Deine Daten sind bei uns sicher.

Alle deine Daten werden ausschließlich in Frankfurt (eu-central-1) gespeichert und verarbeitet. Das gilt für:

• Datenbank und Authentifizierung (Supabase, Frankfurt)
• Dateispeicher für hochgeladene Dokumente (Supabase Storage, Frankfurt)
• KI-Verarbeitung (Google Vertex AI, Frankfurt)
• Serverfunktionen der Anwendung (Vercel, Frankfurt)
• Produkt-Analytics (PostHog, EU und cookiefrei)

Deine Betriebsdaten verlassen die EU nicht. Für Randbereiche wie Zahlung und Terminbuchung nutzen wir Anbieter außerhalb der EU, abgesichert über EU-Standardvertragsklauseln und gelistet in der Datenschutzerklärung.

GROW arbeitet mit strikter Mandantentrennung (Multi-Tenancy). Das bedeutet:

• Jedes Unternehmen ist ein eigener Mandant mit vollständig isolierten Daten
• Die Trennung wird auf Datenbankebene durch Row Level Security (RLS) erzwungen, nicht nur durch Anwendungslogik
• Selbst bei einem Programmierfehler kann kein Nutzer Daten eines anderen Mandanten sehen
• GROW-Mitarbeiter haben keinen Zugriff auf deine Inhalte im Normalbetrieb

Nein, zu keinem Zeitpunkt. Weder von GROW noch von unseren KI-Anbietern.

• Google Vertex AI: Enterprise-Vertrag, keine Nutzung von Kundendaten zum Modell-Training
• Anthropic (Claude): API-Nutzung ohne Training auf Kundendaten
• Deine hochgeladenen Dokumente und Chat-Nachrichten werden ausschließlich verarbeitet, um dir Ergebnisse zu liefern
• Nach der Verarbeitung verbleiben keine Daten bei den KI-Anbietern

Wenn du dein Konto löschst, werden alle deine Daten unwiderruflich entfernt:

• Nutzerprofil und Authentifizierungsdaten
• Alle hochgeladenen Dokumente (Excel, PDF, CSV)
• Extrahierte Standort-, Raum- und Assetdaten
• Chat-Verlauf und KI-Analysen
• Such-Embeddings und Vektordaten

Die Löschung beauftragst du jederzeit selbst in den Kontoeinstellungen, ohne Nachfrage beim Support. Wir vollziehen sie nach 14 Tagen, bis dahin kannst du sie zurücknehmen. Das ist dein Recht nach Art. 17 DSGVO.

Deine Daten gehören dir. Nach Vertragsende stellen wir dir 60 Tage lang den Export in marktüblichen Formaten bereit.

Enthalten ist dein Bestand:

• Anlagen und Betriebsmittel, Räume und Standorte
• Verträge und hochgeladene Dokumente
• Nachweise und Protokolle zu erledigten Prüfungen, Wartungen und Begehungen

Nicht enthalten ist, was GROW beisteuert: der Prüfpflichten-Katalog, die Prüf- und Wartungsregeln sowie die offenen Vorschläge und künftigen Fristen, die daraus abgeleitet sind. Sie gehören zum GROW-Prozess, nicht zu deinem Bestand. Was du zum Nachweis deiner Betreiberpflichten brauchst, ist davon nicht betroffen: erledigte Prüfungen gehen mit Datum, Ergebnis und Nachweis mit.

Wir sind ein junges Unternehmen und haben aktuell keine formalen Zertifizierungen wie ISO 27001 oder SOC 2. Das sagen wir offen.

Was wir stattdessen bieten:

• DSGVO-konforme Infrastruktur: Betriebsdaten in der EU, Auftragsverarbeitungsverträge mit allen Dienstleistern
• Technische Sicherheitsmaßnahmen: Row Level Security, verschlüsselte Übertragung (TLS), kein Passwort-Speicher (Magic Link Auth)
• Minimale Angriffsfläche: keine eigenen Server, keine selbstverwaltete Infrastruktur, gehärtete Cloud-Services
• Security Headers: HSTS, X-Frame-Options, Content-Type-Schutz

Eine ISO-27001-Zertifizierung ist vorgesehen, sobald der Kundenstamm sie rechtfertigt.

Bei Fragen zur Sicherheit, zum Datenschutz oder wenn du eine Schwachstelle melden möchtest:

hello@growworkspace.io

Wir antworten in der Regel innerhalb von 24 Stunden. Für Schwachstellen-Meldungen bitten wir um eine verantwortungsvolle Offenlegung (Responsible Disclosure).