Sicherheit & Datenschutz

Diese Seite ist die verständliche Zusammenfassung, wie Zenovay mit Ihren Daten umgeht. Sie ist eher ehrlich als beruhigend gemeint: Wir listen auf, was wir tun, was wir nicht tun und welche Dinge wir bislang nicht beanspruchen dürfen.

Sollte irgendetwas auf dieser Seite unserer Datenschutzerklärung, dem AVV oder der Liste der Unterauftragsverarbeiter widersprechen, gilt das rechtlich verbindliche Dokument. Eine Abweichung zwischen dieser Seite und jenen Dokumenten betrachten wir als Fehler - bitte melden Sie sie uns.

Wo Ihre Daten liegen

Seit dem 28. Oktober 2026 wird die primäre Datenbank von Zenovay, die Kontodaten und Authentifizierungsdaten enthält, bei Oracle Cloud Infrastructure in der Schweiz gehostet, in der Region eu-zurich-1 (Zürich), wo wir die Open-Source-Software von Supabase (PostgreSQL, Authentifizierung) selbst betreiben; ihre Sicherungen liegen in derselben Region, und seit dem 31. Oktober 2026 wird zusätzlich eine verschlüsselte Kopie der nächtlichen Sicherungen der primären Datenbank und der Analytik-Datenbank bei Backblaze in der Europäischen Union (eu-central, Amsterdam, Niederlande) gespeichert. Die Besucheranalytik liegt seit dem 23. Oktober 2026 in einer separaten Analytik-Datenbank in derselben Oracle-Region. Seit dem 29. Oktober 2026 werden Dateien (hochgeladene Bilder und Anhänge, Session Replays und Heatmap-Screenshots) bei Backblaze B2 in der Europäischen Union (eu-central, Amsterdam, Niederlande) gespeichert. Die Schweiz gehört nicht zur Europäischen Union; die Europäische Kommission erkennt ihr ein angemessenes Datenschutzniveau zu. Die schreibgeschützte Rückfallkopie der früheren primären Datenbank, die während der Migration bei Supabase, Inc. in der Europäischen Union (Frankfurt) aufbewahrt wurde, ist gelöscht. Cloudflare Workers werden am Edge-Standort ausgeführt, der dem Besucher am nächsten liegt, und Cloudflare KV und Durable Objects laufen im globalen Netzwerk von Cloudflare, sodass die von diesen Diensten verarbeiteten Daten nicht auf die Schweiz oder die EU beschränkt sind. Die Konfiguration der Datenresidenz kann sich mit unserer Infrastruktur ändern; wir werden diese Angabe aktualisieren, sobald wesentliche Änderungen eintreten.

Die meisten der auf der Seite zu den Unterauftragsverarbeitern aufgeführten Unterauftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten, darunter Cloudflare, Stripe, Resend und OpenAI, ebenso die optionalen OAuth-Anmeldeanbieter. Unser Application-Error-Monitoring wird an die EU-Region von Sentry gesendet. Übermittlungen in die Vereinigten Staaten stützen sich auf das EU-US Data Privacy Framework, sofern der Empfänger darunter zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der Europäischen Kommission von 2021 zusammen mit technischen Massnahmen wie Verschlüsselung bei der Übertragung und Datenminimierung. Der für den jeweiligen Anbieter herangezogene Übermittlungsmechanismus ist auf der Seite zu den Unterauftragsverarbeitern angegeben. Vollständige Liste der Unterauftragsverarbeiter ansehen.

Was wir erfassen (und was nicht)

Wenn Sie eine Website zu Zenovay hinzufügen, ist der Cookieless-Modus die bereits für Sie ausgewählte Option, sodass eine neue Website cookielos startet, sofern Sie in diesem Moment nicht den cookiebasierten Modus wählen. Websites, die vor dieser Standardeinstellung erstellt wurden, behalten den Modus, in dem sie waren, und Sie können die Einstellung je Website jederzeit prüfen oder ändern. Im Cookieless-Modus schreibt der Tracker weder Cookies noch localStorage-Einträge auf das Gerät des Besuchers. Zenovay leitet die Besucher- und Sitzungs-Identifikatoren stattdessen serverseitig aus einem SHA-256-Hash des IP-Subnetzes des Besuchers (die ersten drei Blöcke einer IPv4-Adresse, die ersten drei Gruppen einer IPv6-Adresse), der User-Agent-Zeichenfolge des Browsers, der Website-ID und eines täglich wechselnden Salts ab. Da der Salt täglich wechselt, trägt der Identifikator nicht über UTC-Tage hinweg, und die Adresse selbst wird nicht daneben gespeichert.

