Sicherheit und Datenschutz

Wo die Daten liegen

Anwendung (Vercel) und Datenbank (Neon) laufen in Rechenzentren in Frankfurt am Main. E-Mails versendet Resend. Alle drei sind Unternehmen mit Sitz in den USA.

Grundlage der Übermittlung sind das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Wir sagen es offen: Als US-Unternehmen können diese Anbieter nach US-Recht (CLOUD Act) verpflichtet werden, Behörden Zugriff zu gewähren, auch auf Daten in der EU. Die Datenbank ist im Ruhezustand verschlüsselt, Zugangsdaten zum Großhandel verschlüsselt die Anwendung zusätzlich selbst. Diese Einschätzung ist keine Rechtsberatung.

Die vollständige Liste mit Zweck und Ort steht unter Unterauftragsverarbeiter.

Sicherungen

Die Datenbank wird beim Anbieter fortlaufend gesichert und lässt sich auf einen früheren Zeitpunkt zurücksetzen.

Unabhängig davon kann der Inhaber jederzeit alle Daten seines Betriebs als Datei herunterladen und selbst aufbewahren.

Wer sieht was

Am Firmen-Tablet gilt immer die Monteur-Sicht, auch wenn sich dort Inhaber oder Büro anmelden.

1. Vertraulichkeit

1.1 Zutrittskontrolle

Es gibt keine eigenen Serverräume. Die Anwendung läuft bei Vercel (Region Frankfurt), die Datenbank bei Neon (AWS-Region Frankfurt). Den physischen Zutritt zu den Rechenzentren regeln diese Dienstleister mit eigenen, nach anerkannten Standards geprüften Maßnahmen (z. B. SOC 2, ISO 27001).

1.2 Zugangskontrolle

• Anmeldung ohne Passwörter: Passkeys (WebAuthn, gespeichert wird nur der öffentliche Schlüssel) oder ein einmaliger Anmeldelink mit sechsstelligem Code per E-Mail, gültig 15 Minuten und nur einmal nutzbar.
• Codes und Links werden nur als Hash gespeichert. Nach 5 falschen Codes ist der Link gesperrt.
• Firmen-Tablets: Ein Gerät muss erst vom Büro freigegeben werden. Danach meldet sich jede Person mit eigener PIN an. PINs liegen nur als scrypt-Hash vor, triviale PINs werden abgelehnt. Nach 5 Fehlversuchen ist die PIN 15 Minuten gesperrt, zusätzlich höchstens 30 Versuche je Gerät und Stunde.
• Sitzungen: zufälliges Token im Cookie (httpOnly, SameSite=Lax, bei HTTPS mit __Host-Präfix), in der Datenbank nur als SHA-256-Hash. Eigene Geräte 30 Tage gleitend, Tablet-Sitzungen fest 12 Stunden. Sitzungen lassen sich einzeln oder alle abmelden.
• Zählbremsen gegen massenhafte Anmelde- und Registrierungsversuche.

1.3 Zugriffskontrolle

• Rollen je Person: Inhaber, Büro, Monteur. Monteure sehen nur ihre eigene Arbeit und keine Einkaufspreise oder internen Kundendaten.
• Auf dem Firmen-Tablet gilt immer die Monteur-Sicht, auch für Inhaber und Büro.
• Freischaltung der Plattform-Verwaltung nur über die Kommandozeile mit Datenbankzugang, nie über die Oberfläche.
• Jede Anfrage prüft serverseitig Anmeldung, Rolle und freigeschaltete Bausteine.

1.4 Trennungskontrolle

Mehrere Betriebe teilen sich eine Datenbank. Jede fachliche Tabelle trägt die Kennung des Betriebs, und jede Abfrage filtert darauf. Fremde Kennungen aus Anfragen werden vor der Nutzung gegen den eigenen Betrieb geprüft. Automatische Tests prüfen die Trennung.

1.5 Pseudonymisierung und Verschlüsselung

• Alle Verbindungen laufen verschlüsselt über HTTPS (TLS), auch zwischen Anwendung und Datenbank.
• Die Datenbank ist beim Anbieter im Ruhezustand verschlüsselt.
• Besonders schutzwürdige Zugangsdaten (z. B. Zugänge zum Großhandel) verschlüsselt die Anwendung zusätzlich selbst mit AES-256-GCM. Der Schlüssel liegt nur in der Serverumgebung, nicht in der Datenbank.
• Bei Zustimmungen speichern wir nur einen gesalzenen Hash der IP-Adresse.
• Inhalte von Push-Benachrichtigungen sind Ende-zu-Ende verschlüsselt.

2. Integrität

2.1 Weitergabekontrolle

• Übertragung nur verschlüsselt. Schutz gegen Einbettung in fremde Seiten (X-Frame-Options), Content-Security-Policy, Prüfung der Herkunft jeder ändernden Anfrage.
• Datenexporte kann nur der Inhaber auslösen. Jeder Export wird protokolliert. Anmeldedaten (PINs, Passkeys) sind nie enthalten, Links in protokollierten Anmeldemails werden geschwärzt.
• CSV-Exporte werden gegen eingeschleuste Tabellenformeln abgesichert.

2.2 Eingabekontrolle

Ein Prüfprotokoll hält fest, wer wann was geändert hat, insbesondere bei Geld, Rechten, Freigaben, Festschreibung von Belegen und Exporten. Zeitbuchungen tragen Herkunft (App, Tablet, manuell, Korrektur) und Status der Freigabe.

3. Verfügbarkeit und Belastbarkeit

• Die Datenbank wird beim Anbieter fortlaufend gesichert und lässt sich auf einen früheren Zeitpunkt zurücksetzen.
• Die Anwendung läuft ohne eigenen Server auf mehrfach vorhandener Infrastruktur und skaliert automatisch.
• Der Inhaber kann jederzeit einen vollständigen Export aller Daten als CSV und JSON herunterladen, unabhängig vom Betreiber.
• Die Zeiterfassung am Handy funktioniert auch ohne Netz und überträgt später. Doppelte Übertragungen werden erkannt.

4. Regelmäßige Überprüfung

• Automatisierte Tests gegen eine echte Datenbank vor jeder Auslieferung, darunter Tests zu Mandantentrennung, Rechten und Abrechnung.
• Sicherheitsprüfung neuer Funktionen vor der Freigabe, gefundene Schwachstellen werden mit Regressionstests abgesichert.
• Regelmäßige Aktualisierung der eingesetzten Bibliotheken.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO, Liste in Anlage 2.

5. Datenschutzfreundliche Voreinstellungen

• Standort beim Stempeln ist standardmäßig aus. Wenn der Betrieb ihn einschaltet, wird er nur einmal beim Start gespeichert, keine laufende Ortung.
• Keine Werbe- oder Analysewerkzeuge, keine Tracking-Cookies.
• Krankheitstage werden ohne Diagnose erfasst.
• Die KI-Erfassung ist ein eigener Baustein und ohne Freischaltung abgeschaltet. Vorschläge werden erst nach Bestätigung durch eine Person gebucht.

Auftragsverarbeitung

Mit jedem Betrieb schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, direkt in der Software unter Einstellungen, Datenschutz & GoBD. Dort gibt es auch die GoBD-Verfahrensdokumentation als Vorlage für Ihren Betrieb.

Sicherheitslücke gefunden?

Bitte melden Sie sie vertraulich an hello@growthestudio.com. Wir antworten zügig und nennen Sie auf Wunsch als Finder.