Sicherheitsübersicht

Inhalt

1. 1. Kurz gefasst
2. 2. Wo Ihre Daten gespeichert werden
3. 3. Verschlüsselung
4. 4. Trennung der Daten jedes Unternehmens
5. 5. Schutz der Anmeldung
6. 6. Prüfpfad und Manipulationserkennung
7. 7. Backups und Wiederherstellung
8. 8. Zahlungen und Geld
9. 9. Künstliche Intelligenz
10. 10. Zugriff unseres Teams
11. 11. Überwachung und Reaktion auf Vorfälle
12. 12. Zertifizierungen
13. 13. Was Sie tun können
14. 14. Meldung einer Schwachstelle

Fassung: 1.2 · Veröffentlicht: 16. Oktober 2026 · Wirksam: bei Annahme für neue Arbeitsbereiche; für Arbeitsbereiche, die eine frühere Fassung angenommen haben, an dem Datum, das STAK in seiner Mitteilung nach Ziffer 20 der Nutzungsbedingungen für Kunden nennt · Maßgeblicher Text: Englisch (Ziffer 23.9 der Nutzungsbedingungen für Kunden)

Ausgestellt von: STAK Global, LLC, eine nach dem Recht des Staates Delaware, Vereinigte Staaten von Amerika, gegründete Gesellschaft mit beschränkter Haftung (Aktennummer 10798493), der STAK (ستاك) und die Dienste gehören. Kontakt: [email protected].

Diese Sicherheitsübersicht erläutert in einfacher Sprache, wie wir die Daten Ihres Unternehmens schützen und Kopien davon aufbewahren, wie es sich zum Wirksamkeitsdatum dieser Fassung darstellt. Wir aktualisieren sie, wenn sich das ändert. Sie dient nur der Information. Unsere vertraglichen Verpflichtungen stehen in der Auftragsverarbeitungsvereinbarung. In den STAK-Nutzungsbedingungen für Kunden definierte Begriffe haben in dieser Sicherheitsübersicht dieselbe Bedeutung.

1. Kurz gefasst

• Ihre Daten sind verschlüsselt, während sie übertragen werden und während sie in unseren Systemen gespeichert sind.
• Die Daten jedes Unternehmens werden in der Datenbank selbst von allen anderen getrennt gehalten.
• Wir erstellen laufend Backups und bewahren tägliche und monatliche Kopien in einem anderen Land auf, geschützt vor vorzeitiger Löschung.
• Wir speichern keine Kartennummern, und wir erhalten oder halten niemals Ihr Geld.
• Jede wichtige Änderung wird in einem Prüfpfad aufgezeichnet, den kein Nutzer ändern kann.
• Wir verfügen derzeit weder über eine ISO-27001-Zertifizierung noch über einen SOC-2-Bericht. Wir werden dies hier angeben, wenn wir sie erhalten.

2. Wo Ihre Daten gespeichert werden

2.1 Die Dienste laufen auf der Cloud-Infrastruktur von Amazon Web Services in der Region Frankfurt in der Bundesrepublik Deutschland. Backups werden in eine gesonderte Region von Amazon Web Services in der Republik Irland kopiert. Diese Trennung bedeutet, dass eine Kopie Ihrer Daten auch dann erhalten bleiben kann, wenn die gesamte primäre Hosting-Region ausfällt.

2.2 Wir können das Hosting künftig in eine andere Region verlegen. Wir werden Sie mindestens 30 Tage im Voraus benachrichtigen. Der vorübergehende Betrieb der Dienste aus den Backups in der Republik Irland nach dem Verlust der primären Hosting-Region ist keine Verlegung, und wir werden Sie unverzüglich darüber informieren.

