Datenschutz und IT-Sicherheit (FAQ)

Der Schutz Ihrer Daten hat in unserem Unternehmen seit der Gründung im Jahr 2010 einen besonders hohen Stellenwert. Als in Deutschland ansässiges Unternehmen betreuen wir schwerpunktmäßig Kunden in Deutschland, Österreich und der Schweiz sowie darüber hinaus in mehr als 30 weiteren Ländern. Entsprechend hoch sind unsere Anforderungen an Datenschutz und Datensicherheit.

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt selbstverständlich im Einklang mit den geltenden gesetzlichen Vorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO).

Ebenso zentral ist für uns das Thema Cybersicherheit. Sie ist ein fester Bestandteil unserer gesamten Softwareentwicklung. Bereits in der Konzeptions- und fortlaufend in der Entwicklungsphase berücksichtigen wir umfassende Sicherheitsanforderungen nach dem Prinzip „Security by Design“. So stellen wir sicher, dass unsere Anwendungen von Anfang an höchsten Sicherheitsstandards entsprechen.

Darüber hinaus werden unsere Systeme regelmäßig durch interne Sicherheitsprüfungen sowie unabhängige externe Audits analysiert und kontinuierlich weiterentwickelt. Auf diese Weise gewährleisten wir ein dauerhaft hohes Maß an Schutz für Ihre Daten und unsere IT-Infrastruktur.

Auf dieser Seite finden Sie Antworten auf die häufigsten Fragen zu den Themen Datenschutz, IT-Infrastruktur und Datensicherheit bei ibelsa.

Wo stehen die Server der ibelsa und wer ist Eigentümer?

Die Server der ibelsa GmbH stehen im Rechenzentrum der Amazon Web Services (AWS) in Frankfurt am Main.

Gibt es Zertifizierungen für die Server?

Die Zertifizierungen des Rechenzentrums der Amazon Web Services (AWS) finden Sie unter Link https://aws.amazon.com/de/compliance/programs/ im Bereich “Europe, Middle East & Africa”. Unser in Deutschland ansässiger Amazon Web Services (AWS) Partner skaylink, der uns beim Betrieb der Serverinfrastruktur in den AWS Rechenzentren unterstützt, ist  nach ISO 27001, ISO 9001 und ISO 22301 zertifiziert.

Bietet ibelsa die Möglichkeit zur Multi-Faktor-Authentifizierung (MFA)?

ibelsa stellt seinen Kunden zwei Möglichkeiten zum sicheren Login zur Verfügung: Multi-Faktor-Authentifizierung (MFA) via Magic Links und google Single Sign-On (SSO). Eine Beschreibung der beiden Methoden finden Sie unter dem folgenden Link.

Wie verbinde ich mich mit der Anwendung und wie ist diese Verbindung gesichert?

Bei der Anwendung ibelsa.rooms handelt es sich um Software-as-a-Service (SaaS) also um eine Cloud Anwendung. Um Zugriff auf die Anwendung und Ihren ibelsa.rooms Account zu erlangen, benötigen Sie einen Webbrowser und eine stabile Internet-Verbindung. Ohne diese können Sie nicht auf die Anwendung zugreifen.

Sämtliche Kommunikation zwischen Ihrem Webbrowser und der ibelsa Cloud Anwendung erfolgt verschlüsselt nach dem neuesten Stand der Technik. ibelsa ist auf den jeweils aktuellen Versionen der offiziell unterstützten Webbrowser und auf allen Betriebssystemen lauffähig, so dass Sie keine unsichere Software zum Zugriff benutzen müssen. Ihre Daten werden auf unseren Server verschlüsselt abgelegt (“encryption at rest”).

Stellt die ibelsa GmbH einen Auftragsverarbeitungsvertrag (AVV) gemäß DS-GVO zur Verfügung?

Bei der Online-Registrierung Ihres ibelsa.rooms Accounts erhalten sie in einer Mail den entsprechenden Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DS-GVO. Diesen müssen Sie lediglich um Ihre Firmierung ergänzt und unterschrieben an uns zurücksenden. Daneben finden Sie die Technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO der ibelsa GmbH auch unter folgendem Link

Was geschieht mit den Daten in der Cloud, sollte der Vertrag gekündigt werden?

