Auftragsverarbeitungsvertrag

Der Auftraggeber nutzt VermietPilot zur Verwaltung von Immobilien, Einheiten, Mietverhältnissen, Zahlungen, Nebenkosten, Dokumenten und damit verbundenen Informationen. Soweit der Auftraggeber dabei personenbezogene Daten von Mietern oder anderen Dritten verarbeitet, entscheidet er über Zweck und Mittel dieser Verarbeitung und ist Verantwortlicher. Der Auftragnehmer stellt die technische Plattform bereit und verarbeitet diese Daten im Auftrag des Auftraggebers.

„Auftragsdaten" sind alle personenbezogenen Daten, die der Auftraggeber oder von ihm autorisierte Nutzer in VermietPilot eingeben, hochladen, erzeugen oder im Rahmen von Supportvorgängen zur Bearbeitung offenlegen und die der Auftragnehmer nicht für eigene Zwecke als Verantwortlicher verarbeitet.

Nicht von diesem Vertrag erfasst sind insbesondere die Verarbeitung von Konto-, Vertrags-, Abrechnungs-, Zahlungs-, Kontakt-, Sicherheits- und Kommunikationsdaten des Auftraggebers, soweit der Auftragnehmer hierfür selbst Zwecke und Mittel bestimmt. Diese Verarbeitungen richten sich nach der Datenschutzerklärung von VermietPilot.

Im Übrigen gelten die Begriffe der DSGVO, insbesondere „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person" und „Verletzung des Schutzes personenbezogener Daten".

• 1.1 Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich zur Bereitstellung, Absicherung, Wartung, Fehlerbehebung und vertragsgemäßen Weiterentwicklung der VermietPilot-Funktionen sowie nach dokumentierter Weisung des Auftraggebers.
• 1.2 Der Auftragnehmer verarbeitet Auftragsdaten nicht für Werbung, Profilbildung, den Verkauf von Daten oder das Training allgemeiner KI-Modelle. Eine Verwendung für eigene Zwecke ist nur zulässig, wenn die Daten zuvor nachweisbar und unumkehrbar anonymisiert wurden oder eine gesetzliche Pflicht besteht; der Auftraggeber wird hierüber informiert, soweit dies rechtlich zulässig ist.
• 1.3 Dieser Vertrag gilt für sämtliche Auftragsverarbeitungen im Zusammenhang mit VermietPilot. Für selbstständige Verarbeitungstätigkeiten des Auftragnehmers als Verantwortlicher gilt er nicht.
• 1.4 Soweit Bestimmungen dieses Vertrags und des Hauptvertrags zur Auftragsverarbeitung widersprüchlich sind, geht dieser Vertrag für datenschutzrechtliche Fragen vor.

• 2.1 Der Vertrag beginnt mit seiner elektronischen oder schriftlichen Annahme, spätestens jedoch mit der erstmaligen Verarbeitung von Auftragsdaten durch den Auftragnehmer.
• 2.2 Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer noch Auftragsdaten speichert, zurückgibt, exportiert, löscht oder in Sicherungskopien vorhält.
• 2.3 Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt. Soweit Auftragsdaten ausnahmsweise aufgrund einer gesetzlichen Pflicht weiter gespeichert werden müssen, werden sie gesperrt und nur für diesen Zweck verarbeitet.

• 3.1 Gegenstand, Art, Zweck, Dauer, Kategorien personenbezogener Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
• 3.2 Der Auftraggeber darf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO nur verarbeiten lassen, wenn dies für einen rechtmäßigen, erforderlichen Zweck zulässig ist und er die erhöhten Schutzanforderungen erfüllt. VermietPilot ist nicht für eine systematische Verarbeitung solcher Daten konzipiert.
• 3.3 Änderungen des Verarbeitungsumfangs werden dokumentiert und, soweit wesentlich, durch eine aktualisierte Anlage oder Vertragsversion abgebildet.