2.3 STAK wird von der STAK Global, LLC bereitgestellt, einer in den Vereinigten Staaten von Amerika gegründeten Gesellschaft. Unser Hosting-Anbieter und einige unserer Dienstleister unterliegen ebenfalls dem Recht der Vereinigten Staaten. Wir schützen Ihre Daten vor rechtswidrigem Zugriff durch jede Regierung, wie in Ziffer 13 der Auftragsverarbeitungsvereinbarung festgelegt: Wir legen Daten nur aufgrund eines verbindlichen Verlangens offen, teilen Ihnen dies mit, sofern das Gesetz es nicht verbietet, beschränken die Offenlegung auf das Minimum und fechten Verlangen an, die wir vernünftigerweise für rechtswidrig halten. Ihre Daten sind verschlüsselt, während sie gespeichert werden und während sie übertragen werden.

3. Verschlüsselung

3.1 Jede Verbindung zu den Diensten wird mit TLS in Version 1.2 oder höher verschlüsselt, und die Anwendung überprüft bei jeder Verbindung die Identität des Datenbankservers.

3.2 Datenbanken, Datenträger, Dateien, Backups und der Speicher für Geheimnisse werden im Ruhezustand mit AES-256 verschlüsselt, mit Schlüsseln, die über den Schlüsselverwaltungsdienst von Amazon oder durch den Hosting-Anbieter verwaltet werden.

3.3 Die Akten und klinischen Aufzeichnungen Ihrer Beschäftigten werden zusätzlich innerhalb der Anwendung mit gesonderten Schlüsseln verschlüsselt, und die Schlüssel für die Verbindung zu Zahlungsdienstleistern und anderen Anbietern werden in einem gesonderten Speicher für Geheimnisse gehalten, der mit einem gesonderten Schlüssel verschlüsselt ist.

4. Trennung der Daten jedes Unternehmens

4.1 Jeder Datensatz eines Unternehmens in der Datenbank trägt die Kennung des Unternehmens, zu dem er gehört. Die Datenbank selbst erzwingt Sicherheitsregeln auf Zeilenebene, die verhindern, dass die Anwendung Datensätze eines anderen Unternehmens liest oder schreibt. Dies ist eine unabhängige Schutzebene unterhalb der eigenen Prüfungen der Anwendung.

4.2 Das von der Anwendung verwendete Datenbankkonto hat keine Berechtigung, diese Regeln zu umgehen.

5. Schutz der Anmeldung

5.1 Sie können sich anmelden mit:

• ein per WhatsApp an eine verifizierte Nummer gesendeter Bestätigungscode;
• ein Passkey mit Gesichts- oder Fingerabdruckerkennung;
• ein Google-, Apple- oder Microsoft-Konto.

Nach der Anmeldung kann eine Authenticator-App als zweiter Schritt genutzt werden. Wir verwenden keine Passwörter.

5.2 Sie können die Zwei-Schritt-Anmeldung für bestimmte Rollen vorschreiben, und Inhaber und Administratoren werden gewarnt, wenn jemand seine Verifizierungsmethoden ändert. Jede Person wird gewarnt, wenn ihr eigenes Konto von einem neuen Gerät aus verwendet wird. In den Tarifen, die sie enthalten, können Sie außerdem ein Zeitlimit für Sitzungsinaktivität festlegen, und Inhaber werden gewarnt, wenn sich jemand von einem neuen Gerät aus anmeldet.

5.3 Jeder Mitarbeiter erhält eine definierte Rolle und Berechtigungen, und sein Zugriff kann auf bestimmte Filialen beschränkt werden. Mitarbeiter an gemeinsam genutzten Geräten verwenden eine sechsstellige persönliche Identifikationsnummer (PIN), und die Anmeldung damit wird nach fünf falschen Versuchen gesperrt.

6. Prüfpfad und Manipulationserkennung

6.1 Jede wichtige Änderung wird in einem Prüfpfad aufgezeichnet, mit Angabe, wer sie vorgenommen hat, wann, von wo und von welcher IP-Adresse aus. Kein Nutzer kann diesen Pfad ändern oder löschen; lediglich bei der Ausführung eines Antrags auf Löschung der Daten eines Endkunden wird die Identität dieser Person aus seinen Einträgen entfernt, während erhalten bleibt, was getan wurde, von wem und wann. Der Pfad wird bei der Beendigung nach den Bedingungen zusammen mit den Kundendaten gelöscht.

