Doqubox
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän Dieser Eintrag In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
Aer Software Solutions B.V.
Niederländisches Werkzeug für den Dokumentenaustausch mit Mandanten (Aer Software Solutions B.V.): vertrauliche Dateien anfordern, empfangen und versenden, mit Verschlüsselung im Browser und 7 Tagen Standardaufbewahrung, gehostet bei Hetzner in Nürnberg. Kein allgemeiner Cloud-Speicher.
Doqubox ist ein EU-eigener Dienst mit Hosting in Deutschland und ohne erkennbares CLOUD-Act-Risiko. Gelistet unter Dateifreigabe.
Bewertungsnotizen
Doqubox is a client-document exchange service run by Aer Software Solutions B.V. (KvK 27332530, registered 2009, business address Koepelplein 1E, Haarlem), Dutch and privately held. The application, database, object storage, backups and outbound mail all run on Hetzner Online GmbH in Nuremberg, Germany (confirmed from the server's IP range and the object-storage endpoint), with no CDN or US proxy in front. The other named providers are Dutch (Bird B.V. for SMS verification codes, Mollie B.V. for Doqubox's own billing); the one US-parented name, Google Ireland, covers consent-gated analytics on the public website only and never sees customer documents. The DPA, sub-processor list, retention policy and security page are all public without a login, and the DPA gives customers 14 days' email notice of sub-processor changes with a right to object. EU-owned, EU-hosted, no CLOUD Act exposure, so 5/5 under the rubric. The vendor holds no certification of its own and says so; Hetzner's ISO 27001 and BSI C5 attestation cover the infrastructure only. Files and their metadata, including filenames and file types, are end-to-end encrypted in the browser; account, verification, billing and log data are outside that encryption.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines Dieser Eintrag EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum Dieser Eintrag In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- 4 · 1 US
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Ja
-
Öffentlicher AVV: Ja
-
Unterauftragsverarbeiter offengelegt: Ja
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Nein
Springen zu
Über Doqubox
Doqubox ist enger gefasst als die Cloud-Laufwerke dieser Kategorie. Es erledigt eine Aufgabe: vertrauliche Dokumente von und zu externen Mandanten zu bringen, ohne E-Mail-Anhänge. Anbieter ist Aer Software Solutions B.V., ein niederländisches Softwareunternehmen (KvK 27332530, eingetragen im März 2009, Satzungssitz Amsterdam, Geschäftsadresse in Haarlem). Es gibt drei Abläufe. Eine feste Upload-Adresse lässt sich auf der Website oder in der E-Mail-Signatur einbinden; eine Dokumentenanfrage schickt einem Mandanten eine Checkliste der benötigten Unterlagen; und der sichere Versand stellt Dateien über einen ablaufenden, widerrufbaren Link zu, auf Wunsch mit SMS-Bestätigung des Empfängers. Mandanten brauchen kein Konto, ein Link im Browser genügt. Kontoinhaber melden sich mit Passkeys an. Dokumente sollen durchlaufen, nicht liegen bleiben: Eingehende Uploads und ausgehende Sendungen laufen nach einer begrenzten, festen Frist ab, die in den Kontoeinstellungen steht, standardmäßig sieben Tage, und die Speicherkontingente sind darauf ausgelegt. Wer ein gemeinsames Laufwerk, Sync-Clients oder Versionsverlauf braucht, ist bei den allgemeinen Speicherdiensten besser aufgehoben.
Rechtlich ist der Aufbau einfach und überprüfbar. Anwendung, Datenbank, Objektspeicher, Backups und ausgehende E-Mails laufen bei Hetzner Online GmbH in Nürnberg; der Server antwortet aus Hetzners Nürnberger Cloud-Netz, und die Content-Security-Policy der App verweist Uploads auf Hetzners Nürnberger Objektspeicher, ohne CDN oder US-Proxy dazwischen. Die veröffentlichte Liste nennt zusätzlich Bird B.V. (Niederlande) als Unterauftragsverarbeiter für SMS-Codes; Mollie B.V. (Niederlande, Zahlungen) und Google Ireland (Website-Analysen, die nur nach Einwilligung und nur auf den öffentlichen Marketingseiten laden) führt sie als Dienstleister für Doqubox' eigene Abrechnung und Website, außerhalb des AVV. Änderungen bei Unterauftragsverarbeitern werden 14 Tage vorher per E-Mail angekündigt, mit Widerspruchsrecht. AVV, Unterauftragsverarbeiter, Aufbewahrungsregeln und Sicherheitsseite sind öffentlich einsehbar. Dateien und ihre Metadaten, auch die ursprünglichen Dateinamen und Dateitypen, werden im Browser des Absenders verschlüsselt und erst im Browser des Empfängers entschlüsselt, bei Uploads, Dokumentenanfragen und ausgehenden Sendungen; die Plattform speichert also Chiffretext unter zufälligen Objektnamen. Der App-Code nutzt die Kryptografie des Browsers (AES-GCM mit ECDH-Schlüsselvereinbarung). Konto-, Verifizierungs-, Abrechnungs- und Protokolldaten sowie die Zustelldaten für E-Mail und SMS liegen außerhalb dieser Verschlüsselung, wie Sicherheitsseite und Datenschutzerklärung beide sagen. Eine eigene Zertifizierung hat Doqubox nicht und sagt das auch offen; Hetzners ISO-27001-Zertifikat und C5-Testat gelten für die Infrastruktur, nicht für den Anbieter.
