Sicherheit und Datenschutz

deine Weingutsdaten gehören dir: verschlüsselt, gesichert, offen dokumentiert

Speicherung in einem Land mit EU-Angemessenheitsbeschluss, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, öffentliche Liste der Unterauftragsverarbeiter sowie Datenexport und Kontolöschung in den Einstellungen.

Wenn ein Winzer uns seine Daten anvertraut, übernimmt er gegenüber seinem Steuerberater, seinem Genossenschaftsverband und der Bundesanstalt für Landwirtschaft und Ernährung weiterhin die volle Verantwortung. Unsere Aufgabe ist es, ihm diese Verantwortung nicht zu erschweren, sondern sie technisch abzusichern.

Sechs Säulen

Sicherheit, die in der Architektur verankert ist

Datenschutz nach DSGVO: was Cepaos als Auftragsverarbeiter tut

Cepaos wurde von Grund auf so konzipiert, dass die Grundsätze der Datenschutz-Grundverordnung, Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, in der Architektur verankert sind.

Datenexport (Art. 20 DSGVO) und Kontolöschung (Art. 17 DSGVO) in den Einstellungen
Meldung von Datenschutzverletzungen an den Kunden innerhalb von 72 Stunden (AVV Ziffer 10)
Recht auf Auskunft, Berichtigung und Löschung über die Benutzerverwaltung
Standardvertragsklauseln (SCC) für nicht-EU-Subunternehmer

Hosting mit EU-Angemessenheitsbeschluss

Die Daten unserer Kunden liegen verschlüsselt in einem Rechenzentrum in São Paulo (Brasilien). Die EU-Kommission hat Brasilien ein angemessenes Datenschutzniveau bescheinigt (Durchführungsbeschluss (EU) 2026/179); mit allen US-Anbietern gelten zusätzlich Standardvertragsklauseln.

Primärspeicher in São Paulo (Supabase / AWS sa-east-1)
Tägliche verschlüsselte Backups in derselben Region
CDN und DDoS-Schutz über Cloudflare (TLS, HSTS)
Standardvertragsklauseln 2021/914 mit allen US-Subunternehmern

Auftragsverarbeitungsvertrag (AVV)

Mit jedem Geschäftskunden schließen wir vor der ersten Datenverarbeitung einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ab: Er ist Bestandteil der Nutzungsbedingungen und wird mit ihnen angenommen.

AVV öffentlich einsehbar unter /legal/dpa
Liste aller Subunternehmer mit Standort und Verarbeitungszweck
Technische und organisatorische Maßnahmen (TOM) als Anhang
Gegengezeichnetes Exemplar auf Anfrage (legal@cepaos.com)

Identitäts- und Zugriffsverwaltung

Jeder Zugriff auf deine Daten wird protokolliert und kann nachvollzogen werden. Mehrfaktor-Authentifizierung ist für alle Benutzer kostenlos.

Mehrfaktor-Authentifizierung (TOTP, WebAuthn) für alle Pläne
Rollenbasierte Zugriffskontrolle (RBAC) mit feingranularen Berechtigungen
Vollständige Prüfprotokolle aller administrativen Aktionen

Verschlüsselung in Übertragung und Ruhe

Deine Daten werden in der gesamten Verarbeitungskette verschlüsselt, vom Endgerät bis zum Festplattenträger im Rechenzentrum.

TLS für alle externen Verbindungen, HSTS aktiviert
AES-256-Verschlüsselung der Datenbank im Ruhezustand
Verschlüsselte tägliche Sicherungen
Geheimnisse ausschließlich als Umgebungsvariablen, niemals im Quellcode

Überwachung und Vorfallerkennung

Sentry meldet Fehler und Sicherheitsausnahmen in Echtzeit, Upstash begrenzt die Anfragerate. Sicherheitsvorfälle melden wir nach den Fristen unseres Auftragsverarbeitungsvertrags.

Rate-Limiting auf allen API-Endpunkten
Sofortige Sentry-Warnung bei Sicherheitsausnahmen

Zertifizierungen und Nachweise

Was zertifiziert ist und was nicht

ISO 27001 / SOC 2: keine eigene Zertifizierung

Cepaos ist derzeit weder nach ISO 27001 noch nach SOC 2 zertifiziert. Wir sagen das offen, statt eine Zertifizierung anzudeuten, die es nicht gibt.

Zertifizierte Infrastruktur-Anbieter

Datenbank und Datei-Ablage laufen bei Supabase (SOC 2 Type II) auf AWS (ISO 27001). Alle Unterauftragsverarbeiter mit Standort stehen unter /legal/sub-processors.

Stripe: PCI-DSS Level 1

Wir verarbeiten keine Kartendaten direkt. Alle Zahlungsvorgänge werden über Stripe abgewickelt, das nach Payment Card Industry Data Security Standard Level 1 zertifiziert ist.

Datenresidenz

Wo deine Daten liegen: und wo sie nie liegen werden

Wir verstehen, dass deutsche Winzer und ihre Steuerberater besonders sensibel auf den Speicherort ihrer Geschäftsdaten reagieren. Aus diesem Grund veröffentlichen wir transparent jede Datenkategorie, ihren Speicherort, ihre Aufbewahrungsfrist und jeden Subunternehmer.

Primärspeicher

São Paulo (Brasilien), AWS Region sa-east-1, verwaltet durch Supabase. Brasilien hat einen EU-Angemessenheitsbeschluss (2026/179).

Backups

Tägliche verschlüsselte Backups durch Supabase in derselben Region.

E-Mail-Versand

Resend, USA, unter Standardvertragsklauseln. Keine Speicherung von E-Mail-Inhalten über 30 Tage hinaus.

Beobachtung

Sentry, USA, unter Standardvertragsklauseln. Standardmäßige PII-Filterung. Aufbewahrung 90 Tage.

AVV oder Sicherheitsaudit angefragt?

Sende uns deine Anforderungen oder deine Mustervorlage, wir antworten innerhalb von zwei Werktagen mit einem unterschriftsbereiten Dokument.

AVV anfordern