Sicherheit und Datenschutz

Ihr Betrieb und die anderen

Trennung und Rechte

• Jeder einzelne Zugriffsweg unserer Software steht in einer Prüfliste. Wer einen neuen baut und ihn nicht einträgt, kann nicht veröffentlichen.

  Eine vergessene Prüfung fällt niemandem auf, weil die Funktion ja arbeitet. Darum prüft nicht ein Mensch, sondern eine Liste — und die Liste muss vollständig sein.

  Beleg · test_0_jeder_endpunkt_steht_im_katalog

• In der Auskunft über eine Person und im Gesamtexport werden Allergien und der Grund einer Absenz zurückgehalten, wenn das abfragende Konto sie für seine Arbeit nicht braucht. Statt «Krankheit» steht dann «abwesend».

  Die Küche muss die Allergie kennen. Die Buchhaltung nicht. Und niemand im Team muss wissen, warum die Kollegin fehlt. Im Dienstplan selbst gilt das noch nicht — das steht unten unter «Woran wir arbeiten», weil wir lieber sagen, wo eine Regel endet, als sie zu weit zu behaupten.

  Beleg · test_lesekonto_bekommt_im_export_keine_gesundheitsdaten

Ihre Daten gehören Ihnen

Auskunft, Herausgabe, Löschen

• Sie können die Daten einer einzelnen Person anfordern — als Datei, die ein Computer lesen kann. Bei einer Mitarbeiterin sind das Stammdaten, Dienste, Dienstmuster, Vorschläge, Präferenzen, Wunschpensum, Bewerbungen, Stellenbesetzung, Lohnabrechnungen und das Benutzerkonto.

  Fragt ein Gast oder eine Mitarbeiterin «was habt ihr über mich gespeichert?», müssen Sie das innert 30 Tagen beantworten. Das ist der Knopf dafür. Wir zählen die Bereiche auf, statt «alles» zu schreiben: Bis zum 16.09.2026 fehlten hier die Löhne, und ein Feld war sogar immer leer, weil niemand nachgesehen hatte.

  Beleg · test_die_auskunft_umfasst_den_lohn

• Sie können jederzeit 53 Tabellen Ihres Betriebs als ZIP-Datei herunterladen — Gäste, Reservationen, Gästemails mit Einwilligungen, Mitarbeitende, Arbeitszeiten mit Stempeln und Pausen, Anträge der Mitarbeitenden, Löhne, Bewertungen, Belege und das Prüfprotokoll. Was nicht dabei ist, steht namentlich in der Datei.

  Vorher gingen sechs Bereiche — gerade die ohne Personendaten. Danach stand «alle Ihre Daten» dort, gemeint waren 24 Tabellen von 78, die einen Bezug zu Ihrem Betrieb tragen. Jetzt steht die gezählte Zahl da, und das ZIP führt selbst auf, welche Tabellen fehlen. Eine Lücke, die man zählt, kann nicht heimlich wachsen.

  Beleg · test_der_gesamtexport_nennt_seine_zahl_statt_alle

• Löschen Sie einen Gast, verschwinden Name, Telefon und E-Mail auch aus seinen Reservationen — auch aus denen, die nie mit ihm verknüpft waren.

  Vorher blieb die Reservation mit allen Kontaktangaben stehen; nur die Verknüpfung war weg. Und danach blieben die Online-Reservationen stehen, die von Anfang an keine Verknüpfung hatten. Wer «löschen Sie meine Daten» sagt, meint genau diese Felder — in jeder Zeile, in der sie stehen. Seit dem 28.09.2026 gehören dazu auch das Versandprotokoll der Gästemails, die Einwilligungen und eine online angegebene Allergie.

  Beleg · test_gast_loeschen_raeumt_auch_die_unverknuepfte_reservation

• Angebote an Ihre Gäste verschicken wir nur, wenn der Gast bei der Online-Reservation ausdrücklich eingewilligt hat. Jede solche Mail trägt einen Abmeldelink.

  Das Häkchen ist nie vorausgefüllt und steht getrennt von den Pflichtangaben. Gespeichert werden Zeitpunkt und Wortlaut; ein Häkchen in der Gästekartei allein genügt nicht. Bestätigung, Änderung, Storno und Erinnerung sind keine Werbung und gehen ohne Einwilligung. Ohne eingerichteten Mailversand wird nichts verschickt, nur protokolliert.

