Wo werden meine Daten gespeichert?

Kernkundendaten — Datenbank, Dateispeicher (Fotos), Auth-Daten und Application-Hosting — werden ausschließlich in der EU verarbeitet (AWS eu-central-1, Frankfurt am Main). Ergänzend nutzen wir spezialisierte Dienstleister mit Sitz in den USA: Stripe für die Zahlungsabwicklung (Kunden-E-Mail, Name, Rechnungsadresse, Zahlungsdaten), Resend für den Versand transaktionaler und Marketing-E-Mails (Empfänger-E-Mail-Adresse, Mail-Metadaten), Cloudflare für ein clientseitig verschlüsseltes Off-Site-Backup (Disaster Recovery) sowie GitHub für die technische Durchführung dieser Backups und unsere CI/CD-Automatisierung. Diese Datenübermittlungen sind durch den EU-US Data Privacy Framework-Angemessenheitsbeschluss vom 10. Juli 2023 gedeckt, ergänzend durch Standardvertragsklauseln; Vercel, Stripe, Resend und GitHub sind aktiv DPF-zertifiziert. Sentry-Fehlerprotokolle werden im EU-Rechenzentrum (de.sentry.io) verarbeitet; da der Anbieter seinen Sitz in den USA hat und sein Auftragsverarbeitungsvertrag einen Zugriff von dort (etwa für Support) nicht ausschließt, ist auch diese Verarbeitung über das EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln abgesichert. Eine vollständige Sub-Processor-Übersicht mit Zweck, Standort und Transferschutz steht in der Datenschutzerklärung (/datenschutz) und im Auftragsverarbeitungsvertrag (/avv).

Schließen wir einen AV-Vertrag (AVV)?

Ja. Wir schließen mit jedem Kunden einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab — dieser gilt ab der ersten Nutzung und damit auch im kostenlosen Free-Zugang. Der Vertragstext steht öffentlich unter /avv und enthält Technische und Organisatorische Maßnahmen (TOMs), die vollständige Sub-Processor-Liste und die Breach-Notification-Pflicht. Der AVV ist vor Vertragsschluss einsehbar — keine versteckten Klauseln.

Was passiert mit meinen Daten bei einer Kündigung?

Nach Kündigung bleiben die Daten 30 Tage zum Export verfügbar (CSV/Excel + ZIP der Fotos). Danach werden sie unwiderruflich aus Datenbank, Storage und Backups gelöscht. Auf Wunsch verkürzen wir die 30-Tage-Frist auf Antrag oder verlängern sie für Migrations-Projekte. Datenminimierung ist automatisiert — kein manueller Antragsweg.

Wer hat Zugriff auf meine Außendienstdaten?

Auf Anwendungsebene nur die Nutzer derselben Organisation, Rollen-gefiltert: Manager sehen Teamdaten, Außendienstler nur eigene Kunden + Berichte. Auf Datenbankebene wird das durch Row Level Security (RLS) erzwungen — auch ein gehackter Nutzer kann nicht auf andere Orgs zugreifen. Auf Anbieterseite erfolgt produktiver Datenbankzugriff ausschließlich durch den Anbieter selbst — und nur für Support-Anfragen mit explizitem Kunden-Auftrag; Support-Sitzungen in der Anwendung werden protokolliert.

Wie steht es mit GPS-Ortung und dem Betriebsrat?

GPS-Standorterfassung ist optional und in der Org-Konfiguration deaktivierbar. Sie wird nur einmalig beim Besuchsstart erfasst, nicht im Hintergrund. Für die Einführung stellen wir eine DSFA-Vorlage (Datenschutz-Folgenabschätzung nach Art. 35 DSGVO) bereit — direkt nutzbar für Betriebsrat oder Datenschutzbeauftragten. Wer GPS abschaltet, verliert nur die automatische Adress-Validierung — alle anderen Funktionen bleiben verfügbar.

Was passiert bei einem Datenleck oder Sicherheitsvorfall?