Unserer Philosophie folgend, können Sie auch nach dem bestätigten Kündigungstermin noch ein Jahr lang auf Ihren Account und die darin enthaltenen Daten lesend zugreifen (sofern Sie dieser Regelung nicht widersprechen). Ein Jahr nach Ende der Vertragslaufzeit werden wir Ihren Account aus datenschutzrechtlichen Gründen löschen. Genaue Informationen zu diesem Thema finden Sie in §15 unserer Vertragsbedingungen (https://www.ibelsa.com/agb/), in dem die Datenlöschung und Pflichten bei oder nach Beendigung des Vertrages geregelt sind. Dort insbesondere unter Punkt 3.

Sollte der Betrieb von einem Nachfolger weitergeführt werden – welche Rechte hat er an den Daten?

Grundsätzlich ist es möglich seinen ibelsa Account an einen Nachfolger zu übergeben. Die entsprechenden Informationen finden sie in unseren Vertragsbedingungen § 16. Zudem berät sie unser Support-Team gerne zu diesem Thema.

Hat die ibelsa GmbH einen Datenschutzbeauftragten?

Selbstverständlich verfügt die ibelsa GmbH über einen Datenschutzbeauftragten. Sie erreichen diesen entweder per E-Mail (datenschutz@ibelsa.com) oder unter der Postanschrift: ibelsa GmbH, Saarstraße 133, 66265 Heusweiler-Holz.

Verfügt die Anwendung über ein Rechtemanagement?

Ja. Die Anwendung verfügt über ein entsprechendes Rechtemanagement, mit dem einzelnen Mitarbeitern oder Mitarbeitergruppen entsprechende Rechte zugewiesen oder wieder entzogen werden können.

Was passiert wenn das Rechenzentrum ausfällt oder die Server beschädigt werden (z.B. durch Brand)?

Unsere Infrastruktur wird von unserem internen DevOps Expertenteam betrieben mit Unterstützung durch die externe Experten der Skaylink GmbH und läuft auf Amazon Web Services (AWS) am Standort Frankfurt am Main. Die Systeme von AWS sind allgemein für eine hervorragende Stabilität bekannt, was wir aus unserer Erfahrung nur bestätigen können.

Durch die Nutzung der AWS Rechenzentren können wir ibelsa.rooms permanent an zwei örtlich getrennten Rechenzentren “spiegeln”. Sollte eines der Rechenzentren ausfallen, bleibt ibelsa.rooms aufgrund der redundanten Auslegung einfach im anderen Rechenzentrum erreichbar. Alle unsere Systeme, insbesondere Datenbankserver und Dateisysteme, sind dabei mindestens zweifach redundant ausgelegt, und wie beschrieben zusätzlich verteilt auf räumlich getrennte Standorte, die "mindestens einige Kilometer" voneinander entfernt sind (Details über die genauen Standorte hält Amazon aus Sicherheitsgründen unter Verschluss).

Weiterhin können wir die Kapazität der benötigten Rechenleistung unserer Server jederzeit und nahezu in Echtzeit anpassen, um somit Engpässe bei der Nutzung der Software gar nicht erst entstehen zu lassen.

Ihre Daten werden regelmäßig und automatisch in industrielle Backup-Systeme gesichert. Damit stellen wir sicher, dass bei Datenverlust Ihre Daten wiederhergestellt werden könnten. Weitere Informationen finden Sie im Abschnitt “Wie erfolgt die Datensicherung bei ibelsa”.

Verfügt die Anwendung über die Möglichkeit Daten manuell und/oder automatisiert DS-GVO konform zu löschen?

Daten können manuell gelöscht werden. Ein Automatismus wird von der Anwendung zur Zeit nicht unterstützt. Die Einhaltung und Überwachung der Löschfristen obliegt dem Kunden.

Wo und wie werden die Zahlungsdaten von Kunden gespeichert wenn das Modul ibelsaPay angebunden wird?

Zahlungsdaten werden nicht in Applikation gespeichert. Diese werden ausschließlich über PCI-konforme Technologiepartner verarbeitet und gespeichert. ibelsa speichert und verarbeitet die Daten lediglich in tokenisierter Form.

Mit welchen externen Partnerunternehmen arbeiten Sie im Bereich Cybersicherheit zusammen?

