Wir wissen, dass du uns deine Betriebsdaten anvertraust. Deshalb nehmen wir Sicherheit und Datenschutz sehr ernst — und machen transparent, wie wir deine Daten schützen.
Gespeichert wird in Irland. Welche Dienstleister wir einsetzen, steht offen im AVV.
Datenbank bei Supabase (AWS eu-west-1, Irland). Web-Hosting bei Vercel mit EU-Edge-Nodes. Supabase, Vercel und Resend (E-Mail-Versand) sind US-Unternehmen; mit ihnen gelten EU-Standardvertragsklauseln. Alle Sub-Auftragsverarbeiter sind in unserem AVV dokumentiert.
Deine Daten sind verschlüsselt · unterwegs und gespeichert.
Transport: TLS 1.2/1.3 (HTTPS). Speicherung: AES-256 Verschlüsselung. Passwörter: bcrypt-Hashing (irreversibel). Niemand · auch wir nicht · kann dein Passwort auslesen.
Strikte Trennung: Kein anderer Betrieb kann deine Einsätze, Fotos oder Mitarbeiter sehen.
Row-Level-Security (RLS) auf Datenbankebene. Jede Abfrage wird automatisch auf deine Organisation gefiltert · das passiert in der Datenbank selbst, nicht im Code. Selbst bei einem Software-Fehler sind deine Daten isoliert.
Kein Google Analytics, keine Werbe-Cookies, kein Facebook-Pixel.
Nur technisch notwendige Cookies (Login-Session). Kein Google, kein Facebook-Pixel. Für die Besucher-Statistik (Seitenaufrufe, einzelne Klicks, Ladezeiten) nutzen wir Vercel Web Analytics und Vercel Speed Insights, ohne Tracking-Cookies. GPS-Daten werden ausschließlich für die Einsatz-Dokumentation gespeichert · nie für Bewegungsprofile. Einzige Ausnahme ist der Winterdienst-Modus: Den startest und beendest du selbst. Solange er läuft, wird dein Standort laufend erfasst, als Nachweis, wann der Winterdienst an welcher Anlage war. Außerhalb davon wird keine Standortspur gespeichert.
Mehrere Schutzebenen gegen unbefugten Zugriff. Automatische Abmeldung bei Inaktivität.
Client-seitige Sperre nach 5 Fehlversuchen (15 Minuten Wartezeit). Zusätzlich serverseitiges Rate-Limiting pro Instanz. Automatische Session-Abmeldung nach 35 Minuten Inaktivität mit Vorwarnung.
Wer hat was geändert? Jede Admin-Aktion wird aufgezeichnet.
Audit-Log für alle Verwaltungsaktionen: Team-Mitglieder anlegen/ändern, Module aktivieren, Daten exportieren. Nur Admins können das Protokoll einsehen · RLS-geschützt.
Bevor eine Änderung live geht, wird sie automatisch auf Fehler geprüft.
Umfangreiche Unit-Tests prüfen einzelne Funktionen. End-to-End-Tests simulieren echte Benutzer-Abläufe (Login, Einsatz erstellen, Admin-Bereich). Sicherheitstests für Open-Redirect, Path-Traversal und Injection-Angriffe.
Einsatz-Fotos sind geschützt. Nur dein Betrieb hat Zugriff.
Upload nur für JPEG, PNG, WebP (max. 5 MB). Dateipfade sind an die Organisation gebunden · fremde Betriebe können deine Fotos nicht abrufen. Pfad-Validierung verhindert Directory-Traversal-Angriffe.
Datenschutzerklärung, AGB, und Auftragsverarbeitungsvertrag · alles öffentlich einsehbar.
Vollständiger AVV gemäß Art. 28 DSGVO. Technische und organisatorische Maßnahmen (TOMs) dokumentiert. 72-Stunden-Meldefrist bei Datenpannen. Datenexport auf Anfrage innerhalb von 5 Werktagen.
Fragen zur Sicherheit? Schreib uns an office@crimebaker.com
Stand: Oktober 2026