Sicherheit und Kontinuität

Zuletzt aktualisiert: 3. August 2026

Diese Seite beantwortet schriftlich die Fragen, die man sich stellt, bevor man einem Anbieter die Daten der eigenen Kunden anvertraut. Sie ist keine Zertifizierung: Es sind die Fakten der Infrastruktur, überprüfbar und auf dem Stand dieses Datums.

1. Wo die Daten liegen

  • Produktionsserver: Vereinigtes Königreich (Rechenzentrum Erith, OVH-Infrastruktur). Das Vereinigte Königreich ist von einem Angemessenheitsbeschluss der Europäischen Kommission erfasst, der bis zum 27. Dezember 2031 verlängert wurde: Für dort verbleibende Daten ist keine zusätzliche Garantie erforderlich.
  • Off-site-Backups: Vereinigte Staaten (Kalifornien).
  • Systembetreuung: Vereinigte Staaten und Indien, erbracht durch Personal des Hosting-Anbieters, das zur Vertraulichkeit verpflichtet und auf das für den technischen Support Notwendige beschränkt ist.

Der Hosting-Anbieter ist ein US-amerikanisches Unternehmen. Die Übermittlungen in die Vereinigten Staaten und nach Indien sind durch Standardvertragsklauseln (EU-Beschluss 2021/914, Module 2 und 3) abgedeckt, die direkt mit ihm geschlossen und durch eine Transfer-Folgenabschätzung ergänzt wurden.

2. Verschlüsselung

  • HTTPS verpflichtend an allen Endpunkten (TLS 1.2 oder höher), mit aktivem HSTS und strikter Verbindung zwischen CDN und Ursprungsserver.
  • OAuth-Token (Google Search Console, Analytics, WordPress, Drive), Token der elektronischen Rechnungsstellung und Secrets der Zwei-Faktor-Authentifizierung sind at rest verschlüsselt mit AES-128 (Fernet).
  • Passwörter werden ausschließlich als Hash gespeichert (Argon2/PBKDF2) — nie im Klartext und nie wiederherstellbar.

3. Backups und Aufbewahrung

  • Tägliche Backups von Datenbank, Dateisystem und Postfächern, mit mindestens 10 Tagen Aufbewahrung, auf einem Ziel außerhalb des Produktionsservers. Das tatsächliche Fenster hängt vom erworbenen Backup-Speicher ab: zum Stand dieser Seite sind 30 Tage wiederherstellbar.
  • Vollständiger Datenbank-Dump vor jedem Release in die Produktion.
  • Maximaler theoretischer Datenverlust bei einem schweren Ausfall (RPO): 24 Stunden.

4. Wer auf die Daten zugreift

  • Miraqo ist ein Einzelunternehmen: Die Verarbeitung erfolgt durch den Inhaber. Etwaige Mitarbeitende werden schriftlich benannt und zur Vertraulichkeit verpflichtet.
  • Der administrative Zugriff ist beschränkt und protokolliert.
  • Die Daten sind nach Organisation und Projekt getrennt: Jede Anfrage ist an die Organisation der anfragenden Person gebunden.
  • Öffentliche Freigabeansichten erfordern ein nicht erratbares Token, mit Ablaufdatum und optionalem Passwort.
  • Zwei-Faktor-Authentifizierung (TOTP) steht allen Nutzenden zur Verfügung; API-Token sind jederzeit widerrufbar.

5. Was bei einem Vorfall geschieht

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die die Daten eines Kunden betrifft, benachrichtigen wir ihn unverzüglich und in jedem Fall innerhalb von 48 Stunden ab Kenntniserlangung an die Adresse der Kontoadministration, unter Angabe von: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

Ist der Kunde Verantwortlicher, bleibt die Meldung an die Aufsichtsbehörde und an die betroffenen Personen seine Pflicht: Unsere Aufgabe ist es, ihn in die Lage zu versetzen, sie fristgerecht zu erfüllen.

6. Wiederherstellung und Kontinuität

  • Dokumentiertes Wiederherstellungsverfahren, mit Backups des gesamten Kontos (Datenbank, Dateisystem, E-Mail).
  • Eine von der Produktion getrennte Staging-Umgebung, auf der jedes Release vor dem Live-Gang geprüft wird.
  • Vor jedem Release läuft eine automatisierte Testsuite; besonders sensible Funktionen bleiben hinter Feature-Flags.

Wir veröffentlichen keine garantierte Wiederherstellungszeit (RTO): Die Wiederherstellung eines vollständigen Kontos hängt auch von den Zeiten des Hosting-Anbieters ab, und wir nennen lieber keine Zahl, die wir nicht unter realen Bedingungen gemessen haben.

7. Was wir nicht tun

  • Wir verkaufen, übertragen oder teilen keine Daten mit Dritten zu Zwecken des Profilings, des Marketings oder des Datenhandels.
  • Wir verwenden Kundendaten — einschließlich der Daten aus Google Search Console und Analytics — nicht zum Training von KI-Modellen, weder eigenen noch fremden.
  • Wir erheben und verarbeiten keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

8. Auf Anfrage verfügbare Dokumente

  • Auftragsverarbeitungsvertrag (Art. 28 DSGVO) zur Unterzeichnung, mit Anlagen zu den verarbeiteten Daten, den technischen und organisatorischen Maßnahmen und der Liste der Unterauftragsverarbeiter.
  • Aktuelle Liste der Unterauftragsverarbeiter, mit Sitz, Leistung und Übermittlungsgrundlage.
  • Standardvertragsklauseln, geschlossen mit dem Hosting-Anbieter.
  • Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, auf begründete Anfrage vorlegbar.

Für den Erhalt oder bei Fragen zu dieser Seite schreiben Sie an [email protected]. Wir antworten innerhalb von 30 Tagen, in der Regel deutlich früher.