  Beleg · test_angebot_nie_ohne_einwilligung

• Eine Bitte um Bewertung nach dem Besuch schicken wir nur nach einer Online-Reservation, bei der der Gast darauf hingewiesen wurde und ablehnen konnte — und nie, wenn er abgelehnt oder sich abgemeldet hat.

  Seit dem 28.09.2026 geht die Bewertungsbitte, ausser der Gast sagt nein. Das Kästchen zur Ablehnung ist nicht vorausgefüllt; Hinweis und Ablehnung speichern wir mit Zeitpunkt und Wortlaut, und der Abmeldelink in jeder Bitte gilt als Nein. Für Reservationen, die Sie am Telefon erfassen oder importieren, geht keine Bitte: dort hat niemand den Gast darauf hingewiesen.

  Beleg · test_bewertungsbitte_nicht_nach_widerspruch_bei_der_buchung

• Löschen Sie Ihr Konto, haben Sie 30 Tage Zeit, es sich anders zu überlegen. Bis dahin können Sie normal weiterarbeiten und Ihre Daten herunterladen.

  Vorher war die Löschung sofort und endgültig. Ein Fehlgriff um 23 Uhr war nicht mehr rückgängig zu machen — von niemandem.

  Beleg · test_kontoloeschung_hat_eine_karenzfrist

• Für vierzehn Datenarten ist eine Aufbewahrungsfrist festgelegt und aufgeschrieben: Prüfprotokoll, Reservationen ohne Stammgast, Anfragen von der Website, Schnappschüsse, Sicherungen, Kontolöschung, Rechnungen und Belege, dazu seit dem 28.09.2026 das Protokoll der Gästemails, online angegebene Allergien, Diäten und Allergien an Anlässen, widerrufene Einwilligungen und die Hinweise auf die Bewertungsbitte (je sechs Monate) sowie Reservationen mit Stammgast (24 Monate nach dem Besuch; die Zahl der Besuche bleibt in der Gästekartei). Ihre Stammdaten bleiben, solange Ihr Konto besteht.

  Vierzehn — nicht «alle». Für Ihre Stammdaten (Gäste, Mitarbeitende, Dienste, Bewertungen) gilt: Sie bleiben, solange Ihr Konto besteht. Rechnungen und Buchungsbelege sind ausgenommen, die muss das Gesetz zehn Jahre lang sehen können. Die Fristen sind festgelegt; vollzogen werden sie erst, wenn der Löschlauf scharf geschaltet ist — siehe unten.

  Beleg · docs/datenschutz/loeschkonzept.md

Was Sie hochladen

Dateiprüfung

• Im Belegarchiv und in der Dokumentenablage werden hochgeladene Dateien an ihrem Inhalt geprüft, nicht an dem, was der Browser über sie behauptet.

  Wer eine Webseite als «PDF» ausgibt, bekam vorher die PDF-Behandlung. Jetzt entscheiden die ersten Bytes der Datei. Wir nennen die beiden Wege beim Namen, weil es die beiden sind, an denen wir es gemessen haben — die übrigen stehen unten unter «Woran wir arbeiten».

  Beleg · test_hochgeladene_datei_wird_am_inhalt_geprueft_nicht_am_content_type

• Auf diesen beiden Wegen werden PDFs mit eingebautem Programmcode und die offizielle Testdatei für Virenscanner abgewiesen.

  Eine Datei lädt jemand mit wenig Rechten hoch — öffnen tut sie später oft der Chef. Wie ein Virenscanner dazugeschaltet wird, steht offen dokumentiert.

  Beleg · test_eicar_wird_abgewiesen

Was die KI zu sehen bekommt

Übermittlung und Zusagen

• Bevor ein Text an die KI geht, ersetzen wir Namen, Adressen und Kontaktangaben durch Platzhalter. Löhne gehen nur als Spanne, Allergien nur als Kategorie.

  Das ist pseudonymisiert, nicht anonym. Ein Name, der in keiner Stammdatei steht und nicht wie ein Name aussieht, kann in einem Freitext vereinzelt durchrutschen. Wir schreiben das lieber hin, als es zu beschönigen.

  Beleg · test_allergie_nur_als_kategorie

• Unser KI-Anbieter heisst Anthropic. Er sagt in seinen Geschäftsbedingungen zu, mit Kundeninhalten keine Modelle zu trainieren, und die übermittelten Inhalte innert 30 Tagen zu löschen — ausser bei der Untersuchung von Verstössen gegen seine Nutzungsregeln (bis zwei Jahre, Bewertungen bis sieben Jahre) und bei Rückmeldungen (fünf Jahre).

