Vertrauen & Sicherheit
Die Plattform ist ihr eigener erster Mandant. Hier steht, welche Maßnahmen technisch stehen — und was Finanzkunden von uns als IKT-Dienstleister nach DORA Art. 28–30 bekommen.
Stand 2026-10-07 · 16 Controls umgesetzt · 22 in Arbeit · 2 geplant
Auszug aus der Plattform-Baseline — dieselbe Quelle, die im Produkt unter /baseline den Status je Control zeigt.
Für Banken und Finanzkunden
Wer uns als IKT-Drittdienstleister steuert, braucht Registerdaten, Vertragszusagen, Subunternehmer, Vorfallmeldung und Exit. Alles hier, als Markdown herunterladbar.
IKT-Drittdienstleister — Cloud: SaaS (ITS-Typ S19)
| B_05.01 c0050 Rechtlicher Name | siehe Impressum |
|---|---|
| B_05.01 c0010/c0020 Kennung | LEI auf Anfrage; Handelsregister siehe Impressum |
| B_05.01 c0070 Art der Person | juristische Person |
| B_05.01 c0080 Land des Hauptsitzes | DE |
| B_02.02 c0060 Art der IKT-Dienstleistung | S19 Cloud: SaaS |
| B_02.02 c0120 Anwendbares Recht | DE |
| B_02.02 c0130 Land der Leistungserbringung | DE |
| B_02.02 c0140 Datenspeicherung | Ja |
| B_02.02 c0150/c0160 Standort Speicherung/Verarbeitung | DE |
| B_02.02 c0170 Sensibilität der Daten | mittel/hoch (Compliance-Daten, personenbezogene Daten von Mitarbeitenden) |
| B_07.01 c0050 Substituierbarkeit | leicht — vollständiger Export in offenen Formaten (CSV, Markdown, ZIP) jederzeit |
| B_07.01 c0080 Ausstiegsplan | Ja — Export, Übergangsfrist, Löschbestätigung (siehe Exit) |
Absatz 2 gilt für alle Verträge, Absatz 3 zusätzlich für kritische oder wichtige Funktionen des Kunden.
| Art. | Inhalt | Zusage |
|---|---|---|
| 30(2)(a) | Leistungsbeschreibung Klare und vollständige Beschreibung aller Funktionen und IKT-Dienstleistungen; Angabe, ob Unterauftragsvergabe für kritische oder wichtige Funktionen zulässig ist und unter welchen Bedingungen. | Leistungsbeschreibung oben; Unterauftrag nur an die genannten Subunternehmer, Änderungen mit mindestens 30 Tagen Vorabmitteilung. |
| 30(2)(b) | Standorte Standorte (Regionen oder Länder) der Leistungserbringung und der Datenverarbeitung inkl. Speicherort; Pflicht zur vorherigen Mitteilung bei Änderung. | Leistungserbringung und Datenverarbeitung ausschließlich in Deutschland; Standortwechsel nur nach vorheriger Mitteilung. |
| 30(2)(c) | Schutz der Daten Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich personenbezogener Daten. | Verschlüsselung je Mandant (XChaCha20-Poly1305, eigener Schlüssel), Mandantentrennung in der Datenbank (Row-Level-Security mit FORCE), MFA für alle Rollen, append-only Audit-Log mit Hash-Kette. |
| 30(2)(d) | Datenzugang bei Beendigung Zugang, Wiederherstellung und Rückgabe der Daten in leicht zugänglichem Format bei Insolvenz, Abwicklung, Geschäftseinstellung oder Vertragsende. | Export aller Daten jederzeit durch den Kunden selbst (ZIP mit SHA-256-Manifest); bei Vertragsende Export, Übergangsfrist und Löschbestätigung. |
| 30(2)(e) | Leistungsziele Leistungsbeschreibungen mit quantitativen und qualitativen Zielen (SLA), die eine wirksame Überwachung und Gegenmaßnahmen erlauben. | Verfügbarkeitsziel und Reaktionszeiten im SLA-Anhang; Health-/Ready-Endpunkte für die Überwachung durch den Kunden. |
| 30(2)(f) | Unterstützung bei Vorfällen Unterstützung bei IKT-Vorfällen im Zusammenhang mit der Dienstleistung ohne Zusatzkosten oder zu vorab festgelegten Kosten. | Unterstützung bei IKT-Vorfällen ohne Zusatzkosten; Kontaktstelle laut security.txt. |
| 30(2)(g) | Zusammenarbeit mit Behörden Uneingeschränkte Zusammenarbeit mit den zuständigen Behörden und Abwicklungsbehörden des Finanzunternehmens. | Zusammenarbeit mit BaFin, Bundesbank, BSI und Abwicklungsbehörden; Auskünfte innerhalb der gesetzten Frist. |