Im Ernstfall greift unsere Breach-Response-Prozedur: (1) interne Eskalation und Forensik innerhalb von 24 Stunden, (2) Benachrichtigung betroffener Kunden mit konkreten Auswirkungen + Empfehlungen innerhalb der gesetzlichen 72-Stunden-Frist nach DSGVO Art. 33/34, (3) Meldung an die zuständige Aufsichtsbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen — LDI NRW). Die Meldepflicht ist in unserem AVV verbindlich vereinbart.

Welche Verschlüsselungsstärke wird verwendet?

Alle Verbindungen laufen über TLS 1.2 oder höher (HTTPS, HSTS aktiviert). Die Datenbank-Inhalte sind at rest mit AES-256 verschlüsselt. Passwörter werden niemals im Klartext gespeichert, sondern mit bcrypt (Cost Factor 10) gehasht. Service-Tokens und Webhook-Secrets liegen in einer Vercel-Encrypted-Env-Variable, nicht im Code-Repository.

Habt ihr eine eigene ISO-27001- oder SOC-2-Zertifizierung?

Aktuell nicht direkt. Unsere Infrastruktur-Partner sind zertifiziert: Supabase (SOC 2 Type II via AWS), Vercel (SOC 2 Type 2 + EU-US Data Privacy Framework + ISO 27001:2022), Stripe (PCI DSS Level 1). Eine eigene Zertifizierung lohnt sich für unser aktuelles Volumen nicht — wir setzen auf die Audit-Ergebnisse der Partner sowie auf einen mehrstufigen, intern dokumentierten Security-Review-Prozess für Code-Änderungen. Bei Bedarf kann ein eigenes Pentest-Audit beauftragt werden.

Sicherheit & Datenschutz

Daten in Frankfurt. Export inklusive.

Kerndaten ausschließlich in der EU. Die eigenen Daten gehen als CSV, Excel und ZIP wieder heraus — im laufenden Betrieb und 30 Tage nach einer Kündigung. Fotos aus Besuchsberichten werden nach 24 Monaten automatisch gelöscht.

AußendienstApp speichert Kerndaten (Datenbank, Auth, Dateispeicher) ausschließlich in der EU (Frankfurt am Main), schließt einen AV-Vertrag nach Art. 28 DSGVO ab, verschlüsselt Daten at rest mit AES-256 und in transit mit TLS 1.2+, erzwingt Mandantentrennung per Row-Level-Security und nutzt in der Anwendung cookieless Analytics. Auf den öffentlichen Seiten laufen zusätzlich einwilligungsbasierte Dienste — ohne Einwilligung wird nichts geladen und kein Cookie gesetzt. Drittland-Transfers in die USA sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert; welcher Mechanismus für welchen Empfänger gilt, steht je Empfänger in der Datenschutzerklärung. Betroffen sind spezialisierte Dienstleister (Zahlung, E-Mail-Versand, Karten) sowie die einwilligungsbasierten Dienste der öffentlichen Seiten.

Datenschutzkonzept für DACH-B2B-Teams, transparent dokumentiert mit konkreten technischen und organisatorischen Maßnahmen.

EU-Hosting (Frankfurt)

Kerndaten — Datenbank, Dateispeicher und Application-Hosting — laufen ausschließlich in der EU (AWS eu-central-1, Frankfurt). Eng definierte Spezial-Dienstleister (z. B. Zahlung, E-Mail, Karten) sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert — Details in Datenschutzerklärung und AVV.

Verschlüsselung

TLS/HTTPS für alle Datenübertragungen. Verschlüsselung at rest auf Datenbankebene (AES-256). Passwörter werden mit bcrypt (Cost Factor 10) gehasht — niemals im Klartext gespeichert.

Row Level Security

Jede Datenbankabfrage wird durch Row Level Security (RLS) auf die Organisation des Nutzers beschränkt. Mandantentrennung auf Datenbankebene — nicht nur in der Anwendungslogik.

