Alles für dein Security-Review an einem Ort.

• Server, Datenbank und Backups bei Hetzner im Rechenzentrum Falkenstein (Deutschland); Dienste außerhalb Deutschlands nennen wir offen Liste
• TLS 1.2 oder höher in Transit (TLS 1.3 bevorzugt), AES-256-GCM at Rest für Wallet-Credentials und Pass-Tokens
• Zwei-Faktor-Authentifizierung (TOTP) und Passkeys für alle Konten
• Rollenbasierte Zugriffe (Inhaber, Admin, Bearbeiter, Betrachter) pro Organisation und Workspace
• Audit-Log mit Vorher/Nachher-Diff; IP-Adresse und User-Agent nach 90 Tagen entfernt, Eintrag nach Einstellung der Organisation (Standard 365 Tage)
• Datenbank-Backups alle 6 Stunden, vor dem Upload verschlüsselt (RPO 6 h, RTO 30 min). Restore-Test monatlich, Wiederaufbau-Übung quartalsweise
• Einwilligungsgebundene Daten der Pass-Inhaber: Name und E-Mail nur mit Einwilligung; in Pass-Ereignissen IP-Adresse nur gekürzt, im Zugriffsprotokoll der Server vollständig (90 Tage auf dem Server, verschlüsselte Kopie 365 Tage) Details
• Vulnerability-Disclosure mit Safe-Harbor Details
• Sub-Processor-Liste öffentlich, Änderungen 30 Tage vorab per E-Mail Liste
• AVV / DPA zum Unterschreiben Dokumente
• Datenexport (Art. 20) und Kontolöschung (Art. 17) in Selbstbedienung Betroffenenrechte
• Keine Analyse- und Marketing-Cookies, nur notwendige und Einstellungs-Speicher Cookies
• Cookielose, datensparsame Reichweitenmessung ohne Browser-Speicher, selbst betrieben in Deutschland (Umami), IP-Adresse nur gekürzt, täglich wechselndes Pseudonym, Do Not Track und GPC beachtet Details
• Aufbewahrungsfristen als Standard, täglich automatisch durchgesetzt Fristen
• Service-Level-Ziele veröffentlicht SLO

• Auftragsverarbeitungsvertrag (AVV / DPA)

  Standardvertrag nach Art. 28 DSGVO zum Unterschreiben. Im Produkt als PDF-Übersicht mit Standort, Sub-Processoren und Kontakt.

  In jedem PlanIm Produkt öffnen

• Technische und organisatorische Maßnahmen (TOM)

  Vollständige Übersicht der Maßnahmen, Stand des aktuellen Quartals.

  Auf AnfrageAnfragen

• Sub-Processor-Liste

  Alle Auftragsverarbeiter mit Sitz, Zweck und Rechtsgrundlage.

  Öffnen

• Dienste außerhalb Deutschlands

  Jeder Dienst mit Sitz außerhalb Deutschlands, wofür wir ihn nutzen und welche Daten er erhält.

  Öffnen

• Statusseite

  Erreichbarkeit von Website, App, API, Pass-Seiten und Wallet-Zustellung (Apple, Google), jede Minute geprüft. Selbst betrieben in Deutschland (Hetzner, Falkenstein), ohne Cookies und ohne Dienste Dritter.

  Öffnen

• Bericht des externen Penetrationstests

  Folgt nach dem ersten externen Test, geplant spätestens sechs Monate nach dem Produktivstart. Bisher hat kein externer Test stattgefunden.

  Geplant

• Backup- und Wiederherstellungskonzept

  Sicherungsintervalle, Verschlüsselung, RPO/RTO und Restore-Tests.

  Auf AnfrageAnfragen

• Incident-Response-Plan

  Reaktionszeiten, Eskalation und Meldung nach Art. 33 DSGVO.

  Auf AnfrageAnfragen

• Datenschutzerklärung

  Verarbeitungszwecke, Rechtsgrundlagen und Betroffenenrechte.

  Öffnen

• Cookie-Richtlinie

  Vollständige Liste aller Cookies und Speichereinträge mit Zweck und Dauer. Keine Analyse- und keine Marketing-Cookies.

  Öffnen

Vom Kunden eingetragene Endpunkte (eigener SMTP-Server, Webhooks, die API seines Systems für den Wert des Passes, Adressen für Bilder je Pass) sind keine Sub-Processoren von doWallet, sondern Empfänger, die der Kunde selbst auswählt und verantwortet; an sie übermittelt doWallet auf seine Weisung. Die cookielose Reichweitenmessung (Umami) betreibt die Applox GmbH selbst auf Servern bei Hetzner in Falkenstein; sie zählt für doWallet selbst, nicht im Auftrag des Kunden, und bringt keinen weiteren Sub-Processor. Für eigene Zwecke, nicht im Auftrag des Kunden, nutzt die Applox GmbH sevDesk (sevDesk GmbH, Deutschland) für Rechnungen und Google Workspace für ihre Postfächer; beides beschreibt die Datenschutzerklärung (Ziffer 5). Die Prüfung der Erreichbarkeit und die Statusseite status.dowallet.de (Gatus) betreibt die Applox GmbH ebenfalls selbst bei Hetzner in Falkenstein; auch sie bringen keinen weiteren Sub-Processor. Externe Dienste für Überwachung oder Fehlerberichte nutzt doWallet nicht.