• 4.1 Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers. Als dokumentierte Weisungen gelten dieser Vertrag, der Hauptvertrag, die bestimmungsgemäße Bedienung der Web-App, Einstellungen im Kundenkonto sowie in Textform erteilte Support- oder Administrationsanweisungen.
• 4.2 Zusätzliche Weisungen sollen über die im Kundenkonto hinterlegte E-Mail-Adresse oder einen authentifizierten Supportkanal erteilt werden. Der Auftragnehmer darf eine angemessene Authentifizierung verlangen.
• 4.3 Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich. Er ist berechtigt, die betroffene Verarbeitung bis zur Bestätigung, Änderung oder Klärung der Weisung auszusetzen, soweit dies zur Vermeidung eines Rechtsverstoßes erforderlich ist.
• 4.4 Verlangt Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung ohne Weisung, informiert der Auftragnehmer den Auftraggeber vor der Verarbeitung über diese Pflicht, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

• 5.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Wahl der Zwecke und Mittel, die Rechtsgrundlagen, Informationspflichten, Datenrichtigkeit, Speicher- und Löschfristen sowie die Bearbeitung von Betroffenenrechten verantwortlich.
• 5.2 Der Auftraggeber stellt sicher, dass nur erforderliche Daten eingegeben oder hochgeladen werden. Freitextfelder und Dokumenten-Uploads sind datensparsam zu nutzen. Nicht mehr benötigte Daten sind zu löschen.
• 5.3 Der Auftraggeber schützt Zugänge und Endgeräte, vergibt Benutzerrechte nach dem Erforderlichkeitsprinzip, verhindert eine gemeinsame Nutzung persönlicher Zugangsdaten und informiert den Auftragnehmer unverzüglich über vermutete Zugriffs- oder Sicherheitsvorfälle.
• 5.4 Der Auftraggeber erteilt nur rechtmäßige Weisungen und stellt sicher, dass eine ausreichende Rechtsgrundlage für die Übermittlung und Verarbeitung der Auftragsdaten besteht.
• 5.5 Der Auftraggeber benennt auf Anforderung einen fachlichen oder datenschutzrechtlichen Ansprechpartner und hält seine im Kundenkonto hinterlegten Kontaktdaten aktuell.

• 6.1 Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich innerhalb des vereinbarten Umfangs und nach dokumentierten Weisungen.
• 6.2 Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen nur im erforderlichen Umfang Zugriff erhalten, vor dem Zugriff auf Vertraulichkeit verpflichtet werden und angemessene Datenschutz- und Sicherheitsanweisungen erhalten.
• 6.3 Der Auftragnehmer führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet mit zuständigen Aufsichtsbehörden zusammen.
• 6.4 Der Auftragnehmer informiert den Auftraggeber, wenn eine betroffene Person, Behörde oder sonstige Stelle unmittelbar Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder Herausgabe in Bezug auf Auftragsdaten verlangt. Er beantwortet solche Anfragen nicht eigenständig, außer der Auftraggeber weist ihn an oder eine gesetzliche Pflicht besteht.
• 6.5 Der Auftragnehmer legt Auftragsdaten nicht gegenüber Dritten offen, außer dies ist zur Vertragserfüllung über genehmigte Unterauftragsverarbeiter erforderlich, vom Auftraggeber angewiesen oder gesetzlich vorgeschrieben.
• 6.6 Der Auftragnehmer informiert den Auftraggeber über wesentliche Änderungen, die die Sicherheit oder Rechtmäßigkeit der Auftragsverarbeitung betreffen.

• 7.1 Personen mit Zugriff auf Auftragsdaten werden vor Tätigkeitsaufnahme auf Vertraulichkeit verpflichtet, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• 7.2 Administrative Zugriffe erfolgen nur, soweit sie für Betrieb, Support, Wartung, Fehleranalyse, Sicherheitsmaßnahmen, Wiederherstellung oder die Umsetzung einer Weisung erforderlich sind.
• 7.3 Berechtigungen werden nach Funktion und Erforderlichkeit vergeben, bei Rollenänderungen angepasst und nach Ende der Berechtigung entzogen.
• 7.4 Die Vertraulichkeitspflichten gelten nach Ende dieses Vertrags fort.

• 8.1 Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie der Risiken geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
• 8.2 Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 beschrieben. Die Maßnahmen können technisch weiterentwickelt oder durch gleichwertige bzw. bessere Maßnahmen ersetzt werden, solange das vereinbarte Schutzniveau nicht abgesenkt wird.
• 8.3 Wesentliche nachteilige Änderungen des Schutzniveaus teilt der Auftragnehmer dem Auftraggeber vorab mit, soweit dies möglich ist. Sicherheitsbedingte Sofortmaßnahmen dürfen ohne Vorankündigung umgesetzt werden.
• 8.4 Die in Anlage 2 genannten bekannten Einschränkungen sind Bestandteil der aktuellen Risikobetrachtung. Sie entbinden den Auftragnehmer nicht von der Pflicht, die Angemessenheit der Maßnahmen regelmäßig zu überprüfen und erforderliche Verbesserungen umzusetzen.
• 8.5 Der Auftraggeber bleibt für die Sicherheit seiner Endgeräte, Netze, Benutzerverwaltung und die von ihm gewählten Inhalte und Zugriffsrechte verantwortlich.

