Sicherheit

Gehostet in der EU

SaaSFlow und unsere Produktionsdatenbank laufen auf Google Cloud in Frankfurt (Region europe-west3). Hochgeladene Dateien bleiben ebenfalls in der EU, in der EU-Multiregion von Google Cloud. Die zugrunde liegenden Rechenzentren sind nach ISO 27001 und SOC 2 zertifiziert.

Überall verschlüsselt

Alle Daten laufen über TLS-verschlüsselte Verbindungen und sind im Ruhezustand verschlüsselt. Bankverbindungen laufen über regulierte Anbieter (finAPI, Plaid), Deine Online-Banking-Zugangsdaten erreichen SaaSFlow also nie.

Strikte Zugriffskontrolle

Administrativer Zugriff auf Produktionssysteme erfordert individuelle Konten mit Multi-Faktor-Authentifizierung. Der Zugriff auf Kundendaten ist auf wenige benannte Personen beschränkt, folgt dem Need-to-know-Prinzip und wird protokolliert.

Mandantentrennung

Jeder Datensatz gehört zu genau einer Kundenorganisation und wird auf jeder Zugriffsebene danach gefiltert. Entwicklung, Staging und Produktion sind getrennte Umgebungen, und Produktionsdaten bleiben aus Testsystemen draußen: Automatisierte Prüfungen blockieren personenbezogene Daten im Quellcode.

Disziplinierte Entwicklung

Jede Änderung durchläuft Code-Review und automatisierte Prüfungen in der Versionsverwaltung und erreicht die Produktion nur über automatisierte Deployments. Sicherheitsupdates unserer Abhängigkeiten spielen wir regelmäßig ein.

Backups und Verfügbarkeit

Automatisierte Datenbank-Backups mit dokumentiertem Wiederherstellungsverfahren, Monitoring mit Alarmierung und DDoS-Schutz vor der Anwendung halten den Dienst verfügbar und Deine Daten wiederherstellbar.

KI-Funktionen bleiben in der EU

KI-Funktionen laufen nie von selbst. Sie starten, wenn jemand in Deinem Unternehmen einen Bericht anfordert, eine Frage stellt oder eine Datei hochlädt. Die Modelle (Claude von Anthropic und Gemini von Google) laufen bei Google Cloud in Rechenzentren in der EU, beim selben Anbieter, der SaaSFlow hostet. Kein anderer KI-Anbieter bekommt Deine Daten.

DSGVO, schwarz auf weiß

SaaSFlow wird in Deutschland entwickelt und betrieben. Die Dokumente, die den Umgang mit Deinen Daten regeln, sind öffentlich:

• Auftragsverarbeitungsvertrag (Art. 28 DSGVO) einschließlich aller technischen und organisatorischen Maßnahmen
• Liste der Unterauftragsverarbeiter mit Standorten und Übermittlungsgarantien
• Datenschutzerklärung

Sicherheitslücke melden

Wenn Du glaubst, eine Sicherheitslücke in SaaSFlow gefunden zu haben, schreib uns an support@saasflow.com. Deine Meldung geht direkt ans Engineering-Team.