Nicht in der Tabelle: das Zugriffsprotokoll der Server mit vollständiger IP-Adresse und User-Agent bleibt 90 Tage auf dem Server, eine verschlüsselte Kopie 365 Tage im Backup-Speicher bei Hetzner in Falkenstein. Einzelheiten in Ziffer 3.8 der Datenschutzerklärung.

1. 18. Oktober 2026

   Statusseite wieder verlinkt

   Statusseite status.dowallet.de wieder verlinkt, selbst betrieben in Deutschland: Der Link steht im Footer, im Hilfe-Menü „?“ der App, im Rundgang und hier unter Dokumente. Die Seite setzt kein Cookie und lädt nichts von Dritten; die Datenschutzerklärung beschreibt sie in Ziffer 3.9. Kein neuer Sub-Processor.

2. 18. Oktober 2026

   Better Stack entfernt, Überwachung selbst betrieben in Deutschland

   Prüfung der Erreichbarkeit von außen, Heartbeats der geplanten Aufgaben und die Statusseite status.dowallet.de laufen seit dem 5. Oktober 2026 auf Gatus, das die Applox GmbH selbst bei Hetzner in Falkenstein betreibt. Better Stack (USA) ist aus „Dienste außerhalb Deutschlands“ und aus der Datenschutzerklärung entfernt; es hatte keine Daten von Kunden oder Pass-Inhabern. Die Statusseite setzt kein Cookie und lädt nichts von Dritten; die Datenschutzerklärung beschreibt sie in Ziffer 3.9. In der Sub-Processor-Liste steht für Apple jetzt die richtige Grundlage (Standardvertragsklauseln, Apple ist nicht unter dem Data Privacy Framework zertifiziert), dazu ein Stand und eine Liste der Änderungen. Kein neuer Sub-Processor.

3. 4. Oktober 2026

   Angaben zu Sicherheit und Backups berichtigt, Dienste außerhalb Deutschlands benannt

   Berichtigt: Transportverschlüsselung mit TLS 1.2 oder höher, TLS 1.3 bevorzugt (vorher „nur TLS 1.3“). Eine Web-Application-Firewall gibt es nicht; geschützt wird über den Load Balancer von Hetzner, einen Reverse-Proxy mit Rate-Limits und Firewall-Regeln. Die Datenbank wird alle 6 Stunden gesichert, RPO 6 h, RTO 30 min, Restore-Test monatlich (vorher „täglich, RPO 1 h, RTO 4 h, Restore-Tests quartalsweise“). Ein externer Penetrationstest ist geplant, aber noch nicht durchgeführt. IP-Adresse und User-Agent im Audit-Log werden einheitlich nach 90 Tagen entfernt. Neu: der Abschnitt „Dienste außerhalb Deutschlands“ (GitLab, Let’s Encrypt, Better Stack, 1Password, Apple und Google auf Weisung des Kunden, Brevo, Google Workspace), das Zugriffsprotokoll der Server in der Datenschutzerklärung (Ziffer 3.8) und sevDesk als Empfänger der Rechnungsdaten. Sicherheitsmeldungen gehen an security@applox.com. Der Link auf die Statusseite ist vorerst entfernt. Kein neuer Sub-Processor.

4. 2. Oktober 2026

   Cookielose, datensparsame Reichweitenmessung, selbst gehostet in Deutschland

   Wir zählen Seitenaufrufe der öffentlichen Seiten und der Landing-Seiten unter /p/ mit Umami, das die Applox GmbH selbst auf Servern bei Hetzner in Falkenstein betreibt. Kein Cookie, nichts im Browser-Speicher, keine ausgelesenen Geräteeigenschaften; die IP-Adresse wird vor der Statistik gekürzt und nie gespeichert, Besuche tragen nur ein täglich wechselndes Pseudonym; Adressen der öffentlichen Seiten verlieren ihre Parameter bis auf utm_source, utm_medium und utm_campaign, Landing-Seiten unter /p/ zählen ohne Parameter und verlinken Ziffer 3.7 auch neben der Datenschutzerklärung der Marke. Do Not Track und Global Privacy Control schalten die Zählung ab. App, Anmeldung, Backoffice und Links mit Token werden nie gezählt. Kein neuer Sub-Processor. Datenschutzerklärung (Ziffer 3.7) und Cookie-Richtlinie in drei Sprachen ergänzt; die frühere Aussage „kein Tracking“ heißt jetzt genau: kein Tracking über Websites hinweg und keine Analyse-Cookies.

