Vertrauen & Sicherheit

Sicherheit

Wie FörderCheckPro mit Ihren Daten und Unterlagen umgeht — konkret und ohne Siegel, die wir nicht belegen können. Wo eine Aussage nur für ein einzelnes Produkt der Plattform gilt, ist das so benannt.

Zur Startseite
Version
Stand: 18. August 2026

1 Hosting und Datenübertragung

  • Serverstandort Deutschland: Die Anwendungen laufen auf Servern der Hetzner Online GmbH in deutschen Rechenzentren. Hetzners Rechenzentren sind ISO-27001-zertifiziert.
  • Verschlüsselte Übertragung: Jede Verbindung zwischen Ihrem Browser und unseren Servern ist TLS-verschlüsselt (HTTPS) — durchgesetzt über den vorgeschalteten Reverse-Proxy, für sämtliche Anwendungen der Plattform gleichermaßen (Berater-Software, Modernisierungsoffensive-Portal, Marketing-Auftritt, Cleo, FörderCheckPro Invest).

2 KI-Verarbeitung ausschließlich in der EU

  • Cleo, unser KI-gestützter Assistent, läuft ausschließlich über AWS Bedrock in der Region Frankfurt (eu-central-1).
  • Die zulässigen Modell-Kennungen sind technisch auf europäische Bedrock-Kennungen begrenzt. Ein Ausweichen auf die direkte (US-)Anthropic-API ist im Code nicht vorgesehen — ist Bedrock nicht konfiguriert oder nicht erreichbar, schlägt die Anfrage fehl, statt über einen anderen Weg zu laufen.
  • Ihre Inhalte werden nicht zum Training der zugrunde liegenden Modelle verwendet.

3 Geteilte Unterlagen — technische Schutzmaßnahmen

Bei FörderCheckPro Invest
  • Verschlüsselte Ablage: Kauf-Akte, Bonitäts-Mappe, Verwaltungs-Mappe und Berichtsfreigaben werden AES-256-GCM-verschlüsselt gespeichert.
  • Verschlüsselung ist keine Option, sondern Voraussetzung: Wird eine Finanzierungsanfrage mit besonders sensiblen Unterlagen an eine Bank oder ein Institut freigegeben, verweigert das System die Freigabe, statt sie ersatzweise unverschlüsselt abzulegen.
  • Zwei-Kanal-Freigabe mit Code: Der Empfänger öffnet eine Freigabe über einen Link UND einen sechsstelligen Code, der über einen zweiten, unabhängigen Kanal — eine E-Mail an die hinterlegte Adresse — verschickt wird. Der Link allein öffnet nichts.
  • Gehärtet gegen Erraten: Zu viele falsche Codes sperren die Freigabe zunächst zeitweise, bei anhaltendem Fehlverhalten dauerhaft; der Eigentümer wird per E-Mail alarmiert.
  • Zugriffsprotokoll ohne IP-Adresse: Jeder Abruf wird protokolliert und dem Eigentümer gemeldet — ausdrücklich ohne Speicherung der IP-Adresse des Abrufenden.
  • Jederzeit widerrufbar: Ein Widerruf löscht die zugehörige Datei unwiderruflich, nicht nur den Datenbankeintrag.
Bei der Cleo-Kunden-Akte
  • Kein Token in Server-Logs: Der Zugriffs-Token für den Berater steckt im URL-Fragment, das der Browser nie an den Server sendet — er taucht dadurch nicht in Server-Logs, Referrer-Headern oder im Browser-Verlauf auf.
  • Strukturell nur lesend: Über diesen Zugang lässt sich nichts hochladen, löschen oder eine weitere Freigabe erzeugen — es gibt schlicht keine Schreibrouten dafür.
  • Befristet und widerrufbar: Eine Freigabe gilt 90 Tage und lässt sich jederzeit durch den Eigentümer widerrufen.
  • Abrufe sind ratenbegrenzt.

