Sicherheit und Compliance
Nachprüfbare Sicherheit und Compliance für KI-Agenten am Telefon
Synthflow ist eine Plattform für Conversational AI, auf der KI-Agenten am Telefon arbeiten. Belegt wird ihre Sicherheit durch die Zertifizierung nach ISO/IEC 27001, einen Prüfbericht nach SOC 2 Type 2 und Business Associate Agreements nach HIPAA. Synthflow wurde 2023 in Berlin gegründet und hat dort seinen Sitz. Beim Anlegen eines Workspace wählen Sie eine EU- oder eine US-Datenregion.
SOC 2 Type 2 · ISO/IEC 27001 · DSGVO · PCI DSS v4.0.1 · ISO/IEC 42001:2023 · KI-Verordnung · DORA · HIPAA
Zuletzt überprüft am 5. November 2026
SOC 2 Type 2
ISO/IEC 27001
HIPAA
DSGVO
PCI DSS v4.0.1
ISO/IEC 42001:2023
KI-Verordnung
DORA
Sicherheitsprüfung
Was eine Sicherheitsprüfung abfragt und was Synthflow darauf antwortet
Wer Synthflow einer Sicherheitsprüfung unterzieht, klärt sechs Punkte, die kein Siegel belegen kann: Prüfungsumfang, BAA, Zugriff und Verschlüsselung, Aufbewahrung, Modelltraining und Unterauftragsverarbeiter. Auf jeden davon hat Synthflow eine Antwort veröffentlicht.
Prüfungsumfang
Der SOC-2-Type-2-Bericht von Synthflow zeigt, wie die Kontrollen des Unternehmens über einen festgelegten Prüfzeitraum gegriffen haben. Anfordern können Sie ihn über das Trust Center.
Das BAA
Mit Kunden, die die Einstellung HIPAA Setting nutzen, unterzeichnet Synthflow ein Business Associate Agreement.
Aufbewahrung
Wie lange Aufzeichnungen und Transkripte aufbewahrt werden, stellen Sie in Synthflow für jeden KI-Agenten einzeln ein. Sie können auch festlegen, dass gar keine gespeichert werden.
Modelltraining
Synthflow trainiert seine KI-Modelle weder mit den Gesprächsdaten seiner Kunden noch mit dem Wissen, das Kunden hinterlegen.
Unterauftragsverarbeiter
Im Trust Center von Synthflow ist jeder Unterauftragsverarbeiter mit Verarbeitungszweck und Region aufgeführt.
Zugriff und Verschlüsselung
In der Google-Cloud-Umgebung von Synthflow sind Daten bei der Übertragung und im Ruhezustand verschlüsselt. Administratoren können die Zwei-Faktor-Authentifizierung vorschreiben, und mit einem Enterprise-Vertrag kommt Single Sign-on hinzu.
Alle Punkte im Einzelnen finden Sie in der vollständigen Compliance-Checkliste für Voice AI.
Compliance
Zertifizierungen und Compliance
Das Trust Center von Synthflow nennt acht Standards und Regelwerke, allen voran einen Prüfbericht nach SOC 2 Type 2 und die Zertifizierung nach ISO/IEC 27001.
Den SOC-2-Type-2-Bericht und weitere Unterlagen fordern Sie über das Trust Center an. Für die meisten Dokumente braucht es eine Zugriffsanfrage und ein NDA.
Datenfluss
Wohin die Anrufdaten fließen
Auf Synthflow durchlaufen Anrufdaten vier Stationen: Telefonie, Spracherkennung, Sprachmodell und Sprachsynthese.
Telefonie
Synthflow betreibt eigene Session Border Controller (SBC) und eine eigene Medieninfrastruktur. Die Rufnummern kommen von Synthflow, aus Ihrem Twilio-Konto oder per SIP von Ihrem Carrier.
Spracherkennung
Zu den Anbietern gehören Deepgram und Soniox.
Sprachmodell
Zu den Anbietern gehören OpenAI und Anthropic.
Sprachsynthese
Zu den Anbietern gehört ElevenLabs.
Daten werden per HTTPS/TLS übertragen und in der Google-Cloud-Umgebung von Synthflow verschlüsselt gespeichert. Gehostet wird auf AWS, Google Cloud und Microsoft Azure.
