Chef7 Sicherheit und DSGVO

Wo Ihre Daten gehostet werden

Chef7 speichert alle Kundendaten auf Supabase in der Region West EU (Irland). Supabase ist ein verwalteter Postgres-Anbieter mit SOC 2 Type II-Konformität. Die statische Website wird global über Cloudflare Pages ausgeliefert, aber jeder Datenbank-Lese- und Schreibvorgang erreicht die EU-Region. Die KI-Inferenz für die Rezeptgenerierung verwendet Google Gemini 2.5 Flash; Prompts und Ausgaben werden nicht zum Training der Google-Modelle verwendet (laut Vertex-AI-Bedingungen).

Zahlungsdaten

Chef7 sieht nie Kreditkartendaten. Die Abrechnung erfolgt über Paddle als Merchant of Record. Paddle ist der rechtliche Verkäufer für Steuer- und Verbraucherrechtszwecke, berechnet und führt die MwSt. korrekt pro Land ab und speichert alle Karteninformationen unter PCI DSS Level 1-Konformität.

Personenbezogene Kundendaten — automatisches Löschen

Restaurants, die Chef7 nutzen, sammeln Telefonnummern von Kunden für Take-Away-Tickets und Tischreservierungen. Zur Minimierung der Datenaufbewahrung unter Artikel 5(1)(e) DSGVO:

• Take-Away-Tickets — nach der Lieferung werden Name und Telefonnummer des Kunden gelöscht. Das operative Register (Ticketnummer, Artikel, Zeitstempel, Gesamt) wird für die Buchhaltung aufbewahrt.
• Tischreservierungen — nach Tischabschluss werden Name und Telefon der Reservierung gelöscht.
• Warteliste — wenn der Kunde gesetzt ist oder nach 12 Stunden Timeout, wird das Telefon gelöscht.

Datenbankzugriffskontrollen

Postgres nutzt Row-Level Security (RLS) mit 129 aktiven Richtlinien Stand April 2026. Jeder authentifizierte Nutzer kann nur Zeilen lesen und schreiben, die zu seinem eigenen Restaurant oder Konto gehören. Audit-Logs erfassen, wer was geändert hat, mit Zeitstempel und Nutzer-ID.

Backups und Wiederherstellung

Datenbank-Backups laufen täglich und werden 30 Tage im Point-in-Time Recovery von Supabase aufbewahrt.

Authentifizierung

Login verwendet Supabase Auth mit E-Mail + Passwort und optionalem Magic-Link per E-Mail. Passwörter werden gehasht gespeichert (bcrypt). Sitzungen werden als JWT mit 1-Stunden-Ablauf ausgegeben.

Auftragsverarbeiter

• Supabase — Datenbank, Authentifizierung, Edge Functions, Storage (West EU)
• Cloudflare — Statische Auslieferung, DNS, DDoS-Schutz (global)
• Paddle — Zahlungsverarbeitung, MwSt.-Berechnung, Rechnungsstellung (UK/EU)
• Google Cloud (Gemini) — KI-Inferenz für Rezeptgenerierung

Recht auf Zugang, Export, Löschung

Unter den Artikeln 15, 20 und 17 DSGVO kann jeder Nutzer jederzeit eine vollständige Kopie seiner Daten oder deren Löschung per E-Mail an [email protected] anfordern.

Sicherheitslücke melden

Wenn Sie ein Sicherheitsproblem finden, kontaktieren Sie per E-Mail [email protected].