Infrastruktur und Sicherheit

Eigene Server in Europa

Keine Clouds außerhalb der Europäischen Union und keine Überraschungen im Auftragsverarbeitungsvertrag. Sie wissen, wo Ihre Daten liegen und wer darauf zugreift.

Wo die Daten liegen und warum das zählt

Wer Daten innerhalb der Europäischen Union speichert, umgeht das lästigste Problem der DSGVO: Übermittlungen in Drittländer. Sitzt der Anbieter außerhalb des Europäischen Wirtschaftsraums, braucht es einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und man muss schriftlich begründen, dass die Garantien ausreichen. Kimobox läuft auf eigener Infrastruktur in europäischen Rechenzentren, sodass sich diese Frage gar nicht erst stellt.

Inhalt überprüft am 25. August 2026

Standort: Rechenzentren in der Europäischen Union Keine Drittlandübermittlungen, die Garantien nach Kapitel V der DSGVO erfordern
Backups: Täglich, mit getesteter Wiederherstellung Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Annahme
Verschlüsselung: Bei Übertragung und Speicherung Maßnahme nach Art. 32 Abs. 1 lit. a DSGVO
Auftragsverarbeitungsvertrag: Art. 28 DSGVO Mit Liste der Unterauftragsverarbeiter und Pflicht zur Meldung von Datenpannen
Kontinuität: ISO 27001:2022, Controls 5.29 und 5.30 Informationssicherheit und IKT-Bereitschaft bei Störungen

Europäische Rechenzentren

Eigene Infrastruktur statt weiterverkaufter Hyperscaler-Kapazität.

Geprüfte Backups

Tägliche Sicherung mit regelmäßigen Wiederherstellungstests.

Verschlüsselung und Zugriffe

TLS bei der Übertragung, Verschlüsselung im Ruhezustand und Zwei-Faktor-Anmeldung.

DSGVO ohne Kleingedrucktes

Auftragsverarbeitungsvertrag und Verzeichnis der Verarbeitungstätigkeiten.

Betrieb

So wird sie gewartet

Überwachung rund um die Uhr (24×7) mit Alarmierung
Geplante und vorab angekündigte Updates
Getrennte Test- und Produktivumgebungen
Audit-Protokoll der Support-Zugriffe
Getesteter Notfall- und Wiederherstellungsplan
Dedizierte Server, keine mit Dritten geteilte Infrastruktur

Praxisbeispiele

Die Fragen, die aus dem Gremium kommen

Öffentlicher Sektor · Ausschreibung

Leistungsverzeichnis verlangt Verarbeitung in der EU

Vorher Das übliche Werkzeug der Abteilung wird außerhalb des EWR gehostet. Das zu rechtfertigen erfordert bei jeder Ausschreibung eine Prüfung der Drittlandübermittlung.

Nachher Der europäische Standort ist direkt im Auftragsverarbeitungsvertrag belegt, und die Anforderung der Ausschreibung ist ohne zusätzliche Prüfung erfüllt.

ISO-27001-zertifizierte Industrie

Audit des externen Dienstleisters

Vorher Die Informationen des Dienstleisters zusammenzutragen kostet wochenlange E-Mail-Wechsel, und manche Fragen des Fragebogens bleiben offen.

Nachher Sicherheitsdokumentation, Liste der Unterauftragsverarbeiter und Backup-Richtlinie liegen als Teil der Lieferantenakte vor.

Multinationaler Konzern

Wiederherstellung nach einem Vorfall

Vorher Eine Backup-Richtlinie existiert, aber die letzte Test-Wiederherstellung liegt zwei Jahre zurück, und niemand weiß, wie lange sie tatsächlich dauern würde.

Nachher Getestete Wiederherstellung in festgelegten Abständen und mit gemessenen Zeiten. Das Wiederherstellungsziel ist eine Kennzahl, kein Wunsch.

