Auf dieser Seite erfahren Sie, wie die tolinax UG (haftungsbeschränkt) die Daten schützt, die Sie der aYOUne-Plattform anvertrauen: wo sie verarbeitet werden, welche Sicherheitsmaßnahmen gelten, welche Dienstleister beteiligt sind und wie Sie uns erreichen.

Auf einen Blick

Hosting in Deutschland: Rechenleistung, Datenbank und Dateispeicher laufen in der Google-Cloud-Region europe-west3 (Frankfurt am Main).
Mandantentrennung: Jeder Datensatz gehört genau einem Kunden; jeder Datenzugriff ist auf den Kunden des angemeldeten Nutzers beschränkt.
Verschlüsselung: HTTPS/TLS für alle Verbindungen, Verschlüsselung ruhender Daten in Datenbank, Sicherungen und Dateien, zusätzliche AES-256-GCM-Verschlüsselung gespeicherter Zugangsdaten.
Zugriffsschutz: feingranulare, rollenbasierte Rechte an jeder Schnittstelle; zweiter Faktor per Authenticator-App, YubiKey oder Passkey.
Betroffenenrechte: eingebauter Export und eingebaute Löschung personenbezogener Daten.
Meldung von Vorfällen: Kunden werden unverzüglich, spätestens 48 Stunden nach Kenntnis einer Datenschutzverletzung, informiert.

Sicherheits- und Datenschutzrichtlinien

Unser Informationssicherheitsprogramm ist in folgenden Richtlinien dokumentiert. Sie liegen in englischer Sprache vor, sind von der Geschäftsführung freigegeben und werden mindestens jährlich überprüft:

Auftragsverarbeitung

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Den vollständigen Vertragstext mit den Anlagen finden Sie hier: Auftragsverarbeitungsvertrag (AVV). Für Ihr Unternehmen erstellen wir den Vertrag gern mit Ihren Angaben als PDF.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: Oktober 2026 · Verantwortlich: Geschäftsführung des Auftragnehmers

Der Auftragnehmer betreibt keine eigenen Rechenzentren. Rechenleistung, Datenbank und Dateispeicher werden bei Google Cloud und MongoDB Atlas in der Region Frankfurt am Main betrieben; deren physische und umgebungsbezogene Sicherheit wird durch die Anbieter gewährleistet und regelmäßig unabhängig geprüft (u. a. ISO/IEC 27001, SOC 2).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Rechenzentren: Zutrittskontrolle der Anbieter (Zugangskontrollsysteme, Videoüberwachung, Wachpersonal, Protokollierung).
Keine Server oder Datenträger mit Kundendaten in den Büroräumen des Auftragnehmers.

1.2 Zugangskontrolle (Systeme)

Zentrale Anmeldung; Passwörter nur als bcrypt-Hash gespeichert.
Zweiter Faktor für Nutzer verfügbar (Authenticator-App/TOTP, YubiKey, WebAuthn/Passkeys).
Sperre nach wiederholten Fehlversuchen; Anfragebegrenzung an Anmelde- und Zweitfaktor-Endpunkten.
Kurzlebige Zugriffstoken (15 Minuten) mit rotierenden, einzeln widerrufbaren Erneuerungstoken.
Arbeitsplätze: aktiver Schadsoftware-Schutz mit automatischen Aktualisierungen, automatische Bildschirmsperre, Passwortmanager, Mehr-Faktor-Authentifizierung auf allen Firmen-, Cloud-, Quellcode- und Datenbank-Konsolen-Konten.

1.3 Zugriffskontrolle (Daten)

Rollenbasiertes Rechtekonzept mit feingranularen Rechten je Datenobjekt und Aktion, an jeder Schnittstelle durchgesetzt.
Wirksame Rechte = Rechte der Rolle, beschränkt auf die vom Kunden lizenzierten Module.
Einschränkung einzelner Datensätze auf benannte Nutzer oder Teams.
Getrennter Kontotyp für Betreiberfunktionen mit eigenem Rechtekatalog.
Zugriff auf Produktivsysteme nur für namentlich benannte Personen; Rechtevergabe nach Erforderlichkeit; Entzug bei Austritt oder Rollenwechsel; Überprüfung mindestens halbjährlich.

