Sicherheit & Infrastruktur – Technische und organisatorische Maßnahmen

SimpleAct wird als SaaS in einer klaren Schichtenarchitektur betrieben. Der Zugriff erfolgt ausschließlich über verschlüsselte Verbindungen (TLS). Anwendungs- und Datenebene liegen in der EU (Deutschland, Hetzner Nürnberg). Ausnahme: Ist der KI-Assistent eingeschaltet, verarbeitet Anthropic die dafür eingereichten Texte auch in den USA.

Komponenten: (1) Client/Browser mit HTTPS, (2) Application Layer mit API, RBAC/2FA, Audit-Log und Multi-Tenancy, (3) Data Layer mit PostgreSQL, verschlüsselter Speicherung und täglichen automatischen Backups. Alle Dienste laufen in der EU.

2.1 Rechenzentrum und Datenstandort

Hosting erfolgt bei Hetzner in Nürnberg (Deutschland). Die Datenbank (PostgreSQL) wird selbst betrieben und läuft ebenfalls bei Hetzner in Nürnberg. Für Hosting und Datenbank werden keine US-amerikanischen oder außereuropäischen Cloud-Provider genutzt. Ausnahme: Ist der KI-Assistent eingeschaltet, verarbeitet Anthropic die dafür eingereichten Texte auch in den USA (Einzelheiten in Datenschutzerklärung und AVV).

2.2 Backup-Strategie

Es werden automatisch tägliche Datenbank-Backups erstellt. Die Backups werden in Falkenstein (Hetzner) vorgehalten. Aufbewahrungsfristen und Wiederherstellungsprozesse sind definiert und in den AVV-Dokumenten beschrieben.

2.3 Verschlüsselung

• In Transit: Alle Verbindungen (Client–Server, Server–Datenbank) erfolgen über TLS (HTTPS).
• At Rest: Daten werden bei den eingesetzten Diensten (Datenbank, Speicher) verschlüsselt abgelegt (encryption at rest).

RBAC

Der Zugriff auf Funktionen und Daten wird über rollenbasierte Zugriffskontrolle (RBAC) gesteuert. Rollen definieren, welche Aktionen ein Nutzer ausführen darf; die Zuweisung erfolgt auf Mandantenebene.

Multi-Tenancy Isolation

Kundendaten sind strikt nach Mandanten (Tenants) getrennt. Abfragen und Zugriffe sind so umgesetzt, dass kein mandantenübergreifender Zugriff auf Daten möglich ist (Tenant-Isolation auf Anwendungs- und Datenebene).

2FA (TOTP)

Zwei-Faktor-Authentifizierung (2FA) per TOTP (z. B. Authenticator-Apps) wird angeboten und kann von Nutzern aktiviert werden, um den Account zusätzlich abzusichern.

Session-Invalidierung

Sessions werden bei Abmeldung invalidiert. Bei Passwortänderung oder sicherheitsrelevanten Aktionen können Sessions gezielt beendet werden. Tokens werden in httpOnly-Cookies gehalten, um XSS-Risiken zu mindern.

Append-only Audit-Log

Sicherheits- und datenschutzrelevante Ereignisse (z. B. Login, Änderungen an KI-Systemen, Exporte, Rollenänderungen) werden in einem Audit-Log erfasst. Das Log ist append-only (nachträgliche Löschung/Änderung durch Anwender nicht vorgesehen), um Manipulationen zu erschweren und Nachvollziehbarkeit zu gewährleisten.

Versionierung & Snapshotting

Wo fachlich erforderlich, werden Änderungen versioniert (z. B. Compliance-Dokumente, Risikobewertungen). Snapshotting bzw. Punkt-in-Zeit-Sichten können für Exporte und Nachweise genutzt werden.

Die Verarbeitung personenbezogener Daten erfolgt nach den Grundsätzen der DSGVO (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit). Wir führen ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.

AVV / Auftragsverarbeitung (Art. 28 DSGVO)

Ein Vertrag zur Auftragsverarbeitung (AVV/DPA) ist als Volltext unter simpleact.de/legal/avv-dpa einsehbar und zusätzlich als PDF (SLA + AVV) herunterladbar. Mit allen eingesetzten Subprozessoren (z. B. Hetzner, Stripe, Brevo, Anthropic) bestehen vertragliche Regelungen zur Auftragsverarbeitung bzw. werden Standardvertragsklauseln genutzt, soweit erforderlich.

Subprozessoren – Transparenz

Die Subprozessoren (Hetzner, Stripe, Brevo und Anthropic, Letzteres nur bei eingeschaltetem KI-Assistenten) sind mit Name, Sitz, Zweck und Verarbeitungsort in Abschnitt 5 des AVV unter simpleact.de/legal/avv-dpa aufgeführt. Bei Änderungen werden Kunden im Rahmen der vertraglichen Informationspflichten informiert.

Wir setzen auf regelmäßige Sicherheitsmaßnahmen im Entwicklungs- und Betriebsprozess (z. B. Abhängigkeitsprüfungen, sichere Konfiguration).

• Interne Prüfung: Sicherheitsprüfung durch das Gründerteam (zuletzt: April 2026).
• Externe Review: Externe Sicherheitsbewertung (zuletzt: April 2026); Bericht auf Anfrage unter NDA.

Für Fragen zu Sicherheit und Datenschutz: ….