Wählt ein Website-Betreiber den cookiebasierten Modus, setzt der Tracker First-Party-Cookies (zenovay_visitor_id, standardmässig 30 Tage, und zenovay_session_id, 30 Minuten nach der letzten Aktivität) und schreibt eine kleine Zahl von localStorage-Einträgen; die Cookie-Richtlinie führt jeden einzelnen davon auf. Wird eine Website später von cookielos auf Cookies umgestellt, entsteht eine tagesübergreifende Identität erst ab diesem Zeitpunkt, die Vergangenheit wird nicht rekonstruiert. Der Tracker von Zenovay erfasst von sich aus niemals Namen, E-Mail-Adressen, Zahlungsdaten oder genaue GPS-Koordinaten. Ein Website-Betreiber kann uns über die optionale Identify-Funktion Identifikatoren wie Name, E-Mail-Adresse oder Unternehmen übermitteln; tut er dies, ist er für diese Daten der Verantwortliche und für deren Rechtsgrundlage zuständig. Wir verkaufen keine personenbezogenen Informationen und geben sie nicht für kontextübergreifende verhaltensbezogene Werbung weiter. Wir berücksichtigen das Signal Global Privacy Control (GPC): Sendet ein Browser es, stoppt unser Tracker, bevor er etwas erfasst oder sendet.

Für die rechtsverbindlichen Details zu jeder Kategorie, jedem Zweck und jeder Rechtsgrundlage siehe Datenschutzerklärung.

Wie lange wir Daten aufbewahren

Rohe Analytics-Ereignisse werden nach Ablauf der im Plan des Kunden festgelegten Aufbewahrungsdauer gelöscht:

• Free: 1 Jahr (365 Tage)
• Pro: 2 Jahre (730 Tage)
• Scale: 4 Jahre (1.460 Tage)
• Enterprise: konfigurierbar, im Bestellformular festgelegt

Session-Replay-Aufzeichnungen und Heatmap-Daten sind Premium-Funktionen mit eigener, deutlich kürzerer Aufbewahrung: 60 Tage bei Pro, 120 Tage bei Scale und 180 Tage bei Enterprise. Sie werden unabhängig von der oben genannten Analyse-Aufbewahrungsfrist nach diesem Zeitplan gelöscht.

Konto-Audit-Logs (Benutzeraktionen, Abrechnungsereignisse, Einstellungsänderungen) werden 24 Monate aufbewahrt und täglich ab 03:00 UTC automatisch gelöscht. Sie enthalten keine Klartext-IP-Adresse, sondern ausschliesslich einen nicht umkehrbaren SHA-256-Hash. Davon getrennt führt unsere interne Betriebskonsole ein eigenes Protokoll darüber, was ein Zenovay-Administrator getan hat, und dieses Protokoll erfasst zur Sicherheitsrechenschaft die IP-Adresse des Administrators selbst.

Wie wir Daten schützen

• Jeder Endpunkt von Zenovay wird über HTTPS bereitgestellt, wobei TLS an der Cloudflare-Edge terminiert wird. Der Verkehr zwischen unseren Workers und der Datenbank ist bei der Übertragung verschlüsselt.
• Ruhende Daten werden von den Anbietern verschlüsselt, die sie speichern: Oracle Cloud Infrastructure für die primäre Datenbank, die Analytik-Datenbank und deren Sicherungen (mit von Oracle verwalteten Schlüsseln) und Backblaze für den Dateispeicher (mit von Backblaze verwalteten Schlüsseln). Die Verschlüsselung im Ruhezustand und die dahinterstehende Schlüsselverwaltung werden von diesen Anbietern und nicht von Zenovay betrieben, unter deren eigenen veröffentlichten Zertifizierungen, mit einer Ausnahme: Die zusätzliche Kopie der nächtlichen Datenbanksicherungen bei Backblaze wird von Zenovay vor dem Hochladen verschlüsselt, mit einem Schlüssel, den Zenovay offline aufbewahrt und den Backblaze nicht besitzt.
• In den Analysetabellen wird eine IP-Adresse ausschliesslich als nicht umkehrbarer SHA-256-Hash gespeichert, niemals im Klartext: Das Klartextfeld im Besucherdatensatz wird leer geschrieben, die Klartextspalte wurde am 26.04.2026 aus dem Konto-Audit-Log entfernt, und das Team-Audit-Log hasht sie beim Einfügen und leert das Feld. Das ist nicht die ganze Geschichte, deshalb hier der Rest. Um seine Aufgabe zu erfüllen, muss der Dienst die Adresse zunächst selbst sehen: Sie wird verwendet, um einen ungefähren Standort nachzuschlagen, Ratenbegrenzungen anzuwenden und Missbrauch zu erkennen und zu blockieren. Auf diesen Wegen wird die Adresse für eine kurze, begrenzte Zeit vorgehalten, zum Beispiel in einem Geolokalisierungs-Cache, der nach 24 Stunden abläuft, sowie in Datensätzen zur Missbrauchsprävention und zu IP-Sperren. Sie wird ausserdem an unsere Geolokalisierungsanbieter gesendet, und so werden Land und Stadt in Ihrem Dashboard ermittelt.
• Row Level Security ist für jede Tabelle in der Produktionsdatenbank aktiviert. Unsere API authentifiziert sich gegenüber der Datenbank mit einer Service-Rolle und erzwingt die Mandantenabgrenzung auf jedem Abfragepfad in der Anwendungsschicht, mit Row Level Security als zweiter Verteidigungslinie gegen direkten Client-Zugriff. Kunden haben keinen direkten Datenbankzugriff.
• Administrative und kontobezogene Handlungen werden in Audit-Logs geschrieben, die ausschliesslich Einfügungen zulassen. Für diese Tabellen existiert keine UPDATE- oder DELETE-Richtlinie, sodass ein authentifizierter Client die Historie nicht umschreiben kann; Einträge verschwinden nur über den geplanten Aufbewahrungsjob nach 24 Monaten. Audit-Schreibvorgänge sind bewusst nicht blockierend, sodass ein Protokollierungsfehler die Handlung selbst nie verhindert, was das Protokoll zu einem Nachweis der Rechenschaft macht und nicht zu einem garantiert vollständigen Transaktionsprotokoll.
• Gesperrte oder widerrufene Sitzungen werden über Cloudflare KV an die Edge propagiert, das letztlich konsistent ist und typischerweise innerhalb von etwa einer Minute jeden Standort erreicht; im Umlauf befindliche Refresh-Tokens werden serverseitig ungültig gemacht.

