Sicherheit & Datenschutz

Eure Daten bleiben in Deutschland

EVOAR Social läuft auf einem Cloud-Server von Hetzner in Nürnberg. Den Vertrag zur Auftragsverarbeitung schließt ihr direkt in der App ab, mit allen Unterauftragsverarbeitern und Schutzmaßnahmen.

AVV ansehenUnterauftragsverarbeiter

Server in Nürnberg

Cloud-Server bei Hetzner im Rechenzentrum Nürnberg. Kein Hosting im Ausland.

Daten bleiben in Deutschland

Datenbank, Dateien und tägliche Sicherungen liegen auf demselben Server in Deutschland.

Durchgehend verschlüsselt

Übertragung nur per HTTPS, Passwörter mit Argon2id, Zugangsschlüssel mit AES-256-GCM.

Zwei-Faktor-Anmeldung

Für jeden Login verfügbar und für das ganze Team verpflichtend einstellbar.

Hosting

Ein Server, ein Standort: Nürnberg

Anwendung, Datenbank, hochgeladene Dateien und Sicherungen liegen bei der Hetzner Online GmbH im Rechenzentrum Nürnberg. Hetzner ist nach ISO/IEC 27001 zertifiziert. Datenbank und Dateispeicher sind nicht aus dem Internet erreichbar, nur die Anwendung selbst über HTTPS.

Wir sichern Datenbank und Dateien jede Nacht. Nach Vertragsende könnt ihr 30 Tage lang einen Export anfordern, danach löschen wir alles.

Rollen und PrivatsphäreAdmins steuern das Unternehmen. Entwürfe und Ideen eines persönlichen Profils sieht nur die Person selbst.
Freigabe vor VeröffentlichungAuf Wunsch geht kein Post ohne Freigabe raus. Externe Prüfer bekommen einen befristeten Link, kein Konto.
Geräte im BlickJeder sieht seine angemeldeten Geräte und meldet sie ab. Neue Anmeldungen kündigen wir per E-Mail an.
Sparsam mit der KIAn KI-Anbieter geht nur, was die jeweilige Funktion braucht, und keine IP-Adressen. Was veröffentlicht wird, entscheidet ihr.
Transparenz

Unterauftragsverarbeiter

Diese Dienstleister verarbeiten Daten in unserem Auftrag. Für die KI-Funktionen gehen Daten in die USA; wir sagen das offen und sichern es mit EU-Standardvertragsklauseln ab. Änderungen kündigen wir vier Wochen vorher an.

Hetzner Online GmbHIndustriestr. 25, 91710 Gunzenhausen, Deutschland
Hosting von Anwendung, Datenbank, Dateien und Datensicherungen
Deutschland (Rechenzentrum Nürnberg)
OpenRouter, Inc.169 Madison Avenue, New York, NY 10016, USA
Weiterleitung von KI-Anfragen an die Modellanbieter
USAEU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Anthropic PBCSan Francisco, Kalifornien, USA
Sprachmodelle für Texte und Analysen (über OpenRouter)
USAüber OpenRouter, EU-Standardvertragsklauseln
Google LLC1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
Transkription von Audio- und Videodateien (über OpenRouter)nur bei Audio-/Video-Import
USAüber OpenRouter, EU-Standardvertragsklauseln
Perplexity AI, Inc.San Francisco, Kalifornien, USA
Recherche für den Trend-Radar (über OpenRouter)nur bei Nutzung des Trend-Radars
USAüber OpenRouter, EU-Standardvertragsklauseln
Google Ireland LimitedGordon House, Barrow Street, Dublin 4, Irland
Versand von E-Mails (Google Workspace)
EU, Übermittlung in die USA möglichEU-US Data Privacy Framework (Art. 45 DSGVO)
Stripe Payments Europe, Limited1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland
Zahlungsabwicklung und Rechnungen
EU, Übermittlung in die USA möglichEU-US Data Privacy Framework (Art. 45 DSGVO)

Nur wenn ihr sie selbst nutzt: LinkedIn Ireland Unlimited Company · Google / LinkedIn (Anmeldung) · Push-Dienste der Browserhersteller (Google, Mozilla, Apple) · Anthropic (Claude, MCP).

