DSGVO
PaperOffice erfüllt die DSGVO-Anforderungen an Auftragsverarbeiter — AVV (Art. 28) und TOM (Art. 32) aus dem Generator, Verarbeitung in der EU.
- Datenverarbeitung in der EU
- Recht auf Löschung
- Transparente Verarbeitung
Sicherheit & Compliance
Kontrolle, die sich prüfen lässt.
AVV, TOM und ISO/IEC-27001-Zertifikat — dokumentiert, nicht nur behauptet.
Vertraut von führenden Unternehmen weltweit
OEM-PARTNERSCHAFT
Hardware-Giganten setzen exklusiv auf PaperOffice.
Alleiniger offizieller DMS-Partner für QNAP: Classic-App, AI BYOS.
MehrISO/IEC 27001
ZERTIFIZIERT
SOC 2 Type 2
IN VORBEREITUNG
Alleiniger offizieller DMS-Partner für ASUSTOR: Classic-App, AI BYOS.
MehrNachweis
Im DataCenter. In der App.
Verarbeitung auf eigener Hardware im EU Datacenter Spain. AVV und TOM erzeugt der Generator — mit den Unternehmensdaten, als PDF.
100% EUKeine Public CloudKeine Subprozessoren
Standards & Nachweise EU Datacenter Spain
Eigene Hardware. Keine Public Cloud. Keine Hyperscaler.
Generator in der App
AVV und TOM entstehen mit den Unternehmensdaten, als PDF.
Cloudflare Inc.
Netzwerkschutz: DDoS-Abwehr, WAF und CDN. Kein Zugriff auf Dokumente.
Weitere Unterlagen
Whitepaper, Penetrationstest-Bericht und das ISO/IEC-27001-Zertifikat auf Anfrage ab Enterprise-Plan.
Standards & Nachweise
Anerkannte Sicherheitsstandards. Auditbereit.
Dokumentierte Standards: DSGVO-Anforderungen an Auftragsverarbeiter erfüllt, ISO/IEC 27001 zertifiziert; SOC 2 Typ II in Vorbereitung.
ISO/IEC 27001 (zertifiziert) ISO/IEC 27001 zertifiziert (Zertifikat unter NDA verfügbar); SOC 2 Type II in Vorbereitung.
Internationaler Standard für Informationssicherheits-Management
- ISMS nach ISO 27001
- Jährliche Audits
- Kontinuierliche Verbesserung
SOC 2 Typ II (in Vorbereitung) ISO/IEC 27001 zertifiziert (Zertifikat unter NDA verfügbar); SOC 2 Type II in Vorbereitung.
AICPA Service Organization Control für Trust Services Criteria
- Sicherheitskontrollen
- Verfügbarkeit
- Vertraulichkeit
HIPAA
US-Standard für Gesundheitsdaten — PaperOffice erfüllt alle technischen Schutzanforderungen der HIPAA Security Rule.
- Zugriffskontrolle, MFA und Audit-Protokolle
- Verschlüsselung bei Übertragung und Speicherung
- BAA auf Anfrage (separater Zusatz)
Kartenzahlung über Stripe
Kartenzahlungen laufen über Stripe Checkout. Kartendaten werden bei Stripe eingegeben und erreichen die PaperOffice-Server nicht.
- Stripe: Dienstleister nach PCI DSS Level 1
- Zahlungsseite von Stripe gehostet
- Keine Kartennummern auf PaperOffice-Servern
GoBD
Technische Bausteine für die Aufbewahrung nach GoBD
- Unveränderbare Versionen (WORM)
- Prüfsummen und Vollständigkeit
- Lückenloses Protokoll
ISO/IEC 27001 zertifiziert (Zertifikat unter NDA verfügbar); SOC 2 Type II in Vorbereitung.
Verschlüsselung
AES-256 Verschlüsselung
Jedes Dokument wird mit AES-256 verschlüsselt gespeichert und über TLS 1.3 übertragen.
Im Ruhezustand
Alle gespeicherten Daten vollständig verschlüsselt
Bei der Übertragung
TLS 1.3 für alle Verbindungen
Schlüsselverwaltung
Schlüssel außerhalb der Datenbank — nur für berechtigte Dienste lesbar
Zugriffskontrolle
Entschlüsselung nur für autorisierte Verarbeitung – mit Audit-Trail
Architektur
Zero Trust. Kein implizites Vertrauen. Jede Anfrage wird geprüft.