Rollenbasierte Zugriffskontrolle

Manager sehen Teamdaten, Außendienstler nur eigene. Kein Nutzer kann auf Daten anderer Organisationen zugreifen. Einladung neuer Nutzer nur durch Manager.

Tägliche Backups

Automatische tägliche Datenbank-Backups beim EU-Hosting-Partner (7 Tage Vorhaltung) plus ein verschlüsseltes Off-Site-Backup in einem getrennten Speicher (90 Tage Vorhaltung). Im Ernstfall erfolgt die Wiederherstellung aus der letzten Tagessicherung.

Cookieless Analytics

Unsere Produkt-Analytik ist cookielos (Vercel Analytics, aggregierte Metriken ohne Identifikation einzelner Personen). Auf den öffentlichen Seiten laufen zusätzliche Dienste — etwa zur Verbesserung der Marketing-Seiten — ausschließlich nach vorheriger Einwilligung; ohne Einwilligung wird nichts geladen und kein Cookie gesetzt.

Compliance & Dokumentation

Alle Dokumente für die eigene DSGVO-Compliance — fertig und einsehbar.

AV-Vertrag (AVV)

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO — inklusive TOMs, Subprocessor-Liste und Breach-Notification-Pflicht.

AVV einsehen

DSGVO-Rechte in Eigenregie

Mitarbeiter können die von ihnen bereitgestellten personenbezogenen Daten jederzeit als ZIP exportieren (Recht auf Datenübertragbarkeit nach Art. 20 DSGVO) und ihr Konto selbstständig löschen (Art. 17 DSGVO) — direkt in den Einstellungen. Org-weiter Datenexport durch den Manager ist davon zu unterscheiden und erfolgt im Rahmen der Auftragsverarbeitung.

Datenschutzerklärung

Vollständige Transparenz über alle Datenverarbeitungen, Rechtsgrundlagen, Aufbewahrungsfristen und Sub-Processors.

Datenschutzerklärung lesen

DSFA für GPS-Ortung

Für die optionale GPS-Standorterfassung stellen wir eine DSFA-Vorlage (Art. 35 DSGVO) bereit, die als Arbeitgeber-Vorlage direkt verwendbar ist.

Sub-Processors

Vollständige Liste aller Dienstleister, die an der Verarbeitung der Kundendaten beteiligt sind. Die rechtsverbindliche Fassung mit allen Details und Pflichten steht im Auftragsverarbeitungsvertrag (AVV).

