Sicherheit & Transparenz

Wo sind meine Daten?

• Server: Hetzner, Rechenzentrum Deutschland (Nürnberg/Falkenstein)
• Datenbank: PostgreSQL 16, Backups verschlüsselt via restic + Backblaze B2 Object Lock
• Keine Weitergabe an Dritte. Keine Werbe-Tracker. Plausible (self-hosted) statt Google Analytics.

Wie werden meine Zugangsdaten gespeichert?

• Jeder Kunde hat seinen eigenen Schlüssel (HKDF-abgeleitet aus Master-Key + Account-ID)
• Fernet-Verschlüsselung (AES-128-CBC + HMAC-SHA256)
• Master-Key liegt nur im RAM des Servers (systemd-creds), nicht in der DB, nicht im Backup
• Passwörter: argon2id (m=64MB, t=3, p=4)
• Session-Cookies: nur SHA-256-Hash in der DB, nicht das Cookie selbst

Audit-Log (WORM)

Jede Aktion, die Alex auf Ihrem Account ausführt, wird in einem Append-Only-Log festgehalten (DB-Level: REVOKE UPDATE, DELETE, TRUNCATE). Sie können jederzeit eine CSV-Kopie aller Aktionen auf Ihrem Account herunterladen:

Ihre Rechte (DSGVO)

• Datenauskunft: /api/gdpr/export (JSON aller Daten) — kommt in Plan B
• Löschung: /api/gdpr/delete (alle Daten nach 30 Tagen Grace-Period gelöscht) — kommt in Plan B
• Auftragsverarbeitungsvertrag (AVV): auf Anfrage per E-Mail

Sicherheitskontakt

Sicherheitslücke gefunden? security@gastro-ai-assistent.de — ich antworte innerhalb 24h.