Gorgias SOC 2 und Sicherheit: was es abdeckt – und was nicht (2026)

Was SOC 2 wirklich bedeutet (und was nicht)

SOC 2 ist ein Prüfrahmen, der vom American Institute of CPAs betrieben wird. Ein unabhängiger Prüfer kontrolliert einen Softwareanbieter anhand eines Satzes von Kontrollen, den sogenannten Trust Services Criteria, und stellt anschließend einen Bericht aus. Es ist keine staatliche Lizenz und kein pauschales Bestehen-oder-Durchfallen-Siegel, sondern ein detaillierter Bericht, den ein Käufer liest.

Das Nützlichste, was man wissen sollte, ist der Unterschied zwischen den beiden Berichtstypen, denn Anbieter verwischen ihn ständig:

• SOC 2 Type I bestätigt, dass Kontrollen an einem einzigen Tag korrekt konzipiert waren. Es ist eine Momentaufnahme.
• SOC 2 Type II bestätigt, dass diese Kontrollen über einen Zeitraum von 6 bis 12 Monaten tatsächlich funktioniert haben. Es ist ein Nachweis über die Zeit.

Type II ist die Variante, auf die es ankommt, und genau die besitzt Gorgias. Ein Type-I-Bericht lässt sich an einem Nachmittag Papierkram erwerben; ein Type-II-Bericht bedeutet, dass ein Prüfer den Kontrollen fast ein Jahr lang beim Laufen zugesehen hat.

Es gibt fünf Trust Services Criteria, die ein Prüfer abdecken kann: Security, Availability, Processing Integrity, Confidentiality und Privacy. Nur Security (die „Common Criteria“) ist verpflichtend, die anderen vier werden nach Ermessen des Anbieters aufgenommen, was ein Grund dafür ist, den tatsächlichen Bericht zu lesen statt dem Logo zu vertrauen. Wenn du zuerst mehr Hintergrund zur Plattform selbst willst, behandelt unsere Gorgias-Review, was das Produkt im Alltag leistet.

Hat Gorgias SOC 2? Ja, Type II

Gorgias besitzt SOC 2 Type II und hat es jährlich erneuert. Sein Trust Center gibt an, dass die letzte Erneuerung am 11/30/2024 erteilt wurde und dass dies das vierte Jahr in Folge ist, und listet einen herunterladbaren Bericht mit dem Titel „Gorgias SOC 2 Type II Report 12.31.2025.pdf“. Gorgias kündigte die Zertifizierung erstmals an nach einem sechsmonatigen unabhängigen Audit, mit Erneuerungen seit 2022. (Das Datum 11/30/2024 ist der Zeitpunkt, an dem die jüngste Erneuerung erteilt wurde; der Dateiname des Berichts spiegelt schlicht den geprüften Zeitraum wider, bis 12/31/2025.) Für Hintergründe zum Unternehmen hinter dem Siegel, siehe unseren Blick auf wem Gorgias gehört.

Das Trust Center läuft auf Vanta, was bedeutet, dass die Kontrollen hinter dem Siegel kontinuierlich überwacht werden, statt einmal im Jahr geprüft und dann vergessen zu werden. Das ist ein gutes Zeichen: Es ist der Unterschied zwischen einem Anbieter, der Compliance als lebendes System behandelt, und einem, der sie als jährliche Feuerübung behandelt. Das Gleiche gilt für jeden KI-Helpdesk-Agenten, den du bewertest: kontinuierliches Monitoring schlägt ein veraltetes PDF.

Wie man den Gorgias-SOC-2-Bericht bekommt

Der eigentliche Bericht liegt hinter einer kurzen Anfrage, was normal ist, SOC-2-Berichte enthalten genug interne Details, dass Anbieter sie selten öffentlich veröffentlichen. So geht's:

1. Öffne das Gorgias Trust Center und finde das gesperrte Dokument „SOC 2 Type II Report“.
2. Reiche ein „Request Access“-Formular ein (die Security-Seite leitet dieselbe Anfrage über das Vanta-Portal weiter). Du kannst auch eine E-Mail an security@gorgias.com schicken.
3. Wenn du schon einen kostenpflichtigen Plan hast, gibt es eine Abkürzung. Abschnitt 8 der Gorgias-DPA erlaubt es einem Kunden, einen aktuellen SOC-2-Type-II-Bericht anstelle eines eigenen Audits vor Ort zu akzeptieren, solange er nicht älter als 12 Monate ist und es keine wesentlichen Änderungen an den Kontrollen gab.

Dieser dritte Punkt ist wertvoller, als er aussieht. Für ein kleines E-Commerce-Team ist ein vom Anbieter bereitgestellter SOC-2-Type-II-Bericht oft die gesamte Sicherheitsprüfung, man liest ihn, anstatt eine eigene zu beauftragen. Dasselbe Trust Center sperrt außerdem einen Penetrationstest-Bericht, einen Incident-Response-Plan und eine Kryptografie-Richtlinie, falls dein Einkaufsteam das komplette Paket möchte.