6.2 Buchungseinträge sind in einer Kette verknüpft, die jede spätere Änderung an ihnen offenlegt, und Sie können ihre Integrität auf der Sicherheitsseite überprüfen.

7. Backups und Wiederherstellung

7.1 Wir erstellen laufend Backups der Datenbanken, die ihre Wiederherstellung zu jedem Zeitpunkt der letzten 35 Tage ermöglichen. Wir erstellen außerdem:

• tägliche Backups, 35 Tage aufbewahrt;
• monatliche Backups, 12 Monate aufbewahrt;
• jede Nacht ein logisches Backup der Datenbank (ein Datenbank-Dump), das 35 Tage lang in gesperrtem Speicher aufbewahrt wird.

7.2 Tägliche und monatliche Backups werden nach Irland kopiert. Die Richtlinie der Backup-Tresore in Frankfurt und Irland verhindert, dass jemand, auch unser eigenes Team, ein Backup vor Ablauf seiner Aufbewahrungsfrist löscht oder diese Frist ändert. Die Tresore sind außerdem im Compliance-Modus des Hosting-Anbieters gesperrt, der so ausgelegt ist, dass niemand, auch nicht jemand, der eines unserer Konten beim Hosting-Anbieter übernehmen sollte, ein Backup in seinen ersten 35 Tagen löschen kann.

7.3 Jeden Monat testen wir die Wiederherstellung der Datenbank aus Backups. Wir streben an, bei einem Datenbankausfall höchstens 15 Minuten an Daten und beim Verlust der gesamten Hosting-Region höchstens 24 Stunden zu verlieren, entsprechend den Wiederherstellungszielen in der Service-Level-Vereinbarung.

7.4 Wir bewahren Backups auf, um den Dienst wiederherzustellen, nicht als Archiv für Sie. Bitte exportieren Sie Ihre Daten daher regelmäßig von der Seite für Tarif und Abrechnung oder aus jeder App.

8. Zahlungen und Geld

8.1 Die Dienste sind so gestaltet, dass Kartennummern weder durch unsere Systeme laufen noch in ihnen gespeichert werden: Die Zahlung erfolgt auf den eigenen Seiten der Zahlungsdienstleister oder auf deren zertifizierten Kartenakzeptanzterminals und -Apps. Die Bildschirme der Dienste enthalten kein Feld für Kartennummern oder deren Sicherheitscodes, und Sie können auf der Sicherheitsseite verlangen, dass Textfelder auf versehentlich eingegebene Kartennummern geprüft werden.

8.2 Ihr Geld wird direkt vom Zahlungsdienstleister auf Ihr Bankkonto ausgezahlt. Wir erhalten oder halten es nie.

8.3 Die Änderung des in STAK hinterlegten Bankkontos für den Empfang von Auszahlungen erfordert einen zusätzlichen Verifizierungsschritt und wird erst nach 48 Stunden wirksam. Inhaber werden sofort benachrichtigt, damit sie die Änderung stornieren können.

9. Künstliche Intelligenz

9.1 Daten werden nur dann an den KI-Anbieter gesendet, wenn ein Nutzer eine KI-Funktion anfordert, ein Dokument zum Auslesen durch eine solche Funktion hochlädt, etwa einen Beleg, oder wenn eine von einem Nutzer eingerichtete Automatisierung einen KI-Schritt ausführt, und es werden nur die für diese Anfrage oder diesen Schritt erforderlichen Daten gesendet.

9.2 Ihre Daten werden nicht zum Training von Modellen künstlicher Intelligenz verwendet. KI-Funktionen ändern einen Datensatz nur nach Ihrer ausdrücklichen Bestätigung oder aufgrund einer Automatisierung, die ein berechtigter Nutzer eingerichtet und aktiviert hat.

