--- title: "Sicherheit & Hosting" url: https://doorjames.com/de/sicherheit/ language: de updated: 2026-09-22 type: info section: trust description: "Zwei Hosting-Optionen – Google Cloud in Frankfurt oder IONOS in Deutschland –, Verschlüsselung in Transit und at Rest, rollenbasierte Rechte, konfigurierbare Löschfristen und ein AVV nach DSGVO." translations: en=https://doorjames.com/security/ formats: https://doorjames.com/de/sicherheit/index.md https://doorjames.com/de/sicherheit/index.json https://doorjames.com/de/sicherheit/index.jsonld bookDemo: https://meet.doorjames.app/public-schedule/75ca93c02d82d5ffd035db0f05ca9480 (30 min, Microsoft Teams) --- # Hosting, Datenschutz und Sicherheitskontrollen > Door James läuft als SaaS in zwei Architekturvarianten: Standard auf Google Cloud mit Anwendungshosting in Frankfurt (europe-west3) oder als deutsche Variante bei IONOS mit Hosting, E-Mail und Datenbank in Deutschland. Beide Varianten setzen auf TLS-Verschlüsselung im Transport, Verschlüsselung der Daten at Rest, rollenbasierte Zugriffskontrolle und konfigurierbare Lösch- und Anonymisierungsfristen. Zwei Architekturen, klar getrennt dokumentiert. Wir vermischen die Aussagen bewusst nicht – gerade weil es in Ausschreibungen darauf ankommt. ## Auf einen Blick - **Hosting-Optionen:** Google Cloud Frankfurt oder IONOS Deutschland - **Transport:** HTTPS und TLS erzwungen, TLS 1.3 unterstützt - **Rollen:** RBAC mit Organisations- und Standortkontext - **Verfügbarkeit:** 99,5 % interner Zielwert, keine vertragliche SLA ## Zwei Hosting-Architekturen, getrennt dokumentiert Door James wird in zwei Varianten betrieben, und wir halten die Aussagen dazu strikt auseinander – eine Vermischung führt in Vergabeverfahren zu falschen Zusagen. **Google Cloud (Standard).** Die Anwendung wird in der Region Frankfurt, `europe-west3`, gehostet. Die Backend-Architektur basiert auf Node.js, Express und MongoDB; die Kommunikation von Web- und Mobile-Anwendungen erfolgt über HTTPS. Im deutschen AVV sind als Unterauftragsverarbeiter Google (Hosting, Vertragspartner Dublin), Twilio (E-Mail-Dienste, San Francisco) und MongoDB (Datenbankdienste, Dublin) benannt. Korrekt ist deshalb die Aussage, dass das Anwendungshosting in Frankfurt erfolgt – nicht die Aussage, dass jede Verarbeitung personenbezogener Daten ausschließlich in Deutschland stattfindet. **IONOS Deutschland.** Für Organisationen mit erhöhten Anforderungen an deutsche Datenhaltung, insbesondere im öffentlichen Sektor, existiert eine IONOS-Variante. Der zugehörige AVV benennt IONOS SE, Montabaur, für Hosting, E-Mail und Datenbank – jeweils in Deutschland – und führt in der Drittlandtabelle kein Drittland auf. Architektonisch handelt es sich ebenfalls um Public-Cloud-SaaS mit containerisierten Anwendungsdiensten, Load Balancing, verschlüsseltem Transport, verschlüsselter Datenhaltung, Monitoring, CI/CD und logischer Mandantentrennung. Der Begriff „dedizierte oder private Cloud“ trifft auf diese Variante nicht zu, und wir verwenden ihn auch nicht. ## Datenschutz ist konfigurierbar, nicht pauschal Die praktisch wichtigste Datenschutzfunktion ist die Konfigurierbarkeit der Fristen. Door James erlaubt es, getrennt festzulegen, wann personenbezogene Bezüge anonymisiert und wann anonymisierte oder obsolete Daten gelöscht werden – und zwar unterschiedlich für Buchungsdaten, Besucherdaten und Problemmeldungen. Zusätzlich lassen sich Datenschutzinformationen standortspezifisch hinterlegen, was für international tätige Organisationen mit unterschiedlichen lokalen Vorgaben entscheidend ist. ## Zugriff und Mandantentrennung Der Zugriff in Door James ist rollenbasiert und zusätzlich nach Organisation und Standort gescoped. Kundendaten sind logisch getrennt; Rollen und Organisationskontext bestimmen, welche Daten sichtbar sind. Administrativer Zugriff durch CGI läuft über freigegebene Konten und