Informationssicherheit

Diese Seite beschreibt die Grundsätze, mit denen Swipocratie Daten schützt. Sie richtet sich an Informationssicherheitsbeauftragte (ISB/CISO) und IT-Verantwortliche von Auftraggebern. Interne Konfigurationen und Schlüssel veröffentlichen wir selbstverständlich nicht.

Zuletzt aktualisiert am: 23. Oktober 2026.

Hosting

• Datenbank und Dateispeicher liegen bei Supabase in einer Region innerhalb der EU.
• Die Webanwendung läuft bei Vercel. Dort werden keine Antworten von Teilnehmenden gespeichert; alle Daten stammen aus der Datenbank in der EU.
• Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge einschließlich Standardvertragsklauseln.
• Tägliche Datensicherungen.
• Getrennte Test- und Produktionsumgebungen; Testumgebungen enthalten keine personenbezogenen Daten von Teilnehmenden.

Verschlüsselung

• Sämtlicher Datenverkehr erfolgt über HTTPS (TLS 1.2 oder neuer).
• Gespeicherte Daten und Sicherungen werden mit AES-256 verschlüsselt („encryption at rest“). Diese Verschlüsselung ist standardmäßig aktiv.
• IP-Adressen werden nur als Hashwert mit geheimem Schlüssel erfasst, nie im Klartext.

Mandantentrennung und Zugriffskontrolle

• Die Trennung zwischen Organisationen wird in der Datenbank selbst erzwungen (Row Level Security), nicht nur in der Anwendung.
• Rollen je Mitarbeitendem, darunter eine reine Leserolle; Administrationsrechte werden zentral vergeben und können nicht selbst erlangt werden.
• Teilnehmende können ausschließlich ihre eigenen Antworten einsehen, ändern oder löschen – abgesichert durch einen Schlüssel, der nur auf ihrem Gerät liegt.
• Links zum Zurücksetzen von Passwörtern und Einladungen führen stets zur eigenen Umgebung von Swipocratie.

Sichere Entwicklung

• Eingegebene Formatierungen werden bereinigt, sodass kein Schadcode in Umfragen gelangt.
• Tabellenexporte sind gegen Formel-Injection (CSV/Excel) geschützt.
• Bilder werden nur ausgeliefert, wenn sie in der Medienbibliothek registriert sind.
• Verwendete Softwarebibliotheken werden regelmäßig auf bekannte Schwachstellen geprüft und aktualisiert.
• Änderungen werden zunächst auf einer Abnahmeumgebung getestet, bevor sie live gehen.
• Keine externen Tracker oder Skripte Dritter auf Teilnehmerseiten.

Zertifizierung

Swipocratie selbst verfügt derzeit über keine Zertifizierung nach ISO 27001, BSI IT-Grundschutz oder C5. Der Anbieter unserer Datenbank und unseres Dateispeichers ist nach ISO 27001 zertifiziert und SOC 2 Type 2 geprüft. Ihren Sicherheitsfragebogen beantworten wir gerne auf Anfrage.

Sicherheitslücken melden

Sie glauben, ein Sicherheitsproblem gefunden zu haben? Melden Sie es uns bitte vertraulich über die Kontaktdaten von Swipocratie. Wir bitten Sie:

• das Problem nicht zu veröffentlichen, bevor es behoben ist;
• keine Daten Dritter einzusehen, zu verändern oder zu löschen;
• keine Angriffe durchzuführen, die den Dienst beeinträchtigen.

Wir antworten so schnell wie möglich und halten Sie auf dem Laufenden. Bei Meldungen, die diese Bedingungen erfüllen, sehen wir von rechtlichen Schritten ab, soweit uns dies rechtlich möglich ist.

Swipocratie · Diederichslaan 19b, 3971 PA Driebergen, Niederlande · KvK Nr. 32129308. Siehe auch DSGVO.