Technische und organisatorische Maßnahmen

Nach Artikel 32 DSGVO. Anlage zum Auftragsverarbeitungsvertrag.

Dieses Dokument beschreibt, was die Anwendung tatsächlich tut. Es ist keine Absichtserklärung, sondern eine Beschreibung des gebauten Zustands. Wo eine Maßnahme noch nicht wirksam ist, steht das ausdrücklich dabei.

Der Maßstab ist bewusst der höhere. Die Maßnahmen sind so ausgelegt, dass sie auch für besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO angemessen sind — obwohl die Anwendung dafür nicht als führendes System gedacht ist. Es gibt keine abgeschwächte Fassung mit dem Argument, es seien ja nur gewöhnliche Daten. Wer im Einzelfall solche Daten verarbeitet, soll das nicht gegen die Technik tun müssen.

1. Trennung der Mandanten voneinander

Die wichtigste Maßnahme in dieser Anwendung. Jede Kanzlei und jedes Maklerbüro sieht ausschließlich die eigenen Daten.

• Die Trennung ist in der Struktur verankert, nicht in der Sorgfalt der Entwicklung: Eine Datenbankabfrage ohne Angabe der Organisation führt zu einem Programmabbruch, nicht zu einem Ergebnis. Das Vergessen eines Filters ist damit ein Fehler, der sofort auffällt, und kein stilles Datenleck.
• Der Zugriff auf fremde Daten ergibt 404 und nicht 403. Ein 403 würde bestätigen, dass es den Datensatz gibt; durch bloßes Durchprobieren ließe sich sonst herausfinden, welche Vorgänge existieren.
• Eine eigene Testklasse prüft für jede Adresse, über die man an fremde Daten kommen könnte, fünf Dinge: fremdes Objekt ergibt 404, der abgewiesene Zugriff hat nichts verändert, eigene Daten sind erreichbar, das Betreiberkonto kommt nicht heran, ohne Anmeldung wird umgeleitet. Diese Tests dürfen niemals übersprungen werden; ein weiterer Test wacht darüber.

2. Zugangskontrolle

• Anmeldung mit E-Mail-Adresse und Passwort, mindestens zwölf Zeichen, Abgleich gegen eine Liste bekannter Passwörter.
• Passwörter werden mit Argon2 gespeichert und sind nicht rückrechenbar.
• Zwei-Faktor-Anmeldung ist für Inhaber verpflichtend und für alle übrigen möglich. Wiederherstellungscodes werden einmalig angezeigt.
• Keine offene Selbstregistrierung. Ein Zugang entsteht nur auf Einladung oder mit einem Code, den der Betreiber vergibt.
• Fünf Fehlversuche, dann fünfzehn Minuten Sperre.

3. Der Zugang für Mandanten

Mandanten und Kunden bekommen einen Link und kein Benutzerkonto.

• Der Link enthält einen Zufallswert aus 43 Zeichen. In der Datenbank steht er nur als Streuwert; im Klartext existiert er in der E-Mail an den Empfänger. Wer die Datenbank liest, kann daraus keinen Link herstellen.
• Gültigkeit dreißig Tage, jederzeit widerrufbar mit sofortiger Wirkung.
• Für Kanzleien zusätzlich ein sechsstelliger Zugangscode, ebenfalls nur als Streuwert gespeichert. Er wird ausdrücklich nicht in derselben E-Mail mitgeteilt wie der Link.
• Fünf Fehlversuche, dann fünfzehn Minuten Sperre.

4. Umgang mit hochgeladenen Dateien

• Der Dateityp wird am Inhalt geprüft, nicht am Namen. Eine als `rechnung.pdf` benannte ausführbare Datei wird abgelehnt.
• Jede Datei durchläuft eine Virenprüfung (ClamAV). Erst danach wird sie freigegeben. Ist die Prüfung nicht möglich, bleibt die Datei gesperrt — offen bei der Annahme, geschlossen bei der Herausgabe.
• Dateien werden niemals über einen direkten Speicher-Link ausgeliefert, sondern nur über einen Endpunkt, der Anmeldung und Organisationszugehörigkeit prüft. Die Auslieferung erzwingt das Speichern statt der Anzeige im Browser.
• Auf der Festplatte steht der ursprüngliche Dateiname nicht. Gespeichert wird unter einer Zufallskennung.
• Der Speicher ist nicht öffentlich lesbar.

