Unternehmensrichtlinien

Unternehmensvision und Mission

Dieses Dokument über die Unternehmensrichtlinien von Wondersys umfasst die Qualitätsstandards in Bezug auf die Norm UNI EN ISO 9001:2015, die Richtlinie zum Schutz personenbezogener Daten (Datenschutzrichtlinie) in Bezug auf die EU-Verordnung 679/2016 GDPR und die Informationssicherheitsrichtlinie in Bezug auf die Norm ISO/IEC 27001 [1]. Die Kurzfassung wird online über die Unternehmenswebsite bereitgestellt https://www.wonder-sys.com/de/home-de/.

Die Wondersys GmbH ist eine Tochtergesellschaft der Wondersys Srl und hat ihren Sitz in der Weißfrauenstraße 12-16, 60311 Frankfurt am Main, Deutschland. Beide Unternehmen, Wondersys Srl und Wondersys GmbH, verfolgen die gleiche Unternehmenspolitik und teilen ein integriertes System für Qualität, Informationssicherheit und Datenschutz. Dies gewährleistet eine konsistente Einhaltung höchster Standards über alle Geschäftsfelder hinweg.

Wondersys s.r.l. ist ein Unternehmen aus der Toskana, das im IT-Sektor tätig ist mit dem Schwerpunkt Software-Entwicklung sowie IT-Infrastruktur und IT-Lösungen und -Dienstleistungen für lokale, nationale und internationale Kunden zur Verfügung stellt. Außerdem bietet die Wondersys s.r.l. mit Ihrem Quant- und Regulierungsteam Finanzdienstleistungen an. Die DACH-Region wird von der Tochtergesellschaft in der Niederlassung Frankfurt aus unterstützt.

Die physischen Standorte der beiden Unternehmen in Italien und Deutschland sind so beschaffen, dass sie den kommerziellen, technischen und kommunikativen Anforderungen der von der Gruppe bedienten Bereiche und Marktsektoren durch Ihre enge Vernetzung gerecht werden.

Die Unternehmensvision von Wondersys besteht darin, ein zuverlässiger Partner für bestehende und potenzielle Kunden zu sein, der über die nötige Dynamik verfügt, um die Chancen der neuen Informationstechnologien aktiv und kurzfristig zu nutzen und IKT-Produkte und -Dienste anzubieten, die den wachsenden Anforderungen und aktuellen digitalen Herausforderungen gerecht werden.

Die Unternehmensmission besteht darin, Produkte und Dienstleistungen anzubieten, die höchsten Anforderungen an Qualität, Informationssicherheit und den Schutz personenbezogener Daten genügen. Dabei stehen Kundenzufriedenheit und eine kontinuierliche Verbesserung der Leistungen im Mittelpunkt mit dem Ziel, die Marktpräsenz zu stärken und den Geschäftserfolg langfristig zu sichern.

Gemeinsame Aspekte der Richtlinien

Die Bereiche Informationsqualität, Datenschutz und Sicherheit sind weitgehend miteinander verknüpft.

Die in der Einleitung dargestellten Vision und Mission definieren die Identität, den Zweck sowie die übergeordneten Ziele und die strategische Ausrichtung des Unternehmens. Auch der Anwendungsbereich des integrierten Managementsystems (IMS) wird dort wie die grundlegende Unternehmensstrategie kurz beschrieben.

Die Unternehmensorganisation folgt einer funktionalen Struktur mit klar definierten Rollen und Verantwortlichkeiten. Gleichzeitig erlaubt ein gewisses Maß an Flexibilität eine effiziente Bereitstellung der Dienstleistungen. Zur Veranschaulichung der Mitarbeiterstruktur wurden sowohl ein allgemeines Unternehmensorganigramm als auch ein spezifisches Organigramm für Informationssicherheit und Datenschutz erstellt.

Wondersys hat ein IMS-Handbuch erstellt, das die eingesetzten Prozesse und Technologien dokumentiert. Es beschreibt, wie die Anforderungen geltender Gesetze und anerkannter Vorschriften erfüllt werden und wie sowohl übergeordnete als auch spezifische Ziele verfolgt werden.