  Das ist die öffentliche Zusage des Anbieters, mit Quelle und Abrufdatum. Die Ausnahmen stehen hier, weil eine verkürzte Wiedergabe einer fremden Zusage keine belegte Zusage ist. Ein eigener Vertrag mit ihm liegt uns heute noch nicht vor — siehe weiter unten. Ein zweiter Anbieter (OpenAI) ist in der Software vorbereitet; ob er bei uns eingeschaltet ist, steht in der Liste unten.

  Beleg · docs/anbieter/anthropic.md

• Bilder und Dokumente gehen für vier Zwecke im Original an den KI-Dienst: Belegerkennung, Lieferscheinerkennung, Food-Waste-Erkennung und Inventur per Foto. Für alles andere geht kein Bild hinaus.

  Ein Foto lässt sich nicht pseudonymisieren, ohne unbrauchbar zu werden — auf einem Lieferschein steht eben ein Name. Wir schreiben es hin, statt es unter «vor jeder Übermittlung wird ersetzt» verschwinden zu lassen. Ein Riegel in der Software lässt nur diese vier Zwecke durch.

  Beleg · test_die_trust_seite_sagt_dass_bilder_im_original_gehen

• Wir haben schriftlich abgeschätzt, welche Risiken der KI-Einsatz für die betroffenen Personen hat, und was dagegen getan wird.

  Mitsamt dem, was als Restrisiko bleibt. Dasselbe gibt es für die Personaldaten.

  Beleg · docs/datenschutz/dsfa-ki.md

Was schriftlich festgehalten ist

Pflichtdokumente

• Wir führen ein Verzeichnis unserer Bearbeitungen — 15 Einträge, je mit Zweck, Datenarten, Empfängern, Aufbewahrung und Rechtsgrundlage.

  Das verlangt Art. 12 des Schweizer Datenschutzgesetzes. Bis zum 16.09.2026 hatten wir keines.

  Beleg · docs/datenschutz/verarbeitungsverzeichnis.md

• Alle Empfänger Ihrer Daten stehen an einer einzigen Stelle, mit Zweck, Land und dem Stand der vertraglichen Garantie — nämlich weiter unten auf dieser Seite.

  Eine Liste, nicht drei. Drei Listen laufen auseinander — bei uns taten sie das: die Datenschutzerklärung nannte die USA, der Verkaufs-Chat sprach von Servern in Europa. Und sie steht hier, nicht in einem Ordner unserer Entwicklung: Eine Liste, die Sie nicht öffnen können, ist keine.

  Beleg · test_die_trust_seite_fuehrt_die_empfaengerliste_selbst

• Für eine Datenpanne gibt es einen schriftlichen Ablauf mit Fristen: wer entscheidet, wen wir wann informieren, was gemeldet wird.

  Eine Seite, weil man eine Seite um drei Uhr nachts noch lesen kann.

  Beleg · docs/datenschutz/meldeablauf.md

• Eine Vorlage für den Vertrag zur Auftragsbearbeitung ist geschrieben und als Anhang zu den AGB vorbereitet, seit dem 28.09.2026 mit einem eigenen Anhang für die Online-Reservation und die Mails an Ihre Gäste. In Kraft ist sie noch nicht.

  Führen Sie bei uns die Daten Ihrer Mitarbeitenden und Gäste, sind Sie dafür verantwortlich und wir Ihr Auftragsbearbeiter. Das braucht einen Vertrag. Unsere AGB sagen dasselbe: vorbereitet, nach rechtlicher Prüfung in Kraft — bis dahin besteht die Vereinbarung nicht. Der Anhang für die Gästedaten nennt Datenarten, Fristen, den Mail-Anbieter und wie Bewertungsbitte und Angebote geregelt sind.

  Beleg · docs/datenschutz/avv-vorlage.md

So messen wir unsere Prognose

Stand · 28.09.2026 · ohne Zahlen aus Kundenbetrieben

Hier steht, wie wir messen, nicht wie gut wir sind. Eine Zahl über die Güte der Prognose veröffentlichen wir erst, wenn sie auf genug echten Tagen steht — nach derselben Regel, nach der wir eine Korrektur der Prognose erst bauen dürfen. Die Prognose ist regelbasiert; Zahlen aus Studien über andere Betriebe führen wir nicht als unsere Leistung.

