TOM-Datenblatt

1. Hosting & physische Sicherheit

Server-Standort

Eigene Bare-Metal-Server in Deutschland (Hetzner Online GmbH, Sitz Gunzenhausen, RZ Falkenstein). Die produktiven Visitor-Daten werden in Deutschland gespeichert. Einzelne US-Anbieter werden ausschließlich consent-basiert eingebunden (Marketing-Tracking: Google/Meta); diese Drittlandübermittlungen sind über das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert (siehe Subprozessoren-Liste).

Rechenzentrums-Sicherheit

Physische Zutrittskontrolle durch den Betreiber Hetzner (Hetzner-Rechenzentren sind ISO-27001-zertifiziert — Zertifizierung des Betreibers, nicht von Figgle).

AVV mit Hetzner

Standard-AVV abgeschlossen.

2. Verschlüsselung

Transport

TLS 1.3 für alle externen Verbindungen; HSTS aktiv (Preload-Listung in Vorbereitung).

Backups (at-rest)

restic-Repository AES-256, Off-Site-Kopie Hetzner-S3 (server-side encryption).

Live-Datenbank-Volumes

Keine zusätzliche Volume-Verschlüsselung behauptet — Schutz über Zugriffskontrolle und physische Sicherheit. Ehrliche Lücke, Bewertung im Anwalts-Review.

3. Zugriffskontrolle & Mandantentrennung

Multi-Tenant-Isolation

Postgres Row-Level-Security (RLS) auf Mandanten-Tabellen; FORCE RLS auf sensiblen Tabellen.

DB-Konten

Dediziertes Application-Konto ohne Superuser-Rechte.

Server-Zugang

SSH key-only, fail2ban, unattended-upgrades, auditd.

Dashboard-Login

Magic-Link + optional 2FA-TOTP mit Backup-Codes (argon2id-gehasht) + WebAuthn/Passkeys.

Redis-Härtung

AUTH-Passwort + ACL ohne Scripting (CVE-Mitigation).

4. Datenminimierung & Speicherbegrenzung

Keine Voll-IP-Speicherung

IP wird nur transient zur groben Standort-Ableitung (Land, Region, Stadt-Klasse, PLZ-Raum) und zum Missbrauchsschutz genutzt und nicht in Events persistiert. In den Web-Server-Zugriffs-Logs wird die IP zusätzlich gekürzt gespeichert (IPv4 /24, IPv6 /48) und nach 14 Tagen gelöscht.

Erfasste Dimensionen

Anonyme Visitor-ID, Session-ID, Test-/Variant-Zuweisung, aufgerufene Adresse (nur Domain und Pfad — ohne Query-Parameter), Trigger, Geräte-Klasse, Viewport-Bucket, Referrer-Kategorie, Land/Region/PLZ-Raum, Stunde/Wochentag — keine Klarnamen, keine Visitor-E-Mail-Adressen.

Roh-Event-Retention

Roh-Events 30 Tage (TTL), danach nur Aggregate.

k-Anonymität

Aggregat-Auswertungen mit Mindest-Floors gegen Re-Identifikation.

Cookies (minimal, funktional)

Der Snippet-Mess-/Test-Betrieb hält die Variantenstabilität im localStorage (Kennung _fg) und setzt kein seitenübergreifendes Tracking-Cookie; dieser Speicher wird erst im Mess-Modus nach Einwilligung des Besuchers gesetzt. Bei bestimmten Funktionen kommen bis zu zwei technisch notwendige First-Party-Cookies hinzu: _fg_srv (1 Jahr) für die Zuordnung serverseitig gemeldeter Conversions (z. B. WooCommerce-Bestellungen) und _fg_plp (30 Tage) während eines Shop-Sortier-A/B-Tests. Auf der Website wird zusätzlich ein technisch notwendiges First-Party-Cookie zur Speicherung der Consent-Entscheidung (syndx_consent, § 25 Abs. 2 Nr. 2 TDDDG) gesetzt; einwilligungspflichtige Marketing-Cookies (GTM/Meta) erst nach Einwilligung.

