Sicherheit
Workspace-Daten bleiben in der EU.
Kanroo Cloud läuft auf Servern europäischer Unternehmen. Hier siehst Du alle Beteiligten: was sie tun und wo.
- In der EU gehostetNürnberg · Amsterdam · ParisWorkspace-Daten werden in der EU gehostet und verarbeitet. Beide Unterauftragsverarbeiter sitzen in Europa.
- Aus DeutschlandEntwickelt in BayernKanroo wird in Deutschland entwickelt.
- Infrastruktur nach ISO/IEC 27001netcup · ScalewayBeide Hosting-Anbieter haben ein ISO/IEC-27001-Zertifikat. Die Zertifikate gehören den Anbietern.
- DSGVO: AVV inklusiveArt. 28 DSGVO · öffentlichJeder Kunde erhält unseren Auftragsverarbeitungsvertrag, mit unseren Maßnahmen und Unterauftragsverarbeitern.
- Open-Source-KernAGPL-3.0Lies den Code und betreibe ihn selbst. Kanroo Cloud läuft mit demselben Kern.
Kein AWS. Kein Azure.Keine Google Cloud. Kein Cloudflare.
Deine Workspace-Daten werden bei keinem dieser Anbieter gehostet, gespeichert oder verarbeitet.
Kanroo Cloud läuft bei netcup in Deutschland und bei Scaleway in Frankreich und den Niederlanden. Das ist die vollständige Liste der Unterauftragsverarbeiter.
Wenn Du Push-Benachrichtigungen einschaltest, laufen sie Ende-zu-Ende-verschlüsselt über den Push-Dienst Deines Browser-Herstellers.
Wir verkaufen und teilen Deine Daten nicht.
Wer wo beteiligt ist
Server in Deutschland. Dateien in den Niederlanden. E-Mails aus Frankreich. Blende die weiteren Beteiligten ein, um zu sehen, wer sonst noch dabei ist und warum keiner davon Deine Workspace-Daten bekommt.
| Unternehmen | Wo | Aufgabe |
|---|---|---|
| netcup GmbHWorkspace-Daten | Nürnberg, Deutschland | Server für App, Datenbank, Mail und Monitoring |
| Scaleway SASWorkspace-Daten | Amsterdam, Niederlande | Objektspeicher für Dateien |
| Scaleway SASWorkspace-Daten | Paris, Frankreich | Transaktionale E-Mails |
| netcup GmbHFirmensitz | Karlsruhe, Deutschland | Sitz der netcup GmbH |
| Polar Software, Inc.Weitere Beteiligte, keine Workspace-Daten | USA | Verkauft bezahlte Pläne als Merchant of Record |
| GitHub, Inc.Weitere Beteiligte, keine Workspace-Daten | San Francisco, USA | Hostet unseren Quellcode und unsere Container-Images |
| Let’s Encrypt (ISRG)Weitere Beteiligte, keine Workspace-Daten | USA | Stellt unsere TLS-Zertifikate aus |
Unterauftragsverarbeiter
Zwei europäische Unternehmen verarbeiten Workspace-Daten für uns. Die Tabelle stammt direkt aus Anlage 3 unseres Auftragsverarbeitungsvertrags (AVV).
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| netcup GmbHEmmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland | Server-Hosting für die Anwendung, die Datenbank, den Mailserver und das Monitoring | Nürnberg, Deutschland |
| Scaleway SAS8 rue de la Ville l'Évêque, 75008 Paris, Frankreich | Objektspeicher für Dateien und Datensicherungen | Amsterdam, Niederlande |
| Scaleway SAS8 rue de la Ville l'Évêque, 75008 Paris, Frankreich | Transaktionale E-Mails | Paris, Frankreich |
Neue Unterauftragsverarbeiter kündigen wir mindestens 14 Tage vorher per E-Mail an. Du kannst widersprechen.
Auftragsverarbeitungsvertrag lesenWo Deine Daten liegen, ist nur die halbe Wahrheit
Drei Fragen zählen. Wo werden Deine Daten gespeichert? Wo werden sie verarbeitet? Und welches Recht gilt für das Unternehmen, das die Server betreibt?
Speicherort
Das Rechenzentrum, in dem Deine Daten liegen.
Verarbeitungsort
Wo die Daten gelesen, geändert und gesichert werden. Dazu gehört auch der Fernzugriff durch Personal.
Rechtsraum
Welche Gerichte dem Unternehmen, das die Daten kontrolliert, Anordnungen erteilen können. Das hängt vom Unternehmen ab, nicht vom Server.