1.4 Trennungskontrolle

Mandantentrennung: Jeder Datensatz trägt die Kennung des Mandanten; die zentrale Datenzugriffsschicht beschränkt jede Abfrage auf den Mandanten des angemeldeten Nutzers.
Getrennte Test- und Demonstrationsmandanten; Tests nur mit Testdaten.
Trennung von Arbeitslasten über getrennte Knotengruppen.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HTTP wird umgeleitet; HSTS ein Jahr inkl. Subdomains); verschlüsselte Verbindung zur Datenbank.
Verschlüsselung ruhender Daten in Datenbank, Datensicherungen und Dateispeicher (AES-256, durch die Anbieter).
Zugangsdaten zu Drittdiensten zusätzlich anwendungsseitig verschlüsselt (AES-256-GCM); optional Ende-zu-Ende-Modus (PBKDF2-SHA256, 600.000 Iterationen, AES-256-GCM), in dem der Server nicht entschlüsseln kann.
Datenexporte für betroffene Personen verschlüsselt, Abruf über zeitlich begrenzte signierte Links.
Bei Löschungen mit gesetzlicher Aufbewahrungspflicht: Pseudonymisierung und Sperrung statt Löschung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Öffentlicher Zugang nur über ein zentrales, verwaltetes Eingangs-Gateway; Dienste sind nicht einzeln aus dem Internet erreichbar.
Interne Kennzahlen-Endpunkte von außen gesperrt; Sperrlisten für missbräuchliche Quellen.
Eingehende Webhooks nur mit gültiger Signatur des Anbieters.
Weitergabe an Unterauftragsverarbeiter nur nach Anlage 3.

2.2 Eingabekontrolle

Protokollierung von Anmeldeereignissen und Schnittstellenaktionen mit Nutzer, Mandant, IP-Adresse und Zeitpunkt.
Änderungsverlauf an Datensätzen (Ersteller, letzter Bearbeiter, Zeitstempel).
Löschläufe für Betroffenenanfragen werden mit Prüfprotokoll ausgeführt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Betrieb auf verwalteter Kubernetes-Infrastruktur mit automatischer Neustart- und Bereitschaftsprüfung der Dienste.
Verwaltete Datenbank mit Replikation und automatischen Sicherungen durch den Anbieter.
Anfragebegrenzung auf allen Schnittstellen zum Schutz vor Überlastung.
Überwachung mit Prometheus/Alertmanager und Echtzeit-Alarmierung; Laufzeitfehler werden automatisch als nachverfolgte Aufgaben erfasst.
Öffentliche Statusseite mit Störungsmeldungen.
Automatisierte Erstellungs- und Auslieferungsprozesse aus der Versionsverwaltung; zentrale Aktualisierung gemeinsamer Bibliotheken.

4. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Wiederherstellung der Datenbank aus den Sicherungen des Datenbankdienstes.
Mandantenbezogene Datensicherungen auf Anforderung und nach Zeitplan, mit Aufbewahrungsregel je Mandant.
Wiederherstellung von Diensten durch erneutes Ausrollen versionierter Container-Abbilder.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Veröffentlichte Informationssicherheitsrichtlinie mit Unterrichtlinien; Überprüfung mindestens jährlich.
Interne Sicherheitsprüfungen mit nachverfolgten Befunden und erneuter Prüfung nach Behebung; Behebungsfristen nach Schweregrad (kritisch 7 Tage, hoch 30 Tage, mittel 90 Tage).
Meldeweg für Sicherheitslücken (security@aYOUne.com, security.txt).
Vorfallmanagement mit festgelegten Rollen, Register für Datenschutzverletzungen und Meldefristen (Kunden spätestens 48 Stunden).
Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Kennzeichnung personenbezogener Daten im Datenkatalog als Grundlage für Export und Löschung.

6. Auftragskontrolle

Verarbeitung nur auf Weisung des Auftraggebers nach diesem Vertrag.
Verpflichtung aller Beschäftigten und Auftragnehmer auf Vertraulichkeit und die interne Datenschutzrichtlinie.
Auswahl von Unterauftragsverarbeitern unter Datenschutzgesichtspunkten; Auftragsverarbeitungsbedingungen der Anbieter; Drittlandübermittlung nur nach § 6.

