Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO — Anlage zum Auftragsverarbeitungsvertrag

Hinweis: Die technischen Abschnitte unten beschreiben, was tatsächlich in der Software eingebaut ist. Der Abschnitt zum Hosting muss vom Betreiber ausgefüllt werden — siehe rechtliches/LIESMICH.md und rechtliches/TOM.md im Quellcode.

Vertraulichkeit

Passwörter werden ausschließlich als Salted-Hash gespeichert (scrypt), niemals im Klartext.
Sitzungsschlüssel werden nur als Hash gespeichert; Sitzungscookies sind HttpOnly und (bei HTTPS) Secure.
Optionale Zwei-Faktor-Anmeldung (TOTP) je Benutzerkonto.
Rollenmodell mit drei Stufen, serverseitig bei jeder Anfrage durchgesetzt — Reinigungskräfte sehen weder Stundenlöhne noch Umsätze.
Jeder Betrieb sieht ausschließlich seine eigenen Daten: bei SQLite durch physisch getrennte Datenbankdateien je Betrieb, bei PostgreSQL durch Row-Level-Security auf Datenbankebene mit einem eigens dafür eingerichteten, nicht-privilegierten Datenbankkonto.
Übertragung ausschließlich über TLS/HTTPS im empfohlenen Betrieb hinter einem Reverse Proxy.

Integrität

Jede Änderung an Daten wird mit Zeitstempel versehen.
Eine Rechnung wird beim Verlassen des Entwurfsstatus unveränderlich festgeschrieben; festgeschriebene Rechnungen bilden eine Hash-Kette, mit der sich eine nachträgliche Änderung an der Datenbank vorbei erkennen lässt.
Ein Datenexport ist nur dem angemeldeten Inhaber bzw. Büro des jeweiligen Betriebs möglich.

Verfügbarkeit und Belastbarkeit

Regelmäßige, automatisierte Datensicherung, auch im laufenden Betrieb.
Sicherungen lassen sich als eigenständige Datenbankdatei wiederherstellen.
{{tom.redundanz}}

Verfahren zur regelmäßigen Überprüfung

Automatisierte Tests decken Mandantentrennung, Rollen und Rechte-Durchsetzung bei jeder Änderung am Quelltext ab. Die Hash-Kette der Rechnungen lässt sich jederzeit auf Unversehrtheit prüfen. {{tom.kontrollturnus}}

Löschkonzept

Fachliche Löschregeln verhindern das Löschen von Daten, die kaufmännisch oder gesetzlich erhalten bleiben müssen. Kündigt ein Betrieb selbst, bleiben alle Daten zunächst vollständig erhalten und exportierbar. Bei endgültiger Löschung wird die gesamte Datenbankdatei des Betriebs unwiderruflich entfernt. Rechnungen unterliegen einer gesetzlichen Aufbewahrungspflicht von in der Regel 10 Jahren (§ 147 AO) — dafür bleibt der jeweilige Betrieb als Verantwortlicher zuständig.

Hosting und Unterauftragsverarbeiter

Was	Anbieter	Standort
{{zweck}}	{{name}}	{{standort}}

Stand: {{stand.datum}} · Impressum · Datenschutz · AGB · AVV