Sicherheit und Datenschutz in der Softwareentwicklung

Hosting in Deutschland: Rechenzentrum in Frankfurt am Main

Unsere Server stehen in einem Rechenzentrum in Frankfurt am Main. Dort laufen diese Website, unser internes Verwaltungssystem und, wenn Sie den Betrieb an uns übergeben, auch Ihre Anwendung samt Datenbank. Ihre Daten werden damit in Deutschland gespeichert.

Möchten Sie Ihre Software lieber in Ihrer eigenen Infrastruktur betreiben, etwa im eigenen Rechenzentrum oder in Ihrem Konto bei AWS oder Azure, richten wir sie dort ein. Den Standort bestimmen dann Sie; für personenbezogene Daten empfehlen wir eine Region innerhalb der EU.

Zur Einordnung: Unser Entwicklungsteam arbeitet von Baku in Aserbaidschan aus. Die Daten liegen in Frankfurt. Ob und wie weit wir aus der Ferne darauf zugreifen, legen wir vor Projektbeginn mit Ihnen fest.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Sobald wir personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab. In der Softwareentwicklung betrifft das typischerweise folgende Fälle:

• Betrieb eines ERP-Systems für Sie, z. B. KartonERP für Wellpappenwerke
• Hosting Ihrer Anwendung auf unseren Servern in Frankfurt
• Support und Fehleranalyse mit Zugriff auf Produktivdaten
• Übernahme von Daten aus einem Altsystem in die neue Software

So läuft der Abschluss des AVV ab

Eine Vorlage für den AVV senden wir Ihnen auf Anfrage vorab zu, damit Ihr Datenschutzbeauftragter sie in Ruhe prüfen kann. Arbeitet Ihr Unternehmen mit einer eigenen Vorlage, sehen wir uns gerne auch diese an. Im Vertrag wird festgehalten, welche Daten zu welchem Zweck verarbeitet werden, wer darauf zugreifen darf und welche technischen und organisatorischen Maßnahmen gelten.

Entwickeln wir dagegen ausschließlich mit Testdaten und haben keinen Zugriff auf Ihre Produktivsysteme, liegt häufig gar keine Auftragsverarbeitung vor. Welcher Fall auf Ihr Projekt zutrifft, klären wir gemeinsam im Erstgespräch.

Zugriffskontrolle: Wer hat Zugriff auf Ihre Daten?

Zugriff auf Ihre Systeme erhalten nur die Teammitglieder, die direkt an Ihrem Projekt arbeiten, und nur so weit, wie ihre Aufgabe es erfordert. Dieses Prinzip der minimalen Rechte gilt für Personen ebenso wie für Dienste und Datenbankbenutzer.

Wie wir das umsetzen, zeigt unser eigenes Verwaltungssystem, mit dem wir Anfragen, Projekte und die Inhalte dieser Website pflegen:

Vier Rollen

Inhaber, Administrator, Redakteur und Nur-Lesen. Das Löschen von Datensätzen und die Benutzerverwaltung sind Inhabern und Administratoren vorbehalten.

Gehashte Passwörter

Passwörter werden nie im Klartext gespeichert, sondern ausschließlich als bcrypt-Hash.

Tokenbasierte Sitzungen

Nach der Anmeldung erhält der Browser ein signiertes, zeitlich begrenztes Token. Jede Anfrage an die Schnittstelle wird anhand dieses Tokens und der Rolle geprüft.

Sichere Entwicklung: Was DSGVO-konforme Softwareentwicklung für uns bedeutet

Datenschutz lässt sich nicht nachträglich einbauen. Deshalb gehören diese Grundsätze bei uns zum normalen Arbeitsablauf, vom ersten Sprint bis zur Übergabe:

Getrennte Umgebungen

Test- und Produktivumgebung sind voneinander getrennt. Neue Versionen werden zuerst in der Testumgebung geprüft und in der Sprint-Demo vorgestellt, bevor sie live gehen.

Testdaten statt Echtdaten

Wo immer möglich, entwickeln und testen wir mit künstlichen Daten. Produktivdaten nutzen wir nur, wenn eine Aufgabe es erfordert und es mit Ihnen vereinbart ist.

Code-Review

Änderungen am Code werden vor dem Zusammenführen von einem zweiten Entwickler geprüft.

Verschlüsselte Übertragung

Daten zwischen Browser, Anwendung und Schnittstellen werden per TLS übertragen.

Datensicherung

Umfang und Ablauf der Backups legen wir für jedes Projekt gemeinsam mit Ihnen fest.

Zugänge entziehen

Zum Projektende oder wenn jemand das Projektteam verlässt, entfernen wir die Zugänge zu Ihren Systemen.

Vertraulichkeit: NDA vor Projektbeginn

Bevor Sie uns Geschäftsunterlagen, Quellcode oder Einzelheiten zu Ihren Abläufen zeigen, unterzeichnen wir auf Wunsch eine Vertraulichkeitsvereinbarung (NDA). Das ist bereits vor der Anforderungsanalyse möglich, also noch bevor ein Angebot vorliegt.

Informationen aus Ihrem Projekt nutzen wir ausschließlich für die Arbeit an Ihrem Projekt.

Datenschutz auf dieser Website

Was wir für Ihre Software empfehlen, setzen wir auch auf unserer eigenen Website um:

• Keine Cookies für Besucher. Die Sprache ergibt sich aus der Adresse, Statistik nur mit Ihrer Einwilligung
• Schriften werden von unserem eigenen Server geladen, nicht von Drittanbietern
• Die Übertragung erfolgt ausschließlich über HTTPS
• Anfragen aus dem Kontaktformular werden in unserer eigenen Datenbank gespeichert und nicht an Dritte weitergegeben

Ansprechpartner und Meldung von Sicherheitslücken

Fragen zu Datenschutz, AVV oder NDA richten Sie bitte an hello@dcl.az. Ein deutschsprachiger Ansprechpartner antwortet Ihnen an Werktagen innerhalb von 24 Stunden.

Haben Sie eine mögliche Sicherheitslücke in unserer Website oder in einer unserer Anwendungen entdeckt, schreiben Sie uns ebenfalls an hello@dcl.az. Die Kontaktdaten finden Sie auch maschinenlesbar unter /.well-known/security.txt. Bitte beschreiben Sie, wo und wie sich das Problem zeigt, und veröffentlichen Sie Details erst, wenn wir die Lücke schließen konnten. Für jeden verantwortungsvollen Hinweis sind wir dankbar.