Trust Center – Sicherheit, DPA, Subprocessoren

Auftragsverarbeitung (AVV)

mandari schließt mit jeder buchenden Organisation und jeder Kommune einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ab. Der Vertrag regelt Gegenstand und Dauer der Verarbeitung, Datenkategorien, Pflichten des Auftragsverarbeiters, Unterauftragsverhältnisse, Löschung nach Vertragsende und Ihre Kontrollrechte. Den vollständigen Mustertext können Sie vorab prüfen: Muster-AVV online lesen. Die Anlagen liegen in der Dokumentation: Technische und organisatorische Maßnahmen, Löschkonzept und Aufbewahrungsfristen, Muster-AVV für mandari Session.

Technische und organisatorische Maßnahmen (Kurzübersicht)

Verschlüsselung sensibler Inhalte mit AES-256-GCM, organisationsspezifische Schlüssel
Transportverschlüsselung (TLS) für alle Verbindungen
Tägliche Backups mit definierter Aufbewahrung
Zugriffskontrolle über rollenbasiertes Berechtigungssystem (RBAC)
Betrieb ausschließlich in deutschen Rechenzentren

AVV anfordern: Schreiben Sie uns eine kurze Mail an hello@mandari.de mit dem Namen Ihrer Organisation — Sie erhalten den unterschriftsreifen AVV als Dokument zurück. Den Mustertext gibt es unter mandari.de/avv.

Subprocessoren — wer sonst noch Daten sieht

Vollständige Liste aller Unterauftragsverarbeiter. Es gibt keine weiteren — insbesondere keine Tracker, keine Analytics-Dienste und keine Anbieter außerhalb der EU.

Unternehmen und Sitz	Wofür
Hetzner Online GmbHIndustriestr. 25, 91710 Gunzenhausen (DE)	Hosting aller Systeme in deutschen Rechenzentren. AVV nach Art. 28 DSGVO besteht.
Mollie B.V.Keizersgracht 126, 1015 CW Amsterdam (NL/EU)	Zahlungsabwicklung für mandari Work (Name, E-Mail, Zahlungs- und Mandatsdaten).
Haufe-Lexware GmbH & Co. KGMunzinger Str. 9, 79111 Freiburg (DE)	Rechnungsstellung und Buchhaltung (lexware office).

Über geplante Änderungen an dieser Liste informieren wir vorab; Sie haben ein Widerspruchsrecht gegen neue Subunternehmer (Details im AVV, Ziff. 7).

Hosting-Stack

Alle Systeme laufen bei der Hetzner Online GmbH in deutschen Rechenzentren (kein US-Cloud-Anbieter, kein CDN mit Drittland-Transfer).

TLS-Verschlüsselung für alle Verbindungen (Caddy, automatische Zertifikate)
Verschlüsselung sensibler Arbeitsinhalte at rest: AES-256-GCM mit organisationsspezifischen Schlüsseln
PostgreSQL 16, Redis und Elasticsearch — alles self-hosted im selben Stack
Kompletter Stack Open Source (AGPL-3.0) und damit auditierbar
Eingesetzte Komponenten mit Lizenzen: Software Bill of Materials
Betriebsmodelle und Self-Hosting: Betriebsdokumentation

Backup & Recovery

Sicherung

Wir sichern alle Datenbanken täglich und bewahren jede Sicherung 30 Tage auf.

Backups liegen getrennt vom Produktivsystem, ebenfalls in Deutschland. Wiederherstellungen werden regelmäßig getestet.

Nach Vertragsende: Datenexport auf Anfrage innerhalb von 30 Tagen, danach unwiderrufliche Löschung inklusive Vernichtung des mandantenspezifischen Schlüssels. Aufbewahrungsfristen und Löschläufe je Mandant stehen im Löschkonzept.

Verfügbarkeit & Status

Wir befinden uns in der Pilot-Phase und schulden vertraglich noch keine feste Verfügbarkeitsquote (siehe AGB). Ein SLA-Dokument mit Verfügbarkeitszusage, Störungsklassen und Reaktionszeiten ist für die Version 1.0 in Vorbereitung (öffentlich nachverfolgbar). Was wir heute bieten:

Öffentliche Live-Statusseite: status.mandari.de
Wartungsfenster werden vorab angekündigt
Vorfälle werden transparent dokumentiert — siehe Transparenzbericht

Audits & Zertifikate

Auch hier keine Marketing-Übertreibung: Eine ISO-27001- oder BSI-Grundschutz-Zertifizierung ist in der Beta-Phase nicht realistisch — und wir behaupten keine.

Der gesamte Code ist Open Source (AGPL-3.0) und öffentlich auditierbar
Responsible-Disclosure-Programm nach RFC 9116: /sicherheit/disclosure/
Softwarelieferkette: alle Abhängigkeiten sind in Lockfiles festgeschrieben, jeder Build wird automatisch gegen bekannte Schwachstellen geprüft (blockierend), und zu jedem Release entsteht eine maschinenlesbare Stückliste (SBOM, CycloneDX) als Download bei den GitHub-Releases
Lizenzinventar nach REUSE-Standard: jede Datei im Repository trägt eine maschinenlesbare Lizenz- und Urheberangabe, geprüft in der CI
Externes Security-Audit ist für die General-Availability-Phase geplant

Fahrplan Nachweise

Fahrplan Nachweise
Nachweis	Umfang	Geplant
Barrierefreiheitsprüfung nach BITV 2.0	Session, Erklärung mit Prüfbericht	Q4/2026
Externer Penetrationstest	mit veröffentlichter Zusammenfassung	2027
Selbstbewertung nach BSI IT-Grundschutz	Basis-Absicherung; ISO 27001 abhängig vom Auftragsvolumen	2027

Fortschritt öffentlich: Fahrplan Sicherheitsnachweise

Trust Center: alle Antworten an einem Ort.