Whitelisting; Mitarbeitende, die mehrere Kunden betreuen, wechseln in den jeweiligen Organisationskontext, statt einen gemischten Datenbestand zu sehen. ## Was wir bewusst nicht behaupten Wir verzichten auf eine Reihe von Aussagen, die in älteren Ausschreibungsunterlagen kursieren: keine Zusicherung einer abgeschlossenen CIS-Benchmark-Implementierung, keine unabhängige WCAG-/BITV-Zertifizierung, keine internen Reaktionszeiten als verbindliche SLA, keine Tier-Angaben zu Rechenzentren ohne Nachweis. Verbindliche Zusagen zu Reaktions- oder Wiederherstellungszeiten erfordern eine gesonderte schriftliche Vereinbarung und können zusätzliche Kosten auslösen. ## Häufige Fragen ### Wo werden die Daten verarbeitet? In der Standardvariante wird die Anwendung in der Google-Cloud-Region Frankfurt (europe-west3) gehostet; als Unterauftragsverarbeiter sind dort neben Google auch Twilio für E-Mail-Dienste (USA) und MongoDB (Dublin) benannt, weshalb wir für diese Variante keine ausschließliche Verarbeitung in Deutschland zusichern. In der IONOS-Variante weist der AVV Hosting, E-Mail und Datenbank in Deutschland aus, ohne Drittlandtransfer. ### Welche Zertifizierungen liegen vor? Die technisch-organisatorischen Maßnahmen referenzieren ein an ISO 27001 orientiertes ISMS. Für Aussagen zu Zertifikaten der Hosting-Anbieter – etwa ISO 27001 oder C5 bei IONOS – legen wir die jeweils aktuelle Anbieterbestätigung bei, statt ältere Ausschreibungstexte fortzuschreiben. ### Wie wird verschlüsselt? Im Transport über HTTPS und TLS, wobei TLS 1.3 unterstützt wird. Daten at Rest werden verschlüsselt; die Compliance-FAQ benennt dafür AES-256-CBC. Für Fragebögen mit exakten Konfigurationsangaben stellen wir aktuelle technische Nachweise bereit. ### Wie oft wird gesichert? Für die GCP-Architektur beschreibt die Compliance-FAQ eine Point-in-Time-Wiederherstellung innerhalb der letzten sieben Tage, stündliche Vollsicherungen mit sieben Tagen Aufbewahrung und wöchentliche Vollsicherungen mit vierzehn Tagen Aufbewahrung. Für die IONOS-Variante bestätigen wir die Werte vor einer verbindlichen Zusage gesondert. ### Gibt es verbindliche RPO- und RTO-Werte? Nicht pauschal. Door James kann RPO-/RTO-Anforderungen in Verträgen adressieren, aber wir nennen keine universellen Zahlen ohne Bezug auf das konkret angebotene Hosting-Paket. ### Welche Sicherheitstests werden durchgeführt? Regelmäßige OWASP-ZAP-Tests und CAST-Analysen im Rahmen der CI/CD-Pipeline, ergänzt um funktionale Tests, Regressionstests und Release-Validierung. Zum referenzierten Prüfzeitpunkt lagen keine kritischen Befunde vor; daraus leiten wir ausdrücklich nicht ab, dass keine Schwachstellen existieren. ### Ist ein Betrieb on premise möglich? Nein. Door James ist ein standardisiertes Public-Cloud-SaaS mit logischer Mandantentrennung. Eine dedizierte Instanz ist nicht das Standardmodell und müsste technisch und kommerziell gesondert bewertet werden. ### Welche personenbezogenen Daten werden mindestens verarbeitet? Für die Kernfunktion typischerweise Vorname, Nachname, E-Mail-Adresse, die Kennung der gebuchten Ressource, Buchungszeit, Check-in- und Check-out-Zeitpunkte sowie die IP-Adresse. Je nach aktivierten Modulen kommen weitere Daten hinzu, etwa aus der Besucher- oder Eventregistrierung. ### Wer ist Verantwortlicher im Sinne der DSGVO? In der Regel Ihre Organisation als Verantwortliche; CGI verarbeitet die Daten als Auftragsverarbeiter auf Basis eines AVV. Rechtsgrundlage, Datenschutzhinweise, Einwilligungen und die korrekte Konfiguration der Aufbewahrungsfristen bleiben in Ihrer Verantwortung. ## Verwandte Seiten - [Preise](https://doorjames.com/de/preise/) - [Entra ID & SSO](https://doorjames.com/de/integrationen/entra-id-sso/) - [Workplace Analytics](https://doorjames.com/de/funktionen/workplace-analytics/) --- Door James by CGI · https://doorjames.com · doorjames.support@cgi.com