Diese Richtlinie wird dem Personal vorgestellt, dauerhaft bereitgestellt und regelmäßig aktualisiert.  Das passiert mindestens einmal jährlich oder bei besonderen Anlässen. Solche Anlässe können beispielsweise Änderungen der Geschäftsstrategie, Technologie, relevanter Gesetze, Regulierungen, Vorschriften und Normen oder bedeutender Verträge sein. Auch neue Risiken, Chancen, bedeutende Vorfälle oder andere interne und externe Faktoren, die die strategischen Ziele beeinflussen, können eine Anpassung erforderlich machen.

Die Unternehmensrichtlinie kann interessierten und relevanten externen Parteien auf Anfrage zur Einsichtnahme zur Verfügung gestellt werden.

Basis zur Erreichung allgemeiner Ziele

Generell handelt das Unternehmen nach folgenden Grundsätzen:

  • Kundenorientierung,
  • Engagierte und wertschätzende Mitarbeiterführung,
  • Aktive Beteiligung der Mitarbeiter an wichtigen Entscheidungsprozessen,
  • Evidenzbasierte und datengetriebene Entscheidungsfindung,
  • Nachhaltige Beziehungspflege,
  • Prozessorientierter Arbeitsansatz,
  • Ganzheitliches Risikomanagement,
  • Datenschutz und Sicherheit,
  • Kontinuierliche Überwachung, Bewertung und Verbesserung der Prozesse.

Die verwendeten Grundsätze werden in den Abschnitten, allgemeinen Verfahren und Betriebsanweisungen der IMS-Handbuchdokumentation ausführlich erläutert.

Das Unternehmen, insbesondere in der Person des Eigentümers, Alleindirektors und Geschäftsführers, der an der Ausarbeitung dieser Richtlinie mitwirkt und diese genehmigt, übernimmt die formelle Verpflichtung, die im Handbuch enthaltenen Anforderungen zu erfüllen und die kontinuierliche Verbesserung des integrierten Managementsystems voranzutreiben.

Zum Zwecke der Verbesserung (dies ist aber auch für die einfache Aufrechterhaltung des Leistungs- und Zuverlässigkeitsniveaus des Unternehmens notwendig) werden die meisten Prozesse in Bezug auf Informationsqualität, Datenschutz und Sicherheit mit dem sogenannten PDCA-Zyklus umgesetzt[2] (abgeleitet aus den Grundsätzen der ISO 9001), wobei bestimmte Tätigkeiten periodisch und nicht nur nach wesentlichen Änderungen durchgeführt werden.

Nachfolgend finden Sie Listen zusätzlicher Instrumente zur Zielerreichung, thematisch nach Bereichen und ihren zentralen Aufgaben gegliedert. Einige dieser Instrumente können auch bereichsübergreifend zum Einsatz kommen.

Qualitätsmerkmale

Zusätzlich zu den bereits allgemein aufgeführten Grundsätzen werden folgende weitere durchgeführt:

  • Die regelmäßige Ermittlung der Kundenzufriedenheit durch gezielte Fragen zur Identifizierung von Verbesserungsmöglichkeiten,
  • die Ernennung der Verantwortlichen für Unternehmensfunktionen, einschließlich derjenigen im Zusammenhang mit Gesundheit und Sicherheit am Arbeitsplatz, sowie des Systemadministrators (Informationssystemadministrator); Weitere Ernennungen sind für die Bereiche Datenschutz und Informationssicherheit vorgesehen,
  • Die Integrierung von Prozessen zur Sicherung von Qualität und Sicherheit der erstellten Software,
  • Die genaue Prüfung von zu erwerbenden und zu nutzenden Produkten und Dienstleistungen.

Privatsphäre und Schutz personenbezogener Daten

Unser Unternehmen ist verpflichtet, die Bestimmungen der Europäischen Datenschutz-Grundverordnung (DSGVO, EU-Verordnung 2016/679) hinsichtlich der Verarbeitung personenbezogener Daten von EU-Bürgern einzuhalten und daher nach dem Referenzverfahren UNI/PdR 43.2 zertifiziert. Wondersys ist dabei, die Umstellung auf die neueste Norm EN 17799 umzusetzen. Beides soll die Einhaltung der DSGVO und deren Anforderungen durch den Inhaber und die Verantwortlichen bei sämtlichen Nutzung personenbezogener Daten im Rahmen der Unternehmenstätigkeit so weit wie möglich gewährleisten und sicherstellen.

