Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO — Anlage zum Vertrag zur Auftragsverarbeitung

1. Zutritts- und Zugangskontrolle zum Server

• Betrieb in einem Rechenzentrum des unter Ziffer 8 genannten Hosting-Anbieters; physischer Zutritt nur für dessen Personal.
• Verwaltung des Servers nur über verschlüsselte Verbindungen (SSH, Verwaltungsoberfläche über HTTPS) mit persönlichen Zugangsdaten.
• Die Anwendung läuft in einem Container unter einem Benutzer ohne Administratorrechte und ist nur über den vorgeschalteten Webserver erreichbar, nicht direkt aus dem Internet.

2. Zugangskontrolle zur Software

• Passwörter werden ausschließlich als Salted-Hash (scrypt, speicherhart, Stufe nach OWASP-Empfehlung) gespeichert, niemals im Klartext. Ältere Hashes werden beim nächsten Anmelden auf die aktuelle Stufe gehoben.
• Passwortregeln: mindestens 10 Zeichen, keine gängigen Passwörter, keine Zahlen- oder Tastaturfolgen, nicht im Wesentlichen die eigene E-Mail-Adresse.
• Optionale Zwei-Faktor-Anmeldung (TOTP) je Konto, mit Einmal-Notfallcodes. Sie lässt sich weder über eine Einladung noch über „Passwort vergessen" umgehen.
• Schutz vor dem Durchprobieren: Nach fünf Fehlversuchen je Konto und Absender ist die Anmeldung fünf Minuten gesperrt, nach zehn je Konto unabhängig vom Absender 15 Minuten (der Kontoinhaber wird per E-Mail benachrichtigt), nach 30 je Absender über alle Konten ebenfalls 15 Minuten. Für die Codes des zweiten Faktors gelten fünf je Anmeldung und zehn je Konto.
• Bot-Schutz bei der Registrierung ohne externen Dienst: Rechenaufgabe im Browser, signierte Formularmarke mit 3-Sekunden-Zeitsperre, unsichtbares Honigtopf-Feld, Sperre für Wegwerf-E-Mail-Adressen und höchstens fünf Registrierungen je Absender und Stunde.
• Neue Registrierungen bestätigen ihre E-Mail-Adresse über einen Link (bei eingerichtetem E-Mail-Versand); bis dahin sind die Funktionen gesperrt.
• Sitzungsschlüssel werden nur als Hash gespeichert; Sitzungscookies sind HttpOnly, SameSite und Secure; SameSite verhindert, dass fremde Seiten Anfragen im Namen angemeldeter Nutzer auslösen. Verwaltungszugänge (Inhaber, Büro) werden nach 60 Minuten ohne Aktivität automatisch abgemeldet, Zugänge für den Check-in nach 14 Tagen ohne Nutzung. Eine Passwortänderung beendet alle anderen Sitzungen.
• Links zum Zurücksetzen des Passworts sind eine Stunde gültig und nur einmal verwendbar.

3. Zugriffskontrolle und Trennung der Betriebe

• Rollenmodell (Inhaber, Büro, Reinigungskraft), bei jeder Anfrage serverseitig durchgesetzt. Reinigungskräfte sehen weder Löhne noch Umsätze, Abwesenheitsgründe oder die Zeiten anderer.
• Jeder Betrieb hat eine eigene, physisch getrennte Datenbank; ein Zugriff auf Daten eines anderen Betriebs ist auch über bekannte Kennungen nicht möglich.
• Support-Zugriffe des Betreibers nur mit Freigabe des Betriebs in der Software (höchstens 72 Stunden, jederzeit beendbar); ohne Freigabe nur im Notfall (Störung, Sicherheitsvorfall), höchstens 4 Stunden, mit sofortiger E-Mail an den Betrieb. Jeder Zugriff ist an einen Grund gebunden, im Betrieb sichtbar gekennzeichnet und protokolliert.
• Datenminimierung beim Check-in: Die Standortprüfung ist ausgeschaltet, bis der Betrieb sie einschaltet. Geortet wird nur im Moment des Eincheckens, nie im Hintergrund oder während der Arbeit; gespeichert wird nur das Ergebnis des Abgleichs, nicht die Koordinaten. Kein Kartendienst oder sonstiger Dritter erhält Standortdaten der Beschäftigten; es entstehen keine Bewegungsprofile. Werden die Koordinaten eines Objekts aus seiner Adresse ermittelt, geht nur auf Anforderung die Objektadresse an den Kartendienst.
• QR-Aufkleber an Objekten enthalten nur einen Link auf den Check-in des Objekts, keine personenbezogenen Daten.

4. Weitergabekontrolle

• Übertragung ausschließlich verschlüsselt über HTTPS. TLS-Zertifikat und Umleitung von HTTP auf HTTPS übernimmt der vorgeschaltete Webserver; die Anwendung setzt zusätzlich HSTS.
• Sicherheits-Kopfzeilen gegen Einbetten in fremde Seiten und Inhaltstyp-Raten.
• Exporte sind nur angemeldeten Inhabern bzw. Büro des jeweiligen Betriebs möglich. Daten gehen nur an die Unterauftragsverarbeiter nach Ziffer 8.

5. Eingabekontrolle und Integrität

• Jede Änderung wird mit Zeitstempel versehen.
• Rechnungen werden beim Verlassen des Entwurfsstatus unveränderlich festgeschrieben und bilden eine Hash-Kette, mit der sich nachträgliche Änderungen an der Datenbank vorbei erkennen lassen. Korrekturen erfolgen nur per Storno.

6. Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherung aller Daten als in sich stimmige Kopie im laufenden Betrieb; Aufbewahrung 30 Tage. Die Sicherungen liegen auf dem Server getrennt vom laufenden Datenbestand; zusätzlich sichert ein eigener Backup-Server des Hosting-Anbieters den Server an einem zweiten Ort und hält dort die letzten 30 Sicherungen vor.
• Sicherungen lassen sich als eigenständige Datenbankdateien wiederherstellen. Die Zustandsprüfung des Sicherungsdienstes schlägt an, wenn eine tägliche Sicherung ausbleibt.
• Automatischer Neustart der Anwendung nach Störungen; Zustandsüberwachung des Containers.
• Betrieb auf einem virtuellen Server der IONOS SE; das Rechenzentrum verfügt über redundante Strom- und Netzanbindung.

7. Überprüfung und Löschung

Vor jeder Veröffentlichung einer neuen Version laufen automatisierte Tests, die unter anderem Mandantentrennung, Rollen, Anmeldeschutz und Sicherung prüfen. Die Maßnahmen werden mindestens einmal jährlich sowie nach wesentlichen Änderungen überprüft.

Löschregeln verhindern das versehentliche Löschen von Daten, die kaufmännisch oder gesetzlich erhalten bleiben müssen. 90 Tage nach Ende der Testphase oder des Vertrags löscht die Software einen Betrieb automatisch, nach Ankündigung per E-Mail. Beim Löschen wird die Datenbank des Betriebs sofort entfernt; in den Sicherungen ist sie danach noch enthalten, bis diese überschrieben werden (eigene Sicherungen nach 30 Tagen, Serversicherung nach 30 weiteren Sicherungen). Das Protokoll der Support-Zugriffe wird nach drei Jahren gelöscht.

8. Hosting und Unterauftragsverarbeiter

Stand: 10.11.2026 · Impressum · Datenschutz · AGB · Preise und Leistungen · AVV