Gorgias' vollständiges Compliance-Bild

Hier gehen Marketing und Realität ein wenig auseinander. Es kursieren viele Behauptungen à la „Gorgias ist enterprise-grade“, daher lohnt es sich, genau darzulegen, welche Zertifizierungen wirklich Gorgias' eigene sind und welche jemand anderem im Stack gehören.

Die ehrliche Zusammenfassung also: SOC 2 Type II ist das Zertifikat, das Gorgias besitzt und prüfen lässt; DSGVO, CCPA und HIPAA werden vertraglich und operativ gehandhabt statt als eigene Zertifikate; und ISO 27001 sowie PCI DSS sind nicht Gorgias' eigene. Das ist kein Vorwurf, es ist eine normale und solide Haltung für ein E-Commerce-Helpdesk. Es bedeutet nur, dass du in deiner Anbieterbewertung den SOC-2-Type-II-Bericht zitieren solltest, nicht ein ISO-27001-Siegel. (Falls die Kosten dabei deine eigentliche Frage sind, behandeln unser Gorgias-Preisleitfaden und die Gorgias-Ticket-Limit-Aufschlüsselung das Abrechnungsmodell.)

Jenseits des Siegels: wie Gorgias mit deinen Daten umgeht

Ein Zertifikat ist eine Zusammenfassung. Die Substanz ist das, was der Anbieter mit deinen Daten macht, wenn niemand prüft, und Gorgias' Security-Whitepaper 2025 und die DPA sind hier ziemlich konkret.

Verschlüsselung. Gorgias sendet Daten „ausschließlich über HTTPS TLS-verschlüsselte Verbindungen“, und alle Daten auf seinen Servern werden im Ruhezustand mit Schlüsseln verschlüsselt, die im Schlüsselverwaltungsdienst von Google Cloud verwaltet werden. Eine kleine Anmerkung für Gründliche: Gorgias' eigene Seiten sprechen von „im Ruhezustand verschlüsselt“, ohne eine konkrete Chiffre wie AES-256 zu nennen. Wenn dein Sicherheitsteam das schriftlich braucht, frage direkt danach.

Hosting und Datenresidenz. Gorgias läuft auf der Google Cloud Platform, nicht auf AWS, was viele Käufer als Annahme mitbringen. Verschlüsselte Backups werden über mehrere Google-Cloud-Regionen hinweg aufbewahrt, und die Subprozessoren-Liste zeigt, dass Google Cloud in den USA, der EU und Australien präsent ist. Was Gorgias öffentlich nicht garantiert, ist eine reine EU-Datenresidenz-Option für einen einzelnen Kunden. Falls Datenresidenz für dich ein hartes Kriterium ist, lass es dir also schriftlich bestätigen, bevor du unterschreibst.

Wohin deine Daten tatsächlich wandern. Das ist der Teil, den ein SOC-2-Siegel allein dir nicht zeigt. Die Support-Daten deiner Kunden liegen nicht nur in Gorgias, sie fließen zu einer Liste namentlich genannter Subprozessoren, und genau darum geht es bei SOC 2: Kontrollen dafür zu schaffen.

Die Subprozessoren-Liste (zuletzt aktualisiert am 30. März 2026) umfasst OpenAI für KI-Funktionen, Stripe für Zahlungen, Twilio für SMS und Sprache, sowie Cloudflare, Datadog und weitere. Für die meisten davon liegen die Daten in den USA, weshalb der EU-Übertragungsmechanismus in der DPA existiert. Praktischerweise gibt dir Abschnitt 5 der DPA 15 Tage Vorankündigung bei jedem neuen Subprozessor und ein 10-tägiges Widerspruchsfenster aus Datenschutzgründen.

Vorfallmeldung und Löschung. Zwei Zahlen, die man kennen sollte. Bei einem Sicherheitsvorfall verpflichtet sich Gorgias, dich innerhalb eines festen Zeitfensters zu informieren:

"[We] notify Customer of a Security Breach without undue delay, and in any event within 72 hours after becoming aware of it."

Diese Zeile stammt aus Abschnitt 6 der Gorgias-DPA. Und beim Ausstieg verpflichtet Abschnitt 9 Gorgias, deine personenbezogenen Daten innerhalb von 90 Tagen nach Vertragsende zurückzugeben und zu löschen, wobei Backup-Kopien für einen angemessenen Zeitraum bestehen bleiben können, bevor sie auslaufen. Wenn du die praktische Schritt-für-Schritt-Anleitung zur Löschanfrage willst, haben wir einen separaten Leitfaden zu Gorgias DSGVO und Datenlöschung geschrieben.

Tests. Gorgias führt jährliche Grey-Box-Penetrationstests durch und veröffentlicht eine öffentliche Statusseite für Vorfälle. Eine Unstimmigkeit, die wir ehrlich ansprechen: Das Whitepaper 2025 beschreibt ein aktives privates Bug-Bounty-Programm, während die aktuelle Security-Seite sagt, das Bug-Bounty-Programm sei „derzeit ausgesetzt“. Klein, aber die Art von Detail, die ein gründlicher Prüfer bemerkt. Wir haben übrigens keine öffentlichen Aufzeichnungen über einen tatsächlichen Gorgias-Datenschutzverstoß gefunden.