5. 2. Oktober 2026

   doCaptcha auf allen öffentlichen Formularen

   Neben der Anmeldung schützt doCaptcha jetzt auch den Login-Code, „Passwort vergessen“ und das Kontaktformular: jede Anfrage, die eine E-Mail auslöst, braucht eine bestandene Prüfung. Mit Page Guard erkennt doCaptcha zusätzlich KI-Agenten; Suchmaschinen, Link-Vorschauen und Pass-Seiten bleiben ausgenommen. Datenschutzerklärung (Ziffer 5 und 6.1), Cookie-Richtlinie und Sub-Processor-Liste beschreiben, welche Signale übermittelt werden; kein neuer Cookie, kein neuer Dienstleister.

6. 1. Oktober 2026

   Karten und Adresssuche aus Deutschland, Apple und Google genau beschrieben

   Der Standort-Editor lädt Kartenkacheln und Adresssuche nicht mehr von der OpenStreetMap Foundation (Vereinigtes Königreich), sondern von doWallet-Servern bei Hetzner in Falkenstein. Der Browser fragt dabei keinen Dritten mehr an, die Abfrage „Karte laden“ entfällt. Die OpenStreetMap Foundation ist kein Empfänger mehr; die Kartendaten bleiben © OpenStreetMap-Mitwirkende (ODbL). Apple und Google sind genau beschrieben: welche Daten sie erhalten, warum (der Kunde gibt Wallet-Pässe aus, der Passinhaber speichert sie) und auf welcher Grundlage (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Der E-Mail-Versand ist mit seinem Anbieter benannt: Brevo in Frankreich, also in der EU, nicht in Deutschland.

7. 1. Oktober 2026

   KI-Funktionen entfernt

   doWallet enthält keine KI-Funktionen mehr: Assistent, Textvorschläge, Vorschläge für Zielgruppen und Automatisierungen, Zusammenfassung im Business Case und Bilderzeugung sind entfernt. Anthropic PBC und fal.ai sind keine Sub-Processoren mehr; die Liste, die Datenschutzerklärung und die AVV-Übersicht nennen sie nicht mehr. Alles, was diese Funktionen konnten, geht weiter von Hand im Editor, in den Zielgruppen, Automatisierungen und Kampagnen.

8. 29. September 2026

   Angaben zu Standort, Passwörtern, US-Übermittlung und AVV korrigiert

   Standort genau benannt: Hosting und Backups laufen bei Hetzner im Rechenzentrum Falkenstein. Passwörter werden mit argon2id gehasht. Die Übermittlung in die USA ist jetzt genau beschrieben: an Apple nur das Push-Token, an Google die Inhalte der Pässe, an Anthropic Texte nur bei optionalen KI-Vorschlägen. Der AVV ist ein Vertrag zum Unterschreiben, den wir auf Anfrage schicken; die PDF-Übersicht im Produkt nennt jetzt dieselben Sub-Processoren, denselben Standort und dieselben Kontakte wie diese Seite.

9. 20. September 2026

   doCaptcha Page Guard dokumentiert

   Der Bot-Schutz kann künftig seitenweit aktiviert werden (Page Guard). Cookie-Richtlinie, Datenschutzerklärung und Sub-Processor-Liste um den First-Party-Freigabe-Cookie __dc_clr (30 Minuten, notwendig) ergänzt; die frühere Aussage „keine Cookies“ gilt nur, solange Page Guard nicht aktiv ist.

10. 15. September 2026

    Cookie-Management, Aufbewahrungsfristen und Widerruf per Link

    Cookie-Richtlinie mit vollständigem Speicher-Inventar in drei Sprachen veröffentlicht, Cookie-Einstellungen auf jeder Seite erreichbar. Aufbewahrungsfristen als Standard dokumentiert und täglich automatisch durchgesetzt. Pass-Empfänger widerrufen E-Mails über einen Link in jeder Nachricht; Kunden löschen personenbezogene Daten eines Passes direkt in der Pass-Liste. Sub-Processor-Liste um doCaptcha, E-Mail-Relay, OpenStreetMap und fal.ai ergänzt.

11. 14. September 2026

    Trust Center neu strukturiert

    Kurzüberblick, Dokumentenliste mit Anfrage-Option und FAQ nach Kategorien ergänzt. Alle Status-Farben im Produkt auf ein barrierefreies Schema umgestellt.

12. 3. Juli 2026

    Einwilligungsgebundene Empfängerdaten

    Name und E-Mail von Pass-Empfängern werden nur noch mit ausdrücklicher Einwilligung gespeichert. IP-Adressen nur als Netzpräfix. Eingehende Webhooks mit Ereignis-Allowlist und Prüfung des Workspace gehärtet.

13. 23. Juni 2026

    Trust Center veröffentlicht

    Erste Fassung mit Hosting, Sub-Processoren, TOM, Service-Level-Zielen und Vulnerability-Disclosure.