Datenschutz

Rechtliches

SunPeak Innovations

Gültig ab 20. Oktober 2026

Diese Seite beschreibt die technischen und organisatorischen Maßnahmen, mit denen die SunPeak Innovations LLC Daten auf unserer Website, in der Plattform SP SmartCloud, in der mobilen App SunPeak Devices und in unseren Geräten schützt. Sie ist zugleich die Beschreibung der Sicherheitsmaßnahmen, auf die in den Bedingungen zur Auftragsverarbeitung auf unserer Seite „DSGVO-Konformität“ verwiesen wird. Welche personenbezogenen Daten wir verarbeiten und warum, erläutert unsere Datenschutzerklärung.

1. Unser Ansatz

Wir erheben nur die Daten, die zur Erbringung unserer Dienste erforderlich sind, halten die Daten der Plattform in der Europäischen Union und integrieren den Schutz in unsere Geräte, nicht nur in unsere Server. Wir beschreiben hier nur Maßnahmen, die tatsächlich umgesetzt sind, und aktualisieren diese Seite, wenn sie sich ändern.

2. Speicherort der Daten

  • Die Anwendungsserver und die Datenbank der Plattform laufen auf Google Cloud in der Region Belgien in der Europäischen Union.
  • Auf die Plattform hochgeladene Dateien werden in Google Cloud Storage gespeichert.
  • Unser Zahlungsdienst läuft auf Google Cloud in der Region Deutschland in der Europäischen Union. Kartenzahlungen werden von einem lizenzierten Zahlungsdienstleister abgewickelt; Kartendaten gelangen nie in unsere Systeme.
  • Die Website wird über Google Firebase Hosting ausgeliefert.
  • Unsere E-Mail läuft über Google Workspace.

3. Verschlüsselung

  • Die Website, die Plattform und die API sind ausschließlich über verschlüsselte HTTPS-Verbindungen erreichbar.
  • Google Cloud verschlüsselt gespeicherte Daten standardmäßig im Ruhezustand.
  • Passwörter werden nie in lesbarer Form gespeichert; wir speichern nur einen gesalzenen kryptografischen Hash (PBKDF2-SHA256).
  • In der mobilen App wird Ihr Anmeldetoken im sicheren Speicher des Telefons aufbewahrt (Keychain unter iOS, verschlüsselter Speicher unter Android).

4. Zugriffskontrolle

  • Die Daten jedes Kunden werden in einem eigenen Arbeitsbereich (Workspace) gehalten und sind nur den Nutzern dieses Arbeitsbereichs entsprechend ihren Rollen zugänglich: Inhaber, Administrator oder Mitglied.
  • Die Anmeldung erfolgt mit Einmalcodes, die per E-Mail, SMS oder Telegram gesendet werden, nach zwei Minuten verfallen und nur eine begrenzte Zahl von Versuchen zulassen, oder mit einem Passwort.
  • Anmeldungen und manuelle Befehle an Anlagen werden in einem Audit-Protokoll erfasst, das der Inhaber und die Administratoren des Arbeitsbereichs einsehen können.
  • API-Schlüssel werden pro Arbeitsbereich ausgegeben, unterliegen Nutzungsgrenzen und können jederzeit widerrufen werden.
  • Der Zugriff auf unsere Produktivsysteme ist auf eine kleine Zahl befugter Personen beschränkt, die ihn für ihre Arbeit benötigen.

5. Sicherheit der Geräte und der Funkkommunikation

  • Die Geräte kommunizieren über das LoRaWAN-Protokoll, das den Inhalt jeder Nachricht mit AES-128 verschlüsselt und die gesamte Nachricht durch einen Integritätscode schützt, sodass veränderte oder gefälschte Nachrichten zurückgewiesen werden. In öffentlichen Netzen wie Helium verarbeitet auch der Betreiber des Netzwerkservers die Nachrichten, um sie an uns weiterzuleiten.
  • Konfigurationsbefehle, die per Funk an Geräte gesendet werden, werden mit einem für jedes Gerät eindeutigen geheimen Schlüssel signiert, der nie per Funk übertragen wird, und das Gerät weist Befehle mit ungültiger Signatur zurück.
  • Firmware-Updates für SP Net-Gateways sind digital signiert, und ein Gateway installiert nur ein Image mit gültiger Signatur.
  • Die Konfiguration über NFC erfordert physischen Zugang zum Gerät.
  • Die öffentliche Verifizierungsseite eines Geräts zeigt sein Modell, den Herstellungsmonat sowie die Prüf- und Kalibrierergebnisse. Die zugehörigen Dokumente enthalten außerdem die Namen unserer Mitarbeiter der Qualitätskontrolle und können den Namen des Eigentümers des Geräts enthalten, wie in unserer Datenschutzerklärung erläutert.