Consent-gestufte Auslieferung (Default)

Standard aller Sites ist der Consent-Modus (hybrid): Varianten/Moments werden ab dem ersten Besuch ohne Zugriff auf das Endgerät nur aus dem Arbeitsspeicher ausgespielt; vor der Einwilligung werden KEINE Mess-Ereignisse erfasst oder zwischengespeichert (nur ein gesampeltes, anonymes Funktionssignal und — falls aktiviert — anonyme Tages-Summen, jeweils ohne Kennung/Adresse). Gemessen (Kennung _fg gesetzt, Ereignisse übermittelt) wird erst ab der Einwilligung des Besuchers, einschließlich des laufenden Seitenaufrufs und ohne nachträgliche Erfassung früherer Ereignisse; bei Widerruf werden die Daten serverseitig und lokal gelöscht. Das frühere server-seitige Bucketing über einen Hash aus IP-Präfix + User-Agent + Accept-Language + Salt wurde abgeschafft (EDPB 2/2023) und wird nicht mehr als einwilligungsfreier Modus angeboten; Bestandssites wurden auf den lokalen Modus umgestellt.

GA4-Anbindung (optional, Default aus)

Nur wenn der Kunde sie pro Website einschaltet und ein Consent-Modus aktiv ist: Nach der Einwilligung schreibt das Snippet je gemessenem Test und Seitenaufruf einmal die Test- und Variantenzuordnung als Ereignis experience_impression in die Datenschicht (dataLayer) der Kunden-Website. Figgle übermittelt dabei nichts an Google und speichert dafür nichts zusätzlich. Vor der Einwilligung, nach Ablehnung, ab erkanntem Widerruf und für abgeschlossene Tests erfolgt keine Übergabe; übergeben werden nur Tests der eigenen Website; dienstweiter Not-Aus über eine Server-Einstellung.

5. Verfügbarkeit & Wiederherstellbarkeit

Backups

restic täglich (Postgres, ClickHouse, Redis-Snapshot), 30 Tage lokal + Off-Site Hetzner-S3.

Restore-Tests

Wöchentlich rotierende Verify-Läufe.

Monitoring

Ressourcen-Monitoring, Disk-Alerts, Backup-Heartbeat-Pings.

6. Integrität, Nachvollziehbarkeit & Prozess

Audit-Log

Append-only-WORM-Trail (UPDATE/DELETE per Trigger blockiert), Retention-Klassen 90 Tage bis 10 Jahre (GoBD für Billing).

Rate-Limits

Atomare Rate-Limits auf öffentlichen Endpoints.

Schwachstellen-Management

Versions-Pins für CVE-relevante Komponenten, tägliche/wöchentliche Dependency-Audits.

Visitor-Betroffenenrechte

Self-Service-Endpoints Art. 15/17/20 (Auskunft, Löschung, Datenübertragbarkeit).

7. Was wir NICHT behaupten

• Keine ISO-27001-/SOC2-Zertifizierung von Figgle — die ISO-Zertifizierung betrifft die Hetzner-Rechenzentren, nicht den Figgle-Dienst.
• Kein "DSGVO-zertifiziert" — ein solches Standard-Zertifikat existiert nicht; wir dokumentieren stattdessen Maßnahmen mit Quellen.
• Kein abgeschlossener externer Pen-Test (Stand 05.10.2026) — noch nicht durchgeführt.
• Keine Volume-Verschlüsselung der Live-Datenbanken (nur Backups, siehe §2).
• Keine Berufung auf „unbedingt erforderlich“ (§ 25 Abs. 2 TDDDG) für die Mess-Kennung: Sie wird erst nach Einwilligung des Besuchers gesetzt (§ 25 Abs. 1 TDDDG).