Anmeldung mit eurem Microsoft-Konto
Ihr meldet euch mit dem Konto eurer Firma an. Es gelten eure eigenen Regeln wie MFA und bedingter Zugriff. Wir speichern keine Passwörter.
Trust Center · Collaboration Hub
Vertrauen entsteht durch Transparenz.
Hier beschreiben wir offen, wie der Collaboration Hub aufgebaut ist, wer auf welche Daten zugreifen kann und wie wir eure Daten schützen. Unterlagen für eure Lieferantenbewertung schicken wir euch auf Anfrage.
Stand: 29. Oktober 2026
Auf einen Blick
Strikte Trennung je Organisation
Jede Organisation ist ihr eigener Microsoft-Tenant. Das Backend prüft bei jeder Anfrage serverseitig, zu welcher Organisation ein Konto gehört – nie anhand von Angaben aus dem Browser.
Nur lesender Zugriff auf euren Tenant
Für Reports und Tenant-Scan erteilt eure IT eine Zustimmung mit ausschließlich lesenden Berechtigungen. Sie lässt sich jederzeit widerrufen.
Gespeichert in der EU
Der Hub läuft auf Microsoft Azure in Rechenzentren in der EU (Deutschland West-Mitte und Westeuropa).
Keine Schlüssel für eure Tenants
Unsere Dienste melden sich mit verwalteten Azure-Identitäten an (Workload Identity Federation). Es gibt keine Passwörter oder Client-Secrets, die abhandenkommen könnten.
Ihr behaltet die Kontrolle
Eure Hub-Administrator:innen vergeben Rechte je Person, sehen ein Protokoll aller Änderungen und können Zugänge sofort deaktivieren.
Zertifizierungen
addhucate ist derzeit nicht nach ISO 27001 oder SOC 2 zertifiziert. Statt Siegeln legen wir offen, wie der Hub gebaut ist und welche Maßnahmen wir umsetzen – und beantworten eure Sicherheitsfragebögen gern ausführlich.
Die Plattform, auf der der Hub läuft, ist umfassend zertifiziert: Microsoft Azure und Microsoft Entra ID verfügen unter anderem über ISO 27001, ISO 27017, ISO 27018, SOC 2 und BSI C5. Die Berichte stellt Microsoft im Service Trust Portal bereit.
- ISO 27001 (addhucate) nicht zertifiziert
- SOC 2 (addhucate) nicht zertifiziert
- Microsoft Azure / Entra ID ISO 27001, SOC 2, C5
- DSGVO AVV öffentlich verfügbar
Architektur und Datenflüsse
Der Hub besteht aus wenigen, klar getrennten Diensten. Der Browser spricht nur mit dem Hub-Backend; alle weiteren Dienste sind nur für das Hub-Backend gedacht und prüfen jeden Aufruf selbst.
Ein Gegenüber für den Browser
Das Frontend spricht ausschließlich mit dem Hub-Backend. Dort werden Anmeldung, Organisation, Rechte und die Zustimmung zu den Nutzungsbedingungen geprüft – bevor überhaupt Daten geladen werden. Interne Dienste vertrauen nur dem Hub-Backend; die Projektanbindung ist nur aus dessen Netz erreichbar, für die übrigen internen Dienste setzen wir das gerade um.
Projektdaten getrennt vom Hub
Projekt-, Auftrags- und Rechnungsdaten liegen nicht im Hub, sondern werden bei Bedarf von einem eigenen Dienst im addhucate-Tenant geliefert. Er verlangt ein zweites, eigenes Anmelde-Token und liefert nur Daten des Kunden, mit dem eure Organisation verknüpft ist. Die Projektanbindung steht nur zur Auswahl, wenn ihr mit addhucate in einem konkreten Projekt zusammenarbeitet – die Verknüpfung richtet addhucate ein; ohne sie wird die Zustimmung gar nicht erst angeboten.
Sicherheitsmaßnahmen
Was wir konkret umsetzen – technisch und organisatorisch.
Identität und Zugriff7
- Anmeldung nur über Microsoft Entra ID; eure Richtlinien (MFA, bedingter Zugriff, Sperren) gelten unverändert.
