Datensicherheit
So schützen wir die Daten deiner Firma in CueBox · Stand: 16.10.2026
1. Wo deine Daten liegen
Alle Daten, die du in CueBox einträgst, liegen in einer Datenbank in einem Rechenzentrum in den Niederlanden (Amsterdam). Dort läuft auch der Server, der die App antreibt. Die Seiten der App selbst werden aus Frankfurt ausgeliefert. E-Mails aus der App verschicken wir über Rechenzentren in Irland oder über unseren eigenen Mailserver in Deutschland.
Welche Firmen dahinterstehen, steht unten in der Liste der Dienstleister. Mit allen haben wir Verträge zur Auftragsverarbeitung.
2. Verschlüsselung
- Unterwegs: Jede Verbindung zwischen deinem Gerät und CueBox ist verschlüsselt (TLS 1.3).
- Gespeichert: Die Datenbank und alle Backups sind verschlüsselt abgelegt.
- Passwörter: Wir speichern kein Passwort im Klartext, nur einen nicht umkehrbaren Wert (bcrypt). Auch wir können dein Passwort nicht lesen.
- Zugangsdaten zu anderen Diensten: Schlüssel für Buchhaltung oder ein verbundenes E-Mail-Postfach verschlüsseln wir zusätzlich einzeln (AES-256).
- Mitteilungen aufs Handy: Sie laufen Ende-zu-Ende-verschlüsselt über den Push-Dienst deines Geräts. Der Dienst kann den Inhalt nicht lesen.
3. Sicherung und Wiederherstellung
- Die Datenbank wird laufend gesichert. Wir können sie auf einen beliebigen Zeitpunkt zurücksetzen.
- Zusätzlich gibt es jeden Tag ein Backup, das 14 Tage aufbewahrt wird.
- Jede Woche sichert CueBox die Daten deiner Firma zusätzlich als eigenes Backup. Es liegt 4 Wochen verschlüsselt bereit, die Admins bekommen dazu eine Mail.
- Gelöschtes landet erst im Papierkorb und bleibt dort 30 Tage, bevor es endgültig weg ist.
- Setzt du deine Firma in den Einstellungen zurück, kannst du das 7 Tage lang rückgängig machen.
4. Wer was sehen darf
- Andere Firmen: Die Daten jeder Firma sind in der Datenbank streng getrennt. Keine Firma sieht Daten einer anderen.
- Dein Team: Über Rollen und Rechte legst du fest, wer Preise, Rechnungen, Kunden oder Einstellungen sehen und ändern darf. Crew und Freelancer sehen nur ihre eigenen Einsätze.
- Partner-Netzwerk: Verbundene Partner sehen nur Material, das du ausdrücklich freigibst, und davon nur Name, freie Stückzahl und Kollegenpreis. Projekte und Kunden nie.
- Anmeldung: Zu viele falsche Anmeldeversuche werden gesperrt. Links zum Zurücksetzen des Passworts gelten nur kurze Zeit.
- Nachvollziehbar: Änderungen werden mit Zeit und Person protokolliert. Rechnungen sind nach der Ausgabe gegen Änderungen gesperrt (GoBD).
- Wir: Alle, die bei CueBox mit Daten zu tun haben, sind zur Vertraulichkeit verpflichtet.
5. Was du selbst in der Hand hast
- Backup herunterladen: Unter Einstellungen › „Daten & Sicherung“ lädst du jederzeit alle Daten deiner Firma als ZIP-Datei herunter: zum Wiedereinspielen, als Excel und alle Belege als PDF.
- Export: Material und Kunden kannst du einzeln als Excel exportieren. Deine Daten gehören dir, du kannst jederzeit mitnehmen, was du eingetragen hast.
- Verbindungen trennen: Buchhaltung, Postfach, Kalender und Partner trennst du jederzeit in den Einstellungen.
- AVV: Die Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) unterschreibst du direkt in der App. Danach bekommst du eine Kopie per Mail.
Wie du mit CueBox die DSGVO im Alltag einhältst, erklärt die Anleitung im Hilfe-Center.
6. Wenn doch etwas passiert
Sollte es trotz aller Vorsicht zu einer Verletzung des Datenschutzes kommen, melden wir uns spätestens 48 Stunden, nachdem wir davon wissen, bei deiner Firma. Du erfährst, was passiert ist, welche Daten betroffen sind und was wir dagegen tun. So kannst du deine eigene Meldepflicht innerhalb von 72 Stunden einhalten.
Hast du eine Sicherheitslücke entdeckt? Schreib uns bitte an info@cuebox.de.
7. Liste der Dienstleister
Diese Firmen verarbeiten Daten aus CueBox in unserem Auftrag (Unterauftragsverarbeiter nach Art. 28 DSGVO). Wollen wir einen neuen Dienstleister einsetzen, sagen wir deiner Firma mindestens vier Wochen vorher Bescheid.
| Anbieter | Wofür | Wo die Daten liegen |
|---|---|---|
| Railway Corporation USA | Server und Datenbank der App, Backups | Niederlande (Amsterdam) |
| Vercel Inc. USA | Auslieferung der Website und der App | Deutschland (Frankfurt) |
| Resend (Plus Five Five, Inc.) USA | E-Mails aus der App, z. B. Passwort, Einladungen, Belege | Irland |
| STRATO AG Berlin | E-Mail-Versand über unseren eigenen Mailserver | Deutschland |
| GitHub, Inc. USA | Fehlermeldungen und Feedback, die du selbst über „Fehler melden“ abschickst (Name, Firma, Seite, Text; keine E-Mail-Adressen) | USA |
Bei Anbietern mit Sitz in den USA sichern EU-Standardvertragsklauseln die Übermittlung ab. Vercel, Resend und GitHub sind zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.
Für unsere eigenen Zwecke
- Stripe Payments Europe, Ltd. (Irland): Bezahlung deines CueBox-Abos, wenn du eines abschließt. Karten- und Kontodaten gibst du direkt bei Stripe ein, sie kommen nie zu uns.
- Vercel Web Analytics: Besucherstatistik ohne Cookies, nur auf den öffentlichen Seiten wie dieser, nicht in der App.
Wir nutzen keine Werbe-, Marketing- oder Tracking-Dienste, kein Google Analytics und keine Social-Media-Einbindungen.
Was keine Dienstleister sind
Für PDF-Erstellung und QR-Scan lädt dein Browser kleine Programm-Bibliotheken von cdnjs, jsDelivr und unpkg. Dabei geht nur deine IP-Adresse an den Anbieter, keine Inhalte aus CueBox. Dienste, die du selbst verbindest (Lexware Office, sevDesk, dein Postfach, dein Kalender), nutzt deine Firma in eigener Verantwortung. Mehr dazu in der Datenschutzerklärung.