• Als Prognose zählt die Zahl, wie sie vor dem Tag stand. Ist der Tag vorbei, rechnet STRUCT sie nicht mehr neu — auch nicht, wenn Sie später einen Anlass nachtragen.

  Sonst würde die Prognose nachträglich an den Umsatz angepasst und träfe scheinbar immer. Gemessen wird gegen die Zahl, nach der Sie geplant haben, und gegen den Umsatz, den Sie erfasst haben.

  Beleg · test_prognose_vergangener_tage_bleibt_beim_neulauf_eingefroren

• Die Hauptzahl «Daneben» ist die WAPE: die Summe der Abstände zwischen Umsatz und Prognose, geteilt durch die Summe des Umsatzes. Daneben steht der mittlere Fehler in Franken neben Ihrem mittleren Tagesumsatz.

  WAPE = Σ |Ist − Prognose| ÷ Σ Ist × 100. Mittlerer Fehler (MAE) = Σ |Ist − Prognose| ÷ Anzahl Tage, in Franken. Die Wurzel aus dem mittleren quadrierten Fehler (RMSE) rechnen wir nur als Zusatz. Bis zum 28.09.2026 zählte ein Tag mit wenig Umsatz gleich viel wie ein voller Samstag, und ein einziger falsch erfasster Tag konnte die Zahl unlesbar machen. Die WAPE gewichtet jeden Tag mit seinem Umsatz.

  Beleg · test_wape_mae_rmse_mit_handrechnung

• Wir stellen die Prognose über dieselben Tage neben zwei einfache Regeln: «wie letzte Woche» (der Umsatz vor 7 Tagen) und «wie letztes Jahr» (der Umsatz vor 364 Tagen, gleicher Wochentag). Liegt eine Regel näher am Umsatz, zeigen wir auch das.

  Skill = 1 − WAPE von STRUCT ÷ WAPE der Regel. Über null heisst: näher am Umsatz als die Regel; unter null: die Regel lag näher. Dazu steht, an wie vielen Tagen STRUCT näher lag. Eine Fehlerzahl ohne Vergleich sagt nicht, ob eine Prognose etwas taugt.

  Beleg · test_ein_schlechter_vergleich_wird_gezeigt_nicht_versteckt

• Eine Zahl gibt es erst ab 14 Tagen mit Umsatz und Prognose. Für den Vergleich braucht es 14 Tage, an denen auch die Regel einen Wert hat.

  Zwei Wochen heisst: mindestens zwei Tage je Wochentag. Darunter steht, wie viele Tage schon da sind, und keine Note.

  Beleg · test_unter_14_paaren_gibt_es_keine_zahl

• Beim Demo-Betrieb benoten wir die Prognose nicht. Seine Tageszahlen sind aus der Prognose erzeugt; ein Treffer wäre dort kein Beleg.

  Dort folgt der Umsatz der Prognose mit etwas Zufall. Die Zahl stünde also fest, bevor gemessen wird. Anzeige und Chat sagen das dazu, statt «gut» zu schreiben.

  Beleg · test_prompt_ohne_fachwort_und_erzeugtes_ist_wird_genannt

• Eine automatische Korrektur der Prognose aus dem gemessenen Fehler gibt es nicht. Sie wird erst gebaut, wenn ein Nachweis auf mindestens 150 echten Tagen besteht.

  Eine Korrektur, die im Mittel hilft, kann an den meisten einzelnen Tagen schaden; das haben wir am 13.09.2026 nachgerechnet. Der Nachweis muss deshalb den Mittelwert, das Band um die Prognose und beide Hälften des Zeitraums zugleich bestehen. Dieselbe Regel gilt, bevor wir öffentlich eine eigene Güte-Zahl nennen.

  Beleg · test_die_prognose_korrigiert_sich_nicht_selbst

• Die Prognose ist regelbasiert, ohne maschinelles Lernen: Mittel der letzten zehn gleichen Wochentage, dazu Wetter, Feiertage, Ferien, Brückentage, Anlässe und Reservationen.

  So lässt sich jede Zahl im Chat erklären. Wo ein Faktor eine gesetzte Annahme ist und nicht aus Ihren Tagen gelernt, sagen wir das. Bei Brückentagen wie dem Freitag nach Auffahrt ist das fast immer so, weil es pro Jahr nur ein bis drei davon gibt.

