Vertraulichkeit & Sicherheit

Der Verkauf oder Kauf eines Betriebs ist vertraulich. Hier steht genau, was wir speichern, wer es sieht und wie wir es schützen, ohne Werbesprache.

Unsere Grundsätze

Standardmäßig anonym: Firmennamen, Orte und Unterlagen werden stufenweise offengelegt, erst wenn beide Seiten zustimmen.
Nur das Nötige: Wir fragen nach den Daten, die Bewertung und Matching brauchen, und nach nichts sonst.
Kein Tracking, keine Werbung: Keine Analyse- oder Werbe-Cookies, keine Skripte von Dritten, kein Datenverkauf.
Sie behalten die Kontrolle: Exportieren oder löschen Sie alles selbst, jederzeit, ohne uns zu fragen.

Was wir speichern und wer es sieht

Daten	Wozu	Wer sieht es	Wie lange
Konto: Name, E-Mail, Passwort-Hash	Anmeldung	Nur Sie (und Admins für Support)	Bis Sie Ihr Konto löschen
Betriebsangaben und Bewertung	Bewertung, Übergabe-Bereitschaft, Kurzprofil	Sie; das anonyme Kurzprofil ist nach Veröffentlichung öffentlich	Bis Sie Ihr Konto löschen
Käuferprofil	Matching	Sie; passende Inhaber sehen eine Zusammenfassung ohne Namen	Bis Sie Ihr Konto löschen
Nachrichten und Unterlagen	Der Übergabeprozess	Sie und die andere Seite dieser Übergabe (Unterlagen erst nach NDA)	Bis eine Seite ihr Konto löscht
Nutzungsstatistik	Produkt verbessern	Unser Team, als anonyme Zählung	Keine personenbezogenen Daten gespeichert

Cookies und Speicherung im Browser

Nur technisch notwendige Cookies: eines hält Sie angemeldet, eines merkt sich den Markt, den Sie oben gewählt haben, und im Demo-Modus eines die Persona (bei Zwei-Faktor-Anmeldung kurz eines für den zweiten Schritt). Ihre Antworten in den Fragebögen bleiben in Ihrem Browser, damit nichts verloren geht; Sie können sie mit einem Klick löschen.

Vollständige Liste in der Datenschutzerklärung

Wo Ihre Daten liegen

WebsiteVercel Inc. (USA), region Frankfurt am Main (fra1)
Datenbank und DokumenteSupabase Inc. (USA), project region Frankfurt am Main (eu-central-1)
KI-TextvorschlägeAnthropic PBC, USA (nur auf Ihren Klick, ohne Firmennamen oder Zahlen)

Alle Verbindungen sind verschlüsselt (HTTPS). Einzelheiten zu Verträgen nach Art. 28 DSGVO und Übermittlungen in Drittländer stehen in der Datenschutzerklärung.

Sicherheitsmaßnahmen

Maßnahme	Schützt vor
Abgleich durch Erbelo: Umsatz und Gewinn mit dem Abschluss, Inhaberschaft, Finanzierung und Qualifikation anhand von Nachweisen; die Dokumente werden danach gelöscht. Keine Wirtschaftsprüfung, keine Garantie.	Falsche Angaben, unseriöse Anfragen
Passwörter nur als bcrypt-Hash (Faktor 12); mindestens 10 Zeichen; gängige Passwörter abgelehnt	Gestohlene Datenbanken, Erraten
Jede Eingabe wird serverseitig auf Typ, Länge und Wertebereich geprüft	Fehlerhafte oder bösartige Daten
Zugriffsprotokoll: Jedes Öffnen einer Unterlage ist für beide Seiten im Arbeitsbereich sichtbar	Unbemerkter Zugriff
Eine Passwortänderung meldet alle anderen Geräte ab; „Auf allen anderen Geräten abmelden“ jederzeit möglich	Gestohlene oder vergessene Sitzungen
Durchgängig verschlüsselte Verbindungen (HTTPS, HSTS für zwei Jahre)	Mitlesen und Manipulation unterwegs

Alle 19 Maßnahmen anzeigen

Maßnahme	Schützt vor
Strenge Content-Security-Policy mit neuem Zufallsschlüssel je Aufruf; keine Skripte von Dritten	Eingeschleuste Skripte (Cross-Site-Scripting)
Erbelo lässt sich nicht in fremde Seiten einbetten	Clickjacking
Anmeldeversuche je Adresse und je Konto begrenzt; gleiche Antwortzeit, ob ein Konto existiert oder nicht	Brute-Force-Angriffe, Ausspähen von Konten
Zwei-Faktor-Anmeldung per Authenticator-App für alle Konten; für Admins Pflicht	Gestohlene oder erratene Passwörter
Anmeldeversuche serverübergreifend begrenzt (in der Datenbank, nur als verschlüsselter Prüfwert gespeichert)	Brute-Force-Angriffe über viele Server
Jeder Demo-Besuch erhält eine eigene, getrennte Kopie der Beispieldaten	Gegenseitige Störung in der Demo
Signierte Sitzungscookies: HttpOnly, Secure, SameSite, Host-Präfix	Sitzungsdiebstahl, Cross-Site-Request-Forgery
Herkunftsprüfung bei jeder Formularaktion	Cross-Site-Request-Forgery
Zugriffsprüfung bei jedem Deal, jeder Nachricht, jeder Datei; gleiche Antwort für „gibt es nicht“ und „gehört Ihnen nicht“	Einblick in fremde Daten
Uploads werden am tatsächlichen Inhalt erkannt, max. 4 MB, immer als Download, nie im Browser angezeigt	Schadsoftware getarnt als Dokument
Datenbankzugriff nur über parametrisierte Abfragen	SQL-Injection
Jede Anzeige wird vor der Freischaltung geprüft	Gefälschte oder betrügerische Anzeigen
Schriften und sämtlicher Code kommen von unseren eigenen Servern	Weitergabe von Besuchen an Dritte

Noch nicht umgesetzt

Als Nächstes ergänzen wir: Bestätigung der E-Mail-Adresse, einen unabhängigen Penetrationstest und eine zusätzliche Verschlüsselung der Unterlagen.

Bestätigung der E-Mail-Adresse
Unabhängiger Penetrationstest
Zusätzliche Verschlüsselung der Unterlagen durch Erbelo (heute: verschlüsselte Datenbank des EU-Anbieters)

Ihre Rechte, in zwei Klicks

In Ihrer Übersicht (Mein Erbelo): „Meine Daten herunterladen“ liefert alles, was wir über Sie speichern, als Datei. „Mein Konto löschen“ entfernt Konto, Betrieb bzw. Profil, Kontakte, Übergaben, Nachrichten und Unterlagen sofort.

Sicherheitslücke gefunden?

Bitte melden Sie sie uns zuerst vertraulich. Die Kontaktdaten für Sicherheitsmeldungen stehen unter /.well-known/security.txt. Wir antworten schnell und nennen verantwortungsvolle Melder auf Wunsch.

Zur Datenschutzerklärung