Sicherheit, die man nachprüfen kann.
Ein Einbürgerungs- oder Aufenthaltsverfahren gehört zu den sensibelsten Verwaltungsvorgängen überhaupt. Deshalb hosten wir in Deutschland, verschlüsseln Antragsdaten zusätzlich auf Anwendungsebene und legen jeden eingesetzten Dienstleister offen — nachlesbar auf dieser Seite.
Hosting & Architektur.
Die civitas.-Plattform — Anwendung, Datenbank und Dokument-Uploads — läuft auf Servern der Hetzner Online GmbH in Deutschland. Einzelne, klar abgegrenzte Funktionen nutzen spezialisierte Dienstleister in der EU und den USA — vollständig offengelegt in Kategorie 03.
Verschlüsselung.
Verschlüsselung erfolgt in Transit und at Rest. Sensible Antragsdaten werden zusätzlich auf Anwendungsebene verschlüsselt, sodass selbst ein direkter Zugriff auf die Datenbank ohne den Anwendungsschlüssel nur Chiffrate zeigt.
Dienstleister & Auftragsverarbeiter.
civitas. setzt wenige, klar abgegrenzte Dienstleister ein — jeder mit definiertem Zweck. Verarbeitet ein Anbieter Daten in den USA, weisen wir das offen aus; solche Übermittlungen sind über die Garantien nach Art. 44 ff. DSGVO abgesichert (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
Dieses Verzeichnis wird bei jeder Änderung aktualisiert. Details zu Zwecken, Rechtsgrundlagen und Speicherdauern je Dienstleister enthält die Datenschutzerklärung.
Auftragsverarbeitung.
Zwei Rollen, klar getrennt: Gegenüber Privatkunden ist civitas. Verantwortlicher nach Art. 4 Nr. 7 DSGVO — mit unseren Dienstleistern bestehen Vereinbarungen nach Art. 28 DSGVO, soweit sie als Auftragsverarbeiter tätig sind. Für institutionelle Partner (Kanzleien, Beratungsstellen) arbeitet civitas. als Auftragsverarbeiter nach Art. 28 DSGVO auf Basis eines Auftragsverarbeitungsvertrags.
Für Privatkunden, die civitas. selbst nutzen, ist civitas. Verantwortlicher nach Art. 4 Nr. 7 DSGVO — hier gilt die Datenschutzerklärung, kein AVV.
Betroffenenrechte.
Sie können Ihre Rechte aus der DSGVO jederzeit gegenüber civitas. ausüben — formlos, kostenfrei und ohne Begründung. Wir bearbeiten Anfragen innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
Incident-Response.
Bei einer Verletzung des Schutzes personenbezogener Daten gilt: Meldung an die zuständige Aufsichtsbehörde (LDI NRW) unverzüglich und möglichst binnen 72 Stunden nach Art. 33 DSGVO — und bei voraussichtlich hohem Risiko die unverzügliche Benachrichtigung der Betroffenen nach Art. 34 DSGVO.
Ablauf bei Sicherheitsvorfällen.
Erkennen, eindämmen, melden, aufarbeiten — in dieser Reihenfolge. Betroffene und Aufsichtsbehörde werden so früh und so transparent informiert, wie es der Stand der Aufklärung erlaubt.
Compliance.
Ein ehrlicher Stand statt Compliance-Theater: was heute gilt und was als Nächstes kommt — klar getrennt in Eingehalten und Geplant.
Direkter Draht für Sicherheit und Datenschutz.
Für Datenschutzanfragen, Sicherheitsmeldungen und Fragen zu unserer Architektur. Bei Verdacht auf eine Sicherheitslücke bitten wir um vertrauliche Meldung per E-Mail — maschinenlesbar hinterlegt auch unter /.well-known/security.txt.