10. Zugriff unseres Teams

Der Zugriff auf die Produktivumgebung ist auf eine begrenzte Zahl namentlich benannter Beschäftigter beschränkt und erfordert eine Multi-Faktor-Authentifizierung, und der Beginn jeder Zugriffssitzung wird protokolliert. Der administrative Zugriff auf Server erfolgt ausschließlich über den Systemverwaltungsdienst von Amazon, ohne direkte Anmeldung an Servern.

Wir sehen Ihre Daten nur in diesen Fällen ein:

• um den von Ihnen erbetenen Support zu leisten;
• um die Dienste zu betreiben, zu warten und wiederherzustellen;
• um einen Sicherheitsvorfall oder einen vermuteten Verstoß gegen die Richtlinie zur zulässigen Nutzung zu untersuchen;
• wenn das Gesetz es verlangt.

11. Überwachung und Reaktion auf Vorfälle

11.1 Wir überwachen die Cloud-Infrastruktur automatisch rund um die Uhr, mit sofortigen Warnmeldungen an unser Team. Jede administrative Handlung an der Cloud-Infrastruktur wird protokolliert, und Bedrohungen und überschüssige Berechtigungen werden automatisch erkannt.

11.2 Betrifft eine Verletzung des Schutzes personenbezogener Daten Ihre Daten, benachrichtigen wir Sie unverzüglich: nach Möglichkeit innerhalb von 24 Stunden, nachdem wir davon Kenntnis erlangt haben, und in jedem Fall innerhalb von 48 Stunden. Wir teilen Ihnen mit, was geschehen ist und was wir dagegen unternommen haben.

12. Zertifizierungen

Wir verfügen derzeit weder über eine ISO-27001-Zertifizierung noch über einen SOC-2-Bericht. Wir verfügen auch über keine PCI-DSS-Zertifizierung, weil die Dienste so gestaltet sind, dass Kartendaten nicht durch unsere Systeme laufen: Sie werden auf den eigenen Seiten der Zahlungsdienstleister oder deren zertifizierten Terminals und Apps verarbeitet. Die Zahlungsdienstleister, die Sie mit den Diensten verbinden, verfügen über ihre eigenen Zertifizierungen. Wir werden hier jede Zertifizierung aufführen, die wir künftig erhalten.

Wenn Sie Kartenzahlungen über Ihre STAK-Seiten annehmen, wird der Käufer auf die eigene Seite Ihres Zahlungsdienstleisters weitergeleitet, oder Sie nutzen dessen zertifizierte Terminals und Apps, sodass die Seiten von STAK nie Kartendaten erfassen. Prüfen Sie Ihre eigenen PCI-DSS-Pflichten mit Ihrem Zahlungsdienstleister; ein Unternehmen, das eine solche Weiterleitung nutzt, füllt in der Regel den kürzesten Selbstbewertungsfragebogen aus (SAQ A). STAK beansprucht keine PCI-DSS-Zertifizierung.

13. Was Sie tun können

• Aktivieren Sie die Zwei-Schritt-Anmeldung für Inhaber und Administratoren.
• Geben Sie jedem Mitarbeiter nur die Berechtigungen, die seine Arbeit erfordert, und entziehen Sie Personen, die ausscheiden, sofort den Zugriff.
• Exportieren Sie Ihre Daten regelmäßig, mindestens einmal im Monat.
• Halten Sie Kassengeräte verbunden, bis offline erfasste Verkäufe vollständig synchronisiert sind, bevor Sie ein Gerät zurücksetzen oder abmelden.
• Halten Sie die Systeme und Browser Ihrer Geräte auf dem neuesten Stand.
• Teilen Sie uns verdächtige Aktivitäten sofort mit.

14. Meldung einer Schwachstelle

Wenn Sie eine Sicherheitsschwachstelle entdecken, schreiben Sie uns an [email protected]. Wir behandeln Meldungen vertraulich. Wir genehmigen Sicherheitstests nach Treu und Glauben innerhalb der Grenzen in Ziffer 10 der Richtlinie zur zulässigen Nutzung, und wir erheben keine Beschwerde und keinen Anspruch gegen jemanden, der diese Grenzen einhält und uns die Schwachstelle unverzüglich meldet.