4 Vertragliche Absicherung

  • Für die Nutzung von FörderCheckPro Invest und Cleo gilt ein öffentlich einsehbarer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (energy.foerdercheckpro.de/avv), der technische und organisatorische Maßnahmen, eingesetzte Unterauftragsverarbeiter und Löschregeln benennt.
  • 24-Stunden-Meldefrist: Der Vertrag sieht eine Meldung von Datenschutzverletzungen und sonstigen erheblichen Sicherheitsvorfällen binnen 24 Stunden vor.
  • NIS-2-Lieferkette: Zugesagt ist die Mitwirkung an Lieferketten-Sicherheitsprüfungen im Sinne der Richtlinie (EU) 2022/2555 (NIS-2) — etwa durch die Beantwortung von Sicherheitsfragebögen von Geschäftspartnern.

5 Mandantentrennung

Jeder Datensatz trägt eine Mandanten-Kennung. Diese Trennung ist auf Datenbankebene über einen eindeutigen Index erzwungen — nicht nur als Filter in der Anwendung, der bei einer neuen Abfrage vergessen werden könnte.

6 Wem gehören die Daten — und wer kann sie lesen?

Die Daten gehören dem Kunden, ausnahmslos. Das gilt auch für Unterlagen, die eine beauftragte Verwaltung hochgeladen hat: Sie liegen im Konto des Eigentümers, nicht im Konto der Verwaltung. Endet die Zusammenarbeit, bleibt der Bestand dort, wo er hingehört.

Wer Was er sehen und tun kann
Der Eigentümer Alles. Er allein erteilt Freigaben an Dritte und kann jede Berechtigung jederzeit zurücknehmen.
Verwaltung — Stufe „nur Einsicht" Liest das Portfolio. Ändert nichts, lädt nichts hoch, gibt nichts frei.
Verwaltung — Stufe „Unterlagen" Zusätzlich: Unterlagen hochladen und die KI-Vorsortierung nutzen. Nur nach drei ausdrücklichen Bestätigungen des Eigentümers (Beauftragung, KI-Verarbeitung, Kenntnis der Protokollierung). Nicht: löschen, an Banken freigeben, Kontoeinstellungen ändern.
Bank oder Institut Nur einzeln freigegebene Unterlagen, nur über einen protokollierten Abruf, nur so lange die Freigabe gilt.
Wir Als Auftragsverarbeiter nach Art. 28 DSGVO — für Betrieb, Wartung und Support, weisungsgebunden. Kein Zugriff „aus Neugier": Verwaltungszugriffe sind auf das Notwendige beschränkt und nachvollziehbar.

Was passiert bei Kündigung oder Widerruf?

  • Ein Mandat widerrufen ist keine Kontokündigung. Der Zugriff der Verwaltung endet mit dem nächsten Aufruf — ohne Zwischenspeicher, ohne Wartezeit. Objekte und Unterlagen bleiben vollständig beim Eigentümer.
  • Export vor dem Ende. Der Bestand lässt sich in gängigen Formaten herunterladen, solange das Konto besteht.
  • Löschung. Nach Vertragsende werden die Daten gelöscht, spätestens sechs Monate danach; aus Sicherungskopien verschwinden sie mit dem turnusmäßigen Überschreiben. Auf Verlangen bestätigen wir die Löschung in Textform (Einzelheiten im AV-Vertrag § 12).
  • Die Einwilligung bleibt nachweisbar. Wird eine erteilte Erlaubnis zurückgenommen, wird sie mit Datum als beendet vermerkt statt gelöscht — beide Seiten können später belegen, was wann galt.

7 Was wir nicht behaupten

FörderCheckPro/Subventio Digital besitzt keine eigene ISO-27001- oder ISO-42001-Zertifizierung. Zertifiziert sind die Rechenzentren unseres Hosters — nicht unser Unternehmen. Wo wir uns an einer Norm orientieren, schreiben wir das so und nicht mehr.

Fragen zur Sicherheit oder Anforderungen Ihrer Revision: support@foerdercheckpro.de · Vertrags- und Datenschutzdokumente als datierte PDFs: Rechtsdokumente & Downloads