Anwendungsdaten in der EU – Frankfurt am Main
Trust Center
Die Antworten, bevor Sie fragen müssen.
Wir verkaufen Schulungen, mit denen unsere Kunden Lieferantenfragebögen beantworten. Dann sollten wir den Fragebogen über uns selbst nicht erst auf Nachfrage beantworten. Alles Wesentliche steht auf dieser Seite – einschließlich dessen, was wir nicht vorweisen können.
Wo die Daten liegen
Anwendungsdaten in Frankfurt. Betrieben aus Berlin.
Der vollständige Weg, nicht die Kurzfassung: Was in der EU bleibt, steht hier, und was sie verlässt, auch.
Frankfurt am Main, AWS-Region eu-central-1. Dort liegen Nutzerkonten, Lernstände, Zertifikate und hochgeladene Dateien – im Ruhezustand verschlüsselt, im Transport über TLS.
Die Anwendung wird über ein weltweites CDN ausgeliefert. Dabei entstehen Verbindungsdaten am nächstgelegenen Standort – Inhalte und Konten bleiben in Frankfurt.
Eine deutsche Gesellschaft mit Sitz in Berlin, damit deutsches und europäisches Recht unmittelbar gilt, nicht über eine Zwischengesellschaft.
Für die Daten Ihrer Teilnehmenden sind wir Auftragsverarbeiter. Der Vertrag nach Art. 28 DSGVO ist Bestandteil des Hauptvertrags – im Wortlaut auf dieser Website lesbar, gezeichnet wird er im Konto.
Unterauftragsverarbeiter
Wer außer uns an die Daten kommt.
Zuerst die, die Daten Ihrer Teilnehmenden berühren – das ist die Zeile, auf die Ihr Fragebogen zielt.
| Anbieter | Wofür | Ort der Verarbeitung | Drittland-Garantie |
|---|---|---|---|
| SupabaseSupabase, Inc. (USA) Datenschutz ↗ | Datenbank, Authentifizierung, Dateispeicher — der Kern der Plattform. | Frankfurt am Main (AWS eu-central-1), EU | Verarbeitung in der EU; da der Anbieter ein US-Unternehmen ist, zusätzlich EU-Standardvertragsklauseln. |
| CloudflareCloudflare, Inc. (USA) Datenschutz ↗ | Auslieferung der Anwendung, Schutz vor automatisierten Zugriffen, Serverlogs. | Weltweit, jeweils am nächstgelegenen Standort | Angemessenheitsbeschluss EU-US Data Privacy Framework (Cloudflare ist zertifiziert). |
| BrevoBrevo GmbH, Berlin Datenschutz ↗ | Versand von Plattform- und Marketing-E-Mails. | Europäische Union | Bleibt in der EU |
| OpenAIOpenAI Ireland Ltd., Irland Datenschutz ↗ | KI-Assistent und Dashboard-Copilot — optional, im Dashboard ausschließlich lesend. | Irland; Weiterübermittlung in die USA möglich | EU-Standardvertragsklauseln; Modellausgaben werden nicht als abrufbare Ressourcen gespeichert (store=false). |
| GoogleGoogle Ireland Ltd., Irland Datenschutz ↗ | Gemini-API: Erstellung und Übersetzung von Kursinhalten, KI-Funktionen im Dashboard und Ausweichmodell für die Auswertung von Rückmeldungen (Freitexte ohne Klarnamen, Zuordnung über Pseudonyme). | Irland; Verarbeitung in Drittländern möglich | EU-Standardvertragsklauseln; keine Nutzung für Werbung oder Modelltraining. |
| AnthropicAnthropic PBC (USA) Datenschutz ↗ | Sprachmodell für die Auswertung von Rückmeldungen zu Kursinhalten (Freitexte ohne Klarnamen, Zuordnung über Pseudonyme) und — nur bei aktivierter Phishing-Simulation — für Vorlagentexte. | USA | EU-Standardvertragsklauseln und EU-US Data Privacy Framework; kein Training auf Kundendaten. |
Keine Unterauftragsverarbeiter sind die KI-Dienste, mit denen wir Stimmen, Bilder und Videos für Kursinhalte erzeugen: Sie erhalten nur Sprechtexte und Bildbeschreibungen, keine Daten Ihrer Teilnehmenden, keine Konto- oder Lernstandsdaten, und nutzen sie nicht zum Training.