Als Organisationsdokument in dieser Hinsicht hat Wondersys einen Leitfaden für die Sicherheit und den Datenschutz personenbezogener Daten erstellt. Das Dokument beschreibt die Ernennung des Eigentümers, des Managers und der für die Verarbeitung personenbezogener Daten Verantwortlichen vorsieht und wird regelmäßig und je nach Kontextänderungen für die Frage einer möglichen Notwendigkeit der Ernennung eines Datenschutzbeauftragten oder Data Protection Officer DPO) verwendet.

Die Datenschutzrichtlinie zur Verarbeitung der Kontaktdaten von Kunden, Lieferanten, Mitarbeitern und Gesprächspartnern ist auf der Website des Unternehmens verfügbar. Den Interessenten können konkrete Informationen zur Verarbeitung ihrer personenbezogenen Daten zur Verfügung gestellt werden.

Weitere wichtige Punkte der Informationssicherheit

Neben den bereits allgemein aufgeführten Aspekten werden folgende weitere Maßnahmen umgesetzt

  • Die Daten- und Anwendungssicherheit sowie die Geschäftskontinuität werden durch die Erstellung eines Geschäftskontinuitätsplans (BCP) sichergestellt. Dieser ist in den Informationssicherheitsplan integriert und umfasst präventive technische und organisatorische Maßnahmen zur Verringerung der Bedrohungen und das sowohl in ihrer Eintrittswahrscheinlichkeit als auch in ihrer Schwere sowie zur Wiederherstellung im Falle von Sicherheitsvorfällen.;
  • Die Ernennung des Informationssicherheitsbeauftragten und Zuweisung der Risikoverantwortung an die „Eigentümer“ der Vermögenswerte;
  • Ddie Anwendung der in ISO 27002 vorgesehenen „Kontrollen“ (Maßnahmen zur Bewältigung von Risiken) zur Vorbeugung, Erkennung und Behebung(identisch mit Anhang A von ISO 27001);
  • Einführung der Anforderungen der DORA-Verordnung (EU-Verordnung 2022/2554) [3]. Wondersys ist zwar kein Finanzunternehmen, aber ein Lieferant, der Teil der Lieferkette von Finanzunternehmen ist;
  • Wondersys berücksichtigt die Anforderungen der NIS-2-Richtlinie (EU-Richtlinie 2022/2555)[4] im Rahmen ihrer schrittweisen Umsetzung. Als Managed Services Provider[5] im B2B-IT-Dienstleistungssektor betreut das Unternehmen Kunden, die als “wichtige Einrichtungen” unter den Anwendungsbereich der Richtlinie fallen.

Grundsätze im Zusammenhang mit dem Einsatz künstlicher Intelligenz

Wondersys nutzt die Potenziale Künstlicher Intelligenz (KI) sowohl zur Unterstützung interner Prozesse und täglicher Arbeitsabläufe als auch in Projekten und Lösungen für Kunden. Ziel ist es, schnelle, verlässliche und transparente Ergebnisse bereitzustellen.

In ersten Anwendungsfällen kommen KI-Technologien wie virtuelle Assistenten und generative KI-Systeme auf Basis großer Sprachmodelle (Large Language Models, LLMs) zum Einsatz. Diese Konversations-KI kann Fragen beantworten, Texte generieren, Sprachen übersetzen und kreative Aufgaben übernehmen. Darüber hinaus werden KI-gestützte Tools als Plug-ins in integrierten Entwicklungsumgebungen (IDEs) genutzt, beispielsweise als Programmierassistenten, die die Softwareentwicklung durch Unterstützung beim Codieren erleichtern. Im Rahmen dieser Richtlinie ist ausschließlich der Einsatz von Tools erlaubt, die in den Google-Workspace-Businessplan integriert sind, insbesondere wenn potenziell vertrauliche Informationen verarbeitet oder weitergegeben werden könnten.

In jedem Fall ist eine sorgfältige Überprüfung der von der KI gelieferten Ergebnisse erforderlich, einschließlich der überprüfbaren Herkunft der genutzten Quellen, um eine angemessene inhaltliche Qualität sicherzustellen.

