Sicherheit & Datenschutz bei DataLion

DataLion wird bei der Hetzner Online GmbH in Deutschland gehostet, an den Standorten Nürnberg und Falkenstein. Die Rechenzentren sind ISO-27001-zertifiziert – die Zertifizierung bezieht sich auf die Rechenzentren und das Hosting, nicht auf DataLion als Unternehmen oder Software. Das Hosting ist klimaneutral.

Ihre Daten werden in Deutschland verarbeitet und gespeichert. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Für Unternehmen, Institute und den öffentlichen Sektor heißt das: kurze Wege, deutsches Recht, keine Übermittlung von Probandendaten in Drittländer durch das Hosting.

• Hetzner, Standorte Nürnberg und Falkenstein
• ISO-27001-zertifizierte Rechenzentren (Zertifizierung des Hostings, nicht von DataLion)
• Klimaneutrales Hosting
• Daten bleiben in Deutschland

Die Datenbank wird stündlich inkrementell und täglich vollständig gesichert. Backups werden sieben Tage vorgehalten – im Ernstfall steht ein aktueller Stand zur Wiederherstellung bereit.

Den aktuellen Betriebsstatus der Plattform können Sie jederzeit öffentlich einsehen: status.datalion.

• Stündliche inkrementelle Datenbank-Backups
• Tägliches Voll-Backup
• Sieben Tage Aufbewahrung
• Öffentliche Statusseite

Alle Verbindungen zu DataLion sind TLS-verschlüsselt (HTTPS), ergänzt um HSTS und Security-Header wie X-Frame-Options und eine restriktive Referrer- und Permissions-Policy. Session-Cookies sind verschlüsselt, HttpOnly und Secure.

Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als salted Hash; eine Passwort-Historie verhindert die Wiederverwendung alter Passwörter. Besonders sensible gespeicherte Werte – etwa 2FA-Geheimnisse und hinterlegte KI-API-Schlüssel – werden zusätzlich anwendungsseitig mit AES-256 verschlüsselt.

Login-Versuche und API-Zugriffe sind ratenlimitiert, um Brute-Force- und Missbrauchsversuche auszubremsen. Auf Wunsch lässt sich der Zugriff auf feste IP-Bereiche beschränken – etwa auf Ihr Unternehmensnetz.

Auch die Entwicklung selbst ist abgesichert: Bei jeder Code-Änderung laufen automatisierte Sicherheits-Scans – statische Code-Analyse (SAST), Abhängigkeits-Audits und Secret-Scanning.

• TLS/HTTPS mit HSTS und Security-Headern
• Verschlüsselte, HttpOnly- und Secure-Session-Cookies
• Passwörter nur als salted Hash, mit Passwort-Historie
• AES-256-Verschlüsselung gespeicherter Geheimnisse (2FA, API-Schlüssel)
• Rate-Limiting für Logins und API, IP-Beschränkung möglich
• Automatisierte Security-Scans in der Entwicklungspipeline (SAST, Dependencies, Secrets)

DataLion steuert Zugriffe auf drei Ebenen: Rollen (Admin, Bearbeiter, Betrachter), Rechte pro Dashboard (Bearbeiten, Ansehen, kein Zugriff) und granulare Zugriffsprofile pro Projekt. Damit legen Sie fest, wer Daten sehen, filtern, exportieren oder teilen darf – bis hin zu Nur-Lese-Zugängen für Kunden und zeilenbasierten Datenfiltern über Zugriffsprofile.

Technisch gilt dabei ein striktes Prinzip: Jede Ressource ist durch eine Zugriffsrichtlinie geschützt, die im Zweifel verweigert (fail-closed). Dass wirklich jedes Datenmodell eine solche Richtlinie hat, wird bei jedem Release automatisiert geprüft.

Mehr Details auf den Seiten Rollen & Rechte und Zugriffsprofile.

• Rollen: Admin, Bearbeiter, Betrachter
• Rechte pro Dashboard und Report
• Zugriffsprofile pro Projekt: Export-, Filter-, Teilen-Rechte, Nur-Lese-Zugänge
• Zeilenbasierte Datenfilter über Zugriffsprofile
• Fail-closed-Zugriffsrichtlinien, automatisiert bei jedem Release geprüft

Auch der Zugriff durch DataLion selbst ist geregelt: Support-Zugänge auf Ihre Umgebung laufen über einen auditierten Support-Zugriff. Sie bestimmen den Modus – deaktiviert, Freigabe je Einzelfall oder dauerhaft erlaubt.