Jede Anfrage wird authentifiziert. Jeder Zugriff wird protokolliert. Keine Ausnahmen.
Identity First
Multi-Faktor-Authentifizierung, Passkeys und Anmeldung mit Google; Code-Abfrage bei neuen Geräten und auffälligen Netzen.
Geringste Privilegien
Minimale Berechtigungen. Nur Zugriff auf das, was wirklich benötigt wird.
Kontinuierliche Verifizierung
Permanente Überprüfung. Keine "trusted zones". Jede Session wird validiert.
Vollständiger Audit-Trail
Lückenlose Protokollierung aller Zugriffe. Unveränderliche Audit-Logs.
Mikrosegmentierung
Isolierte Netzwerksegmente. Breach in einem Bereich bleibt isoliert.
Anmelde-Überwachung
Warnung bei Anmeldungen von neuen Geräten, neuen IP-Adressen oder aus VPN-, Proxy- und Rechenzentrumsnetzen. „Nein, das war ich nicht“ sperrt das Konto und beendet alle Sitzungen.
Trust Center
AVV und TOM in der App.
Der Generator in der App erzeugt AVV und TOM — mit den Unternehmensdaten, als PDF.
Art. 28 DSGVO
AVV-Generator
Der Auftragsverarbeitungsvertrag entsteht in der App — vorausgefüllt mit den Unternehmensdaten, als PDF mit PaperOffice-Briefkopf.
- Services einzeln auswählbar
- Im Compliance-Paket zusammen mit den TOM
- Historie aller erzeugten Fassungen
Art. 32 DSGVO
TOM-Generator
Technische und organisatorische Maßnahmen für genau die Services, die im Konto genutzt werden.
- Maßnahmen-Katalog pro Service
- Vorschau vor dem Download
- PDF im Compliance-Paket zusammen mit dem AVV
Echtzeit
Security Center
Alle Geräte und Sitzungen des Kontos im Blick — wer greift wann und von wo zu.
- Geräte-Dashboard mit Live-Status
- Standortkarte der aktiven Sitzungen
- Sitzungen sperren oder entfernen
Zugriffsschutz
Geo-Fencing
Pro Gerät wird festgelegt, aus welchen Ländern ein Zugriff erlaubt ist. Nicht freigegebene Regionen werden blockiert.
- Länderfreigabe pro Gerät
- Blockierung nicht freigegebener Regionen
- Verwaltung im Security Center
Transparenz
Keine Subprozessoren. Maximale Kontrolle.
PaperOffice betreibt eigene EU-Infrastruktur. Gegen DDoS-Angriffe und Bots setzt PaperOffice Cloudflare Enterprise als Netzwerkschutz ein — ohne Zugriff auf Dokumente.
Netzwerkschutz
Cloudflare Inc.
DDoS-Schutz & CDN
- DDoS-Abwehr, WAF und Bot-Schutz
- Kein Zugriff auf Dokumenteninhalte
- Enterprise-Tarif mit priorisiertem Support
- Reines Traffic-Routing – keine Datenspeicherung
Kerninfrastruktur: 100% eigene Systeme
Datenbanken, Speicher, KI-Modelle und Backup-Systeme laufen auf eigener Hardware im EU Datacenter Spain.
- Keine US-Hyperscaler-Cloud-Dienste
- Kein US CLOUD Act – kein Zugriff durch US-Behörden
- Eigene KI-Infrastruktur für alle Funktionen
- Kein Datentransfer in Drittländer
Weitere Unterlagen
Whitepaper, Penetrationstest-Bericht und das ISO/IEC-27001-Zertifikat stehen auf Anfrage ab Enterprise-Plan bereit.
In der App
- Auftragsverarbeitungsvertrag (AVV) Nach Art. 28 DSGVO — mit den Unternehmensdaten erzeugt.
- TOM-Dokumentation Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
- Compliance-Paket AVV und TOM als gemeinsames PDF, mit Historie aller Fassungen.
Auf Anfrage ab Enterprise-Plan
- Sicherheits-Whitepaper Architektur, Verschlüsselung und Sicherheitsprozesse im Überblick.
- Penetrationstest-Bericht Zusammenfassung der letzten unabhängigen Prüfung — unter NDA.
- Zertifikat & Prüfstand ISO/IEC-27001-Zertifikat auf Anfrage unter NDA; SOC 2 Type II in Vorbereitung.
Nachvollziehbare Sicherheit.
AVV und TOM stehen in PaperOffice bereit.