Produkt-Leitfaden

Sicherheit & Datenschutz

PollsLive uses layered security and privacy controls, including EU hosting, encryption in transit, restricted production access, and regular maintenance.

In der EU gehostet

Ihre Daten werden auf Infrastruktur in der Europäischen Union gespeichert und verarbeitet.

Gehashte Zugangsdaten

Passwörter und Reset-Tokens werden als Einweg-Hashes gespeichert, nie in wiederherstellbarer Form.

Mehrschichtiger Schutz

Mehrere Ebenen von Missbrauchsschutz und Zugriffskontrollen schützen jede Umfrage und jeden Workspace.

Vor dem Release getestet

Jede Änderung wird in einer separaten Umgebung ohne Kundendaten getestet, bevor sie Sie erreicht.

Sicherheitsgeprüft

Wir patchen Abhängigkeiten, sobald uns Sicherheitshinweise erreichen, und prüfen den Technologie-Stack bei jeder Änderung.

Ihre Daten, Ihre Kontrolle

Export und Kontolöschung in Eigenregie im Studio. DSGVO-konform von Grund auf.

Infrastruktur

PollsLive runs on EU-based infrastructure with layered availability, access, and abuse-prevention controls. We keep implementation details private.

Datenresidenz

Alle Nutzerdaten (Konten, Umfragen, Antworten, Anhänge) werden in der Europäischen Union auf EU-Infrastruktur gespeichert. Ein Teil davon wird außerhalb der EU verarbeitet, und zwar von:

Cloudflare-Analytics: ausschließlich anonymisierte, aggregierte Traffic-Kennzahlen (keine personenbezogenen Daten). Cloudflare Web Analytics läuft erst, nachdem du Analytics im Consent-Banner akzeptiert hast, und vorher wird nichts für Analysen geladen.
KI-Funktionen: Umfrageinhalte und Chatnachrichten gehen zur Generierung, zum Branching und für den Assistenten Pulse AI an unseren KI-Anbieter. Lässt eine gastgebende Person eine KI-Antwortzusammenfassung zu einer Umfrage laufen, werden auch die Freitextantworten der Teilnehmenden dieser Umfrage übermittelt.
Weitere Auftragsverarbeiter: Zahlung, E-Mail-Zustellung, Fehlerüberwachung und jede Integration, die du selbst verbindest. Jeder ist mit Zweck, verarbeiteten Daten und Standort auf unserer Unterauftragsverarbeiter-Seite genannt. Maßgeblich ist diese Liste, nicht diese Zusammenfassung.

Verschlüsselung

In transit: Traffic is encrypted using modern transport security.
Passwords: Passwords are protected using industry-standard one-way storage. Plaintext passwords are never retained.
Account recovery: Reset and verification links are time-limited and protected against reuse.
API credentials: Credentials are protected, shown only when needed, and can be revoked or rotated.
Webhooks: Outbound webhook requests are signed so recipients can verify authenticity. Signing credentials can be rotated in Studio.

Authentifizierung

PollsLive unterstützt zwei Anmeldeverfahren:

Google OAuth: über den offiziellen Identitätsanbieter von Google. Wir fragen nur die Scopes email und profile an.
Email + password: passwords use secure one-way storage, and password resets use a time-limited, single-use link sent to the registered email.

Sign-in sessions are protected and expire automatically. Changing your password invalidates existing sessions.

Wiederholte fehlgeschlagene Anmeldeversuche werden verlangsamt und dann blockiert, und die Anmeldung verrät nicht, ob ein Konto existiert. Konten können bei Verstößen gegen die Nutzungsbedingungen gesperrt werden.

API-Sicherheit

Bearer-Token-Authentifizierung: alle /api/v1/-Routen verlangen einen gültigen API-Schlüssel (plv_live_…) oder ein OAuth-2.0-Access-Token (plv_oauth_…).
Prüfung von Zugangsdaten: API-Zugangsdaten werden so geprüft, dass die Antwortzeit keine Informationen preisgibt.
Ratenbegrenzung: Jeder API-Schlüssel und jeder OAuth-Client hat ein Anfragelimit pro Minute, und gleichzeitige Live-Sitzungen sind je nach Tarif begrenzt.
CORS: /api/v1/ setzt keine permissiven CORS-Header; Cross-Origin-Zugriff erfordert einen API-Schlüssel.
Request-Fälschung und Bots: Änderungen im Studio sind gegen Cross-Site-Request-Forgery geschützt, und öffentliche Abstimmungen sind gegen automatisierten Missbrauch geschützt.
Eingabeprüfung: Jede Anfrage wird geprüft, bevor sie verarbeitet wird.

Alle Details stehen unter Ratenlimits & Fehler.

Anwendungshärtung

Über Infrastruktur und API-Kontrollen hinaus erzwingt die Anwendungsschicht:

Zugriffskontrolle für Workspaces: Umfragen und Workspace-Daten sind nur für ihre Inhaber und für die Personen zugänglich, mit denen diese sie teilen. Eine öffentliche Ergebnisseite zeigt nur, was Sie veröffentlichen.
Ausgehende Verbindungen: Webhooks und Lead-Ziele, die Sie einrichten, müssen HTTPS verwenden.
Bot-Schutz: Abstimmungen, das Kontaktformular und die Anmeldung sind gegen automatisierten Missbrauch geschützt.
Sicherheits-Header: CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Cross-Origin-Opener-Policy und kein Leck von X-Powered-By.
Abhängigkeitshygiene: Abhängigkeiten werden regelmäßig gescannt; bekannte Probleme werden über unseren normalen Release-Prozess gepatcht.

Missbrauch & Moderation

Öffentliche Umfragen lassen sich über den Melden-Button auf jeder Umfrageseite melden. Meldungen prüft das PollsLive-Team. Bestätigte Richtlinienverstöße führen zur Entfernung der Umfrage und zur Sperrung des Workspace.

Das Q&A in Live-Sitzungen unterstützt Moderation durch die vortragende Person: Bei moderated: true werden alle Fragen bis zur Freigabe zurückgehalten, bevor sie auf dem Bildschirm erscheinen.

Automatisierte Scans und missbräuchlicher Datenverkehr werden blockiert, und verdächtige Anmeldeaktivitäten prüft unser Team.

Responsible Disclosure

Eine Sicherheitslücke gefunden? Melde sie bitte vertraulich über unser Kontaktformular (wähle Sicherheit / Fehlerbericht). Wir streben eine Antwort binnen 72 Stunden an und nennen dich nach der Behebung auf Wunsch namentlich.

Bitte veröffentliche Schwachstellen nicht, bevor wir Gelegenheit hatten, sie zu beheben.

analytics

integrations guide

Hast du noch Fragen?

Unser Team hilft dir gerne weiter.

Kontaktiere uns