Sicherheit

Unsere Anwendungsserver (Vercel, Region Frankfurt fra1) sowie Datenbank und Datei­speicher (Supabase, Region EU Frankfurt) betreiben wir in Deutschland. Einzelne optionale Funktionen binden spezialisierte Dienstleister ein, die Daten teilweise außerhalb der EU verarbeiten (z. B. US-Anbieter für Sprachtranskription, E-Mail-Zustellung und Monitoring). Diese Übermittlungen erfolgen auf Grundlage von EU-Standardvertrags­klauseln und, soweit zertifiziert, des EU-US Data Privacy Frameworks. Eine vollständige Liste finden Sie in der Datenschutzerklärung.

• TLS 1.2+ für alle Verbindungen — kein unverschlüsselter Datenverkehr.
• HSTS auf allen Domains aktiviert.
• Verschlüsselung at-rest: Postgres-Datenbank und Datei-Storage werden serverseitig AES-256 verschlüsselt.
• Passwörter werden ausschließlich gehasht (bcrypt/argon2) gespeichert — wir können sie nicht einsehen.

• Strikte Mandantentrennung pro Organisation auf Datenbank-Ebene durch Postgres Row-Level-Security (RLS).
• Rollenbasiertes Berechtigungssystem (RBAC) mit fünf Stufen — Finanzierer, Untervertrieb, Berater, Vertriebsleitung, Admin.
• Bot-Schutz auf Login und sensiblen Endpunkten via Vercel BotID.
• Alle administrativen Aktionen sind im Audit-Log nachvollziehbar.

Die Produktivdatenbank wird täglich automatisiert gesichert. Aufbewahrungszeit der Backups: 7 Tage rollierend. Recovery-Tests führen wir regelmäßig durch.

• Sämtliche Änderungen durchlaufen Code-Review, automatisierte Lint-, Typecheck- und Test-Pipelines.
• Abhängigkeiten werden über Dependabot bzw. Renovate aktuell gehalten.
• Geheimnisse (API-Keys) liegen ausschließlich in Vercel Environment Variables — niemals im Repository.
• Fehler- und Performance-Monitoring via PostHog.

Sicherheits­vorfälle, die zu einer Gefährdung personen­bezogener Daten führen, melden wir gemäß Art. 33 DSGVO innerhalb von 72 Stunden an die zuständige Aufsichts­behörde und — soweit erforderlich — unmittelbar an die betroffenen Kunden.

Sicherheits­meldungen ohne öffentliche Offenlegung („Responsible Disclosure") nehmen wir gerne entgegen unter security@deal-pipe.de. Wir antworten in der Regel innerhalb von zwei Werktagen.

Geschäfts­kunden, die personen­bezogene Daten Dritter in DealPipe verarbeiten, schließen mit uns auf Anforderung einen Auftrags­verarbeitungs­vertrag inkl. EU-Standardvertrags­klauseln (SCC) gemäß Art. 28 DSGVO ab. Anforderung unter datenschutz@deal-pipe.de.

Eine aktuelle Liste der eingesetzten Auftrags­verarbeiter (Hosting, Datenbank, E-Mail, Monitoring, KI, Analyse) finden Sie in der Datenschutzerklärung in den Abschnitten 4 und 5.