Sicherheit & Datenschutz

Kernkundendaten — Datenbank, Dateispeicher (Fotos), Auth-Daten und Application-Hosting — werden ausschließlich in der EU verarbeitet (AWS eu-central-1, Frankfurt am Main). Ergänzend nutzen wir spezialisierte Dienstleister mit Sitz in den USA: Stripe für die Zahlungsabwicklung (Kunden-E-Mail, Name, Rechnungsadresse, Zahlungsdaten), Resend für den Versand transaktionaler und Marketing-E-Mails (Empfänger-E-Mail-Adresse, Mail-Metadaten), Cloudflare für ein clientseitig verschlüsseltes Off-Site-Backup (Disaster Recovery) sowie GitHub für die technische Durchführung dieser Backups und unsere CI/CD-Automatisierung. Diese Datenübermittlungen sind durch den EU-US Data Privacy Framework-Angemessenheitsbeschluss vom 10. Juli 2023 gedeckt, ergänzend durch Standardvertragsklauseln; Vercel, Stripe, Resend und GitHub sind aktiv DPF-zertifiziert. Sentry-Fehlerprotokolle werden im EU-Rechenzentrum (de.sentry.io) verarbeitet; da der Anbieter seinen Sitz in den USA hat und sein Auftragsverarbeitungsvertrag einen Zugriff von dort (etwa für Support) nicht ausschließt, ist auch diese Verarbeitung über das EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln abgesichert. Eine vollständige Sub-Processor-Übersicht mit Zweck, Standort und Transferschutz steht in der Datenschutzerklärung (/datenschutz) und im Auftragsverarbeitungsvertrag (/avv).

Ja. Wir schließen mit jedem Kunden einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab — dieser gilt ab der ersten Nutzung und damit auch im kostenlosen Free-Zugang. Der Vertragstext steht öffentlich unter /avv und enthält Technische und Organisatorische Maßnahmen (TOMs), die vollständige Sub-Processor-Liste und die Breach-Notification-Pflicht. Der AVV ist vor Vertragsschluss einsehbar — keine versteckten Klauseln.

Nach Kündigung bleiben die Daten 30 Tage zum Export verfügbar (CSV/Excel + ZIP der Fotos). Danach werden sie unwiderruflich aus Datenbank, Storage und Backups gelöscht. Auf Wunsch verkürzen wir die 30-Tage-Frist auf Antrag oder verlängern sie für Migrations-Projekte. Datenminimierung ist automatisiert — kein manueller Antragsweg.

Auf Anwendungsebene nur die Nutzer derselben Organisation, Rollen-gefiltert: Manager sehen Teamdaten, Außendienstler nur eigene Kunden + Berichte. Auf Datenbankebene wird das durch Row Level Security (RLS) erzwungen — auch ein gehackter Nutzer kann nicht auf andere Orgs zugreifen. Auf Anbieterseite erfolgt produktiver Datenbankzugriff ausschließlich durch den Anbieter selbst — und nur für Support-Anfragen mit explizitem Kunden-Auftrag; Support-Sitzungen in der Anwendung werden protokolliert.

GPS-Standorterfassung ist optional und in der Org-Konfiguration deaktivierbar. Sie wird nur einmalig beim Besuchsstart erfasst, nicht im Hintergrund. Für die Einführung stellen wir eine DSFA-Vorlage (Datenschutz-Folgenabschätzung nach Art. 35 DSGVO) bereit — direkt nutzbar für Betriebsrat oder Datenschutzbeauftragten. Wer GPS abschaltet, verliert nur die automatische Adress-Validierung — alle anderen Funktionen bleiben verfügbar.

Im Ernstfall greift unsere Breach-Response-Prozedur: (1) interne Eskalation und Forensik innerhalb von 24 Stunden, (2) Benachrichtigung betroffener Kunden mit konkreten Auswirkungen + Empfehlungen innerhalb der gesetzlichen 72-Stunden-Frist nach DSGVO Art. 33/34, (3) Meldung an die zuständige Aufsichtsbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen — LDI NRW). Die Meldepflicht ist in unserem AVV verbindlich vereinbart.

Alle Verbindungen laufen über TLS 1.2 oder höher (HTTPS, HSTS aktiviert). Die Datenbank-Inhalte sind at rest mit AES-256 verschlüsselt. Passwörter werden niemals im Klartext gespeichert, sondern mit bcrypt (Cost Factor 10) gehasht. Service-Tokens und Webhook-Secrets liegen in einer Vercel-Encrypted-Env-Variable, nicht im Code-Repository.

Aktuell nicht direkt. Unsere Infrastruktur-Partner sind zertifiziert: Supabase (SOC 2 Type II via AWS), Vercel (SOC 2 Type 2 + EU-US Data Privacy Framework + ISO 27001:2022), Stripe (PCI DSS Level 1). Eine eigene Zertifizierung lohnt sich für unser aktuelles Volumen nicht — wir setzen auf die Audit-Ergebnisse der Partner sowie auf einen mehrstufigen, intern dokumentierten Security-Review-Prozess für Code-Änderungen. Bei Bedarf kann ein eigenes Pentest-Audit beauftragt werden.