Technische und organisatorische Maßnahmen

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Nur Befugte erhalten Zugang zu Daten, und nur zu den Daten, die sie für ihre Aufgabe brauchen.

Zutritt

Kein eigenes Rechenzentrum. Datenbank, Belegspeicher und Serverfunktionen laufen bei den Unterauftragsverarbeitern in Frankfurt am Main (Supabase auf Amazon Web Services, Vercel), deren Rechenzentren nach ISO 27001 und SOC 2 geprüft sind. Der Server für Hintergrundaufgaben steht in nicht öffentlich zugänglichen Räumen in Rotterdam (Niederlande); seine Datenträger sind verschlüsselt (FileVault), ebenso die der Arbeitsrechner der Geschäftsführung.

Zugang

Anmeldung mit Passwort (gespeichert nur als Hash), Passkey oder Google-Konto und immer zusätzlich mit einem zweiten Faktor: Authenticator-App (TOTP) oder Sicherheitsschlüssel nach FIDO2/WebAuthn. Ohne zweiten Faktor (Sicherheitsstufe aal2) sind keine Buchhaltungsdaten lesbar; das prüft die Datenbank bei jeder Abfrage. Neue Konten sind erst nach Freigabe nutzbar. Fehlversuche, Anmeldungen und die Nutzung von Wiederherstellungscodes werden protokolliert.

Zugriff und Mandantentrennung

Zeilenrechte (Row Level Security) in der Datenbank: Ein Nutzer sieht nur Gesellschaften, deren Mitglied er ist; auch Administratoren des Portals haben in der Buchhaltung keinen pauschalen Durchgriff. Die Buchhaltungsschemata journal und fibu sind über die öffentliche Daten-Schnittstelle nicht erreichbar; gelesen wird nur über geprüfte Datenbankfunktionen. Belegdateien sind je Gesellschaft getrennt abgelegt und nur für deren Mitglieder lesbar. Der Schlüssel mit Vollzugriff liegt nur auf dem Server und erscheint nie im Browser.

Geheimnisse

Bankzugangsdaten liegen verschlüsselt im Tresor der Datenbank (Supabase Vault) und sind nur über eine Serverfunktion lesbar, die den Zweck verlangt und jeden Abruf protokolliert. Schlüssel der Programmierschnittstelle werden nur als SHA-256-Wert gespeichert. Interne Zugangsdaten liegen in einem Passwort-Tresor (Vaultwarden) und werden nicht in Code, Protokollen oder Dokumentation abgelegt; vor jedem Commit und jeder Veröffentlichung läuft eine automatische Geheimnisprüfung.

Verschlüsselung

Übertragung ausschließlich verschlüsselt über TLS; die Webseite erzwingt HTTPS mit HSTS (zwei Jahre, einschließlich Subdomains). Speicherung bei den Anbietern verschlüsselt (AES-256).

Trennung und Zweckbindung

Daten verschiedener Kunden sind logisch getrennt. Testgesellschaften sind als solche gekennzeichnet. Kundendaten aus eigenapp Fibu werden nicht in interne Wissens-, Auswertungs- oder Marketingsysteme übernommen, nicht für Werbung genutzt und nicht zum Training von Modellen der künstlichen Intelligenz verwendet; Dienste der künstlichen Intelligenz Dritter verarbeiten keine Auftragsdaten, es sei denn, der Kunde weist dies gesondert an.

Personal

Zugang zu Kundendaten hat derzeit nur der Geschäftsführer. Programmierwerkzeuge mit KI-Unterstützung arbeiten an Quelltext und synthetischen Testdaten; auf Auftragsdaten von Kunden greifen sie nur auf ausdrückliche Weisung des jeweiligen Kunden zu. Wer künftig Zugang erhält, wird vorher schriftlich auf Vertraulichkeit verpflichtet und bei Berufsgeheimnisträger-Kunden über § 203 StGB belehrt. Zugänge werden beim Ausscheiden sofort entzogen.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Daten bleiben vollständig und richtig; jede Änderung ist nachvollziehbar.

Unveränderbares Journal

Buchungen lassen sich nur anhängen. Ändern, Löschen und Leeren der Tabellen sind durch Rechte und Datenbanktrigger gesperrt, auch für den Datenbankverwalter; Korrekturen erfolgen als Storno mit verknüpfter Neubuchung. Jede Buchung trägt eine SHA-256-Hash-Kette über ihren vollständigen Inhalt und den Hash der Vorgängerbuchung; die Kette wird bei jeder Übernahme vollständig geprüft.

Belege

Belege werden unverändert im Originalformat gespeichert und unter ihrer SHA-256-Prüfsumme abgelegt; eine Datei mit gleichem Namen wird nie überschrieben. Die Prüfsumme wird bei jeder Auslieferung mitgegeben. Metadaten der Belege lassen sich nur anhängen.