Art. 32 DSGVO

Technische und organisatorische Maßnahmen

Zutrittskontrolle

  • Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH (Standort Nürnberg) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; Hetzner ist nach ISO/IEC 27001 zertifiziert.
  • Kein physischer Zugang des Anbieters zur Hardware erforderlich.

Zugangskontrolle

  • Passwörter werden mit Argon2id gehasht gespeichert; Mindestlänge 12 Zeichen.
  • Zwei-Faktor-Anmeldung (TOTP) mit Wiederherstellungscodes; Kunden können sie für alle Mitglieder verpflichtend machen.
  • Begrenzung von Anmeldeversuchen je Benutzer und IP-Adresse; Hinweis per E-Mail bei Anmeldung von einem neuen Gerät.
  • Sitzungen laufen nach 12 Stunden Inaktivität ab (mit „Angemeldet bleiben“ nach 30 Tagen); Sitzungskennungen werden nur als Hash gespeichert; Nutzer sehen und beenden ihre Sitzungen selbst.
  • Datenbank und Dateispeicher sind nicht aus dem Internet erreichbar; öffentlich erreichbar ist nur der Webserver über HTTPS.
  • Administrativer Serverzugang nur durch den Anbieter; Root-Zugang nur mit SSH-Schlüssel.

Zugriffskontrolle

  • Strikte Mandantentrennung: Jede Abfrage ist an das Kundenkonto gebunden.
  • Rollenmodell mit Admins und Mitarbeitern; Inhalte eines Personenprofils sieht nur dessen Inhaber, Inhalte des Unternehmenskanals nur Admins.
  • Zugangsschlüssel zu LinkedIn werden mit AES-256-GCM verschlüsselt gespeichert; Zugangstokens für Schnittstellen (MCP) nur als Hash.
  • Freigabelinks für externe Prüfer sind zufällig, befristet und jederzeit widerrufbar.

Weitergabekontrolle

  • Übertragung ausschließlich verschlüsselt (HTTPS/TLS).
  • Weitergabe an Unterauftragsverarbeiter nur im beschriebenen Umfang (Anlage 2); an KI-Anbieter werden keine IP-Adressen der Nutzer übermittelt.

Eingabekontrolle

  • Protokollierung von KI-Anfragen mit auslösendem Nutzer, Funktion und Modell (Inhalte werden nach 90 Tagen gelöscht).
  • Änderungen an Posts sind über Status, Kommentare und Freigaben nachvollziehbar; Benachrichtigungen dokumentieren Freigaben und Veröffentlichungen.

Verfügbarkeitskontrolle

  • Tägliche Datensicherung der Datenbank und der Dateien (03:30 Uhr); Datenbanksicherungen werden 14 Tage aufbewahrt.
  • Automatische Sicherheitsupdates des Betriebssystems; Anwendung läuft in getrennten Containern.

Trennungskontrolle

  • Logische Trennung der Kundendaten über die Kennung des Kundenkontos in allen Tabellen und Dateipfaden.
  • Getrennte Umgebungen für Entwicklung und Betrieb; Entwicklung ausschließlich mit Testdaten.

Verfahren zur regelmäßigen Überprüfung

  • Regelmäßige Aktualisierung der eingesetzten Software und Bibliotheken.
  • Überprüfung dieser Maßnahmen bei wesentlichen Änderungen, mindestens jährlich.

AVV, Sicherheitsfragebogen, Rückfragen?

Den AVV schließt ihr in der App unter Settings → Datenschutz & AVV ab und speichert ihn als PDF. Für Fragebögen eurer IT oder Datenschutzabteilung schreibt uns einfach.

AVV lesenhello@evoar.de