Anlage 3 — Unterauftragsverarbeiter und Drittlandübermittlungen

Stand: Oktober 2026

A. Kernbetrieb (immer im Einsatz)

Anbieter	Leistung	Ort der Verarbeitung	Grundlage
Google Cloud	Rechenleistung (Kubernetes), Dateispeicher, Netzwerk	Frankfurt am Main, Deutschland (europe-west3)	Auftragsverarbeitungsbedingungen des Anbieters (Cloud Data Processing Addendum)
MongoDB Atlas	Datenbank, Datenbanksicherungen	Frankfurt am Main, Deutschland (auf Google Cloud, europe-west3)	Auftragsverarbeitungsbedingungen des Anbieters (Data Processing Agreement)
Hetzner Online	Weiterleitung von Echtzeit-Verbindungen (Audio/Video, Fernwartung), Build-Infrastruktur	Deutschland	Auftragsverarbeitungsbedingungen des Anbieters

B. Zusatzfunktionen (nur bei Nutzung durch den Auftraggeber)

Anbieter	Leistung	Ort / Drittland	Grundlage bei Drittlandübermittlung
OpenAI	KI-Textverarbeitung, Einbettungen, Sprache	USA möglich	EU-U.S. Data Privacy Framework, soweit zertifiziert, sonst EU-Standardvertragsklauseln 2021
Anthropic	KI-Textverarbeitung	USA möglich	wie oben
Google (Gemini / Vertex AI)	KI-Textverarbeitung, Sprache	EU/USA möglich	wie oben
Cohere	KI-Einbettungen und Textverarbeitung	Kanada/USA möglich	Angemessenheitsbeschluss (Kanada) bzw. wie oben
Voyage AI	KI-Einbettungen	USA möglich	wie oben
Amazon Web Services (Polly)	Sprachausgabe (Text-to-Speech)	EU/USA möglich	wie oben
ElevenLabs	Sprachausgabe, Stimmklon	USA möglich	wie oben; Verarbeitung biometrischer Daten nur mit Einwilligung der betroffenen Person
HeyGen	Avatar-/Video-Erzeugung	USA möglich	wie oben; Verarbeitung biometrischer Daten nur mit Einwilligung der betroffenen Person
Twilio	Telefonie, SMS	USA möglich	wie oben
SparkPost	E-Mail-Versand	USA möglich	wie oben

Für Übermittlungen auf Grundlage der Standardvertragsklauseln führt der Auftragnehmer eine dokumentierte Bewertung des Datenschutzniveaus im Empfängerland (Transfer-Folgenabschätzung) durch.

C. Vom Auftraggeber selbst angebundene Dienste

Dienste, die der Auftraggeber mit eigenen Zugangsdaten an die Software anbindet (z. B. eigene Zahlungsanbieter wie Stripe, PayPal oder SumUp, eigene E-Mail-Postfächer, Messenger-Konten, Werbe- und Shop-Plattformen), sind keine Unterauftragsverarbeiter des Auftragnehmers. Das Vertragsverhältnis besteht direkt zwischen dem Auftraggeber und dem jeweiligen Anbieter.

D. Änderungen

Änderungen dieser Liste werden nach § 5 Abs. 2 des Vertrags angekündigt. Die aktuelle Liste ist veröffentlicht unter https://ayoune.com/de/trust.

Zertifizierungen

tolinax verfügt derzeit über keine eigene Zertifizierung nach ISO 27001, ISO 27701 oder SOC 2. Unsere Maßnahmen folgen Art. 32 DSGVO und sind in den oben genannten Richtlinien dokumentiert. Unsere Infrastruktur-Anbieter Google Cloud und MongoDB Atlas sind unabhängig zertifiziert (u. a. ISO/IEC 27001 und SOC 2).

Kontakt

Sicherheitsmeldungen und Schwachstellen: security@ayoune.com (auch in /.well-known/security.txt)
Fragen zum Datenschutz und Betroffenenanfragen: privacy@tolinax.com
Datenschutzerklärung · Impressum

Stand: Oktober 2026