokollen oder in der Telemetrie, und seine Mitarbeitenden greifen nur über eine geprüfte Support-Ansicht darauf zu.
Ausschließlich fiktive Inhalte. Szenarien, Datensätze und Aufzeichnungen müssen fiktiv sein und dürfen keine Informationen über reale Personen enthalten. Das Lab prüft Szenarien und KI-Entwürfe auf echt wirkende Adressen und Kennungen, doch der Anbieter entscheidet, was er veröffentlicht.
Seine Lernenden. Den Lernenden mitzuteilen, wer den Kurs durchführt und wie sie den Anbieter erreichen; für jeden Kurs zu wählen, ob eine E-Mail-Adresse abgefragt wird (ein Kurscode und ein Name, die Voreinstellung, erfassen am wenigsten); die Kursliste zu führen; Anfragen der Lernenden zu beantworten; zu bestimmen, wie lange Daten der Lernenden nach Kursende aufbewahrt werden (7 bis 90 Tage, standardmäßig 30), und zuvor zu exportieren, was er benötigt.
Zertifikate. Ein Teilnahmezertifikat nur mit Einverständnis der lernenden Person auszustellen: Jeder, der den Link hat, kann es überprüfen, und es wird aufbewahrt, bis der Anbieter es löscht.
Seine Mitglieder. Nur eigene Mitarbeitende und Honorardozierende einzuladen, ausgeschiedene Personen zu entfernen und stets einen aktiven Administrator des Arbeitsbereichs zu haben. Eine Lehrkraft erhält für eine lernende Person nur auf deren Wunsch einen neuen Fortsetzungscode: Mit dem Code kann die Lehrkraft als die lernende Person weiterarbeiten, daher wird seine Verwendung protokolliert und die lernende Person informiert.
KI-Entwürfe. Sie nur nach Absprache mit Realizer einzuschalten und jeden Entwurf zu prüfen, bevor er eine lernende Person erreicht.
Die Anbietervereinbarung, in der die Auftragsverarbeitungsbedingungen von Realizer und das festgehalten sind, was der Anbieter vereinbart hat.