- Jedes Token wird auf Signatur, Aussteller, Zielgruppe, aufrufende App und Gültigkeit geprüft.
- Rechte je Person (z. B. Reports, Projekte, Finanzen, Benutzerverwaltung) vergeben eure Hub-Administrator:innen.
- Ein Zugang ist nach der ersten Anmeldung an genau dieses Konto gebunden – eine gleiche E-Mail-Adresse aus einem anderen Konto erhält keinen Zugriff.
- Gastkonten in eurem Tenant erhalten nur nach ausdrücklicher Einladung Zugang und können keine Organisation anlegen.
- Deaktivierte Zugänge und gesperrte Organisationen werden sofort abgewiesen.
- addhucate-Mitarbeitende benötigen eine eigene, gesondert vergebene Rolle; Gastkonten im addhucate-Tenant werden abgelehnt.
Trennung der Organisationen5
- Die Organisation ergibt sich ausschließlich aus dem Microsoft-Tenant des Anmelde-Tokens.
- Alle Daten sind je Organisation in eigenen Partitionen abgelegt.
- Ohne bestätigte Nutzungsbedingungen liefert das Backend keine Inhalte – serverseitig geprüft.
- Bei unklarem Zugriffsstatus wird der Zugriff verweigert (fail-closed).
- Automatische Tests prüfen bei jeder Version, dass keine Organisation Daten einer anderen sehen kann.
Protokollierung5
- Wir protokollieren Anmeldungen am Hub sowie Änderungen an Zugängen, Rechten und Einladungen.
- Ebenso jede Konfigurationsänderung im Hub – etwa Erscheinungsbild, Startseiten, Tarif-Bestellungen –, das Verbinden von Tenants, Verknüpfungen und Zeiträume, die addhucate einrichtet, sowie Downloads und abgelehnte Zugriffe.
- Jeder Eintrag hält fest, wer was wann geändert hat und ob es erfolgreich war.
- Eure Hub-Administration sieht die Änderungen durch Administrator:innen eurer Organisation im Protokoll; Einträge von addhucate erscheinen dort als „addhucate“.
- Die Protokolle werden 730 Tage aufbewahrt und danach automatisch gelöscht.
Infrastruktur6
- Betrieb ausschließlich auf verwalteten Azure-Diensten (Platform as a Service) in EU-Regionen.
- Verbindungen nur verschlüsselt über HTTPS (TLS).
- Geheimnisse liegen in Azure Key Vault; Dienste melden sich mit verwalteten Identitäten an.
- Die Projektanbindung ist nur aus dem Netz des Hub-Backends erreichbar; die übrigen internen Dienste trennen wir derzeit ebenfalls vom öffentlichen Netz.
- Der Hub läuft in einem eigenen Microsoft-Tenant, getrennt von den Arbeitskonten und Postfächern von addhucate.
- Strenge Content Security Policy und Sicherheits-Header im Frontend.
Daten und Verschlüsselung5
- Gespeicherte Daten sind durch Azure Storage verschlüsselt (AES-256).
- Scan-Ergebnisse werden je Organisation getrennt abgelegt und nur über das Hub-Backend ausgeliefert.
- Persönliche Nutzungsauswertungen gibt es nur mit Einwilligung der jeweiligen Person.
- Die Daten eurer Organisation werden 30 Tage nach Vertragsende gelöscht, nach einer Testphase ohne Buchung sofort.
- Geplant: zusätzliche Verschlüsselung personenbezogener Felder mit einem eigenen Schlüssel je Organisation.
Entwicklung und Betrieb6
- Regelmäßige Sicherheitsprüfungen der Architektur und des Codes (zuletzt Oktober 2026), Befunde werden priorisiert behoben.
- Abhängigkeiten werden automatisch auf bekannte Schwachstellen überwacht und aktualisiert.
- Getrennte Entwicklungs- und Produktionsumgebungen; Änderungen gehen erst nach Test in die Produktion.
- Automatisierte Tests für Zugriffs- und Trennungsregeln.
- Überwachung und Fehlerprotokolle mit Azure Application Insights – ohne Tokens oder Passwörter im Log.
- Änderungen an Zugängen, Rechten und Verknüpfungen werden protokolliert und sind für eure Hub-Administration einsehbar.
