Trust Center
Sicherheit & Datenschutz bei DrohnenAtlas
Öffentliche Übersicht für Pilotinnen, Unternehmen und Einsatzorganisationen: wie wir Daten schützen, wo sie liegen und wie Sie Schwachstellen melden können - ohne Zertifikatsversprechen, die wir nicht halten.
Überblick
DrohnenAtlas verarbeitet Flugplanungs-, Konto- und optional Organisationsdaten. Autorisierung liegt auf dem Server; Identitäts- und Compliance-Dokumente speichern wir auf EU-Objektspeicher bei Hetzner. Dieses Trust Center bündelt öffentliche Nachweise - ohne SOC-2- oder ISO-Logos, die wir nicht besitzen.
Verbindliche Rechtsgrundlagen, Empfänger und Auftragsverarbeiter bleiben in der Datenschutzerklärung.
Compliance-Status
- DSGVOAktiv
Betrieb mit Datenschutzerklärung, Betroffenenrechten und versioniertem Empfängerregister
- AuftragsverarbeiterAktiv
Empfänger und Auftragsverarbeiter in der Datenschutzerklärung (Stand 2026-10-10)
- Responsible DisclosureAktiv
security.txt + gemeldeter Prozess unter /trust/vulnerability-disclosure
- EU-HostingAktiv
Primäre App- und Objektdaten bei Hetzner (Deutschland)
- EU AI ActWorking
Working: limited-risk / Transparenz - keine High-Risk- oder Zertifizierungsaussage
- NIS2Außer Scope
Arbeitsmemo: voraussichtlich außer Scope für dieses KMU
- ISO / SOC 2Nicht zertifiziert
Nicht zertifiziert; Gap-Arbeit intern - keine Logos oder Zertifikatsclaims
Dokumente
Alle Unterlagen →- REPORT
Security Overview
Kontrollen, Residenz, Posture nach dem Review 2026-10
- POLICY
TOM (Art. 32) - Kurzfassung
Technische und organisatorische Maßnahmen für Kundinnen und Partner
- POLICY
Vulnerability Disclosure
Meldeweg, Scope und Response-Erwartungen für Security Researchers
- NOTICE
KI-Transparenz (EU AI Act)
Working-Klassifikation und Transparenzmaßnahmen für optionale KI
- REPORT
Security Review 2026-10
Redigierte Zusammenfassung behobener Themen und offener Restpunkte
- LIBRARY
Unterlagen & Anfragen
Öffentliche Dokumente und Anforderung von AVV-/Business-Pack
Business-Pack (AVV-Entwurf, erweiterte TOM): per E-Mail anfordern.
Kontrollen
Product Security
- Autorisierung auf dem Server (Laravel Policies / Sanctum), nicht nur im Client
- API-Login mit 2FA-Challenge, wenn Zwei-Faktor bestätigt ist
- Form Requests, Mass-Assignment-Schutz, webhook-Signaturprüfungen
Data Security
- Uploads auf Hetzner-Objektspeicher (EU/DE) über konfigurierten uploads_disk
- TLS für öffentliche Endpunkte; Session-Verschlüsselung und verkürzte TTL in Preview
- Sentry mit PII-Scrubbing; Default-PII in Config abgeschaltet
App Security
- Bearer-Token in Secure Storage; Account-Löschung mit lokalem Wipe
- Analytics erst nach ausdrücklicher Einwilligung (Website und Web-App)
- Geozonen-Offline-Cache mit TTL und Hard-Stale-Hinweis - kein stilles „grün“
Data Privacy
- Versionierte Datenschutzerklärung und Empfängerregister
- Export- und Löschpfade in der API; Marketing-Push standardmäßig aus
- Hintergrundortung nur bei aktiver Flugaufzeichnung nach Disclosure
Access Control
- Organisation-/BOS-Rollen serverseitig; Mutationen am Datensatz-Org-Kontext
- Admin- und Partnerflächen feature- und policy-gesteuert
- Gast-Inertia ohne Admin-Routenkarte und ohne interne Feature-Flag-Details
Infrastructure
- Kubernetes auf Hetzner; Dependabot für Composer/npm/Actions/Docker
- Container non-root / restricted securityContext; Redis mit AUTH im Preview
- Marketing: CSP Report-Only und weitere Security-Header
Incident & Disclosure
- Öffentlicher Meldeweg unter /.well-known/security.txt
- Prozessbeschreibung im Trust Center
- Externer Pen-Test geplant - noch nicht als abgeschlossen behauptet
Rechtliches
Sicherheitslücke gefunden?
Melden Sie Findings vertraulich an info@pixelandprocess.de. Prozess, Scope und Ziele stehen unter Vulnerability Disclosure; die maschinenlesbare Kontaktkarte liegt unter /.well-known/security.txt.
Unterlagen anfordern
Für Organisationskunden stellen wir auf Anfrage den aktuellen AVV-/DPA-Entwurf und die erweiterte TOM-Anlage bereit. Status: in Abstimmung mit der Rechtsberatung - kein unterschriftsfertiges Zertifikatspaket.