Jede Support-Sitzung ist an eine per SSO verifizierte @datalion.com-Identität gebunden, auf 45 Minuten begrenzt und jederzeit sofort widerrufbar. Ein lückenloses Zugriffsprotokoll hält fest, welche Mitarbeiterin oder welcher Mitarbeiter wann zugegriffen hat – während der Sitzung zeigt ein Banner den aktiven Support-Zugriff an.

• Drei Modi: deaktiviert, Freigabe je Einzelfall, dauerhaft erlaubt
• SSO-verifizierte Mitarbeiter-Identität (@datalion.com)
• Sitzungen auf 45 Minuten begrenzt, sofort widerrufbar
• Lückenloses Zugriffsprotokoll inkl. persönlicher Identität

Neben E-Mail und Passwort unterstützt DataLion eine Zwei-Faktor-Authentifizierung (TOTP) per Authenticator-App. Sie lässt sich pro Nutzer:in aktivieren oder für die gesamte Installation verpflichtend machen.

Für den Login ohne eigenes Passwort lässt sich Single Sign-on über Google oder Microsoft (OAuth) sowie über den DataLion Identity Server aktivieren. Enterprise-Kunden binden ihren eigenen Identity Provider an. Details auf der Seite Single Sign-on.

• TOTP-2FA per Authenticator-App, optional verpflichtend
• SSO via Google und Microsoft (OAuth)
• DataLion Identity Server
• Eigener Identity Provider für Enterprise

DataLion ist ein deutsches Unternehmen und arbeitet 100% DSGVO-konform. Den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bekommen Sie digital gleich mit – ohne langwierige Verhandlung. Für Enterprise-Kunden ist er individuell verhandelbar.

Auch die eingesetzten Dienstleister sind EU-first gewählt: gehostet wird bei Hetzner in Deutschland, E-Mail-Versand und Produktanalyse laufen über EU-Instanzen. Alle Details, Rechtsgrundlagen und Subprozessoren finden Sie transparent in unserer Datenschutzerklärung.

Datensparsamkeit gilt auch intern: Nutzungsaktivität wird nur als grobes Tagessignal erfasst – ohne Projekt-, Inhalts- oder IP-Bezug – und automatisch wieder bereinigt.

• AVV nach Art. 28 DSGVO digital inklusive
• Enterprise: AVV individuell verhandelbar
• EU-first bei Dienstleistern und Subprozessoren
• Datensparsame Aktivitätssignale ohne Projekt-, Inhalts- oder IP-Bezug
• Transparente Datenschutzerklärung

Für KI-Funktionen wie „Ask your data" und die Sentiment- und Themenanalyse hinterlegt jeder Workspace sein eigenes KI-Modell: eigener Schlüssel, eigenes Modell, eigener Endpoint – zur Wahl stehen HybridAI, OpenAI, Anthropic, Azure OpenAI und Mistral. Der Endpoint ist frei konfigurierbar, auch ein EU- oder On-Premise-Betrieb des Sprachmodells ist möglich. Hinterlegte API-Schlüssel werden verschlüsselt gespeichert.

Die Claude-/MCP-Integration startet schreibgeschützt: Schreibzugriffe müssen ausdrücklich freigeschaltet werden, API-Tokens sind im Umfang begrenzt, Debug-Logs werden geschwärzt.

• Bring your own model: HybridAI, OpenAI, Anthropic, Azure OpenAI, Mistral
• Frei konfigurierbarer Endpoint – EU/On-Premise möglich
• KI-Schlüssel verschlüsselt gespeichert
• MCP-Anbindung schreibgeschützt by default, scoped API-Tokens

Wenn Ihre Compliance es verlangt, betreiben Sie DataLion On-Premise in Ihrer eigenen Infrastruktur – als Docker-basierte Installation mit Lizenzschlüssel – oder als dedizierte Instanz auf eigener Hardware in Deutschland. Sie behalten die volle Kontrolle über Standort, Betrieb und Datenflüsse.

Hinter all dem steht ein deutsches Unternehmen: Made in Munich, mit deutschsprachigem Support und Ansprechpartnern, die die Anforderungen europäischer Marktforschung kennen.

• On-Premise als Docker-basierte Installation
• Dediziertes Hosting auf eigener Instanz
• Made in Munich, deutschsprachiger Support