Was bereits umgesetzt ist — und was noch nicht
Hier stehen nur Schutzmaßnahmen, die in unserem Code oder auf unseren Servern tatsächlich existieren. Was noch nicht fertig ist, benennen wir offen.
Aktueller Stand
Noch ist keine Caravel-App im Produktivbetrieb. Sie laufen auf Testservern mit einem Entwicklungs-Shop. Die unten aufgeführten Schutzmaßnahmen haben also noch keine echten Kundendaten geschützt, und es gibt keine Verfügbarkeitszahlen: Wir müssten sie sonst erfinden.
Die folgenden Schutzmaßnahmen auf Anwendungsebene gelten für vier Apps — diejenigen, die die meisten personenbezogenen Daten verarbeiten: Caravel Invoice PT, Caravel Track, Caravel Reviews und Caravel Packing Slips. Die übrigen sieben Apps sind von dieser Prüfung und vom Auftragsverarbeitungsvertrag (AVV / DPA) noch nicht abgedeckt: Sie verfügen weder über eine Feldverschlüsselung noch über das Zugriffsprotokoll, und ihre Installationssitzungen (das Zugriffstoken des Shops und die von Shopify übermittelten Mitarbeiterdaten) sind noch nicht verschlüsselt.
| Maßnahme | Funktionsweise | Status |
|---|---|---|
| Schutz von Daten | ||
| Verschlüsselung gespeicherter Daten, Feld für Feld | AES-256-GCM für gespeicherte personenbezogene Daten und Sitzungen. Schlüsselrotation wird unterstützt. Automatische Tests prüfen, dass die Datenbank ausschließlich verschlüsselten Text enthält. Einschränkung: Verschlüsselte Felder lassen sich nicht direkt durchsuchen; die Apps suchen stattdessen über Hashwerte. | Im Code |
| Transportverschlüsselung | Externe Verbindungen laufen über HTTPS/TLS, SMTP-Verbindungen ausschließlich über TLS. Die Apps lauschen nur auf der lokalen Adresse hinter HTTPS. | Im Code |
| Datensparsamkeit | Invoice PT speichert weder Namen, Steuernummer/USt-IdNr., Adresse noch E-Mail-Adresse der Käufer. Packing Slips speichert keinerlei Käuferdaten, sondern nur die verschlüsselte Sitzung des Shops. Track speichert die E-Mail-Adresse ausschließlich als schlüsselbasierten Hashwert (HMAC). | Im Code |
| Automatische Löschung | Sendungen in Track nach 90 Tagen, Käuferkontakte in Reviews nach 90 Tagen, Exporte nach 30 Tagen und Daten in Invoice PT 30 Tage nach der Deinstallation. Die Datenschutz-Webhooks von Shopify löschen oder anonymisieren Daten auf Anfrage. | Im Code |
| Datensicherungen | ||
| Verschlüsselte Backups in einem anderen Land | Vor der Übertragung bereits auf dem Quellserver verschlüsselt und täglich auf einen Server in einem anderen Land übertragen. Aufbewahrt werden 14 tägliche und 4 wöchentliche Sicherungen. Einschränkung: Es gibt noch keine automatische Warnmeldung, falls ein Backup fehlschlägt. | Aktiv |
| Wiederherstellungstests | Ein wöchentlicher automatischer Wiederherstellungstest prüft jede Datenbank. Letztes Ergebnis: 30. Oktober 2026, 9 Datenbanken, OK. Dies sind die Datenbanken der auf dem Testserver installierten Apps. | Aktiv |
| Zugriff und Protokolle | ||
| Zugriffsprotokoll | Protokolliert ohne Inhaltsdaten, wer wann welche Admin-Seite geöffnet hat. Wird 365 Tage lang aufbewahrt und zusammen mit dem Shop gelöscht. Einschränkung: Protokolliert werden aufgerufene Seiten, nicht einzelne angezeigte Felder. | Im Code |
| Serverzugriff | SSH-Zugriff nur per Schlüssel, aktive Firewall, Datenbanken nicht über das Netzwerk erreichbar. | Aktiv |
| Protokolle ohne personenbezogene Daten | E-Mail-Adressen, Telefonnummern, Adressen, Namen, Steuernummern/USt-IdNr. und Tokens werden aus den Anwendungsprotokollen entfernt. | Im Code |
| Geprüfte Herkunft | Webhooks und App-Proxy-Anfragen des Shops werden anhand der Shopify-Signatur (HMAC) überprüft. | Im Code |
| Im Ernstfall | ||
| Reaktion auf Sicherheitsvorfälle | Schriftliche Richtlinie: Benachrichtigung von Shopify und dem Händler innerhalb von 24 Stunden sowie der portugiesischen Datenschutzbehörde innerhalb von 72 Stunden, sofern wir Verantwortlicher sind — inklusive Protokollierung und Nachbereitung. | Verabschiedet |
| Auftragsverarbeitungsvertrag (AVV / DPA) | Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) deckt die vier oben genannten Apps ab. | Verabschiedet |
| Produktivserver in der EU | Das Hosting für den Produktivbetrieb wurde noch nicht ausgewählt. Die Testserver stehen im Vereinigten Königreich, die Backups in Frankreich. Bei Änderungen wird Anhang III des Auftragsverarbeitungsvertrags aktualisiert. | Vor Marktstart |
Unabhängige Codeprüfungen
Am 30. Okt. 2026: 405 von 407 automatischen Sicherheitsprüfungen liefen bei den gemessenen Shopify-Apps ohne Befunde durch, und beide WordPress-Plugins haben Plugin Check ohne Fehler oder Warnungen bestanden. Die übrigen Prüfungen und alle Einzelheiten finden Sie unter „So testen wir“.
Diese Website
- Keine Cookies, keine Webanalyse und keine Werbe-Tracker.
- Keine Skripte, Schriftarten oder Bilder von Drittunternehmen: Der Browser wird angewiesen, Inhalte ausschließlich von dieser Website zu laden.
- Ein Kontaktformular, das nichts an uns überträgt: Es öffnet lediglich Ihr eigenes E-Mail-Programm.
Dokumente lesen
- Auftragsverarbeitungsvertrag Die Unternehmen, die als Unterauftragsverarbeiter Daten für uns verarbeiten, sind in Anhang III des Auftragsverarbeitungsvertrags aufgeführt.
- Datenschutzerklärung
Ein Problem gefunden?
Schreiben Sie mit den Details an caravel@caravelsuite.com. Bitte senden Sie keine Kundendaten mit. Unter /.well-known/security.txt veröffentlichen wir unseren Sicherheitskontakt.