--- title: "Trust Center — Sicherheit & Datenschutz" url: "/de/trust" canonical_url: "https://crunchjunkie.io/de/trust" markdown_url: "https://crunchjunkie.io/de/trust.md" language: "de" type: "page" summary: "Wie CrunchJunkie deine Daten schützt: EU-Hosting in Frankfurt, Verschlüsselung, DSGVO-Konformität und unser Sicherheitsprogramm." site: "CrunchJunkie" llms_txt: "https://crunchjunkie.io/llms.txt" --- # Trust Center — Sicherheit & Datenschutz Source: https://crunchjunkie.io/de/trust Sicherheit & Compliance # Gemacht für deine Anbieter-Sicherheitsprüfung CrunchJunkie kommt von einem deutschen Unternehmen (Tiki-Taka Media GmbH) und ist für die Agenturen und Inhouse-Teams gebaut, die diese Daten verwalten. Hier steht genau, wo deine Daten liegen, wer sie verarbeitet und welche Maßnahmen sie schützen — alles, was ein ISO-zertifizierter Einkäufer für die Freigabe braucht. ## Datenstandort Anwendung (Compute) Frankfurt (fra1) EU Vercel — EU-Region Dateispeicher Frankfurt (fra1) EU Vercel Blob — EU-Region Datenbank Frankfurt (eu-central-1) EU Neon — EU-Region Anwendung, Dateispeicher und Datenbank laufen komplett in der EU (Frankfurt). Vercel ist ein US-Unternehmen und kann damit dem US CLOUD Act unterliegen; soll die KI-Verarbeitung vollständig in deiner eigenen Jurisdiktion bleiben, nutze deinen eigenen KI-Schlüssel (BYOK) — deine Prompts laufen dann über dein eigenes Anbieterkonto. Kunden können unter {settings} jederzeit einen aktuellen **Bericht zu Datenstandort & Unterauftragsverarbeitern** für ihren eigenen Workspace einsehen und exportieren.Einstellungen → Daten & Standort ## Unterauftragsverarbeiter Mit jedem Unterauftragsverarbeiter, der in unserem Auftrag personenbezogene Daten verarbeitet, haben wir einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). KI-Anbieter kommen nur ins Spiel, wenn du Managed AI oder die jeweilige Funktion aktivierst. Unterauftragsverarbeiter Zweck Region Übermittlungsgrundlage Vercel Vercel Inc. (USA) [AVV →](https://vercel.com/legal/dpa) Application hosting, CDN, serverless function execution (compute), and file/object storage Frankfurt (fra1), EU EU–US Data Privacy Framework + Standard Contractual Clauses Neon Neon Inc. (USA) [AVV →](https://neon.tech/dpa) Managed PostgreSQL database (all application data at rest) Frankfurt (eu-central-1), EU Processed in the EU — no third-country transfer Upstash Upstash, Inc. (USA) [AVV →](https://upstash.com/static/trust/dpa.pdf) Shared rate-limit counters for API and sign-in endpoints (request counts keyed by IP address) · Aufbewahrung: Counters expire automatically after 1–15 minutes Frankfurt (eu-central-1), EU Standard Contractual Clauses (+ Transfer Impact Assessment) Stripe Stripe, Inc. (USA) [AVV →](https://stripe.com/legal/dpa) Payment processing & subscription management United States EU–US Data Privacy Framework + Standard Contractual Clauses Resend Resend Inc. (USA) [AVV →](https://resend.com/legal/dpa) Transactional email delivery (password resets, report & alert emails) United States EU–US Data Privacy Framework + Standard Contractual Clauses SerpAPI SerpAPI, LLC (USA) Reads Google AI Overviews, Google AI Mode & Microsoft Copilot for visibility scans United States No transfer mechanism published by the vendor — do not send personal data Tavily Tavily (USA) Supplementary web-search retrieval in research & content-brief features United States No transfer mechanism published by the vendor — do not send personal data WorkOS(Opt-in) WorkOS, Inc. (USA) [AVV →](https://workos.com/legal/dpa) OAuth authorization server for the MCP connector (issues the access tokens AI assistants use to call CrunchJunkie on a user's behalf) United States Standard Contractual Clauses (+ Transfer Impact Assessment) OpenAI OpenAI, L.L.C. (USA) [AVV →](https://openai.com/policies/data-processing-addendum/) AI-visibility scans (ChatGPT) and CrunchJunkie AI features · Aufbewahrung: 30-day default; Zero-Data-Retention available United States (EU in-region processing available via EU Project) EU–US Data Privacy Framework + Standard Contractual Clauses Anthropic (Claude) Anthropic, PBC (USA) [AVV →](https://www.anthropic.com/legal/commercial-terms) CrunchJunkie AI