Zugriffskontrollen: SSO, SAML und 2FA

Compliance-Zertifikate decken das Backend ab. Im Alltag ist die Sicherheitskontrolle, mit der dein Team am meisten zu tun hat, der Login, und hier ist Gorgias großzügiger als die meisten Helpdesks auf der Einstiegsstufe.

Herausragend ist, dass Google- und Microsoft-SSO in jedem Helpdesk-Plan enthalten ist, nicht hinter einer Enterprise-Stufe versteckt, was eine gute Entscheidung ist. Benutzerdefiniertes SAML-SSO über Anbieter wie Okta ist ein separates Setup, und Gorgias' Dokumentation gibt öffentlich nicht an, welche kostenpflichtige Stufe dafür nötig ist, also frag nach, falls SAML ein Muss ist. Admins können 2FA zudem für den gesamten Workspace verpflichtend machen, mit einer 14-tägigen Durchsetzungs-Übergangsfrist, und einen automatischen Beitritt nach genehmigter E-Mail-Domain einrichten. Falls du das Konto administrierst, behandelt unser Gorgias-Login-Leitfaden die Zugriffsgrundlagen.

SOC 2 ist die Grundvoraussetzung, nicht die ganze Geschichte

Hier ist die Neueinordnung, die wir jedem E-Commerce-Gründer mitgeben möchten. Ein SOC-2-Type-II-Bericht ist notwendig, und Gorgias hat einen guten. Aber 2026 speichert dein Support-Tool nicht mehr nur Tickets, es betreibt einen Gorgias-KI-Support-Agenten, der Shopify-Bestelldaten liest, Rückerstattungen ausstellt und Abonnements bearbeitet. Das Siegel prüft die Kontrollen des Anbieters; es beantwortet nicht, was seine KI mit deinen Daten macht.

Drei Fragen liegen außerhalb des Umfangs eines Standard-SOC-2-Berichts, und sie sind die, die wir jedem KI-Support-Anbieter stellen würden, Gorgias eingeschlossen:

• Trainiert der Anbieter (oder sein KI-Subprozessor) Modelle mit deinen Daten? Gorgias nutzt OpenAI als Subprozessor; OpenAIs API-Bedingungen besagen, dass Geschäftsdaten nicht zum Training verwendet werden, aber du solltest diese Kette explizit bestätigen lassen, statt es anzunehmen.
• Wie isoliert sind deine Daten von anderen Kunden? Multi-Tenant-SaaS ist normal, aber die Strenge der Isolation variiert und wird auf einer Marketingseite selten ausgeführt.
• Wie viel kann der KI-Agent tatsächlich sehen und tun? Ein Agent, der Rückerstattungen ausstellen und die Bestellhistorie jedes Kunden lesen kann, ist eine größere Sicherheitsangriffsfläche als ein Chatbot, der nur FAQs beantwortet. Umfangskontrolle ist ein Sicherheitsmerkmal.

Das sind keine Gründe, Gorgias zu meiden, sie sind der Maßstab, den man an jeden KI-Helpdesk anlegen würde, und es lohnt sich, sie neben dem SOC-2-Bericht in die eigene Anbieter-Checkliste aufzunehmen. Falls du Optionen auf dieser Achse vergleichst, wägt unsere Übersicht der besten KI-Helpdesk-Software Datenumgang, nicht nur Funktionen. Wir machen dasselbe in unserem Leitfaden zur besten KI für Shopify-Support.

eesel ausprobieren

Wenn du eine KI-Support-Ebene mit diesen drei Fragen im Kopf bewertest, ist genau das die Perspektive, für die eesel gebaut ist. eesel betreibt autonome KI-Agenten innerhalb der Helpdesks, die du bereits nutzt, und behandelt Datenumgang als erstrangiges Feature: deine Daten werden niemals zum Training irgendeines Modells verwendet, jeder Workspace ist vollständig von jedem anderen Kunden isoliert, und du kontrollierst genau, was der Agent sehen und tun darf, über ein Simulations- und Scoping-Setup, bevor er je ein Live-Ticket berührt.

Auf der Compliance-Seite ist eesel DSGVO- und CCPA-konform mit Standard- und individuellen DPAs, erfüllt Löschanfragen innerhalb von 60 Tagen und befindet sich mit SOC 2 Type II in Vorbereitung unter kontinuierlichem Vanta-Monitoring (der vollständige Bericht wird nach Fertigstellung unter NDA verfügbar sein). Du kannst die Details auf der eesel-Sicherheitsseite nachlesen oder kostenlos starten und einen Agenten zuerst gegen deine eigenen Daten scopen. Für die Kostenseite des Vergleichs legt unsere Gorgias-Preisaufschlüsselung dar, was der KI-Agent tatsächlich kostet.