Die dritte Frage wird leicht übersehen. Nach dem US CLOUD Act muss ein Anbieter unter US-Recht Daten herausgeben, die er kontrolliert, egal wo sie gespeichert sind. Eine EU-Region eines US-Anbieters bleibt ein US-Anbieter.
Kanroos Antwort
Kanroo Cloud speichert und verarbeitet Deine Boards, Wikis und Dateien nur bei zwei EU-Unternehmen. Keines davon hat eine US-Muttergesellschaft.
netcup GmbHDeutschland
Sitz in Karlsruhe. Teil der österreichischen Anexia-Gruppe. Betreibt unsere Server in seinem Rechenzentrum in Nürnberg.
Scaleway SASFrankreich
Sitz in Paris. Teil der französischen iliad-Gruppe. Speichert unsere Dateien in Amsterdam und versendet unsere E-Mails aus Paris.
Ein ehrlicher Hinweis: Bezahlte Pläne rechnet Polar Software, Inc. ab, ein US-Unternehmen. Polar erhält Abrechnungsdaten, etwa den Namen Deiner Organisation und die Rechnungs-E-Mail-Adresse. Deine Boards, Wikis oder Dateien erhält Polar nie.
Zertifizierte Infrastruktur
Beide Hosting-Anbieter haben ein ISO/IEC-27001-Zertifikat für ihr Informationssicherheits-Managementsystem. Stand: 14. Oktober 2026.
- ISO/IEC 27001:2022
netcup GmbH
Unser Server-Anbieter
- Ausgestellt von TÜV NORD CERT, gültig bis November 2027.
- Geltungsbereich: Webhosting, virtuelle Server, Domains, SSL-Zertifikate, Groupware, Software und Managed Hosting.
- ISO/IEC 27001:2022
Scaleway SAS
Unser Anbieter für Dateispeicher und E-Mail
- Ausgestellt von BSI (British Standards Institution), Zertifikat IS 787020.
- Der Geltungsbereich umfasst Object Storage.
Diese Zertifikate gehören unseren Anbietern.
Weitere Beteiligte, ohne Deine Workspace-Daten
Diese Beteiligten sind keine Unterauftragsverarbeiter. Wir nennen sie trotzdem, damit nichts in einer Fußnote versteckt bleibt.
| Beteiligter | Land | Was er erhält | Warum er kein Unterauftragsverarbeiter ist |
|---|---|---|---|
| Polar Software, Inc. | USA | Die E-Mail-Adresse und interne Nutzer-ID des Inhabers, eine Rechnungs-E-Mail-Adresse, falls der Inhaber eine angibt, den Namen der Organisation, eine interne Organisations-ID, den Plan und die Zahl der Nutzer. Nach einer Übertragung der Inhaberschaft auch den Namen des neuen Inhabers. Zahlungs- und Steuerdaten erhebt Polar selbst. | Verkauft bezahlte Pläne als Merchant of Record, also in eigenem Namen. Die Abrechnungsdaten, die wir senden, verarbeitet Polar als unser Auftragsverarbeiter, seine Checkout-Daten als eigener Verantwortlicher. Boards, Wikis oder Dateien erhält Polar nie, deshalb ist es kein Unterauftragsverarbeiter für Deine Workspace-Daten. Free-Pläne senden nichts an Polar. |
| Der Push-Dienst Deines Browsers | Vom Browser-Hersteller gewählt | Eine Ende-zu-Ende-verschlüsselte Nachricht, die er nicht lesen kann | Nur wenn Du Push-Benachrichtigungen einschaltest. Dein Browser-Hersteller betreibt ihn. |
| Let’s Encrypt (ISRG) | USA | Unsere Domainnamen | Stellt unsere TLS-Zertifikate aus. Erhält keine Kundendaten. |
| GitHub, Inc. | USA | Unseren Quellcode und unsere Container-Images | Teil unserer Software-Lieferkette. Erhält keine Kundendaten. |
Für Kunden von Kanroo Cloud sind bezahlte Pläne die einzige Übermittlung personenbezogener Daten in ein Drittland. Wenn Du zum öffentlichen Repository beiträgst, ist zusätzlich GitHub (USA) beteiligt.
Datenschutzerklärung lesenWas wir selbst betreiben
Der übliche SaaS-Stack schickt Daten an ein Dutzend Anbieter. Wir betreiben diese Teile stattdessen auf unseren eigenen Servern bei netcup in Nürnberg.
Mailserver
Eigener Mailserver mit Spamfilter. Anmeldecodes und Benachrichtigungen werden über Scaleway in Paris versendet.
