Daten bleiben in Deutschland.
Eine Einbürgerung ist ein hochsensibles Verwaltungsverfahren. Wir behandeln die dabei anfallenden Daten dem entsprechend — mit klarer DSGVO-Architektur, ausschließlich deutschem Hosting und transparenten Subprozessoren.
Hosting & Architektur.
Die gesamte civitas.-Plattform läuft auf Servern in Deutschland. Kein Datenverkehr außerhalb der EU, keine Subdienstleister mit Hauptsitz in Drittländern für Kerndaten — und eine Architektur, die mandantenfähig konzipiert ist, damit jede Behörde und jeder institutionelle Partner einen eigenen, isolierten Datenraum erhält.
Verschlüsselung.
Verschlüsselung erfolgt sowohl in Transit als auch at Rest. Sensible Antragsdaten werden zusätzlich auf Anwendungsebene verschlüsselt, sodass selbst ein Zugriff auf die Datenbank ohne den Anwendungsschlüssel keine lesbaren Personendaten preisgibt.
Subprozessoren.
civitas. nutzt ausgewählte Dienstleister für klar abgegrenzte Aufgaben. Alle Subprozessoren sind vertraglich an die DSGVO gebunden, mit AVV nach Art. 28 DSGVO. Der Standort ist transparent dokumentiert — nach Möglichkeit werden Anbieter mit Hauptsitz und Datenverarbeitung in der EU bevorzugt.
Die Liste wird bei Änderungen aktualisiert. Behörden und institutionelle Partner werden bei wesentlichen Änderungen im Subprozessoren-Verzeichnis informiert. Ein vollständiger Subprozessoren-Katalog ist Bestandteil des AVV-Vertrags.
Auftragsverarbeitung.
Wenn civitas. für institutionelle Partner Daten verarbeitet (Behörden, Kanzleien, Beratungsstellen), erfolgt das ausschließlich auf Basis eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Der AVV wird automatisch zum Bestandteil des Lizenzvertrags und ist standardisiert verfügbar.
Der AVV ist auf institutionelle Auftraggeber (Behörden, Kanzleien, Beratungsstellen) ausgelegt. Für Privatkunden, die civitas. selbst nutzen, ist civitas. Verantwortlicher nach Art. 4 Nr. 7 DSGVO — hier gilt die Datenschutzerklärung, kein AVV.
Betroffenenrechte.
Antragstellende und alle anderen Betroffenen können ihre Rechte aus der DSGVO jederzeit gegenüber civitas. ausüben. Wir bearbeiten Anfragen innerhalb der gesetzlichen Frist von einem Monat nach Art. 12 Abs. 3 DSGVO.
Incident-Response.
Sicherheitsvorfälle werden nach einem klar dokumentierten Prozess behandelt — mit definierten Eskalationsstufen, Benachrichtigungsfristen und nachgelagerter Ursachenanalyse. Bei einer Verletzung des Schutzes personenbezogener Daten erfolgt die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO innerhalb von 72 Stunden.
Ablauf bei Sicherheitsvorfällen.
Vom Erkennen eines Vorfalls bis zur Wiederherstellung des Regelbetriebs folgen wir einem standardisierten Prozess. Auftraggebende und Betroffene werden so früh wie möglich, transparent und nachvollziehbar informiert.
Compliance.
Ein ehrlicher Stand: Welche Standards heute eingehalten werden, welche Zertifizierungen aktuell laufen und welche für 2026/2027 geplant sind. Wir kommunizieren das transparent statt mit Compliance-Theater.
Direktkontakt für Sicherheit und Datenschutz.
Für Sicherheitsmeldungen, Datenschutzanfragen, Auditanfragen oder spezifische Fragen zu unserer Architektur. Bei Verdacht auf Sicherheitslücken bitten wir um vertrauliche Meldung — wir bestätigen Eingang innerhalb von 24 Stunden.