Die Preise sind veröffentlicht und monatlich kündbar. Essential ist für einen Nutzer kostenlos, mit sicherem Upload-Portal, 100 MB Speicher und 500 MB Transfer pro Monat. Professional kostet 4,95 EUR im Monat und ergänzt Dokumentenanfragen, sicheren Versand und eigenes Logo (300 MB Speicher, 1 GB Transfer). Business kostet 16,95 EUR im Monat für fünf Nutzer, mit SMS-Bestätigung, eigener Domain und Absenderadresse (1 GB Speicher, 3 GB Transfer, 10 SMS); weitere Nutzer kosten 3,95 EUR, zusätzlicher Transfer 1 EUR pro GB. Geeignet für Steuerberatungen, Finanzberater, Makler und Praxen, die einen eigenen, in der EU gehosteten Weg für Mandantenunterlagen suchen.
Unterauftragsverarbeiter-Karte · 4
-
Google Ireland Limited USIrland
Ancillary, not a sub-processor under the DPA: Doqubox's own public-website analytics, loaded only after consent; no customer documents or exchange metadata (EU subsidiary of US-headquartered Alphabet).
-
Bird B.V. EUNiederlande
SMS one-time codes for recipient verification (phone numbers and SMS metadata only). Engaged when a sender enables SMS verification (Business plan). The vendor says processing may occur outside the EEA under transfer safeguards.
-
Hetzner Online GmbH EUDeutschland
Application hosting, databases, object storage, backups and outbound email. Holds the end-to-end encrypted files and their metadata, plus account data, exchange records, logs and email delivery metadata; document storage in Nuremberg. Always engaged.
-
Mollie B.V. EUNiederlande
Not a sub-processor under the DPA: Doqubox's own billing, payments, mandates and invoices (payment identifiers and billing details only, no document content).
| Anbieter | Land | Zweck | Eigentümer |
|---|---|---|---|
| Google Ireland Limited | Irland | Ancillary, not a sub-processor under the DPA: Doqubox's own public-website analytics, loaded only after consent; no customer documents or exchange metadata (EU subsidiary of US-headquartered Alphabet). | US |
| Bird B.V. | Niederlande | SMS one-time codes for recipient verification (phone numbers and SMS metadata only). Engaged when a sender enables SMS verification (Business plan). The vendor says processing may occur outside the EEA under transfer safeguards. | EU |
| Hetzner Online GmbH | Deutschland | Application hosting, databases, object storage, backups and outbound email. Holds the end-to-end encrypted files and their metadata, plus account data, exchange records, logs and email delivery metadata; document storage in Nuremberg. Always engaged. | EU |
| Mollie B.V. | Niederlande | Not a sub-processor under the DPA: Doqubox's own billing, payments, mandates and invoices (payment identifiers and billing details only, no document content). | EU |
Quelle: veröffentlichte Unterauftragsverarbeiter-Liste des Anbieters, gelesen am 7 Okt 2026.
Rahmenwerke & Zertifizierungen · keine gelistet
Gehalten vom Betreiber des Hostings, nicht von Doqubox selbst.
Funktionsmatrix
Tabelle 2Funktionen von Doqubox
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
Alternativen in dieser Kategorie
-
Schweiz · 4 €/Mt.EU-ansässigCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Dieser Eintrag Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
-
Schweiz · 10 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
-
Schweiz · 4 €/Mt.EU-souveränCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines Dieser Eintrag EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
Proton Drive
Schweiz
|
EU-ansässig | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
4 €/Mt. |
Tresorit
Schweiz
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
10 €/Mt. |
kDrive (Infomaniak)
Schweiz
|
EU-souverän | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Nein
Open Source: Nein
|
4 €/Mt. |