Betrieb

Eine Instanz je Kunde, Betriebsort Deutschland.

Kein geteilter Speicher, keine Spiegelung in ein Drittland, kein Konstrukt aus Standardvertragsklauseln für die Kerndaten. Zum Start betreiben wir die Kundeninstanzen bei Profihost in Deutschland, und der Anbieter steht namentlich im AVV. Und wenn dir das nicht reicht, nimmst du deinen eigenen Server.

Unterlagen anfragen

Aus dem laufenden System, nicht nachgebaut.

Betriebsort Deutschland ein Webpaket je Kunde

Ort: Deutschland, zum Start bei Profihost. Der Anbieter steht namentlich im AVV
Trennung: eigene Anwendung, eigene Datenbank, eigene Subdomain je Kunde
Sicherung: täglich, 30 Tage Aufbewahrung, dazu Abzug vor jedem Update
Verschlüsselung: Transport durchgängig, Sicherungen verschlüsselt abgelegt
Zugriff durch uns: kleiner Kreis, jeder Zugriff im Prüfprotokoll
Alternative: Self-Hosted auf deiner Infrastruktur, gleiche Lizenzsumme

Technische und organisatorische Maßnahmen

Die Kurzfassung dessen, was im TOM-Dokument steht. Das vollständige Dokument schicken wir auf Anfrage.

Zutritt und Zugang

Die Kundeninstanzen laufen zum Start bei Profihost in einem Rechenzentrum, für das der Anbieter eine ISO-27001-Zertifizierung ausweist, Zutrittskontrolle inklusive. Die Anmeldung am System läuft nur über persönliche Konten mit Mehr-Faktor-Anmeldung. Kein geteiltes Administratorkonto.

Zugriff

Objektbezogene Rechte bis in die API, nicht nur im Menü. Rollen nach dem Prinzip der geringsten Rechte, Marken-Abgrenzung inklusive.

Nachweisbarkeit

Lückenloses Prüfprotokoll mit Vorher und Nachher, auch für Automationen und KI-Aktionen. Zugriffe unseres Betriebs stehen mit drin.

Verfügbarkeit

Tägliche Sicherung, Abzug vor jedem Update, Wartungsmodus und Code-Rollback beim Update. Wiederherstellung wird geübt, nicht angenommen.

Trennung

Eine Instanz je Kunde. Trennung passiert auf Ebene der Installation, nicht über einen Mandanten-Filter in geteilten Tabellen.

Löschung

Löschkonzept mit Fristen je Datenart, gekoppelt an die handels- und steuerrechtlichen Aufbewahrungspflichten. Protokolliert, nicht händisch.

Offene Punkte, die wir nicht verstecken

Wir selbst haben keine ISO-27001-Zertifizierung, und wir behaupten auch keine Gleichwertigkeit. Zertifiziert ist das Rechenzentrum unseres Hosting-Anbieters, nicht unser Unternehmen.
Eine vertraglich zugesagte Wiederherstellungszeit ist nicht festgeschrieben. Für Founding-Partner regeln wir sie individuell im Vertrag.
Zur Verschlüsselung der Live-Datenbank at rest steht hier noch keine Angabe. Wir tragen sie nach, sobald wir sie für den Betrieb bei Profihost belastbar zusagen können, statt vorher etwas zu behaupten.

Häufige Fragen zum Hosting

Wo genau steht der Server?

In Deutschland, das ist gesetzt. Zum Start betreiben wir die Kundeninstanzen bei der profihost GmbH aus Laatzen bei Hannover, in einem Rechenzentrum in Deutschland, für das der Anbieter eine Zertifizierung nach ISO 27001 ausweist (Stand: August 2026). Der Anbieter steht namentlich im AVV und in der Unterauftragsverarbeiter-Liste. Kommen später weitere Anbieter dazu, steht der konkrete Anbieter vor deinem Go-live namentlich im AVV. Es gibt keine Spiegelung in ein Drittland und keine Standardvertragsklausel-Konstruktion für die Kerndaten. Die einzige Ausnahme ist die KI, wenn du sie mit einem US-Anbieter nutzt, und die kannst du abschalten.

KI und Datenschutz

Teile ich mir eine Datenbank mit anderen Kunden?

Nein. Jeder Kunde bekommt eine eigene Anwendung mit eigener Datenbank und eigener Subdomain. Jede Installation ist ein eigenes, abgeschlossenes Webpaket, das du jederzeit übernehmen kannst. Es gibt keinen geteilten Speicher, in dem ein Filterfehler fremde Daten zeigen könnte. Das ist Datenisolation und kein Mangel an Effizienz.

Wie oft sichert ihr?

Tägliche Sicherung mit 30 Tagen Aufbewahrung, dazu ein Datenbank-Abzug vor jedem Update. Eine vertraglich zugesagte Wiederherstellungszeit haben wir bisher nicht festgeschrieben, und wir nennen hier keine Zahl, die wir nicht belegen können.

Wer bei euch kommt an meine Daten?

In der betreuten Hosting-Umgebung ein sehr kleiner Kreis für Betrieb und Support, jeder Zugriff steht im Prüfprotokoll. Wir arbeiten nicht mit wechselnden Dienstleistern auf deiner Instanz. In der Self-Hosted-Linie haben wir gar keinen Zugriff, außer du gibst uns einen für den Support.

Self-Hosted im Detail

Kann ich den Betriebsort selbst bestimmen?

Ja, über die Self-Hosted-Linie. Dann läuft Octibiz dort, wo du es hinstellst, mit derselben Lizenzsumme und einem einmaligen Setup-Paket von 2.500 bis 5.000 €. Für Ausschreibungen, die den Betriebsort vorschreiben, ist das der übliche Weg.