Sicherheit & Datenschutz

Wo Ihre Daten gespeichert werden, wie sie verschlüsselt sind und welche Rechte Sie haben — transparent erklärt, ohne Versprechen, die wir nicht halten können.

Stand: 24. Oktober 2026 · Version 1.2

Was wir konkret tun

Acht Maßnahmen, die heute im Betrieb sind.

Hosting in Deutschland

Server bei der Hetzner Online GmbH im Rechenzentrum Nürnberg. Anwendung und Datenbank laufen in Deutschland; einzelne Dienste (Dateiablage, Mailversand, KI) über benannte Auftragsverarbeiter, siehe Liste unten.

Rechenzentrum Nürnberg. Hetzner ist eine deutsche GmbH mit Firmensitz in Gunzenhausen (Amtsgericht Ansbach, HRB 6089) — der Sitz ist nicht der Server-Standort.

ISO 27001-zertifiziertes Rechenzentrum

Die Hetzner-Rechenzentren sind nach ISO/IEC 27001:2022 zertifiziert (SOCOTEC, gültig bis 2028).

Wichtig: Zertifiziert ist die Hetzner-Infrastruktur, nicht Vesalo als Unternehmen. Wir bauen darauf auf.

TLS 1.3-Verschlüsselung

Alle Verbindungen zu unserer Plattform laufen verschlüsselt über HTTPS — keine Klartext-Übertragung.

HSTS mit 1 Jahr Gültigkeit + Preload-Liste. Let's Encrypt-Zertifikate, automatisch erneuert.

Verschlüsselte Passwort-Speicherung

Passwörter werden mit bcrypt gehasht (12 Runden). Die Klartext-Variante landet zu keinem Zeitpunkt in unserer Datenbank.

Sensible Konfigurationsdaten (E-Mail-Provider-Schlüssel, SMTP-Passwörter) werden zusätzlich mit AES-256-GCM at-rest verschlüsselt.

Tägliche Backups

Automatische Datenbanksicherung jede Nacht — vor dem Verlassen des Servers verschlüsselt und 30 Tage in Cloudflare R2 (EU) aufbewahrt.

Ein verteiltes Lock-System verhindert Mehrfach-Backups bei mehreren laufenden Servern.

DSGVO-konformes Hosting

Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Hetzner schließen wir derzeit ab. Für Übermittlungen in die USA sind Standardvertragsklauseln vorgesehen.

Geschäftskunden (B2B) können einen eigenen AVV bei uns anfragen.

Keine Tracking-Cookies

Wir nutzen kein Google Analytics, kein Facebook Pixel, keine Werbenetzwerk-Cookies, kein Profiling.

Notwendige Cookies (Login-Session) sind transparent erklärt und können in den Einstellungen verwaltet werden.

Open-Source-Stack

Wir setzen auf Open-Source-Komponenten (Next.js, Node, Postgres, Coolify). Keine proprietären Tracker im Code.

Coolify ist Apache-2.0-lizenziert; unsere Deployment-Infrastruktur ist self-hosted, ohne Daten-Abfluss an Dritte.

Ihre Rechte nach der DSGVO

Diese Rechte können Sie jederzeit ausüben — ohne formellen Antrag.

Artikel	Recht	So geht's
Art. 15	Auskunftsrecht	Über den Daten-Export-Knopf im Datenschutz-Bereich Ihres Kontos verfügbar.
Art. 16	Berichtigungsrecht	Direkt im Profil-Bereich. Bei Mietvertrags-Daten über Ihre Hausverwaltung.
Art. 17	Recht auf Löschung	Mieter-Konten lassen sich im Datenschutz-Bereich anonymisieren. Eigentümer wenden sich an die Hausverwaltung (Verwaltervertrag).
Art. 20	Datenübertragbarkeit	Vollständiger Daten-Export als ZIP (JSON + Originaldokumente) im Datenschutz-Bereich.
Art. 7 Abs. 3	Widerruf der Einwilligung	Cookie-Einstellungen jederzeit über den Link im Footer aufrufbar.

Sub-Auftragsverarbeiter

Liste aller Dienste, die im Auftrag von Vesalo personenbezogene Daten verarbeiten. Den Vertrag nach Art. 28 DSGVO schließen wir derzeit mit jedem dieser Dienste ab; der Stand steht in der jeweiligen Zeile.

Hetzner Online GmbH

Rechenzentrum Nürnberg, Deutschland

Hosting (Server, Datenbank)

Rechtsgrundlage: AVV nach Art. 28 DSGVO: Abschluss in Arbeit · Mehr erfahren

Cloudflare, Inc. (R2)

EU-Jurisdiktion (Speicherort in der EU)

Speicherung hochgeladener Dateien und der verschlüsselten Datenbanksicherungen

Rechtsgrundlage: AVV nach Art. 28 DSGVO: Abschluss in Arbeit; vorgesehen: EU-Standardvertragsklauseln · Mehr erfahren

Resend, Inc.

USA

Versand der E-Mails der Anwendung

Rechtsgrundlage: AVV nach Art. 28 DSGVO: Abschluss in Arbeit; vorgesehen: EU-Standardvertragsklauseln · Mehr erfahren

Anthropic PBC (Claude API)

USA

KI-Verarbeitung in einzelnen Funktionen

Rechtsgrundlage: AVV nach Art. 28 DSGVO: Abschluss in Arbeit; Eingaben werden nach den API-Bedingungen nicht für Training verwendet · Mehr erfahren

Google Ireland Limited (Google Workspace)

Irland (EU); Google LLC, USA

E-Mail-Postfächer von Vesalo, auch für Support-Anfragen

Rechtsgrundlage: AVV nach Art. 28 DSGVO: Abschluss in Arbeit; vorgesehen: EU-Standardvertragsklauseln · Mehr erfahren

Wir benennen nur Schutzmaßnahmen, die im Code und in der Infrastruktur tatsächlich umgesetzt sind — überprüfbar in unserer Datenschutzerklärung, in der alle Sub-Auftragsverarbeiter und Datenflüsse vollständig offengelegt sind.

Als Hausverwaltung sind wir berufshaftpflichtversichert: Vermögensschadenhaftpflicht bei der ERGO Versicherung AG. Details zu Versicherung und Erlaubnis

Fragen? Schreiben Sie uns.

Datenschutzanfragen, AVV-Templates für Geschäftskunden, Audit-Reports — alles per E-Mail.

datenschutz@vesalo.de

→ Vollständige Datenschutzerklärung·→ Impressum·→ AGB

Cookie-Einstellungen: Sie können Ihre Einwilligung jederzeit über den Link „Cookies" im Footer widerrufen oder anpassen.

Dieses Dokument ersetzt keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an einen Datenschutzbeauftragten oder Anwalt.