Warum es das gibt
In unternio liegen Kundendaten, also personenbezogene Daten, für die du verantwortlich bist. Nicht wir, sondern du. Wir sind Auftragsverarbeiter, und das bedeutet: Du musst wissen und belegen können, wo diese Daten liegen und wie sie geschützt sind. Deshalb steht das hier ausführlich und nicht in drei Werbezeilen.
Die wichtigste technische Entscheidung ist die Mandantentrennung. Sie passiert in der Datenbank, nicht in der Oberfläche. Jede Abfrage prüft, zu welcher Firma ein Datensatz gehört und ob du dort Mitglied bist. Rechte, die nur die Oberfläche ausblendet, sind keine Rechte, denn eine ausgeblendete Schaltfläche schützt keine Daten.
Die zweite Entscheidung ist die Sicherung. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Deshalb wird die Wiederherstellbarkeit regelmäßig geprüft, nicht nur das Anlegen der Kopie.
Wofür du es brauchst
- Du brauchst einen AVV. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt in der App unter Einstellungen, AVV.
- Ein Kunde fragt, wo seine Daten liegen. Die App läuft auf Servern in Deutschland, was du dort eingibst, wird nicht in Drittländer übertragen. Nur E-Mails an uns liegen in unserem Postfach bei Microsoft 365.
- Du füllst dein Verarbeitungsverzeichnis. Die Angaben hier plus der AVV decken die üblichen Felder ab.
- Du willst wissen, wer bei uns hineinsehen kann. In deine Inhalte schauen wir nur auf deine ausdrückliche Anfrage. Für den Betrieb sehen wir Firmenname, Name und E-Mail des Kontos sowie Abo-Stand. Was genau, steht unten unter „Was wir für den Betrieb sehen“.
Wie genau: Schritt für Schritt
AVV abrufen
Einstellungen → Reiter AVV. Dort findest du den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zum Ansehen und Ausdrucken.
Zwei-Faktor-Schutz aktivieren
Der wirksamste Schutz, den du selbst in der Hand hast. Siehe Zwei-Faktor-Schutz einrichten.
Rollen sauber vergeben
Gib nur die Rechte, die gebraucht werden. Für das Steuerbüro genügt der Lesezugriff.
Regelmäßig exportieren
Ein eigener Export ein- bis zweimal im Jahr ist gute Praxis, unabhängig davon, wie zuverlässig ein Anbieter arbeitet.
Ein Beispiel
Ausgangslage: Ein Betrieb bekommt von einem Großkunden einen Fragebogen zur IT-Sicherheit. Darin: Wo liegen Daten, wer hat Zugriff, wie wird gesichert, gibt es einen AVV.
Was er einträgt: Hosting in einem deutschen Rechenzentrum. Übertragung ausschließlich verschlüsselt über HTTPS. Trennung der Mandanten in der Datenbank, Rechte serverseitig durchgesetzt. Tägliche verschlüsselte Sicherungen an einem getrennten Ort, deren Wiederherstellung regelmäßig geprüft wird.
Was er beilegt: Den AVV aus der App, ausgedruckt als PDF.
Was er zusätzlich macht: Im Team-Bereich prüft er die Rollen. Zwei ehemalige Aushilfen haben noch Zugänge, die entfernt er. Für das Steuerbüro stellt er von Mitarbeiter auf Buchhalter um, weil Lesen dort genügt. Das ist der Teil der Sicherheit, der bei ihm liegt, nicht bei uns.
Technisch und organisatorisch
- Hosting: Server in einem deutschen Rechenzentrum.
- Übertragung: Verschlüsselt über HTTPS.
- Mandantentrennung: Die Datenbank prüft bei jedem Zugriff, zu welcher Firma die Daten gehören. Rechte werden serverseitig durchgesetzt, nicht im Browser.
- Sicherungen: Täglich, verschlüsselt, ausgelagert und auf Wiederherstellbarkeit geprüft.
- Belege: Festgeschriebene Rechnungen und archivierte Eingangsbelege sind gegen Änderung und Löschung geschützt.
- Statistik: Cookiefreie, selbst gehostete Reichweitenmessung ohne personenbezogenes Tracking.
Was wir für den Betrieb sehen
- Verwaltungssystem: Um Konten, Abos und Support zu betreuen, sehen wir je Firma den Firmennamen, Name und E-Mail-Adresse des Kontos, den Abo-Stand (Testphase, Plätze) sowie Kennzahlen dazu, welche Bereiche genutzt werden. Das sind Anzahlen, keine Inhalte.
- Support-Chat: Schreibst du uns dort, sehen wir, von welcher Firma die Nachricht kommt.
- Unternio-Infos: Hinweise zu wichtigen Änderungen, etwa zur E-Rechnungspflicht, können wir als Aufgaben in die Konten einstellen, gezielt nach Branche und Land.
- Frist-Erinnerungen: Hast du die tägliche Erinnerungsmail eingeschaltet, erstellt unser Server sie automatisch aus fälligen Aufgaben und nahenden Kündigungsterminen deiner Verträge. Das übernimmt ein Programm, niemand liest dabei mit.
- Terminbuchung: Hinterlegst du für die Online-Terminbuchung eine Kalender-Adresse, ruft unser Server sie alle zehn Minuten ab, um belegte Zeiten zu erkennen, und verschickt die Buchungsbestätigungen und Erinnerungen an deine Kunden.
Was wir nicht tun
Wenn es klemmt
- Brauche ich wirklich einen AVV mit euch?
- Ja, sobald ihr personenbezogene Daten verarbeitet, und das ist bei Kundendaten praktisch immer der Fall. Der Vertrag liegt in der App bereit, du musst ihn nicht anfordern.
- Werden Daten in die USA übertragen?
- Aus der App heraus nicht. Anders bei E-Mails an uns: Unser Postfach liegt bei Microsoft 365, dort ist eine Übertragung in die USA nicht ausgeschlossen (abgesichert über das EU-US Data Privacy Framework und Standardvertragsklauseln). Schick uns deshalb Inhalte aus deinem Konto nur, wenn es für die Anfrage nötig ist. Beim Bezahlvorgang bist du bei unserem Zahlungsdienstleister, dort gelten dessen Datenschutzhinweise zusätzlich.
- Wertet ihr meine Geschäftsdaten aus?
- Nein. Wir werten sie nicht aus, verkaufen sie nicht und nutzen sie nicht zum Trainieren von Modellen. Für Statistiken verwenden wir nur anonyme Aggregate.
- Was passiert bei einem Serverausfall?
- Es gibt tägliche Sicherungen an einem getrennten Ort. Deren Wiederherstellung wird regelmäßig geprüft, damit im Ernstfall nicht das Prinzip Hoffnung gilt.
- Wie melde ich eine Sicherheitslücke?
- An support@unternio.de mit dem Betreff Sicherheit. Wir melden uns kurzfristig zurück.