features (report summaries, assistant), Claude visibility scans, and — for every workspace — reading each AI-visibility answer, the AI-visibility analyses and GEO audit insights · Aufbewahrung: 7-day default; Zero-Data-Retention available (enterprise) United States Standard Contractual Clauses (+ Transfer Impact Assessment) Google (Gemini) Google LLC (USA) [AVV →](https://cloud.google.com/terms/data-processing-addendum) Gemini visibility scans and CrunchJunkie AI features · Aufbewahrung: Not used to train models on paid API/Vertex United States (EU regions available via Vertex AI) EU–US Data Privacy Framework + Standard Contractual Clauses Perplexity Perplexity AI, Inc. (USA) [AVV →](https://www.perplexity.ai/hub/legal/dpa) Perplexity visibility scans United States Standard Contractual Clauses (+ Transfer Impact Assessment) Grok (xAI) X.AI LLC (USA) [AVV →](https://x.ai/legal/data-processing-addendum) Grok visibility scans · Aufbewahrung: Deleted within ~30 days of a deletion request United States Standard Contractual Clauses (+ Transfer Impact Assessment) DeepSeek(Opt-in) DeepSeek (China) DeepSeek visibility scans China No transfer mechanism published by the vendor — do not send personal data Meta AI (Muse Spark)(Opt-in) Meta Platforms Ireland Limited (Ireland); processed by Meta Platforms, Inc. (USA) Meta AI visibility scans United States EU–US Data Privacy Framework (EU contracting entity; certified US processing entity) DataForSEO(Opt-in) DataForSEO OÜ (Estonia) [AVV →](https://dataforseo.com/privacy-policy) Google and Bing search results for the Rank Tracker, for workspaces that use a Rank Tracker budget instead of their own DataForSEO account · Aufbewahrung: Task data (including keywords) kept 365 days, then deleted EU (Estonia; data centre in Germany) and USA (cloud infrastructure); operations also in Ukraine Standard Contractual Clauses (+ Transfer Impact Assessment) ## Technische & organisatorische Maßnahmen (Art. 32) - Verschlüsselung im Ruhezustand — KI-Schlüssel & OAuth-Token mit AES-256-GCM auf Anwendungsebene, zusätzlich zur Festplattenverschlüsselung des Anbieters - Verschlüsselung bei der Übertragung — TLS 1.2+ mit erzwungenem HSTS - Mandantentrennung — jede Abfrage ist auf das angemeldete Team begrenzt; Zugriffe über Teamgrenzen hinweg sind architektonisch ausgeschlossen - Zugriffskontrolle — MFA-Pflicht für Produktivzugriffe; Least Privilege; Zugriffe werden protokolliert und regelmäßig geprüft - Passwörter — bcrypt (Kostenfaktor 12), niemals im Klartext gespeichert - Rate Limiting — Auth-Routen und kritische API-Routen werden pro IP gedrosselt - Incident Response — dokumentierter Prozess; Meldung von Datenpannen innerhalb von 72 Stunden (Art. 33 DSGVO) Der vollständige TOM-Anhang ist Teil unseres Auftragsverarbeitungsvertrags. ### Zertifizierungen Wir bauen entlang der Controls hinter ISO 27001 — Verschlüsselung, Zugriffskontrolle, Protokollierung, Incident Response, Ausfallsicherheit. Die formale ISO-27001-Zertifizierung steht auf unserer Roadmap; bis dahin unterstützen wir deine Sicherheitsprüfung mit unterschriebenem AVV, dieser Liste der Unterauftragsverarbeiter, unseren TOMs und einem ausgefüllten Sicherheitsfragebogen auf Anfrage. ### Internationale Datenübermittlung Wenn Daten an einen Unterauftragsverarbeiter im Drittland gehen (vor allem in die USA), stützen wir uns auf das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist — abgesichert durch EU-Standardvertragsklauseln und ein Transfer Impact Assessment. Die Standardvertragsklauseln behalten wir auch bei DPF-zertifizierten Anbietern bei, damit Übermittlungen rechtmäßig bleiben, falls sich am Framework etwas ändert. ## Unterlagen für deine Prüfung Alles, was dein Compliance-Team braucht. Du brauchst einen unterschriebenen AVV oder unseren Sicherheitsfragebogen? Schreib uns an [hello@crunchjunkie.io](mailto:hello@crunchjunkie.io). [Auftragsverarbeitungsvertrag (AVV)](https://crunchjunkie.io/de/legal/dpa) [Datenschutzerklärung](https://crunchjunkie.io/de/legal/privacy)[Sicherheit](https://crunchjunkie.io/de/legal/security) Angemeldete Kunden können unter Einstellungen → Daten & Standort jederzeit einen aktuellen Bericht zum Datenstandort exportieren.