Zum Inhalt springen
vivotempo
AnmeldenZwei Monatekostenlos testen

Sicherheit und Vertrauen

Stand: 13. November 2026

Hier steht, wie vivotempo Ihre Daten schützt, wo sie liegen und welche Nachweise es gibt. Wir nennen nur, was belegt ist. Ein Zertifikat, das wir nicht haben, steht hier als nicht vorhanden.

Auf einen Blick

  • Datenbank, Dateien und Serverfunktionen liegen in Rechenzentren in Paris, in der Europäischen Union.
  • Jede Firma ist in der Datenbank selbst von allen anderen getrennt.
  • Zweiter Faktor per Passkey, Authenticator-App, Threema oder Code per E-Mail.
  • Der Vertrag zur Auftragsverarbeitung lässt sich online abschließen.
  • Administratoren exportieren jederzeit alle Daten ihrer Firma selbst.

Nachweise und Regelwerke

Der Stand je Regelwerk und was davon heute schon gilt.

  • DSGVO

    Gilt

    Gilt unmittelbar, ein Zertifikat dafür gibt es nicht. Den Vertrag zur Auftragsverarbeitung (AVV) schließen Sie online ab, mit Prüfsumme und Nachweis der Annahme. Anhang 2 beschreibt die technischen und organisatorischen Maßnahmen, Anhang 3 die Unterauftragsverarbeiter. Datenschutzverletzungen melden wir möglichst innerhalb von 24 Stunden.

  • EU Data Act (Anbieterwechsel)

    Gilt

    Gilt seit 12. September 2025. Administratoren laden alle Daten ihrer Firma selbst herunter, in offenen Formaten mit Beschreibung. Mehr dazu unter „Anbieterwechsel und Datenexport“.

  • ISO/IEC 27001

    Nicht zertifiziert

    vivotempo ist nicht zertifiziert. Wir richten Maßnahmen und Dokumentation an Anhang A der Norm aus. Die Rechenzentren unserer Dienstleister sind unter anderem nach ISO/IEC 27001 zertifiziert.

  • Barrierefreiheit (EN 301 549, WCAG 2.2)

    Teilweise erfüllt

    Auf Stufe AA teilweise vereinbar, festgestellt in einer Selbstbewertung mit automatischen Tests und Prüfungen von Hand.

    Zur Erklärung zur Barrierefreiheit

  • BSI C5

    Nicht geprüft

    Kein Testat. Für Kliniken und Praxen kann § 393 SGB V ein C5-Testat oder einen gleichwertigen Nachweis verlangen, wenn Gesundheitsdaten in der Cloud verarbeitet werden. Bitte sprechen Sie uns vor dem Einsatz an.

  • SOC 2

    Nicht geprüft

    Kein Prüfbericht. SOC 2 kennt keine Stufen der Konformität: Entweder liegt der Bericht eines Wirtschaftsprüfers vor oder nicht. Wir behaupten deshalb nichts.

Datenort und Dienstleister

vivotempo läuft in der Region Paris in Frankreich. Diese Unterauftragsverarbeiter arbeiten für uns, wie in Anhang 3 der AVV vereinbart:

Vercel und Supabase haben ihren Sitz in den USA. Ein Zugriff von dort ist durch das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission abgesichert.

E-Mails laufen zusätzlich über einen Weiterleitungsdienst der Bergx2 GmbH selbst.

Zur AVV mit allen Anhängen

Wie wir Daten schützen

  • Trennung der Firmen in der Datenbank

    Jede Tabelle hat Zugriffsregeln auf Zeilenebene (Row Level Security). Eine neue Tabelle ohne solche Regeln lässt ein automatischer Test vor der Veröffentlichung scheitern.

  • Ein zweiter Faktor, der wirklich gilt

    Wer einen zweiten Faktor eingerichtet hat, sieht und ändert ohne bestätigte Sitzung nichts. Das prüft die Datenbank selbst bei jedem Zugriff, nicht nur die Oberfläche. Nach fünf Fehlversuchen wird gesperrt.

  • Rollen

    Mitarbeiter, Teamleitung, HR und Administrator mit abgestuften Rechten. Gesundheitsdaten wie Krankmeldungen sehen nur berechtigte Rollen.

  • Protokoll

    Änderungen an Mitarbeiterdaten, Anträgen, Zeiteinträgen und Einstellungen stehen mit Zeitpunkt und handelnder Person im Logbuch. Korrekturen an Zeiteinträgen bleiben nachvollziehbar. Einträge, die älter als 24 Monate sind, werden archiviert, nicht gelöscht.

  • Verschlüsselung

    Alle Verbindungen laufen über TLS, Browser werden per HSTS dauerhaft darauf festgelegt. Datenbank und Dateiablage sind im Ruhezustand verschlüsselt, Passwörter liegen nur als Hash vor.

  • Geprüfte Änderungen

    Jede Änderung der Datenbank ist eine nummerierte, versionierte Datei. Vor jeder Veröffentlichung laufen automatische Tests der Zugriffsregeln, der Anwendung und der Oberfläche.

  • Terminals

    Stempel-Terminals melden sich mit einem eigenen Geräteschlüssel an. Fällt das Netz aus, speichern sie Buchungen zwischen und reichen sie nach.

Was wir nicht tun

  • Wir verkaufen keine Daten und geben keine zu Werbezwecken weiter.
  • Wir trainieren keine KI-Modelle mit Ihren Daten.
  • Website und App laden keine Werbe- oder Analysedienste von Dritten.
  • Wir erkennen keine Gefühle und ordnen Menschen nicht nach Merkmalen ein. Die Gesichtserkennung am Terminal ist eine wählbare Anmeldeart und dient nur dazu, die Person beim Stempeln zu erkennen.

Anbieterwechsel und Datenexport

Ihre Daten gehören Ihnen. Administratoren laden in den Einstellungen alle Daten ihrer Firma als ZIP-Datei herunter, jederzeit und ohne Zusatzkosten. Darin sind:

  • je Tabelle eine CSV-Datei und eine JSON-Datei mit festen Spaltennamen
  • eine Beschreibung der Felder (JSON Schema) und eine Anleitung zum Einlesen
  • die hochgeladenen Dateien, zum Beispiel Bescheinigungen

Nicht enthalten sind Zugangsdaten und Geheimnisse wie Passwort-Hashes, PINs, Geräteschlüssel, API-Schlüssel und Gesichtsmerkmale. Sie taugen in keinem anderen System und würden beim Weitergeben nur schaden.

Schwachstelle melden

Sie haben eine Sicherheitslücke gefunden? Schreiben Sie an info@bergx2.de mit dem Betreff „Sicherheit“.

Wir bestätigen den Eingang innerhalb von drei Werktagen und melden uns mit einer Einschätzung innerhalb von zehn Werktagen.

Wer uns eine Schwachstelle in gutem Glauben meldet und sie weder ausnutzt noch veröffentlicht, bevor wir sie beheben konnten, hat von uns nichts zu befürchten.

Dieselben Angaben maschinenlesbar nach RFC 9116: security.txt

Unterlagen auf Anfrage

Auf begründete Anfrage erhalten Kunden:

  • Einzelheiten der technischen und organisatorischen Maßnahmen (nach § 9 der AVV)
  • eine Beschreibung des Exportformats
  • Antworten auf Sicherheitsfragebögen

Zum Kontaktformular