Im Bereich Cybersicherheit arbeiten wir unter anderem mit ProSec Networks zusammen, einem spezialisierten Unternehmen mit umfassender Expertise in der IT-Sicherheit. ProSec betreut unter anderem auch Bundesbehörden und bringt somit ein besonders hohes Maß an Erfahrung und Sicherheitskompetenz in unsere Zusammenarbeit ein.

Darüber hinaus stehen wir in einem kontinuierlichen Austausch mit weiteren Partnerunternehmen und Experten. Dieser enge Dialog ermöglicht es uns, Sicherheitsstandards laufend zu überprüfen und weiterzuentwickeln sowie potenzielle Risiken frühzeitig zu erkennen und zu minimieren.

Auf diese Weise stellen wir sicher, dass unsere Systeme stets den aktuellen Anforderungen an Cybersicherheit entsprechen und kontinuierlich verbessert werden.

Wie erfolgt die Datensicherung bei der ibelsa?

Um die Verfügbarkeit und Betriebssicherheit von ibelsa zu gewährleisten, führen wir Datensicherungen wie folgt durch:

Für alle Daten werden mindestens einmal täglich Vollbackups erstellt, und je nach System werden die Backup-Stände zwischen 30 und 34 Tagen, mindestens aber 7 Tage, vorgehalten. Die Datenhaltung der Backups erfolgt dabei auf mehrfach redundanten Speichersystemen von AWS, die Ausfälle an bis zu zwei Speicherorten überstehen. Die Sicherungen werden dabei getrennt vom Produktivsystem und verschlüsselt (“encryption-at-rest”) innerhalb der Region EU-Central-1 übertragen und abgelegt.

Die Sicherungen werden von AWS bzw. von unserem Expertenteam zusammen mit skaylink verwaltet. Inhaltlich sind diese von Seiten ibelsa oder skaylink nicht manipulierbar. Eine Löschung bestehender Datenbanksicherungen durch ibelsa ist möglich, jedoch nur über einen speziellen Server, auf den nur bestimmte Mitarbeiter Zugriff haben. Der Zugriff wird dabei über ein von skaylink verwaltetes Rechtemanagement konfiguriert.

Der ibelsa Quellcode ist ebenfalls mehrfach redundant gesichert und jederzeit in unserem Zugriff. Die Definitionen zur Systemarchitektur sind im Konfigurationsmanagement von skaylink abgelegt und gesichert, so dass das gesamte System mit allen benötigten Diensten automatisiert eingerichtet und mit Daten aus den Backups wiederhergestellt werden kann.

ibelsa testet die Wiederherstellbarkeit der Backups regelmäßig.

Eine Wiederherstellung der Daten ist je nach Bereich innerhalb weniger Stunden abgeschlossen. Je nach Wiederherstellungsszenario ist dies von mehreren Faktoren abhängig, zum Beispiel der Art der Daten, der Datenmenge oder ob Off-Site Backups herangezogen werden müssen. Im Bereichen der Datenbank gibt es zusätzliche Möglichkeiten der Wiederherstellung. Diese erlaubt eine Wiederherstellung annähernd im laufenden Betrieb, und auch eine Wiederherstellung von beliebigen Zeitpunkten innerhalb des Backup-Zeitraums.

Für die Einhaltung und Umsetzung steuerrechtlicher Speicherfristen, Aufbewahrungsfristen und sonstiger Archivierungspflichten und Aufbewahrungsfristen ist der Kunde verantwortlich. Dies betrifft alle relevanten Daten ihres Accounts. Näheres hierzu finden Sie in unseren Vertragsbedingungen (https://www.ibelsa.com/agb/). Hier insbesondere in den §§ 8, 15 und 18

Bieten Sie eine revisionssichere Datenarchivierung an?

Die ibelsa GmbH führt lediglich eine Datenhaltung während der Vertragslaufzeit und keine revisionssichere Datenarchivierung durch. Für die Einhaltung und Umsetzung steuerrechtlicher Aufbewahrungsfristen und sonstiger Archivierungspflichten ist der Kunde verantwortlich. Dies betrifft alle relevanten Daten ihres Accounts.  Näheres hierzu finden Sie in unseren Vertragsbedingungen (https://www.ibelsa.com/agb/). Hier insbesondere in den §§ 8, 15 und 18