Sicherheit und Datenschutz
Wie wir die Daten deines Betriebs schützen
In kurzhand stehen deine Kunden, Preise und Umsätze. Damit gehen wir sorgfältig um: mit Datenbank und Dateien in Frankfurt am Main, klar getrennten Zugriffen und täglichen, verschlüsselten Sicherungen. Was wir zusagen, steht verbindlich im Auftragsverarbeitungsvertrag.
- Datenbank und Dateien in Frankfurt am Main
- Trennung der Betriebe in der Datenbank
- Tägliche verschlüsselte Sicherung
- AVV öffentlich einsehbar
Datenhaltung in Frankfurt am Main
- Datenbank und Dateien
- Frankfurt am Main
- Anwendung (Vercel)
- Frankfurt am Main
- Datensicherungen
- Deutschland, verschlüsselt
- Datenbank und Dateispeicher liegen in Frankfurt am Main (AWS eu-central-1), die Serverfunktionen der Anwendung bei Vercel laufen in derselben Region.
- Jede Verbindung zu kurzhand ist verschlüsselt; der Browser wird angewiesen, ausschließlich verschlüsselte Verbindungen zu nutzen.
- Dateien liegen in nicht öffentlichen Speicherbereichen und sind nur über zeitlich begrenzte, signierte Links abrufbar.
- Dienstleister außerhalb Deutschlands, etwa für das weltweite Auslieferungsnetz oder den E-Mail-Versand, nennen wir vollständig in der Datenschutzerklärung — mit der jeweiligen Rechtsgrundlage.
Jeder Betrieb für sich
- Die Trennung der Betriebe ist in der Datenbank verankert (Row Level Security), nicht nur in der Oberfläche.
- Rollen innerhalb des Betriebs: Monteure sehen nur ihre zugewiesenen Aufträge — ohne Preise, Beträge und Umsätze.
- Was ein Teammitglied tut, bleibt nachvollziehbar: Einladungen, Zuweisungen und Korrekturen werden protokolliert.
Kontrollierter Zugriff
- Passwörter werden ausschließlich als Hash gespeichert, nie im Klartext.
- Anmeldung und Registrierung sind gegen automatisierte Angriffe geschützt; wiederholte Anfragen werden begrenzt.
- Zugangsschlüssel zu unseren Dienstleistern liegen ausschließlich auf dem Server und sind im Browser nicht einsehbar.
- Administrativer Zugriff auf Kundendaten ist auf die beiden Gesellschafter beschränkt; in der Verwaltungsoberfläche ist er per Einmalcode zusätzlich abgesichert und protokolliert.
Belege bleiben, wie sie versendet wurden
- Festgeschriebene Rechnungen sind technisch gegen nachträgliche Änderung gesperrt; Korrekturen laufen über Storno und Neuausstellung.
- Nummernkreise werden fortlaufend und auch bei gleichzeitigen Zugriffen eindeutig vergeben; Lücken durch gelöschte Entwürfe werden dokumentiert.
- Digitale Unterschriften tragen eine Prüfsumme über den Dokumentinhalt und eine unveränderliche Momentaufnahme.
- Die Annahme von AGB und Auftragsverarbeitungsvertrag wird mit Fassung und Zeitpunkt unveränderlich protokolliert.
Datensicherung und Verfügbarkeit
- Turnus
- täglich, vollständig
- Ablage
- verschlüsselt, Deutschland
- Überwachung
- automatisch, mit Alarm
- Datenbank, Benutzerkonten und alle Dateien werden jeden Tag vollständig gesichert.
- Die Sicherungen werden verschlüsselt, bevor sie gespeichert werden; der Schlüssel zum Entschlüsseln liegt getrennt davon.
- Jeder Sicherungslauf wird automatisch geprüft. Bleibt einer aus oder schlägt er fehl, werden wir automatisch benachrichtigt.
- Die Wiederherstellung aus einer echten Sicherung ist erprobt und als Notfallverfahren dokumentiert.
Datenschutz von Anfang an
- Wir erheben nur, was die Funktion braucht. Eine Krankmeldung etwa kennt nur den Zeitraum, nie eine Diagnose.
- Analyse- und Diagnosewerkzeuge im Browser laufen nur nach deiner Einwilligung. Werbetracking gibt es nicht.