• 9.1 Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu erfüllen.
• 9.2 Die Unterstützung erfolgt insbesondere durch vorhandene Such-, Anzeige-, Berichtigungs-, Export- und Löschfunktionen sowie, soweit erforderlich und technisch möglich, durch angemessene Unterstützung des Supports.
• 9.3 Zusätzlicher Aufwand, der über die gesetzlichen Pflichten des Auftragnehmers und die üblichen Funktionen hinausgeht und nicht durch ein Verschulden des Auftragnehmers verursacht wurde, kann nach vorheriger Abstimmung angemessen berechnet werden. Zwingende gesetzliche Pflichten bleiben unberührt.

• 10.1 Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes von Auftragsdaten bekannt geworden ist.
• 10.2 Die Mitteilung enthält, soweit zu diesem Zeitpunkt bekannt, mindestens eine Beschreibung der Art des Vorfalls, der betroffenen Daten und Personen, der wahrscheinlichen Folgen, der ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktmöglichkeit für Rückfragen. Fehlende Informationen werden schrittweise nachgereicht.
• 10.3 Der Auftragnehmer ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Untersuchung, Beweissicherung und Behebung des Vorfalls und unterstützt den Auftraggeber mit den verfügbaren Informationen bei dessen Pflichten nach Art. 33 und 34 DSGVO.
• 10.4 Die Entscheidung über Meldungen an Aufsichtsbehörden oder betroffene Personen obliegt dem Auftraggeber, soweit nicht eine eigene gesetzliche Pflicht des Auftragnehmers besteht.
• 10.5 Der Auftragnehmer dokumentiert relevante Sicherheitsvorfälle und daraus abgeleitete Abhilfemaßnahmen.

• 11.1 Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen angemessen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und vorherigen Konsultationen nach Art. 36 DSGVO.
• 11.2 Hierzu stellt er insbesondere Informationen zu Verarbeitung, Speicherorten, Unterauftragsverarbeitern, Sicherheitsmaßnahmen und bekannten Risiken bereit.
• 11.3 Außergewöhnlicher Zusatzaufwand kann nach vorheriger Abstimmung angemessen berechnet werden, sofern er nicht auf einer Pflichtverletzung des Auftragnehmers beruht.

• 12.1 Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.
• 12.2 Beabsichtigt der Auftragnehmer, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Auftraggeber grundsätzlich mindestens 30 Tage vor dem geplanten Einsatz in Textform oder über das Kundenkonto. Bei einer dringenden, insbesondere sicherheitsbedingten Änderung darf die Frist angemessen verkürzt werden; die Gründe werden mitgeteilt.
• 12.3 Der Auftraggeber kann innerhalb von 14 Tagen nach Mitteilung aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen zunächst eine zumutbare Alternative. Ist keine Lösung möglich, kann jede Partei den betroffenen Dienst oder den Hauptvertrag insoweit außerordentlich beenden.
• 12.4 Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten dieses Vertrags im Wesentlichen entsprechen, insbesondere zu Vertraulichkeit, Sicherheit, Unterstützung, Löschung, Nachweisen und zulässigen Drittlandübermittlungen.
• 12.5 Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Pflichten seiner Unterauftragsverarbeiter verantwortlich.
• 12.6 Reine Softwarekomponenten, die auf dem eigenen Server betrieben werden, sind keine Unterauftragsverarbeiter. Stripe ist derzeit nicht Unterauftragsverarbeiter für Auftragsdaten im Sinne dieses Vertrags, solange ausschließlich Zahlungs- und Abrechnungsdaten des VermietPilot-Vertrags übermittelt werden und keine Mieter- oder sonstigen Auftragsdaten an Stripe gelangen.

