Art. 15
Recht auf Auskunft
Du erhältst jederzeit eine vollständige Übersicht aller über dein Weingut gespeicherten Daten, über die Benutzerverwaltung selbstbedient.
UI-Pfad: Einstellungen → Datenschutz → Datenauskunft
Datenschutz und Hosting
Datenverarbeitung nach DSGVO, offen dokumentiert
Cepaos ist eine US-LLC. Deine Daten liegen verschlüsselt in São Paulo (Brasilien), einem Land mit EU-Angemessenheitsbeschluss, abgesichert durch SCC 2021/914 Modul 2 und einen AVV nach Art. 28 DSGVO. Jeder Standort und jeder Unterauftragsverarbeiter ist hier offengelegt.
Production-Ready seit DE 100% Native Sprint 2026-06-03
Abschnitt 1
Hosting-Architektur
Jede Komponente unserer Plattform ist nach Anbieter, Standort und Zertifizierung dokumentiert. du kannst diese Tabelle deinem Datenschutzbeauftragten oder Steuerberater zur Prüfung vorlegen.
| Komponente | Anbieter | Standort | Zertifizierung |
|---|---|---|---|
| Application | Railway | USA (us-west2) | TLS-verschlüsselt, SCC 2021/914 |
| Datenbank | Supabase | Brasilien (São Paulo, AWS sa-east-1) | SOC 2 Type II, AES-256 im Ruhezustand |
| Datei-Storage | Supabase Storage | Brasilien (São Paulo) | private buckets + Row-Level-Security |
| Resend | USA | SOC 2 Type II | |
| Fehler-Monitoring | Sentry | USA | SOC 2 Type II, ISO 27001 |
| Analytics | PostHog | EU (Frankfurt) | DSGVO-Standardconfig |
| Cache, Rate-Limiting | Upstash | EU (Frankfurt) | TLS-verschlüsselt |
| CDN, DNS | Cloudflare | Globales Edge-Netz (Anycast) | TLS, HSTS |
Wo deine Daten liegen
Datenbank, Datei-Ablage und Backups laufen bei Supabase in São Paulo (Brasilien, AWS sa-east-1). Für Brasilien gilt seit dem 28.01.2026 ein Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2026/179). Weil Supabase und AWS US-Unternehmen sind, gelten zusätzlich die Standardvertragsklauseln 2021/914. Die Anwendungsserver (Railway) stehen in den USA, ebenfalls unter SCC. Die vollständige, stets aktuelle Liste findest du unter Unterauftragsverarbeiter.
Abschnitt 2
Schrems-II: wie wir es lösen
Das EuGH-Urteil Schrems II (C-311/18) hat den Privacy Shield gekippt und Datenübermittlungen in die USA mit strengen Auflagen versehen. Die Europäische Kommission hat 2021 neue Standardvertragsklauseln (Implementing Decision (EU) 2021/914) erlassen, die seither die Rechtsgrundlage für Drittlandübermittlungen darstellen.
Unsere Lösung
- Angemessenheitsbeschluss für Brasilien (Durchführungsbeschluss (EU) 2026/179) für den Standort der Datenbank in São Paulo.
- SCC 2021/914 Modul 2 (Controller-to-Processor) mit allen US-Sub-Processors, also Supabase, AWS, Railway, Resend, Sentry und Stripe.
- Cepaos LLC unterzeichnet DPA (Datenverarbeitungsvereinbarung) gemäß Art. 28 DSGVO mit jedem Geschäftskunden, standardmäßig bei Anmeldung, ohne Aufpreis.
- Transfer Impact Assessment (TIA) dokumentiert für jeden US-bezogenen Sub-Processor, auf Anfrage verfügbar.
- Zusätzliche technische Maßnahmen gem. EDSA-Empfehlungen 01/2020: TLS-Verschlüsselung bei der Übertragung, AES-256 im Ruhezustand, mandantengetrennte Datenhaltung per Row-Level-Security und Zugriff nur nach dem Need-to-know-Prinzip.
Ehrliche Einschätzung: Cepaos LLC ist nach US-Recht inkorporiert (Wyoming). Der US-CLOUD Act erlaubt theoretisch Zugriff auf Daten unter Kontrolle von US-Unternehmen. Wir begegnen dem durch (a) Speicherung in einem Land mit EU-Angemessenheitsbeschluss, (b) Verschlüsselung bei Übertragung und im Ruhezustand, (c) SCC + TIA und (d) die Verpflichtung, jeden Behördenzugriff sofort an den Datenschutzbeauftragten zu melden. Wer absolute Schrems-II-Compliance braucht, sollte einen DE-inkorporierten Anbieter wählen.
