Zum Hauptinhalt springen
civitas.
Sicherheit & Datenschutz

Daten bleiben in Deutschland.

Eine Einbürgerung ist ein hochsensibles Verwaltungsverfahren. Wir behandeln die dabei anfallenden Daten dem entsprechend — mit klarer DSGVO-Architektur, ausschließlich deutschem Hosting und transparenten Subprozessoren.

Hosting in DeutschlandTLS 1.3 · AES-256DSGVO-Art. 28
Kategorie 01

Hosting & Architektur.

Die gesamte civitas.-Plattform läuft auf Servern in Deutschland. Kein Datenverkehr außerhalb der EU, keine Subdienstleister mit Hauptsitz in Drittländern für Kerndaten — und eine Architektur, die mandantenfähig konzipiert ist, damit jede Behörde und jeder institutionelle Partner einen eigenen, isolierten Datenraum erhält.

Server-Standort
Ausschließlich Hetzner Online GmbH, Nürnberg. ISO/IEC 27001-zertifiziertes Rechenzentrum, redundante Stromversorgung, georedundantes Backup auf einem zweiten deutschen Hetzner-Standort (Falkenstein).
Datenstandort
Deutschland · Europäische Union. Alle personenbezogenen Daten werden ausschließlich in Deutschland verarbeitet und gespeichert. Es findet kein Transfer in Drittländer im Sinne von Art. 44 ff. DSGVO statt.
Mandantentrennung
Jeder institutionelle Partner (Behörde, Kanzlei, Beratungsstelle) erhält einen logisch isolierten Datenraum mit eigenem Mandanten-Schlüssel. Datenbank-Tenancy auf Row-Level mit verpflichtender Mandanten-ID, mandantenfähig auf Anwendungs- und Datenbankebene.
Backup-Strategie
Tägliche inkrementelle Backups, wöchentliche Vollsicherung, 30 Tage Retention. Backups werden verschlüsselt auf einem zweiten deutschen Hetzner-Standort gespeichert. Wiederherstellungsverfahren werden regelmäßig getestet.
Trennung Produktiv / Demo
Strikte Trennung zwischen production und demo-Umgebungen. Demo-Daten enthalten keine echten Antragsteller-Informationen — alle Demo-Mandanten sind explizit als solche gekennzeichnet.
Kategorie 02

Verschlüsselung.

Verschlüsselung erfolgt sowohl in Transit als auch at Rest. Sensible Antragsdaten werden zusätzlich auf Anwendungsebene verschlüsselt, sodass selbst ein Zugriff auf die Datenbank ohne den Anwendungsschlüssel keine lesbaren Personendaten preisgibt.

Transport (in Transit)
TLS 1.3 ausschließlich, kein Fallback auf TLS 1.2 oder älter. HSTS-Header mit max-age=63072000, Cipher-Suites nach BSI-Mindeststandards.
Speicher (at Rest)
AES-256-GCM auf Datenträgerebene über vollverschlüsselte Hetzner-Volumes. Schlüssel werden über separat gehostetes Key-Management bereitgestellt.
Anwendungs-Schicht
Kritische Felder (Geburtsname, Aufenthaltstitel, Sozialleistungsdaten) werden zusätzlich auf Anwendungsebene verschlüsselt. Selbst Datenbank-Administratoren sehen ohne Anwendungsschlüssel nur Chiffrate.
Schlüssel-Verwaltung
Schlüssel-Rotation alle 90 Tage für Anwendungsschlüssel, jährliche Rotation für Master-Keys. Rotation erfolgt unterbrechungsfrei über versionierte Schlüssel.
Authentifizierung
Passwortlose Anmeldung über Magic-Link (HMAC-SHA256-signierte Tokens, 15 Min. gültig) oder OAuth über Google/Apple. Optional: Zwei-Faktor-Authentifizierung über TOTP. Für institutionelle Partner: SAML 2.0 / OIDC.
Kategorie 03

Subprozessoren.

civitas. nutzt ausgewählte Dienstleister für klar abgegrenzte Aufgaben. Alle Subprozessoren sind vertraglich an die DSGVO gebunden, mit AVV nach Art. 28 DSGVO. Der Standort ist transparent dokumentiert — nach Möglichkeit werden Anbieter mit Hauptsitz und Datenverarbeitung in der EU bevorzugt.

