Was d.velop documents ist

d.velop documents ist ein Dokumentenmanagementsystem für Ablage, digitale Akten, Workflows und Archivierung. Es läuft als Clouddienst auf der d.velop cloud platform, im eigenen Rechenzentrum oder in Kombination. Die selbst betriebene Variante beruht auf der d.3-Technik, der Webclient hieß früher d.3one.

Hersteller ist die d.velop AG aus Gescher im Münsterland, gegründet 1992. Sie ist nicht börsennotiert und gehört der d.velop holding GmbH. Nach eigenen Angaben hat sie rund 1.100 Beschäftigte und über 14.500 Kunden.

Wofür es eingesetzt wird

Unternehmen und Verwaltungen nutzen d.velop documents für digitale Akten, Rechnungen, Verträge und die revisionssichere Ablage nach GoBD. Ein Prüfbericht nach IDW PS 880 bestätigt die Eignung dafür. Anbindungen gibt es unter anderem an SAP und Microsoft 365 sowie über den Standard CMIS.

Für die Cloud nutzt d.velop Rechenzentren von Amazon Web Services und von T Cloud Public der Deutschen Telekom. Welcher Anbieter zum Zug kommt, hängt laut d.velop vom Anwendungsfall ab. Wer von einer eigenen Installation in die Cloud wechselt, kann ein Migrationswerkzeug des Herstellers nutzen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Clouddienst des Herstellers; Fragen zu Selbstbetrieb und Quellcode sind für einen Clouddienst sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die d.velop AG mit Sitz in Gescher; sie gehört der d.velop holding GmbH. Nach einem Bericht von 2015 hielt Mitgründer Christoph Pliete die Holding allein (Sekundärquelle); eine Sekundärquelle von Oktober 2026 beschreibt d.velop als vollständig in europäischem Besitz. Beleg: All about d.velop · Zertifikat ISO/IEC 27001:2022, Nr. K-0220998 · Deal News: d.velop · d.velop documents
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	d.velop selbst unterliegt keinem Drittstaatsrecht. Für Clouddienste nutzt d.velop aber neben T Cloud Public auch Amazon Web Services, einen US-Konzern, der dem CLOUD Act unterliegt; welcher Anbieter für den jeweiligen Mandanten genutzt wird, hängt laut d.velop vom Anwendungsfall ab. Welche Plattform d.velop documents heute nutzt, ist nicht eindeutig belegt: Die Telekom nennt als Referenz nur d.velop sign, der AWS Marketplace vermerkt für d.velop documents keinen Betrieb auf AWS. Beleg: d.velop cloud storage · Reference customer d.velop · d.velop SUMMIT 2025 · AWS Marketplace: d.velop documents · Leistungsbeschreibung d.velop cloud platform, Ve…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Dienst wird vom Anbieter betrieben. Daten werden im Ruhezustand mit AES-256 verschlüsselt, mit getrennten Schlüsseln je Datenspeicher und protokolliertem Schlüsselzugriff; die Schlüssel verwaltet d.velop. Optional kann ein einzelnes Dokument zusätzlich mit einem persönlichen Schlüssel verschlüsselt werden, das System kann es dann nicht mehr lesen, durchsuchen oder in der Vorschau zeigen (beschrieben für d.velop documents light). Beleg: Leistungsbeschreibung d.velop cloud platform, Ve… · d.velop documents light: Security made in Germany
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Die d.velop AG (Gescher, HRB 4903) gehört laut Anbieter der d.velop holding GmbH (Gescher, HRB 15582); beide sind bei GLEIF registriert, für die AG ist dort aber eine Ausnahme statt einer Muttergesellschaft hinterlegt. Wer die Holding hält, ist nur durch eine Meldung von 2015 belegt (Mitgründer Christoph Pliete als alleiniger Gesellschafter, stille Beteiligungen deutscher Fonds). Ein Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz ist nicht ersichtlich, der aktuelle Stand der Eigentümer aber nicht öffentlich belegt. Beleg: All about d.velop · Suche „d.velop“ (d.velop AG, d.velop holding GmbH) · LEI 391200D1QNR4SWBTQ470 (d.velop AG) · Deal News: d.velop

