Daten-Governance
Wie wir mit den Daten Ihrer Kette umgehen.
Diese Seite ist die öffentliche Daten-Governance-Erklärung von Tracebud für Käufer, Partner und Beschaffungsprüfungen. Sie steht neben unserer Datenschutzerklärung und der Übersicht zu Daten und Sicherheit.
Geltungsbereich
Was das abdeckt.
Tracebud AS (Oslo, Norwegen) stellt eine auf die EUDR ausgerichtete Feld-App, ein Organisations-Dashboard und eine API bereit. Wir verarbeiten personenbezogene und operative Daten, damit Landwirte, Genossenschaften und Käufer Parzellen kartieren, Nachweise aufbewahren und Sorgfaltserklärungen vorbereiten können.
Eigentum
Landwirte und Organisationen besitzen ihre Datensätze.
- Parzellen, Unterlagen und Liefernachweise eines Erzeugers gehören dem Erzeuger. Er behält sie in seiner App und kann sie zu einem anderen Käufer mitnehmen.
- Mitgliederlisten, Lose, Siegel und Einreichungen gehören der Organisation, die sie erstellt hat. Ein Export ist möglich; Tracebud zu verlassen heißt nicht, Ihre Daten zu verlieren.
- Tracebud ist der Überbringer, nicht der Eigentümer. Wir verkaufen keine Kettendaten unserer Kunden und nutzen sie nicht, um Preise gegen Sie zu setzen.
Zustimmung
Die Freigabe folgt der Einwilligung im Datensatz.
Datensätze überschreiten Organisationsgrenzen nur mit angehängter Einwilligung (zum Beispiel eine versiegelte Sendung oder eine ausdrückliche Freigabe). Landwirte können die Freigabe über die Einwilligungs-Wallet auf app.tracebud.com einsehen und verwalten. Dashboard-Nutzer fragen diese Freigaben an und respektieren sie.
Einwilligungs-Wallet (Landwirte)Unterauftragsverarbeiter
Wer Daten für uns verarbeitet.
Primäre Datenbank, Authentifizierung, API, Rate-Limit-Redis und Vercel Functions laufen in der EU: Supabase Frankfurt (eu-central-1), Railway EU West für api.tracebud.com, Upstash Redis eu-central-1 und Vercel Functions in Frankfurt (fra1). Die Fehlerüberwachung nimmt Daten über Sentry Deutschland entgegen. Verbleibende Auftragsverarbeiter außerhalb des EWR sind Twilio (SMS-OTP), Expo/Apple/Google (Push und OTA) und Notion (Pilotwerkzeuge). Das Edge-CDN von Vercel bleibt multiregional. Wir behaupten nicht, dass jeder Auftragsverarbeiter ausschließlich in der EU sitzt.
Aktive Auftragsverarbeiter sind unter anderem Supabase (Datenbank, Authentifizierung, Speicher), Railway (API-Hosting), Vercel (Marketing und Dashboard), Sentry (Fehlerüberwachung mit Entfernung personenbezogener Daten), Expo/EAS (mobile Builds und OTA), Apple APNs und Google FCM (Push-Token) und Twilio Verify (Telefon-OTP). Optionale Auftragsverarbeiter wie Resend (E-Mail) oder Stripe (Abrechnung) werden genutzt, wenn diese Funktionen live sind.
Intern wird ein ausführlicheres Verzeichnis für Kunden-AVV geführt. Beschaffungsfragebögen: hello@tracebud.com.
Aufbewahrung und Löschung
Behalten, was das Gesetz verlangt; vernichten, was es erlaubt.
Kontolöschung und Werkzeuge zur kryptografischen Vernichtung sind für personenbezogene Felder umgesetzt, soweit das Aufbewahrungsrecht es erlaubt. Die EUDR und verwandte Aufbewahrungspflichten können es erfordern, einige Compliance-Referenzen zu behalten. Export- und Berichtigungsanfragen werden erfüllt. Absolute Aussagen wie „DSGVO-zertifiziert“ bleiben vorbehalten, bis die Rechtsberatung zustimmt.
Sicherheitslage
Kontrollen, die wir heute einsetzen.
TLS bei der Übertragung, Anbieterverschlüsselung im Ruhezustand, Mandantentrennung, rollenbasierter Zugriff, Audit-Protokolle für Compliance-Aktionen, Ratenbegrenzung und CAPTCHA an Anmeldeflächen. Eine unabhängige Zertifizierung (SOC 2, ISO 27001) steht auf der Roadmap – keine aktuelle Zertifizierungsbehauptung.