• 13.1 Die Kernverarbeitung der Auftragsdaten erfolgt auf dem Hetzner-Server in Deutschland.
• 13.2 Eine Übermittlung von Auftragsdaten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums darf nur erfolgen, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den Standardvertragsklauseln der Europäischen Kommission.
• 13.3 Soweit ein Unterauftragsverarbeiter weitere Anbieter außerhalb des EWR einsetzt, stellt der Auftragnehmer im Rahmen seiner vertraglichen Möglichkeiten sicher, dass ein zulässiger Übermittlungsmechanismus besteht und zusätzliche Schutzmaßnahmen risikoorientiert geprüft werden.
• 13.4 Der Auftragnehmer informiert den Auftraggeber auf Anfrage über die maßgeblichen Übermittlungsmechanismen.

• 14.1 Während der Vertragslaufzeit kann der Auftraggeber Auftragsdaten im Rahmen der vorhandenen Funktionen berichtigen und löschen. Auf Anfrage stellt der Auftragnehmer, soweit technisch verfügbar und verhältnismäßig, einen strukturierten Export oder die Rückgabe hochgeladener Dokumente in ihrem vorhandenen Format bereit.
• 14.2 Nach Ende des Hauptvertrags erhält der Auftraggeber grundsätzlich eine Frist von 30 Tagen, um Auftragsdaten anzufordern oder zu exportieren, sofern er nicht die sofortige Löschung verlangt oder gesetzliche Gründe entgegenstehen.
• 14.3 Nach Ablauf der Exportfrist löscht der Auftragnehmer die Auftragsdaten aus den aktiven Systemen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im regulären Überschreibungszyklus spätestens innerhalb von weiteren 30 Tagen entfernt und unzugänglich gemacht.
• 14.4 Bestehen gesetzliche Pflichten zur weiteren Speicherung, werden die betreffenden Daten gesperrt und ausschließlich für den gesetzlich vorgeschriebenen Zweck verarbeitet.
• 14.5 Die Löschung oder Rückgabe kann auf Verlangen in geeigneter Form bestätigt werden.

• 15.1 Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen. Dies kann insbesondere durch diesen Vertrag, die TOM, Auskünfte, Selbstauskünfte und geeignete Nachweise der Unterauftragsverarbeiter erfolgen.
• 15.2 Kontrollen erfolgen vorrangig durch Dokumentenprüfung, Videokonferenz oder schriftliche Auskunft. Eine Vor-Ort-Prüfung ist zulässig, wenn diese Mittel nicht ausreichen, ein konkreter Anlass besteht oder eine Aufsichtsbehörde dies verlangt.
• 15.3 Vor-Ort-Prüfungen sind grundsätzlich mindestens 14 Werktage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass Betrieb, Sicherheit, Rechte anderer Kunden und Geschäftsgeheimnisse möglichst wenig beeinträchtigt werden. Der Prüfer muss unabhängig und zur Vertraulichkeit verpflichtet sein.
• 15.4 Ohne konkreten Anlass soll höchstens eine Prüfung pro Kalenderjahr stattfinden. Anlassbezogene Prüfungen nach Sicherheitsvorfällen, begründeten Verdachtsmomenten oder behördlichen Anforderungen bleiben möglich.
• 15.5 Der Auftraggeber trägt seine eigenen Prüfungskosten. Zusätzlicher Aufwand des Auftragnehmers kann angemessen berechnet werden, es sei denn, die Prüfung weist eine wesentliche Pflichtverletzung des Auftragnehmers nach.
• 15.6 Prüf- und Zugriffsrechte von Aufsichtsbehörden werden durch diese Regelungen nicht eingeschränkt.

• 16.1 Datenschutzbezogene Mitteilungen des Auftragnehmers erfolgen an die im Kundenkonto hinterlegte E-Mail-Adresse oder über das Kundenkonto. Der Auftraggeber hält diese Angaben aktuell.
• 16.2 Der Auftragnehmer kann diesen Vertrag anpassen, wenn dies aufgrund geänderter Gesetze, Behördenpraxis, technischer Abläufe, Funktionen oder Unterauftragsverarbeiter erforderlich ist. Änderungen dürfen das gesetzlich erforderliche Schutzniveau nicht unterschreiten.
• 16.3 Wesentliche Änderungen werden vor ihrem Wirksamwerden mitgeteilt. Soweit erforderlich, wird eine erneute elektronische Annahme eingeholt. Die jeweils angenommene Vertragsversion bleibt nachvollziehbar.