Anbieter: Supabase
Zweck: Datenbank, Auth, Storage
Datenstandort: EU Frankfurt
Transfergrundlage: AVV nach Art. 28 DSGVO, EU-SCCs
Anbieter: Vercel
Zweck: Hosting, CDN, Analytics
Datenstandort: EU Frankfurt
Transfergrundlage: EU-US DPF
Anbieter: Cloudflare
Zweck: Verschlüsseltes Off-Site-Backup (Disaster Recovery)
Datenstandort: EU-Jurisdiction-Bucket (Cloudflare R2; Anbietersitz USA)
Transfergrundlage: EU-US DPF + AVV (Cloudflare Customer DPA nach Art. 28 DSGVO); Inhalte client-seitig verschlüsselt — kein technischer Zugriff durch Anbieter
Anbieter: Stripe
Zweck: Zahlungsabwicklung
Datenstandort: USA
Transfergrundlage: EU-US DPF, PCI DSS Level 1
Anbieter: Resend
Zweck: Transaktionale E-Mails (ausgehend)
Datenstandort: USA
Transfergrundlage: EU-US DPF
Anbieter: Google Workspace
Zweck: E-Mail-Postfach (eingehend)
Datenstandort: EU/USA (Google-Rechenzentren)
Transfergrundlage: AVV nach Art. 28 DSGVO, EU-US DPF, ergänzend EU-SCCs
Anbieter: Sentry
Zweck: Fehlerüberwachung
Datenstandort: EU (de.sentry.io)
Transfergrundlage: EU-Region; EU-US DPF, ergänzend EU-SCCs
Anbieter: CARTO
Zweck: Kartenkacheln
Datenstandort: USA
Transfergrundlage: EU-SCCs (Art. 46 DSGVO)
Anbieter: Komoot
Zweck: Geocoding (Photon, server-seitig)
Datenstandort: Deutschland (Berlin)
Transfergrundlage: EU-Sitz, kein Drittlandtransfer
Anbieter: OpenStreetMap Foundation
Zweck: Fallback-Geocoding (Nominatim, server-seitig)
Datenstandort: Vereinigtes Königreich
Transfergrundlage: UK Adequacy Decision (28.06.2021)
Anbieter: Apple
Zweck: iOS Push Notifications (APNs), ActivityKit (Live Activities) — nur in iOS-App relevant
Datenstandort: USA
Transfergrundlage: Apple GDPR DPA, EU-SCCs
Anbieter: Google
Zweck: Routen-Export (optionaler User-initiierter Deeplink zu Google Maps)
Datenstandort: USA
Transfergrundlage: EU-US DPF (Angemessenheitsbeschluss 10.07.2023)
Anbieter: Have I Been Pwned
Zweck: Passwort-Sicherheitsprüfung via k-Anonymity (kein PII-Transfer)
Datenstandort: Australien
Transfergrundlage: k-Anonymity — keine personenbezogenen Daten übertragen
Anbieter: GitHub
Zweck: CI/CD-Automatisierung; technische Durchführung der Off-Site-Backups (Datenbank/Auth clientseitig verschlüsselt, Foto-/Dokumenten-Backups nur TLS + R2-Verschlüsselung)
Datenstandort: USA
Transfergrundlage: EU-US DPF, ergänzend EU-SCCs (GitHub DPA)

Anbieter	Zweck	Datenstandort	Transfergrundlage
Supabase	Datenbank, Auth, Storage	EU Frankfurt	AVV nach Art. 28 DSGVO, EU-SCCs
Vercel	Hosting, CDN, Analytics	EU Frankfurt	EU-US DPF
Cloudflare	Verschlüsseltes Off-Site-Backup (Disaster Recovery)	EU-Jurisdiction-Bucket (Cloudflare R2; Anbietersitz USA)	EU-US DPF + AVV (Cloudflare Customer DPA nach Art. 28 DSGVO); Inhalte client-seitig verschlüsselt — kein technischer Zugriff durch Anbieter
Stripe	Zahlungsabwicklung	USA	EU-US DPF, PCI DSS Level 1
Resend	Transaktionale E-Mails (ausgehend)	USA	EU-US DPF
Google Workspace	E-Mail-Postfach (eingehend)	EU/USA (Google-Rechenzentren)	AVV nach Art. 28 DSGVO, EU-US DPF, ergänzend EU-SCCs
Sentry	Fehlerüberwachung	EU (de.sentry.io)	EU-Region; EU-US DPF, ergänzend EU-SCCs
CARTO	Kartenkacheln	USA	EU-SCCs (Art. 46 DSGVO)
Komoot	Geocoding (Photon, server-seitig)	Deutschland (Berlin)	EU-Sitz, kein Drittlandtransfer
OpenStreetMap Foundation	Fallback-Geocoding (Nominatim, server-seitig)	Vereinigtes Königreich	UK Adequacy Decision (28.06.2021)
Apple	iOS Push Notifications (APNs), ActivityKit (Live Activities) — nur in iOS-App relevant	USA	Apple GDPR DPA, EU-SCCs
Google	Routen-Export (optionaler User-initiierter Deeplink zu Google Maps)	USA	EU-US DPF (Angemessenheitsbeschluss 10.07.2023)
Have I Been Pwned	Passwort-Sicherheitsprüfung via k-Anonymity (kein PII-Transfer)	Australien	k-Anonymity — keine personenbezogenen Daten übertragen
GitHub	CI/CD-Automatisierung; technische Durchführung der Off-Site-Backups (Datenbank/Auth clientseitig verschlüsselt, Foto-/Dokumenten-Backups nur TLS + R2-Verschlüsselung)	USA	EU-US DPF, ergänzend EU-SCCs (GitHub DPA)

Stand der Liste: 6. August 2026

Zertifizierungen unserer Infrastruktur-Partner

Unsere Infrastruktur läuft auf Plattformen mit unabhängig zertifizierten Sicherheitsstandards.