Eigene Dienstleister: in unserer Verantwortung
Hier handeln wir nicht in Ihrem Auftrag: Zahlung, Bewertungen, unser eigener Vertrieb. Es fließen Vertrags-, Zahlungs- oder Interessentendaten, keine Daten Ihrer Teilnehmenden. Einzige Berührung ist ProvenExpert – dorthin gehen Name und E-Mail-Adresse, wenn eine Person am Kursende selbst auf den Bewertungslink klickt, nie automatisch.
| Anbieter | Wofür | Ort der Verarbeitung | Drittland-Garantie |
|---|---|---|---|
| ProvenExpertExpert Systems AG, Berlin Datenschutz ↗ | Bewertungsplattform — Name und E-Mail-Adresse nur, wenn eine Person am Kursende selbst auf den Bewertungslink klickt; in eigener Verantwortung, nicht im Auftrag. | Deutschland | Bleibt in der EU |
| StripeStripe Payments Europe, Ltd., Irland Datenschutz ↗ | Zahlungsabwicklung und Rechnungsstellung — Vertrags- und Zahlungsdaten der Kundenorganisation. | Europäische Union; Weiterübermittlung in die USA möglich | EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss. |
| InstantlyInstantly.ai (USA) Datenschutz ↗ | Versand der Kaltakquise-E-Mails über unsere Versanddomains. | USA | EU-Standardvertragsklauseln. |
| HubSpotHubSpot Ireland Limited (Irland) Datenschutz ↗ | CRM für Interessenten- und Vertriebskontakte. | Europäische Union (EU-Datenresidenz) | Bleibt in der EU |
Neue Unterauftragsverarbeiter kündigen wir vor dem Einsatz an; das Widerspruchsrecht steht im Auftragsverarbeitungsvertrag.
Zugriff
Die Grenze liegt im Server, nicht in der Oberfläche.
Eine ausgeblendete Schaltfläche ist keine Zugriffskontrolle. Vier Ebenen, die unabhängig voneinander greifen:
Jede Tabelle mit Personenbezug trägt Row-Level-Security. Eine Abfrage, die Daten einer fremden Organisation treffen würde, liefert keine Zeile – unabhängig davon, was die Anwendung anfragt.
Administrative Flächen verlangen TOTP. Erzwungen wird das serverseitig über die Sitzungsstufe (AAL2), nicht nur im Browser.
Flächen, die eine Rolle nicht nutzen darf, werden gar nicht erst geladen – sie erscheinen weder in der Navigation noch im ausgelieferten Code der Sitzung.
Jede Organisation ist ein eigener Mandant. Mitgliedschaften, Zuweisungen, Abschlüsse und Dateien hängen an ihrer Organisation, nicht an einem gemeinsamen Topf.
Nachweise
Was Sie exportieren können, ohne uns zu fragen.
Je Abschluss mit Datum, Kursinhalt und Bestehensgrenze – die drei Angaben, nach denen ein Auditor fragt.
Der vollständige Schulungsstand als Datei, ein Klick. Kein Ticket, keine Wartezeit, kein Aufpreis.
Jede rechtliche Aussage in einem Kurs trägt die Fundstelle im Amtstext. Prüfbar, ohne uns zu glauben.
Löschung & Aufbewahrung
Der Ausgang ist so breit wie der Eingang.
Die Löschung startet der Org-Admin selbst und bestätigt sie über einen Link, der 60 Minuten gilt. Danach werden Konto, Mitgliedschaften, Zuweisungen und Dateien entfernt.
Scheidet jemand aus, werden die verknüpften personenbezogenen Daten entfernt. Was für den Nachweis erhalten bleiben muss, benennen wir im Auftragsverarbeitungsvertrag statt es stillschweigend zu behalten.