Anbieter
Zweck
Standort
Region
Hetzner Online GmbH
Hosting · Datenbank · Backup
Server-Infrastruktur
Nürnberg & Falkenstein
Deutschland
Stripe Payments Europe Ltd.
Zahlungsabwicklung
Karte · SEPA · Sofort
Dublin (IE)
EU
Postmark (ActiveCampaign LLC)
Transaktions-E-Mails
Magic-Link · Rechnungen
EU-Datacenter (Frankfurt)
EU
Sentry (Functional Software Inc.)
Fehler-Telemetrie
Anwendungs-Fehler-Logs
EU-Region (Frankfurt)
EU
Plausible Insights OÜ
Analytics
Anonymisierte Web-Statistik
Tallinn (EE)
EU
Cloudflare (CDN)
DDoS-Schutz · CDN
Statische Assets · Schutz
EU-Edge (Frankfurt)
EU-Edge / US-HQ

Die Liste wird bei Änderungen aktualisiert. Behörden und institutionelle Partner werden bei wesentlichen Änderungen im Subprozessoren-Verzeichnis informiert. Ein vollständiger Subprozessoren-Katalog ist Bestandteil des AVV-Vertrags.

Kategorie 04

Auftragsverarbeitung.

Wenn civitas. für institutionelle Partner Daten verarbeitet (Behörden, Kanzleien, Beratungsstellen), erfolgt das ausschließlich auf Basis eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Der AVV wird automatisch zum Bestandteil des Lizenzvertrags und ist standardisiert verfügbar.

Standard-AVV
Wir stellen einen standardisierten AVV nach Art. 28 DSGVO bereit, der die typischen Verarbeitungsszenarien abdeckt. Er kann in Sondergesprächen an behördliche Anforderungen angepasst werden.
Kontroll- und Audit-Rechte
Auftraggeber können jederzeit Kontroll- und Audit-Rechte nach Art. 28 Abs. 3 lit. h DSGVO wahrnehmen — entweder als Selbst-Audit auf Basis dieser Dokumentation oder als Vor-Ort-Termin nach vorheriger Abstimmung.
Weisungsbindung
Verarbeitung erfolgt ausschließlich nach dokumentierter Weisung des Verantwortlichen. Eigene Verarbeitung durch civitas. nur in den vertraglich vereinbarten Grenzen, etwa zur technischen Bereitstellung des Dienstes.
Löschung & Rückgabe
Nach Vertragsende werden personenbezogene Daten vollständig gelöscht oder zurückgegeben — nach Wahl des Verantwortlichen. Standard-Frist: 30 Tage nach Vertragsende, dokumentiert mit Löschprotokoll.
Subprozessor-Wechsel
Geplante Wechsel von Subprozessoren werden mit vier Wochen Vorlauf mitgeteilt. Auftraggeber haben Widerspruchsrecht; bei berechtigtem Widerspruch wird eine alternative Lösung gesucht oder das Vertragsverhältnis beendet.
AVV als Download
Standard-Auftragsverarbeitungsvertrag (PDF).
Unser standardisierter AVV nach Art. 28 DSGVO ist öffentlich verfügbar — zur Vorprüfung durch Datenschutzbeauftragte und Rechtsabteilungen. Er kann in Sondergesprächen an Ihre spezifischen Anforderungen angepasst werden.
Stand: April 2026Format: PDF · ca. 12 SeitenUmfang: Standard-Mandanten

Der AVV ist auf institutionelle Auftraggeber (Behörden, Kanzleien, Beratungsstellen) ausgelegt. Für Privatkunden, die civitas. selbst nutzen, ist civitas. Verantwortlicher nach Art. 4 Nr. 7 DSGVO — hier gilt die Datenschutzerklärung, kein AVV.

Kategorie 05

Betroffenenrechte.

Antragstellende und alle anderen Betroffenen können ihre Rechte aus der DSGVO jederzeit gegenüber civitas. ausüben. Wir bearbeiten Anfragen innerhalb der gesetzlichen Frist von einem Monat nach Art. 12 Abs. 3 DSGVO.