• 17.1 Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den sonstigen zwingenden gesetzlichen Vorschriften.
• 17.2 Im Innenverhältnis trägt jede Partei die Verantwortung für die ihr zugewiesenen Pflichten. Der Auftraggeber ist insbesondere für Rechtmäßigkeit und Inhalt seiner Weisungen verantwortlich; der Auftragnehmer für die weisungsgemäße Verarbeitung und die ihm obliegenden technischen, organisatorischen und vertraglichen Pflichten.
• 17.3 Haftungsregelungen des Hauptvertrags bleiben anwendbar, soweit sie zwingende Rechte betroffener Personen und zwingendes Datenschutzrecht nicht beschränken.

• 18.1 Änderungen und Ergänzungen dieses Vertrags bedürfen mindestens der Textform oder einer dokumentierten elektronischen Annahme. Individuelle Weisungen nach Ziffer 4 bleiben hiervon unberührt.
• 18.2 Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Regelung ist durch eine zulässige Regelung zu ersetzen, die ihrem Zweck möglichst nahekommt.
• 18.3 Es gilt deutsches Recht, soweit dem keine zwingenden gesetzlichen Bestimmungen entgegenstehen.
• 18.4 Der elektronische Nachweis der Annahme ersetzt eine handschriftliche Unterschrift.

Kategorien personenbezogener Daten

• Objekt- und Einheitsdaten: Namen, Anschriften, Bezeichnungen, Wohnflächen, Umlageschlüssel und Notizen;
• Mieterdaten: Name, Anschrift, Telefonnummer, E-Mail-Adresse, Ein- und Auszugsdatum, Sollmiete und Notizen;
• Miet- und Finanzdaten: Mieteingänge, Einnahmen, Ausgaben, Beträge, Daten, Kategorien, Beschreibungen und Nebenkostenberechnungen;
• Dokumentdaten: hochgeladene Dateien, Dateiname, Dateityp, Dateigröße, Inhalte und Zuordnung zu Objekten, Einheiten oder Mietern;
• Generierte Dokumente: insbesondere Mahnungen, Kündigungen, Mietverträge, Mieterhöhungen und Übergabeprotokolle einschließlich der vom Auftraggeber eingegebenen Inhalte;
• Freitext- und Kommunikationsdaten: Notizen, freiwillige Feedback- oder Supportinhalte, soweit diese Auftragsdaten enthalten;
• Technische Metadaten zu Auftragsdaten: Erstellungs- und Änderungszeitpunkte, Zuordnungen, Benutzer- und Zugriffsbezüge sowie erforderliche Protokolldaten;
• Angaben des Auftraggebers, soweit sie als Bestandteil von Kundendokumenten oder Vorlagen im Auftrag verarbeitet werden, z. B. Name, Anschrift, IBAN, BIC und Kontoinhaber.

Kategorien betroffener Personen

• aktuelle und ehemalige Mieter;
• Mietinteressenten, soweit der Auftraggeber deren Daten eingibt oder Dokumente über sie hochlädt;
• Mitbewohner, sonstige Bewohner oder Ansprechpartner, soweit sie in den Auftragsdaten enthalten sind;
• Personen, die in hochgeladenen oder generierten Dokumenten, Notizen oder Kommunikationsinhalten genannt werden;
• Mitarbeiter oder sonstige berechtigte Nutzer des Auftraggebers, soweit deren Daten als Auftragsdaten und nicht als eigenes Kontodatenverhältnis von VermietPilot verarbeitet werden.

Die nachfolgenden Maßnahmen beschreiben den technischen Ist-Stand von VermietPilot, ergänzt um die vertraglich erforderlichen organisatorischen Pflichten. Die Angemessenheit wird regelmäßig risikoorientiert überprüft.

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem professionellen Rechenzentrum der Hetzner Online GmbH am Standort Deutschland. Physische Zutrittskontrollen und Rechenzentrumssicherheit werden durch Hetzner bereitgestellt.
• Zugang zur Anwendung nur über individuelle Benutzerkonten mit E-Mail-Adresse und Passwort.
• Passwörter werden ausschließlich als bcrypt-Hash mit Cost-Faktor 12 gespeichert und nicht im Klartext vorgehalten.
• Sitzungen werden über signierte JWT-Cookies verwaltet.
• E-Mail-Verifizierung bei Registrierung; Login erst nach Bestätigung der E-Mail-Adresse.
• Rate-Limiting am Login zur Reduzierung von Brute-Force-Angriffen.
• Serverzugang ausschließlich über SSH-Schlüssel; Passwort-Login ist deaktiviert. Nach außen sind nur die für den Betrieb erforderlichen Ports freigegeben.
• Rollenkonzept mit Standardnutzer- und Administratorrolle.
• Strikte logische Mandantentrennung: Serverseitige Berechtigungs- und Ownership-Prüfung bei jedem Zugriff; Nutzer können nur ihre eigenen Daten sehen und bearbeiten.
• Verwaltungsfunktionen sind auf die Administratorrolle beschränkt.
• Zur Verarbeitung befugte Personen werden vor Zugriff auf Vertraulichkeit verpflichtet und erhalten nur erforderliche Berechtigungen.

