Für IT-Verantwortliche und Datenschutzbeauftragte
Sicherheit und Datenschutz
Bautagebücher, Mängel und Abnahmeprotokolle sind Beweismittel. Deshalb beschreiben wir hier ohne Marketing, wo Ihre Daten liegen, wer darauf zugreift, wie sie gesichert werden – und was wir nicht bieten. Stand 20. Oktober 2026.
Auf einen Blick
| Betreiber | PlanningX GmbH, Hüfingen (Deutschland). Geschäftsführer Andreas Sawall, Alexander Graf. |
|---|---|
| Hosting und Datenstandort | Hetzner Online GmbH, Rechenzentrum Falkenstein (Deutschland) – Server, Objektspeicher und Sicherungen. Auftragsverarbeitungsvertrag mit Hetzner nach Art. 28 DSGVO. |
| Drittländer | Keine Übermittlung außerhalb der EU. Einzige Ausnahme: die optionalen KI-Funktionen (OpenAI Ireland Ltd.), die jede Organisation selbst abschalten kann. |
| Verschlüsselung | TLS 1.2/1.3 mit HSTS für jede Verbindung. Passwörter als Argon2id-Hash. Offline-Daten auf dem Endgerät AES-GCM-verschlüsselt. |
| Mandantentrennung | Jeder Datensatz trägt die Organisation; der Server prüft die Zugehörigkeit bei jedem Zugriff. Nachunternehmer sehen nur, was ihrer Firma zugewiesen ist. |
| Sicherung | Täglich Datenbank und Dateien, zusätzlich täglich auf getrennten Speicher in einem eigenen Unterkonto. 30 Tage Vorhaltung, automatisierter Wiederherstellungstest. |
| Nachvollziehbarkeit | Revisionssicheres Audit-Log je Organisation, Mail-Sendeprotokoll mit Zustellstatus, festgeschriebene Berichte werden nie verändert. |
| Zertifizierung | Hetzner ist ISO 27001 zertifiziert. Für easyArchitekt selbst liegt keine ISO-27001-Zertifizierung vor; sie ist für 2027 vorgesehen. |
Maßnahmen im Detail
Zugriff und Rollen
- Rollen je Organisation: Admin, Projektleitung, Bauleitung, Polier, Mitarbeiter, Nachunternehmer, externer Prüfer
- Projektzugriff zusätzlich über Projektmitgliedschaft
- Kurzlebige Sitzungs-Tokens (15 Minuten), Abmeldung serverseitig widerrufbar
- Support-Zugriff nur über protokollierte Impersonation, im Audit-Log des Kunden sichtbar
Nachunternehmer und Bauherren
- Firmen-Zugang kostenlos; sichtbar sind nur Mängel, Pläne und Protokolle der eigenen Firma
- Interne Kommentare und Notizen bleiben für Externe unsichtbar
- Bauherren-Freigabe nur lesend, per Link mit Passwort und Ablaufdatum
- Fristen-Erinnerungen und Mahnungen werden am Mangel dokumentiert
Dateien und Dokumente
- Uploads über kurzlebige, vorsignierte Adressen; keine Datei ist öffentlich erreichbar
- Pläne, Fotos und PDFs im S3-kompatiblen Objektspeicher in Deutschland
- Projekt-Papierkorb mit vollständiger Wiederherstellung durch den Kunden-Admin
- DSGVO-Datenexport als Selbstbedienung
Betrieb
- Staging-Umgebung getrennt von Produktion; Produktions-Deploy nur nach Freigabe
- Automatische Prüfungen vor jedem Deploy (Typen, Schema, End-to-End-Tests)
- Sicherheitsaktualisierungen der Abhängigkeiten automatisiert geprüft
- Rate-Limiting und Security-Header auf der API, Fail2ban am Mailserver
Unterauftragsverarbeiter
| Dienstleister | Zweck | Standort | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH | Server, Objektspeicher, Sicherung | Deutschland | AVV Art. 28 DSGVO |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (nur Rechnungs- und Zahlungsdaten) | Irland | AVV, Standardvertragsklauseln |
| OpenAI Ireland Ltd. | Optionale KI-Funktionen – nur bei aktivierter KI | Irland / USA | AVV, Standardvertragsklauseln; abschaltbar; kein Modelltraining |
| Deutscher Wetterdienst | Wetterdaten je Baustelle (nur Koordinaten) | Deutschland | Open Data |
Keine Weitergabe zu Werbe- oder Analysezwecken. Keine Tracking-Pixel in Berichts-Mails.
Was wir nicht bieten
- Keine ISO-27001- oder SOC-2-Zertifizierung des Betreibers (geplant 2027).
- Kein Single Sign-On (SAML/OIDC) im Standardprodukt; für Enterprise-Verträge auf Anfrage.
- Kein kundenseitig verwalteter Verschlüsselungsschlüssel (BYOK), kein Betrieb beim Kunden.
Häufige Fragen
Bekommen wir einen Auftragsverarbeitungsvertrag?
Ja. Den AVV nach Art. 28 DSGVO erhalten Sie bei Vertragsschluss und jederzeit vorab auf Anfrage an support@easyarchitekt.de, zusammen mit der Liste der Unterauftragsverarbeiter.
Wo liegen unsere Daten genau?
Datenbank, Dateien und Sicherungen liegen bei Hetzner in Falkenstein (Deutschland). Es gibt keine Kopien außerhalb der EU.
Was passiert mit unseren Daten, wenn wir kündigen?
Sie exportieren Berichte als PDF und Daten als Excel/CSV jederzeit selbst. Nach Vertragsende löschen wir die Organisation auf Wunsch vollständig inklusive Dateien; die Sicherungen laufen nach 30 Tagen aus.
Welche Daten gehen an die KI?
Nur was Sie diktieren oder zur Strukturierung, Übersetzung oder Bildbeschreibung anstoßen – und nur, wenn die KI in Ihren Organisationseinstellungen eingeschaltet ist. Die Daten werden nicht zum Training verwendet.
Wie erfahren wir von einem Sicherheitsvorfall?
Betroffene Kunden informieren wir unverzüglich per E-Mail an den Organisations-Admin; die Aufsichtsbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO.
Gibt es ein ausführliches Sicherheitsdossier?
Ja, mit allen technischen und organisatorischen Maßnahmen, Wiederherstellungszielen und Kontaktwegen. Anfrage an support@easyarchitekt.de.
Sicherheitsdossier und AVV anfordern
Die ausführliche Fassung mit allen technischen und organisatorischen Maßnahmen, Wiederherstellungszielen und Kontaktwegen senden wir Ihnen per E-Mail.
Per E-Mail anfordern