Compliance & Sicherheit

CalPair synchronisiert Kalenderdaten zwischen Google, Microsoft 365 und CalDAV-Anbietern. Der Dienst wird vollständig in der EU betrieben und arbeitet streng nach dem Prinzip der Datensparsamkeit. Diese Seite fasst zusammen, wo Daten verarbeitet werden, welche Zertifizierungen die eingesetzte Infrastruktur hat und welche Berechtigungen CalPair anfordert.

Hosting in der EU

Die Anwendung und alle abgerufenen Kalenderdaten werden auf Infrastruktur der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland) verarbeitet. Transaktionale E-Mails und verschlüsselte Off-Site-Backups laufen über Scaleway SAS in Paris (Frankreich). Beide Standorte liegen in der EU, eine Drittlandübermittlung findet nicht statt. Auftragsverarbeitungsverträge (AVV/DPA) liegen mit beiden Anbietern vor.

Zugangs-Tokens werden mit AES-256-GCM verschlüsselt gespeichert, der Transport erfolgt über TLS 1.3.

Zertifizierungen der Infrastruktur

• ISO/IEC 27001:2022 — Informationssicherheits-Managementsystem; Geltungsbereich: Infrastruktur, Betrieb und Support der Rechenzentrums-Parks Nürnberg, Falkenstein und Helsinki. Zertifiziert durch SOCOTEC Certification Deutschland GmbH.
• BSI C5 Typ 2 — Cloud Computing Compliance Criteria Catalogue des Bundesamts für Sicherheit in der Informationstechnik; bestätigt die wirksame Umsetzung der Sicherheitskriterien über einen Prüfzeitraum.

Hetzner — ISO/IEC 27001:2022 Zertifikat (PDF)

Das BSI-C5-Typ-2-Testat stellt Hetzner auf Anfrage bereit. Übersicht und aktuelle Nachweise: docs.hetzner.com/general/others/certificates.

Diese Zertifizierungen betreffen den Infrastruktur-Anbieter, nicht CalPair selbst.

Unterauftragsverarbeiter

Die folgende Liste ist die jeweils aktuelle Fassung der Anlage 3 des Auftragsverarbeitungsvertrags. Sie enthält ausschließlich Dienstleister, die personenbezogene Daten im Auftrag des Kunden verarbeiten. Beide verarbeiten ausschließlich in der EU.

Nicht Teil der Auftragsverarbeitung: Dienstleister, die CalPair für eigene Zwecke einsetzt und die keine im Kundenauftrag verarbeiteten Daten anfassen — Zahlungsabwicklung (Stripe), CDN der öffentlichen Landing-Page (Bunny.net, nur Besucher- und HTTP-Metadaten) sowie Buchhaltung und Rechnungsarchivierung (Lexware Office, pCloud). Sie sind in der Datenschutzerklärung geführt.

Keine Unterauftragsverarbeiter sind die vom Nutzer selbst verbundenen Quell- und Zielkalender (Google, Microsoft 365, CalDAV-Anbieter): Der Zugriff erfolgt nur auf Weisung, das Vertragsverhältnis besteht zwischen Nutzer und Anbieter.

Änderungen an dieser Liste werden Geschäftskunden nach Maßgabe des Auftragsverarbeitungsvertrags vorab mitgeteilt.

Berechtigungsmodell — nur delegierter Zugriff

CalPair fordert bei Microsoft 365 und Google Workspace ausschließlich delegierte Berechtigungen an, also Zugriff im Namen und mit den Rechten des jeweils angemeldeten Nutzers. Es werden keine Application- bzw. tenant-weiten Berechtigungen verwendet.

• Microsoft Graph: Calendars.ReadWrite, User.Read, offline_access (delegiert).
• Zugriff nur auf Kalender von Nutzern, die sich selbst angemeldet und zugestimmt haben.
• Kein Zugriff auf Kalender anderer Nutzer; der Zugriff endet bei Trennung oder Widerruf.

Verträge und Datenschutz

• Datenschutzerklärung
• Impressum
• Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO): auf Anfrage über das Impressum — CalPair tritt gegenüber Geschäftskunden als Auftragsverarbeiter auf.

Die verlinkte Hetzner-Urkunde ist eine gespiegelte Kopie des von Hetzner veröffentlichten Originals; maßgeblich ist die jeweils aktuelle Fassung bei Hetzner.