Daten und Sicherheit

Wie die Daten unserer Kunden geschützt sind

onfleeksocial.com · betrieben von der on fleek GmbH

In on fleek Social liegen die Inhalte, Medien und Konto-Verknüpfungen eigenständiger Unternehmen, die wir betreuen. Jedes dieser Unternehmen hat einen eigenen Bereich, und seine Ansprechpartner sehen ausschließlich diesen einen Bereich. Die Trennung ist keine Frage der Oberfläche, sondern wird bei jedem Zugriff auf dem Server durchgesetzt: Ein Kundenzugang erhält nur Daten des Unternehmens, das aus seiner angemeldeten Sitzung hervorgeht — nie die eines Unternehmens, das aus einer Anfrage mitgeschickt wurde.

Der zweite empfindliche Punkt sind die Zugriffstoken der verknüpften Social-Media-Konten. Sie liegen verschlüsselt in der Datenbank, werden nur auf dem Server und nur unmittelbar vor dem Aufruf der jeweiligen Plattform entschlüsselt und erreichen den Browser zu keinem Zeitpunkt.

Getrennte Bereiche je Kundenunternehmen

Ein Kundenzugang gehört zu genau einem Unternehmen. Was daneben in der Anwendung liegt, existiert für diesen Zugang nicht.

Der Zugang eines Kundenunternehmens ist an dessen Bereich gebunden. Beiträge, Medien, Kommentare, Konten und Auswertungen anderer Unternehmen sind darüber weder sichtbar noch abrufbar.
Die Zuordnung wird serverseitig aus der Sitzung abgeleitet. Eine im Aufruf mitgegebene Kennung ändert daran nichts: Der Server gleicht jeden abgerufenen Datensatz mit dieser Zuordnung ab.
Das on-fleek-Team arbeitet über die betreuten Unternehmen hinweg, weil es die Inhalte produziert; einzelne Mitarbeiter lassen sich auf bestimmte Kunden beschränken. Fragt ein Agenturzugang die Daten eines Kunden an, prüft der Server, ob er diesen Kunden betreuen darf. Innerhalb des Teams lässt sich zusätzlich abstufen, wer Kundenstammdaten verwalten, Social-Konten verbinden und trennen, KI-Funktionen nutzen, im Namen des Kunden freigeben oder Beiträge archivieren und löschen darf. Portal-Nutzer anlegen und entfernen, Kunden löschen und die Sicht eines Kundenzugangs übernehmen dürfen nur Agentur-Admins.
Übernimmt jemand aus dem Team zur Unterstützung vorübergehend die Sicht eines Kundenzugangs, wird die echte Identität dahinter im Änderungsprotokoll mitgeschrieben.

Zugänge und Anmeldung

Zugänge richtet on fleek ein. Eine offene Selbstregistrierung gibt es nicht — es existiert keine Seite, auf der sich jemand selbst ein Konto anlegen könnte.

Ein neu angelegtes Konto erhält kein Passwort im Klartext per Mail, sondern einen signierten Zugangslink, der nur für dieses eine Konto gilt und abläuft. Das Passwort vergibt der Nutzer selbst.
Passwörter müssen mindestens zehn Zeichen haben. Das Zurücksetzen läuft über einen einmaligen, zeitlich begrenzten Link an die hinterlegte Adresse.
Für Agenturzugänge lässt sich eine zweite Stufe bei der Anmeldung einschalten: ein Code aus einer Authenticator-App, alternativ ein Code per E-Mail, dazu Backup-Codes für den Notfall.
Wird ein Zugang gesperrt, greift die Sperre bei jeder weiteren Anfrage — nicht erst bei der nächsten Anmeldung.

Zugriffstoken der Plattformen

Beim Verbinden eines Instagram-, Facebook-, TikTok- oder YouTube-Kontos stellt der jeweilige Anbieter Token aus: je nach Plattform ein Zugriffs- und ein Aktualisierungstoken, bei Facebook-Seiten zusätzlich ein Seiten-Token. Wir speichern kein Passwort des Kontoinhabers, sondern nur diese Token — und zwar verschlüsselt mit AES-256-GCM, mit einem Schlüssel, der ausschließlich in der Serverumgebung liegt.

Entschlüsselt wird nur serverseitig und nur in dem Moment, in dem ein Aufruf an die Plattform ansteht oder ein Token erneuert wird. Tokens werden nicht protokolliert und nicht an den Browser ausgeliefert; kein Datensatz, der die Oberfläche erreicht, führt sie mit. Ein Schlüsselwechsel ist eingeplant: Ein hinterlegter Vorgängerschlüssel erlaubt weiterhin das Lesen älterer Werte, geschrieben wird immer mit dem aktuellen.

