Sicherheit und Datenschutz

deine Weingutsdaten gehören dir: verschlüsselt, gesichert, offen dokumentiert

Zuständige Aufsicht: österreichische Datenschutzbehörde (DSB Wien). Speicherung in einem Land mit EU-Angemessenheitsbeschluss, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, öffentliche Liste der Unterauftragsverarbeiter sowie Datenexport und Kontolöschung in den Einstellungen.

Wenn ein österreichischer Winzer uns seine Daten anvertraut, übernimmt er gegenüber seinem Steuerberater, der Agrarmarkt Austria (AMA), der Wirtschaftskammer und dem Bundesamt für Weinbau weiterhin die volle Verantwortung. Unsere Aufgabe ist es, ihm diese Verantwortung nicht zu erschweren, sondern sie technisch abzusichern.

Sechs Säulen

Sicherheit, die in der Architektur verankert ist

DSGVO und österreichisches DSG

Cepaos wurde von Grund auf so konzipiert, dass die Grundsätze der Datenschutz-Grundverordnung, Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, sowie die Bestimmungen des österreichischen Datenschutzgesetzes (DSG, BGBl. I Nr. 165/1999 idgF) in der Architektur verankert sind.

Datenexport (Art. 20 DSGVO) und Kontolöschung (Art. 17 DSGVO) in den Einstellungen
Meldung von Datenschutzverletzungen an den Kunden innerhalb von 72 Stunden (AVV Ziffer 10)
Recht auf Auskunft, Berichtigung und Löschung über die Anwenderverwaltung
Standardvertragsklauseln (SCC) für nicht-EU-Subunternehmer

Hosting mit EU-Angemessenheitsbeschluss

Die Daten unserer Kunden liegen verschlüsselt in einem Rechenzentrum in São Paulo (Brasilien). Die EU-Kommission hat Brasilien ein angemessenes Datenschutzniveau bescheinigt (Durchführungsbeschluss (EU) 2026/179); mit allen US-Anbietern gelten zusätzlich Standardvertragsklauseln.

Primärspeicher in São Paulo (Supabase / AWS sa-east-1)
Tägliche verschlüsselte Backups in derselben Region
CDN und DDoS-Schutz über Cloudflare (TLS, HSTS)
Standardvertragsklauseln 2021/914 mit allen US-Subunternehmern

Auftragsverarbeitungsvertrag (AVV)

Mit jedem österreichischen Geschäftskunden schließen wir vor der ersten Datenverarbeitung einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ab: Er ist Bestandteil der Nutzungsbedingungen und wird mit ihnen angenommen.

AVV öffentlich einsehbar unter /legal/dpa
Liste aller Subunternehmer mit Standort und Verarbeitungszweck
Technische und organisatorische Maßnahmen (TOM) als Anhang
Gegengezeichnetes Exemplar auf Anfrage (legal@cepaos.com)

Identitäts- und Zugriffsverwaltung

Jeder Zugriff auf deine Daten wird protokolliert und kann nachvollzogen werden. Mehrfaktor-Authentifizierung ist für alle Anwender kostenlos.

Mehrfaktor-Authentifizierung (TOTP, WebAuthn) für alle Pläne
Rollenbasierte Zugriffskontrolle (RBAC) mit feingranularen Berechtigungen
Vollständige Prüfprotokolle aller administrativen Aktionen

Verschlüsselung in Übertragung und Ruhe

Deine Daten werden in der gesamten Verarbeitungskette verschlüsselt, vom Endgerät bis zum Festplattenträger im Rechenzentrum.

TLS für alle externen Verbindungen, HSTS aktiviert
AES-256-Verschlüsselung der Datenbank im Ruhezustand
Verschlüsselte tägliche Sicherungen
Geheimnisse ausschließlich als Umgebungsvariablen, niemals im Quellcode

Überwachung und Vorfallerkennung

Sentry meldet Fehler und Sicherheitsausnahmen in Echtzeit, Upstash begrenzt die Anfragerate. Sicherheitsvorfälle melden wir nach den Fristen unseres Auftragsverarbeitungsvertrags.

Rate-Limiting auf allen API-Endpunkten
Sofortige Sentry-Warnung bei Sicherheitsausnahmen

Zertifizierungen und Nachweise

Was zertifiziert ist und was nicht

ISO 27001 / SOC 2: keine eigene Zertifizierung

Cepaos ist derzeit weder nach ISO 27001 noch nach SOC 2 zertifiziert. Wir sagen das offen, statt eine Zertifizierung anzudeuten, die es nicht gibt.

Zertifizierte Infrastruktur-Anbieter

Datenbank und Datei-Ablage laufen bei Supabase (SOC 2 Type II) auf AWS (ISO 27001). Alle Unterauftragsverarbeiter mit Standort stehen unter /legal/sub-processors.

Stripe: PCI-DSS Level 1

Wir verarbeiten keine Kartendaten direkt. Alle Zahlungsvorgänge werden über Stripe abgewickelt, das nach Payment Card Industry Data Security Standard Level 1 zertifiziert ist, die höchste verfügbare Stufe.

Datenresidenz

Wo deine Daten liegen: und wo sie nie liegen werden

Wir verstehen, dass österreichische Winzer und ihre Steuerberater besonders sensibel auf den Speicherort ihrer Geschäftsdaten reagieren , insbesondere bei Daten, die in einer Vor-Ort-Kontrolle der Bundeskellereiinspektion oder einer Außenprüfung des Finanzamts vorzulegen sind. Aus diesem Grund veröffentlichen wir transparent jede Datenkategorie, ihren Speicherort, ihre Aufbewahrungsfrist und jeden Subunternehmer.

Primärspeicher

São Paulo (Brasilien), AWS Region sa-east-1, verwaltet durch Supabase. Brasilien hat einen EU-Angemessenheitsbeschluss (2026/179).

Backups

Tägliche verschlüsselte Backups durch Supabase in derselben Region.

E-Mail-Versand

Resend, USA, unter Standardvertragsklauseln. Keine Speicherung von E-Mail-Inhalten über 30 Tage hinaus.

Beobachtung

Sentry, USA, unter Standardvertragsklauseln. Standardmäßige PII-Filterung. Aufbewahrung 90 Tage.

Aufsichtsbehörde

Datenschutzbehörde Wien als zuständige Aufsicht

Da du als österreichisches Weingut Cepaos nutzen, ist die österreichische Datenschutzbehörde (DSB) mit Sitz in Wien (Barichgasse 40-42, 1030 Wien) die für du zuständige Aufsichtsbehörde gemäß § 18 DSG, und nicht etwa die deutschen Landesdatenschutzbeauftragten.

Im Fall einer Datenpanne gemäß Art. 33 DSGVO unterstützen wir du bei der Meldung an die DSB Wien innerhalb der 72-Stunden-Frist. Den Online-Meldungsdienst der DSB finden du auf www.dsb.gv.at.

Einen Datenschutzbeauftragten hat Cepaos nicht benannt (nach Art. 37 DSGVO für Cepaos nicht verpflichtend). Datenschutzanfragen beantworten wir per E-Mail an privacy@cepaos.com.

AVV oder Sicherheitsaudit angefragt?

Sende uns deine Anforderungen oder deine Mustervorlage, wir antworten innerhalb von zwei Werktagen mit einem unterschriftsbereiten Dokument im A-Trust-eIDAS-Format.

AVV anfordern