- KI-Funktionen sind optional und starten erst nach deiner Aktivierung. Deine Inhalte werden nicht zum Training allgemeiner KI-Modelle verwendet (§ 7c AGB; beim KI-Anbieter vertraglich standardmäßig ausgeschlossen).
- Fehlermeldungen an unser Monitoring werden vor dem Versand um Anfrageinhalte, Zugangsdaten und erkennbare Kennungen bereinigt.
Sicherheit im laufenden Betrieb
- Eingaben werden auf dem Server geprüft, bevor sie verarbeitet werden.
- Änderungen werden vor der Veröffentlichung nach einer festen internen Regel geprüft, unter anderem mit automatisierten Tests der sicherheitsrelevanten Abläufe.
- Fehler und Ausfälle werden laufend überwacht; zentrale Hintergrundprozesse melden sich regelmäßig zurück.
- Für Datenschutzvorfälle gibt es einen festgelegten Ablauf. Betrifft ein Vorfall deine Daten, informieren wir dich unverzüglich.
Deine Daten bleiben deine
- Vollständiges Datenpaket in jedem Tarif, auch im kostenlosen und nach Ablauf eines bezahlten Tarifs.
- Rechnungen zusätzlich als ZUGFeRD/Factur-X-Hybrid oder als eigenständige XRechnung; DATEV-Format ab Tarif Betrieb.
- Kontolöschung ist in den Einstellungen selbst auslösbar, nicht nur per Anfrage.
- Kein Verkauf, keine Werbung mit deinen Inhalten — vertraglich ausgeschlossen in § 7c der AGB.
Verbindlich geregelt, nicht nur beschrieben
Als Handwerksbetrieb bist du für die Daten deiner Kunden und Mitarbeiter verantwortlich. Wir verarbeiten sie in deinem Auftrag — auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, den du bei der Registrierung ausdrücklich vereinbarst. Darin stehen die technischen und organisatorischen Maßnahmen, die Liste aller Unterauftragsverarbeiter und deine Kontrollrechte. Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher an; du kannst widersprechen.
Keine Software ist frei von Fehlern. Wir versprechen deshalb keine absolute Sicherheit, sondern angemessene Maßnahmen, die wir laufend überprüfen und verbessern.
Eine bestimmte Verfügbarkeit sagen wir nicht zu; ein Service Level Agreement gibt es nur, wenn es gesondert vereinbart ist (§ 6 AGB).
Vertraglich maßgeblich ist allein der Auftragsverarbeitungsvertrag mit seiner Anlage 2. Diese Seite beschreibt den aktuellen Stand unserer Maßnahmen; die Fortschreibung des Vertrags auf diesen Stand ist in Vorbereitung.
Zum Nachlesen
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO)Mit Anlage 2, den technischen und organisatorischen Maßnahmen, und Anlage 3, den Unterauftragsverarbeitern.
- DatenschutzerklärungVerarbeitungszwecke, Rechtsgrundlagen, Empfänger, Speicherdauern und deine Rechte.
- Datenexport und AnbieterwechselWelche Daten du in welchem Format herausbekommst, und wie ein Wechsel abläuft.
- Fassungen der RechtstexteDie archivierten Fassungen von AGB, AVV, Anhang B und Datenschutzerklärung zum Abrufen und Speichern.
Du brauchst für deinen eigenen Auftraggeber eine Auskunft zu einem Unterauftragsverarbeiter oder zu einer Maßnahme? Schreib uns. Hinweise auf Sicherheitslücken bitte an security@kurzhand.de. Wer hinter kurzhand steht, steht auf Über uns.
Häufige Fragen zur Sicherheit
Wo liegen meine Daten?
Die Datenbank und alle Dateien (Fotos, Logos, erzeugte PDFs) liegen bei unserem Dienstleister Supabase in Frankfurt am Main (AWS eu-central-1). Die Serverfunktionen der Anwendung bei Vercel laufen ebenfalls in Frankfurt am Main. Unsere Datensicherungen liegen verschlüsselt auf eigener Infrastruktur in Deutschland. Welche weiteren Dienstleister beteiligt sind, etwa für den E-Mail-Versand, und auf welcher Grundlage, steht vollständig in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag.
Können andere Betriebe meine Daten sehen?
Nein. Die Trennung der Betriebe ist in der Datenbank selbst verankert: Row Level Security begrenzt jede Abfrage, die im Namen eines angemeldeten Nutzers läuft, auf die Daten seines Betriebs. Das ist keine Prüfung, die an einzelnen Stellen im Programmcode vergessen werden kann. Auch innerhalb eines Betriebs gilt eine Rollentrennung: Monteure sehen nur die ihnen zugewiesenen Aufträge, ohne Preise und Umsätze.