Der Verbindungsstatus jedes Kontos ist in der Anwendung sichtbar — verbunden, läuft ab, getrennt oder Fehler. Läuft eine Verbindung aus oder widerruft der Kontoinhaber die Freigabe insgesamt, löscht die Anwendung die gespeicherten Tokens, sobald sie das erkennt, und zeigt es am Status der Verbindung an, statt es stillschweigend zu übergehen. Stellen die regelmäßigen Prüfungen der Meta- und TikTok-Verbindungen das fest, geht beim Wechsel in diesen Zustand zusätzlich eine E-Mail an das Agentur-Team; beim Widerrufs-Rückruf von Meta und bei YouTube bleibt es bei der Anzeige. Nimmt jemand bei Meta nur einzelne Konten aus der Freigabe, stehen diese Konten auf Fehler und es wird über sie nichts mehr veröffentlicht; die Tokens der Verbindung bleiben dann für die übrigen Konten bis zum Trennen oder Neuverbinden gespeichert, ebenso der Seiten-Token einer so herausgenommenen Facebook-Seite.

Medien

Bilder und Videos liegen nicht offen im Netz. Der Server liefert sie nur nach Prüfung der Anmeldung aus; was ein angemeldeter Browser einmal geladen hat, darf nur er selbst zwischenspeichern.

Abruf nur angemeldet

Der Medienspeicher ist nicht öffentlich erreichbar. Jede Datei geht über einen Proxy, der die Sitzung prüft und das Kundenunternehmen abgleicht; Videos werden dabei gestreamt. Zwischenspeichern darf die Dateien nur der Browser des angemeldeten Nutzers, kein geteilter Zwischenspeicher.

Die Ausnahme beim Veröffentlichen

Meta und TikTok holen Mediendateien beim Veröffentlichen teilweise selbst über eine Adresse ab; bei TikTok betrifft das Foto-Beiträge, Videos werden direkt hochgeladen. Dafür wird je Veröffentlichungsversuch eine frisch signierte Adresse erzeugt, die für genau eine Datei gilt und nach fünfzehn Minuten verfällt. Danach führt sie ins Leere.

Geprüfte Medien

Beim Hochladen liest der Server jede Datei selbst aus: Typ, Maße und Dauer stammen aus der Datei, nicht aus der Angabe des Browsers, und was nicht lesbar ist, wird abgewiesen. Ob ein Medium zum gewählten Zieltyp passt — Format, Seitenverhältnis, Dauer, Größe —, prüft die Anwendung schon beim Zusammenstellen des Beitrags und noch einmal serverseitig, bevor er zur Freigabe eingereicht oder direkt freigegeben werden kann; nicht erst beim Veröffentlichen.

Getrennt gespeichert

Auch Medien tragen die Zugehörigkeit zu einem Kundenunternehmen. Der Abruf über den Proxy setzt dieselbe Trennung durch wie jede andere Abfrage.

Betrieb und Übertragung

Betrieben in Deutschland: Anwendung, Datenbank und Medienspeicher laufen in einer eigenen Umgebung auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg — nicht in einem Mandantensystem eines Drittanbieters, das sich mehrere Kunden teilen.
Die Anwendung ist ausschließlich über HTTPS erreichbar; Browser werden per HSTS darauf festgelegt.
Weitere Schutz-Kopfzeilen unterbinden das Einbetten der Anwendung in fremde Seiten und den Zugriff auf Kamera, Mikrofon und Standort.
Es findet kein Tracking statt. Gesetzt werden nur technisch notwendige Cookies, etwa die Sitzungs-Cookies der Anmeldung, auf Wunsch ein Cookie, das ein Gerät bei der Zwei-Faktor-Anmeldung als vertrauenswürdig merkt, und, im Agenturbereich, ein Cookie, das den zuletzt gewählten Kunden merkt; die einzelnen Cookies beschreibt die Datenschutzerklärung. Schriften und übrige Inhalte kommen von unseren eigenen Servern — auch die Profilbilder verbundener Konten, die der Server bei der Plattform abholt, statt den Browser dorthin zu schicken. Ausnahmen sind das Meldewerkzeug für Fehler, das wir selbst auf demselben Server betreiben, und die Reel-Musikvorschau im Beitragseditor der Agentur, die der Browser beim Anspielen direkt bei Meta lädt.
Die Testumgebung ist von der Produktion getrennt und veröffentlicht nie gegen echte Plattform-Schnittstellen.