  Beleg · test_die_engine_ist_regelbasiert

• Das vorhergesagte Wetter wirkt in der Prognose bis sieben Tage voll. Danach nehmen wir es Tag für Tag zurück, ab dem vierzehnten Tag rechnen wir mit gewöhnlichem Wetter.

  Wetterprognosen helfen einer Umsatzprognose nur etwa eine Woche weit; darüber bringen sie mehr Zufall als Wissen in Dienstplan und Bestellung. Die Grenzen sieben und vierzehn sind gesetzt, nicht aus Ihren Tagen gelernt. Ob sie passen, zeigt die Messung nach Vorlauf.

  Beleg · test_horizont_sieben_bis_vierzehn_tage

• Seit dem 28.09.2026 läuft eine zweite Rechnung mit: die Basis vom gemessenen Wetter bereinigt und mit der Saison aus Ihrem Vorjahr fortgeschrieben. Sie ersetzt die heutige erst, wenn sie über mindestens 150 echte Tage näher am Umsatz liegt — im Mittel, im Band und in beiden Hälften.

  Die heutige Rechnung hinkt jedem Anstieg im Frühling hinterher und liegt im Herbst zu hoch. Die neue Rechnung soll das beheben. Bis sie ihren Nachweis erbracht hat, sehen Sie im Lernprofil, wie weit sie über dieselben Tage daneben gelegen hätte. Das gemessene Wetter holen wir in der Grundeinstellung bei MeteoSchweiz (offene Behördendaten); dabei geht keine Angabe über Ihren Betrieb hinaus.

  Beleg · test_kandidat_geht_nur_mit_nachweis_live

• Die Prognose steht als Spanne da, etwa «CHF 7'400–8'600». Die Spanne kommt aus Ihren eigenen gemessenen Fehlern, für weiter entfernte Tage aus den Fehlern mit demselben Vorlauf. Unter 14 gemessenen Tagen zeigen wir keine Spanne und sagen, warum.

  Eine einzelne Zahl verspricht mehr Genauigkeit, als eine Prognose hat. In der Spanne lag der Umsatz an rund 8 von 10 Tagen. Wie breit sie ist, lernen wir nur aus Ihren Tagen, nicht aus anderen Betrieben.

  Beleg · test_band_nimmt_den_vorlauf_wo_genug_paare_sonst_den_tagesfehler

• Sie dürfen die Tagesprognose um höchstens ein Fünftel anpassen, nach oben oder unten, mit Grund. Geplant wird dann mit Ihrer Zahl; wir messen Ihre Zahl und unsere getrennt gegen den erfassten Umsatz und zeigen beide.

  Sie kennen Dinge, die keine Datenreihe kennt. Die Grenze von einem Fünftel ist gesetzt, nicht gemessen. Nach dem Tag ist die Anpassung eingefroren, damit der Vergleich ehrlich bleibt.

  Beleg · test_wirt_wird_getrennt_gemessen

• Seit dem 28.09.2026 halten wir fest, wie die Prognose 2, 7 und 14 Tage vor einem Tag stand, und messen jeden Vorlauf für sich. Diese Werte werden nie überschrieben.

  Den Dienstplan machen Sie Tage vorher, nicht am Vorabend. Gegen die letzte Zahl vor dem Tag gemessen, mit dem neusten Wetter, sähe die Prognose genauer aus, als sie beim Planen war. Rückwirkend lässt sich das nicht nachbauen; erste Zahlen gibt es nach zwei Wochen.

  Beleg · test_vorlauf_wird_einmal_festgehalten_und_nie_ueberschrieben

Empfänger Ihrer Daten

Stand der Liste · 28.09.2026 · 19 Empfänger · jährliche Nachlese im September

Das ist die vollständige Liste, auf die unsere Datenschutzerklärung, unsere AGB und unsere Website verweisen — nicht eine Auswahl davon. «Offen» heisst: Uns liegt kein datiertes Dokument dieses Anbieters vor, das die Garantie belegt. Es heisst nicht, dass es keine gibt. Wir schreiben lieber «offen» als «vorhanden».