Exportieren Sie zuerst – der Audit-Export bleibt bis zum Ende verfügbar. Danach löschen wir nach den Fristen des Auftragsverarbeitungsvertrags.
In Coaching-Kursen für Erwachsene können Übungsantworten und Tagebuch im Konto der Person liegen. Sehen kann sie nur die Person selbst, kein Org-Admin, kein Coach, kein Support. Wir löschen sie 12 Monate nach der letzten Aktivität im Kurs, sofort beim Entzug der Zuweisung und mit dem Konto; beim Austritt aus der Organisation bleiben sie der Person in ihrem Konto erhalten, unabhängig von der Organisation. In Kursen für Minderjährige bleibt alles auf dem Gerät.
Betrieb
Wie die Plattform läuft und wie wir sie ändern.
Jede Änderung geht über Typprüfung, automatisierte Tests und einen getrennten Staging-Stand, bevor sie die Produktion erreicht. Produktion wird nicht von Hand angefasst.
Tägliche Sicherungen der Datenbank mit sieben Tagen Vorhaltung; die Wiederherstellung läuft über den Anbieter und macht die Anwendung für ihre Dauer unerreichbar. Vertraglich zugesagt ist die Obergrenze: Gelöschte Daten sind spätestens nach 35 Tagen auch aus allen Sicherungen verschwunden (Auftragsverarbeitungsvertrag, § 11) – die sieben Tage sind der heutige Betrieb, die 35 Tage die Zusage. Point-in-Time-Recovery ist derzeit NICHT gebucht – wer eine Wiederherstellung auf die Minute braucht, sagt es uns vor Vertragsschluss, dann buchen wir sie zu.
Wartungsfenster kündigen wir an. Was als Ausfall zählt und was nicht, steht in den AGB und nicht im Marketing.
Meldewege
Wenn Ihnen etwas auffällt.
Dieselbe Adresse steht in unserer security.txt. Wir bestätigen den Eingang und melden uns mit einer Einschätzung zurück, auch, wenn der Fund am Ende keiner war.
security@conformbase.comVerletzungen des Schutzes personenbezogener Daten melden wir nach Art. 33/34 DSGVO – der Aufsichtsbehörde binnen 72 Stunden und Ihnen als Verantwortlichem unverzüglich.
Auskunft, Berichtigung, Löschung. Betrifft die Anfrage Daten, die wir im Auftrag einer Kundenorganisation verarbeiten, leiten wir sie an diese weiter.
datenschutz@conformbase.comEhrlichkeit
Was wir nicht haben.
Ein Trust Center, das nur Stärken zeigt, ist eine Anzeige. Diese vier Punkte fehlen uns – fragen Sie danach, wenn sie für Sie entscheidend sind.
- Keine ISO-27001-Zertifizierung und kein SOC-2-Bericht. Wir unterrichten ISO 27001, wir sind nicht danach zertifiziert – das sind zwei verschiedene Aussagen.
- Kein externer Penetrationstest-Bericht. Was wir haben, sind automatisierte Tests und die Zugriffsgrenzen oben.
- Keine öffentliche Status-Seite mit Verfügbarkeitshistorie.
- Keine Datenhaltung ausschließlich in Deutschland: Die Auslieferung läuft über ein weltweites CDN, und mehrere Verarbeiter sind US-Unternehmen oder verarbeiten außerhalb der EU. Wo, und mit welcher Garantie, steht je Verarbeiter oben in der Tabelle.
Mitgliedschaften
Die Teachlume GmbH i.G., das Unternehmen hinter ConformBase, ist Mitglied im Startup-Verband (Bundesverband Deutsche Startups e.V.).
Dokumente
Zum Nachlesen und Weiterreichen.
Betreiberin ist Teachlume GmbH i.G., Friedrichstraße 155, 10117 Berlin. Fragen zu dieser Seite: info@conformbase.com.
Stand: 01.10.2026