Revolutionieren Sie Ihren Anrufbetrieb mit Retell
SOC 2 Type II: Prüfbericht, ob die Kontrollen eines Anbieters über einen Zeitraum wirksam waren. Type 1 vs. Type 2, 5 Kriterien und wie Sie ihn lesen.
SOC 2 Type II (auch SOC 2 Type 2 geschrieben) ist der Bericht einer unabhängigen Wirtschaftsprüfungsgesellschaft (CPA-Firma) darüber, ob die Kontrollen eines Dienstleisters zum Schutz von Kundendaten über einen definierten Zeitraum angemessen konzipiert waren und tatsächlich wirksam funktioniert haben. Maßstab sind die Trust Services Criteria des AICPA. Es handelt sich um eine Testierung, nicht um ein Zertifikat: Das Ergebnis ist ein Prüfungsurteil samt der zugrunde liegenden Tests, kein Siegel nach dem Prinzip „bestanden oder nicht bestanden“.
Type I prüft die Konzeption der Kontrollen zu einem einzigen Stichtag. Type II prüft, ob dieselben Kontrollen über einen Zeitraum von mehreren Monaten hinweg funktioniert haben.
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Abgedeckter Zeitraum | Ein Stichtag („zum“) | Ein Zeitraum mit Start- und Enddatum |
| Was der Prüfer testet | Ob die Kontrollen angemessen konzipiert sind | Ob die Kontrollen angemessen konzipiert sind und wirksam funktioniert haben |
| Was er Käufern verrät | Die Kontrollen existieren auf dem Papier und in der Konfiguration | Die Kontrollen liefen tatsächlich, und wo sie versagt haben (Abweichungen) |
Unternehmen schließen häufig zuerst einen Type-I-Bericht ab und dann einen Type-II-Bericht, sobald sie über eine prüfbare Betriebshistorie verfügen.
Die Trust Services Criteria sind die fünf Kategorien des AICPA, die ein SOC-2-Bericht abdecken kann. Sicherheit ist in jedem SOC-2-Bericht enthalten. Ob die anderen vier hinzukommen, entscheidet das Unternehmen selbst.
Zwei Anbieter können beide „SOC 2 Type II“ angeben und dennoch unterschiedliche Kategorien abdecken. Prüfen Sie daher den Umfang, bevor Sie vergleichen.
Prüfungszeiträume umfassen in der Regel 3 bis 12 Monate. Der Bericht trifft nur Aussagen über dieses Zeitfenster, achten Sie also auf das genaue Start- und Enddatum.
Um die Lücke zwischen dem Ende des Zeitraums und dem nächsten Bericht zu überbrücken, stellen Anbieter häufig einen Bridge Letter (oder Gap Letter) aus: eine Erklärung des Managements, dass seitdem keine wesentlichen Änderungen an den Kontrollen erfolgt sind. Diesen verfasst der Anbieter, nicht der Prüfer. Er ersetzt den Bericht daher nicht.
Beginnen Sie mit dem Prüfungsurteil und den Daten. Lesen Sie dann die Abschnitte, die Risiken auf Sie zurückverlagern:
SOC-2-Berichte sind Dokumente mit eingeschränkter Nutzung und werden meist unter NDA weitergegeben. Ein SOC-3-Bericht ist eine kürzere, allgemein nutzbare Version, die ein Anbieter veröffentlichen kann. Er enthält jedoch nicht die oben genannten Testdetails.
Eine Plattform für Sprachagenten verarbeitet Anrufaufzeichnungen, Transkripte und die personenbezogenen Daten, die Anrufende aussprechen. Diese Daten können Telefonie-, Sprach- und Sprachmodell-Anbieter durchlaufen. Dadurch gewinnen Subservice-Organisationen besonders an Bedeutung. Kombinieren Sie die SOC-2-Prüfung mit zwei weiteren Fragen: Wo werden die Daten gespeichert (Datenresidenz), und speichert ein Anbieter sie nach dem Anruf weiter (Zero Data Retention)?
SOC 2 hat auch Grenzen. Es prüft nicht, wie genau ein KI-Agent arbeitet, und ersetzt weder ein HIPAA Business Associate Agreement noch einen DSGVO-Auftragsverarbeitungsvertrag. Für das Gesamtbild lesen Sie Compliance für KI-Sprachagenten, den Compliance-Leitfaden für Sprach-KI im Unternehmen und HIPAA-Compliance für KI-Telefonagenten.
Die Dokumentation zu Sicherheit und Compliance der Retell AI führt SOC 2 Type 1 und Type 2 auf, mit unabhängig geprüften Kontrollen für Sicherheit, Verfügbarkeit und Vertraulichkeit. Zertifikate, Berichte und den aktuellen Prüfungsstatus finden Sie im Retell Trust Center. Fordern Sie den Type-2-Bericht an und prüfen Sie ihn anhand der obigen Checkliste.
Einige Kontrollen liegen auf Ihrer Seite. In Retell legen Sie beispielsweise den Aufbewahrungszeitraum der Daten pro Agent fest, von 1 Tag bis 2 Jahre oder ohne automatische Löschung. Diese Entscheidung treffen und dokumentieren Sie selbst. Für Listen der Unterauftragsverarbeiter oder eine individuelle Sicherheitsprüfung verweist die Dokumentation an support@retellai.com.
Wenn Ihr Sicherheitsteam Anbieter von Sprach-KI prüft, erfahren Sie auf der Seite zur Enterprise-Plattform für konversationelle KI, wie die Retell AI regulierte Bereitstellungen unterstützt.