Ihre Daten bleiben sicher. Zertifiziert. DSGVO-konform.

Eine DSGVO-konforme Software muss mindestens vier Anforderungen erfüllen:  

1. Erstens technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO – darunter Verschlüsselung, Zugriffskontrolle, Backup-Konzept und Notfallplan.  

1. Zweitens einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.  

1. Drittens definierte Lösch- und Aufbewahrungsregeln.  

1. Viertens nachweisbare Datenverarbeitung in der EU – idealerweise ohne Drittlandtransfer.  

Eine ISO 27001-Zertifizierung ist nicht zwingend, gilt aber als Goldstandard für nachweisbare Software-Sicherheit und wird von vielen Konzernen als Beschaffungsvoraussetzung gefordert. Flixcheck vereint diese Maßnahmen und verfügt über eine Statement of Applicability (SOA), in der die Umsetzung aller Anforderungen und Anhänge der ISO 27001 dokumentiert sind. 

DSGVO-konform bedeutet für eine SaaS-Software, dass die Verarbeitung personenbezogener Daten im Einklang mit der EU-Datenschutz-Grundverordnung erfolgt. Konkret heißt das:  

• Datenminimierung (nur erforderliche Daten erfassen),  

• Zweckbindung (Daten nur für definierte Zwecke nutzen),  

• Speicherbegrenzung (Lösch- und Aufbewahrungsregeln),  

• Integrität und Vertraulichkeit (technische Schutzmaßnahmen),  

• Rechenschaftspflicht (Dokumentation aller Verarbeitungstätigkeiten)  

• sowie die Einbindung in einen Auftragsverarbeitungsvertrag.  

Flixcheck unterstützt Auskunfts-, Berichtigungs- und Löschungsanfragen Betroffener prozessual und stellt die nötigen Funktionen bereit. 

Die ISO 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS) und damit der Maßstab für überprüfbare Unternehmenssicherheit. Sie zertifiziert nicht ein einzelnes Produkt, sondern das gesamte Unternehmen, identifiziert Risiken, kontrolliert und reduziert. Ein ISO 27001-zertifiziertes Unternehmen bietet damit nachweisbare Garantien bei Themen wie Zugriffskontrolle, Verschlüsselung, Lieferanten-Management, Mitarbeitersensibilisierung, Notfallplanung und Incident-Response. Die Zertifizierung wird regelmäßig durch unabhängige Auditor:innen erneut geprüft. Flixcheck ist bereits seit 2024 ein ISO 27001 zertifiziertes Unternehmen.

Flixcheck verarbeitet Daten ausschließlich innerhalb der EU, in einzelnen Mitgliedsstaaten, dessen Datenschutzaufsicht klar zuordenbar ist. Flixcheck wird darüber hinaus in Deutschland gehostet, dies gilt aktuell als der höchste praktikable Standard, weil deutsche Datenschutzbehörden besonders strikt agieren und kein Drittlandtransfer in die USA oder andere unsichere Drittländer entstehen. Letzteres ist nach den EuGH-Urteilen Schrems I und II besonders relevant – Software-Sicherheit hängt damit unmittelbar an der Wahl des Hostingstandorts.

Die eIDAS-Verordnung der EU definiert drei Stufen elektronischer Unterschriften:  

1. Die Einfache Elektronische Signatur (EES) – schnell und unkompliziert für Alltagsprozesse mit geringem Risiko, etwa AGB-Bestätigungen.  
2. Die Fortgeschrittene Elektronische Signatur (FES) – mit 2FA und höherer Beweiskraft, geeignet für Verträge mit erhöhten Nachweisanforderungen.  
3. Die Qualifizierte Elektronische Signatur (QES) – mit geprüfter Identität, ersetzt rechtlich vollständig die handschriftliche Unterschrift.  

Flixcheck stellt alle drei Stufen pro Vorgang bereit. 

Ein Auftragsverarbeitungsvertrag (AVV) regelt nach Art. 28 DSGVO die Beziehung zwischen Verantwortlicher (Kund:in der Software) und Auftragsverarbeiterin (Software-Anbieter:in). Er legt fest, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden, welche technisch-organisatorischen Maßnahmen die Auftragsverarbeiterin ergreift, welche Subunternehmer eingebunden sind und wie Lösch- und Rückgabe-Pflichten nach Vertragsende geregelt werden. Eine DSGVO-konforme Software stellt einen vorbereiteten AVV als Standard-Dokument bereit – Anpassungen durch die Rechtsabteilung der Kund:innen sind im Rahmen klar markierter Klauseln möglich.

Software-Sicherheit setzt heute zwei Verschlüsselungs-Ebenen voraus:  

1. Transport-Verschlüsselung über TLS 1.2 oder höher (HTTPS) für jede Datenübertragung zwischen Endgerät und Server.
2. Verschlüsselung „at Rest" – also der gespeicherten Daten auf den Servern – mit anerkannten Algorithmen wie AES-256. Schlüsselverwaltung sollte nach den Empfehlungen des BSI erfolgen, idealerweise mit getrennten Key-Management-Systemen.
3. Zusätzlich sind Backups verschlüsselt zu speichern.  

Flixcheck dokumentiert diese Maßnahmen über eine Statement of Applicability (SOA), in der die Umsetzung aller Anforderungen und Anhänge der ISO 27001 dokumentiert wird. 

Flixcheck, als DSGVO-konforme Software eines europäischen Anbieters, unterscheidet sich von vielen US-Anbietern in drei Punkten:  

1. Erstens Hosting-Standort – ausschließlich in der EU, bei uns in Deutschland, ohne Drittlandtransfer.  
2. Rechtlicher Rahmen – Anbieter unterliegen direkt der DSGVO und nicht dem US-CLOUD Act, der US-Behörden Zugriff auf Daten von US-Konzernen weltweit erlaubt.  
3. Vorbereiteter AVV nach Art. 28 DSGVO.