eu-central-1 · fra1
Sicherheit & die Daten Ihrer Kunden
Standplanung bedeutet Namen, Funktionen, Kontaktdaten und Notizen zu Gesprächen. Das sind Daten anderer Menschen, die bei Ihnen liegen. Diese Seite sagt genau, wie sie geschützt sind und wer sie erreichen kann — damit Sie selbst urteilen können und uns nicht glauben müssen.
Alles Folgende ist am laufenden Produktivsystem geprüft.
Wo Ihre Daten liegen
- Datenbank in Frankfurt
- PostgreSQL in der AWS-Region eu-central-1 — Frankfurt, Deutschland.
- Anwendung in Frankfurt
- Der Servercode läuft in Region fra1, ebenfalls Frankfurt. Früher lief er in Washington DC, während die Datenbank hier stand — personenbezogene Daten wurden also bei jeder Anfrage in den USA verarbeitet. Das haben wir geändert. Sie können den Antwort-Header x-vercel-id selbst prüfen: dort steht fra1::fra1.
- Nichts wird außerhalb der EU verarbeitet
- Keine Analyse-Tools, keine Werbe-Tracker, keine fremden Skripte in der Anwendung.
Warum kein Unternehmen die Daten eines anderen sieht
Das ist der wichtigste Punkt — deshalb hier der Mechanismus statt eines Werbespruchs.
- Die Datenbank verweigert, nicht der Code
- Jede Tabelle hat Row Level Security: PostgreSQL selbst hängt an jede Abfrage einen Filter, der prüft, ob die Zeile zu einem Unternehmen gehört, dem Sie angehören. Es ist keine if-Abfrage in unserer Anwendung, die wir vergessen könnten — ein Fehler in der App kann keine Zeilen herausgeben, die die Datenbank nicht freigibt.
- Alle 22 Tabellen, ohne Ausnahme
- Kunden, Termine, Besuchshistorie, Personal, Räume, Dienstpläne, Reisen, Anwesenheit, Einstellungen — jede Tabelle. Wir prüfen das am Produktivsystem, statt es anzunehmen.
- Zwei unabhängige Schlösser
- Zusätzlich zu Row Level Security sind die Rechte an jeder Tabelle auf das beschränkt, was diese Tabelle tatsächlich braucht. Anonyme Besucher haben überhaupt keine Rechte, und ein angemeldetes Konto hält nur die Rechte, die seine Arbeit erfordert — es kann keine Tabelle leeren und in keiner Tabelle löschen, in der die Anwendung nie löscht. Eine Anfrage wird also zweifach gestoppt, durch zwei unabhängige Mechanismen. Ein einzelner Fehler reicht nicht aus.
- Getrennte Umgebungen
- Jedes Unternehmen arbeitet auf einer eigenen Subdomain. Mit einem gültigen Konto auf einer fremden Subdomain erhalten Sie keinen Zugriff — die Zugehörigkeit wird bei jeder Anfrage geprüft.
Wer worauf zugreifen kann
- Ein Konto pro Person
- Keine geteilten Logins. Ihre Administration legt Konten an und bestimmt, wer administriert.
- Rollen werden serverseitig durchgesetzt
- Nur Administratoren können Personen hinzufügen oder eine Messe löschen. Ein ausgeblendetes Menü ist keine Sicherheit — deshalb prüft der Server die Rolle bei jeder solchen Aktion, nicht der Browser.
- Löschen ist bewusst
- Eine Messe zu löschen nimmt alle Termine mit. Daher muss der Name exakt eingetippt werden — und der Server prüft das ebenfalls.
- Passwörter
- Nur als bcrypt-Hash gespeichert — niemand kann Ihr Passwort lesen, auch wir nicht. Für eine Änderung ist das aktuelle Passwort nötig; eine unbeaufsichtigt offene Sitzung reicht nicht zur Übernahme.
- Service-Role-Zugriff wird rotiert und protokolliert
- Ein einziger Pfad in unserem eigenen Servercode kann die Mandantentrennung umgehen — er wird ausschließlich für die Kontoverwaltung, das Administrationspanel und das Weiterleiten von Kollegen-Pages genutzt, stets hinter einer Rollenprüfung. Jede Nutzung wird in einem Protokoll festgehalten, das ein Administrator einsehen kann, und der Schlüssel selbst wird regelmäßig rotiert, zuletzt im September 2026.
Verschlüsselung und Backups
- Verschlüsselt bei der Übertragung
- Ausschließlich HTTPS, auf jeder Verbindung, HTTP wird umgeleitet.
- Verschlüsselt bei der Speicherung
- Verschlüsselung auf Datenträgerebene für Datenbank und Backups (AES-256, verwaltet von AWS in Frankfurt).
- Tägliche Backups
- Von Supabase im Pro-Tarif erstellt und aufbewahrt, in derselben europäischen Region.
