# Zedl – Sicherheit & Datenschutz

Zedl speichert Belege verschlüsselt auf EU-Servern und verarbeitet Daten ausschließlich nach DSGVO.

## Datenspeicherung

- **Standort:** Alle Daten (Datenbankinhalt und hochgeladene Dateien) werden auf Servern in Deutschland (EU) gespeichert
- **Verschlüsselung at rest:** Datenbank und Upload-Verzeichnis sind verschlüsselt (SQLCipher)
- **Verschlüsselung in transit:** Alle Verbindungen laufen über HTTPS/TLS
- **Datenisolation:** Nutzer haben ausschließlich Zugriff auf ihre eigenen Daten; Datenzugriffe anderer Nutzer sind technisch unterbunden

## Zugriffskontrolle

- **Authentifizierung:** E-Mail + Passwort (bcrypt-gehasht) oder Magic Link
- **Sessions:** Sichere, server-seitige Sessions mit CSRF-Schutz
- **Rollen:** Nutzer, Steuerberater (eingeschränkter Lesezugriff), Admin
- **Steuerberaterzugang:** Nur lesend + Exporte; keine Bearbeitung, kein Löschen

## Technische Sicherheitsmaßnahmen

- **Security Headers:** CSP (Content Security Policy), X-Frame-Options, HSTS, X-Content-Type-Options
- **Rate Limiting:** Schutz gegen Brute-Force auf Login und Upload-Endpoints
- **Body-Size-Limits:** Maximale Request-Größe begrenzt
- **CORS:** Nur explizit erlaubte Domains
- **Input-Validierung:** Server-seitige Validierung aller Eingaben mit Pydantic

## Datenschutz (DSGVO)

- **Auftragsverarbeitungsvertrag (AVV):** Verfügbar unter `/legal/dpa`
- **Datenschutzerklärung:** Vollständig unter `/legal/privacy`
- **KI-Transparenz:** Belege werden zur Datenerkennung an Google Gemini (KI) gesendet. Näheres in der KI-Transparenzerklärung unter `/legal/ai-act`
- **Subverarbeiter:** Liste der eingesetzten Subverarbeiter unter `/legal/subprocessors`
- **Datenminimierung:** Nur für die Verarbeitung notwendige Daten werden gespeichert

## Keine Weitergabe an Dritte

- Belegdaten werden nicht an Dritte verkauft oder zu Werbezwecken genutzt
- KI-Verarbeitung erfolgt über API-Aufrufe an Google; die Daten werden nicht für das Training von Google-Modellen genutzt (gemäß API-Nutzungsbedingungen)

## Kontakt bei Sicherheitsfragen

Für Sicherheitsmeldungen oder Datenschutzanfragen: info@ex-nihilo.ai