Begriffe

Begriffe zu Infrastruktur und Daten

Drittlandübermittlung: Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums. Sie erfordert einen Angemessenheitsbeschluss, Standardvertragsklauseln oder eine andere Garantie nach Kapitel V der DSGVO sowie eine Prüfung des Ziellandes.
Unterauftragsverarbeiter: Dritter, den der Auftragsverarbeiter heranzieht, um Daten im Auftrag des Verantwortlichen zu verarbeiten. Er muss genehmigt sein und denselben vertraglichen Pflichten unterliegen.
RPO und RTO: Recovery Point Objective und Recovery Time Objective: wie viele Daten verloren gehen dürfen und wie lange die Wiederherstellung dauern darf. Ohne beide Werte ist ein Notfallplan eine bloße Absichtserklärung.
Verschlüsselung im Ruhezustand: Schutz der Daten, während sie gespeichert sind. Sie begrenzt den Schaden, falls jemand auf den physischen Datenträger oder eine Sicherungskopie zugreift.
Hochverfügbarkeit: Redundante Auslegung, die den Betrieb auch beim Ausfall einer Komponente aufrechterhält. Sie ist nicht dasselbe wie ein Backup: Das eine deckt den Ausfall ab, das andere den Verlust.

Häufige Fragen

Was man uns vor dem Start fragt

Wie sicher sind Ihre Server?

Sehr sicher: Sie gehören uns und sind dediziert, mit Verschlüsselung bei Übertragung und Speicherung, Zwei-Faktor-Anmeldung, Netzsegmentierung und Überwachung rund um die Uhr.

Welche Verfügbarkeit bieten Sie?

Eine verbindliche Servicezusage mit Wartungsfenstern, die abgestimmt und im Voraus angekündigt werden.

Wer kann meine Daten sehen?

Nur der Support, mit protokolliertem Zugriff und nur mit Ihrer Zustimmung.

Warum ist es wichtig, dass die Server in der Europäischen Union stehen?

Weil so der unbequemste Teil der DSGVO entfällt. Sitzt der Anbieter außerhalb des Europäischen Wirtschaftsraums, braucht es einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und man muss schriftlich begründen, dass die Garantien ausreichen. Wer innerhalb der EU hostet, muss diese Diskussion gar nicht erst führen.

Wie oft werden Backups erstellt?

Täglich, und die Wiederherstellung wird getestet. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Annahme.

Sind die Daten verschlüsselt?

Ja, bei der Übertragung und im Ruhezustand. Die Verschlüsselung im Ruhezustand begrenzt den Schaden, falls jemand physisch auf einen Datenträger oder eine Sicherungskopie zugreift.

Gibt es Unterauftragsverarbeiter?

Die Liste der Unterauftragsverarbeiter ist Teil des Auftragsverarbeitungsvertrags. Jede Änderung wird mitgeteilt, damit der Kunde widersprechen kann, wenn er es für angebracht hält.

Was passiert, wenn wir einsteigen und später wieder gehen möchten?

Die Daten gehören dem Kunden. Sie lassen sich über die API oder per Massenexport in offenen Formaten herausholen, und der Vertrag legt fest, was nach Vertragsende mit ihnen geschieht.

Geben Sie unser technisches Datenblatt an Ihre IT weiter

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

Verordnung (EU) 2016/679 (DSGVO), Kapitel V: Übermittlungen in Drittländer EUR-Lex · Anwendbar seit dem 25. Mai 2018
ISO/IEC 27001:2022, Anhang A (Controls 5.29 und 5.30) ISO/IEC · 25. Oktober 2022
Esquema Nacional de Seguridad (Real Decreto 311/2022) – spanisches Nationales Sicherheitsschema BOE-A-2022-7191 · 4. Mai 2022

Hosting auf Servern in Europa und DSGVO-Konformität

Kimobox läuft auf eigenen Servern in europäischen Rechenzentren, mit täglich geprüften Backups, Verschlüsselung bei Übertragung und Speicherung, Zwei-Faktor-Authentifizierung und kontinuierlicher Überwachung.

Der Dienst wird mit einem Auftragsverarbeitungsvertrag gemäß DSGVO und dem spanischen Datenschutzgesetz LOPDGDD erbracht, auf einer eigenen, dedizierten Infrastruktur, die höchste Sicherheit bietet, ohne die Kontrolle über die Daten an Dritte abzugeben.