Wer bei kurzhand kann meine Daten einsehen?
Administrativer Zugriff auf Kunden- und Vertragsdaten ist auf die beiden Gesellschafter beschränkt. In der Verwaltungsoberfläche ist er durch eine zusätzliche Bestätigung per Einmalcode abgesichert und wird protokolliert. Wir greifen nur darauf zu, soweit es für den Betrieb, für deine Supportanfrage oder für die Sicherheit der Plattform erforderlich ist.
Werden meine Daten gesichert?
Ja. Datenbank und Dateispeicher werden jeden Tag vollständig gesichert, vor der Ablage verschlüsselt und auf eigener Infrastruktur in Deutschland aufbewahrt. Der Schlüssel zum Entschlüsseln liegt getrennt von den Sicherungen. Jeder Lauf wird automatisch überwacht; bleibt eine Sicherung aus oder schlägt sie fehl, werden wir alarmiert. Die Wiederherstellung aus einer echten Sicherung haben wir erprobt. Die Aufbewahrungsfristen der Sicherungen nennt die Datenschutzerklärung.
Nutzt kurzhand meine Daten für Werbung oder zum Trainieren von KI?
Nein. Deine Inhalte verwenden wir ausschließlich, um dir die Software bereitzustellen. Werbung damit, ein Verkauf an Dritte und das Training allgemeiner KI-Modelle sind in den AGB ausdrücklich ausgeschlossen (§ 7c). Die KI-Funktionen sind optional und arbeiten erst, nachdem du sie aktiviert hast. Krankmeldungen deiner Mitarbeiter sind von der KI vollständig ausgenommen.
Komme ich jederzeit an meine Daten heran?
Ja. Das vollständige Datenpaket ist in jedem Tarif verfügbar, auch im kostenlosen und nachdem ein bezahlter Tarif ausgelaufen ist. Es enthält deine Daten als maschinenlesbare Dateien samt Manifest mit Prüfsummen. Einzelne Zusatzformate hängen am Tarif, etwa der DATEV-Export ab Tarif Betrieb. Einzelheiten stehen auf der Seite Datenexport.
Was passiert bei einer Kontolöschung?
Du kannst dein Konto selbst in den Einstellungen löschen. Die Betriebsdaten deines Kontos werden aus den aktiven Systemen entfernt; Dateien werden dabei sofort oder über einen automatischen Nachlauf gelöscht. Unsere eigenen Vertrags- und Abrechnungsunterlagen zu deinem Konto bewahren wir getrennt auf, soweit das Gesetz es verlangt. Die gelöschten Betriebsdaten bleiben in der Regel noch bis zu 13 Monate in den verschlüsselten Sicherungen enthalten und werden nur für eine Wiederherstellung nach einem Datenverlust verwendet. Deine eigenen steuerlichen Aufbewahrungspflichten erfüllst du über einen rechtzeitigen Export.
Gibt es einen Auftragsverarbeitungsvertrag?
Ja. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil des Vertrags und wird bei der Registrierung ausdrücklich vereinbart. Er enthält in Anlage 2 die technischen und organisatorischen Maßnahmen und in Anlage 3 die Liste der eingesetzten Unterauftragsverarbeiter. Er ist ohne Anforderung öffentlich einsehbar; die seit August 2026 veröffentlichten Fassungen kannst du im Archiv der Rechtstexte abrufen.
Ist kurzhand zertifiziert?
kurzhand hat keine Zertifizierung wie ISO 27001. Unsere Infrastruktur-Dienstleister weisen eigene Zertifizierungen und Prüfberichte vor. Statt eines Siegels legen wir unsere Maßnahmen im Auftragsverarbeitungsvertrag offen — dort sind sie vertraglich verbindlich und für deinen eigenen Datenschutznachweis verwendbar.
Ich habe eine Sicherheitslücke gefunden. Wohin damit?
Bitte melde sie an security@kurzhand.de. Wir bestätigen den Eingang, prüfen den Hinweis vorrangig und halten dich über die Behebung auf dem Laufenden. Bitte teste nicht gegen die Konten anderer Nutzer und greife nicht auf fremde Daten zu.
Deine Frage ist nicht dabei? Schreib uns direkt über den Kontakt.