Ihre Rechte

Sie können jederzeit die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) wahrnehmen. Der kostenlose Export "Ihre Daten herunterladen" und der Ablauf "Konto löschen" befinden sich beide in Ihrem Profil. Der Export ist eine maschinenlesbare JSON-Datei, die Ihr Profil, Teams, Websites, Sicherheits- und Anmeldeverlauf, Support-Tickets, KI-Gespräche, Integrationen sowie die übrigen personenbezogenen Daten umfasst, die wir über Sie als Kontoinhaber führen.

Bewohner Kaliforniens haben CCPA/CPRA-Rechte auf Auskunft, Löschung, Berichtigung und auf Widerspruch gegen Verkauf oder Weitergabe. Wir respektieren das Global-Privacy-Control-Browsersignal automatisch - sendet Ihr Browser Sec-GPC: 1, behandeln wir dies ohne weitere Massnahmen als gültigen Widerspruch.

Für schriftliche Anfragen oder jurisdiktionsspezifische Rechte siehe Datenschutzerklärung.

Was wir nicht beanspruchen

Zenovay selbst ist derzeit nicht SOC-2-zertifiziert. Unsere Infrastrukturanbieter halten branchenübliche Zertifizierungen und Testate: Cloudflare (SOC 2 Typ II, ISO 27001, ISO 27018) und Oracle Cloud Infrastructure (SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018). Es sind die Zertifizierungen dieser Anbieter, nicht unsere. Wir aktualisieren diese Seite, sobald wir ein eigenes Audit erhalten.

Wir beanspruchen keine ISO-27001-, HIPAA- oder PCI-DSS-Zertifizierungen. Zahlungen wickeln wir über Stripe ab, das nach PCI DSS Level 1 zertifiziert ist; Zenovay verarbeitet niemals rohe Kartendaten. Automatisierte Sicherheitsscans sind so konfiguriert, dass sie wöchentlich gegen unsere Code-Repositories laufen und dabei Schwachstellen in Abhängigkeiten (npm audit), statische Analyse (Semgrep) und Secret Scanning (gitleaks) abdecken; dynamisches Anwendungsscanning und Lighthouse laufen nur bei den Diensten, für die ein Scan-Ziel konfiguriert ist. Wir verfolgen Sicherheitsupdates der von uns betriebenen Datenbanksoftware und spielen Aktualisierungen über ein getestetes Aktualisierungsverfahren ein. Wir haben keinen unabhängigen Penetrationstest in Auftrag gegeben.

Sicherheitsproblem melden

Wenn Sie ein Sicherheitsproblem entdecken, kontaktieren Sie uns bitte unter [email protected].

Wir bemühen uns, Meldungen innerhalb von 48 Stunden zu bestätigen. Ein bezahltes Bug-Bounty-Programm betreiben wir noch nicht. Wenn Sie für eine Meldung genannt werden möchten, nennen wir Sie, oder ein von Ihnen gewähltes Pseudonym, in den Release Notes zur Behebung.