Sicherheit & Compliance

• Personen-, Kunden- und Bestelldaten: deutsches Rechenzentrum, deutscher Anbieter (Hetzner).
• Backups der Personen-, Kunden- und Bestelldaten: zweistufig. Für 7 Tage im deutschen Rechenzentrum eines deutschen Anbieters (Hetzner) und zusätzlich für 30 Tage in einem gegen Ransomware geschützten Speicher im deutschen Rechenzentrum eines US-Anbieters (Wasabi S3).
• Fotos: deutsches Rechenzentrum, US-Anbieter (Wasabi S3).
• Gelöschte Fotos: verbleiben nach dem Löschen in der App noch 7 Tage im selben Speicher (Wasabi S3) und können in diesem Zeitraum wiederhergestellt werden. Danach werden sie endgültig gelöscht. Ein darüber hinausgehendes Backup der Fotos gibt es nicht.
• Ausnahme für Fotos: Fotostudios können einen eigenen Anbieter für die Speicherung der Bilder einbinden. Es gilt dann dieselbe 7-Tage-Regel für gelöschte Fotos. Ob zusätzliche Backups beim eigenen Anbieter bestehen, liegt in der Verantwortung des Fotostudios. Bitte kontaktieren Sie in diesem Fall Ihr zuständiges Fotostudio.

Subdienstleister sind mit Land in der Liste der Subdienstleister aufgeführt. Für die Verarbeitung möchten wir folgendes ergänzen:

• Amazon Web Services: Standard-Mailserver. Ihr Fotostudio kann einen eigenen Mailserver einbinden, sodass AWS dann nicht mehr zum Versand von E-Mails genutzt wird. Um die Speicherregion, in diesem Fall zu klären, wenden Sie sich bitte an Ihr zuständiges Fotostudio.
• Intuition Machines: Ist ein Captcha-Anbieter, welchen wir zur Absicherung gegen Spam und Bot-Attacken einsetzen.
• Mapbox: Ist ein Kartendienst, über den Bestelldaten visualisiert werden. Die Darstellung erfolgt nur nach Postleitzahl und Land der Lieferanschrift, nicht nach weiteren Daten.

Backups der Personen-, Kunden- und Bestelldaten werden täglich durchgeführt. Vor dem Einspielen von Updates legen wir zusätzlich einen Snapshot an. Fotos werden nicht gesondert gesichert. Gelöschte Fotos bleiben jedoch noch 7 Tage wiederherstellbar.

Ja. Unser Wiederherstellungskonzept legt fest, wie Daten und Systeme nach einem Ausfall, einem Fehler oder einem Angriff aus den Backups wiederhergestellt werden, wer dafür zuständig ist und in welcher Reihenfolge vorgegangen wird. Unser Ziel ist es, den Betrieb innerhalb von 24 Stunden wiederherzustellen. Die Wiederherstellung testen wir vierteljährlich im Rahmen eines Service Continuity Tests, um sicherzustellen, dass sie im Ernstfall zuverlässig funktioniert.

Ja. Wir führen vierteljährlich einen Service Continuity Test (SCT) durch. Dabei stellen wir Datenbank und Konfiguration aus einem Backup in einer separaten Testumgebung wieder her, binden den Fotospeicher an und prüfen, ob alle Funktionen wie vorgesehen arbeiten. Zusätzlich messen wir die Dauer der Wiederherstellung, um sicherzustellen, dass unser Ziel von 24 Stunden eingehalten wird. Jeder Test wird protokolliert.

Ja. Zusätzlich zu den 7-tägigen Backups bei Hetzner werden die Backups der Personen-, Kunden- und Bestelldaten in einem separaten Speicherbereich beim Anbieter Wasabi abgelegt, der mit Object Lock geschützt ist. Diese Sicherungen sind für die Dauer der Aufbewahrungsfrist von 30 Tagen unveränderbar und können weder überschrieben noch gelöscht werden. Unsere Systeme haben auf diesen Speicherbereich ausschließlich Schreibrechte. Selbst bei einem erfolgreichen Angriff, etwa durch Ransomware, können diese Backups daher nicht verschlüsselt, manipuliert oder entfernt werden.

