Kurze Antwort: Ihre Analytics-Daten liegen in der EU. Die primäre Datenbank wird von Supabase in Frankfurt (eu-central-1) gehostet, und Edge-Anfragen werden vom global verteilten Netzwerk von Cloudflare bedient, wobei für europäische Besucher EU-Standorte den nächstgelegenen Hop übernehmen.
Primärspeicherung: EU (Frankfurt)
Die Supabase-Postgres-Datenbank, in der Ihre Analytics-Events, Besucherdatensätze, Websites, Team-Daten und das Audit-Log gespeichert werden, läuft in eu-central-1 (Frankfurt, Deutschland). Dies gilt für jeden Zenovay-Kunden, unabhängig vom Plan.
In Postgres geschriebene Daten verbleiben in der EU. Backups sind im Ruhezustand verschlüsselt und werden in derselben Region gespeichert.
Edge: global verteilt, mit EU-Resident-Persistenz
Tracking-Anfragen werden von Cloudflare Workers bedient, die am nächstgelegenen verfügbaren Point-of-Presence laufen, um geringe Latenz zu erreichen. Die Workers persistieren keine Daten — sie validieren Events und leiten sie an den primären EU-Speicher weiter. Die POPs in Frankfurt, Amsterdam, Paris und London sind die typischen Hops für europäischen Traffic.
KV (Rate-Limit-Zähler, Echtzeit-Besucherzählungen) ist geografisch repliziert, wird aber als ephemerer Cache behandelt — alles Sensible wird gehasht, bevor es in KV landet, und KV-Einträge laufen mit kurzer TTL ab.
Internationale Übermittlungen
Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA und verarbeiten kleine Teile Ihrer Daten:
- Stripe (Zahlungen) — Rechnungs-E-Mail-Adresse, Zahlungsmethoden-Metadaten. PCI DSS Level 1 zertifiziert.
- Resend (transaktionale E-Mails) — Ihre E-Mail-Adresse und der Nachrichteninhalt.
- OpenAI über Cloudflare AI Gateway (die KI-Insights- und Chat-Funktionen, sofern Sie sie nutzen) — die natürlichsprachliche Anfrage, die Sie senden, sowie ein redigiertes Stück der zur Beantwortung benötigten Analytics.
Für diese Übermittlungen stützen wir uns auf:
- Den EU-US-Datenschutzrahmen (DPF), sofern der Empfänger DPF-zertifiziert ist.
- Standardvertragsklauseln (SCCs) mit zusätzlichen technischen Maßnahmen als Backup-Mechanismus.
Die vollständige Liste der Auftragsverarbeiter und der internationale Übermittlungsmechanismus für jeden einzelnen sind auf unserer DPA-/Rechts-Seite veröffentlicht.
Was ist mit den Analytics-Events selbst?
Besucher-Events (Pageviews, Custom Events, Geolokalisierung, gehashte IDs) verlassen den primären EU-Speicher in zwei Fällen:
- Wenn Sie sie über das Dashboard oder die API exportieren — dann steuern Sie, wo der Export liegt.
- Wenn Sie sich für die KI-Insights-Funktion entscheiden — ein redigiertes Aggregat wird an OpenAI gesendet, um die Erklärung zu generieren, und nicht für das Training aufbewahrt.