Sicherheit & Hosting
Stand: 28. September 2026
1. Datenstandorte
| Bestandteil | Anbieter | Standort |
|---|---|---|
| Anwendung (Buchungsseiten, Administrationsbereich, Schnittstellen) | Vercel | Frankfurt am Main, Deutschland (Region fra1) |
| Datenbanken aller Betriebe, Testsysteme und Betreiberportal | Neon (auf Amazon Web Services) | Frankfurt am Main, Deutschland (Region eu-central-1) |
| Sicherungen und Wiederherstellungspunkte | Neon | dieselbe Region wie die Datenbank |
| Statische Dateien (Schriften, Bilder, Skripte, keine Personendaten) | Vercel Edge Network | weltweit zwischengespeichert |
| E-Mail-Versand | Resend | USA/EU (Inhalt und Versandprotokolle werden beim Anbieter gemäss dessen Vorgaben aufbewahrt) |
| SMS-Versand (nur wenn vom Betrieb aktiviert) | Twilio | USA |
| Zahlungen (nur wenn vom Betrieb aktiviert) | Stripe Payments Europe | Irland/EU, Stripe Inc. teilweise USA |
| Kalender-Synchronisation und Push (nur wenn verbunden) | Google, Microsoft, Apple | USA/global |
| Mitteilungen der Apps «Bookelva» und «Bookelva Go» (nur wenn erlaubt) | Apple Push Notification Service, bei Android Firebase Cloud Messaging (Google) | USA/global |
| Anmeldung mit Google oder Apple (nur wenn genutzt; wir erhalten Konto-Kennung, E-Mail, Name) | Google, Apple | USA/global |
| Verwaltungssystem (ops.bookelva.ch) | Vercel, Neon | Frankfurt am Main, Deutschland |
| Bookelva-Konto (konto.bookelva.ch) | Vercel (Anwendung), Neon (Datenbank) | Frankfurt am Main, Deutschland |
| Reichweitenmessung auf bookelva.ch (nur mit Einwilligung, ohne Cookies) | Vercel Web Analytics | vom Anbieter nicht offengelegt, Bearbeitung laut Vercel hauptsächlich USA |
| Schriften in der eingebetteten Demo-Vorschau der Branchen-Seiten von bookelva.ch | Google Fonts | USA/global |
| Adressvorschläge im Registrierungsformular von bookelva.ch | swisstopo (Bund) | Schweiz |
Die Übermittlung an Anbieter mit Sitz in den USA stützt sich auf das Swiss-U.S. Data Privacy Framework beziehungsweise die von der Schweiz anerkannten EU-Standardvertragsklauseln. Ein Rechenzentrum in der Schweiz setzen wir derzeit nicht ein; Deutschland und Irland bieten gemäss Datenschutzgesetz ein angemessenes Schutzniveau. Die Anbieter können Verwaltungs- und Betriebsdaten ihrer Plattform auch in den USA bearbeiten.
2. Mandantentrennung
Jeder Betrieb erhält eine eigene Anwendungsinstanz mit eigener Domain, eigenen Zugangs-Secrets und eigener Datenbank. Zahlende Betriebe haben zusätzlich ein eigenes Datenbankprojekt mit eigener Wiederherstellung. Demo-Shops und Free-Shops teilen sich ein Datenbankprojekt, bleiben aber in getrennten Datenbanken. Ein Zugriff über die Grenzen eines Betriebs hinweg ist technisch nicht vorgesehen.
3. Technische und organisatorische Massnahmen
- Transport: TLS 1.2 oder höher, HSTS, automatisch verwaltete Zertifikate.
- Zugänge: Passwörter werden gehasht gespeichert; Passkeys werden unterstützt; Sperre nach wiederholten Fehlversuchen; Erst-Passwörter müssen beim ersten Login geändert werden; Rollen (Inhaber, Mitarbeitende) mit abgestuften Rechten; Kassenfreigaben mit PIN.
- Secrets und Token: Zugangsdaten zu Datenbanken und Drittdiensten liegen verschlüsselt in der Hosting-Umgebung; Kalender-Token werden verschlüsselt abgelegt und beim Trennen der Verbindung gelöscht.
- Betreiberzugänge: Zwei-Faktor-Authentisierung auf allen Anbieterkonten (Vercel, Neon, Stripe, Resend, Google, GitHub); Zugriff auf Produktionsdaten nur durch autorisierte Personen und nur für Support oder Wartung.