2. Integrität

• Datenübertragung ausschließlich transportverschlüsselt über HTTPS; TLS 1.3 und HSTS sind aktiviert.
• Datenbank und Anwendung sind nicht unmittelbar öffentlich erreichbar; Zugriffe erfolgen über die Anwendung und definierte Administrationswege.
• Serverseitige Validierung von Eingaben.
• Änderungen erfolgen nur über authentifizierte Benutzerkonten oder autorisierte Administrationsvorgänge.
• Nachvollziehbarkeit über Erstellungs- und Änderungszeitpunkte sowie Login-Historie.
• Sicherheits-Header: HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.

3. Verfügbarkeit und Belastbarkeit

• Betrieb im professionellen Hetzner-Rechenzentrum mit den durch den Betreiber bereitgestellten Infrastruktur-, Stromversorgungs- und Zutrittsschutzmaßnahmen.
• Containerisierte Bereitstellung mit Docker und Nginx zur reproduzierbaren und zügigen Neubereitstellung der Anwendung.
• Automatische tägliche Datenbank-Backups (komprimierter pg_dump) sowie tägliche Sicherung des Upload-Ordners mit hochgeladenen Dokumenten.
• Zusätzliches verschlüsseltes Offsite-Backup von Datenbank und Uploads auf eine getrennte Hetzner Storage Box am Standort Helsinki (EWR); clientseitige Verschlüsselung (AES-256), Aufbewahrung 30 Tage, ergänzt um automatische Snapshots.
• Wiederherstellung von Datenbank und Uploads aus den Backups; die Wiederherstellbarkeit wurde durch einen dokumentierten Restore-Test bestätigt.
• Regelmäßige Sicherheitsaktualisierung von Anwendung, Betriebssystem und Abhängigkeiten nach Risikobewertung.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Regelmäßige Aktualisierung der Anwendung und ihrer Abhängigkeiten, insbesondere bei Sicherheitsupdates.
• Dokumentierter Prozess zur Erkennung, Bewertung, Eindämmung, Meldung und Nachbereitung von Datenschutz- und Sicherheitsvorfällen.
• Regelmäßige Überprüfung von Rollen, administrativen Zugängen und Unterauftragsverarbeitern.
• Vertragliche Einbindung der eingesetzten Unterauftragsverarbeiter mittels Vereinbarungen nach Art. 28 DSGVO, soweit sie als Auftragsverarbeiter tätig werden.
• Datenschutzfreundliche Voreinstellungen: nur technisch notwendige Cookies, keine Tracking- oder Analysedienste in der Web-App.
• Dokumentierte Wiederherstellungstests in angemessenen Abständen und nach wesentlichen Änderungen; ein erster Test soll vor produktiver Zusage der vollständigen Wiederherstellbarkeit durchgeführt werden.
• Überprüfung der TOM bei wesentlichen technischen, organisatorischen oder rechtlichen Änderungen sowie nach Sicherheitsvorfällen.

5. Löschung und Datenträgerkontrolle

• Löschung von Auftragsdaten über Anwendungsfunktionen oder auf dokumentierte Weisung.
• Löschung aus aktiven Systemen nach Vertragsende gemäß Ziffer 14.
• Entfernung aus Sicherungskopien im regulären 30-Tage-Überschreibungszyklus.
• Kein Einsatz austauschbarer lokaler Datenträger für den regulären Produktivbetrieb; Serverbetrieb im Rechenzentrum.
• Zugriff auf Backups nur für Wiederherstellung, Sicherheitsprüfung und technische Administration.

6. Nicht als umgesetzt behauptete Maßnahmen

• Die Offsite-Backups sind clientseitig verschlüsselt (AES-256); eine Verschlüsselung der Live-Datenbank bzw. des Live-Upload-Speichers auf dem Server selbst „at rest“ ist nicht umgesetzt.
• Eine Mehrfaktor-Authentifizierung für Administratoren ist nicht umgesetzt.