- Jede Nacht eine Kopie Ihrer Umgebung
- Zusätzlich zu den oben genannten Plattform-Backups erstellt BoothManager jede Nacht eine eigene Momentaufnahme jedes Unternehmens. Ihr Administrator kann sie ohne uns herunterladen oder zurückspielen — ohne Anfrage, ohne Wartezeit.
- Sieben Tage tagesgenau, zwölf Monate monatsgenau
- Die letzten sieben Nächte bleiben erhalten, dazu die letzte Kopie jedes Monats für ein Jahr — denn eine im Januar gelöschte Messe fällt oft erst im März auf.
- Zurückspielen ist bewusst und wird protokolliert
- Beim Zurückspielen werden Zeilen in laufende Daten geschrieben. Deshalb muss der Administrator Datum und Uhrzeit genau dieser Kopie eintippen, und der Server prüft das nach. Anschließend steht die Aktion mit Namen im Protokoll. Administratoren können es lesen; kein Konto kann eine Zeile ändern oder löschen.
Wer sonst die Daten berührt (Unterauftragsverarbeiter)
Sie haben ein Recht darauf, das zu wissen — deshalb steht es hier offen und nicht im Kleingedruckten.
- Supabase — Datenbank, Authentifizierung
- Läuft auf AWS in Frankfurt. Supabase Inc. ist ein US-Unternehmen; die Daten selbst verlassen die EU nicht.
- Vercel — Hosting der Anwendung
- Läuft in Frankfurt. Vercel Inc. ist ein US-Unternehmen; die Daten selbst verlassen die EU nicht.
- Resend — Kalender-Sync-Mail (optionale Funktion)
- Betrifft nur Mail für die optionale Kalender-Sync-Funktion: die Einladung selbst und alles, was an die eigene Sync-Adresse eines Unternehmens in Cc gesetzt wird. Ein US-Unternehmen — wer das lesen kann, steht bei „Was noch fehlt" weiter unten.
- Anthropic — Visitenkarten per KI lesen (optional, standardmäßig aus)
- Nur wenn ein Administrator der Firma es einschaltet: Das Foto einer Visitenkarte geht an Anthropic, das die Kontaktdaten liest und zurückschickt. Diese Verarbeitung ist nicht auf die EU festgelegt — sie läuft in den USA oder weltweit. BoothManager speichert das Foto nicht. Ist der Schalter aus, wird die Karte auf dem Telefon selbst gelesen und das Foto verlässt es nie.
- Sonst niemand
- Keine Analyse, keine Werbung, kein CRM. Das Einzige zusätzlich sind der Push-Dienst des Browsers (Google/Apple/Mozilla, nur wenn jemand Benachrichtigungen aktiviert) die Kalender-Sync-Mail und das optionale KI-Lesen von Visitenkarten oben.
Was noch fehlt
Offen gesagt — Sie sollen es von uns hören und nicht später entdecken.
- Zwei-Faktor-Authentifizierung ist nicht verpflichtend
- Sie lässt sich pro Konto in den persönlichen Einstellungen aktivieren, mit einem Code aus einer Authenticator-App. Wir setzen sie nicht voraus — ein Konto, das darauf verzichtet, ist allein durch sein Passwort geschützt.
- Keine externe Prüfung
- Kein ISO 27001, kein SOC 2, kein Penetrationstest. BoothManager ist jung — das sagen wir lieber, als etwas anderes anzudeuten.
- Unsere nächtlichen Kopien liegen neben Ihren laufenden Daten
- Sie liegen in derselben Datenbank wie die Umgebung, aus der sie stammen. Das schützt vor einem Fehlgriff — einer gelöschten Messe, einem geleerten Dienstplan — nicht vor dem Verlust der Plattform selbst. Dafür gibt es die Point-in-Time-Wiederherstellung des Datenbankanbieters, die wir noch nicht gebucht haben.
- Eingehende Kalender-Sync-Mails laufen über ein gemeinsames Mailkonto
- Setzen Sie Ihre BoothManager-Sync-Adresse in Cc auf eine Einladung, läuft sie über Resend, den gemeinsamen Mail-Anbieter hinter dieser Funktion. Wer Zugriff auf dieses Resend-Konto hat, kann die Nachricht im Rohformat lesen — bis zu 30 Tage lang, Resends eigene Aufbewahrungsfrist —, unabhängig davon, was BoothManager selbst anzeigt. Heute sind das nur wir; Resend bietet keine Möglichkeit, ein Teammitglied auf die Mails eines einzelnen Kunden zu beschränken.
Fragen, die Ihre IT-Sicherheit beantwortet haben will?
Fragen Sie. Alles auf dieser Seite lässt sich im laufenden System zeigen.
← Zurück zur Startseite