Protokoll: wer hat wann freigegeben

Eine Veröffentlichung ist eine Zusage gegenüber dem Kunden. Deshalb bleibt nachvollziehbar, wie ein Beitrag dorthin gekommen ist.

Jeder Statuswechsel eines Beitrags läuft über eine einzige, geprüfte Übergangsfunktion und schreibt dabei einen Eintrag in das Änderungsprotokoll: wer gehandelt hat, ob als Agentur, als Kundenunternehmen oder als automatischer Vorgang, wann es geschah und welcher Status auf welchen folgte. Einträge werden nur angehängt, nicht überschrieben, und nach 24 Monaten automatisch gelöscht. Nachträglich ändern sie sich nur in zwei Fällen: Wird ein Zugang oder Kunde gelöscht, entfällt die Verknüpfung der Einträge mit ihm (seine bloße Kennung kann als betroffener Datensatz stehen bleiben), und die E-Mail-Adresse eines gelöschten Zugangs entfernen wir aus den Einträgen. Und Namen verknüpfter Plattform-Konten, die ältere Einträge noch enthalten, entfernen wir spätestens 30 Tage nach dem Eintrag.

Veröffentlicht wird nur, was zuvor freigegeben und dann geplant wurde — einen Weg an dieser Statusmaschine vorbei gibt es in der Anwendung nicht. Das on-fleek-Team sieht die Protokolleinträge in einer eigenen Aktivitätsansicht, gefiltert nach Kunde und Art des Handelnden. Zusätzlich hält die Anwendung je Beitrag den Freigabeverlauf mit Kommentaren, Änderungswünschen und Versionen fest.

Trennen und Löschen

Ein Kontoinhaber kann die Freigabe für on fleek Social jederzeit direkt bei der Plattform widerrufen. Bei Facebook und Instagram meldet Meta uns den Widerruf der Freigabe über einen Rückruf; wir löschen daraufhin sofort die gespeicherten Zugriffstoken und markieren die Verknüpfung als getrennt. Zusätzlich prüft die Anwendung die Meta-Tokens stündlich: Ungültige oder abgelaufene Tokens löscht sie; wurden nur einzelne Konten aus der Freigabe genommen, setzt sie diese Konten auf Fehler und veröffentlicht darüber nichts mehr, während die Tokens der Verbindung für die übrigen Konten bestehen bleiben, ebenso der Seiten-Token einer herausgenommenen Facebook-Seite. Bei TikTok und YouTube wertet die Anwendung keine solche Meldung aus — dort erkennt sie den Widerruf beim nächsten Erneuern des Tokens, bei TikTok mindestens einmal täglich, bei YouTube etwa beim nächtlichen Abruf der Kennzahlen oder bei der nächsten Veröffentlichung. Sie löscht dann sofort die gespeicherten Tokens, setzt die Verknüpfung auf Fehler und veröffentlicht darüber nichts mehr.
Wird ein Konto in der Anwendung getrennt, löscht sie dessen Tokens sofort; den gemeinsamen Token einer Meta-Verbindung, über die mehrere Konten laufen, sobald alle diese Konten getrennt sind. Bei YouTube beantragen wir zusätzlich bei Google den Widerruf der Freigabe. Über ein getrenntes Konto veröffentlicht die Anwendung nichts mehr.
Endet die Zusammenarbeit mit einem Kundenunternehmen, löschen wir es in der Anwendung, sobald alle seine Konten getrennt sind und keine Veröffentlichung mehr läuft: Beiträge, Medien, Verknüpfungen und die Zugänge seiner Ansprechpartner in einem Schritt aus der Datenbank, die Dateien unmittelbar danach aus dem Speicher. Einträge im Änderungsprotokoll bleiben bis zum Ablauf ihrer 24-Monats-Frist, ohne die E-Mail-Adressen der gelöschten Zugänge. Was bereits auf Instagram, Facebook, TikTok oder YouTube veröffentlicht ist, bleibt dort online. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Auskunft und Löschung können jederzeit unter info@agenturonfleek.com verlangt werden — auch von einem Kontoinhaber unmittelbar, ohne Umweg über uns als Agentur.

Welche Daten zu welchem Zweck verarbeitet werden, wie lange sie gespeichert bleiben und welche Rechte betroffenen Personen zustehen, steht ausführlich in der Datenschutzerklärung.

Fragen zu Daten und Sicherheit?

on fleek GmbH · Industriestr. 10 · 92360 Mühlhausen · Deutschland. Anfragen zu verknüpften Konten, zu gespeicherten Daten und zur Löschung beantworten wir direkt.

info@agenturonfleek.com