Entwurf, Fassung 2026-10-16. Diese Fassung wurde noch nicht rechtlich geprüft.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Zugang nur mit persönlichem Konto; Passwörter mindestens 10 Zeichen, gespeichert nur als Hash. Nach 5 Fehlversuchen wird das Konto 15 Minuten gesperrt; Anmeldeversuche je Herkunft sind begrenzt.
Mitarbeiter ohne E-Mail melden sich auf einem gebundenen Gerät mit PIN an; nach 5 falschen PINs ist das Gerät gesperrt. Geräte lassen sich sperren.
Rollen und Rechte je Konto; entzogene Rechte und Sperren wirken auch in laufenden Sitzungen und für App-Schlüssel.
Mandantentrennung in der Datenschicht: Abfragen sind an das Konto der angemeldeten Person gebunden; automatische Tests prüfen dies.
Dienstleister sehen keine Gästedaten und Zugangscodes nur im Zeitfenster ihres Auftrags; Abrufe werden protokolliert.
Zugangscodes sind verschlüsselt gespeichert und erscheinen nicht in E-Mails, Push-Nachrichten oder Protokollen.
Support-Zugriffe sind befristet, lesend und für den Kunden sichtbar.

Protokoll mit Prüfsummenkette; Statusverläufe von Aufträgen werden ergänzt.
Nachweisfotos mit Serverzeit und Prüfsumme; Ortsdaten werden beim Hochladen entfernt.
App-Anfragen sind signiert und zeitlich begrenzt; doppelte Meldungen werden erkannt.

Die Anwendung läuft derzeit auf einem ALL-INKL-Webspace. Ein Spiegelserver und automatischer Notbetrieb sind nicht eingerichtet.
Die Anwendung enthält Funktionen für verschlüsselte Sicherungen und Überwachung von Hintergrundaufgaben. Ein produktiver Sicherungslauf ist noch nicht nachgewiesen; eine bestimmte Sicherungshäufigkeit wird bis dahin nicht als bestehende Maßnahme dargestellt.

Programmänderungen durchlaufen automatische Tests. Ein dokumentierter Wiederherstellungstest für diesen Produktivserver steht noch aus.

Serverzugriff ist auf den Betreiber und berechtigte Administratoren begrenzt. Ein externer Spiegelserver ist nicht in Betrieb.
Die vorstehenden Maßnahmen werden vor und während des Betriebs gegen die tatsächliche Konfiguration geprüft und bei Änderungen fortgeschrieben.

Fassung vom 2026-10-16