01
Auskunftsrecht
Art. 15 DSGVO
Informationen darüber, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken und an welche Empfänger sie weitergegeben werden.
02
Berichtigungsrecht
Art. 16 DSGVO
Korrektur unrichtiger oder unvollständiger Daten — selbst durchführbar im Konto, alternativ per Anfrage an unseren Datenschutzbeauftragten.
03
Löschungsrecht
Art. 17 DSGVO
Vollständige Löschung Ihrer Daten — sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen (z. B. Buchhaltung). Im Konto unter „Einstellungen → Konto löschen" auslösbar.
04
Einschränkungsrecht
Art. 18 DSGVO
Verarbeitung Ihrer Daten in bestimmten Fällen einschränken — etwa bei Streit über die Richtigkeit der Daten oder während einer rechtlichen Auseinandersetzung.
05
Datenportabilität
Art. 20 DSGVO
Export Ihrer Antrags- und Kontodaten in einem strukturierten, gängigen, maschinenlesbaren Format. Standardmäßig JSON oder PDF.
06
Widerspruchsrecht
Art. 21 DSGVO
Widerspruch gegen die Verarbeitung Ihrer Daten — insbesondere gegen Profilbildung oder Direktmarketing. Wirkt sofort.
Wo Sie Anfragen stellen können: Per E-Mail an datenschutz@einbuergerungsservice.de. Bearbeitungsdauer in der Regel fünf Werktage, Höchstfrist nach DSGVO ist ein Monat. Bei Beschwerden steht Ihnen zusätzlich der Weg zur zuständigen Aufsichtsbehörde offen — für Civitas UG ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Kategorie 06

Incident-Response.

Sicherheitsvorfälle werden nach einem klar dokumentierten Prozess behandelt — mit definierten Eskalationsstufen, Benachrichtigungsfristen und nachgelagerter Ursachenanalyse. Bei einer Verletzung des Schutzes personenbezogener Daten erfolgt die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO innerhalb von 72 Stunden.

Ablauf bei Sicherheitsvorfällen.

Vom Erkennen eines Vorfalls bis zur Wiederherstellung des Regelbetriebs folgen wir einem standardisierten Prozess. Auftraggebende und Betroffene werden so früh wie möglich, transparent und nachvollziehbar informiert.

≤ 1 Std.
Detektion & Erstklassifikation. Schweregrad bestimmen, Verantwortlichkeiten zuweisen.
≤ 4 Std.
Eindämmung. Vorfall isolieren, weitere Ausbreitung verhindern, betroffene Systeme absichern.
≤ 24 Std.
Information der Auftraggeber. Betroffene Behörden, Kanzleien, Beratungsstellen werden informiert — auch wenn noch keine vollständigen Informationen vorliegen.
≤ 72 Std.
Meldung an Aufsichtsbehörde bei meldepflichtigen Vorfällen nach Art. 33 DSGVO.
≤ 7 Tage
Post-Mortem & Lessons-Learned. Vollständige Ursachenanalyse, Maßnahmenplan, transparente Dokumentation für Auftraggeber.
Kategorie 07

Compliance.

Ein ehrlicher Stand: Welche Standards heute eingehalten werden, welche Zertifizierungen aktuell laufen und welche für 2026/2027 geplant sind. Wir kommunizieren das transparent statt mit Compliance-Theater.

Eingehalten
DSGVO / BDSG
Vollständige Umsetzung der DSGVO und des BDSG — als Verantwortlicher für eigene Verarbeitung, als Auftragsverarbeiter für institutionelle Partner.
Eingehalten
TLS / Mindeststandards BSI
TLS-Konfiguration nach BSI TR-02102-2. Alle Cipher-Suites entsprechen den Bundesempfehlungen für „hohe" Schutzbedarfsstufen.
Eingehalten
RDG-Konformität
Strikte Einhaltung der Grenzen des § 2 RDG. civitas. erbringt rein technische Verfahrenshilfe, keine Rechtsberatung im Einzelfall.
Q3 2026 geplant
ISO/IEC 27001
Information-Security-Management. Vorbereitung der Zertifizierung für Q3 2026 — relevant für ausgewählte Behördenausschreibungen.
Q4 2026 geplant
BSI C5-Testat
Cloud Computing Compliance Criteria Catalogue des BSI. Standard für öffentliche Verwaltung — Vorbereitung läuft.
2027 geplant
EVB-IT Cloud-Konformität
Vertragsbedingungen für IT-Beschaffung der öffentlichen Hand. Wird relevant bei größeren Behörden-Ausschreibungen.
Verantwortlich

Direktkontakt für Sicherheit und Datenschutz.

Für Sicherheitsmeldungen, Datenschutzanfragen, Auditanfragen oder spezifische Fragen zu unserer Architektur. Bei Verdacht auf Sicherheitslücken bitten wir um vertrauliche Meldung — wir bestätigen Eingang innerhalb von 24 Stunden.

Datenschutz & Sicherheit

civitas. · Privacy & Security Team

Reaktionszeit
Werktags binnen 24 Stunden
Aufsichtsbehörde
LDI Nordrhein-Westfalen