Ja, die Löschung erfolgt automatisch. Backups der Personen-, Kunden- und Bestelldaten werden bei Hetzner nach 7 Tagen und im geschützten Speicher bei Wasabi nach 30 Tagen gelöscht. Die Löschung bei Wasabi erfolgt über eine beim Speicheranbieter hinterlegte Regel und nicht durch unsere Systeme, die auf diesen Speicher ausschließlich Schreibzugriff haben. Daten, die wir in unseren Systemen löschen, sind damit spätestens nach 30 Tagen auch aus allen Sicherungen entfernt. Gelöschte Fotos werden nach 7 Tagen endgültig entfernt.

Wenn der Zugriff auf Kunden oder Galerien beschränkt wird, kann sich der Kunde nicht mehr anmelden. Auf die Speicherung der Bilder hat das keinen Einfluss.

Wird ein Bild gelöscht (Löschen eines Bildes, einer Galerie, eines Kunden oder eines Großkunden), wird es zunächst in der App gelöscht und bleibt noch 7 Tage im Speicher, um versehentliche Löschungen rückgängig machen zu können. Danach wird es endgültig aus dem Speicher entfernt. Da Fotos nicht gesondert gesichert werden, existieren danach auch in keinem Backup mehr Kopien. Auffällig viele Löschanfragen werden erkannt, indem der aktuelle Wert mit historischen Werten verglichen wird.

Die Fotografen können Zugangscodes selbst erstellen und ändern, weshalb Länge und Zufälligkeit vom Fotografen abhängen. Ein Login mit Zugangscode ist nur zusammen mit dem richtigen Studiokürzel möglich. Zur Absicherung gibt es ein Rate-Limit mit Backoff, einheitliche Fehlermeldungen und ein Captcha. Ein Egress-Monitor vergleicht das tägliche Download-Volumen mit historischen Werten und löst eine Meldung aus, sobald eine Lastspitze erreicht wird.

Ja. Die Zugangscodes für Endkunden werden verschlüsselt (XSalsa20-Poly1305) und gehasht (bcrypt) in der Datenbank gespeichert. Ein reines Hashing ist nicht möglich, weil Fotografen die Zugangscodes einsehen und ändern können. Die entschlüsselten Codes werden außerdem für den Ausdruck der Loginkarten benötigt. Die Logindaten von Fotografen und deren Mitarbeitern werden ausschließlich gehasht (bcrypt) in der Datenbank gespeichert.

Für die Schlüsselverwaltung der Anwendung (Datenbank-Secrets, API-Keys, Laborkeys und Ähnliches) wird HashiCorp Vault genutzt.

Der AES-256-Schlüssel für die Verschlüsselung der Bilddateien im Ruhezustand liegt beim Speicheranbieter (Wasabi). PicShop.me setzt diesen Schlüssel nicht selbst und hat keinen Zugriff darauf. Bindet ein Fotostudio einen eigenen Speicheranbieter ein, richtet sich die Verschlüsselung nach dessen Konfiguration. Bitte wenden Sie sich in diesem Fall an Ihr zuständiges Fotostudio.

Ja. Fotografinnen, Fotografen und Verwaltungspersonal können die Zwei-Faktor-Authentifizierung im Account aktivieren.

Wir führen alle zwei Wochen einen festen Sicherheits- und Wartungscheck durch. Dabei spielen wir verfügbare Updates und Patches ein und prüfen anschließend, ob alle Funktionen wie vorgesehen arbeiten.

Werden kritische Sicherheitslücken bekannt, etwa durch Warnungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder der Hersteller, reagieren wir unabhängig von diesem Rhythmus und spielen die nötigen Updates umgehend ein.

Ja. Wir haben eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchgeführt und die Risiken sowie unsere Schutzmaßnahmen dokumentiert. Die vollständige DSFA ist ein internes Dokument, das wir auf Anfrage der zuständigen Aufsichtsbehörde vorlegen.

Unser externer Datenschutzbeauftragter ist:

IITR Datenschutz GmbH
Dr. Sebastian Kraska
Marienplatz 2
80331 München
E-Mail: email@iitr.de
Telefon: 089 18917360