- Rollouts: Änderungen laufen durch ein Testsystem und eine Demo-Stufe mit automatisierten Tests, bevor sie auf Kundensysteme gelangen; Rollouts auf Kundensysteme erfordern eine ausdrückliche Freigabe.
- Sicherungen: laufende Sicherung mit Wiederherstellung auf einen beliebigen Zeitpunkt der letzten 7 Tage beim Datenbankanbieter (bei Business und Premium auf Anfrage länger); zusätzlich Exportfunktionen im Administrationsbereich.
- Protokolle: Zugriffs- und Fehlerprotokolle nur kurzfristig gemäss Anbieter-Vorgaben; Änderungen an Kassenbelegen werden im Betrieb revisionssicher protokolliert (Audit-Log, Stornobelege statt Löschung).
- Keine Nachverfolgung ohne Einwilligung: Die Buchungsseiten der Betriebe und die Apps setzen keine Analyse-, Tracking- oder Werbedienste ein. Auf bookelva.ch zählen wir Seitenaufrufe nur, wenn Besucherinnen und Besucher der Kategorie «Statistik» zugestimmt haben (Vercel Web Analytics, ohne Cookies). Werbedienste sind nicht eingebaut.
4. Sicherheitsvorfälle
Bei einem Vorfall mit möglichen Auswirkungen auf Personendaten dämmen wir zuerst ein (Rotation von Secrets, Sperren von Sitzungen, bei Bedarf Pausieren einer Instanz), halten den Hergang fest und informieren betroffene Betriebe ohne unangemessene Verzögerung mit allen Angaben, die sie für ihre eigene Beurteilung und Meldung brauchen. Kontakt für Sicherheitsmeldungen: hallo@bookelva.ch.
5. Löschkonzept
| Daten | Frist |
|---|---|
| Registrierungen und Anfragen ohne Vertrag | 12 Monate nach Abschluss der Korrespondenz |
| Demo-Shops | Selbstsperre nach der Testphase (in der Regel 7 Tage), Löschung 30 Tage nach Ablauf |
| Free-Shops ohne Buchungsaktivität | nach 6 Monaten mit Vorankündigung per E-Mail |
| Instanz eines Betriebs nach Vertragsende | Export während 30 Tagen, Löschung innert 60 Tagen |
| Buchungsdaten der Endkundinnen und Endkunden | gemäss Weisung des Betriebs, Empfehlung 24 Monate nach dem letzten Termin |
| Buchhaltungsbelege, Kassenbelege, Journal | 10 Jahre (Art. 958f OR), Export durch den Betrieb vor Vertragsende |
| Kalender-Token und synchronisierte Termine | sofort beim Trennen der Verbindung |
| Server- und Fehlerprotokolle | kurzfristig gemäss Anbieter-Vorgaben |
6. Unterauftragsbearbeiter
Die vollständige Liste mit Zweck, Sitz und Übermittlungsgrundlage steht im Auftragsbearbeitungsvertrag (Anhang 1 der AGB). Änderungen kündigen wir Betrieben mindestens 30 Tage im Voraus per E-Mail an und vermerken sie hier.
7. Änderungsprotokoll
- 28.09.2026: Apps «Bookelva» und «Bookelva Go» sowie das Bookelva-Konto in der Datenschutzerklärung beschrieben. Reichweitenmessung auf bookelva.ch nur mit Einwilligung (Vercel Web Analytics, ohne Cookies). Datenstandorte um Mitteilungen der Apps, Reichweitenmessung, Schriften der Demo-Vorschau und Adressvorschläge ergänzt.
- 21.09.2026: Betreiberin ist neu die Carbon IT GmbH, Bellach. Anwendung aller Kundeninstanzen in Frankfurt am Main. AGB, ADV und Datenschutzerklärung überarbeitet; jede veröffentlichte Fassung wird archiviert.
- 20.09.2026: Alle Datenbanken in Frankfurt am Main (zuvor teilweise London). Vertragsbestätigung (AGB, ADV, Datenschutz) bei der Registrierung mit Versionsnachweis. Dokumentation veröffentlicht.
- 19.09.2026: Kassenmodul mit revisionssicherem Belegjournal; Demo- und Free-Shops in gemeinsamem Datenbankprojekt mit getrennten Datenbanken.
- 15.09.2026: Sicherheits-Audit umgesetzt (Rollen, Zugriffsschutz auf öffentliche Endpunkte, Passwortwechsel beim ersten Login).