Organisation3
- Rechte auf Datenspeicher und Key Vault vergeben wir nur befristet und bei Bedarf.
- Zugriff auf Kundendaten nur für Mitarbeitende mit Aufgabe und eigener Rolle.
- Feste Ansprechperson für Sicherheitsfragen (siehe Kontakt).
Tenant-Scan und Berechtigungen
Für Reports zu Sicherheit, Lizenzen und Nutzung liest der Hub Konfiguration und Kennzahlen aus eurem Microsoft-365-Tenant. Dafür erteilt eine Person mit Administratorrechten in eurem Tenant der App „addhucate Tenant Security App“ eine Zustimmung.
- Ausschließlich lesende Berechtigungen – die App kann nichts ändern, löschen oder versenden.
- Nach der Zustimmung meldet sich ein Admin in genau diesem Tenant an; erst dann wird der Tenant eurer Organisation zugeordnet – und keiner anderen.
- Keine Client-Secrets: Die Scan-Dienste melden sich per Workload Identity Federation an.
- Widerruf jederzeit in Microsoft Entra unter „Unternehmensanwendungen“.
Erteilte Berechtigungen
Microsoft Graph, Anwendungsberechtigungen (alle nur lesend):
- Verzeichnis und Identität: Directory, Organization, Application, RoleManagement, PrivilegedAccess, EntitlementManagement, UserAuthenticationMethod, OnPremDirectorySynchronization, AgentIdentity
- Richtlinien: Policy, Policy.ConditionalAccess, OrgSettings, ReportSettings, SharePointTenantSettings
- Sicherheit: SecurityAlert, SecurityIncident, SecurityEvents, SecurityIdentitiesHealth/Sensors, ThreatHunting, IdentityRiskEvent, IdentityRiskyUser, RoleManagementAlert
- Geräte: DeviceManagementConfiguration, -ManagedDevices, -RBAC, -ServiceConfig
- Protokolle und Berichte: AuditLog, AuditLogsQuery, Reports, ServiceHealth, DirectoryRecommendations, NetworkAccess
- Inhalte: Sites.Read.All (Struktur und Freigaben von SharePoint/Teams für Adoption- und Sicherheitsauswertungen)
Zusätzlich Exchange Online (Exchange.ManageAsApp) für Prüfungen der Exchange-Konfiguration. Die vollständige Liste mit Begründung je Berechtigung schicken wir auf Anfrage.
Datenschutz
Welche Daten wir verarbeiten
- Name, E-Mail-Adresse und Konto-ID der Hub-Nutzer:innen
- Rechte, Einstellungen und Protokoll der Organisation
- Ergebnisse der Scans und Reports (Konfiguration, Kennzahlen)
- Bei Projektkunden: Projekte, Aufträge, Stunden und Rechnungen, die addhucate für euch führt
Grundsätze
- Verarbeitung nach DSGVO; Auftragsverarbeitungsvertrag (AVV) zum Herunterladen
- Speicherung in der EU
- Keine Weitergabe an Dritte zu Werbezwecken, kein Tracking durch Werbenetzwerke
- Keine KI-Dienste von Drittanbietern für eure Hub-Daten
- Keine Leistungs- oder Arbeitszeitauswertung von Mitarbeitenden – mehr dazu unter Mitarbeitende & Mitbestimmung
- Löschung der Daten eurer Organisation 30 Tage nach Vertragsende; bei einer Testphase ohne Buchung direkt nach deren Ende
Dienstleister (Unterauftragsverarbeiter)
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Microsoft (Azure, Entra ID, Application Insights) | Betrieb des Hubs, Anmeldung, Speicherung, Überwachung | EU (Deutschland West-Mitte, Westeuropa) |
| weclapp | Aufträge und Rechnungen (nur für Projektkunden) | EU (Deutschland, zertifiziertes Rechenzentrum in Frankfurt am Main) |
| Atlassian (Jira) und Tempo | Projekte, Meilensteine, Zeiterfassung (nur für Projektkunden) | EU (Deutschland) |
Über Änderungen an dieser Liste informieren wir Vertragskunden vorab gemäß AVV.