Für Aufzeichnungen, Transkripte und Logs gelten die Aufbewahrungsregeln, die Sie für den jeweiligen KI-Agenten festgelegt haben. Jeder Anbieter steht mit Verarbeitungszweck und Region in der vollständigen Liste der Unterauftragsverarbeiter.
Sensible Daten
Schutzmaßnahmen für Anrufe mit Zahlungskarten- oder Gesundheitsdaten
Ist die Einstellung HIPAA Setting aktiv, werden geschützte Gesundheitsdaten bei Synthflow weder protokolliert noch aufgezeichnet noch dauerhaft gespeichert.
HIPAA Setting und BAA
Standardmäßig ist die Einstellung aus. Für jeden Ablauf mit Gesundheitsdaten schalten Sie sie deshalb selbst ein. Synthflow unterzeichnet ein BAA und veröffentlicht die Vorlage in seiner Dokumentation.
Schwärzung
Die Schwärzung entfernt Kartennummern, Kartenprüfnummern (CVV), US-Sozialversicherungsnummern, Namen, E-Mail-Adressen, Telefonnummern und Anschriften aus Transkripten, Webhooks und Logs. Das Audio bleibt unberührt, und die Schwärzung ist nicht zu 100 % fehlerfrei.
Aufzeichnungen und Aufbewahrung
Für jeden KI-Agenten können Sie das Speichern von Aufzeichnungen oder Transkripten abschalten oder Transkripte, Aufzeichnungen und Rufnummern der Anrufer nach 30 Tagen löschen lassen. Nimmt ein Agent Zahlungskartendaten entgegen, schalten Sie das Speichern von Aufzeichnungen ab.
Lesen Sie, was HIPAA von KI-Agenten verlangt und welche Anbieter von KI-Agenten für Callcenter im Gesundheitswesen ein BAA unterzeichnen.
Wie ein Patientenanruf von Anfang bis Ende abläuft, zeigt die Seite KI-Agenten für Anrufe im Gesundheitswesen.
Zuständigkeiten
Welche Regeln gelten und wer wofür zuständig ist
Für Anrufe mit KI-Agenten auf Synthflow gelten am häufigsten diese Regeln: DSGVO, KI-Verordnung, PCI DSS, HIPAA und TCPA.
Regelwerk
Gilt für
Synthflow bietet
Sie verantworten
Gilt für
Gesundheitsdaten
Synthflow bietet
BAA und Einstellung HIPAA Setting
Sie verantworten
Einschalten der Einstellung; Ihr HIPAA-Programm
Gilt für
Personenbezogene Daten von Anrufern in der EU
Synthflow bietet
EU-Datenregion, AVV, Löschung, Schwärzung
Sie verantworten
Rechtsgrundlage; Anfragen betroffener Personen
Gilt für
Synthflow bietet
Schwärzung in Transkripten und Logs
Sie verantworten
Dass keine Zahlungskartendaten in Aufzeichnungen und in Ihre Systeme gelangen
Gilt für
Ausgehende Anrufe mit KI-Stimme in den USA
Synthflow bietet
Geschäftszeiten, Anrufzeitfenster, Anrufprotokolle
Sie verantworten
Einwilligung und Einhaltung der Do-not-Call-Listen
Gilt für
Hinweis an Anrufer, dass sie mit einer KI sprechen
Synthflow bietet
Feste Begrüßung oder Antwort mit dem KI-Hinweis
Sie verantworten
Offenlegung des KI-Einsatzes gegenüber Anrufern
Prüfbericht, Zertifizierung und Verträge von Synthflow belegen die Kontrollen der Plattform. Ob ein konkreter Einsatz jede dieser Regeln erfüllt, bleibt Sache des Kunden.
KI-Risiken
KI-spezifische Risiken und wie Synthflow damit umgeht
Den Risiken von Anrufen mit KI-Agenten begegnet Synthflow mit gezielten Angriffstests, Simulationen vor dem Go-Live, der Authentifizierung von Anrufern und der Übergabe an Mitarbeiter.
Prompt Injection
Bevor eine relevante Änderung an den KI-Systemen in Betrieb geht, testet Synthflow, ob die Systeme Prompt Injection, Jailbreaks und anderen gezielt manipulierten Eingaben standhalten.
Fehler, die sich vervielfachen
Simulationen testen die Agenten vor dem Go-Live, und Auto-QA sowie ein Monitoring in Echtzeit prüfen die laufenden Gespräche.
