Sicherheit

So schützen wir Ihre Daten

Konkret: wo Daten liegen, wer darauf zugreifen kann und was passiert, wenn etwas schiefgeht. Ohne Zertifikate, die wir nicht haben.

Daten in der EU

Datenbank, Anmeldung und Dateien in Frankfurt (AWS eu-central-1)

Isolation der Organisationen

Zugriffsregeln in der Datenbank für jede Tabelle mit Kundendaten

Verschlüsselte Verbindungen

TLS 1.2+ mit HSTS; Datenträger vom Infrastrukturanbieter verschlüsselt

Zugriff nur mit Begründung

Personenbezogene Daten nur mit Zweck und Grund einsehbar, protokolliert

Schutz auf jeder Ebene

Was heute läuft — keine Pläne

Infrastruktur

  • Datenbank, Anmeldung und Dateien in Supabase auf AWS in Frankfurt
  • Website und App hinter Cloudflare: DDoS- und Bot-Schutz
  • Serverfunktionen der Website in der EU (Frankfurt)
  • API-Schlüssel und Passwörter in einem Tresor, nie im Code
  • Automatisches Monitoring: über 70 Systemprüfungen mit E-Mail-Alerts

Datenschutz

  • Isolation der Organisationsdaten durch die Datenbank (Row Level Security)
  • Personenbezogene Daten in Admin-Bereichen maskiert
  • Audioaufnahmen nach der Transkription gelöscht, spätestens nach 72 Stunden
  • IP-Adressen aus Formularen nur als Hash gespeichert
  • Aktivitätsprotokoll nach 180 Tagen gelöscht; Organisationsdaten innerhalb von 30 Tagen nach Vertragsende gelöscht

Zugriffskontrolle

  • Rollen: Organisations-Admin, Manager, Nutzer
  • Anmeldung per E-Mail oder mit Google bzw. Microsoft
  • Zwei-Faktor-Authentifizierung (TOTP-App) in den Kontoeinstellungen
  • Unser Team sieht personenbezogene Daten nur mit Zweck und Grund, für 15 Minuten, mit Alert bei ungewöhnlicher Menge
  • Protokoll administrativer Aktionen

Anwendungssicherheit

  • Schemabasierte Eingabevalidierung in der öffentlichen API der Website
  • Die öffentliche API der Website liefert nur Daten aus amtlichen Quellen — nie Kundendaten
  • Content Security Policy auf der Website; HSTS auf Website und App
  • Ratenbegrenzung, Honeypots und Cloudflare Turnstile in Formularen
  • Regelmäßige interne Sicherheitsaudits mit end-to-end geprüften Korrekturen
Vorfälle

Wenn etwas schiefgeht

Alerts zu Fehlern und ungewöhnlichen Ereignissen erreichen das Team automatisch. Datenschutzverletzungen behandeln wir gemäß DSGVO und melden sie fristgerecht.

  • Sicherheitsereignisse werden 180 Tage protokolliert
  • Bot- und Missbrauchsschutz am Netzwerkrand
  • Verantwortungsvolle Meldung von Schwachstellen: [email protected]
72 h
Meldung an die Aufsichtsbehörde, wenn wir Verantwortlicher sind
Unverzüglich
Information des Kunden bei Verletzung seiner Daten
Bericht
Ursachen und Korrekturmaßnahmen nach einem Vorfall
EU
Speicherort der App-Daten

Fragen zur Sicherheit?

Wir beantworten Ihren Sicherheitsfragebogen und erklären, wie wir die Daten Ihrer Organisation verarbeiten. Schwachstellen melden Sie an [email protected].

An [email protected] schreiben