Monitoring
Eigenes Monitoring auf unseren eigenen Servern. Logs enthalten keine IP-Adressen und keine Browserdaten.
Webanalyse
Rybbit, einer unserer Open Source Friends, auf unseren eigenen Servern. Keine Cookies, nichts wird auf Deinem Gerät gespeichert.
DNS
netcup stellt die DNS-Zone von kanroo.app bereit.
Schriften und Assets
Mit der App ausgeliefert. Die App lädt nichts von Dritten und nutzt kein CDN.
Kein Datadog, kein Sentry, kein Google Analytics.
Datensicherheit
Die Kurzfassung der technischen und organisatorischen Maßnahmen aus Anlage 2 unseres Auftragsverarbeitungsvertrags.
- Keine Passwörter
- Du meldest Dich mit einem einmaligen E-Mail-Code oder per Single Sign-on (SSO) an. Codes werden als Hash gespeichert, laufen nach 10 Minuten ab und erlauben drei Versuche.
- Geschützter Admin-Zugang
- Administration nur über ein privates VPN. SSH nur mit Schlüssel, kein Root-Login.
- Verschlüsselte Secrets
- Secrets für Webhooks, Push-Abonnements und SSO sind mit AES-256-GCM verschlüsselt.
- Verschlüsselte Dateien
- Dateien im Objektspeicher sind im Ruhezustand verschlüsselt.
- Verschlüsselte Verbindungen
- Verbindungen von Nutzern laufen über TLS. Zwischen unseren Servern läuft der Verkehr verschlüsselt über ein privates VPN.
- Getrennte Organisationen
- Die App prüft bei jedem Zugriff die Organisation. Rollen legen fest, wer Inhalte lesen und ändern darf.
- Audit-Log
- Sicherheitsrelevante Aktionen werden mit Zeit und Person protokolliert. Inhaber und Admins können sie einsehen.
- Rate-Limits
- Anfragen sind begrenzt, um den Dienst vor Überlastung und Missbrauch zu schützen. Unsere Fair-Use-Richtlinie sagt, was als Missbrauch gilt.
Wie wir Daten schützen
Jeder Kunde erhält einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Anlage 2 listet unsere technischen und organisatorischen Maßnahmen. Anlage 3 nennt unsere Unterauftragsverarbeiter, und alle sitzen in der EU. Wir veröffentlichen diese Dokumente vollständig, damit Du sie prüfen kannst, bevor Du startest.
Auftragsverarbeitungsvertrag lesenSicherheitslücke gefunden?
Schreib an security@kanroo.app. Du kannst auch unser Meldeformular mit dem Label Security nutzen.
security.txtTransparenz als Standard
Für Deine Entscheidung solltest Du nicht erst nachfragen müssen. Das alles veröffentlichen wir, und hier findest Du es.
Alle Beteiligten
Beide Unterauftragsverarbeiter und alle weiteren Beteiligten, auch Polar, das die bezahlten Pläne abrechnet.
Alle Plan-Limits
Die Limits aller Pläne in einer Tabelle, direkt neben dem Preis.
Der ganze Vertrag
Unser Auftragsverarbeitungsvertrag vollständig, mit Maßnahmen und Unterauftragsverarbeitern.
Unsere Roadmap
Was wir planen und bauen, auf unserem öffentlichen Roadmap-Board.
Was noch fehlt
Was Kanroo noch nicht kann. Du erfährst es, bevor Du Dein Team umziehst.
Der Code
Der Open-Source-Kern unter AGPL-3.0. Kanroo Cloud läuft mit demselben Kern.
Datierte Vergleiche
Jeder Vergleich mit anderen Tools nennt das Prüfdatum und verlinkt seine Quellen.
Fehlt Dir hier etwas? Frag uns.
Dokumente
Die Rechtstexte hinter dieser Seite.
- Auftragsverarbeitung (AVV)Art. 28 DSGVO, mit den Maßnahmen (Anlage 2) und den Unterauftragsverarbeitern (Anlage 3).
- DatenschutzerklärungWas wir auf dieser Website und in Kanroo Cloud verarbeiten, und warum.
- NutzungsbedingungenDer Vertrag für Kanroo Cloud, für Unternehmen.
- ImpressumWer Kanroo betreibt, mit Anschrift und Kontakt.
- Open-Source-LizenzDer Kern von Kanroo steht unter AGPL-3.0. Lies den Code selbst.
Fragen zum Datenschutz?
Wir beantworten jede Frage zum Hosting, zum Vertrag, zu unseren Maßnahmen und zur Enterprise Edition.