Im zweiten Fall wird künstliche Intelligenz in Forschungs- und Entwicklungsanwendungen zur Textinterpretation, Anwendungen zur Verwaltung landwirtschaftlicher Informationen und Anwendungen zur Interpretation von Bildern mit Bezug auf Objekte eingesetzt. Ausgeschlossen ist jegliche Verarbeitung personenbezogener Daten und/oder Daten, die in irgendeiner Weise Risiken für Personen und ihre Rechte mit sich bringen könnten und daher die Relevanz und Anwendbarkeit der DSGVO beeinträchtigen.

Dennoch müssen auch bei zukünftigen Weiterverwendungen die Aspekte der Verordnung über künstliche Intelligenz berücksichtigt werden, dessen Grundsätze folgende Punkte betreffen 

  • Transparenz im Sinne klarer Informationen über die Funktionsweise des KI-Systems, 
  • Ethik und Verantwortung, für die Achtung der Menschenrechte, Sicherheit und für die Verhinderung von Missbrauch, 
  • Zuverlässigkeit, die erfordert, dass Anwendungen akkurat sind und detailliertgetestet werden,
  • Fairness und Antidiskriminierung, um Antworten auszuschließen, die von Vorurteilen und/oder Diskriminierung geprägt sind.

KI-Anwendungen, die darauf abzielen, das Nutzerverhalten durch Informationsmanipulation zu beeinflussen, sind eindeutig verboten. Es muss festgestellt werden, ob es sich bei dem als Suchmaschine konzipierten oder eingesetzten KI-System um ein Hochrisikosystem handelt, das besondere Vorsichtsmaßnahmen und Kontrollen erfordert. Wichtig sind eine strenge Risikoanalyse auf Grundlage von Daten und dem jeweiligen Kontext, die Eindämmung negativer Auswirkungen und ein Design, das im Problemfall ein Eingreifen durch menschliche Aufsicht ermöglicht.

Einhaltung gesetzlicher Anforderungen

Neben den EU-Verordnungen sowie den nationalen Gesetzen zur Umsetzung der genannten EU-Richtlinien ist das Unternehmen selbstverständlich verpflichtet, sämtliche weiteren Vorschriften und Gesetze einzuhalten, die in Bezug auf seine spezifischen Merkmale und Tätigkeiten Anwendung finden. Besonders hervorzuheben sind hierbei die EU-Richtlinie 2019/770 über vertragliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen (umgesetzt durch das Gesetzesdekret 173/2021) sowie die EU-Richtlinie 2019/882 über die Barrierefreiheitsanforderungen für Produkte und Dienstleistungen (umgesetzt durch das Gesetzesdekret 82/2022).

Die Verpflichtungen zur Barrierefreiheit scheinen in erster Linie auf Dienste ausgerichtet zu sein, die sich an die breite Öffentlichkeit richten, und weniger auf Websites, die ausschließlich der Benutzerführung innerhalb spezifisch entwickelter Kundenanwendungen dienen. Dennoch bietet die Erfüllung der Barrierefreiheitsanforderungen für Front-End-Terminals, sowohl auf PCs als auch auf mobilen Endgeräten, dem Unternehmen die Chance, die Grundsätze der Richtlinie bereits bei der Entwicklung neuer Anwendungen umzusetzen und anschließend auch bestehende, im Einsatz befindliche sowie weiterhin unterstützte Anwendungen entsprechend anzupassen.

Wettbewerbsfaktoren

Das Unternehmen kann die folgenden Stärken gezielt für sich nutzen, die zusätzlich positive Faktoren darstellen, auf die es setzt.

Produkte, Dienstleistungen, Partnerschaften

  • Dank seiner Präsenz auf dem lokalen, nationalen und europäischen Markt verfügt das Unternehmen im Verhältnis zu seiner Größe über eine gewisse Sichtbarkeit, die es ihm ermöglicht, seinen Auftragsbestand zu erweitern, was zum Wachstum sowohl in personeller als auch in professioneller Hinsicht beiträgt;
  • Bereitstellung standardisierter Produkte dank Partnerschaften mit Cloud-Anbietern sowie maßgeschneiderter Produkte, die auf der Grundlage der Kundenbedürfnisse entwickelt wurden, mit Methoden, die teilweise Wiederverwendung ermöglichen (skalierbare Produktion);
  • Bereitstellung von IT-Diensten und -Support, sowohl allgemein als auch bezogen auf für Kunden entwickelte und installierte IKT-Produkte;
  • die Verfügbarkeit grundlegender Zertifizierungen im relevanten Fachgebiet.

