Delve wird vorgeworfen, Kunden mit einem „falschen Konformitäts“-Konzept getäuscht zu haben.

Ein kürzlich veröffentlichter anonymer Beitrag auf Substack wirft dem Compliance-Start-up Delve vor, Hunderte von Kunden in die Irre geführt zu haben, indem es sie glauben ließ, sie erfüllten die Vorschriften zum Datenschutz und zur Sicherheit – was sie potenziell der strafrechtlichen Verantwortung nach HIPAA sowie hohen Bußgeldern nach dem GDPR aussetzen könnte.

Delve, ein von Y Combinator unterstütztes Start-up, kündigte im vergangenen Jahr eine Series-A-Finanzierung in Höhe von 32 Millionen US-Dollar bei einer Bewertung von 300 Millionen US-Dollar an (die Runde wurde von Insight Partners geleitet). Am Freitag versuchte das Unternehmen, die Anschuldigungen auf seiner Website zu widerlegen, bezeichnete den Substack-Beitrag als „irreführend“ und behauptete, er enthalte zahlreiche ungenaue Angaben.

Der Substack-Beitrag wird dem Pseudonym „DeepDelver“ zugeschrieben, der sich selbst als ehemaliger Mitarbeiter eines Delve-Kunden beschreibt.

DeepDelver berichtete, im Dezember eine E-Mail erhalten zu haben, in der stand, das Start-up habe eine Tabellenkalkulation mit vertraulichen Kundenberichten geleakt. Obwohl Delve-CEO Karun Kaushik den Kunden in einer anschließenden E-Mail versicherte, sie würden weiterhin die Vorschriften einhalten und dass keine externen Parteien auf sensible Daten zugreifen könnten, wurden DeepDelver zufolge er und andere Kunden misstrauisch.

„Da uns alle die Erfahrung mit Delve enttäuscht hatte und wir etwas Verdächtiges wahrnahmen, beschlossen wir, unsere Ressourcen zu bündeln und gemeinsam zu untersuchen“, schrieben sie.

Ihr Fazit? Delve erreiche seinen angeblichen Status als schnellste Plattform, indem es gefälschte Beweise erstellt, Prüferurteile für Zertifizierungsstellen generiert, die diese Berichte ohne eigene Prüfung bestätigen, und wichtige Anforderungen von Rahmenwerken ignoriert, während es den Kunden weismacht, sie erfüllten alle Vorschriften.

DeepDelver erläuterte diese Behauptungen weiter und warf dem Start-up vor, den Kunden gefälschte Beweise für Vorstandssitzungen, Tests und Prozesse zur Verfügung zu stellen, die nie stattgefunden hatten, und sie anschließend dazu zu zwingen, entweder auf diese falschen Beweise zurückzugreifen oder größtenteils manuell zu arbeiten, ohne nennenswerte Automatisierung oder KI.

DeepDelver behauptete außerdem, fast alle Delve-Kunden hätten zwei Prüfungsgesellschaften genutzt – Accorp und Gradient –, die seiner Ansicht nach zum selben Konzern gehörten und hauptsächlich in Indien ansässig seien, mit nur einer nominellen Präsenz in den USA.

Diese Gesellschaften würden lediglich von Delve erstellte Berichte ohne eigene Prüfung bestätigen. Infolgedessen behauptete DeepDelver, das Start-up stelle die normale Compliance-Struktur auf den Kopf: „Indem es Prüferurteile, Testverfahren und Endberichte bereits vor jeder unabhängigen Überprüfung erstellt, positioniert sich Delve gleichzeitig als Implementierender und Prüfer. Das ist keine technische Nuance; es handelt sich um einen strukturellen Betrug, der die gesamte Zertifizierung ungültig macht.“

Neben der Anschuldigung, seine Kunden zu täuschen, behauptete DeepDelver außerdem, Delve helfe diesen Kunden dabei, die Öffentlichkeit zu täuschen, indem es Vertrauensseiten bereitstellt, auf denen Sicherheitsmaßnahmen aufgeführt werden, die in Wirklichkeit nie umgesetzt wurden.

Was ihre eigene Beziehung zu Delve angeht, so gab DeepDelver an, seine Firma habe ihre Vertrauensseite nicht veröffentlicht und stütze sich nicht mehr auf das Start-up für Compliance-Zwecke.

Delve reagierte auf die Anschuldigungen damit, dass es keine Compliance-Berichte ausstelle. Stattdessen bezeichnete es sich selbst als „Automatisierungsplattform“, die compliancerelevante Informationen sammelt und Prüfern dann Zugang zu diesen Daten gewährt.

„Endberichte und Stellungnahmen werden ausschließlich von unabhängigen, lizenzierten Prüfern erstellt – nicht von Delve“, erklärte das Unternehmen.

Delve fügte hinzu, seine Kunden könnten frei wählen, mit einem von ihnen ausgewählten Prüfer oder mit einem Prüfer aus Delves Netzwerk unabhängiger, zertifizierter Drittanbieterprüfungsgesellschaften zusammenzuarbeiten. Diese Gesellschaften seien, so das Start-up, „etablierte Firmen, die in der gesamten Branche weit verbreitet sind – auch von anderen Compliance-Plattformen genutzt.“

Auf die Anschuldigung, Kunden mit gefälschten Beweisen zu versorgen, entgegnete Delve, es biete lediglich „Vorlagen an, um Teams dabei zu helfen, ihre Prozesse im Einklang mit den Compliance-Anforderungen zu dokumentieren – genauso wie andere Compliance-Plattformen es tun.“

„Entwurfsvorlagen sind nicht dasselbe wie ‚vorgefüllte Beweise‘“, erklärte das Unternehmen.

Delve fügte hinzu, es untersuche „aktiv alle möglichen Lecks“ und prüfe „noch immer den Substack-Beitrag“.

TechCrunch schickte eine E-Mail mit der Bitte um weitere Stellungnahmen an die auf Delves Website angegebene Kontaktdaten-Adresse für Medien, doch die E-Mail wurde zurückgewiesen. Wir haben außerdem DeepDelver kontaktiert, um weitere Kommentare einzuholen.