5. Verschlüsselung

Auf dem Transportweg

• Ausschließlich verschlüsselt (TLS), mit HSTS.
• Sicherheitskopfzeilen: Content-Security-Policy ohne `unsafe-inline`, `X-Frame-Options: DENY`, `X-Content-Type-Options: nosniff`, `Referrer-Policy: strict-origin`.
• Die Empfängerseite lädt nichts von fremden Servern und setzt keine Cookies zu Werbezwecken. Ein Cookie-Banner ist deshalb nicht nötig.

Im Ruhezustand

• Hochgeladene Dateien werden beim Speicheranbieter serverseitig verschlüsselt abgelegt (AES-256). Das ist in der Anwendung fest eingestellt, nicht dem Zufall der Anbietervorgabe überlassen.
• Passwörter mit Argon2, nicht rückrechenbar.
• Zugangstoken und Zugangscodes der Empfänger nur als Streuwert. Wer die Datenbank liest, kann daraus keinen Link herstellen.
• Die tägliche Sicherung der Datenbank wird verschlüsselt abgelegt, und zwar mit einem öffentlichen Schlüssel: Der Server kann verschlüsseln, aber nicht entschlüsseln. Der private Schlüssel liegt nicht auf dem Server. Wer ihn übernimmt, bekommt die Sicherungen also nicht dazu.
• Verschlüsselter Datenbereich auf dem Server. Datenbank, Docker-Daten, Sicherungen und das Projektverzeichnis liegen in einem verschlüsselten Behälter (LUKS2, AES) — ebenso die Zwischendateien, die beim Hochladen und beim Sichern entstehen. Wogegen das schützt: Wird der virtuelle Datenträger kopiert, zurückgegeben oder entsorgt, sind die Daten ohne die Schlüsseldatei nicht lesbar. Wogegen nicht: Der Bereich wird beim Hochfahren automatisch geöffnet, und die Schlüsseldatei liegt auf derselben Maschine. Wer Zugriff auf das laufende System oder auf das Wirtssystem des Hosters hat, liest mit. Das leistet nicht die Anwendung, sondern der Betrieb.

6. Protokollierung und Nachweisbarkeit

Ein Ereignisprotokoll hält fest: Anmeldungen einschließlich fehlgeschlagener, Anforderung erstellt und widerrufen, Link aufgerufen, Datei hoch- und heruntergeladen, Nutzer eingeladen und entfernt, Rolle geändert, Erinnerungen, Eskalationen, Funde der Virenprüfung.

Je Eintrag: Zeitpunkt, Organisation, handelnde Person oder „Empfänger", Vorgang, betroffenes Objekt und die gekürzte und gehashte IP-Adresse — die vollständige Adresse wird nicht gespeichert.

Einträge werden angelegt und nie geändert.

Was in keinem Protokoll erscheint: der Zugangstoken des Empfängers. Er steht in der Adresse der Empfängerseite, und Webserver wie Anwendungen schreiben Adressen üblicherweise mit. An allen drei Stellen, an denen das hier geschähe — Zugriffsprotokoll des Webservers, Anwendungsprotokoll, Fehlerüberwachung — wird er vor dem Schreiben durch einen Platzhalter ersetzt. Ebenso wenig erscheinen Suchbegriffe, die Mandantennamen enthalten können.