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Der Auftragsverarbeitungsvertrag legt die Verarbeitung ausschließlich in EU oder EWR fest; eine Verlagerung in Drittländer bedarf der vorherigen Zustimmung des Kunden. Laut Leistungsbeschreibung werden Inhalte der Basis-Apps grundsätzlich in Deutschland gespeichert und Backups redundant in mehreren Rechenzentren abgelegt, deren Standort nicht genannt wird; bei Apps Dritter können Daten an andere Standorte übertragen werden. Die Festlegungen zur Auftragsverarbeitung (Oktober 2026) behalten im Ausnahmefall eine Offenlegung an Empfänger in Drittländern vor, etwa im Supportfall. Beleg: Data Processing Agreement (Auftragsverarbeitungs… · Leistungsbeschreibung d.velop cloud platform, Ve… · Specifications for data processing (Festlegungen…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	teilweise	Auslegung: Der Clouddienst läuft nur in Rechenzentren, die d.velop auswählt. d.velop documents ist aber auch zum Selbstbetrieb und im Hybridbetrieb erhältlich, und d.velop entwickelt die On-Premises-Variante weiter. Beleg: Getting started: Cloud, on-premises oder hybrid · d.velop documents repo export API (Entwicklerdok…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation der Telemetrie- oder Diagnosedaten des Clouddienstes und ihrer Abschaltbarkeit wurde nicht gefunden; die Datenschutzinformationen im Serviceportal waren nur nach Anmeldung abrufbar. Beleg: Leistungsbeschreibung d.velop cloud platform, Ve…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nicht belegbar	Gegenprüfung an der Quelle: AVV, Spezifikation und Leistungsbeschreibung enthalten keine Aussage zum KI-Training mit Kundendaten; Store-Seite zu d.velop pilot ebenso nicht (OpenAI wählbar, Drittland). Kein vertraglicher Ausschluss auffindbar.