| 30(2)(h) | Kündigung Kündigungsrechte und Mindestkündigungsfristen entsprechend den Erwartungen der Aufsicht. | Kündigung mit angemessener Mindestfrist laut Vertrag; außerordentliche Kündigungsrechte nach Art. 28(7) ausdrücklich eingeräumt. |
| 30(2)(i) | Schulung Teilnahme an Schulungs- und Sensibilisierungsprogrammen des Finanzunternehmens zur digitalen operationalen Resilienz (Art. 13 Abs. 6). | Teilnahme an Sensibilisierungsmaßnahmen des Kunden auf Anfrage. |
| 30(3)(a)(kritisch) | Vollständige SLA Vollständige Leistungsbeschreibung mit präzisen quantitativen und qualitativen Zielen, Aktualisierungsmechanismen und Überwachungsmöglichkeit. | Vollständige SLA mit quantitativen Zielen (Verfügbarkeit, RTO/RPO, Reaktionszeiten) und jährlicher Überprüfung. |
| 30(3)(b)(kritisch) | Kündigungsfristen und Berichtspflichten Kündigungsfristen und Berichtspflichten des Dienstleisters, insbesondere Mitteilung über Entwicklungen, die seine Leistungsfähigkeit wesentlich beeinträchtigen könnten. | Unverzügliche Mitteilung wesentlicher Entwicklungen (Eigentümer-, Standort-, Subunternehmerwechsel, Sicherheitsvorfälle). |
| 30(3)(c)(kritisch) | Notfallpläne und Sicherheit Umsetzung und Test von Notfallplänen; IKT-Sicherheitsmaßnahmen, Werkzeuge und Richtlinien, die ein angemessenes Schutzniveau sicherstellen. | Tägliche verschlüsselte Backups mit Offsite-Kopie, Restore-Test als wiederkehrender Pflicht-Lauf, Notfall- und Wiederanlaufplan nach Testprogramm. |
| 30(3)(d)(kritisch) | Mitwirkung an TLPT Teilnahme und uneingeschränkte Zusammenarbeit bei bedrohungsorientierten Penetrationstests (TLPT) des Finanzunternehmens. | Mitwirkung an TLPT des Kunden nach Abstimmung von Umfang und Zeitfenster. |
| 30(3)(e)(kritisch) | Zugangs-, Inspektions- und Auditrechte Uneingeschränkte Zugangs-, Inspektions- und Auditrechte für das Finanzunternehmen, seine Prüfer und die Behörden; Mitwirkungspflichten; Festlegung von Häufigkeit und Umfang. | Zugangs-, Inspektions- und Auditrechte für Kunde, Prüfer und Behörden; Prüfungspaket mit Manifest auf Anfrage, Vor-Ort-Prüfung nach Terminabstimmung; /baseline als laufender Nachweis. |
| 30(3)(f)(kritisch) | Ausstiegsstrategie Ausstiegsstrategien mit angemessener Übergangsfrist, in der die Leistung weiter erbracht wird, und Unterstützung bei Migration zu einem anderen Anbieter oder bei Rückführung. | Ausstiegsstrategie: Weiterbetrieb während einer Übergangsfrist von mindestens sechs Monaten, Migrationsunterstützung, vollständiger Export, Löschbestätigung. |
Hetzner Online GmbH · DE
S07 Hosting, Objektspeicher — Produktion, Datenbank, verschlüsselte Nachweise und Backups · personenbezogene Daten
Brevo (Sendinblue SAS) · FR
S19 SaaS — transaktionale E-Mail — Anmelde-Links, Benachrichtigungen (E-Mail-Adresse, Name) · personenbezogene Daten
GitHub, Inc. · US
S19 SaaS — Quellcode, CI/CD — Entwicklung und Build; kein Zugriff auf Kundendaten
Meldung an die benannte Kontaktstelle des Kunden spätestens 24 Stunden nach Kenntnis eines Vorfalls mit Auswirkung auf dessen Daten oder Dienste — mit Zeitpunkt, Umfang, betroffenen Diensten und Sofortmaßnahmen; Zwischen- und Abschlussbericht folgen. Der Kunde kann die Angaben in seine eigene DORA-Erstmeldung übernehmen.
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Vertragsbestandteil; technische und organisatorische Maßnahmen entsprechen dem Stand auf /baseline; Subunternehmer wie oben, Änderungen mit Widerspruchsrecht.
Öffentliche Zusammenfassung; verbindlich sind Vertrag, SLA-Anhang und AVV. Juristische Person und Register stehen im Impressum. Kein Rechtsrat.