7. Verfügbarkeit

• Serverstandort Deutschland.
• Tägliche Sicherung der Datenbank, verschlüsselt, Aufbewahrung dreißig Tage. Jede Sicherung wird unmittelbar nach dem Erstellen in eine Wegwerf-Datenbank zurückgespielt und nachgezählt; schlägt das fehl, wird sie nicht abgelegt und es wird nichts Älteres gelöscht. Eine Sicherung, die noch nie zurückgespielt wurde, ist keine Sicherung.
• Die neuesten sieben Sicherungen bleiben unabhängig vom Alter erhalten, damit eine Reihe fehlgeschlagener Läufe nicht dazu führt, dass am Ende nur noch eine einzige übrig ist.
• Die Anwendung läuft in Containern; ein Ausfall eines Bestandteils führt nicht zum Verlust von Daten.

8. Eignung für besondere Kategorien

Die Anwendung ist nicht als führendes System für Daten nach Artikel 9 DSGVO gedacht. Ob solche Daten im Einzelfall verarbeitet werden, entscheidet der Verantwortliche durch die Wahl seiner Vorlagen und Positionen.

Die Maßnahmen sind trotzdem darauf ausgelegt. Im Einzelnen:

| Anforderung | Wie sie erfüllt wird | |---|---| | Verschlüsselung | TLS auf dem Transportweg, verschlüsselter Datenbereich auf dem Server, serverseitige Verschlüsselung der Dateien im Ruhezustand, verschlüsselte Sicherungen mit einem Schlüssel außerhalb des Servers, Argon2 für Passwörter, Streuwerte für Zugangstoken | | Zugriffsbeschränkung | Trennung der Mandanten in der Struktur, Rollen, Zwei-Faktor-Pflicht für Inhaber, geschlossene Registrierung, geschützter Download-Endpunkt | | Protokollierung | Ereignisprotokoll über jeden Zugriff auf eine Datei, nur anlegen, nie ändern | | Löschfristen | Löschkonzept mit automatischer Löschung nach Ablauf der Aufbewahrungsfrist, Vorwarnung vierzehn Tage vorher, Löschung im Ereignisprotokoll | | Zweckbindung | Positionen, die Gesundheitsdaten zum Gegenstand haben, sind in den mitgelieferten Vorlagen optional und ausdrücklich benannt, nicht Pflicht. Als Beifang können besondere Kategorien aber auch in Pflichtpositionen stehen — etwa die Konfession auf Lohnabrechnungen oder Schlüsselzahlen auf dem Führerschein |

9. Was noch nicht wirksam ist

Diese Liste wird gepflegt und nicht beschönigt.

• Die Anwendung ist zum Stand dieses Dokuments noch nicht in Betrieb. Angaben zu Sicherung und Serverstandort beschreiben den vorgesehenen Betrieb.
• Die Virenprüfung ist eingebaut und geprüft, wird aber erst mit der Inbetriebnahme auf dem Server eingeschaltet. Solange sie aus ist, bleibt jede Datei gesperrt.
• Der verschlüsselte Datenbereich ist am 10. Oktober 2026 eingerichtet worden (Abschnitt 5), einschließlich Neustart-Probe. Die serverseitige Verschlüsselung der hochgeladenen Dateien ist in der Anwendung eingestellt und wirkt, sobald der Speicherdienst eingerichtet ist.
• Das Sicherungsverfahren ist gebaut und beschrieben, aber noch nie auf einem Server gelaufen. Der erste Durchlauf einschließlich einer Wiederherstellung von Hand gehört zur Inbetriebnahme.
• Die Sicherung liegt auf demselben Server wie die Datenbank. Gegen den Verlust einzelner Daten hilft das, gegen den Verlust der Maschine nicht. Ein automatischer Abzug an einen zweiten Ort ist nicht gebaut — er wäre ein weiterer Auftragsverarbeiter und braucht eine eigene Entscheidung.
• Die Sicherung umfasst die Datenbank, nicht die hochgeladenen Dateien. Diese liegen beim Speicheranbieter, der seine eigene Haltbarkeit mitbringt.

---

Hinweis: Dieses Dokument beschreibt technische Tatsachen zuverlässig. Ob es den rechtlichen Anforderungen in Form und Vollständigkeit genügt, ist von einer Anwältin oder einem Anwalt zu prüfen — insbesondere im Zusammenspiel mit § 203 StGB.