Protokolle

Änderungsprotokoll (alter und neuer Stand) für alle veränderlichen Tabellen und Zugriffsprotokoll für Belegansichten, Exporte, Bankzugänge und Programmierschnittstelle; beide lassen sich nur anhängen. Leeren per TRUNCATE ist für alle Buchhaltungstabellen gesperrt.

Änderungen am Programm

Quelltext und Datenbankmigrationen liegen in einer Versionsverwaltung (Git). In den Betrieb gelangen Änderungen nur über den Hauptzweig mit automatischer Bereitstellung; vor jeder Änderung an Zugriffsregeln läuft die automatische Sicherheitsprüfung (Mandantentrennung, Rechte, Unveränderbarkeit).

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Daten stehen zur Verfügung und lassen sich nach einem Zwischenfall rasch wiederherstellen.

Datensicherung

Die Datenbank wird vom Anbieter täglich gesichert; die Sicherungen werden sieben Tage aufbewahrt. Belegdateien liegen im redundanten Objektspeicher in Frankfurt am Main. Für die eigenen Gesellschaften liegen die Belegoriginale zusätzlich in deren Bank und im Vorsystem. Der Server für Hintergrundaufgaben wird täglich auf ein zweites Gerät gesichert.

Betrieb

Serverfunktionen laufen auf einer skalierenden Plattform mit eingebautem Schutz gegen Überlastungsangriffe. Der Bankabruf läuft zeitgesteuert alle zwei Stunden und lässt sich von Hand auslösen; schlägt er fehl, bleiben die Daten unverändert und der Fehler wird am Bankzugang festgehalten.

Aktualität

Abhängigkeiten und Plattform werden aktuell gehalten; Sicherheitsmeldungen der Anbieter werden ausgewertet.

Wiederherstellung (Art. 32 Abs. 1 lit. c DSGVO)

Nach einem physischen oder technischen Zwischenfall sind Verfügbarkeit und Zugang rasch wiederhergestellt.

Wiederherstellung

Wiederherstellung der Datenbank aus der Tagessicherung über den Anbieter; die Hash-Kette zeigt nach einer Wiederherstellung sofort, ob das Journal vollständig ist. Die Wiederherstellung wird mindestens einmal im Jahr getestet und das Ergebnis dokumentiert.

Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Die Maßnahmen wirken und werden laufend verbessert.

Prüfungen

Automatisierte Sicherheitsprüfung (63 Einzelprüfungen, zuletzt vollständig bestanden am 19.10.2026) vor jeder Änderung an Rechten oder Anmeldung. Jährliche Überprüfung dieser Maßnahmen, der Unterauftragsverarbeiter und der Verfahrensdokumentation, außerdem nach jeder wesentlichen Änderung.

Datenpannen

Verletzungen des Schutzes personenbezogener Daten werden dokumentiert und dem Kunden unverzüglich, spätestens binnen 24 Stunden gemeldet (§ 5 AVV), damit er die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.

Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

Keine Analyse-, Werbe- oder Nachverfolgungsdienste; nur technisch notwendige Cookies; der Bankabruf beginnt erst, wenn der Kunde selbst einen Zugang hinterlegt.

Transparenz und Intervenierbarkeit

Kunden sehen in eigenapp Fibu den Stand ihrer Daten, die Prüfung der Hash-Kette und ihre Exporte; Anfragen betroffener Personen unterstützen wir nach § 4 des Vertrags zur Auftragsverarbeitung. Exporte in gängigen, maschinenlesbaren Formaten (DATEV, GoBD-Datenträgerüberlassung, Originalbelege) sind jederzeit und unentgeltlich abrufbar.

Stand der Umsetzung: offene Punkte

• Zweitkopie der Belegdateien in einem unveränderlichen Speicher (WORM, Aufbewahrungssperre) außerhalb des Hauptanbieters: vorbereitet, Bestellung steht aus.
• Erster dokumentierter Wiederherstellungstest der Datenbank: geplant, noch nicht durchgeführt.
• Hinzufügen von Mitgliedern durch Portal-Administratoren wird noch nicht im Zugriffsprotokoll der Buchhaltung festgehalten (Härtung geplant).
• Jeder einzelne Bankabruf wird noch nicht als eigener Lauf historisiert; festgehalten werden Statuswechsel und jeder Zugriff auf den Bankzugang.
• Automatische Löschung der Anmeldeprotokolle nach zwölf Monaten: Frist festgelegt, der Löschlauf wird vor Ablauf der ersten zwölf Monate eingerichtet.
• Die Verträge mit den Infrastrukturdiensten laufen derzeit über die Schwestergesellschaft StromWert Erneuerbare Energien GmbH; der Vertrag zur Auftragsverarbeitung zwischen ihr und der eigenapp UG ist vorbereitet und noch nicht geschlossen.
• Bestätigung, dass alle Verwaltungszugänge bei den Infrastrukturdiensten mit einem zweiten Faktor gesichert sind, steht aus.