Subprocessor-Liste
Wer deine Daten anfasst: vollständig dokumentiert
Jeder Subprocessor ist mit Zweck, Standort und SCC-Status dokumentiert. Änderungen werden 30 Tage im Voraus per E-Mail angekündigt, du hast das Recht zum Sonderkündigung.
| Anbieter | Zweck | Standort | SCC nötig |
|---|---|---|---|
| Supabase | Datenbank, Auth, Storage | Brasilien (São Paulo, sa-east-1), EU-Angemessenheit | Ja (Modul 2) |
| Railway | Application Hosting | USA (us-west2) | Ja (Modul 2) |
| Resend | Transaktions-E-Mail | USA | Ja (Modul 2) |
| Sentry | Fehler-Tracking | USA | Ja (Modul 2) |
| PostHog | Produkt-Analytics | EU (Frankfurt) | Nein (EU-Standort) |
| Upstash | Rate-Limiting, Cache | EU (Frankfurt) | Nein (EU-Standort) |
| Stripe | Zahlungen (nur außerhalb EU) | Irland (EU) + US | Ja (Modul 2) |
| dLocal Go | Zahlungen LATAM (für DE-Kunden nicht relevant) | Uruguay, Argentinien | Ja (Modul 2) |
Abschnitt 3
DSGVO-Rechte für dein Weingut
Alle Betroffenenrechte nach DSGVO sind in der Cepaos-UI selbstbedient verfügbar, kein Ticket, kein Wartetag. Beschwerden können du jederzeit an den BfDI (Bundesbeauftragter für den Datenschutz) oder die zuständige Landesdatenschutzbehörde richten.
Art. 16
Recht auf Berichtigung
Unrichtige oder unvollständige Daten korrigieren du direkt in der UI. Änderungen werden im Audit-Log nachvollziehbar protokolliert.
UI-Pfad: Stammdaten → bearbeiten
Art. 17
Recht auf Löschung
Bei Kündigung beginnt automatisch eine 90-Tage-Lösch-Frist. Danach werden alle personenbezogenen Daten vollständig gelöscht (außer gesetzlich aufbewahrungspflichtige Daten gem. § 147 AO).
UI-Pfad: Einstellungen → Abonnement → Konto löschen
Art. 20
Recht auf Datenübertragbarkeit
Vollständiger Export deiner Daten in CSV, Excel oder als Prisma-Datenbank-Backup. Du behältst deine Daten, auch nach Vertragsende.
UI-Pfad: Einstellungen → Datenschutz → Export
Art. 21
Widerspruchsrecht
Widerspruch gegen die Verarbeitung zu Direktwerbung oder Profiling jederzeit über die UI oder per E-Mail an privacy@cepaos.com.
UI-Pfad: Einstellungen → Datenschutz → Widerspruch
Beschwerderecht (Art. 77): du kannst sich jederzeit beim BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Graurheindorfer Str. 153, 53117 Bonn) oder bei der zuständigen Landesdatenschutzbehörde deines Sitzes beschweren.
Abschnitt 4
Ansprechpartner für Datenschutz
Datenschutz-Kontakt
Anfragen von Betroffenen und Aufsichtsbehörden beantworten wir direkt. Einen Datenschutzbeauftragten hat Cepaos nicht benannt (nach Art. 37 DSGVO nicht verpflichtend); ein EU-Vertreter nach Art. 27 DSGVO ist derzeit nicht benannt.
Kontakt
Antwortzeit
Garantiert < 72 Stunden gemäß DPA
Abschnitt 5
Audit und Zertifizierungen
Wir sind ehrlich über den aktuellen Stand unserer Zertifizierungen. Formale Audits von Cepaos selbst gibt es noch keine. Hier steht, was heute gilt.
ISO 27001: nicht zertifiziert
Cepaos hat derzeit keine ISO-27001-Zertifizierung. Datenbank und Datei-Ablage laufen bei Supabase auf AWS, die ihrerseits nach SOC 2 Type II bzw. ISO 27001 zertifiziert sind.
SOC 2 Type II: kein Bericht
Einen SOC-2-Bericht für Cepaos gibt es derzeit nicht. Sobald ein Audit läuft, nennen wir es hier mit Datum.
Automatisierte Sicherheitstests
Tests zur Mandantentrennung und Zugriffskontrolle sind Teil unserer Testsuite. Einen Bericht eines externen Penetrationstests können wir derzeit nicht vorlegen.
Schwachstellen melden
Sicherheitslücken bitte an hello@cepaos.com. Ein Bug-Bounty-Programm mit Prämien gibt es derzeit nicht.
AVV-Vorlage, TIA oder Datenschutz-Fragebogen anfragen?
Schreib uns an privacy@cepaos.com, wir antworten innerhalb von 72 Stunden mit den angeforderten Dokumenten zur Vorlage bei deinem Datenschutzbeauftragten oder Steuerberater.