• Anthropic (Claude)

  KI-Analysen, Chat, Beleg- und Bilderkennung

  Land · USA

  Garantie · offen — die öffentlichen Bedingungen sind belegt, ein eigener Vertrag nicht

• OpenAI

  alternativer KI-Chat, nur wenn ein Schlüssel gesetzt ist

  Land · USA

  Garantie · offen — Bedingungen liessen sich nicht abrufen

• Stripe

  Zahlung des Abonnements

  Land · EU und USA

  Garantie · offen — der Zusatz des Anbieters ist belegt, seine Annahme durch uns nicht

• Hosting-Anbieter

  Betrieb von Server und Datenbank

  Land · noch nicht festgelegt

  Garantie · offen

• Infomaniak Network SA (E-Mail)

  Versand von E-Mails, seit dem 28.09.2026 auch der Mails an Ihre Gäste in Ihrem Auftrag; Empfang der Umsatzmails

  Land · Schweiz (Genf) — ein abgerufener Beleg des Anbieters zu den Rechenzentren ist nachzutragen

  Garantie · offen — ein Vertrag zur Auftragsbearbeitung liegt uns noch nicht vor

• Sentry

  Fehlermeldungen des Servers

  Land · noch nicht ausgewiesen

  Garantie · offen

• Cloudflare (Turnstile)

  Schutz von Anmeldung und Formularen

  Land · weltweit

  Garantie · offen

• Umami

  Reichweitenmessung, ohne Cookies

  Land · von uns selbst betrieben

  Garantie · kein Dritter

• OpenStreetMap

  Kartenbild, Adresssuche, Umgebungssuche

  Land · Grossbritannien

  Garantie · offen — die Nutzungsregeln sind belegt, ein Vertrag nicht

• unpkg.com

  lädt die Kartenbibliothek nach

  Land · weltweit

  Garantie · offen — entfällt, sobald die Bibliothek mitgeliefert wird

• overpass.kumi.systems

  Ausweichserver für die Umgebungssuche

  Land · noch nicht ausgewiesen

  Garantie · offen

• CARTO

  Karten-Hintergrund

  Land · noch nicht ausgewiesen

  Garantie · offen

• Open-Meteo

  Wetter für die Umsatzprognose, Höhe des Standorts, Ersatz für gemessenes Wetter

  Land · Schweiz

  Garantie · offen — die Bedingungen sind belegt, ein Vertrag nicht; Nutzungsstufe zu klären

• Nager.Date

  Feiertage je Land

  Land · noch nicht ausgewiesen

  Garantie · offen

• SumUp

  Kassenumsätze abholen — nur wenn Sie es verbinden

  Land · noch nicht ausgewiesen

  Garantie · offen

• Zettle

  Kassenumsätze abholen — nur wenn Sie es verbinden

  Land · noch nicht ausgewiesen

  Garantie · offen

• Lightspeed

  Rechnungen verbuchen — nur wenn Sie es verbinden

  Land · noch nicht ausgewiesen

  Garantie · offen

• Google

  Bewertungen einlesen — nur wenn Sie es verbinden

  Land · USA

  Garantie · offen

• Windy

  Wetterradar als eingebettete Karte

  Land · noch nicht ausgewiesen

  Garantie · offen

Was wir nicht behaupten

• Wir sind nicht nach ISO 27001 und nicht nach SOC 2 zertifiziert. Es gibt bei uns kein solches Audit und keinen Prüfbericht einer externen Stelle.
• Wir behaupten nicht, sicherer zu sein als ein anderes Programm. Ein solcher Vergleich bräuchte belastbare, öffentliche Angaben der anderen — die gibt es meist nicht.
• Der Kopierschutz in der Oberfläche ist kein Sicherheitsmerkmal. Er verhindert das versehentliche Herauskopieren, nicht das absichtliche, und wir führen ihn deshalb nicht als Schutz.
• Es gab bisher keinen externen Eindringtest. Er ist geplant, aber nicht durchgeführt — und was nicht durchgeführt ist, steht hier nicht als Stärke.

Woran wir arbeiten

Aus unserer eigenen Prüfung, ungeschönt — und mit dem Tag, seit dem wir es wissen.

• Wo unsere Server stehen, ist noch nicht festgelegt.

  Deshalb nennen wir kein Land. Bis zum 16.09.2026 stand an mehreren Stellen «Server in Europa»; das war nicht belegt und ist entfernt worden.

  Offen seit · 15.09.2026

• Mit keinem unserer Dienstleister liegt bisher ein unterzeichneter Vertrag zur Auftragsbearbeitung vor.

  Die Vorlage steht, die Verträge sind abzuschliessen. Solange sie fehlen, schreiben wir «offen» — nicht «vorhanden».

