Sicherheit

Zuletzt aktualisiert: Oktober 2026

Auf dieser Seite erfahren Sie, wie wir Ihre Geschäftsdaten und die Daten Ihrer Kunden schützen.

Datenverschlüsselung

Alle Daten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt. Gespeicherte Daten, einschließlich Ihrer Datenbank, Backups und hochgeladenen Dateien, werden von unseren Infrastrukturanbietern mit AES-256 verschlüsselt.

Zugriffskontrollen

FullClass nutzt eine rollenbasierte Zugriffskontrolle, die der Inhaber des Unternehmens einrichtet, sodass Sie genau festlegen, wer in Ihrem Team worauf zugreifen kann. Die Berechtigungen umfassen 19 einzelne Bereiche (Buchungen, Kunden, Berichte, Geschenkgutscheine und mehr), und der Inhaber kann sensible Datenfelder wie die Kontaktdaten von Kunden zusätzlich getrennt von den Seiten freigeben oder sperren, auf denen sie stehen.

Das sind Ausgangspunkte, keine festen Vorgaben. Der Inhaber gewährt oder entzieht jeden Bereich pro Rolle und kann den Zugriff für einzelne Benutzer anpassen, sodass jede Person nur sieht, was ihre Aufgabe erfordert.

Zwei-Faktor-Authentifizierung

Alle Admin-Konten unterstützen Zwei-Faktor-Authentifizierung (2FA) mit jeder gängigen Authenticator-App, darunter Google Authenticator, Authy und 1Password. Wir empfehlen dringend, 2FA für alle Inhaber- und Admin-Konten zu aktivieren. Sie lässt sich jederzeit in Ihren Profileinstellungen einrichten.

Passwörter

Passwörter werden vor dem Speichern mit bcrypt gehasht. Wir speichern sie nie im Klartext. Nach fünf fehlgeschlagenen Anmeldeversuchen werden Konten vorübergehend gesperrt, um Brute-Force-Angriffe zu verhindern. Links zum Zurücksetzen des Passworts laufen nach 24 Stunden ab und können nur einmal verwendet werden.

Ohne Passwort & mit Passkeys

Jedes Teamkonto, auch das des Inhabers, kann sich mit einem WebAuthn-Passkey statt mit einem Passwort anmelden. Ein Passkey ist an Ihr Gerät gebunden und wird mit Fingerabdruck, Gesicht oder Geräte-PIN entsperrt, ist also von Natur aus mehrstufig und resistent gegen Phishing. Jedes Konto kann mehrere Passkeys registrieren und verwalten.

Zahlungen

FullClass speichert keine Kartennummern. Kundenzahlungen werden direkt von Stripe oder Square verarbeitet, die beide nach PCI-DSS zertifiziert sind. Wir erhalten nur eine tokenisierte Referenz auf abgeschlossene Transaktionen.

Ihre Datenrechte

Zur Unterstützung von DSGVO- und ähnlichen Anfragen kann der Inhaber die Daten eines einzelnen Kunden (Profil, Buchungen, akzeptierte Haftungsausschlüsse und Geschenkgutscheine) als maschinenlesbare Datei exportieren und die personenbezogenen Daten eines Kunden auf Anfrage löschen. Beide Aktionen sind dem Inhaber vorbehalten.

Dasselbe gilt für Ihr eigenes Konto. Der Inhaber kann jederzeit alles herunterladen, was das Unternehmen gespeichert hat, jeden Bericht als Tabelle, und das gesamte Konto ohne Kontakt zu uns in den Einstellungen löschen. Das Löschen nimmt die Buchungsseite sofort offline und kündigt das Abonnement, die Daten werden 30 Tage später endgültig gelöscht. Bis dahin lässt sich die Löschung mit einem Klick rückgängig machen, damit ein Fehlklick oder gestohlene Zugangsdaten ein Unternehmen nicht seine Unterlagen kosten.

Studios in der EU, im Vereinigten Königreich und in der Schweiz

Unser Auftragsverarbeitungsvertrag umfasst personenbezogene Daten aus der EU, dem Vereinigten Königreich und der Schweiz, mit den EU-Standardvertragsklauseln und dem UK Addendum. Studios dort akzeptieren ihn bei der Registrierung. Die Unternehmen, die wir für den Betrieb des Dienstes nutzen, sind in unserer Liste der Unterauftragsverarbeiter aufgeführt.

Bei diesen Studios erhält ein Kunde, der das Kästchen für den Newsletter ankreuzt, zuerst eine Bestätigungs-E-Mail und wird erst angemeldet, wenn er bestätigt. Das Kästchen ist immer zunächst leer, und jede Änderung an der Entscheidung eines Kunden wird protokolliert. Werbe-Tags auf der gehosteten Buchungsseite warten, bis der Besucher sie akzeptiert, und unsere Schriften werden von unseren eigenen Servern ausgeliefert statt von einem Drittanbieter. Wird ein Kunde gelöscht, wird er auch aus einer verbundenen Mailchimp- oder MailerLite-Liste entfernt.

Personenbezogene Daten werden nicht ewig aufbewahrt. Die mit einer Buchung erfasste IP-Adresse wird nach 12 Monaten gelöscht. Bei unseren Self-Service-Tarifen erhält der Inhaber nach dem Ende eines Abonnements eine E-Mail mit dem Datum, an dem seine Daten 30 Tage später gelöscht werden, und ein erneutes Abonnement vor diesem Datum stoppt die Löschung.

Backups

Ihre Daten werden täglich in verschlüsseltem Cloud-Speicher gesichert. Sicherungen werden 60 Tage lang aufbewahrt. Gehen Daten verloren, streben wir die Wiederherstellung von Daten an, die höchstens 24 Stunden alt sind.

Infrastruktur

FullClass wird bei Render gehostet, in einer einzigen Region im Westen der USA. Unsere Infrastrukturanbieter verfügen über eine SOC 2 Type II-Zertifizierung. Wir überwachen die Verfügbarkeit fortlaufend. Den aktuellen Status finden Sie auf unserer Statusseite.

Schwachstellenmanagement

Unser Code wird jedes Mal, wenn eine Änderung daran zusammengeführt wird, mit govulncheck auf bekannte Schwachstellen geprüft. Abhängigkeiten werden regelmäßig überprüft und aktualisiert, wenn Sicherheitsprobleme bekannt werden.

Verantwortungsvolle Offenlegung

Wenn Sie glauben, eine Sicherheitslücke in FullClass gefunden zu haben, melden Sie sie uns bitte an support@fullclass.io. Wir bestätigen Ihre Meldung innerhalb von 48 Stunden und arbeiten mit Ihnen zusammen, um das Problem zu verstehen und zügig zu beheben. Wir bitten Sie, das Problem nicht öffentlich zu machen, bevor wir angemessen Gelegenheit hatten, es zu beheben.

Fragen

Bei Fragen zur Sicherheit bei FullClass erreichen Sie uns unter support@fullclass.io.