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	d.velop documents ist proprietäre Software; ein öffentlicher Quellcode wurde nicht gefunden. Beleg: All about d.velop · Getting started: Cloud, on-premises oder hybrid
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre d.velop cloud platform bzw. die d.velop-Software voraus. Beleg: Leistungsbeschreibung d.velop cloud platform, Ve… · Getting started: Cloud, on-premises oder hybrid
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Für den Clouddienst ist ein Weiterbetrieb nach Vertragsende nicht vorgesehen; Daten werden nach Ablauf der Fristen gelöscht, gelöschte Daten noch 30 Tage vorgehalten. Beleg: Leistungsbeschreibung d.velop cloud platform, Ve… · Leistungsbeschreibung d.velop cloud platform, Ve…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Das veröffentlichte ISO/IEC-27001:2022-Zertifikat der d.velop AG (Kiwa, Nr. K-0220998, SaaS, On-Premises und Hybrid, nur Standort Gescher) und die Konformitätsbescheinigung nach ISO 27017 für cloud platform und documents gelten bis 25.06.2026; ein Folgezertifikat wurde nicht gefunden. Eine Sekundärquelle (Oktober 2026) nennt ISO 27001:2022 weiterhin. Zusätzlich bestehen TISAX Level 2 und ein Prüfbericht nach IDW PS 880; der Rechenzentrumspartner ist u. a. nach ISO 27001 und C5 zertifiziert. Ein C5-Testat für d.velop selbst wurde nicht gefunden. Beleg: Zertifikat ISO/IEC 27001:2022, Nr. K-0220998 · Konformitätsbescheinigung ISO/IEC 27017:2015 · Certifications, test reports & awards · d.velop documents · Leistungsbeschreibung d.velop cloud platform, Ve…
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Ein externer Sicherheitsdienstleister meldete 2025 eine XSS-Lücke in d.3one; d.velop reagierte am selben Tag, behob sie binnen zwei Wochen und lieferte korrigierte Versionen im Mai 2025 aus (Sekundärquelle). Eine öffentliche Meldestelle, Disclosure-Richtlinie oder ein Verzeichnis von Sicherheitsmeldungen wurde nicht gefunden. Beleg: usd-2025-0019: d.3one 1.14.16 - Reflective Cross…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die d.velop AG mit Sitz in Deutschland; laut Anbieter gilt deutscher Datenschutz. Allgemeine Verkaufsbedingungen und Vertragsdokumente liegen hinter einer Anmeldung; anwendbares Recht und Gerichtsstand sind daher nicht belegt. Beleg: All about d.velop · d.velop documents light: Security made in Germany
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Die öffentlichen „Festlegungen zur Auftragsverarbeitung“ (Stand 2026-10-08) listen die Unterauftragsverarbeiter je Produkt mit Gesellschaft, Ort und Zweck, für d.velop documents Cloud u. a. AWS EMEA (Luxemburg), Telekom Deutschland (Bonn) und Microsoft Ireland (Dublin). Laut Auftragsverarbeitungsvertrag (Abschnitt 6.3) kündigt d.velop beabsichtigte Änderungen vorab in Textform an; der Kunde kann aus wichtigem Grund widersprechen. Eine feste Frist ist nicht genannt. Beleg: Specifications for data processing (Festlegungen… · Data Processing Agreement (Auftragsverarbeitungs…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Laut Service Level Agreement Cloud & SaaS wird die Zustimmung zum Fernzugriff bei der Störungsanalyse im Einzelfall beim technischen Ansprechpartner des Kunden eingeholt, der die Sitzung überwacht. Im Fehlerfall arbeitet d.velop laut Leistungsbeschreibung mit privilegierten Berechtigungen, die Zugriff auf Kundendaten ermöglichen; wo Betriebs- und Administrationspersonal sitzt, ist nicht dokumentiert. Die Festlegungen zur Auftragsverarbeitung erlauben im Supportfall eine Offenlegung an Empfänger in Drittländern auf Grundlage von Standardvertragsklauseln. Beleg: Service Level Agreement Cloud & SaaS, Version 20… · Leistungsbeschreibung d.velop cloud platform, Ve… · Specifications for data processing (Festlegungen…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Die repo export API liefert Metadaten als JSON im d.velop-eigenen StandardDocument-Format und die Originaldateien (z. B. PDF, TIFF); sie ist ausdrücklich auch als Exit- und Backupweg gedacht. Für CMIS, einen offenen OASIS-Standard, bietet d.velop eigene Dienste an. Ein herstellerunabhängiges Exportformat für Akten, Workflows und Konfiguration wurde nicht gefunden. Beleg: d.velop documents repo export API (Entwicklerdok… · Leistungsbeschreibung d.velop connect for CMIS,… · Leistungsbeschreibung d.velop cmis services for… · d.velop documents repo export API: Einleitung (D…
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	d.velop dokumentiert REST-Schnittstellen (u. a. repo export API, Migrations-API, DMS-Konfiguration) und eine CMIS-Anbindung. Ob d.velop documents eine Anmeldung über SAML oder OpenID Connect unterstützt, wurde in den geprüften Quellen nicht gefunden. Beleg: d.velop documents repo export API (Entwicklerdok… · Getting started: Cloud, on-premises oder hybrid · Leistungsbeschreibung d.velop connect for CMIS,…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Ein vollständiger Export von Dokumenten, Metadaten und Stammdaten ist über die repo export API möglich. In der Cloud muss die API aber je Mandant vom d.velop-Support freigeschaltet werden; Kosten sind nicht angegeben. Die Leistungsbeschreibung der cloud platform regelt bei Vertragsende nur die Löschung, keine Datenrückgabe. Beleg: d.velop documents repo export API (Entwicklerdok… · Leistungsbeschreibung d.velop cloud platform, Ve…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Auf welcher Plattform d.velop documents für deutsche Mandanten läuft. Die geprüften Leistungsbeschreibungen stammen von 2022.
Ob die ISO-27001-Zertifizierung über Juni 2026 hinaus verlängert wurde.
Welche Unterauftragsverarbeiter gelten und wie Support- und Diagnosedaten geregelt sind. Die Vertragsunterlagen liegen hinter einer Anmeldung.
Welches Recht und welcher Gerichtsstand gelten.
Ob d.velop documents eine Anmeldung über SAML oder OpenID Connect unterstützt.
Ob die Freischaltung des Exports etwas kostet.
Wer die d.velop holding GmbH heute hält, weil nur eine Meldung von 2015 vorliegt und GLEIF für die AG eine Ausnahme ausweist.
Ob d.velop vertraglich ausschließt, Kundendaten für das Training von KI-Modellen zu nutzen, weil die Verträge KI-Training nicht ausdrücklich regeln.
Von wo Support- und Administrationspersonal der d.velop AG im Ausnahmefall zugreift, weil die Festlegungen Drittlandszugriffe im Supportfall zulassen.
Ob Backups der d.velop cloud platform in Deutschland bzw. der EU liegen, weil die Leistungsbeschreibung nur „mehrere Rechenzentren“ nennt.
Wo Betriebs- und Administrationspersonal der d.velop cloud platform sitzt, weil weder Leistungsbeschreibung noch SLA oder Festlegungen dies angeben.
Ob die Ausnahme in Abschnitt 5 der Festlegungen (Offenlegung an Drittländer im Supportfall) neben Zugriff auch Speicherung von Kundendaten umfasst.

Fragen vor einer Entscheidung

Auf welcher Plattform läuft Ihr Mandant, Amazon Web Services oder T Cloud Public, und ist das im Vertrag festgehalten?
Liegt Ihnen ein aktuelles ISO-27001-Zertifikat vor? Das veröffentlichte galt bis Juni 2026.
Ist die Export-Schnittstelle für Ihren Mandanten freigeschaltet, und haben Sie einen vollständigen Export einmal geprobt?
Welche Apps Dritter nutzen Sie, und wohin übertragen diese Ihre Daten?

d.velop documents