  Offen seit · 15.09.2026

• Auf welcher rechtlichen Grundlage Daten in die USA gehen, ist nicht dokumentiert.

  Die KI-Dienste stehen dort. Das steht so in unserer Datenschutzerklärung, und es wird rechtlich geklärt.

  Offen seit · 15.09.2026

• Wer welche Zeile gelesen hat, können wir nicht rekonstruieren.

  Unser Protokoll hält Anmeldungen und Änderungen fest, keine Lesezugriffe. Bei einer Datenpanne heisst die Antwort deshalb ehrlich «möglich, nicht belegt».

  Offen seit · 15.09.2026

• Unsere Sicherungen sind nicht verschlüsselt, und eine Wiederherstellung wurde nie geprobt.

  Das ist ein bekannter Punkt aus unserer eigenen Prüfung und wird abgearbeitet.

  Offen seit · 15.09.2026

• Der Löschlauf ist gebaut, läuft aber noch nicht nach Zeitplan — und er löscht noch nichts.

  Ein Löschlauf, der das erste Mal mit einer falschen Frist läuft, ist nicht rückgängig zu machen. Er wird erst scharf geschaltet, wenn die Fristen rechtlich geprüft sind. Bis dahin zählt er auf Knopfdruck, was er löschen würde, und schreibt es ins Prüfprotokoll. Wir schrieben hier zuerst «der nächtliche Löschlauf» — es gab keine Nacht, in der er lief.

  Offen seit · 16.09.2026

• Im Dienstplan selbst steht der Grund einer Absenz noch im Klartext.

  Zurückgehalten wird er heute in der Auskunft über eine Person und im Gesamtexport. Wer den Dienstplan öffnen darf, sieht dort weiterhin «Krankheit» oder «Arzt». Die Änderung gehört in einen anderen Teil der Software und ist eingeplant.

  Offen seit · 16.09.2026

• Die Prüfung auf Schadsoftware läuft an zwei von rund zehn Wegen, über die eine Datei hereinkommt.

  Belegarchiv und Dokumentenablage sind geprüft. Die übrigen Wege — vor allem die, über die ein Bild direkt zur Erkennung geht — prüfen heute nur den Dateityp. Die Prüfung dorthin zu ziehen, ist eingeplant.

  Offen seit · 16.09.2026

• Dem Gesamtexport fehlen noch 51 Tabellen mit Bezug zu Ihrem Betrieb.

  Er umfasst 53 Tabellen; 103 tragen einen Mandantenbezug, eine weitere hängt am Standort. Die fehlenden sind überwiegend Betriebszahlen, keine Personendaten — nachgetragen haben wir alle, in denen eine Person steht. Welche fehlen, steht namentlich in der Datei, die Sie herunterladen. Wir arbeiten sie nach.

  Offen seit · 16.09.2026

• Mit unserem Mail-Anbieter Infomaniak liegt noch kein Vertrag zur Auftragsbearbeitung vor, und die Einrichtung der Absenderdomain für die Mails an Ihre Gäste ist noch nicht bestätigt.

  Seit diesem Tag kann STRUCT im Auftrag Ihres Betriebs Bestätigungen, Erinnerungen, Bewertungsbitten und, mit Einwilligung, Angebote an Ihre Gäste schicken. Der Anbieter ist benannt und der Anhang zum Vertrag zur Auftragsbearbeitung für die Gästedaten geschrieben; der Vertrag mit Infomaniak und ein Beleg des Anbieters zu seinen Rechenzentren fehlen noch. Bis dahin steht die Garantie oben als «offen».

  Offen seit · 28.09.2026

• Wir messen unsere Verfügbarkeit nicht.

  In den AGB stand «99,5 %». Diese Zahl hat nie jemand gemessen, also ist sie dort gestrichen. Sobald die Messung läuft, steht der gemessene Wert hier.

  Offen seit · 16.09.2026

Eine Lücke gefunden?

Melden Sie sie an security@struct-hospitality.com. Wir bestätigen den Eingang innert drei Arbeitstagen, geben innert zehn Arbeitstagen eine erste Einschätzung und melden uns wieder, wenn die Lücke geschlossen ist. Wer verantwortungsvoll meldet und dabei nicht auf fremde Daten zugreift, hat von uns keine rechtlichen Schritte zu befürchten.

Dieselben Angaben maschinenlesbar unter /.well-known/security.txt — dort steht auch, welche Umgebungen dazugehören und welche nicht.