Compliance
Compliance
Datenstandort, DSGVO-Funktionen, Sicherheitsmaßnahmen und welche Zertifizierungen Formabi nicht hat.
Gehostet in Deutschland
Die Anwendung, die Datenbank und jedes Backup von beiden liegen in einem Rechenzentrum in Falkenstein, Deutschland. Transaktionale E-Mails gehen über ein Relay in Frankreich hinaus. Kein Teil Ihrer Formulardaten durchläuft einen Anbieter außerhalb der EU.
- ✓ Insgesamt zwei Unterauftragsverarbeiter, beide in der EU
- ✓ Website-Analyse und CRM sind selbst gehostet, nicht an Dritte übergeben
Ein nach ISO/IEC 27001 zertifiziertes Rechenzentrum
Unsere Server laufen bei der Hetzner Online GmbH, deren deutsche Rechenzentrumsparks nach ISO/IEC 27001 für Informationssicherheits-Management zertifiziert sind. Dieses Zertifikat gehört Hetzner, nicht uns. Es deckt den physischen Standort, Strom, Zutrittskontrolle und das Netzwerk unter Formabi ab.
DSGVO-Funktionen im Produkt
Betroffenenanfragen werden in Formabi selbst bearbeitet, ohne Support-Ticket oder manuellen Export.
- ✓ Auskunftsrecht (Art. 15): alles finden, was über eine Person in allen Formularen gespeichert ist, und es als ein Paket exportieren
- ✓ Recht auf Löschung (Art. 17): ein Feld, eine Einsendung, ein Formular oder einen ganzen Arbeitsbereich löschen, wobei jede Anfrage erfasst wird
- ✓ Speicherbegrenzung (Art. 5): eine Aufbewahrungsfrist pro Arbeitsbereich festlegen, ältere Einsendungen werden automatisch gelöscht
- ✓ Einwilligung (Art. 7): gespeichert mit einem Abbild des genau angezeigten Wortlauts, der Widerruf wird dazu erfasst
- ✓ Verzeichnis von Verarbeitungstätigkeiten (Art. 30): ein Audit-Log von Anmeldungen, Änderungen und Betroffenenvorgängen, 365 Tage aufbewahrt
Verschlüsselt bei der Übertragung und im Ruhezustand
Jede Verbindung läuft ausschließlich über HTTPS, mit TLS 1.2 oder 1.3 und HSTS. Datenbanken und Mandanten-Volumes liegen auf verschlüsselten Datenträgern. Backups werden auf dem Server verschlüsselt, bevor sie irgendwohin gehen.
Authentifizierung
Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes und Single Sign-on über jeden OpenID-Connect-Anbieter, etwa Google Workspace, Microsoft Entra ID oder Okta. Sie können SSO erzwingen, die Registrierung auf Ihre E-Mail-Domain beschränken und Rollen aus Ihrem Verzeichnis synchronisieren.
- ✓ Passwörter mit bcrypt gehasht, Sitzungstoken nur als Hash gespeichert
- ✓ Jede angemeldete Sitzung einsehen und beliebige davon widerrufen
- ✓ Anmeldeversuche sind ratenbegrenzt
Eigene Datenbank pro Kunde
Jeder Kunde läuft in einem eigenen Container mit einer eigenen Datenbank. Der Datenbankserver lässt einen Mandanten nur die Datenbank öffnen, die für ihn benannt ist, und allen anderen werden die Verbindungsrechte entzogen.
Backups und Wiederherstellungstests
Verschlüsselte nächtliche Backups, aufbewahrt sieben täglich, vier wöchentlich und sechs monatlich. Wiederherstellungen werden getestet; der letzte Test fand am 22. September 2026 statt.
Infrastrukturänderungen werden geprüft und versioniert
Unsere Infrastruktur ist als Code deklariert (NixOS), daher ist die Konfiguration jedes Servers versioniert und jede Änderung durchläuft ein Review. Abhängigkeiten werden bei jedem Release-Build auf bekannte Schwachstellen gescannt.
Erneuerbarer Strom
Hetzner betreibt seine deutschen Rechenzentren mit Strom aus erneuerbaren Quellen.
Zertifizierungen
Formabi hat keine ISO-27001- oder SOC-2-Zertifizierung. Alles auf dieser Seite ist eine Kontrolle, die wir betreiben und belegen können. Die vollständige Referenz für Due-Diligence-Prüfungen steht unter Sicherheit & Compliance, und die von uns genutzten Anbieter sind unter Unterauftragsverarbeiter aufgeführt.
Audit-Unterlagen
Auf Anfrage: Auftragsverarbeitungsvertrag (Art. 28 DSGVO), ausgefüllter Sicherheitsfragebogen, Durchgang durch diese Maßnahmen.
Oder schreiben Sie uns direkt an help@formabi.com