Personal

  • Die Präsenz des Unternehmens in den sozialen Medien (LinkedIn), der Kontakt zu öffentlichen Einrichtungen, insbesondere zu Schulen und Universitäten, die Bereitschaft, Praktika und Stellen zu ermöglichen, die Sichtung aller eingegangenen Bewerbungen ermöglicht die Auswahl der Kandidaten auf der Grundlage der erforderlichen beruflichen Fähigkeiten;
  • Das Unternehmen ermöglicht seinen Mitarbeitern erhebliche Flexibilität hinsichtlich ihres Arbeitsplatzes, der im Büro oder zu Hause sein kann, im Smart Working und, soweit dies zur Gewährleistung des Kundendienstes und gemeinsamer Aktivitäten erforderlich ist, auch hinsichtlich der Arbeitszeiten.

Kenntnisse und Technologien

  • Die Teilnahme der Mitarbeiter an internen und externen Kursen fördert sowohl das Wissen und das Bewusstsein in Bezug auf Richtlinien, Ziele und Anforderungen zu Qualität, Datenschutz und Informationssicherheit als auch die Entwicklung der technologischen Fähigkeiten des Unternehmens.
  • Der Fokus auf neue Anwendungen und Plattformen, die für das Unternehmen geeignet erscheinen, die Funktionstests und Sicherheitsüberprüfungen integrieren, bietet die Möglichkeit, neue Betriebsfunktionen zu nutzen.
  • Durch die ständige Überwachung möglicher Aktualisierungen von Vorschriften, Gesetzen und Regulierungen, insbesondere im Hinblick auf die in Unternehmenszertifizierungen genannten Vorschriften sowie Gesetze und Bestimmungen zu Datenschutz und IT-Sicherheit, kann die Einhaltung obligatorischer und freiwilliger Anforderungen gewährleistet werden.

Unternehmensinfrastruktur und -struktur

  • Aus baulicher Sicht bietet das Bürogebäude eine neue, gut ausgestattete, funktionale und komfortable Umgebung an einem auch von außerhalb der Stadt mit öffentlichen Verkehrsmitteln erreichbaren Standort mit angemessenen Parkmöglichkeiten, die von den Mitarbeitern geschätzt werden und für Kunden und Lieferanten leicht zugänglich sind.
  • Die Organisationsstruktur sieht bestimmte Rollen vor, die spezielle Fähigkeiten einiger Mitarbeiter ermöglichen, jedoch ein gewisses Maß an Austauschbarkeit haben, was für die Gewährleistung der Kontinuität bei externen Dienstleistungen nützlich ist.
  • Die Unternehmensstruktur und -größe ermöglichen die Anwendung einer wettbewerbsfähigen Preispolitik.

Die im Wesentlichen auf Cloud Computing basierende IT-Infrastruktur, wie Architektur, Ausrüstung und Verbindungen von Netzwerken und Systemen wird kontinuierlich gewartet und aktualisiert, um die Dynamik und Entwicklung der Unternehmensaktivitäten im Einklang mit den dafür relevanten Richtlinien umsetzen zu können;

  • Die Erstellung der IMS-Dokumentation hat es dem Unternehmen ermöglicht, Geschäftsprozesse, Qualitätsmanagement, Datenschutz und Informationssicherheit im Detail zu beschreiben.

Der alleinige Direktor gibt

Ing. Giacomo Sergio

13.03.2025

1 – Wondersys wurde erstmals im Jahr 2023 nach der Ausgabe 2013 von ISO 27001 zertifiziert. Im Jahr 2024 erfolgte dann die Umstellung der Zertifizierung auf die neuere ISO/IEC 27001:2022.

2 – Planen, Umsetzen, Prüfen, Handeln

3 – VERORDNUNG (EU) 2022/2554 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 14. Dezember 2022 über die digitale Betriebsstabilität des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1093/2009, (EG) Nr. 1094/2009, (EG) Nr. 1095/2009, (EG) Nr. 1097/2009, (EG) Nr. 1098/2009, (EG) Nr. 109 … 1060/2009, (EU) Nr. 1061/2009 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011

4 – RICHTLINIE (EU) 2022/2555 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 14. Dezember 2022 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-Richtlinie)

5 – die sich fortlaufend auf die Infrastruktur und/oder Anwendungen eines Kunden beziehen