Sicherheit, die man prüfen kann.
Wir beschreiben konkrete Maßnahmen statt Siegel: wie die Plattform Mandanten trennt, Änderungen nachweisbar macht und wo Ihre Daten liegen. Was wir noch nicht belegen können, behaupten wir nicht.
Technische und organisatorische Maßnahmen im Überblick.
Auszug der wichtigsten Maßnahmen; die vollständige TOM-Dokumentation stellen wir im Rahmen der Auftragsverarbeitung bereit.
Die Fachdaten jeder Kanzlei und jedes Unternehmens liegen in einer eigenen Datenbank. Nur die Anmeldekonten werden zentral verwaltet und je Kunde getrennt.
Audit-Log mit SHA-256-Hash-Kette: Änderungen an Mandanten, Akten, Dokumenten, Fristen und weiteren Kerndaten werden protokolliert, nachträgliche Manipulation wird erkennbar.
Zwei-Faktor-Authentifizierung, rollenbasierte Berechtigungen und Ethical-Wall-Trennung auf Datenebene.
TLS-verschlüsselte Übertragung; tägliche Backups, verschlüsselt gespeichert, mit Kopie auf einem separaten Server.
Betrieb und Backups in deutschen Rechenzentren. Das Hosting kommt ohne Drittland-Transfer aus.
Werbe- und Analysedienste nur nach Ihrer Einwilligung; ohne sie wird nichts geladen. Selbst gehostete Schriften. Server-Logfiles werden turnusmäßig automatisch gelöscht.
Eingesetzte Dienstleister (Subprozessoren).
Wir halten die Liste bewusst kurz. Verbindlich ist die jeweils aktuelle Fassung in der Datenschutzerklärung und, mit Vertragsbeginn, im AV-Vertrag.
| Dienstleister | Sitz | Zweck | Hinweis |
|---|---|---|---|
| Strato AG | Berlin, DE | Hosting & Rechenzentrum | Auftragsverarbeitung nach Art. 28 DSGVO |
| Stripe Payments Europe Ltd. | Dublin, IE | Zahlungsabwicklung (nur bei Online-Bestellung) | Konzernübermittlung in die USA auf Basis von Standardvertragsklauseln (SCC) |
| Eigener Mailserver | DE | System- und Bestätigungs-E-Mails | Eigene Serverinfrastruktur, kein externer Versanddienstleister |
| Google Ireland Ltd. | Dublin, IE | Webanalyse und Anzeigenmessung (nur mit Einwilligung) | IP-Anonymisierung; USA-Übermittlung auf SCC-Basis |
AV-Vertrag und Unterlagen.
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist fester Bestandteil der Zusammenarbeit. Die Download-Fassung stellen wir hier bereit, sobald die rechtliche Endprüfung unserer Vertragsdokumente abgeschlossen ist; bis dahin senden wir AV-Vertrag und TOM-Übersicht auf Anfrage zu: kontakt [at] web4data.de.
Wir schmücken uns bewusst nicht mit Zertifikats-Logos (z. B. ISO 27001), die wir nicht erworben haben. Stattdessen beschreiben wir die konkreten Maßnahmen und lassen sie prüfen, bevor wir mit Nachweisen werben.
Sicherheitslücke gefunden?
Hinweise auf Schwachstellen nehmen wir ernst und behandeln sie vertraulich. Melden Sie Funde bitte an kontakt [at] web4data.de oder, auch anonym, über unser Meldeportal. Die maschinenlesbaren Kontaktdaten stehen in unserer security.txt (RFC 9116).
Wir bitten um verantwortungsvolle Offenlegung: keine Ausnutzung über den Nachweis hinaus, keine Veröffentlichung vor Behebung. Wir antworten schnellstmöglich und nennen Sie auf Wunsch als Finder.
Offene Frage zur Sicherheit?
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, technische und organisatorische Maßnahmen, Subprozessorenliste: Wir schicken Ihnen die Unterlagen zu.
AV-Vertrag anfragen