AWS SOC 2 Type II (Infrastruktur-Partner Supabase)

PCI DSS Level 1 (Zahlungspartner Stripe)

SOC 2 Type 2 (Hosting-Partner Vercel; siehe Vercel Trust Center)

EU-US Data Privacy Framework (Vercel, Stripe, Resend, GitHub) — Sentry-Fehlerprotokollierung über EU-Rechenzentrum

Automatische Datenlöschung

Fotos aus Besuchsberichten werden automatisch nach 24 Monaten gelöscht — sowohl aus der Datenbank als auch aus dem Dateispeicher. Nach Kündigung bleiben alle Daten 30 Tage zum Export verfügbar und werden anschließend unwiderruflich gelöscht. Datenminimierung ist kein Versprechen, sondern ein automatisierter Prozess.

Häufige Fragen zu Sicherheit, DSGVO und Compliance

Die acht Fragen, die DACH-B2B-Käufer und Datenschutzbeauftragte am häufigsten stellen — direkt beantwortet.

Mehr zu AußendienstApp

Preise & Lizenzlogik

Transparenter Tarif, 30 Tage Kündigungsfrist, ohne Kreditkarten-Pflicht.

Alle Funktionen

Was die App kann — Vorlagen-Baukasten, Dashboard, Tourenplanung — und was in welcher Stufe steckt.

AV-Vertrag einsehen

Vollständiger Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inkl. TOMs.

Datenschutzerklärung

Alle Datenverarbeitungen, Rechtsgrundlagen und Aufbewahrungsfristen im Detail.

Außendienststeuerung — Pillar

Wie moderne FMCG-Teams Touren, Berichte und KPIs nach EU-Datenschutzstandards bündeln.

Fragen zur Sicherheit? Wir gehen sie mit dir durch.

Du kannst direkt selbst starten — oder wir richten die App gemeinsam ein und beantworten dabei jede Datenschutz-Frage. AVV und DSFA-Vorlage liegen für dich bereit.

Kontakt aufnehmen

Sicherheit & Datenschutz

Sicherheits-Grundprinzipien

EU-Hosting (Frankfurt)

Verschlüsselung

Row Level Security

Rollenbasierte Zugriffskontrolle

Tägliche Backups

Cookieless Analytics

Compliance & Dokumentation

AV-Vertrag (AVV)

DSGVO-Rechte in Eigenregie

Datenschutzerklärung

DSFA für GPS-Ortung

Sub-Processors

Zertifizierungen unserer Infrastruktur-Partner

Automatische Datenlöschung

Häufige Fragen zu Sicherheit, DSGVO und Compliance

Mehr zu AußendienstApp

Fragen zur Sicherheit? Wir gehen sie mit dir durch.

Sicherheit & Datenschutz

Sicherheits-Grundprinzipien

EU-Hosting (Frankfurt)

Verschlüsselung

Row Level Security

Rollenbasierte Zugriffskontrolle

Tägliche Backups

Cookieless Analytics

Compliance & Dokumentation

AV-Vertrag (AVV)

DSGVO-Rechte in Eigenregie

Datenschutzerklärung

DSFA für GPS-Ortung

Sub-Processors

Zertifizierungen unserer Infrastruktur-Partner

Automatische Datenlöschung

Häufige Fragen zu Sicherheit, DSGVO und Compliance

Mehr zu AußendienstApp

Fragen zur Sicherheit? Wir gehen sie mit dir durch.