6. Datenminimierung und Aufbewahrung

  • Unsere Website verwendet keine Cookies, Analyse- oder Werbetracker.
  • Die mobile App hat keinen Zugriff auf Ihren Standort und enthält keine Analyse- oder Werbewerkzeuge.
  • Unverarbeitete Funknachrichten werden nach 7 Tagen gelöscht; nur die verarbeiteten Messwerte werden aufbewahrt.
  • Protokolle über Webhook-Zustellungen werden nach 24 Stunden gelöscht oder nach 30 Tagen, wenn die Zustellung fehlgeschlagen ist.
  • Die Aufbewahrungsfristen für andere Daten sind in unserer Datenschutzerklärung aufgeführt.

7. Datensicherungen und Ausfallsicherheit

Die Datenbank der Plattform läuft auf dem verwalteten Datenbankdienst von Google Cloud. Vor jeder Änderung an der Struktur der Produktivdatenbank erstellen wir eine vollständige Sicherungskopie, damit Daten wiederhergestellt werden können, falls etwas schiefgeht.

8. Entwicklung und Organisation

  • Änderungen an unserer Software werden vor ihrer Freigabe durch automatisierte Tests geprüft.
  • Alle Personen, die in unserem Auftrag mit personenbezogenen Daten arbeiten, sind zur Vertraulichkeit verpflichtet: unsere Geschäftsführung und Mitarbeiter durch den Gesellschaftsvertrag des Unternehmens und ihre schriftlichen Verpflichtungserklärungen, Auftragnehmer durch schriftliche Vereinbarungen.
  • Wir setzen Dienstleister ein, die Bedingungen zur Auftragsverarbeitung mit geeigneten Garantien anbieten, und führen sie in unserer Datenschutzerklärung und auf unserer Seite „DSGVO-Konformität“ auf.

9. Reaktion auf Sicherheitsvorfälle

Wenn wir einen Sicherheitsvorfall feststellen, ergreifen wir sofort Maßnahmen, um ihn einzudämmen, seine Auswirkungen zu bewerten und den normalen Betrieb wiederherzustellen. Betrifft ein Vorfall personenbezogene Daten, für die wir Verantwortlicher sind, melden wir ihn dem Dienst für den Schutz personenbezogener Daten Georgiens und, soweit die DSGVO oder das KVKK anwendbar ist, der zuständigen Aufsichtsbehörde oder dem Datenschutzrat der Türkei (Kişisel Verileri Koruma Kurulu) innerhalb von 72 Stunden, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Personen, und wir benachrichtigen die betroffenen Personen unverzüglich, wenn für sie ein hohes Risiko besteht. Betrifft ein Vorfall Daten, die wir im Auftrag von Kunden verarbeiten, benachrichtigen wir diese Kunden unverzüglich, damit sie ihre eigenen Pflichten erfüllen können.

10. Zertifizierungen

Die SunPeak Innovations LLC verfügt derzeit über keine unabhängige Zertifizierung der Informationssicherheit, etwa nach ISO/IEC 27001, und über keinen Bericht nach SOC 2. Google, das unsere Plattform hostet, verfügt über solche Zertifizierungen für seine eigene Infrastruktur; diese zertifizieren nicht die eigenen Prozesse von SunPeak. Wenn wir eine Zertifizierung erlangen, werden wir dies auf dieser Seite angeben.

11. Meldung von Sicherheitslücken

Wenn Sie glauben, eine Sicherheitslücke in unserer Website, Plattform, App oder unseren Geräten gefunden zu haben, schreiben Sie bitte an info@sunpeaki.com mit dem Betreff „Security“ und geben Sie uns eine angemessene Frist zur Behebung, bevor Sie die Lücke öffentlich machen. Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, verändern oder löschen Sie solche Daten nicht und stören Sie unsere Dienste nicht. Wir werden keine rechtlichen Schritte gegen Personen einleiten, die eine Sicherheitslücke in gutem Glauben und im Einklang mit diesen Regeln melden.

12. Kontakt

SunPeak Innovations LLC, Gldani Khevi, Building 3, Floor 1, 0178 Tbilisi, Georgien. E-Mail: info@sunpeaki.com. Telefon: +995 598 281 522.