Dokumente
AVV, AGB und NDA könnt ihr direkt auf addhucate.com/agb herunterladen. Die übrigen Unterlagen für eure Lieferantenbewertung schicken wir euch gern zu.
Auftragsverarbeitungsvertrag (AVV)
Vorlage zur Auftragsverarbeitung nach Art. 28 DSGVO
Allgemeine Geschäftsbedingungen (AGB)
Vertragsgrundlage für Leistungen von addhucate
Geheimhaltungsvereinbarung (NDA)
Vorlage, z. B. vor dem Austausch vertraulicher Unterlagen
Technische und organisatorische Maßnahmen (TOM)
Anlage zum AVV für den Collaboration Hub
Architektur- und Sicherheitsbeschreibung
Dienste, Datenflüsse, Anmeldung, Trennung der Organisationen
Berechtigungen der Tenant Security App
vollständige Liste mit Zweck je Berechtigung
Liste der Unterauftragsverarbeiter
mit Verträgen und Verarbeitungsorten
Ergebnis der letzten Sicherheitsprüfung
Zusammenfassung und Stand der Umsetzung
Ausgefüllter Sicherheitsfragebogen
eure Vorlage oder unser Standardfragebogen
Häufige Fragen
Werden unsere Daten außerhalb der EU verarbeitet?
Der Hub und seine Speicher laufen in EU-Regionen von Microsoft Azure. Die Anmeldung läuft über Microsoft Entra ID eures eigenen Tenants.
Kann addhucate Daten in unserem Tenant ändern?
Nein. Die Tenant Security App hat ausschließlich lesende Berechtigungen. Der Hub selbst erhält bei der Anmeldung nur euer Profil (Name, E-Mail) und keinen Zugriff auf Postfächer oder Dateien.
Was passiert mit unseren Daten nach Vertragsende oder Testphase?
Wir löschen die Daten eurer Organisation im Hub – Zugänge, Einstellungen, Scan-Ergebnisse und Reports – 30 Tage nach Vertragsende. Bis dahin könnt ihr sie bei Bedarf noch abrufen. Endet eine Testphase ohne Buchung, löschen wir die Daten direkt danach. Die Zustimmungen in eurem Tenant entfernt ihr selbst unter „Unternehmensanwendungen“.
Was wird protokolliert?
Wir protokollieren Zugänge zum Hub (Anmeldungen), Änderungen an Benutzern, Rechten und Einladungen, Konfigurationsänderungen wie Erscheinungsbild, Startseiten und verbundene Tenants, Downloads sowie abgelehnte Zugriffe – jeweils mit Person, Zeitpunkt und Ergebnis. Eure Hub-Administration sieht die Änderungen durch Administrator:innen im Protokoll. Aufbewahrung: 730 Tage.
Wie widerrufen wir die Zustimmung?
In Microsoft Entra unter „Unternehmensanwendungen“ die jeweilige App löschen oder deaktivieren:
- „addhucate Tenant Security App“ – der Tenant-Scan stoppt sofort; Reports werden nicht mehr aktualisiert.
- „addhucate Projektanbindung“ – die Anzeige eurer Projektdaten im Hub endet. Diese App gibt es nur, wenn ihr mit addhucate in einem konkreten Projekt zusammenarbeitet.
Wer bei addhucate sieht unsere Daten?
Nur Mitarbeitende, die euch betreuen und dafür eine eigene Rolle haben – etwa um Reports mit euch zu besprechen. Änderungen werden protokolliert.
Warum seid ihr nicht zertifiziert?
Eine Zertifizierung nach ISO 27001 ist für ein Team unserer Größe ein großer Schritt. Bis dahin setzen wir auf Transparenz: Wir beschreiben unsere Maßnahmen offen und beantworten Fragebögen ausführlich. Die zugrunde liegende Plattform Microsoft Azure ist umfassend zertifiziert.
Wie melden wir eine Sicherheitslücke?
Schreibt uns an die unten genannte Adresse mit dem Betreff „Sicherheit“. Wir bestätigen den Eingang innerhalb von zwei Werktagen.
Kontakt
Fragen zu Sicherheit und Datenschutz oder Hinweise auf Schwachstellen: info@addhucate.com