Sicherheit & Datenschutz

Diese Seite ist die verständliche Zusammenfassung, wie Zenovay mit Ihren Daten umgeht. Sie ist eher ehrlich als beruhigend gemeint: Wir listen auf, was wir tun, was wir nicht tun und welche Dinge wir bislang nicht beanspruchen dürfen.

Sollte irgendetwas auf dieser Seite unserer Datenschutzerklärung, dem AVV oder der Liste der Unterauftragsverarbeiter widersprechen, gilt das rechtlich verbindliche Dokument. Eine Abweichung zwischen dieser Seite und jenen Dokumenten betrachten wir als Fehler - bitte melden Sie sie uns.

Wo Ihre Daten liegen

Die primaere Datenbank von Zenovay (Supabase PostgreSQL) wird derzeit in der Europaeischen Union (eu-central-1, Frankfurt) gehostet. Cloudflare Workers laufen auf dem globalen Edge-Netzwerk; Cloudflare R2 (Heatmap-Screenshots) ist mit der Standortpraeferenz EU konfiguriert. Die Konfiguration der Datenresidenz kann sich im Zuge von Infrastrukturanpassungen weiterentwickeln; wir werden diese Angabe aktualisieren, sobald wesentliche Aenderungen eintreten.

Eine kleine Anzahl von Unterauftragsverarbeitern hat ihren Sitz in den USA (Stripe, Resend, OpenAI über Cloudflare AI Gateway). Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework, sofern der Empfänger DPF-zertifiziert ist, sowie der Standardvertragsklauseln 2021 (Modul 2) mit ergänzenden technischen Massnahmen. Vollständige Liste der Unterauftragsverarbeiter ansehen.

Was wir erfassen (und was nicht)

Auf Websites, die Zenovays optionalen Cookieless-Modus nutzen, speichert der Tracker keine Cookies und keinen localStorage. Besucher- und Sitzungs-Identifikatoren werden im Speicher aus einem täglich gesalzenen SHA-256-Hash des IP-Subnetzes, des User-Agents und eines serverseitig rotierenden Salts berechnet - diese IDs verschwinden, sobald die Seite verlassen wird.

Wenn der Cookieless-Modus vom Websitebetreiber nicht aktiviert ist, kann der Tracker First-Party-Cookies setzen (zenovay_visitor_id für 30 Tage, zenovay_session_id für 30 Minuten). Wir erfassen niemals Namen, E-Mail-Adressen, Zahlungsdaten oder genaue GPS-Koordinaten von Website-Besuchern. Wir verkaufen keine personenbezogenen Daten und geben sie auch nicht für kontextübergreifende verhaltensbezogene Werbung weiter; wir respektieren das Global-Privacy-Control-Signal (GPC).

Für die rechtsverbindlichen Details zu jeder Kategorie, jedem Zweck und jeder Rechtsgrundlage siehe Datenschutzerklärung.

Wie lange wir Daten aufbewahren

Rohe Analytics-Ereignisse werden nach Ablauf der im Plan des Kunden festgelegten Aufbewahrungsdauer gelöscht:

• Free: 1 Jahr (365 Tage)
• Pro: 2 Jahre (730 Tage)
• Scale: 4 Jahre (1.460 Tage)
• Enterprise: konfigurierbar, Standard 4 Jahre

Administrative Audit-Logs (Benutzeraktionen, Abrechnungsereignisse, Einstellungsänderungen) werden 24 Monate aufbewahrt. Sie enthalten keine Klartext-IPs - ausschliesslich einseitige SHA-256-Hashes - und werden täglich um 03:00 UTC automatisch gelöscht.

Wie wir Daten schützen

• TLS 1.2+ wird auf jedem Endpunkt von Cloudflare erzwungen. Interner Worker-zu-Supabase-Verkehr läuft über TLS 1.3.
• Alle ruhenden Daten in Supabase werden verschlüsselt (AES-256). Cloudflare-R2-Objekte werden im Ruhezustand verschlüsselt. Supabase-Backups sind verschlüsselt.
• IP-Adressen werden ausschliesslich als täglich gesalzene SHA-256-Hashes gespeichert - niemals im Klartext. Dies gilt für die Visitors-Tabelle, Audit-Logs und Team-Audit-Logs. Die Klartext-Spalte wurde am 26.04.2026 vollständig aus dem Schema entfernt.
• Postgres-Row-Level-Security-Richtlinien werden auf jeder Tabelle mit Kundendaten erzwungen. Service-Role-Zugriff ist auf den API-Worker beschränkt; ein direkter Datenbankzugriff wird nicht angeboten.
• Alle administrativen Aktionen werden unveränderlich protokolliert. Die Audit-Log-Tabelle hat ausschliesslich INSERT-RLS - es existieren keine UPDATE- oder DELETE-Richtlinien, sodass historische Einträge nicht stillschweigend überschrieben werden können.
• Gesperrte oder widerrufene Sitzungen werden über Cloudflare KV innerhalb von Sekunden an die Edge propagiert; im Umlauf befindliche Refresh-Tokens werden serverseitig ungültig gemacht.

Ihre Rechte

Sie können jederzeit die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) wahrnehmen. Der kostenlose Export „Meine personenbezogenen Daten herunterladen“ und der Ablauf „Konto löschen“ sind in Ihrem Profil verfügbar.

Bewohner Kaliforniens haben CCPA/CPRA-Rechte auf Auskunft, Löschung, Berichtigung und auf Widerspruch gegen Verkauf oder Weitergabe. Wir respektieren das Global-Privacy-Control-Browsersignal automatisch - sendet Ihr Browser Sec-GPC: 1, behandeln wir dies ohne weitere Massnahmen als gültigen Widerspruch.

Für schriftliche Anfragen oder jurisdiktionsspezifische Rechte siehe Datenschutzerklärung.

Was wir nicht beanspruchen

Zenovay selbst ist derzeit nicht SOC-2-zertifiziert. Unsere Infrastrukturanbieter halten branchenübliche Zertifizierungen: Cloudflare (SOC 2 Typ II, ISO 27001, ISO 27018), Supabase (SOC 2 Typ II). Wir aktualisieren diese Seite, sobald wir ein eigenes Audit erhalten.

Wir beanspruchen keine ISO-27001-, HIPAA- oder PCI-DSS-Zertifizierungen. Zahlungen werden über Stripe abgewickelt (PCI DSS Level 1 zertifiziert) - Zenovay verarbeitet niemals rohe Kartendaten. Automatisierte wöchentliche Sicherheitsscans (npm audit, Semgrep, gitleaks, OWASP ZAP, Lighthouse, Supabase Advisors) laufen jeden Montag gegen jeden Produktionsdienst; Funde fliessen in eine zentrale Prüf-Warteschlange.

Sicherheitsproblem melden

Wenn Sie ein Sicherheitsproblem entdecken, kontaktieren Sie uns bitte unter [email protected].

Wir bestätigen Meldungen in der Regel innerhalb von 48 Stunden. Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm; verantwortungsvolle Melder werden auf Wunsch namentlich (oder unter Pseudonym) auf dieser Seite genannt.