Identitätsbetrug
Bevor ein Agent Angaben zum Kundenkonto nennt, kann er den Anrufer authentifizieren.
Übergabe an Mitarbeiter
Stößt ein Agent an seine Grenzen, geht der Anruf samt Gesprächsverlauf an einen Mitarbeiter.
Zugriff
Zugriffskontrolle und Audit-Logs
Administratoren können in Synthflow die Zwei-Faktor-Authentifizierung für alle Mitglieder vorschreiben. Mit einem Enterprise-Vertrag kommt Single Sign-on hinzu, unter anderem über Okta, Microsoft Entra ID, Google SAML und Auth0.
- Einladungen in den Workspace nur für freigegebene E-Mail-Domains
- HMAC-SHA256-Signaturen für Webhooks, sobald ein Signaturschlüssel hinterlegt ist
- Logs für Anrufe, API und Webhooks, per API abrufbar; Einträge zu API und Webhooks tragen eine Trace-ID, und Anruf-Logs lassen sich zudem als CSV exportieren
- SIP-Signalisierung jedes Anrufs, als PCAP-Datei herunterladbar
- Wiederherstellungszeit (RTO) von vier Stunden, Penetrationstests und Incident Response, alles im Trust Center dokumentiert
Kunden
Wer Synthflow im Produktivbetrieb einsetzt
Auf Synthflow laufen täglich über 1 Million Anrufe
FAQ
Häufige Fragen
Erfüllt Synthflow die Anforderungen von HIPAA?
Mit Kunden, die die Einstellung HIPAA Setting nutzen, unterzeichnet Synthflow ein Business Associate Agreement. Die Einstellung verhindert, dass geschützte Gesundheitsdaten protokolliert, aufgezeichnet oder dauerhaft gespeichert werden. Ob ein Einsatz HIPAA erfüllt, hängt auch davon ab, wie der Kunde ihn konfiguriert und nutzt.
Trainiert Synthflow seine KI-Modelle mit Anrufdaten?
Synthflow nutzt keine Kundendaten, um seine KI-Modelle zu trainieren, weder Gesprächsdaten noch das Wissen, das Kunden hinterlegen.
Kann ich den SOC-2-Bericht von Synthflow einsehen?
Synthflow stellt seinen SOC-2-Type-2-Bericht über das Trust Center unter security.synthflow.ai bereit. Für die meisten Dokumente dort braucht es eine Zugriffsanfrage und ein NDA.
Welche KI-Modelle verarbeiten die Anrufe auf Synthflow?
Das Trust Center von Synthflow nennt derzeit unter anderem diese Unterauftragsverarbeiter, jeweils mit der Region, in der sie Daten verarbeiten: OpenAI und Anthropic für die Sprachmodelle, Deepgram und Soniox für die Spracherkennung und ElevenLabs für die Sprachsynthese.
Schwärzt Synthflow Kreditkartennummern?
Bei neuen Anrufen entfernt die Schwärzung von Synthflow Kartennummern, Ablaufdaten und Kartenprüfnummern (CVV) aus Transkripten, Webhook-Payloads und Logs. Das Audio bleibt unberührt, und die Schwärzung ist nicht zu 100 % fehlerfrei.
Wer ist bei ausgehenden KI-Anrufen für die Einwilligung nach dem TCPA verantwortlich?
Für die Einwilligung nach dem TCPA und die Einhaltung der Do-not-Call-Listen ist das Unternehmen verantwortlich, das die Anrufe tätigt. Synthflow bietet die Beschränkung auf Geschäftszeiten, Anrufzeitfenster für Kampagnen und ein Protokoll jedes Anrufs.
Ist Synthflow nach ISO 42001 oder der KI-Verordnung zertifiziert?
Das Trust Center von Synthflow führt ISO/IEC 42001:2023 und die KI-Verordnung auf und gibt an, dass das KI-Governance-Programm von Synthflow an beiden ausgerichtet ist. Als Zertifizierung ist keines von beiden aufgeführt.
Unterstützt Synthflow Single Sign-on?
Mit einem Enterprise-Vertrag unterstützt Synthflow Single Sign-on, unter anderem über die Identitätsanbieter Okta, Microsoft Entra ID, Google SAML und Auth0.